1. Клиент и исходная ситуация
Компания «Логика» — российская IT-компания средней численности (около 45 сотрудников), которая разрабатывает и внедряет программные решения для бизнеса. Основные направления деятельности:
- разработка и сопровождение программного обеспечения;
- консультационные и внедренческие услуги;
- работа с клиентами через сайт и CRM-систему.
Компания обрабатывает следующие персональные данные:
- сотрудников и соискателей;
- клиентов и представителей контрагентов;
- посетителей сайта (через формы обратной связи и заявки).
Трансграничная передача персональных данных отсутствует — все данные обрабатываются и храняться на территории Российской Федерации. Облачные сервисы и CRM используются исключительно российские с серверами расположенными на территории РФ.
Что было до обращения в Solu
| Проблема | Последствия |
|---|---|
| Отсутствовала актуальная Политика обработки ПДн на сайте | Риск штрафа по ч. 3 ст. 13.11 КоАП |
| Согласия на обработку ПДн были «вшиты» в договоры и оферту | Нарушение требований с 01.09.2025 (согласие — только отдельный документ) |
| Не было приказа о назначении ответственного за организацию обработки ПДн | Формальное нарушение ст. 22.1 152-ФЗ |
| Уведомление в Роскомнадзор либо не подавалось, либо содержало устаревшие сведения | Риск штрафа 100–300 тыс. руб. |
| Внутренние локальные акты отсутствовали или были шаблонными | Невозможность подтвердить принятие мер по ст. 18.1 152-ФЗ |
| Сотрудники не были ознакомлены с правилами работы с ПДн | Риск утечек и претензий |
Руководство «Логики» понимало: после существенного ужесточения штрафов с 30 мая 2025 года (ФЗ № 420-ФЗ) и изменений в порядке оформления согласий (ФЗ № 156-ФЗ) продолжать работу «как есть» стало слишком рискованно.
2. Цели проекта
Заказчик поставил следующие задачи:
- Провести полный аудит текущих процессов обработки персональных данных.
- Разработать индивидуальный комплект документов, соответствующий реальной деятельности компании.
- Обеспечить соответствие требованиям 152-ФЗ в редакции 2025–2026 годов.
- Подготовить и подать уведомление в Роскомнадзор.
- Внедрить документы в работу и обучить ключевых сотрудников.
- Исключить избыточные документы и процедуры, которые не применяются в компании.
Важное ограничение: трансграничная передача данных не рассматривалась и в документы не включалась.
3. Этапы работы
Работа была разделена на пять последовательных этапов.
Этап 1. Аудит процессов обработки персональных данных
Юристы Solu провели:
- анализ сайта, форм сбора данных, политики конфиденциальности;
- изучение кадровых документов, трудовых договоров, анкет соискателей;
- анализ CRM, договоров с клиентами и подрядчиками;
- интервью с ответственными сотрудниками (кадры, продажи, IT-поддержка);
- определение категорий субъектов, целей обработки, правовых оснований, сроков хранения и мест хранения данных.
Результат аудита — матрица обработки персональных данных:
| Категория субъектов | Основные данные | Цели обработки | Правовое основание | Срок храненияе |
|---|---|---|---|---|
| Работники | ФИО, паспорт, СНИЛС, ИНН, адрес, банковские реквизиты, сведения о трудовой деятельности | Исполнение трудового договора, кадровый учёт, исполнение обязанностей работодателя | Трудовой договор, ТК РФ | В течение срока работы + установленные законом сроки |
| Соискатели | ФИО, телефон, e-mail, резюме, данные из собеседований | Рассмотрение кандидатуры | Согласие | До принятия решения + 30 дней (или иной срок по согласию) |
| Клиенты / представители | ФИО, должность, телефон, e-mail, данные договора | Заключение и исполнение договора, коммуникация | Договор, согласие (при необходимости) | Срок договора + 3–5 лет |
| Посетители сайта | Имя, телефон, e-mail из форм | Обработка заявок, обратная связь | Согласие | До достижения цели / отзыва согласия |
По итогам аудита стало ясно, какие документы действительно нужны, а какие будут избыточными.
