Реорганизация в форме присоединения и ПДн
Реорганизация в форме присоединения переносит права и обязанности оператора ПДн к правопреемнику в силу универсального правопреемства. Роскомнадзор при этом не обновляет записи реестра автоматически — оператор уведомляет регулятора самостоятельно. Новые требования к согласиям, вступившие в силу с 01.09.2025 (ФЗ-156 от 24.06.2025), усложняют процедуру: согласия субъектов, собранные присоединяемым обществом, могут не соответствовать действующим реквизитам. В этой инструкции — семь последовательных шагов, которые юрист обязан выполнить в ходе реорганизации.
Шаг 1. Инвентаризируйте базы ПДн присоединяемого оператора
До подачи заявления о реорганизации в налоговый орган составьте реестр информационных систем присоединяемого общества. Задокументируйте: категории ПДн (общие, специальные по ст. 10 ФЗ-152, биометрические по ст. 11), число субъектов, цели обработки, правовые основания по ст. 6 ФЗ-152, сроки хранения, наличие передачи третьим лицам и трансграничной передачи по ст. 12 ФЗ-152.
Сопоставьте фактическую обработку с уведомлением, которое присоединяемое общество ранее подало в РКН. Расхождения — потенциальный состав по ч. 1 ст. 13.11 КоАП: обработка в случаях, не заявленных оператором. Документом этого шага служит реестр ИСПДн с описанием каждой системы.
Шаг 2. Проверьте ОРД присоединяемого общества на соответствие действующим нормам
По ст. 18.1 ФЗ-152 оператор обязан иметь политику обработки ПДн с содержанием, установленным ч. 2 той же статьи: цели, правовые основания, категории субъектов и ПДн, сроки хранения, порядок уничтожения. Проверьте политику присоединяемого общества по этому перечню.
Дополнительно проверьте: приказ о назначении ответственного по ст. 22.1 ФЗ-152, перечень ИСПДн, инструкции для работников, регламент реагирования на обращения субъектов, журнал учёта запросов субъектов. Если документы отсутствуют или устарели, их нужно разработать до перехода правопреемнику.
Не знаете, чего не хватает в ОРД присоединяемой компании?
Юрист DATUM проведёт аудит документации присоединяемого общества по чек-листу из 38 пунктов. Получите отчёт с перечнем недостающих документов и оценкой рисков до завершения реорганизации. Срок на устранение замечаний сократится — до закрытия сделки, а не после претензии РКН.
Заказать аудит 152-ФЗОтветим за 2 часа · +7 (983) 510-38-76 · info@vitveteam.ru · Telegram
Какие согласия субъектов подлежат переоформлению после 01.09.2025?
Шаг 3. Проверьте согласия субъектов на соответствие ФЗ-156 от 24.06.2025
С 01.09.2025 согласие на обработку ПДн по ст. 9 ФЗ-152 оформляется отдельным документом и не может включаться в текст договора, оферты или политики конфиденциальности. ФЗ-156 от 24.06.2025 установил это требование без обратной силы: согласия, полученные до 01.09.2025 и включённые в состав иных документов, считаются действительными до истечения срока или отзыва.
Тем не менее при реорганизации следует провести аудит согласий присоединяемого общества. Если согласие не содержит обязательных реквизитов (наименование оператора-правопреемника, цель, перечень ПДн, перечень действий, срок, способ отзыва), оно является ненадлежащим основанием для продолжения обработки. Правопреемник, продолжающий обработку на основании такого согласия, совершает нарушение по ч. 2 ст. 13.11 КоАП — штраф 300–700 тыс. ₽.
После регистрации правопреемника: получить от субъектов новые согласия с указанием правопреемника в качестве оператора либо убедиться, что основание обработки — не согласие (исполнение договора, закон и т. д.).
Как уведомить Роскомнадзор при реорганизации в форме присоединения?
Шаг 4. Подайте уведомление об изменении сведений в РКН
Ст. 22 ФЗ-152 обязывает оператора уведомлять РКН не только о намерении обрабатывать ПДн, но и об изменении ранее сообщённых сведений. Форма уведомления об изменении сведений — Приказ РКН №180 от 28.10.2022, подача через pd.rkn.gov.ru с использованием УКЭП или ЕСИА.
Алгоритм: после внесения записи в ЕГРЮЛ правопреемник в течение 10 рабочих дней подаёт уведомление об изменении сведений с новым наименованием, ИНН, адресом, ОГРН. Если присоединяемое общество обрабатывало ПДн по видам, не указанным в уведомлении правопреемника, — правопреемник одновременно подаёт уведомление о намерении обрабатывать дополнительные категории. Записи обоих обществ в реестре не объединяются автоматически: запись присоединяемого общества погашается уведомлением о прекращении обработки.
