Комплект документов по защите персональных данных и ИБ для компании в Херсоне

Ваша компания в Херсоне обрабатывает персональные данные клиентов и сотрудников: CRM, 1С, сайт, кадровый учёт. При плановой или внеплановой проверке РКН, при запросе от крупного заказчика или при инциденте нужно показать не «мы всё соблюдаем», а конкретный комплект документов: политики, положения, приказы, регламенты, журналы. Без них даже технически защищённая система не снимает юридические риски.

Из статьи вы узнаете: какие документы по ИБ и ПДн обязательны именно для коммерческой компании, что относится к рекомендациям, кто утверждает и контролирует, как подготовить комплект без лишних затрат и что грозит, если документов нет.

Какие документы по ИБ обязательны: коммерческая компания — оператор ПДн

Для обычной коммерческой организации, не являющейся государственной информационной системой и не входящей в перечень субъектов КИИ, основной нормативный блок — это 152-ФЗ «О персональных данных», Трудовой кодекс и подзаконные акты. Ниже — таблица с честным разделением «обязательно по норме» и «рекомендуется практикой».

Важно: отдельного штрафа «за отсутствие локальных актов» в КоАП нет. Прямая санкция есть только за неопубликованную политику — 30–60 тыс. ₽ для юридических лиц (ч. 3 ст. 13.11). Однако на практике РКН может квалифицировать отсутствие документов как обработку с нарушением закона по ч. 1 ст. 13.11 со штрафом 150–300 тыс. ₽. Поэтому комплект — это способ избежать спора о законности обработки.

Состав комплекта для вашей организации

Ниже — типовой набор, который мы адаптируем под процессы конкретной компании. Не все документы обязательны для каждой организации, но вместе они закрывают требования 152-ФЗ, ТК РФ и дают основу для внутреннего контроля.

Кто проверяет и что смотрят

Для коммерческой организации, обрабатывающей ПДн, основной контролирующий орган — Роскомнадзор (РКН). Он проверяет выполнение ст. 18.1 и 22.1 152-ФЗ, то есть именно документы. ФСТЭК контролирует государственные информационные системы, объекты КИИ и лицензиатов; ЦБ — финансовые организации. Если ваша компания не относится к этим категориям, прямых проверок ФСТЭК не будет, но технические меры всё равно нужно поддерживать для снижения риска утечек и претензий со стороны РКН.

Типовые вопросы и запросы при проверке РКН:

• Опубликована ли политика обработки ПДн на сайте, где собираются данные? Соответствует ли она фактическим процессам?
• Есть ли приказ о назначении ответственного за организацию обработки ПДн? Каковы его обязанности?
• Как работники ознакомлены с локальными актами по ПДн? Есть ли листы ознакомления?
• Как подтверждается уничтожение ПДн по достижении целей? Есть ли акты или выгрузки из журнала?
• Все ли согласия оформлены отдельными формами? Не включены ли они пунктом в договор?
• Ведётся ли учёт лиц, допущенных к ПДн, и машинных носителей?

Как мы готовим комплект

Работаем дистанционно по всей России, в том числе с компаниями из Херсона. Сначала вы заполняете опросный лист (DOCX): сведения о деятельности, целях обработки ПДн, системах, сотрудниках, контрагентах. При необходимости проводим короткий созвон. Дальше специалист адаптирует документы под ваши процессы, а не отдаёт пустой шаблон. Утверждает документы руководитель вашей организации.

Если вашей организации требуется техническая часть — модель угроз, акт определения уровня защищённости, инструкции по средствам защиты — мы действуем в двух форматах: методическое сопровождение (шаблон, указания, консультации, проверка; документ готовит и утверждает ваш специалист) или через партнёра-лицензиата ФСТЭК, если работы относятся к лицензируемой деятельности (например, для ГИС, КИИ, банков). Это честный подход, который не нарушает требования законодательства.

