Инструкция ответственного за организацию обработки персональных данных: штрафы

Статус обязательный для юридических лиц
Основание ч. 1 ст. 22.1, п. 1 ч. 1 ст. 18.1 152-ФЗ
Публичность внутренний документ
Кто утверждает руководитель организации
Ответственный (должность) назначаемый оператором-юрлицом сотрудник или подразделение, ответственное за организацию обработки ПДн
Область действия все подразделения и процессы оператора, осуществляющие обработку персональных данных
Периодичность отчёт руководителю - не реже 1 раза в год
Обновлено июль 2026

01 Назначение

Инструкция ответственного за организацию обработки персональных данных

Краткое руководство для назначения, обязанностей и практических процедур внутри оператора-юрлица

Назначение и область действия. Инструкция фиксирует обязанности и полномочия сотрудника или подразделения, назначаемых оператором-юрлицом ответственными за организацию обработки персональных данных. Область действия документа охватывает все подразделения и процессы оператора, в которых происходит обработка персональных данных, и применяется вместе с локальными актами по защите данных.

Утверждение и организационные документы. Инструкция утверждается руководителем организации и подкрепляется приказом о назначении, должностной инструкцией и перечнем процессов обработки. В тексте инструкций указывают полномочия на взаимодействие с исполнительными органами и порядок подотчётности, а также связи с локальными политиками и реестром процессов.

Основные обязанности и практические процедуры. Ответственный организует внутренний контроль за соблюдением требований по обработке ПДн, доводит до работников требования законодательства и локальных актов, принимает и обрабатывает обращения субъектов данных. Практические процедуры включают поддержание реестра обращений и инцидентов, ведение протоколов проверок, регистрацию обучающих мероприятий и подготовку отчётов о результатах контроля.

Публичность политики и доступ к документам. Оператор обеспечивает публикацию политики и сопутствующих документов с открытым доступом в сети организации и поддерживает актуальность представленных материалов. В инструкции целесообразно указать место публикации, способ доступа к актуальной редакции и контактные данные ответственного для приёма обращений и вопросов по обработке персональных данных.

Раскрыть полностью

02 Ответственность

Ответственность за нарушения, связанные с отсутствием инструкции ответственного за обработку ПДн

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Штрафы по ч. 1 ст. 13.11 КоАП применимы при обработке персональных данных в случаях, не предусмотренных законом. Отсутствие инструкции или формальное её ведение повышают риск квалификации действий как незаконной обработки. Типичные ошибки операторов: инструкция не утверждена руководителем, не назначен ответственный, отсутствуют доказательства доведения положений до сотрудников и процедур реализации. Проверьте согласованность инструкции с политикой и локальными актами и наличие подтверждений доведения и реализации.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие и поисковые названия, которые используют при подготовке, проверке и хранении документации по ПДн. Документ описывает полномочия, обязанности и зону ответственности назначаемого сотрудника или подразделения по организации законной обработки, работе с согласиями и обращениями субъектов данных.

Инструкция ответственного по персональным данным
Инструкция ответственного за организацию обработки персональных данных
Обязанности ответственного за обработку ПДн
Функции ответственного за персональные данные
Должностная инструкция ответственного по ПДн
Положение о лице, ответственном за обработку персональных данных
Образец инструкции ответственного по персональным данным
Подотчётность ответственного перед руководителем по ПДн

04 Обязательное содержание

Содержание инструкции ответственного

Чеклист разделов и элементов, которые должны быть в инструкции ответственного за организацию обработки ПДн для выполнения обязанностей оператора-юрлица и внутреннего контроля.

Назначение и полномочия ответственного указать должность, основания назначения и конкретные полномочия по организации внутреннего контроля, взаимодействию с руководством и исполнению обязанностей оператора-юрлица.
Область действия инструкции чётко описать охват инструкции - подразделения, процессы и виды обработки персональных данных, к которым инструкция применяется, и случаи исключений.
Взаимодействие с исполнительными органами и подотчётность описать порядок получения указаний от исполнительного органа, порядок отчётности перед руководством и механизм исполнения принятых решений в части защиты ПДн.
Порядок приёма и обработки обращений субъектов ПДн регламентировать приём и регистрацию обращений субъектов, ответственных за коммуникацию с ними и механизм эскалации сложных запросов к руководству или профильным подразделениям.
Доведение требований и обучение работников описать порядок информирования сотрудников о положениях законодательства и локальных актах, ответственность за проведение обучения и фиксацию ознакомления работников с требованиями защиты ПДн.
Публикация инструкции и доступ к документам указать место публикации инструкции или ссылку в сети с доступом для работников, а также правила обновления и подтверждения актуальности опубликованной редакции.
Ведение записей и передача обязанностей описать перечень оперативных записей и отчётов по исполнению обязанностей, требования к хранению и доступу к записям, а также порядок передачи функций при смене ответственного.

05 Применимость

Кому и когда нужна инструкция ответственного за организацию обработки ПДн

Краткие указания, для каких субъектов и в каких ситуациях необходимо принимать локальную инструкцию о назначении и полномочиях ответственного за организацию обработки персональных данных. Учет нормативных оснований и рабочие триггеры.

