Компания подготовила документы по персональным данным несколько лет назад: разместила политику, утвердила положения, получила согласия и подала уведомление Роскомнадзору. С тех пор появился новый сайт, менеджеры перешли на CRM, бухгалтерию передали подрядчику, а часть задач начали выполнять с помощью ИИ. Документы остались прежними.
В такой ситуации важно проверить, соответствует ли комплект нынешней работе и изменениям законодательства. С 1 сентября 2022 года существенно изменились требования к оформлению обработки, с 1 марта 2023 года — к отдельным процедурам, а в 2025 году вступили в силу новые правила и значительно выросла ответственность. Наличие папки «152-ФЗ» ещё не объясняет, учитывает ли компания эти изменения и знают ли сотрудники, как применять утверждённые правила.
Обновление не всегда означает полную замену документов. Часть можно сохранить, часть — исправить, а недостающие материалы подготовить отдельно. Разберём, как определить необходимый объём и выбрать подходящий формат юридической помощи.
Нужно ли обновлять документы каждый год
Единого требования ежегодно переутверждать весь комплект документов по персональным данным нет. Сам по себе прошлогодний приказ или политика трёхлетней давности не становятся недействительными только из-за возраста.
При этом документы должны соответствовать применимым требованиям и фактической обработке. Внутри организации необходимо поддерживать контроль: проверять изменения, устранять расхождения и учитывать порядок пересмотра, который закреплён в собственных актах.
Удобный практический подход — проверять документы при изменении деятельности, систем и законодательства, а также проводить периодическую сверку даже при спокойной работе. Например, можно запланировать ежегодный пересмотр. Это рекомендация по организации контроля, а не универсальный срок, установленный для всех документов законом.
Главные ориентиры — какие требования вступили в силу после последней содержательной проверки и что изменилось в работе компании. Дата на титульном листе сама по себе не подтверждает актуальность комплекта.
Контрольные даты: после каких изменений нужно было проверить документы
Фраза «документы старые» мало помогает принять решение. Полезнее установить, когда комплект в последний раз проверяли по существу и какие изменения тогда учли. Ниже — основные этапы, затронувшие оформление обработки персональных данных в обычной коммерческой организации. Указаны даты вступления требований в силу, а не даты подписания законов.
| Дата | Что изменилось | Какие документы и процедуры проверить |
|---|---|---|
| 1 марта 2021 года | Введены специальные правила обработки персональных данных, разрешённых для распространения. Согласие на такую обработку оформляется отдельно от других согласий (Закон от 30.12.2020 № 519-ФЗ) | Основания размещения сведений о людях в открытом доступе: например, карточек сотрудников на сайте. Если публикация основана на согласии — его отдельную форму и содержание; с 1 сентября 2021 года действуют требования приказа РКН № 18 |
| 1 сентября 2022 года | Масштабные изменения по Закону от 14.07.2022 № 266-ФЗ: детализация обработки по каждой цели, сокращение исключений из обязанности уведомлять РКН, новые обязанности при инцидентах, уточнение требований к поручению обработки | Политику и локальные акты, описание целей, категорий субъектов и данных, сроков и уничтожения; необходимость уведомления РКН и его содержание; договоры с обработчиками; порядок реагирования на инциденты |
| 1 марта 2023 года | Начали действовать новый порядок трансграничной передачи и требования РКН к оценке вреда и подтверждению уничтожения данных: приказы № 178 и № 179 | Документы об оценке вреда; порядок и формы подтверждения уничтожения, техническую возможность получить необходимые сведения; при передаче за рубеж — отдельное уведомление и проверку условий передачи |
| 30 мая 2025 года | Закон от 30.11.2024 № 420-ФЗ существенно усилил административную ответственность, включая отдельные составы за неуведомление об обработке и об инциденте, штрафы за утечки и оборотные штрафы при повторных утечках | Выполнение существующих обязанностей: уведомления, законность обработки, готовность к инцидентам и подтверждения принятых мер. Повышение штрафов само по себе не требует новой редакции каждого документа |
| 1 июля 2025 года | Закон от 28.02.2025 № 23-ФЗ изменил формулировку требований к локализации: при сборе данных граждан РФ не допускаются перечисленные в законе операции с использованием зарубежных баз, кроме предусмотренных исключений | Фактическое движение данных из форм сайта и приложений, CRM, облачные сервисы и интеграции, договоры, сведения о базах и соответствующие положения документов |
| 1 сентября 2025 года | Согласие на обработку ПДн требуется оформлять отдельно от иной информации и документов, которые подтверждает или подписывает человек (Закон от 24.06.2025 № 156-ФЗ) | Действующие шаблоны согласий, договоры и анкеты со встроенными согласиями, пользовательские соглашения, формы сайта и способ подтверждения согласия |
Почему комплект, подготовленный до сентября 2022 года, требует особого внимания
Это одна из главных контрольных точек для бизнеса. Если документы подготовили до 1 сентября 2022 года и после этого содержательно не пересматривали, следует проверить весь комплект на применимые изменения. Одного исправления реквизитов и даты утверждения недостаточно.
