Приказ об утверждении Политики в отношении обработки персональных данных

Документ, которым руководитель вводит в действие Политику обработки персональных данных и назначает дату, с которой она считается принятой. Единственный приказ комплекта, результат которого виден с улицы — через браузер.

Политика лежит в открытом доступе, приказ — нет. Но именно приказ отвечает на вопрос, который задают чаще всего: какая редакция Политики действовала в день, когда собрали спорные данные.

Статусобязателен на практике Основаниеп. 1 ч. 1, ч. 2 ст. 18.1 152-ФЗ Публичностьвнутренний — при публичной Политике Кто утверждаетруководитель организации Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Закон обязывает оператора принять документ, определяющий политику в отношении обработки персональных данных, и обеспечить к нему неограниченный доступ. Слово «принять» закон не расшифровывает: ни формы, ни процедуры, ни приказа он не называет. Приказ появляется в комплекте не потому, что его требует норма, а потому что без него слово «принята» ничем не подтверждается.

Разница становится осязаемой в единственный момент — когда возникает спор о дате. Субъект заявляет, что его данные собрали в марте, а согласие на рассылку в текущей редакции Политики появилось только в июне. Проверяющий спрашивает, какая редакция действовала в марте. Файл на сайте на этот вопрос не отвечает: он показывает сегодняшнюю версию и ничего не говорит о вчерашней. Отвечает приказ — если он есть и если в нём стоит дата введения в действие.

Вторая функция приказа практическая: он связывает Политику с публикацией. Опубликовать документ обязан оператор, а публикует его конкретный человек — администратор сайта или подрядчик на поддержке. Поручение в приказе превращает обязанность организации в задачу с исполнителем и сроком. Без такого пункта утверждённая Политика месяцами лежит в папке юриста, а на сайте висит текст позапрошлой редакции — состояние, в котором оператор формально нарушает закон, даже имея свежий подписанный документ.

Что именно должно быть внутри Политики и почему её публикуют — в карточке самой Политики. Здесь речь только о приказе: он не пересказывает Политику, а фиксирует дату, редакцию и того, кто отвечает за публикацию.

02 Ответственность

Чем грозит отсутствие

Отдельного наказания за отсутствие приказа в законодательстве нет, и мы говорим об этом прямо: приказ — служебный документ, а не самостоятельная обязанность. Наказывают за то, что стоит за ним, и составы здесь два разных.

За неопубликованную Политику — ч. 3 ст. 13.11 КоАП. Это состав самой Политики, и он разбирается в её карточке. Приказ попадает в эту историю косвенно: если поручение о публикации никому не выдано, документ утверждён, но недоступен — а отвечает оператор за доступность, не за наличие файла.

За расхождение с фактической обработкой — ч. 1 ст. 13.11 КоАП. Обработка в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора: граждане 10 000 – 15 000 ₽, должностные лица 50 000 – 100 000 ₽, организации 150 000 – 300 000 ₽. Сюда попадает ситуация, когда Политика утверждена приказом трёхлетней давности и описывает процессы, которых больше нет.

За невозможность подтвердить редакцию — потеря позиции в споре. Формального штрафа нет, но и защиты нет: оператор, не способный показать, какая редакция действовала на дату сбора, спорит с субъектом на его условиях.

Практический смысл приказа виден не в проверке, а в претензии. Когда субъект пишет жалобу в Роскомнадзор, первым делом сравнивают то, что человек видел на сайте в момент сбора данных, с тем, как оператор объясняет свои действия сейчас. Опубликованная редакция всегда выигрывает у устных объяснений — потому что её видел заявитель. Приказ с датой введения в действие — единственный способ показать, что редакция была именно такой и менялась не задним числом.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Приказ об утверждении политики обработки персональных данных

