152-ФЗ
Организация обработки персональных данных
Организовать обработку персональных данных по 152-ФЗ значит выстроить процесс, а не скачать шаблон политики. Нужно описать, какие данные и на каком основании вы собираете, назначить ответственного, завести документы и держать их в актуальном виде. Мы собираем этот процесс под вашу компанию: по вашему ОКВЭД, вашим реальным процессам и подрядчикам.
Почему это стало срочным. С мая 2025 года Роскомнадзор проверяет сайты автоматически. Робот находит формы без корректного согласия и предустановленные галочки: операторов из реестра проверяет ежемесячно, остальных ежеквартально, на устранение даёт 10 дней. Штраф за отсутствие политики составляет 30–60 тысяч рублей (ч. 3 ст. 13.11 КоАП), за утечку персональных данных 3–15 млн, а при повторной утечке 1–3% годовой выручки либо 20–500 млн (ч. 15). Привести обработку в порядок задним числом на проверке уже не получится.
Почему шаблон не закрывает вопрос. Готовый шаблон описывает абстрактную компанию, а проверка смотрит на ваш реальный сайт: формы, согласия, cookie, трекеры. Мы сначала сканируем сайт и видим, какие данные и куда уходят, затем опросником достаём то, что сканер не покажет: офлайн-обработку, подрядчиков, спецкатегории. Документы собираем под вашу деятельность, и каждый до выдачи проверяет и подписывает юрист.
с 05.2025Проверки РКН по сайтам
10 днейСрок на устранение
30–60 тыс. ₽Штраф без политики
до 3% выр.Штраф за утечку
1–2 дняГотовим комплект
Организация обработки: процесс, а не папка документов
Частый подход: купить папку из PDF-шаблонов и считать, что 152-ФЗ закрыт. На автоматической проверке это не работает. Робот Роскомнадзора смотрит на сайт: на формы, согласия и cookie, а не на папку в шкафу. Если под формой нет корректного согласия или стоит предустановленная галочка, нарушение зафиксируют, даже когда документы у вас в порядке.
Организация обработки складывается из живых элементов. Реестр процессов описывает, что реально происходит с данными: какие собираете, с какой целью, на каком основании, сколько храните, кому передаёте. Из реестра оператор выводит политику, согласия и уведомление в Роскомнадзор, поэтому они совпадают с тем, что видно на сайте. Журналы обращений и инцидентов ведутся по мере событий. Всё, что закон разрешает онлайн, мы переводим в модули платформы с журналом действий, а не в PDF, который никто не заполняет.
- Папка PDF выглядит как compliance, но не проходит проверку
- Реестр процессов: что реально происходит с данными
- Политика и согласия выведены из реестра, совпадают с сайтом
- Ответственный поддерживает процесс в актуальном виде
- Журналы ведутся по событиям, а не задним числом
- PDF остаётся там, где закон требует бумагу и подпись
Ответственный за организацию обработки ПДн
Статья 22.1 152-ФЗ требует назначить лицо, ответственное за организацию обработки персональных данных. Это не формальность: именно к нему Роскомнадзор обращается на проверке, и он по приказу отвечает за то, чтобы обработка шла по закону. У большинства компаний ответственный либо не назначен, либо назначен приказом, но не знает своих обязанностей.
Мы готовим приказ и должностную инструкцию под вашу структуру, объясняем ответственному зону ответственности и даём регламенты: как отвечать на запрос субъекта об удалении данных, что делать при утечке (уведомить Роскомнадзор за 24 часа), как готовиться к проверке. Если выделять для этого работника невыгодно, ответственность можно передать нам как услугу, с сохранением всей истории процесса на нашей стороне.
Частые вопросы
Что значит «организовать обработку персональных данных»?
Это выстроить процесс, а не купить папку документов. Нужно описать процессы обработки в реестре (какие данные, цели, основания, сроки, получатели), опубликовать на сайте политику и согласия, которые этому реестру соответствуют, назначить ответственного за организацию обработки и при необходимости подать уведомление в Роскомнадзор. Дальше процесс поддерживается: журналы ведутся по событиям, документы обновляются при изменении норм.
Достаточно ли скачать шаблон политики из интернета?
Нет. Шаблон описывает абстрактную компанию, а на автоматической проверке Роскомнадзор смотрит на ваш реальный сайт: формы, согласия, cookie, трекеры. Если политика не совпадает с тем, что происходит на сайте, это фиксируют как нарушение. К тому же шаблон не закрывает реестр процессов, приказ об ответственном и уведомление в Роскомнадзор, а именно их спрашивают на проверке.
Кого назначать ответственным за обработку ПДн?
По статье 22.1 152-ФЗ оператор назначает лицо, ответственное за организацию обработки. Обычно это руководитель, юрист или отдельный работник. Важно не просто издать приказ: назначенное лицо должно понимать обязанности: отвечать на обращения субъектов, уведомлять Роскомнадзор при утечке, готовиться к проверкам. Если выделять сотрудника невыгодно, ответственность можно передать нам.
Сколько времени и денег занимает организация обработки?
Базовый комплект (реестр процессов, политика, согласия, приказ об ответственном, при необходимости уведомление в Роскомнадзор) собираем за 1–2 рабочих дня. Стоимость зависит от состава обработки и называется после разбора. Это дороже готового шаблона, но вы получаете документы под вашу реальную деятельность с подписью юриста, а не общий шаблон, который не проходит проверку.
