Ответственный по 22.1 при реорганизации

Реорганизация — слияние, присоединение, разделение, выделение или преобразование — меняет правовую форму оператора, но не освобождает от требований ФЗ-152. Правопреемник обязан переоформить уведомление в реестре РКН, переиздать организационно-распорядительные документы и назначить ответственного по ст. 22.1 ФЗ-152 не позднее дня государственной регистрации нового юридического лица. Ниже — структура услуги DATUM по сопровождению этого процесса.

Кому подходит услуга по ст. 22.1 при реорганизации?

Услуга предназначена для юристов и правовых департаментов, которые сопровождают корпоративные преобразования и отвечают за соответствие ФЗ-152 в переходный период. Типичные ситуации:

• Слияние двух компаний — операторов ПДн: нужно определить, чья запись в реестре РКН остаётся, кто становится ответственным по ст. 22.1 и как переоформить согласия субъектов.
• Выделение нового юридического лица: правопреемник не входит в реестр автоматически — требуется новое уведомление по ст. 22 ФЗ-152 через Приказ РКН №180 от 28.10.2022.
• Присоединение дочерней структуры: оставшееся юридическое лицо проверяет актуальность своей записи в реестре и переиздаёт ОРД под обновлённый состав обрабатываемых данных.

Услуга также применима при смене наименования, ИНН или организационно-правовой формы без полной реорганизации — в этих случаях оператор обязан подать уведомление об изменении сведений в РКН.

Что именно требует ст. 22.1 ФЗ-152 при реорганизации?

Статья 22.1 ФЗ-152 обязывает каждого оператора-юридическое лицо назначить лицо, ответственное за организацию обработки персональных данных. Требования к квалификации этого лица закреплены в ч. 4 ст. 22.1. При реорганизации возникают три юридически значимых момента:

• До регистрации правопреемника: реорганизуемое юридическое лицо обязано сохранять действующий приказ о назначении ответственного и актуальную политику обработки ПДн по ч. 2 ст. 18.1 ФЗ-152.
• В день регистрации: правопреемник издаёт приказ о назначении ответственного на новое юридическое лицо. Назначение задним числом — нарушение.
• В течение 30 дней после регистрации: правопреемник направляет уведомление об изменении сведений или новое уведомление о намерении обрабатывать ПДн в РКН по форме Приказа РКН №180. Неподача в срок — штраф по ч. 10 ст. 13.11 КоАП от 100 000 до 300 000 ₽.

Дополнительно: если при реорганизации меняется состав обрабатываемых категорий ПДн или появляются новые цели обработки, потребуется переоформление согласий субъектов по ст. 9 ФЗ-152. С 01.09.2025 согласие — отдельный документ с обязательными реквизитами (ФЗ-156 от 24.06.2025). Объединять согласие с договором или политикой конфиденциальности с этой даты запрещено.

Как DATUM сопровождает назначение ответственного по ст. 22.1?

Работа строится в пять этапов:

• Этап 1. Диагностика текущего состояния ОРД (до 3 рабочих дней). Юрист DATUM проверяет запись в реестре РКН, действующий приказ о назначении ответственного, политику обработки ПДн, перечень обрабатываемых категорий — и фиксирует расхождения с фактической деятельностью после реорганизации.
• Этап 2. Разработка пакета ОРД под правопреемника. Готовятся приказ о назначении ответственного по ст. 22.1, обновлённая политика обработки ПДн по ст. 18.1, перечень ИСПДн, регламент реагирования на запросы субъектов. При необходимости — новые формы согласий по требованиям ФЗ-156.
• Этап 3. Подготовка уведомления в РКН. Формируется пакет по Приказу РКН №180 от 28.10.2022: уведомление о намерении обрабатывать (если правопреемник — новое юридическое лицо) или уведомление об изменении сведений. Подача через pd.rkn.gov.ru с УКЭП.
• Этап 4. DPO-аутсорсинг или передача функции штатному сотруднику. DATUM берёт функцию ответственного по ст. 22.1 на абонентское обслуживание либо готовит штатного юриста к исполнению обязанностей и передаёт методику ответов на запросы субъектов (срок — 10 рабочих дней по ст. 20 ФЗ-152).
• Этап 5. Сопровождение в течение переходного периода (3–6 месяцев). Контроль актуальности реестровой записи, обновление ОРД при изменении структуры обработки, консультации по новым основаниям обработки, возникающим после завершения реорганизации.

Типовые ситуации при реорганизации: что идёт не так?

Ситуация 1. Слияние двух операторов — реестровые записи обоих. Компании А и Б вносили уведомления в реестр РКН раздельно. После слияния в реестре остаётся запись только одного из них. Правопреемник в течение 30 дней не подаёт уведомление об изменении сведений. РКН при плановой проверке фиксирует расхождение: фактический состав обрабатываемых данных шире заявленного. Основание для протокола по ч. 1 ст. 13.11 КоАП — штраф от 150 000 до 300 000 ₽. Стратегия: до регистрации слияния определить, чья запись остаётся основной, и в день регистрации подать уведомление об изменении с актуальным перечнем.