Обязательность для операторов-юрлиц Инструкция обязательна для операторов, являющихся юридическими лицами; документ формализует назначение ответственного и распределение функций по организации обработки и внутреннему контролю.
Область действия инструкции Инструкция распространяется на все подразделения и процессы оператора, участвующие в обработке персональных данных; в ней закрепляют порядок доведения требований к работникам и процедуру приема и обработки обращений субъектов данных.
Статус документа и утверждение Инструкция является внутренним локальным актом и утверждается руководителем организации; если инструкция включает положения, подлежащие публичному доведению, при оформлении учитывают требования о публикации в сети и доступе к документу.
Когда инструкция не заменяет другие документы Инструкция отвечает за внутреннюю организацию обязанностей и порядок взаимодействия с исполнительною структурой; она не заменяет публичные документы, предназначенные для информирования субъектов данных или для внешнего размещения.
Применение к разным организационно-правовым формам Нормативные требования о назначении ответственного прямо адресованы операторам-юрлицам; для индивидуальных предпринимателей и иных форм юридической организации наличие обязанности следует проверить отдельно с учетом характера обработки данных.
Триггеры для принятия и пересмотра инструкции Инструкцию целесообразно принимать или обновлять при изменении организационной структуры, при внедрении новых способов обработки ПДн, при поступлении указаний от уполномоченных органов и при подготовке к проверкам внутреннего контроля.

06 Нормативная база

Нормативная основа для инструкции ответственного за организацию обработки ПДн

п. 1 ч. 1 ст. 18.1 152-ФЗ Обязывает оператора принять меры по обеспечению безопасности персональных данных; инструкция должна закрепить назначение ответственного, его полномочия по организации и контролю реализаций мер защиты, а также порядок взаимодействия с ИТ, службой безопасности и другими подразделениями.
ч. 1 ст. 22.1 152-ФЗ Устанавливает обязанность оператора-юрлица назначить лицо, ответственное за организацию обработки ПДн; инструкция должна фиксировать статус ответственного, основания назначения и прекращения полномочий, круг обязанностей и контактные данные для внутренних и внешних коммуникаций.
ч. 2 ст. 22.1 152-ФЗ Определяет подотчётность и получение указаний от исполнительного органа организации; инструкция должна описать порядок взаимодействия с руководством, форму и периодичность отчётов, а также маршруты эскалации при выявлении нарушений.
п. 1 ч. 4 ст. 22.1 152-ФЗ Регламентирует внутренний контроль за соблюдением законодательства и локальных актов по защите ПДн; инструкция должна установить процедуры проверок, учёт результатов контрольных мероприятий, ответственность за устранение нарушений и критерии оценки соответствия.
п. 2 ч. 4 ст. 22.1 152-ФЗ Обязывает доводить до работников положения законодательства и локальные требования по защите ПДн; инструкция должна закрепить методы обучения и информирования сотрудников, порядок фиксации ознакомления и контроль исполнения разъяснённых требований.
п. 3 ч. 4 ст. 22.1 152-ФЗ Указывает на организацию приёма и обработки обращений субъектов персональных данных; инструкция должна определить процедуру регистрации запросов, ответственных исполнителей, требования к срокам обработки и ведению реестра обращений.
ч. 2 ст. 18.1 152-ФЗ Предписывает публикацию документов о мерах безопасности при сборе ПДн через сеть; инструкция должна указать ссылку на публикуемую политику, ответственного за её актуализацию и механизм обеспечения доступа заинтересованных лиц.

Образец документа

Инструкция ответственного за организацию обработки персональных данных

Инструкция закрепляет полномочия и обязанности назначаемого оператором сотрудника или подразделения, порядок подотчётности перед руководителем и область действия по всем подразделениям. При проверке обращают вним...

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Внедрение инструкции ответственного за организацию обработки персональных данных

Последовательность действий от решения о назначении до первой проверки внедрения инструкции. Каждый шаг содержит ответственного и конкретный выходной документ, который положить в папку к проверяющему.

1. Принятие решения и утверждение инструкции Руководитель принимает решение об установлении обязанности и утверждает инструкцию приказом. На выходе - приказ руководителя об утверждении инструкции и копия утверждённого текста инструкции с номером и датой.
2. Назначение ответственного и формализация Оформить приказ о назначении ответственного сотрудника или подразделения, внести запись в журнал назначений и положить копию приказа в личное дело. На выходе - приказ о назначении и запись в журнале назначений.
3. Подготовка и согласование текста инструкции Ответственный подготавливает проект инструкции с распределением обязанностей, перечнем процедур внутреннего контроля и регламентом приёма обращений. На выходе - утверждённая инструкция и реестр функций или таблица распределения обязанностей.
4. Доведение до сотрудников и публикация в доступном месте Организовать доведение содержания инструкции до работников через внутренний портал и обучающие сессии, зафиксировать проведение в протоколах. На выходе - запись в реестре обучений, протокол вводного инструктажа и ссылка на размещённый документ.
5. Первичная проверка соблюдения и передача материалов проверяющему Провести проверку выполнения пунктов инструкции, составить акт первичной проверки и собрать папку для проверяющего с приказом об утверждении, приказом о назначении, утверждённой инструкцией, журналом обучений и протоколами. На выходе - акт проверки и комплект доказательств в папке.