Шаг 5. Назначьте нового ответственного по ст. 22.1 ФЗ-152
Ст. 22.1 ФЗ-152 обязывает оператора-юрлицо назначить лицо, ответственное за организацию обработки ПДн. При реорганизации приказ присоединяемого общества утрачивает силу с момента ликвидации юрлица. Правопреемник должен издать собственный приказ о назначении ответственного.
Ответственный по ст. 22.1 — это не обязательно штатный специалист по ИБ; закон не устанавливает квалификационных требований, только требования к организационным полномочиям. Функцию можно передать на DPO-аутсорсинг. Сведения об ответственном включаются в уведомление РКН по Приказу №180.
Если правопреемник не назначил ответственного по ст. 22.1 ФЗ-152 в течение 10 рабочих дней после регистрации — это отдельное основание для предписания РКН. Юристы DATUM подключат DPO-аутсорсинг с первого рабочего дня правопреемника.
Подключить DPO-аутсорсШаг 6. Переоформите договоры поручения обработки
Если присоединяемое общество передавало ПДн на обработку третьим лицам (подрядчики, облачные провайдеры, кадровые агентства), по п. 3 ст. 6 ФЗ-152 такая передача осуществляется только на основании договора. Договоры, заключённые от имени присоединяемого общества, переходят к правопреемнику по универсальному правопреемству, но это не обновляет наименование оператора в договоре.
На практике: контрагенты-обработчики ПДн нередко возражают против автоматической замены стороны, особенно если договор содержал согласование с конкретным субъектом персональных данных. Рекомендуется заключить дополнительные соглашения к каждому договору поручения с указанием правопреемника как нового оператора.
Шаг 7. Актуализируйте политику конфиденциальности и внутренние регламенты
Политика обработки ПДн правопреемника должна отражать фактическую обработку с учётом баз присоединённого общества. По ст. 18.1 ФЗ-152 оператор обеспечивает неограниченный доступ к политике — публикацию на сайте. После реорганизации необходимо: обновить наименование оператора в политике, скорректировать цели и правовые основания, добавить виды обработки, унаследованные от присоединённого общества, обновить сроки хранения.
Одновременно актуализируйте: уведомление РКН (шаг 4), приказы о назначении ответственного (шаг 5), инструкции для работников — в первую очередь тех, кто перешёл от присоединённого общества и ранее работал по другим регламентам.
Что подготовить юристу при реорганизации в форме присоединения
- Реестр ИСПДн присоединяемого общества с категориями ПДн, числом субъектов и правовыми основаниями по ст. 6 ФЗ-152
- Аудит действующего ОРД присоединяемого общества: политика по ст. 18.1, согласия по ст. 9 (проверка на соответствие требованиям ФЗ-156 от 24.06.2025), приказ по ст. 22.1
- Уведомление об изменении сведений в РКН по Приказу №180 — не позднее 10 рабочих дней после записи в ЕГРЮЛ
- Приказ о назначении ответственного по ст. 22.1 ФЗ-152 правопреемника + обновление уведомления в РКН
- Дополнительные соглашения к договорам поручения обработки по п. 3 ст. 6 ФЗ-152 с заменой стороны-оператора
Типовые ситуации: как ошибки при реорганизации становятся штрафами
Ситуация 1. Правопреемник торговой сети (Приволжский ФО, осень 2025) не уведомил РКН об изменении наименования и адреса в течение 10 рабочих дней после завершения реорганизации. Плановая проверка РКН через три месяца выявила несоответствие реестра и фактических сведений. Протокол — по ч. 10 ст. 13.11 КоАП. Штраф — в диапазоне 100–300 тыс. ₽. Смягчающим обстоятельством суд признал устранение нарушения до рассмотрения дела.
Ситуация 2. IT-компания (Центральный ФО, начало 2026) при присоединении дочернего общества унаследовала базу клиентов с согласиями, в которых оператором было указано присоединяемое юрлицо. После реорганизации продолжила рассылку без переоформления согласий. Субъект обратился с жалобой в РКН. Проверка установила обработку без надлежащего основания по ст. 9 ФЗ-152 в редакции ФЗ-156. Протокол по ч. 2 ст. 13.11 КоАП — штраф для юрлица 300–700 тыс. ₽. Компания оспорила постановление, применив ст. 4.1.1 КоАП, однако смягчение не было применено: состав ч. 2 не входит в перечень для замены предупреждением по категории нарушения.