Ситуация 2. Выделение нового юридического лица без ОРД. Из материнской компании выделяется дочерняя структура, которой передаётся клиентская база. Дочерняя компания начинает обработку ПДн без уведомления РКН и без назначенного ответственного по ст. 22.1. Через 4 месяца — жалоба субъекта. РКН проверяет дочернюю структуру: отсутствие уведомления — ч. 10 ст. 13.11 (100 000–300 000 ₽), отсутствие приказа о назначении ответственного — ч. 3 ст. 13.11 (30 000–60 000 ₽). Стратегия: включить подготовку ОРД для выделяемой компании в план реорганизации с датой завершения — не позже дня государственной регистрации.

Ситуация 3. Смена наименования без уведомления РКН. Компания меняет фирменное наименование в рамках преобразования. Запись в реестре РКН остаётся на старое наименование. При проверке инспектор фиксирует несоответствие: политика конфиденциальности на сайте указывает новое наименование, реестровая запись — старое. Основание для предписания об устранении. Стратегия: в течение 10 рабочих дней после регистрации нового наименования подать уведомление об изменении сведений через Приказ РКН №180.

Услуги DATUM по теме

• DPO-аутсорсинг — функция ответственного по ст. 22.1 на абонентском обслуживании.
• Комплект ОРД под ключ — пакет документов для правопреемника от политики до журналов.
• Аудит соответствия 152-ФЗ — проверка актуальности ОРД и реестровой записи после реорганизации.

Частые вопросы

1. Какие документы должны быть у оператора ПДн после реорганизации?

Правопреемник обязан иметь: уведомление в реестре РКН на новое юридическое лицо, приказ о назначении ответственного по ст. 22.1 ФЗ-152, политику обработки ПДн с разделами по ч. 2 ст. 18.1 ФЗ-152, перечень обрабатываемых категорий ПДн, формы согласий субъектов по ст. 9 ФЗ-152 (с 01.09.2025 — отдельный документ по ФЗ-156), регламент реагирования на запросы субъектов и журнал учёта обращений.

2. Как составить политику обработки ПДн для правопреемника?

Политика должна соответствовать требованиям ч. 2 ст. 18.1 ФЗ-152: указывать наименование оператора, цели обработки, правовые основания по ст. 6 ФЗ-152, категории субъектов и ПДн, перечень третьих лиц — получателей данных, порядок уничтожения. Использовать шаблон из интернета без адаптации под фактическую деятельность рискованно: несоответствие реальной обработке — основание для штрафа по ч. 3 ст. 13.11 КоАП (30 000–60 000 ₽ за ненадлежащую публикацию).

3. Кого назначить ответственным по ст. 22.1 при реорганизации?

Ответственным назначается работник оператора или внешний исполнитель по договору аутсорсинга. Требования к квалификации — ч. 4 ст. 22.1 ФЗ-152. При реорганизации назначение должно состояться не позже дня государственной регистрации правопреемника. Оптимальное решение в переходный период — DPO-аутсорсинг: позволяет закрыть требование немедленно без поиска штатного специалиста.

4. Можно ли использовать шаблон политики из интернета?

Шаблон допустим как отправная точка, но не как итоговый документ. РКН проверяет соответствие политики фактической деятельности оператора: если в политике указаны цели, которых нет в реальности, или не указаны те, что есть — это нарушение ст. 18.1 ФЗ-152. Для правопреемника особенно важно: политика должна отражать состав ПДн, перешедших от реорганизованного юридического лица.

5. Какие согласия нужны после 01.09.2025 при смене оператора?

С 01.09.2025 по ФЗ-156 от 24.06.2025 согласие на обработку ПДн — отдельный документ с обязательными реквизитами по ст. 9 ФЗ-152: наименование оператора, цель, перечень ПДн, перечень действий, срок, способ отзыва. При реорганизации, если меняется наименование оператора или цели обработки, ранее полученные согласия утрачивают юридическую силу — требуется переоформление. Согласия, полученные до 01.09.2025 с корректными реквизитами, обратной силы не теряют, если наименование оператора не изменилось.

Итог

Реорганизация оператора ПДн — это корпоративное событие, которое автоматически влечёт обязанности по ФЗ-152: переоформление реестровой записи, назначение ответственного по ст. 22.1, обновление ОРД и при необходимости согласий субъектов. Пропуск любого из этих шагов создаёт открытое основание для штрафа: от 30 000 ₽ за ненадлежащую политику до 300 000 ₽ за неуведомление РКН.

DATUM сопровождает переходный период в части ФЗ-152: от диагностики ОРД до подачи уведомления в РКН и абонентского DPO-аутсорсинга для правопреемника.

4 декабря 2026 года