Какие документы по 152-ФЗ обязательны для ООО

Минимум пять пунктов: публичная политика обработки ПДн на сайте, внутреннее положение об обработке ПДн, приказ о назначении ответственного, формы согласия под каждую цель сбора данных и, в большинстве случаев, поданное в Роскомнадзор уведомление. При наличии сотрудников добавляется положение об обработке кадровых данных.

Нужно ли ООО подавать уведомление в РКН

Как правило, да. Закрытый перечень исключений приведён в ст. 22 152-ФЗ и после отмены большинства старых оснований в 2025 году охватывает немного сценариев: например, обработку данных только в рамках трудовых отношений без передачи третьим лицам. Сайт с формой заявки, интернет-магазин или CRM с клиентской базой под исключение обычно не попадают.

Отличаются ли требования для ООО и ИП

Нет, закон не делает различий по организационно-правовой форме: обязанности оператора персональных данных одинаковы для ООО и ИП. Разница только в объёме: у компании со штатом, отделом продаж и подрядчиками документов физически больше, чем у ИП без сотрудников.

Сколько стоит привести ООО в соответствие

Прямых затрат на документы почти нет: политику, положение и приказ можно подготовить самостоятельно по образцам за один рабочий день. Основные издержки, время: закрыть минимальный пакет своими силами обычно занимает неделю с учётом ожидания ответа на уведомление в РКН.

152-ФЗ для ООО: минимальный пакет документов и действий

Директор небольшого ООО обычно узнаёт про 152-ФЗ одним из двух способов: либо от клиента, который спросил про политику конфиденциальности, либо от Роскомнадзора, уже в рамках проверки. Второй вариант дороже. Разберём, какой минимальный пакет документов и действий реально закрывает требования закона для типичной компании без штатного юриста, и в каком порядке это сделать за неделю.

Кто из ООО обязан соблюдать 152-ФЗ

Закон определяет оператора персональных данных как любое лицо, которое собирает и использует данные людей, независимо от размера бизнеса и оборота. Если ваше ООО:

собирает имя, телефон или email через форму на сайте;
ведёт базу клиентов в CRM, таблице или мессенджере;
нанимает хотя бы одного сотрудника и хранит его паспортные данные, СНИЛС или банковские реквизиты для зарплаты;
ведёт email- или SMS-рассылку;
передаёт данные подрядчикам: бухгалтеру на аутсорсе, курьерской службе, сервису аналитики,

вы уже оператор персональных данных и обязаны выполнять требования 152-ФЗ. Обороты, число сотрудников и сфера деятельности на этот статус не влияют: микро-ООО с одним директором подпадает под закон точно так же, как торговая сеть.

Разница между ООО и ИП в этом смысле формальная: требования по 152-ФЗ для ИП идентичны, различается только объём документов. У компании со штатом обычно больше кадровых данных и подрядчиков, а значит, и документов.

Минимальный пакет документов для ООО

Ниже практический минимум для типичной ситуации «ООО с сайтом, клиентской базой и несколькими сотрудниками». Полную структуру с расширенным перечнем разбирали в статье «Документы по 152-ФЗ: полный перечень для оператора в 2026», здесь фокус именно на том, без чего нельзя обойтись.

Документ	Зачем нужен	Время на подготовку
Политика обработки ПДн (публичная)	Размещается в футере сайта, информирует посетителей о правилах обработки	1–2 часа по образцу
Положение об обработке ПДн (внутренний акт)	Описывает, кто из сотрудников и как работает с данными внутри компании	1–2 часа
Приказ о назначении ответственного за организацию обработки	Закрепляет конкретного сотрудника, отвечающего за соблюдение 152-ФЗ	15–30 минут
Формы согласия под каждую цель обработки	Правовое основание для сбора данных через сайт, рассылку, передачу подрядчикам	2–3 часа на все формы
Согласия сотрудников на обработку кадровых данных	Основание для хранения паспортных данных, СНИЛС, зарплатных реквизитов	30 минут на бланк, подписи по факту
Журнал учёта обращений субъектов ПДн	Фиксирует запросы людей об их данных и отзывы согласий	15 минут на создание формы журнала
Уведомление в Роскомнадзор	Ставит компанию в реестр операторов, обязательно вне закрытого перечня исключений ст. 22 152-ФЗ	30–40 минут на заполнение, до 30 рабочих дней на рассмотрение

Это не полный список для всех случаев: если компания обрабатывает специальные категории данных (здоровье, биометрию) или ведёт крупную ИСПДн, добавляются модель угроз и более подробная техническая документация. Но для типичного ООО без таких данных перечисленного выше достаточно, чтобы закрыть основные риски проверки.

