Должностная инструкция ответственного по 22.1

С 30.05.2025 ст. 13.11 КоАП действует в редакции ФЗ-420: 18 частей вместо прежних семи, штрафы за системные нарушения выросли кратно. Отсутствие назначенного ответственного по ст. 22.1 ФЗ-152 — самостоятельное основание для протокола. На практике инспекторы РКН проверяют этот документ в первые 30 минут плановой проверки: есть приказ о назначении, есть инструкция с подписью — риск минимален. Нет ни того ни другого — протокол по ч. 1 ст. 13.11 гарантирован.

Что требует ст. 22.1 ФЗ-152 от оператора?

Ст. 22.1 ФЗ-152 устанавливает: оператор-юридическое лицо обязан назначить лицо, ответственное за организацию обработки персональных данных. Норма не предусматривает право выбора — это безусловная обязанность. Физическое лицо и индивидуальный предприниматель вправе исполнять эту функцию самостоятельно.

Ч. 4 ст. 22.1 устанавливает требования к квалификации: назначенное лицо должно обладать необходимыми знаниями в области защиты персональных данных. Формальный уровень квалификации законом не закреплён, однако РКН при проверке вправе задать вопрос о подтверждении компетенций — наличие удостоверения о повышении квалификации или профессиональной переподготовки снижает этот риск.

На практике ответственным назначают: штатного юриста, руководителя службы ИБ, HR-директора или заместителя генерального директора. Выбор зависит от размера компании и объёма обработки. Для крупного оператора (более 100 000 субъектов) назначение технического специалиста без юридической подготовки — риск: он не сможет корректно ответить на запрос РКН или субъекта в течение 10 рабочих дней по ст. 20 ФЗ-152.

Как составить должностную инструкцию ответственного по ст. 22.1: пошаговый порядок

Типичные ошибки при разработке инструкции — что проверяет РКН?

Анализ актов проверок РКН показывает три системных нарушения, которые выявляются вне зависимости от размера оператора.

Первое. Инструкция не актуализирована под действующую редакцию ФЗ-152. Документ, разработанный до введения ч. 3.1 ст. 21 (уведомление об утечке за 24 часа) или до вступления в силу ФЗ-156 от 24.06.2025 (требование к форме согласия), содержит устаревший функционал. РКН квалифицирует это как неисполнение обязанностей по ст. 18.1 ФЗ-152.

Второе. Инструкция принята, но приказа о назначении нет или приказ издан позднее инструкции. В этом случае документ юридически недействителен — нет субъекта, на которого возложены обязанности.

Третье. Перечень функций скопирован из шаблона и не соответствует реальной деятельности оператора. Если оператор передаёт обработку ПДн подрядчикам, а в инструкции нет функции контроля поручения по п. 3 ст. 6 ФЗ-152 — это пробел, который фиксируется в акте проверки.

Как должностная инструкция связана с другими документами ОРД?

Должностная инструкция по ст. 22.1 — один узел в системе из 38 документов комплекта ОРД. Без смежных документов она не обеспечивает защиту оператора при проверке.

Политика обработки ПДн (ст. 18.1 ФЗ-152) определяет цели, категории субъектов, правовые основания, сроки хранения. Ответственный по ст. 22.1 обязан следить за её актуальностью — это прямо указывается в инструкции.

Уведомление РКН (ст. 22 ФЗ-152, Приказ РКН №180) — основа реестра операторов. Ответственный контролирует соответствие реальной обработки заявленным целям и при расширении обработки инициирует актуализацию уведомления. Неуведомление РКН о намерении обрабатывать ПДн — штраф по ч. 10 ст. 13.11 КоАП в размере 100 000–300 000 ₽.

Согласия субъектов по ст. 9 ФЗ-152: с 01.09.2025 (ФЗ-156 от 24.06.2025) согласие оформляется отдельным документом и не встраивается в договор или трудовое соглашение. Ответственный контролирует соответствие формы согласия актуальным требованиям. Отсутствие согласия там, где оно требуется, — штраф по ч. 2 ст. 13.11 КоАП от 300 000 до 700 000 ₽.