—Приказ о введении в действие политики по 152-ФЗ

—Приказ об утверждении политики конфиденциальности

—Приказ об утверждении политики ПДн образец

—Как утвердить политику обработки персональных данных

—Приказ о размещении политики обработки ПДн на сайте

—Распоряжение об утверждении политики в отношении обработки ПДн

—Приказ об утверждении новой редакции политики обработки данных

Отдельно про «политику конфиденциальности». Так документ называют почти все, и по этому названию его ищут, но юридически это разные вещи: политика конфиденциальности — обычай делового оборота из веб-практики, а Политика в отношении обработки персональных данных — документ, названный в ст. 18.1 152-ФЗ. Приказ утверждает второй. Если на сайте опубликован файл с заголовком «Политика конфиденциальности», а приказ утверждает «Политику в отношении обработки ПДн», названия должны совпасть хотя бы в одном месте — иначе доказывать связь между документом и приказом придётся отдельно.

04 Обязательное содержание

Что должно быть в документе

Приказ короткий — одна страница. Ценность в трёх пунктах из семи: дата введения в действие, поручение о публикации и отмена предыдущей редакции.

Основание. Ссылка на п. 1 ч. 1 ст. 18.1 152-ФЗ — обязанность принять документ, определяющий политику. Она же объясняет проверяющему, почему приказ вообще существует, хотя формы закон не устанавливает.

Точное название утверждаемого документа. Слово в слово как на титульном листе Политики и как в заголовке файла на сайте. Расхождение в названии превращает приказ в документ о чём-то другом.

Дата введения в действие. Главный пункт. Она может не совпадать с датой подписания — например, приказ подписан 20-го, а Политика вводится с 1-го числа следующего месяца, чтобы совпасть с публикацией. Именно эта дата отвечает на вопрос «какая редакция действовала тогда».

Номер редакции или версии. Необязательный по закону, но экономящий часы при разборе претензий. «Редакция 3 от 01.08.2026» в приказе и на титуле Политики связывает бумагу с опубликованным файлом однозначно.

Поручение о публикации с исполнителем и сроком. Кто размещает документ на сайте и до какого числа. Без этого пункта обязанность оператора обеспечить доступ не превращается в чью-то задачу.

Отмена предыдущей редакции. Прежний приказ признаётся утратившим силу с той же даты, с которой вводится новая редакция. Без этого действуют две редакции сразу, и любой спор о содержании становится нерешаемым.

Ознакомление работников. Политика касается всех, кто обрабатывает данные. Лист ознакомления или отметка в системе кадрового документооборота — то, что превращает публичный документ во внутренне обязательный.

Подпись руководителя и контроль исполнения. Утверждает первое лицо; отдельно указывается, кто контролирует размещение и ознакомление.

Чего в приказе быть не должно: пересказа Политики. Встречается вариант, где в приказ переносят цели обработки и перечень категорий данных «чтобы было в одном месте». Результат обратный — при любой правке Политики приходится переиздавать приказ, а расхождение между двумя текстами становится вопросом проверяющего.

05 Правовая база

Требования законодательства

п. 1 ч. 1 ст. 18.1 152-ФЗоператор принимает документ, определяющий политику

п. 2 ч. 1 ст. 18.1 152-ФЗоператор издаёт локальные акты по вопросам обработки

ч. 2 ст. 18.1 152-ФЗопубликование либо иной неограниченный доступ к документу

ч. 2 ст. 18.1 152-ФЗсбор через сеть — публикация в той же сети, с доступом к документу

ч. 1 ст. 18.1 152-ФЗсостав мер оператор определяет самостоятельно

ч. 1 ст. 13.11 КоАПобработка, несовместимая с заявленными целями

ч. 3 ст. 13.11 КоАПнеобеспечение доступа к документу о политике

Приказа в этом списке нет — и это не упущение. Закон описывает результат (документ принят и доступен), а способ оставляет оператору: ч. 1 ст. 18.1 прямо говорит, что состав и перечень мер оператор определяет самостоятельно. Отсюда критерий достаточности приказа: он нужен ровно в той мере, в какой позволяет ответить на два вопроса — с какого числа действует эта редакция и кто отвечает за то, что она опубликована. Всё, что сверх этого, приказ утяжеляет, но не усиливает.