09 Актуализация

Поводы и действия для пересмотра инструкции ответственного

Инструкция устаревает не постепенно, а по конкретным событиям. Ниже - практические поводы, целевой выход документации и короткие действия, которые нужно выполнить, чтобы не допустить пробелов в организационной ответственности.

Назначен новый ответственный Смена лица, назначенного оператором, требует формальной передачи дел и обновления записи в локальных актах: журналы, незавершённые обращения, материалы проверок, полномочия в системах и контактные данные должны быть переданы и зафиксированы. Издать приказ о назначении, провести акт приёма-передачи дел и инструктаж под подпись, обновить контактную информацию в инструкции и прилагаемых реестрах.
Изменилась структура организации или состав операторов Появление филиалов, обособленных подразделений или новых юридических лиц меняет зону ответственности и маршруты взаимодействия. Нужны решение о едином или распределённом ответственном и обновлённые процедуры взаимодействия между подразделениями. Пересмотреть область действия инструкции, закрепить распределение функций и порядок взаимодействия в приказе, актуализировать схемы информационных потоков.
Внедрена новая информационная система или изменился состав обрабатываемых данных Новые ИТ-системы, категории субъектов или цели обработки расширяют предмет контроля ответственного: требуется обновление описаний процессов, требований к подрядчикам и перечня контрольных процедур. Документировать новые процессы в инструкции, дополнить требования к мерам защиты и пересмотреть план проверок и контрольные листы.
Обновились сведения, поданные в реестр операторов Изменение сведений, опубликованных о операторе, может требовать корректировки контактной информации и публичных описаний обработки. При отсутствии регламента получения этих сведений ответственный рискует узнавать об изменениях позже других. Уточнить и зафиксировать процедуру получения изменений реестра, обновить соответствующие разделы инструкции и публичные публикации.
Проведена проверка, поступило предписание надзора или произошёл инцидент безопасности Замечания контролирующих органов и реальные инциденты выявляют несоответствия в обязанностях и алгоритмах реагирования. Эти события требуют оперативного внесения изменений в обязанности ответственного и процедуры уведомления. Внести корректировки в обязанности и алгоритмы реагирования, зафиксировать корректирующие приказы, обновить список ответственных и провести целевой инструктаж.

10 Проверка

Инспектор проверит

Документы и материалы проверки по инструкции ответственного за организацию обработки персональных данных.

Вопрос 01 «Предъявите приказ об утверждении инструкции и текст инструкции в действующей редакции.»
Вопрос 02 «Предъявите документы о назначении ответственного за организацию обработки персональных данных.»
Вопрос 03 «Предъявите описание обязанностей ответственного и документы по доведению требований к работникам.»
Вопрос 04 «Предъявите регламент приёма и обработки обращений субъектов персональных данных и записи о регистрации обращений.»
Вопрос 05 «Предъявите документы внутреннего контроля и подтверждение подотчётности ответственному органу.»

Инспектор при проверке, может запросить:

текст инструкции в действующей редакции и приказ об утверждении инструкции руководителем организации
распоряжение или приказ о назначении ответственного, кадровая запись о должности назначенного или положение о подразделении с указанием ответственности
письменное описание обязанностей ответственного и план мероприятий по доведению положений законодательства и локальных актов по защите ПДн до работников
регламент приёма и обработки обращений от субъектов ПДн, журнал регистрации обращений или экспорт записей из системы учёта обращений
отчёты по результатам внутреннего контроля, приказы или распоряжения о порядке отчётности и документальные подтверждения взаимодействия с исполнительным органом

11 Экспертная позиция

Практический риск и контроль

Инструкция нередко остаётся формальным документом, поэтому при проверке или при инциденте организация теряет время и доказательства. Сделайте инструкцию рабочим регламентом: привяжите обязанности к конкретным функциям и процессам, опишите процедуру приёма и обработки обращений, порядок взаимодействия с ИБ и юридическим отделом, требования к ведению журналов и сохранению доказательств, а также чёткий порядок передачи полномочий при смене ответственного. Краткие контрольные чек-листы в конце инструкции снижают операционные риски.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по инструкции ответственного за обработку ПДн

Обязанность назначить ответственного лежит на операторе-юридическом лице; назначение оформляет руководитель организации. В роли ответственного может выступать конкретный сотрудник или отдельное подразделение, на которые возлагаются функции по организации обработки персональных данных.

Заказать инструкцию ответственного за организацию обработки персональных данных

Закажите готовую инструкцию, утверждаемую руководителем, для назначаемого сотрудника или подразделения. Документ обязателен для оператора-юрлица, закрепляет полномочия и обязанности, порядок подотчётности и область действия по всем подразделениям и процессам обработки. В рамках заказа выполняем адаптацию под структуру вашей организации и даём практические рекомендации по доведению положений до работников и учёту исполнения.

Скачать образец Заказать инструкцию в комплекте с доказательствами

Инструкция ответственного за организацию обработки персональных данных