Приказ об обработке ПДн

Политика обработки персональных данных и положение об обработке ПДн описывают, как компания работает с данными. Но у любого локального акта должна быть точка отсчёта — дата, с которой он действует, и лицо, которое его ввело в действие. Эту функцию выполняет приказ.

При проверке Роскомнадзор запрашивает не только тексты политики и положения, но и подтверждение, что они утверждены надлежащим образом: приказом руководителя, с датой, номером и подписью. Без приказа документы выглядят как черновики, а не как введённые в действие локальные акты организации.

Типичная ошибка — приказ подписан, но дата в тексте не совпадает с датой фактического подписания, либо приказ ссылается на документы, которые утверждены позже него. При проверке такое расхождение трактуется не в пользу оператора: доказать, что политика и положение действовали именно с указанной в приказе даты, становится сложно.

Обычно приказ об обработке персональных данных вводит в действие сразу пакет документов, каждый из которых оформляется приложением:

• политику обработки персональных данных (публичный документ по ст. 18.1 закона 152-ФЗ);
• положение об обработке персональных данных (внутренний регламент);
• перечень персональных данных, обрабатываемых в организации;
• перечень информационных систем персональных данных, если они используются;
• формы согласий на обработку ПДн — для клиентов, сотрудников, посетителей сайта;
• инструкцию по обработке персональных данных для сотрудников, имеющих к ним доступ.

Каждое приложение перечисляется в тексте приказа с указанием, что оно утверждается и вводится в действие с определённой даты.

Если данные обрабатываются по поручению — например, бухгалтерию ведёт подрядчик или рассылки настроены через стороннего оператора связи, — в приложениях стоит отдельно перечислить договоры поручения обработки и лиц, которым передаются данные. Формулировка «прилагается» без номера и даты конкретного документа при проверке выглядит как отписка, а не как реальное введение документа в действие.

Помимо утверждения приложений приказ должен решить организационные вопросы, без которых пакет документов не заработает на практике:

1. назначить ответственного за организацию обработки персональных данных — эта обязанность прямо предусмотрена ст. 22.1 закона 152-ФЗ;
2. определить круг сотрудников, допущенных к обработке персональных данных, либо поручить это отдельным приказом;
3. обязать ознакомить работников с утверждёнными документами под подпись и установить срок ознакомления;
4. указать, кто контролирует исполнение приказа;
5. определить дату вступления приказа в силу.

Если организация уже назначала ответственного за ПДн отдельным приказом ранее, в новом документе достаточно сослаться на этот приказ, а не дублировать назначение.

Частая ошибка — приказ обязывает ознакомить работников с документами, но не устанавливает срок ознакомления. Без срока невозможно зафиксировать момент, с которого сотрудник считается проинформированным, а значит и применить к нему меры за нарушение локальных актов по ст. 192 ТК РФ.

Как может выглядеть распорядительная часть

Ниже — обезличенный пример формулировки пунктов приказа, ориентир для собственного текста, а не готовый бланк для дословного копирования:

ПРИКАЗЫВАЮ:

1. Утвердить и ввести в действие с 01.01.2026 Политику обработки персональных данных ООО «Компания» (приложение № 1), Положение об обработке персональных данных (приложение № 2), Перечень персональных данных, обрабатываемых в организации (приложение № 3).
2. Назначить ответственным за организацию обработки персональных данных Иванова И. И.
3. Ознакомить работников, чьи должностные обязанности связаны с обработкой персональных данных, с настоящим приказом и приложениями к нему под подпись в срок до 15.01.2026.
4. Контроль за исполнением настоящего приказа оставляю за собой.

Приказ подписывает руководитель организации — лицо, действующее без доверенности по уставу, либо иное лицо, которому делегированы соответствующие полномочия по доверенности. Для ИП приказ подписывает сам предприниматель.

Оформление — по общим правилам делопроизводства организации, с четырьмя обязательными частями:

Приложения к приказу утверждаются отдельными пунктами, а не остаются просто «прилагаемыми файлами» без явной привязки к номерам пунктов приказа.

Оригинал приказа и приложений хранится вместе с остальными локальными актами по кадровому делопроизводству или в отдельной папке по защите персональных данных — так проще предъявить полный комплект при проверке.

Если приказ подписывается электронной подписью, стоит сохранять не только сам файл документа, но и подтверждение факта подписания — это пригодится, если подлинность приказа будет поставлена под сомнение при проверке или споре с работником.

Приказ и утверждённые им документы нужно актуализировать, когда меняется хотя бы одно из следующего:

• перечень обрабатываемых персональных данных — например, компания начала собирать новую категорию сведений;
• цели обработки — открылось новое направление деятельности, требующее иных данных;
• используемые информационные системы или подрядчики, обрабатывающие данные по поручению;
• ответственный за организацию обработки ПДн — при увольнении или переводе назначенного сотрудника.

Само по себе переиздание приказа — не бюрократическая формальность: устаревший пакет документов, не соответствующий реальной практике обработки, при проверке трактуется как нарушение требований ст. 18.1 закона 152-ФЗ о принятии мер, необходимых и достаточных для соответствия закону.

Актуализация связана и с обязанностью подавать уведомление об обработке персональных данных в Роскомнадзор по ст. 22 закона 152-ФЗ: сведения об операторе и целях обработки в уведомлении должны соответствовать действующей редакции локальных актов, введённых приказом.