Этап 2. Разработка комплекта документов
На основе аудита был сформирован индивидуальный пакет. Ниже — полный перечень документов, которые были подготовлены для «Логики».
2.1. Основные (публичные и ключевые) документы
| № | Документ | Назначение | Статус |
|---|---|---|---|
| 1 | Политика в отношении обработки персональных данных | Публичный документ для сайта и субъектов | Обязателен (ст. 18.1 152-ФЗ) |
| 2 | Положение об обработке и защите персональных данных | Внутренний локальный акт, детализирующий процессы | Обязателен |
| 3 | Приказ о назначении ответственного за организацию обработки ПДн | Назначение лица, контролирующего соблюдение закона | Обязателен (ст. 22.1) |
| 4 | Приказ об утверждении Политики и Положения | Введение документов в действи | Организационный |
2.2. Согласия и формы для субъектов
С 1 сентября 2025 года согласие оформляется только отдельным документом (нельзя включать в договор или оферту).
| № | Документ | Для кого |
|---|---|---|
| 5 | Согласие на обработку персональных данных (общая форма) | Клиенты, посетители сайта |
| 6 | Согласие работника на обработку персональных данных | Сотрудники (где требуется сверх трудового договора) |
| 7 | Согласие соискателя | Кандидаты на работу |
| 8 | Согласие на получение информационных/рекламных сообщений | Отдельно от согласия на обработку ПДн |
2.3. Документы по доступу и конфиденциальности
| № | Документ | Назначение |
|---|---|---|
| 9 | Перечень должностей работников, допущенных к обработке ПДн | Ограничение круга лиц |
| 10 | Обязательство о неразглашении персональных данных | Подписывается каждым допущенным сотрудником |
| 11 | Журнал учёта лиц, допущенных к работе с ПДн | Фиксация доступа |
2.4. Документы по уничтожению и контролю
| № | Документ | Назначение |
|---|---|---|
| 12 | Приказ о создании комиссии по уничтожению персональных данных | Организация процедуры уничтожения |
| 13 | Акт об уничтожении персональных данных | Подтверждение факта уничтожения (хранится 3 года) |
| 14 | Порядок реагирования на обращения субъектов ПДн | Регламент ответов на запросы |
| 15 | Порядок действий при выявлении нарушений / инцидентов | Внутренний контроль |
2.5. Дополнительные (по результатам аудита)
- Инструкция для сотрудников, работающих с ПДн;
- Перечень информационных систем, в которых обрабатываются ПДн;
- Модель угроз и краткая оценка вреда, который может быть причинён субъектам (в объёме, достаточном для данной компании).
Всего в итоговый комплект вошло 18 документов. Это был оптимальный объём для компании ткаого размера без трансграничной передачи и без обработки специальных категорий / биометрии в значимых объёмах.
Этап 3. Согласование и утверждение
Все проекты документов были переданы заказчику на согласование. Юристы Solu провели несколько итераций правок с учётом:
- реальных изменний в бизнес-процессах «Логики» по решению руководства;
- добавления используемых IT-систем;
- пожеланий по формулировкам (чтобы документы были понятны сотрудникам, а не только юристам).
После согласования документы были утверждены приказами генерального директора.
Этап 4. Уведомление Роскомнадзора
На основании актуальных сведений:
- подготовлено уведомление о намерении осуществлять обработку персональных данных;
- уведомление подано через портал персональных данных Роскомнадзора (pd.rkn.gov.ru);
- получено подтверждение о внесении записи в реестре операторов.
Подача уведомления — обязательный шаг почти для всех операторов. Штраф за отсутствие или несвоевременную подачу для юридических лиц составляет от 100 000 до 300 000 рублей (ч. 10 ст. 13.11 КоАП РФ).