Например, старое общее описание «обрабатываем сведения работников и клиентов для деятельности организации» нужно сопоставить с требованиями к детализации по каждой цели. А прежний вывод «уведомление РКН не нужно, потому что обрабатываем только данные работников или исполняем договоры» — пересмотреть с учётом сокращения исключений.
Отдельный вопрос — действия при инциденте. Для случаев, предусмотренных частью 3.1 статьи 21 Закона № 152-ФЗ, действуют сроки уведомления РКН: в течение 24 часов сообщают об инциденте, в течение 72 часов — о результатах внутреннего расследования, считая с момента его выявления. Внутренний порядок должен позволять выполнить эти обязанности: определить, кто получает информацию, организует проверку и направляет сообщения.
Почему изменения 2025 года нельзя сводить только к штрафам
Повышение ответственности увеличило цену уже существовавших нарушений. Штрафы для организаций по ряду составов составляют сотни тысяч рублей, а за отдельные нарушения, связанные с утечками, — миллионы. Это повод проверить исполнение обязанностей и доказательства их выполнения, а не просто заменить год в политике.
При этом изменения локализации с 1 июля и отдельного оформления согласия с 1 сентября 2025 года касаются непосредственно организации обработки. Здесь могут потребоваться новые редакции документов, изменение форм сайта и настройки систем. Уведомление о трансграничной передаче само по себе не отменяет требования к локализации, а новая политика не исправляет неправильный механизм получения согласия.
Для компаний с зарубежными получателями есть и более поздняя контрольная точка: 26 июля 2026 года Закон № 265-ФЗ изменил отдельные правила статьи 12 о трансграничной передаче, включая критерии включения государств в перечень обеспечивающих адекватную защиту. При наличии таких передач нужно сверить применимый порядок и документы. Это специальное изменение, а не основание переоформлять комплект каждой российской компании.
Практический вывод: если документы не проверяли после сентября 2022 года, начните с проверки всего комплекта. Если их обновляли в 2023–2024 годах, выясните, учтены ли изменения 2025 года. Если на документах стоит 2025 или 2026 год, проверьте содержание: свежая дата не означает, что использован актуальный шаблон и правильно оформлены реальные процессы.
Эти даты помогают определить объём проверки. Они не означают, что весь прежний комплект автоматически недействителен или что при каждом изменении закона нужно заново получать все согласия.
Какие изменения — повод проверить комплект
Новый сайт, приложение или чат-бот
Сайт мог измениться внешне, но сохранить прежние формы и сервисы. А мог получить личный кабинет, онлайн-оплату, подписку и новые интеграции. Во втором случае проверка шире замены адреса в политике.
Нужно выяснить, какие данные теперь собираются, для каких целей, где сохраняются и кто их получает. Затем сопоставить процесс с документами и информацией, которую видит пользователь.
Новые сервисы и подрядчики
CRM, сервис рассылок, телефония, внешняя бухгалтерия или интегратор могут изменить круг участников обработки. Например, раньше заявки поступали на почту руководителя, а теперь доступны менеджерам, администратору CRM и внешнему специалисту по настройке.
Проверяют не только политику, но и договорные условия, основания передачи, распределение доступа и действия после прекращения сотрудничества. При подключении зарубежного сервиса дополнительно оценивают локализацию и трансграничную передачу.
Новые цели и категории данных
Компания могла начать рекламные рассылки по клиентской базе, принимать сотрудников, работать с детьми или собирать дополнительные сведения для новой услуги. Эти изменения требуют проверки применимых оснований, состава данных и специальных требований.
Контакт, полученный для исполнения заказа, нельзя автоматически использовать для любой новой цели. Сначала определяют, на каком основании будет выполняться новая обработка.
Изменения внутри организации
Сменился ответственный за организацию обработки ПДн, появились новые должности, переехал архив, изменились системы хранения или права доступа. Публичная политика при этом может выглядеть актуальной, а внутренние документы уже расходятся с действительностью.
