Приказ о назначении ответственного за обеспечение безопасности персональных данных

Приказ о назначении ответственного за обеспечение безопасности персональных данных закрепляет, кто в компании отвечает за техническую и организационную защиту данных: следит за угрозами, настраивает доступ, проверяет подрядчиков и готовит документы по защите. Ниже — образец с обязанностями и правами и бланк, который можно заполнить под свою компанию.

Бланк в WordWord, 11 КБ Образец в WordWord, 12 КБ Образец в PDFPDF, 68 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

ООО «Ромашка»

ПРИКАЗ № 12

г. Москва

Приказ

о назначении ответственного за обеспечение безопасности персональных данных

16 ноября 2026 г.

В соответствии с пунктом 1 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», в целях обеспечения безопасности персональных данных, обрабатываемых в ООО «Ромашка», и выполнения требований к защите персональных данных приказываю:

1. Назначить ответственным за обеспечение безопасности персональных данных начальника отдела информационных технологий Смирнова Алексея Викторовича с 16 ноября 2026 года.

2. Утвердить Положение об ответственном за обеспечение безопасности персональных данных согласно приложению № 1 к настоящему приказу.

3. Ответственному за обеспечение безопасности персональных данных:

3.1. Организовывать и контролировать выполнение мер по защите персональных данных, предусмотренных статьями 18.1 и 19 Федерального закона от 27.07.2006 № 152-ФЗ, включая определение угроз безопасности, применение организационных и технических мер, оценку эффективности принятых мер.

3.2. Разрабатывать и поддерживать в актуальном состоянии документы по защите персональных данных: модель угроз, положение о разграничении доступа, журналы учёта носителей и обращений, планы мероприятий по защите.

3.3. Проверять перед заключением договоров с подрядчиками, которым передаются персональные данные или доступ к информационным системам, наличие условий о защите данных и при необходимости готовить поручения на обработку по части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ.

3.4. Незамедлительно докладывать генеральному директору о выявленных инцидентах с персональными данными и готовить сведения в Роскомнадзор в случаях, предусмотренных законом.

4. Предоставить ответственному за обеспечение безопасности персональных данных право:

4.1. Требовать от работников ООО «Ромашка» соблюдения законодательства о персональных данных и локальных актов по защите данных.

4.2. Запрашивать у работников сведения, необходимые для выполнения обязанностей по настоящему приказу.

4.3. Вносить руководству предложения о приостановлении обработки персональных данных, если обработка ведётся с нарушением требований закона.

5. Руководителям подразделений оказывать ответственному за обеспечение безопасности персональных данных содействие при выполнении им обязанностей по настоящему приказу.

6. Контроль за исполнением настоящего приказа оставляю за собой.

Генеральный директор

Генеральный директор

____________ / И. И. Иванов /

С приказом ознакомлен

Начальник отдела информационных технологий

____________ / А. В. Смирнов /

Зачем нужен приказ о назначении ответственного за обеспечение безопасности персональных данных

Оператор персональных данных обязан принимать меры по защите данных, которые обрабатывает. Оператор — юридическое лицо обязан назначить ответственного за организацию обработки персональных данных, а также определить угрозы безопасности, применять организационные и технические меры, оценивать их эффективность (статьи 18.1 и 19 Федерального закона от 27.07.2006 № 152-ФЗ).

Ответственный за обеспечение безопасности персональных данных — это сотрудник, который отвечает за техническую и организационную сторону защиты: разграничение доступа, учёт носителей, проверку подрядчиков, реакцию на инциденты. Приказ закрепляет его полномочия и снимает вопрос, кто в компании отвечает за защиту данных перед проверкой Роскомнадзора и перед руководством.

Чем отличается от ответственного за организацию обработки

Ответственный за организацию обработки персональных данных — это обязательная фигура по закону. Он ведёт учёт обращений субъектов, контролирует соответствие обработки закону, готовит ответы на запросы.
Ответственный за обеспечение безопасности персональных данных — это сотрудник, который отвечает за защиту: определяет угрозы, настраивает права доступа, следит за техническими мерами и инцидентами.
В небольшой компании обе роли может выполнять один сотрудник, но приказом лучше закрепить каждую отдельно: у них разные обязанности и разные зоны ответственности.
Если в компании несколько информационных систем персональных данных, ответственного за безопасность можно назначить по каждой системе или одного общего — это решает руководитель.