Этап 5. Внедрение и обучение
- Политика размещена на сайте компании в открытом доступе.
- Формы согласий внедрены на сайте (отдельные чекбоксы) и в кадровые процессы.
- Сотрудники, имеющие доступ к ПДн, ознакомлены с Положением и подписали обязательства о неразглашении.
- Проведён краткий инструктаж для кадровой службы и менеджеров по продажам.
- Переданы рекомендации по дальнейшему поддержанию соответствия (актуализация документов при изменении процессов, ответы на обращения субъектов, порядок уничтожения).
4. Ключевые особенности комплекта для «Логики»
Почему мы не использовали «стандартный пакет из Интернета»
Шаблонные документы представленные бесплатно в сети Интернет часто содержат:
- разделы о трансграничной передаче (которых у «Логики» нет);
- упоминание биометрии и специальных категорий данных без реальной необходимости;
- устаревшие формулировки согласий (до изменений 2025 года);
- избыточные журналы и комиссии, которые компания никогда не будет вести.
Solu разработала документы под фактические процессы, что делает их:
- проще в применении;
- устойчивее при проверке Роскомнадзора;
- понятнее сотрудникам.
Акцент на изменениях 2025–2026 годов
В документах учтены:
- требование оформлять согласие отдельным документом (с 01.09.2025);
- актуальные размеры штрафов;
- обязанность локализации первичной записи и хранения данных граждан РФ на территории России;
- необходимость назначения ответственного лица;
- требования к содержанию Политики и к ответам субъектам персональных данных.
5. Сроки и результат
| Этап | Срок |
|---|---|
| Аудит | 10 рабочих дней |
| Разработка документов | 20 рабочих дней |
| Согласование с клиентом | 10 рабочих дней |
| Подача уведомления | 5 рабочих дней |
| Внедрение и обучени | 5 рабочих дней |
| Общий срок проекта | 2,5 месяца |
Результат для «Логики»:
- Полный актуальный комплект документов по 152-ФЗ.
- Опубликованная Политика на сайте.
- Корректные отдельные согласия.
- Назначенный ответственный за организацию обработки ПДн.
- Актуализированная запись в реестре операторов Роскомнадзора.
- Обученные сотрудники и понятные внутренние процедуры.
- Снижение рисков крупных штрафов при проверках и инцидентах.
6. Какие риски закрыл проект
| Риск | Возможный штраф (для юрлица) | Как закрыт |
|---|---|---|
| Отсутствие / неактуальная Политика | 30–60 тыс. руб. | Разработана и опубликована |
| Обработка без отдельного согласия | 300–700 тыс. руб. (и выше при повторе) | Внедрены отдельные формы |
| Неподача уведомления | 100–300 тыс. руб. | Подано |
| Отсутствие локальных актов и мер | Претензии по ст. 18.1 + связанные составы | Полный внутренний пакет |
| Утечка ПНд из-за отсутствия правил | От 3 млн. руб. и выше | Регламенты + обучение |
7. Выводы и рекомендации
Кейс «Логики» показывает типичную ситуацию для IT- и сервисных компаний среднего размера:
- Формально «что-то есть», но документы не соответствуют реальным процессам и актуальным требованиям закона.
- После ужесточения штрафов и правил оформления согласий риск стал неприемлемым.
- Правильный путь — не скачивать шаблоны, а провести аудит и сделать документы под себя.
- Для компании без трансграничной передачи, без биометрии и без сложных специальных категорий достаточно компактного, но полного комплекта из 15–18 документов.
Если вы узнали в описании свою компанию — имеет смысл провести хотя бы предварительный аудит. Первая консультация в Solu бесплатна: мы оценим текущее состояние документов и процессов и скажем, какой объём работ реально нужен.
Пройтидте бесплатный тест «Насколько у вашей компании готовы документы по обработке персональных данных по 152-ФЗ?»