Особенно важно проверить перечни должностей и мест хранения. Если в них указаны старые подразделения, неиспользуемые помещения или сотрудники, которые давно не работают, комплект нуждается в пересмотре в соответствующей части.
| Что изменилось | Что стоит проверить |
|---|---|
| Новый сайт, приложение или форма | Политику, основания обработки, необходимые согласия, способы подтверждения действий пользователя |
| CRM, рассылки, аналитика, ИИ | Движение данных, получателей, договоры, локализацию и возможную трансграничную передачу |
| Внешняя бухгалтерия, маркетолог или интегратор | Роль исполнителя, условия обработки, доступ и порядок его прекращения |
| Новые услуги или категории клиентов | Цели, состав данных, основания, сроки хранения и специальные требования |
| Смена ответственного или должностей | Приказы, обязанности, перечни допуска и фактические права в системах |
| Переезд офиса, архива или базы | Места хранения, меры защиты и соответствующие сведения уведомления РКН |
| Изменение закона | Применимые положения документов, действующие формы и порядок выполнения процедур |
Каждая строка — повод для проверки. Она не означает, что нужно автоматически переписать весь комплект или изменить все перечисленные документы.
Как понять, что документы расходятся с реальностью
Начните с одного процесса: приёма заявки, оформления работника, передачи задания подрядчику. Ответьте на пять вопросов:
- Чьи данные используются? Клиентов, работников, соискателей, представителей контрагентов или других людей.
- Для чего они нужны? Какая конкретная задача решается и какие сведения для неё необходимы.
- На каком основании выполняется обработка? Договор, закон, согласие или другое применимое основание.
- Где находятся данные и кто их получает? Системы, сотрудники, подрядчики и внешние сервисы.
- Как долго данные хранятся и что происходит после завершения задачи? Какие правила применяются и кто их выполняет.
Затем сравните ответы с политикой, внутренними актами, согласиями, договорами и сведениями уведомления РКН. Не каждый документ должен повторять все сведения: важно, чтобы материалы были согласованы между собой и соответствовали своему назначению.
Например, в политике написано, что данные не передаются другим лицам, но клиентскую базу обрабатывает внешний сервис. Или приказ возлагает обязанности на одного сотрудника, а фактически обращения людей рассматривает другой. Такие расхождения не устраняются заменой даты на титульном листе.
Подробнее о проверке публичного документа — в статье о политике конфиденциальности и типичных ошибках.
Что сохранить, что исправить и чего не хватает
По итогам проверки полезно разделить результат на четыре группы.
Оставить. Документы соответствуют деятельности и требованиям, применяются сотрудниками и не требуют содержательных изменений.
Изменить. Документ подходит по назначению, но нужно обновить отдельные сведения или правила: ответственного, категории данных, порядок доступа, сроки либо условия взаимодействия с подрядчиком.
Подготовить. Появился процесс, который имеющимися документами не оформлен. Например, нужно определить порядок обработки подрядчиком или подготовить инструкцию для работы с обращениями людей.
Выполнить. Документ уже предусматривает нужное действие, но оно не реализовано: не прекращён доступ, не проведено ознакомление, не организовано уничтожение или не обновлены сведения РКН.
Пример: при смене CRM может потребоваться одновременно изменить описание обработки, проверить условия нового поставщика и отключить доступ к старой системе. Это связанные задачи, но новый текст политики выполняет только одну из них.
Нужно ли менять уведомление Роскомнадзора
Редакционная правка политики сама по себе не означает, что необходимо подавать изменения в уведомление. Проверяют, изменились ли сведения, которые оператор должен сообщать РКН.
Если такие сведения изменились, об этом необходимо уведомить ведомство не позднее 15-го числа месяца, следующего за месяцем изменений. Поэтому пересмотр документов и актуализацию реестра лучше проверять одновременно, учитывая установленный срок.
Например, если заменили неудачную формулировку без изменения обработки, вопрос уведомления решается иначе, чем при появлении новой цели или изменении места нахождения базы данных. Размещение новой политики не обновляет реестр автоматически.
Нужно ли заново получать согласия
Новая редакция политики не означает автоматического получения новых согласий у всех клиентов и работников. Сначала нужно определить, на каком основании выполняется обработка и что именно изменилось.
Если применимо согласие, проверяют его содержание, срок, форму, обстоятельства получения и возможность подтвердить волеизъявление конкретного человека. Для новой обработки устанавливают, охватывается ли она действующим основанием.