Услуги DATUM по теме
- Аудит соответствия 152-ФЗ — проверка ОРД и уведомления в реестре РКН по 38 контрольным точкам
- Комплект ОРД под ключ — разработка и актуализация политики, согласий, приказов под правопреемника
- DPO-аутсорсинг — функция ответственного по ст. 22.1 ФЗ-152 с первого дня работы правопреемника
Частые вопросы
1. Какие документы должны быть у оператора ПДн после завершения реорганизации?
Правопреемник обязан иметь: уведомление в реестре РКН по ст. 22 ФЗ-152 с актуальными сведениями, политику обработки ПДн по ст. 18.1 ФЗ-152, приказ о назначении ответственного по ст. 22.1 ФЗ-152, согласия субъектов по ст. 9 ФЗ-152 с реквизитами действующего оператора, договоры поручения обработки по п. 3 ст. 6 ФЗ-152, инструкции для работников и журнал учёта обращений субъектов. Реестр ИСПДн фиксирует фактическую обработку — он нужен при проверке РКН.
2. Как составить политику обработки ПДн для правопреемника?
Структура политики определена ч. 2 ст. 18.1 ФЗ-152: цели и правовые основания обработки, категории субъектов и ПДн, порядок передачи третьим лицам, описание применяемых мер защиты, сроки хранения и уничтожения. После реорганизации политику составляют на основе реестра ИСПДн правопреемника с учётом унаследованных баз. Политика должна быть опубликована на сайте или иным образом обеспечивать неограниченный доступ субъектов.
3. Кого назначить ответственным по ст. 22.1 ФЗ-152?
Закон не устанавливает квалификационных требований к ответственному за организацию обработки ПДн. Это может быть штатный юрист, специалист по ИБ или внешний аутсорсер. Главное — наличие организационных полномочий и фиксация в приказе. Сведения об ответственном указываются в уведомлении РКН по Приказу №180. При реорганизации приказ присоединённого общества прекращает действие; правопреемник издаёт собственный приказ.
4. Можно ли использовать шаблон политики из интернета?
Нет, если шаблон не отражает фактическую обработку. Отсутствие в политике реальных категорий ПДн или правовых оснований создаёт состав по ч. 1 ст. 13.11 КоАП (обработка в случаях, не предусмотренных законом или несовместимая с заявленными целями). Типовой шаблон допустимо использовать как основу, дополнив конкретными сведениями по ст. 18.1 ФЗ-152. РКН при проверке сверяет политику с фактической обработкой.
5. Какие согласия нужны после 01.09.2025 при реорганизации?
С 01.09.2025 по ФЗ-156 от 24.06.2025 согласие на обработку ПДн оформляется отдельным документом — не в составе договора, оферты или политики. При реорганизации согласия, полученные присоединённым обществом до 01.09.2025, сохраняют силу до истечения срока или отзыва. Новые согласия, которые правопреемник будет получать с 01.09.2025, должны соответствовать обновлённым требованиям ст. 9 ФЗ-152: содержать наименование правопреемника как оператора, конкретные цели и перечень обрабатываемых ПДн.
6. Что делать, если правопреемник пропустил срок уведомления РКН?
Нарушение срока (10 рабочих дней по ст. 22 ФЗ-152) образует состав по ч. 10 ст. 13.11 КоАП — штраф 100–300 тыс. ₽. Если нарушение ещё не выявлено регулятором: устранить нарушение немедленно, подать уведомление, зафиксировать дату подачи. Добровольное устранение до составления протокола суды рассматривают как смягчающее обстоятельство. При первичном нарушении для субъектов малого и среднего предпринимательства возможна замена штрафа предупреждением по ст. 4.1.1 КоАП, если отсутствует причинённый вред.
Итог
Реорганизация в форме присоединения не прерывает обязанности оператора ПДн: правопреемник принимает весь объём требований ФЗ-152 с момента регистрации. Семь шагов — инвентаризация, аудит ОРД, проверка согласий, уведомление РКН, назначение ответственного, переоформление договоров поручения и актуализация политики — образуют последовательность, которую юрист обязан выполнить в рамках правовой поддержки сделки.
DATUM сопровождает реорганизации в части ФЗ-152: проводит аудит присоединяемого оператора, разрабатывает ОРД для правопреемника, обеспечивает функцию ответственного по ст. 22.1 на DPO-аутсорсинге и подаёт уведомления в РКН в установленные сроки.
22 ноября 2026 года