Ответственный по 22.1 без юридического образования

Назначение ответственного по ст. 22.1 ФЗ-152 — формальное требование для каждого оператора-юрлица. Закон не предъявляет к этому лицу требований наличия юридического диплома или сертификатов по ИБ. Требования — организационные: понимать процессы обработки, уметь взаимодействовать с субъектами и регулятором, обеспечивать актуальность документов. На практике это превращается в проблему: ни IT-специалист, ни кадровик, ни юрист общего профиля не всегда готовы системно вести эту функцию в связке с нормами 152-ФЗ.

Кому подходит эта услуга?

Услуга актуальна для компаний, у которых есть формальная обязанность по ст. 22.1, но нет выделенного специалиста. Типичные ситуации: юрист ведёт весь корпоративный блок и не погружён в 152-ФЗ, HR-директор назначен ответственным без понимания требований, IT-руководитель закрывает техническую часть, но не ОРД и согласия. Под это описание попадает большинство операторов среднего бизнеса.

Закон не запрещает назначать ответственным сотрудника без профильного образования. Риск возникает не из-за отсутствия диплома, а из-за того, что человек не знает, что именно должна содержать политика обработки по ч. 2 ст. 18.1 ФЗ-152, когда подавать уведомление по Приказу РКН № 180, и как правильно оформить согласия после изменений ФЗ-156 от 24.06.2025 с 01.09.2025.

Что делает DATUM в рамках DPO-аутсорсинга по ст. 22.1?

DATUM берёт на себя функцию ответственного за организацию обработки ПДн на условиях абонентского обслуживания. Это не консультация разового характера — это закрытие позиции в организационной структуре оператора с фиксацией в приказе и документах ОРД.

Конкретный состав работ по пяти направлениям:

• Назначение и оформление. Подготовка приказа о назначении, должностной инструкции, соглашения о конфиденциальности — все документы соответствуют ч. 1 ст. 22.1 и ст. 18.1 ФЗ-152.
• Политика обработки ПДн. Актуализация или разработка с нуля: обязательные разделы по ч. 2 ст. 18.1, публикация на сайте, контроль соответствия реальным процессам обработки.
• Согласия субъектов. Проверка и переоформление по требованиям ФЗ-156 от 24.06.2025 — с 01.09.2025 согласие оформляется отдельным документом, не интегрируется в договор или оферту.
• Уведомление РКН. Подача и актуализация уведомлений через портал pd.rkn.gov.ru по форме Приказа РКН № 180 от 28.10.2022. Контроль актуальности записи в реестре операторов.
• Ответы субъектам. Обработка входящих запросов в течение 10 рабочих дней по ст. 20 ФЗ-152, формирование ответов, ведение журнала обращений.

Как выстроен процесс работы?

Работа строится в пять этапов — от диагностики до текущего сопровождения.

Как выглядит это в практике операторов?

Кейс 1. Юридическая служба торговой компании (Сибирский ФО, начало 2026) назначила ответственным по ст. 22.1 главного юриста. Политика конфиденциальности на сайте не обновлялась с 2021 года, согласия работников находились в трудовых договорах. При плановой проверке РКН выявлено несоответствие политики требованиям ч. 2 ст. 18.1 и отсутствие раздельных согласий по ФЗ-156. Штраф по ч. 3 ст. 13.11 назначен в нижнем диапазоне — 30 000 ₽; потребовалось устранить нарушения в течение 30 дней. После подключения DPO-аутсорсинга пакет ОРД приведён в соответствие за две недели.

Кейс 2. IT-компания (Центральный ФО, конец 2025) не включила сведения об ответственном лице в уведомление, поданное через pd.rkn.gov.ru. Уведомление принято, но запись в реестре не соответствовала фактическим процессам обработки. При внеплановой проверке, инициированной жалобой субъекта, зафиксировано два нарушения — по ч. 3 и ч. 4 ст. 13.11. Привлечение юристов до вынесения постановления позволило подготовить корректирующие документы и снизить итоговый штраф.

Услуги DATUM по теме

• DPO-аутсорсинг — ответственный по ст. 22.1 на абонентском обслуживании от 30 000 ₽/мес.
• Комплект ОРД под ключ — 38 документов: политика, согласия, приказы, журналы.
• Аудит соответствия 152-ФЗ — проверка по чек-листу из 38 пунктов с приоритизированным планом устранения.

Частые вопросы

1. Кого назначить ответственным по ст. 22.1?

Ст. 22.1 ФЗ-152 не устанавливает требования к образованию или должности. Ответственным может быть любой сотрудник — при условии, что он фактически организует процессы обработки ПДн: ведёт ОРД, взаимодействует с субъектами и РКН, отслеживает изменения законодательства. На практике это чаще юрист, HR-директор или руководитель ИБ — но не формально, а с реальными полномочиями и ресурсами. Альтернатива — DPO-аутсорсинг: внешний специалист юридически становится ответственным лицом.

2. Какие документы должны быть у оператора ПДн?

Минимальный обязательный пакет по ФЗ-152: политика обработки ПДн с публикацией на сайте (ст. 18.1), уведомление в РКН по Приказу РКН № 180 (ст. 22), приказ о назначении ответственного (ст. 22.1), согласия субъектов с обязательными реквизитами по ст. 9 ФЗ-152, регламент ответов на запросы субъектов (ст. 20), журнал обращений. С 01.09.2025 согласия оформляются отдельным документом по ФЗ-156 от 24.06.2025 — не включаются в договор или оферту.

3. Как составить политику обработки ПДн?

Политика должна соответствовать ч. 2 ст. 18.1 ФЗ-152 и содержать: цели обработки, категории субъектов и ПДн, правовые основания, перечень действий с ПДн, порядок уничтожения, сведения об ответственном лице, меры защиты. Документ публикуется на официальном сайте оператора в открытом доступе. Шаблон из интернета без адаптации под конкретные процессы компании не соответствует требованиям — это частая причина замечаний при проверках РКН.

4. Какие согласия нужны после 01.09.2025?

С 01.09.2025 по ФЗ-156 от 24.06.2025 согласие на обработку ПДн оформляется отдельным документом — не интегрируется в трудовой договор, оферту или пользовательское соглашение. Обязательные реквизиты по ст. 9 ФЗ-152: ФИО субъекта, контактные данные, наименование оператора, цель, перечень ПДн, перечень действий, срок, способ отзыва. Ранее полученные согласия переоформлять не требуется — обратной силы у ФЗ-156 нет. Новые согласия с 01.09.2025 должны соответствовать обновлённым требованиям.

Итог

Ответственный по ст. 22.1 без юридического образования — законная и распространённая практика. Проблема не в дипломе, а в системном ведении функции: актуальная ОРД, корректные согласия, своевременные уведомления РКН, ответы субъектам в срок. Когда эта функция ведётся формально — риск штрафа при проверке РКН становится реальным.

DATUM сопровождает операторов по 152-ФЗ в режиме DPO-аутсорсинга: закрывает позицию ответственного юридически и фактически, актуализирует документы под изменения законодательства, включая ФЗ-156 от 24.06.2025.

17 февраля 2027 года