06 Связи в комплекте

Как связан с другими документами

У приказа три связи, и все три — про синхронность: бумага, сайт и остальные документы комплекта должны говорить одно и то же.

Политика — предмет приказа. Политика описывает цели, категории данных и права субъектов. Приказ её не пересказывает, а вводит в действие с даты и связывает с номером редакции.

Приказ о вводе комплекта ОРД — разный масштаб. Общий приказ вводит весь пакет разом и живёт внутри организации. Отдельный приказ на Политику нужен потому, что она одна публикуется и переиздаётся чаще остального комплекта.

Правила обработки ПДн в ИСПДн — то, что Политика обещает. В Правилах описано, как обработка устроена фактически. Если Политика заявляет цели, которых в Правилах нет, расхождение всплывает при первой же сверке.

Уведомление в реестре операторов. Цели и категории данных из Политики должны совпадать со сведениями, поданными в Роскомнадзор. Приказ о новой редакции — удобный момент проверить, не расходятся ли они.

07 Актуализация

Когда обновлять документ

Приказ переиздаётся не по календарю, а вслед за Политикой — и всегда вместе с публикацией, а не после неё.

Изменилась Политика

Любая правка текста — новая редакция и новый приказ. Дата приказа и дата файла на сайте должны совпадать; расхождение видно снаружи и объясняется тяжело.

Появился новый способ сбора данных

Форма обратной связи, чат-бот, мобильное приложение, куки-аналитика. Каждый новый канал — новая цель обработки, и Политика перестаёт описывать реальность.

Изменились реквизиты или адрес оператора

Политика содержит контакты для обращений субъектов. Устаревший адрес означает, что запросы уходят в никуда, а сроки ответа при этом идут.

Сменился сайт или домен

Переезд, редизайн, новый лендинг — типовая ситуация, в которой Политику теряют. Приказ с поручением о публикации даёт исполнителя, с которого можно спросить.

Изменилось законодательство

Правки в 152-ФЗ по правам субъектов, локализации, трансграничной передаче. Пересматривается текст Политики, приказ следует за ним.

Плановая сверка раз в год

Открыть сайт, скачать опубликованный файл, сравнить его с редакцией из приказа. Занимает пять минут и закрывает самую заметную из внешних находок.

08 Проверка

Что спросит проверяющий

Особенность этого приказа в том, что часть проверки проходит до визита: опубликованный документ доступен любому.

Совпадает ли редакция на сайте с приказом. Первое действие — открыть сайт и сравнить дату и номер редакции с приказом. Расхождение фиксируется без всякого запроса и задаёт тон остальной проверке.

С какой даты действует текущая редакция. Вопрос возникает всегда, когда есть жалоба субъекта: сравнивают дату сбора данных с датой введения Политики в действие.

Отменена ли предыдущая редакция. Два действующих приказа означают две действующие Политики, и выбирать между ними будет не оператор.

Доступна ли Политика без регистрации и лишних переходов. Ссылка в подвале, открывающийся файл, работающий адрес. Требование закона — доступ, а не наличие файла на сервере.

Ознакомлены ли работники. Публичность документа не отменяет внутреннего ознакомления: люди, обрабатывающие данные, должны знать, что обещано снаружи.

Совпадают ли цели с уведомлением в реестре операторов. Сверка занимает минуту и делается по открытым данным — ещё до того, как оператор что-то предоставит.

09 Разбор эксперта

Разбор эксперта

Из всего комплекта документов по персональным данным этот приказ — единственный, чей результат можно проверить, не заходя в организацию. Политика опубликована, и любой человек с браузером видит, какая редакция висит сегодня. Отсюда следствие, которое обычно упускают: ошибка в этом приказе стоит дороже ошибки в любом другом, потому что обнаруживается без проверки — по жалобе, по запросу субъекта, иногда просто потому, что кто-то сравнил даты.

