Документы по персональным данным (152-ФЗ): полный перечень 2026 в Нурсултан

Вопрос «какие документы нужны по персональным данным» звучит так, будто в законе есть утверждённый список из двадцати бумаг. На самом деле его нет. Статья 18.1 Федерального закона № 152-ФЗ перечисляет меры оператора открытым списком («в частности») и оставляет за оператором право самому определить состав мер. Зато часть документов закон называет прямо, часть следует из подзаконных актов (постановление Правительства № 1119, приказы Роскомнадзора), часть — из Трудового кодекса, а часть — это уже сложившаяся практика, без которой невозможно ни заполнить уведомление, ни ответить на запрос проверяющего.

Ниже — полный перечень на 2026 год с основанием по каждому документу, разделением на «обязательно по закону» и «разумно иметь», разбором для ИП, компании-работодателя и владельца сайта, а также описанием того, что действительно запрашивает Роскомнадзор и как не отстать от изменений законодательства. Отдельно показываем границу между правовым пакетом (его готовят юристы) и технической частью защиты ИСПДн (её ведёт специалист заказчика или лицензиат ФСТЭК).

Что именно требует закон: четыре слоя документов

Документы по ПДн удобно разделить на четыре слоя по источнику требования.

Нюанс: пункты 1 и 2 части 1 статьи 18.1 (ответственный, политика и локальные акты) адресованы оператору — юридическому лицу. Индивидуальный предприниматель выбирает меры сам, но публиковать политику обязан в любом случае (ч. 2 ст. 18.1), а требования статьи 19 и постановления № 1119 действуют и для него.

Обязательные документы: перечень с основанием

Это то, что прямо вытекает из закона и подзаконных актов. Любая компания с работниками или клиентами обрабатывает ПДн, поэтому набор нужен в любом случае.

Обратите внимание: ответственный по статье 22.1 (организует обработку и приём обращений) и ответственный по пункту 14 постановления № 1119 (обеспечивает безопасность ПДн в информационной системе) — разные должности. Приказы оформляют отдельно, даже если роли совмещает один человек.

Рекомендуемые документы: что не названо в законе, но нужно на практике

Эти бумаги закон не требует поимённо, но без них нельзя доказать, что меры реально приняты, а бремя доказывания получения согласия (ст. 9) лежит на операторе.

Слова «модель угроз» в тексте 152-ФЗ нет — закон говорит об «определении угроз безопасности ПДн». Модель угроз — принятый способ это оформить; это техническая часть.

Для кого какой набор: ИП, компания-работодатель, владелец сайта

Индивидуальный предприниматель

ИП — оператор, если обрабатывает данные клиентов или работников. Публикация политики обязательна. Уведомление в РКН нужно, если обработка не исключительно бумажная. Если есть работники, добавляется локальный акт о ПДн работников с ознакомлением под роспись (ст. 86–88 ТК). Минимум: политика, формы согласий, уведомление РКН, приказ о лицах с доступом, а при наличии работников и подрядчиков — положение о ПДн работников и договоры поручения. Штрафы для ИП по частям 1.1 и 8–18 статьи 13.11 КоАП такие же, как для юридических лиц.

Компания-работодатель

Для работодателя в Нурсултан набор полный: политика, положение и локальные акты по целям (кадры, бухгалтерия, пропускной режим, клиенты), приказы об ответственном и о лицах с доступом, согласия, лист ознакомления, уведомление РКН, регламенты. Трудовой кодекс требует знакомить работников с порядком обработки ПДн под роспись (ст. 86), а передачу данных внутри организации оформлять локальным актом (ст. 88).

Владелец сайта и интернет-сервиса

Если форма на сайте собирает имя, телефон или e-mail, вы — оператор. Нужны опубликованная политика на страницах сбора (ч. 2 ст. 18.1), отдельное согласие рядом с формой (не пункт пользовательского соглашения и не общий договор-оферта), уведомление в РКН и, если данные хранятся и обрабатываются в облаке или у подрядчика, — договор поручения. Запись и хранение ПДн граждан России — в базах на территории России (ч. 5 ст. 18).

Подробнее — «Политика обработки ПДн для сайта». Если нужно сразу всё: комплект документов по ПДн.

Правовой контур и технический контур: где граница

Документы по ПДн удобно делить на два контура — от этого зависит, кто вправе их разрабатывать.