Нельзя дописать в политику рекламные рассылки или нового получателя данных и считать, что прежние согласия автоматически расширились. Но и безусловный совет «переподпишите все согласия» без анализа ситуации будет неправильным.
Отдельно следует проверить действующие шаблоны и механизм подписки с учётом требования об оформлении согласия отдельно от иной подтверждаемой или подписываемой информации и документов. Это касается не только файлов, но и того, что фактически подтверждает пользователь в форме.
Различия оснований и форм подробно разобраны в статье о согласии на обработку персональных данных.
Как внедрить обновлённые документы
Согласовать фактические сведения
Юристу потребуется информация от сотрудников, которые ведут процессы: кадрового специалиста, бухгалтера, руководителя продаж, администратора систем или разработчика. Утверждать перечни доступа и мест хранения только по догадкам не стоит.
Оформить изменения и опубликовать нужные материалы
Выберите подходящий способ: утвердить новую редакцию, изменить отдельные пункты или принять недостающий документ. Для публичных материалов проверьте ссылки на сайте, в приложении и других каналах сбора данных. Пользователи должны получать доступ к действующей редакции.
Работников знакомят с относящимися к их работе документами в применимом порядке. Если изменились обязанности, доступы или действия при обращении человека, важно объяснить, как выполнять новые правила.
Реализовать изменения в работе
Если требуется изменить форму сайта, разграничить доступ или настроить выполнение процедуры в CRM, задачу передают соответствующим специалистам. Например, включение в положение порядка уничтожения не заменяет его реализацию и документальное подтверждение.
Сохранить историю и проверить результат
Рекомендуем сохранять прежние редакции, сведения о датах их действия и подтверждения внедрения. Это помогает объяснить, какие правила применялись в определённый период. Не следует заменять старый файл новым так, чтобы компания потеряла возможность восстановить историю.
После внедрения полезно пройти тот же сценарий повторно: отправить тестовую заявку, проверить ссылки, права доступа и порядок действий сотрудника. Юридическую и техническую части проверяют соответствующие исполнители.
Когда достаточно новых документов, а когда лучше заказать аудит
Если процессы понятны, а комплект отсутствует, фрагментарен или требует существенной переработки, можно подготовить новые документы под текущую деятельность.
Если документы уже есть и компания хочет сохранить подходящие материалы, проверить их качество и устранить расхождения с реальными процессами, подходит аудит с исправлением документов в согласованном объёме.
В более сложной ситуации сначала нужно разобраться, как устроена обработка: какие системы связаны между собой, что делают подрядчики, где хранятся сведения и кто принимает решения. Формальной сверки текстов тогда недостаточно.
Как «Софист» помогает обновить юридическое оформление
Клиент может выбрать один из двух подходов: заказать новые документы в пакетах «Базовый» или «Универсальный» либо заказать проверку и исправление имеющихся документов в рамках аудита.
Новые документы — пакеты «Базовый» и «Универсальный»
«Базовый» — 35 000 руб. Подходит для подготовки основных документов и юридического оформления сбора данных. Включает подготовку или проверку уведомления РКН, политику, необходимые согласия, правовую проверку сайта и соблюдения требований к локализации.
«Универсальный» — 50 000 руб. Включает базовый состав и расширенное оформление внутренних процедур организации: работу с данными работников, клиентов и контрагентов, хранение и уничтожение, распределение обязанностей, внутренний контроль и обработку подрядчиками. Предусмотрены инструкция по применению документов и повторная правовая проверка сайта после рекомендованных изменений.
Пакеты подходят и организациям, у которых раньше был комплект, но принято решение подготовить согласованные новые документы под текущую деятельность. Перечень материалов определяем с учётом процессов и согласованного объёма работы.
Имеющийся комплект — аудит и исправление
В рамках аудита изучаем предоставленные документы и фактическую обработку, определяем, что можно сохранить, что требует изменений и каких материалов не хватает. По результатам готовим выводы и рекомендации, исправляем документы в объёме, закреплённом в поручении.
Полный аудит персональных данных организации — от 95 000 руб. При необходимости включает выезд, изучение мест обработки и хранения, интервью с ответственными сотрудниками. Конкретный состав проверки и исправлений согласовываем до начала работы.