Самая частая находка выглядит так. Организация правит Политику файлом: подрядчик по сайту получил новый текст в мессенджере, заменил документ, всё работает. Приказ при этом остался от 2019 года и утверждает редакцию, которой на сайте давно нет. Формально документ принят — но какой именно, установить нельзя. В споре с субъектом это означает, что оператор не может сослаться ни на одну редакцию: опубликованная не утверждена, утверждённая не опубликована.

Обратная ошибка встречается реже, но обходится тяжелее: приказ переиздали, Политику утвердили в новой редакции, а на сайте осталась прежняя. Здесь у оператора уже есть свежий подписанный документ — и именно он играет против. Субъект видел старый текст, значит, обещания оператора перед ним определяются старым текстом, а новый показывает, что организация знала о необходимости изменений и не довела их до людей. Публичность документа работает в обе стороны.

Отдельно про дату. В большинстве приказов дата подписания и дата введения в действие совпадают, и это нормально. Здесь их полезно разводить: подписать приказ заранее, а ввести Политику в действие с числа, к которому подрядчик гарантированно разместит файл. Тогда между утверждением и публикацией не возникает разрыва, в котором формально действует редакция, недоступная людям.

Что мы советуем при подготовке комплекта

Держите в приказе номер редакции и повторяйте его на титульном листе Политики — это связывает бумагу с опубликованным файлом одним словом и снимает половину вопросов о датах. Обязательно включайте пункт с исполнителем и сроком публикации: обязанность обеспечить доступ лежит на организации, а размещает файл конкретный человек. При каждом переиздании явно отменяйте предыдущий приказ. И раз в год открывайте собственный сайт как посторонний: скачайте опубликованный документ и сравните его с тем, что утверждено, — это пятиминутная проверка, закрывающая самую заметную снаружи ошибку комплекта.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Обязателен ли приказ об утверждении Политики по 152-ФЗ?

Закон требует принять документ, определяющий политику, и обеспечить к нему доступ, но формы принятия не устанавливает — приказа в 152-ФЗ нет. На практике приказ обязателен по другой причине: без него невозможно доказать, с какой даты действует конкретная редакция.

Можно ли утвердить Политику общим приказом о вводе комплекта ОРД?

Можно, и многие так делают. Неудобство в ритме: Политика публичная и меняется чаще остальных документов, а переиздавать из-за неё приказ на весь комплект приходится целиком. Отдельный приказ на Политику переиздаётся независимо.

Должна ли дата приказа совпадать с датой публикации на сайте?

Совпадать не обязана, но разрыв между ними лучше исключить. Удобно подписать приказ заранее, а дату введения в действие поставить ту, к которой файл гарантированно размещён.

Нужно ли издавать новый приказ при каждой правке Политики?

Да, при любой правке текста. Иначе на сайте появляется редакция, которая никем не утверждена, и в споре оператору не на что сослаться.

Надо ли публиковать сам приказ вместе с Политикой?

Нет. Закон требует открытого доступа к документу, определяющему политику, а не к приказу. Приказ остаётся внутренним и предъявляется по запросу.

Политика конфиденциальности и Политика обработки ПДн — это одно и то же?

Юридически нет: первое — обычай веб-практики, второе — документ, названный в ст. 18.1 152-ФЗ. Если файл на сайте озаглавлен «Политика конфиденциальности», название в приказе и на титуле документа должно позволять их однозначно сопоставить.

Кто подписывает приказ, если у организации нет юриста?

Руководитель организации — приказ утверждает первое лицо независимо от того, кто готовил текст Политики. Подготовку обычно ведёт ответственный за организацию обработки персональных данных.

Связанные документы

Политика в отношении обработки персональных данныхОрганизационные документы Приказ о вводе в действие комплекта ОРД по защите ПДнПриказы Правила обработки персональных данных в ИСПДнОрганизационные документы

Все документы комплекта

Приказ об утверждении Политики — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66