Что указать в приказе

Ссылку на закон: пункт 1 части 1 статьи 18.1 и статью 19 Федерального закона от 27.07.2006 № 152-ФЗ.
Фамилию, имя, отчество и должность сотрудника, которого назначаете, и дату, с которой он приступает к обязанностям.
Перечень обязанностей: определение угроз, разработка документов по защите, проверка подрядчиков, реакция на инциденты, оценка эффективности мер.
Права: требовать соблюдения закона от других работников, запрашивать сведения, вносить предложения о приостановке обработки при нарушениях.
Поручение руководителям подразделений оказывать содействие.
Подпись руководителя и ознакомление сотрудника с приказом.

Как оформить приказ

Выберите сотрудника. Ответственным за безопасность персональных данных назначают работника с профильными знаниями: системного администратора, специалиста по информационной безопасности или руководителя ИТ-отдела. Закон не требует специального образования, но проверка Роскомнадзора оценивает, способен ли сотрудник выполнять обязанности.
Опишите обязанности. Перечислите конкретные действия: определить угрозы безопасности, разработать модель угроз, вести журналы, проверять договоры с подрядчиками, сообщать об инцидентах. Чем конкретнее, тем проще доказать, что меры принимаются.
Закрепите права. Без прав сотрудник не сможет требовать соблюдения закона от коллег. Укажите, что он вправе запрашивать сведения, требовать устранения нарушений и вносить предложения руководству.
Утвердите положение. Приложите к приказу положение об ответственном за безопасность персональных данных или должностную инструкцию, где подробно расписаны функции. Приказ — это решение о назначении, положение — рабочий документ.
Ознакомьте сотрудника. Сотрудник подписывает приказ при ознакомлении. Если он отказывается, составьте акт об отказе в присутствии свидетелей.

Какие документы подготовить вместе с приказом

Положение об ответственном за обеспечение безопасности персональных данных или должностную инструкцию.
Модель угроз безопасности персональных данных — её утверждает руководитель, а готовит ответственный.
Положение о разграничении прав доступа к информационным системам персональных данных.
Журналы учёта: обращений субъектов персональных данных, носителей информации, инцидентов.
Приказ об утверждении перечня информационных систем персональных данных и приказ о назначении ответственного за организацию обработки персональных данных.

Частые вопросы

Можно ли назначить ответственным за безопасность персональных данных генерального директора?

Да. Закон не запрещает руководителю совмещать роли. Но в крупной компании лучше назначить отдельного сотрудника: у директора не хватит времени на технические вопросы, а проверка оценивает, как меры выполняются на практике.

Обязательно ли включать в приказ положение об ответственном?

Нет, но это удобно: положение подробно описывает функции, и при проверке видно, что сотрудник знает свои обязанности. Можно ограничиться перечнем в приказе, если он достаточно подробный.

Нужно ли согласие сотрудника на назначение?

Если обязанности по защите персональных данных входят в его трудовую функцию или он согласен на дополнительную работу, достаточно ознакомления с приказом. Если это дополнительная нагрузка вне трудового договора, оформите совмещение или внутреннее совместительство по статье 60.2 ТК РФ с письменным согласием.

Что будет, если ответственный не назначен?

Оператор обязан принимать меры по защите данных, и отсутствие ответственного может быть расценено как непринятие мер. При проверке Роскомнадзор вправе выдать предписание об устранении нарушения, а по статье 13.11 КоАП РФ возможен штраф за нарушение законодательства о персональных данных.

Можно ли назначить ответственного по каждому подразделению?

Да. Если в компании несколько обособленных подразделений или информационных систем, назначьте ответственных по каждой зоне и укажите в приказе, кто координирует их работу. Общего ответственного при этом можно оставить.

Когда приказы и регламенты по защите данных отнимают время

Чтобы документы по защите собирались сами

Приказы, положения и журналы по персональным данным нужно обновлять при каждом изменении в компании: новый сотрудник, новый подрядчик, новая система. Руководитель тратит на это часы.

Я настраиваю ИИ-агентов, которые готовят такие документы по шаблону, проверяют сроки и напоминают, что пора обновить, — руководителю остаётся проверить и подписать.

Читать об услуге «ИИ-агенты под задачу компании»