Приказ о назначении ответственного за обработку персональных данных: образец 2026

Проверка Роскомнадзора почти всегда начинается с одного и того же вопроса: кто у вас отвечает за персональные данные и есть ли приказ о его назначении. Если ответа нет, инспектор фиксирует нарушение еще до того, как дошел до содержательных вещей вроде согласий и политики конфиденциальности. Разберем, как закрыть этот пункт правильно с первого раза.

Кто обязан назначить ответственного за обработку персональных данных

Формулировка закона касается именно юрлиц. Для индивидуальных предпринимателей норма сформулирована мягче – буквально в тексте статьи упоминаются организации, а не ИП. На практике Роскомнадзор все равно ожидает от ИП понимания, кто в его бизнесе отвечает за работу с персональными данными учеников, даже если это сам предприниматель без отдельного приказа. Если у ИП есть штат сотрудников, которые обрабатывают базу учеников (менеджеры, преподаватели, техподдержка), безопаснее оформить приказ по аналогии с юрлицом – это снимает вопросы при проверке и упрощает разграничение ответственности внутри команды.

Момент, с которого нужно назначить ответственного, закон формально не привязывает к дате регистрации компании – обязанность возникает вместе с началом обработки персональных данных, то есть фактически с первой заявки от потенциального ученика. На практике имеет смысл оформить приказ одновременно с другими стартовыми документами – политикой конфиденциальности, формой согласия, уведомлением в Роскомнадзор, а не откладывать до момента, когда база учеников уже выросла до нескольких тысяч записей.

Требования к кандидату на должность

На эту должность чаще назначают руководителя отдела информационной безопасности (если он есть), юриста, HR-директора или – в небольших онлайн-школах – самого директора либо его заместителя. Частая ошибка малого бизнеса: назначить ответственным рядового менеджера без реальных полномочий влиять на процессы. Формально это не запрещено, но при проверке Роскомнадзора инспектор задает вопросы именно этому человеку, и если он не может объяснить, как организован документооборот по согласиям, это работает против школы, даже если приказ формально оформлен верно.

Совмещение с основной должностью – обычная практика, отдельная штатная единица не требуется. Важно прописать в приказе и, при необходимости, в должностной инструкции, что новая функция добавляется к существующим обязанностям, а не заменяет их.

Отдельный практический вопрос – можно ли назначить ответственным приглашенного специалиста, не состоящего в штате (например, юриста на аутсорсе). Прямого запрета в законе нет, но конструкция получается уязвимой: ответственный по ст. 18.1 ФЗ №152-ФЗ должен реально контролировать сотрудников школы и доводить до них требования законодательства, а у внештатного консультанта, как правило, нет полномочий давать обязательные указания персоналу. Безопаснее держать эту функцию внутри штата, а внешнего юриста привлекать как консультанта, который помогает ответственному лицу разбираться со сложными случаями.

Как оформить приказ: обязательные реквизиты

Минимальный состав документа: наименование организации и реквизиты бланка, номер и дата приказа, ссылка на ст. 18.1 ФЗ №152-ФЗ как основание, формулировка о назначении конкретного сотрудника ответственным за организацию обработки персональных данных, перечень обязанностей (можно сослаться на должностную инструкцию), пункт об ознакомлении назначаемого лица с приказом под подпись, подпись руководителя и печать (если используется).

Типичные ошибки при оформлении приказа

Задним числом – самая рискованная история. Инспектор Роскомнадзора при выездной проверке обычно запрашивает сам приказ и сопутствующие документы: журнал ознакомления сотрудников, переписку по теме, дату фактического начала обработки персональных данных школой. Если приказ формально датирован годом ранее, а остальные документы появились позже одним днем, расхождение видно сразу и работает не в пользу компании.

Вторая ошибка – расплывчатая формулировка вроде “назначить ответственным за персональные данные” без привязки к статье закона и без перечня функций. Формально приказ действует, но при проверке инспектор может задать вопрос, откуда взялась эта обязанность и что именно должен делать назначенный сотрудник – и на этот вопрос должен отвечать текст приказа, а не устные объяснения на месте.