Важно: оператор вправе подготовить техническую часть сам — для собственных нужд. Но если исполнитель делает её по договору для заказчика, это работа по технической защите конфиденциальной информации, и у исполнителя должна быть лицензия ФСТЭК. Поэтому техническую часть мы сопровождаем методически (шаблон, указания, консультации, проверка; документ утверждает ваш специалист) либо подключаем партнёра-лицензиата. Подробнее — модель угроз ПДн.

В коммерческих организациях в Нурсултан и в других регионах действует одно и то же правило: документы по статье 18.1 — предмет интереса Роскомнадзора. Контроль технических мер статьи 19 закреплён за ФСБ и ФСТЭК для государственных информационных систем персональных данных и информационных систем государственных органов (ч. 8 ст. 19), а коммерческие операторы подконтрольны Роскомнадзору.

Согласие: самый частый источник нарушений

Согласие — не единственное основание обработки. Часть 1 статьи 6 содержит и другие основания: договор, закон, судопроизводство, защита жизни, законные интересы оператора. Согласие — только пункт 1. Поэтому «без согласия обрабатывать нельзя» — миф. Но если опираетесь на согласие, соблюдайте правила статьи 9:

• согласие конкретное, предметное, информированное, сознательное и однозначное;
• форма — любая, позволяющая подтвердить факт получения; письменная — только когда её прямо требует закон (специальные категории — ч. 2 ст. 10, биометрия — ст. 11);
• с 1 сентября 2025 года согласие оформляется отдельно от иных документов, которые подписывает субъект (156-ФЗ);
• бремя доказывания получения согласия лежит на операторе (ч. 3 ст. 9);
• согласие можно отозвать; после отзыва обработка продолжается только при наличии иного основания по ст. 6;
• согласие на распространение — отдельный документ со своими правилами (ст. 10.1); молчание или непроставленная галочка согласием не считаются.

Состав письменного согласия закон перечисляет (ч. 4 ст. 9): данные субъекта, оператор, цель, перечень ПДн, действия, срок и способ отзыва, подпись. За нарушение этого состава юрлица отвечают по ч. 2 ст. 13.11 КоАП — 300–700 тысяч рублей.

Что запрашивает Роскомнадзор

Право запросить документы закреплено прямо: по требованию РКН оператор обязан представить документы и локальные акты, перечисленные в части 1 статьи 18.1, либо иным образом подтвердить принятие мер (ч. 4 ст. 18.1). В запросе обычно фигурируют:

• политика обработки ПДн и подтверждение её публикации на сайте;
• локальные акты по целям обработки;
• приказ о назначении ответственного;
• документы о внутреннем контроле, оценке вреда, ознакомлении работников;
• формы согласий и доказательства их получения.

Форма проверочного листа утверждена приказом Роскомнадзора № 253. Важное следствие: уведомление по существу пересказывает ваши документы — меры по статьям 18.1 и 19, ответственного, цели, правовые основания, — поэтому без комплекта его нельзя заполнить корректно.

Ответственность: что реально грозит

Единого штрафа «за отсутствие комплекта документов» в КоАП нет — ответственность идёт через конкретные нарушения. Для юрлиц (коммерческих операторов):

Это не весь перечень: за утечки установлены отдельные, значительно более высокие штрафы (чч. 12–18), а оборотный штраф в размере 1–3% выручки применяется только за повторные утечки (чч. 15 и 18). Отсутствие локальных актов отдельно не наказывается. Смягчение оборотного штрафа по статье 4.1 КоАП связано с расходами на информационную безопасность, выполненными лицензиатами, поэтому документы сами по себе размер такого штрафа не уменьшают.

Как поддерживать комплект в актуальном состоянии

Один раз написанные документы устаревают. Основные изменения последних лет, влияющие на состав документов:

Практический порядок: регулярно проводите внутренний контроль (он предусмотрен ст. 18.1), при изменении целей, состава ПДн, систем, подрядчиков или руководителя — обновляйте документы и уведомляйте РКН об изменениях не позднее 15-го числа месяца, следующего за месяцем изменений. При прекращении обработки уведомление подаётся в течение 10 рабочих дней.

Чем поможет МелданаСБ

Правовой и организационный пакет готовим под ключ и дистанционно — для организаций в Нурсултан и других регионах: документы составляет специалист по отработанным типовым решениям, вводные собираем опросным листом. Техническую часть сопровождаем методически или с партнёром-лицензиатом ФСТЭК.

Частые вопросы

Для общей картины требований — комплект документов по информационной безопасности — и посмотрите готовые материалы: образцы документов, опросные листы и нормативную базу. Для оценки вашей ситуации и подбора набора напишите нам через страницу контактов.