Порядок действий на неделю

Пакет документов закрывается быстрее, чем кажется, если действовать по порядку, а не хвататься за всё сразу.

День 1. Инвентаризация. Выпишите на листе, какие данные и от кого вы собираете: клиенты через сайт, сотрудники, подрядчики, подписчики рассылки. Отметьте, кому эти данные передаются дальше: курьеру, бухгалтеру, сервису аналитики. Без этого шага документы получатся формальными и не будут отражать реальные процессы. Час-полтора.

День 1–2. Политика и положение. Оформите публичную политику обработки ПДн и внутреннее положение по образцам, адаптировав под перечень данных из шага 1. Разместите политику в футере каждой страницы сайта. Два-три часа суммарно.

День 2. Приказ и формы согласия. Издайте приказ о назначении ответственного, в маленьком ООО эту роль обычно берёт на себя директор. Подготовьте формы согласия под каждую цель отдельно: нельзя одной галочкой закрыть и оформление заказа, и рассылку, с 1 сентября 2025 года пакетное согласие запрещено. Три-четыре часа.

День 3. Кадровые данные. Если есть сотрудники, соберите подписанные согласия на обработку кадровых данных и заведите положение об обработке кадровых ПДн, если его ещё нет. Полдня с учётом сбора подписей.

День 3–4. Уведомление в Роскомнадзор. Проверьте, не подпадаете ли под исключение ст. 22 152-ФЗ, для сайта с формами и CRM это редкость. Если не подпадаете, заполните и подайте уведомление через личный кабинет на сайте РКН или Госуслуги. Само заполнение занимает меньше часа, но ответ ведомство даёт в течение 30 рабочих дней, это время не сокращается, поэтому подавать стоит как можно раньше.

День 5. Журнал и проверка сайта. Заведите журнал учёта обращений субъектов, простую таблицу с датой, сутью запроса и результатом. Прогоните сайт через автоматическую проверку на 152-ФЗ, чтобы увидеть формы без согласия, отсутствующие ссылки на политику и другие технические пробелы, которые легко упустить вручную.

Итого рабочая неделя без привлечения юриста, если данных немного и нет специальных категорий. Крупная компания с несколькими системами и подрядчиками потратит больше времени на инвентаризацию, но порядок действий не меняется.

Что будет, если пропустить пункт

Каждый пропущенный документ это конкретный риск, а не абстрактная «недоработка». Таблица показывает, чем грозит отсутствие каждого пункта при проверке.

Что пропущено	Последствие
Нет публичной политики на сайте	Штраф для юрлиц до 60 000 ₽ по ч. 2 ст. 18.1 152-ФЗ
Согласие оформлено с нарушениями или его нет	Штраф до 700 000 ₽ по ч. 2 ст. 13.11 КоАП, при повторном нарушении до 1 500 000 ₽
Не подано уведомление в РКН при отсутствии исключений	Отдельный состав по ст. 19.7 КоАП, риск внепланового внимания надзорного органа
Нет приказа об ответственном или положения	Основание для предписания по ст. 13.11 КоАП при проверке
Нет журнала обращений субъектов	Невозможность подтвердить своевременную обработку запроса при жалобе, отягчающее обстоятельство
Утечка данных при отсутствующих документах	Оборотный штраф с 30 мая 2025 года, 1–3% выручки при первичном нарушении, минимум 20 млн ₽

Последний пункт самый чувствительный: даже если утечка происходит не по вине компании (взлом подрядчика, ошибка сотрудника), отсутствие базового комплекта документов резко ухудшает позицию оператора при разбирательстве и лишает возможности показать, что меры принимались.

С чего начать, если пока нет ничего

Если ООО существует какое-то время, но документами по 152-ФЗ никто не занимался, порядок такой же, как выше, только шаг «инвентаризация» займёт больше времени: нужно вспомнить все каналы сбора данных, а не только очевидный сайт. Полезно начать с быстрого аудита персональных данных в компании, чеклист помогает не упустить формы, CRM и рассылки, которые обрабатывают данные, но не воспринимаются как «риск».

Материал часть хаба «Политика конфиденциальности». Быстрее всего понять, чего не хватает именно на вашем сайте: прогнать его через бесплатную автоматическую проверку. Сканер находит отсутствующую политику, формы без согласия и другие пробелы за несколько минут, без ручной вычитки закона.