Третья – отсутствие подписи ознакомления. Без нее сложно доказать, что назначенное лицо действительно приняло на себя эти функции, а не оказалось вписано в документ, о котором даже не знает. Это особенно важно, если впоследствии возникнет спор о том, кто несет ответственность за конкретное нарушение при обработке данных.

Обязанности ответственного лица по закону

На практике это означает три постоянных участка работы. Первый – контроль: ответственный периодически проверяет, действительно ли сотрудники собирают согласия перед обработкой данных, хранят их правильно и не передают третьим лицам без оснований. Второй – обучение: минимум формальное ознакомление новых сотрудников с политикой конфиденциальности и правилами работы с базой учеников под подпись. Третий – работа с обращениями: если ученик или бывший клиент просит удалить свои данные или уточнить, как они используются, обращение должно попасть именно к ответственному лицу, а не потеряться в переписке поддержки.

Функции можно и нужно прописать подробнее во внутреннем положении об обработке персональных данных – приказ дает только юридическое основание для назначения, а конкретику лучше выносить в отдельный документ, который проще актуализировать без переиздания приказа.

Нужно ли уведомлять Роскомнадзор о назначении

При смене ответственного лица (увольнение, перевод на другую должность) логика та же: новый приказ оформляется внутри организации, а данные в уведомлении Роскомнадзора обновляются, если они там фигурировали. Забытое обновление контактов в уведомлении – частая находка при проверках, хотя формально это не то же самое нарушение, что отсутствие приказа.

Само уведомление об обработке персональных данных подается по ст. 22 ФЗ №152-ФЗ (проверено: август 2026) до начала обработки данных, если у школы нет оснований для освобождения от этой обязанности. В форме уведомления есть отдельное поле для ФИО и контактов ответственного лица – именно оно должно совпадать с текущим приказом. Если школа меняла ответственного несколько раз, а уведомление обновляла только один раз при первой подаче, стоит сверить актуальность данных перед плановой или внеплановой проверкой, а не откладывать это до момента, когда инспектор задаст вопрос напрямую.

Что грозит за отсутствие приказа

Само по себе отсутствие приказа редко становится единственным основанием для крупного штрафа – обычно инспектор фиксирует его вместе с другими нарушениями (нет политики конфиденциальности, не поданы согласия, не подано уведомление в Роскомнадзор), и совокупность эпизодов увеличивает итоговую сумму санкций. Подробный разбор ставок и составов – в отдельном материале о штрафах по 152-ФЗ.

Можно ли совместить роль с другой должностью

При совмещении важно решить два практических вопроса. Первый – доплата: закон не обязывает платить надбавку за эту функцию, но если объем работы существенный (например, компания активно растет и обращений становится больше), разумно отразить это в трудовом договоре или дополнительном соглашении. Второй – преемственность: если единственный человек, знающий процесс изнутри, увольняется без передачи дел, школа рискует остаться без функционирующей системы контроля на период поиска замены. Помогает заранее прописанное положение об обработке персональных данных, которое не привязано к конкретной личности, а описывает процесс.

Для сети онлайн-школ с несколькими юрлицами (например, отдельное ООО на каждый бренд или регион) закон формально требует отдельного приказа в каждой организации – назначение ответственного привязано к конкретному оператору, а не к группе компаний в целом. На практике удобно назначать одного и того же сотрудника (например, руководителя юридического отдела управляющей компании) ответственным сразу в нескольких юрлицах группы, но каждое назначение оформляется своим приказом со ссылкой на соответствующую организацию.

Чек-лист: оформление за один день

Не уверены, что документы готовы к проверке Роскомнадзора?

Проверим приказ, уведомление и политику конфиденциальности – подготовим пакет документов онлайн-школы к проверке.

Оставить заявку ->

Статья подготовлена на основе законодательства РФ на август 2026 года. Для консультации по вашему случаю обратитесь к специалисту.