Регламент реагирования на утечки определяет порядок действий в первые 24 часа после обнаружения инцидента по ч. 3.1 ст. 21 ФЗ-152. Ответственный — центральное звено этого регламента: он подаёт первичное уведомление в РКН, координирует расследование и направляет отчёт в течение 72 часов по Приказу РКН №187. Несвоевременное уведомление — штраф по ч. 11 ст. 13.11 КоАП от 1 000 000 до 3 000 000 ₽.

Матрица сценариев: когда инструкция не защищает оператора

Сценарий 1. Инструкция есть, но ответственный не обучен. Оператор розничной торговли (Центральный ФО, 2026 год) прошёл плановую проверку РКН. Инструкция ответственного по ст. 22.1 была оформлена корректно, однако назначенный сотрудник не смог ответить на вопрос инспектора о порядке уведомления об утечке. РКН зафиксировал это в акте, выдал предписание об организации обучения. В следующем квартале — внеплановая проверка исполнения предписания. Стратегия: включите в инструкцию раздел о квалификационных требованиях и обязанности ежегодного повышения квалификации; прикладывайте к пакету документов программу обучения или удостоверение.

Сценарий 2. Ответственный назначен, но функции не соответствуют масштабу обработки. IT-компания (Северо-Западный ФО, осень 2025 года) обрабатывала ПДн более 50 000 пользователей SaaS-сервиса. В инструкции ответственного не была прописана функция контроля поручения обработки ПДн облачному провайдеру. При утечке через подрядчика РКН предъявил претензии оператору со ссылкой на п. 3 ст. 6 ФЗ-152 и ненадлежащее исполнение обязанностей ответственным. Штраф составил несколько сотен тысяч рублей по ч. 1 ст. 13.11 КоАП. Стратегия: перечень функций в инструкции должен охватывать весь контур обработки — включая подрядчиков, облачные решения и трансграничные передачи.

Сценарий 3. Инструкция не актуализирована после 01.09.2025. Производственная компания (Приволжский ФО, осень 2025 года) не внесла в должностную инструкцию ответственного функцию контроля согласий в редакции ФЗ-156. При проверке РКН установил, что согласия работников по-прежнему включены в трудовые договоры. Ответственный не мог ссылаться на незнание нормы — его инструкция не предусматривала мониторинг изменений законодательства. Штраф по ч. 2 ст. 13.11 КоАП составил от 300 000 ₽. Стратегия: добавьте в инструкцию функцию мониторинга изменений ФЗ-152 и подзаконных актов РКН с периодичностью не реже одного раза в квартал.

Услуги DATUM по теме

• Комплект ОРД под ключ — 38 документов, включая инструкцию, политику, согласия, регламенты
• Аудит соответствия 152-ФЗ — проверка всего комплекта ОРД по чек-листу из 38 пунктов
• DPO-аутсорсинг — ответственный по ст. 22.1 на абонентской основе без штатной единицы

Частые вопросы

1. Какие документы должны быть у оператора ПДн?

Минимальный комплект ОРД включает: уведомление в реестре РКН по ст. 22 ФЗ-152, политику обработки ПДн по ст. 18.1, приказ о назначении ответственного и его должностную инструкцию по ст. 22.1, согласия субъектов по ст. 9 (в редакции ФЗ-156 с 01.09.2025 — отдельный документ), договоры поручения обработки с подрядчиками по п. 3 ст. 6, регламент реагирования на инциденты по ч. 3.1 ст. 21, журнал учёта обращений субъектов. Полный комплект — 38 документов. Отсутствие любого из обязательных — основание для штрафа по соответствующей части ст. 13.11 КоАП.

2. Как составить политику обработки ПДн?