Для задачи, ограниченной сайтом, сервисом или приложением, предусмотрен аудит цифрового продукта — от 50 000 руб.. Он не равнозначен проверке всех кадровых, бумажных и иных процессов организации.
| Вариант | Какой результат нужен клиенту |
|---|---|
| Новые документы в пакете «Базовый» или «Универсальный» | Подготовить комплект под текущую деятельность в пределах выбранного пакета |
| Аудит с исправлением имеющихся документов | Проверить действующие материалы и процессы, сохранить подходящие положения и устранить выявленные недостатки в согласованном объёме |
Если вопрос касается только одного документа или изменения, возможна отдельная задача. Необходимость полного аудита не возникает автоматически из-за возраста комплекта. Подробности — на странице услуг по персональным данным.
Наши гарантии и преимущества
Работаем с 2016 года. Проводили аудиты обработки персональных данных на крупных предприятиях Татарстана, сопровождаем бизнес и НКО, IT-проекты, организации сферы образования, услуг и продаж. Опыт позволяет учитывать и публичные документы, и внутренние процессы компании.
Официально заключаем договор. Заранее закрепляем состав услуг, результат, стоимость и сроки. Для аудита отдельно определяем охват проверки и объём исправления документов. Дополнительные задачи согласовываем с клиентом.
Василий Кустов лично участвует в юридической работе. При подготовке решений учитываем сведения сотрудников и технической команды, чтобы документы соответствовали деятельности.
Объясняем применение результата. Клиент получает предусмотренные поручением документы, выводы и рекомендации. Разграничиваем правки текста, действия руководителя и технические задачи.
Соблюдаем конфиденциальность. Состав запрашиваемых материалов определяем по задаче. Для первичного обсуждения обычно достаточно описания деятельности, перечня документов и систем.
Работаем дистанционно по России. Практика находится в Казани. Личные встречи и выезд согласовываем с учётом проекта.
Гарантии относятся к нашим обязательствам по договору: составу и качеству работы, согласованному результату и срокам. Решения РКН и отсутствие любых будущих претензий заранее гарантировать невозможно.
Пример из практики: изменение модели обработки в ИИ-продукте
В проекте для ИИ-стартапа юридическая работа включала разработку модели обезличивания, подготовку соответствующих документов и актуализацию действующих локальных актов и политики. Документальную часть согласовали с архитектурой обработки, команде дали рекомендации по внедрению.
Это пример того, как изменение способа работы с данными затрагивает сразу несколько материалов. Подробнее — в кейсе по обезличиванию персональных данных для ИИ-стартапа.
Отзывы о сотрудничестве представлены в благодарственных письмах АО «ПОЗИС» и Казанского хлебозавода № 3. Другие письма и сведения о практике — на странице «О нас».
Часто задаваемые вопросы
Документы готовил другой юрист. Вы сможете их проверить и исправить?
Да. Можно заказать аудит с проверкой и исправлением имеющихся документов. Мы определим, какие материалы подходят, что требуется изменить и какие процессы дополнительно оформить. Автоматически заменять весь комплект из-за смены исполнителя не нужно.
Можно просто заказать новый комплект, не дорабатывая старый?
Да. Для этого предусмотрены пакеты «Базовый» и «Универсальный». Новые документы готовим под текущую деятельность в пределах состава пакета. Проверка всей истории обработки и глубокий аудит организации в пакет автоматически не входят.
Нам нужно исправить только политику. Обязательно заказывать аудит?
Не всегда. Если задача ограничена конкретным документом и необходимые сведения понятны, можно согласовать отдельную работу. Если политика расходится с сайтом, системами и договорами, сначала нужно определить причины расхождений и достаточный объём проверки.
После обновления придётся заново подписывать всё с сотрудниками?
Не автоматически. Нужно определить, какие документы изменены, кого они касаются и какие действия требуются: ознакомление, изменение обязанностей, получение необходимого согласия или другие меры. Обновление комплекта само по себе не означает повторного подписания всех документов.
Мы только изменили дизайн сайта. Документы тоже нужно переделывать?
Если поменялось только визуальное оформление, содержательные правки могут не понадобиться. Но стоит проверить, не изменились ли формы, сервисы, аналитика и ссылки на документы. Редизайн нередко сопровождается функциональными изменениями, о которых юристу не сообщают.
Кто должен сообщать юристу о новых сервисах и процессах?
Компания организует сбор таких сведений у сотрудников и подрядчиков. Удобно назначить человека, который координирует изменения и передаёт информацию. Внешний специалист не узнает автоматически, что маркетолог подключил новый сервис, а разработчик изменил интеграцию.
Документы после обновления будут подходить навсегда?
Они готовятся под согласованные сведения и применимые требования. При изменении деятельности или закона потребуется проверка соответствующей части. Для регулярного сопровождения можно отдельно определить порядок передачи информации, проверок и доработок.