DPO-аутсорсинг под ключ от DATUM

С 01.09.2025 вступили в силу поправки по ФЗ-156 от 24.06.2025: согласие на обработку ПДн оформляется отдельным документом, не совмещается с договором или офертой. Требования к ОРД выросли. Юристы, которые ведут 152-ФЗ в одиночку внутри компании, сталкиваются с постоянно обновляемой нормативной базой, запросами субъектов и риском проверки РКН. DPO-аутсорсинг от DATUM закрывает этот участок полностью.

Кому подходит DPO-аутсорсинг от DATUM?

Услуга рассчитана на операторов ПДн, которым нужна системная работа по 152-ФЗ без содержания отдельного специалиста в штате. Типовые профили клиентов:

• средний и крупный бизнес с объёмом обработки ПДн от 5 000 субъектов — работники, клиенты, контрагенты;
• компании, получившие предписание РКН или плановую проверку на горизонте 6 месяцев;
• операторы, которые в 2024–2025 годах расширили цифровые каналы и не актуализировали ОРД;
• организации, где 152-ФЗ ведёт юрист общей практики без специализации в ПДн.

По ст. 22.1 ФЗ-152 оператор-юридическое лицо обязан назначить ответственного за организацию обработки персональных данных. Функцию можно передать внешнему лицу по договору — это прямо не запрещено законом. DATUM исполняет обязанности ответственного от имени оператора на основании договора поручения обработки по п. 3 ст. 6 ФЗ-152.

Что делает DPO DATUM в рамках абонентского обслуживания?

Состав абонентского обслуживания фиксируется в договоре. Стандартный пакет включает пять направлений:

• ОРД под контролем. Проверка актуальности и корректировка: политики конфиденциальности по ч. 2 ст. 18.1 ФЗ-152, согласий работников по ст. 9 ФЗ-152 в редакции ФЗ-156 (с 01.09.2025 — отдельный документ), приказа о назначении ответственного, регламента реагирования на инциденты.
• Реестр РКН. Контроль актуальности записи в реестре операторов по Приказу РКН №180; внесение изменений при расширении обработки или смене данных оператора (ст. 22 ФЗ-152).
• Запросы субъектов. Приём, квалификация и подготовка ответов на обращения субъектов ПДн в срок 10 рабочих дней по ст. 20 ФЗ-152 (с возможностью продления на 5 рабочих дней при уведомлении субъекта).
• Мониторинг изменений. Отслеживание поправок в ФЗ-152 и подзаконных актах РКН, ФСТЭК; своевременное уведомление оператора об изменениях, требующих обновления ОРД.
• Взаимодействие с РКН. Подготовка ответов на запросы Роскомнадзора, участие во внеплановых проверках в рамках отдельного соглашения.

Как работает DPO-аутсорсинг DATUM: пять шагов

• Шаг 1. Экспресс-диагностика (до 3 рабочих дней). Юрист DATUM анализирует текущий состав ОРД, реестр РКН, согласия. Фиксируется перечень несоответствий нормам, включая требования ст. 9 и ст. 18.1 ФЗ-152.
• Шаг 2. Формирование базового пакета ОРД. Дорабатываются или создаются с нуля: политика конфиденциальности, согласия по ФЗ-156, приказы, регламенты. Срок — до 10 рабочих дней.
• Шаг 3. Назначение ответственного. Оператор издаёт приказ о передаче функции DPO по ст. 22.1 ФЗ-152 на аутсорсинг DATUM. Уведомление РКН при необходимости — по Приказу РКН №180.
• Шаг 4. Абонентское ведение. Ежемесячно: контроль запросов субъектов, мониторинг изменений в законодательстве, актуализация ОРД при необходимости.
• Шаг 5. Квартальный отчёт. DATUM направляет оператору отчёт о состоянии комплаенса: выявленные риски, устранённые нарушения, рекомендации на следующий квартал.

Практика: как работает DPO-аутсорсинг в реальных ситуациях

Кейс 1. Производственная компания (Уральский ФО, лето 2025): юрист обнаружил, что согласия работников на обработку ПДн включены в текст трудовых договоров, а не оформлены отдельным документом. После 01.09.2025 это нарушение ч. 2 ст. 13.11 КоАП — штраф от 300 000 до 700 000 ₽ за каждый факт. DATUM в рамках DPO-аутсорсинга разработал новые формы согласий по требованиям ФЗ-156, организовал переподписание с действующими работниками за 15 рабочих дней, актуализировал реестр согласий.