Политика обработки ПДн по ст. 18.1 ФЗ-152 должна содержать: наименование и контакты оператора, цели обработки, правовые основания по ст. 6 ФЗ-152, перечень категорий субъектов и ПДн, порядок обработки, сроки хранения, права субъектов по ст. 14–22 ФЗ-152, порядок отзыва согласия, сведения о трансграничной передаче (если применимо). Документ публикуется на сайте оператора в открытом доступе — его отсутствие влечёт штраф по ч. 3 ст. 13.11 КоАП от 30 000 до 60 000 ₽. Копировать чужой шаблон без адаптации под конкретного оператора — недопустимо.

3. Кого назначить ответственным по ст. 22.1?

Закон не устанавливает конкретную должность. На практике назначают юриста, руководителя ИБ, HR-директора или заместителя генерального директора. Критерий выбора — наличие знаний в области защиты ПДн (ч. 4 ст. 22.1 ФЗ-152) и возможность оперативно реагировать на запросы РКН и субъектов. Для крупного оператора с объёмом обработки более 100 000 субъектов рекомендуется назначить лицо с юридическим образованием или профессиональной переподготовкой в области ПДн. Совмещение функции с основной должностью допустимо, но должно отражаться в трудовом договоре или дополнительном соглашении.

4. Можно ли использовать шаблон политики из интернета?

Шаблон из открытых источников можно использовать как основу, но не как готовый документ. Политика обработки ПДн по ст. 18.1 ФЗ-152 должна соответствовать реальной деятельности оператора: конкретным целям обработки, перечню субъектов, фактическим подрядчикам, применяемым информационным системам. РКН при проверке сравнивает содержание политики с фактической практикой обработки. Расхождение — нарушение принципа законности по ст. 5 ФЗ-152. Типичная ошибка: политика содержит ссылку на согласие как единственное основание обработки, тогда как в реальности оператор обрабатывает ПДн по иным основаниям ст. 6 ФЗ-152.

5. Какие согласия нужны после 01.09.2025?

С 01.09.2025 (ФЗ-156 от 24.06.2025) согласие на обработку ПДн оформляется отдельным документом — его нельзя включать в трудовой договор, оферту, политику конфиденциальности или любой другой составной документ. Обязательные реквизиты по ст. 9 ФЗ-152: ФИО и контакты субъекта, наименование оператора, цель обработки, перечень ПДн, перечень действий, срок действия и способ отзыва. Согласия, полученные до 01.09.2025 в составных документах, переоформлять не требуется — обратной силы поправки не имеют. Новые согласия с 01.09.2025 — только отдельным документом. За нарушение требований к форме согласия — штраф по ч. 2 ст. 13.11 КоАП от 300 000 до 700 000 ₽ для юрлица.

6. Что проверяет РКН при плановой проверке в части ст. 22.1?

Инспекторы РКН проверяют: наличие приказа о назначении ответственного с актуальной датой, наличие должностной инструкции с подписью ответственного об ознакомлении, соответствие инструкции текущей редакции ФЗ-152 (в том числе наличие функций по ч. 3.1 ст. 21 и ст. 9 в ред. ФЗ-156), фактическое исполнение ответственным своих функций — журнал обращений субъектов, переписка с РКН, внутренние проверки. Отсутствие хотя бы одного из этих документов — основание для протокола по ч. 1 ст. 13.11 КоАП.

Итог

Должностная инструкция ответственного по ст. 22.1 ФЗ-152 — не административная формальность, а рабочий документ, определяющий реальные полномочия и функции конкретного лица в системе защиты ПДн оператора. Документ защищает оператора при проверке РКН только в связке с остальным комплектом ОРД: политикой обработки, уведомлением в реестре, актуальными согласиями по ФЗ-156 и регламентом реагирования на инциденты.

Практика DATUM по взаимодействию с Роскомнадзором показывает: операторы, у которых инструкция актуализирована под действующую редакцию ФЗ-152 и подкреплена реальными журналами и согласиями, проходят проверки без предписаний. Операторы с формальным комплектом, не отражающим реальную обработку, получают акт с нарушениями вне зависимости от размера компании.

6 октября 2026 года