Особенности, о которых забывают

• ✓ Связь с моделью угроз и уровнем защищённости: если установлен 4-й УЗ, обязателен приказ с перечнем лиц, допущенных к ПДн; для 3-го — назначается ответственный за безопасность ПДн в ИС. Документы должны соответствовать фактическому уровню, а не «на всякий случай».
• ✓ Что реально смотрит РКН: в первую очередь — опубликована ли политика, есть ли согласия отдельными формами, назначен ли ответственный, как подтверждаете уничтожение. Технические меры для коммерческих ИСПДн РКН не контролирует (ч. 8 ст. 19 152-ФЗ).
• ✓ Политика ПДн ≠ политика ИБ: первая обязательна и публикуется, вторая — внутренний документ для сотрудников. Не путайте при подготовке.
• ✓ Согласие теперь отдельный документ: с 01.09.2025 нельзя включать согласие пунктом в договор или анкету. Нужна отдельная форма, которую субъект подписывает.
• ✓ Удалённая работа и подрядчики: не забудьте регламент удалённого доступа и поручения на обработку ПДн для контрагентов (ч. 3 ст. 6 152-ФЗ). Подробнее об услугах по ПДн — здесь.

Разбор на примере: производственно-торговая компания на 120 сотрудников

Что будет без документов

Ответственность по КоАП за нарушения в области ПДн прописана в ст. 13.11. Прямого штрафа «за отсутствие локальных актов» нет, но есть реальные составы:

• Неопубликованная политика ПДн — ч. 3 ст. 13.11: юрлица 30–60 тыс. ₽ (должностные лица 6–12 тыс., ИП 10–20 тыс.).
• Обработка ПДн без правовых оснований или несовместимая с целями — ч. 1 ст. 13.11: юрлица 150–300 тыс. ₽. Сюда на практике могут квалифицировать грубое отсутствие документов.
• Обработка без письменного согласия — ч. 2 ст. 13.11: юрлица 300–700 тыс. ₽.
• Утечка ПДн — ч. 12–18 ст. 13.11: от 3 млн до 20 млн ₽, повторно — оборотные штрафы 1–3% выручки (не менее 20 млн и не более 500 млн ₽).
• Разглашение коммерческой тайны — ст. 13.14 КоАП: юрлица 100–200 тыс. ₽, должностные лица — до 50 тыс. или дисквалификация до 3 лет.

Кроме штрафов, без документов сложно защищаться в суде: при утечке вы не докажете, что приняли меры; при споре с работником об увольнении за разглашение (ст. 81 ТК РФ) не подтвердите, что сведения были коммерческой тайной и сотрудник был ознакомлен под роспись. Если режим КТ не оформлен полностью, суд может встать на сторону работника.

Чем поможем и сколько это стоит

Мы готовим правовой и организационный пакет:

• Политика обработки ПДн (для сайта и внутренняя), положение об обработке ПДн, положение о ПДн работников.
• Приказ об ответственном за организацию обработки, формы согласий отдельными документами, поручения на обработку, регламент ответов субъектам и порядок уничтожения.
• Политика ИБ и правила использования ИТ для коммерческой компании.
• Режим коммерческой тайны: положение, перечень сведений, приказ, обязательства работников, гриф, журналы, NDA для контрагентов.
• Документы по удалённой работе и подрядчикам.
• Методическое сопровождение технической части (модель угроз, акт УЗ) — отдельно.

Цена ниже среднерыночной за счёт отработанных типовых решений и дистанционного формата: вы присылаете опросный лист, специалист готовит документы по вашим данным. Документы утверждает ваш руководитель, мы не выдаём «бумагу ради бумаги».

Частые вопросы

Если вы хотите разобраться в нормативной базе или посмотреть примеры документов, загляните в раздел нормативной базы и образцов документов. Для отдельной услуги по уведомлению РКН — перейдите сюда. Специалисты МелданаСБ готовят документы под вашу компанию в Херсоне дистанционно.