Кейс 2. IT-компания (Центральный ФО, осень 2025): оператор расширил обработку ПДн — подключил новую CRM и сервис email-рассылок с трансграничной передачей данных. Реестр РКН не был обновлён в течение 6 месяцев. DPO DATUM выявил расхождение при ежемесячном мониторинге, подал уведомление об изменении сведений по Приказу РКН №180, обновил политику конфиденциальности. Проверка РКН по индикатору риска прошла без штрафа.

Услуги DATUM по теме

• DPO-аутсорсинг — абонентское ведение функции ответственного по ст. 22.1 ФЗ-152.
• Комплект ОРД под ключ — разработка полного пакета организационно-распорядительной документации.
• Аудит соответствия 152-ФЗ — проверка по чек-листу из 38 пунктов с планом устранения нарушений.

Частые вопросы

1. Какие документы должны быть у оператора ПДн?

Минимальный состав ОРД по ст. 18.1 ФЗ-152: политика обработки персональных данных с обязательными разделами по ч. 2 ст. 18.1, приказ о назначении ответственного по ст. 22.1, согласия субъектов по ст. 9 ФЗ-152, регламент реагирования на запросы субъектов и инциденты, перечень обрабатываемых ПДн по каждой цели. Отсутствие опубликованной политики — ч. 3 ст. 13.11 КоАП, штраф до 60 000 ₽. Полный пакет включает около 38 документов.

2. Как составить политику обработки ПДн?

Политика по ст. 18.1 ФЗ-152 должна содержать: наименование и контакты оператора, цели и правовые основания обработки по ст. 6 ФЗ-152, категории субъектов и состав ПДн, сроки хранения, порядок уничтожения, права субъектов и способы их реализации. Шаблоны из открытых источников, как правило, не учитывают специфику конкретного оператора и требования ФЗ-156 от 24.06.2025. DATUM разрабатывает политику под фактическую обработку оператора, а не под «образец».

3. Кого назначить ответственным по ст. 22.1 ФЗ-152?

Ответственным может быть штатный сотрудник или внешний исполнитель — закон не ограничивает форму. Требования к квалификации установлены ч. 4 ст. 22.1 ФЗ-152. При аутсорсинге оператор издаёт приказ о передаче функции и заключает договор с исполнителем. Ответственность оператора перед РКН при этом сохраняется — исполнитель действует от имени оператора.

4. Можно ли использовать шаблон политики из интернета?

Технически — да, но с высоким риском. Типовые шаблоны не отражают фактические цели и основания обработки конкретного оператора, не учитывают поправки ФЗ-156 от 24.06.2025 (отдельное согласие с 01.09.2025) и требования к локализации по ч. 5 ст. 18 ФЗ-152. При проверке РКН несоответствие политики фактической обработке — одно из первых оснований для протокола.

5. Какие согласия нужны после 01.09.2025?

По ФЗ-156 от 24.06.2025 с 01.09.2025 согласие на обработку ПДн оформляется отдельным документом — не вместе с трудовым договором, офертой или иным соглашением. Обязательные реквизиты по ст. 9 ФЗ-152: ФИО субъекта, контактные данные, наименование оператора, цель, перечень ПДн, перечень действий, срок, способ отзыва. Ранее полученные согласия, собранные в составе других документов, требуют оценки: обратной силы ФЗ-156 нет, но при проверке инспектор РКН оценивает текущую практику сбора согласий.

Итог

DPO-аутсорсинг решает задачу ст. 22.1 ФЗ-152 без найма отдельного специалиста: оператор получает назначенного ответственного, актуальную ОРД и контроль запросов субъектов в одном договоре. После поправок ФЗ-156 (01.09.2025) и роста числа проверок РКН в 2025–2026 годах этот инструмент стал частью базового комплаенса, а не опциональным решением.

Практика DATUM по 152-ФЗ работает с операторами средного и крупного бизнеса с 2014 года. Юристы практики сопровождали операторов через проверки РКН и арбитражные споры по ст. 13.11 КоАП.