Приказ о защите персональных данных: образец и бланк

Приказ о защите персональных данных вводит в компании режим обработки данных: кто отвечает, какие меры действуют, что делать при утечке. Ниже — бланк и заполненный образец для небольшой компании, которая обрабатывает данные сотрудников и клиентов.

Бланк в WordWord, 11 КБ Образец в WordWord, 11 КБ Образец в PDFPDF, 63 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

ООО «Ромашка»

ПРИКАЗ № 7

г. Москва

Приказ

о защите персональных данных

16 ноября 2026 г.

В соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и в целях обеспечения безопасности персональных данных, обрабатываемых в ООО «Ромашка», ПРИКАЗЫВАЮ:

1. Утвердить Положение об обработке и защите персональных данных и Перечень информационных систем персональных данных согласно приложениям 1 и 2 к настоящему приказу.

2. Назначить ответственным за организацию обработки персональных данных заместителя директора Смирнову А. В.

3. Назначить ответственным за обеспечение безопасности персональных данных в информационных системах руководителя отдела информационных технологий Кузнецова Д. С.

4. Утвердить меры по защите персональных данных: определение угроз безопасности, ограничение доступа к данным по служебной необходимости, учёт носителей, резервное копирование, регистрация событий безопасности, ознакомление работников с правилами под подпись.

5. Отделу кадров ознакомить работников с настоящим приказом и Положением под подпись в срок до 20 ноября 2026 года.

6. Контроль за исполнением настоящего приказа оставляю за собой.

Руководитель

Генеральный директор

____________ / И. И. Иванов /

С приказом ознакомлены

Заместитель директора

____________ / А. В. Смирнова /

Зачем нужен приказ о защите персональных данных

Оператор персональных данных обязан принимать правовые, организационные и технические меры защиты (ч. 1 ст. 18.1 и ч. 1 ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ). Приказ — тот документ, которым эти меры вводятся в действие: он называет ответственных, утверждает правила и перечень систем, где данные обрабатываются.

Без приказа компания не докажет ни проверяющему, ни суду, что меры вообще принимались: правила есть на бумаге, но никто не назначен и не отвечает. Один приказ закрывает сразу несколько обязанностей оператора — от назначения ответственного до ознакомления работников.

Что указать в приказе

Полное название компании и реквизиты приказа: номер, дата, место издания.
Ссылку на 152-ФЗ — основание для издания.
Положение об обработке и защите персональных данных — отдельным приложением.
Перечень информационных систем персональных данных: где именно хранятся данные — в 1С, CRM, кадровой программе, облачном сервисе.
Ответственного за организацию обработки персональных данных — по ч. 1 ст. 18.1 152-ФЗ его назначают приказом или решением.
Ответственного за безопасность данных в информационных системах, если это разные люди.
Перечень мер защиты: ограничение доступа, учёт носителей, резервное копирование, регистрация событий.
Срок ознакомления работников под подпись и лицо, на которое ложится контроль.

Как издать приказ

Составьте перечень систем. Выпишите все программы и сервисы, где есть данные людей: бухгалтерия, кадры, CRM, сайт с формами заявок, мессенджеры для клиентов, облачное хранилище.
Определите угрозы. Для каждой системы решите, что ей угрожает: доступ посторонних, утечка через подрядчика, потеря ноутбука, ошибка сотрудника. От этого зависит набор мер.
Назначьте ответственных. Ответственный за организацию обработки и ответственный за безопасность в системах — две разные роли. В небольшой компании их может совмещать один человек, но назначение должно быть письменным.
Утвердите приложения. Положение и перечень систем — приложения к приказу. Без них приказ не работает: он ссылается на документы, которых нет.
Ознакомьте работников. Каждый, кто работает с данными, ставит подпись об ознакомлении. Лист ознакомления — часть приказа.

Приказ ФСТЭК: что меняется

Состав мер по защите данных в информационных системах задаёт приказ ФСТЭК России от 18.02.2013 № 21. Он действует, пока ведомство не утвердит замену.

ФСТЭК опубликовала проект нового приказа: вместо единого перечня мер для всех — три уровня с базовым набором, который оператор подстраивает под свои системы, и отдельный блок мер для облачных сервисов, виртуализации, мобильных устройств и искусственного интеллекта. Проект вводит оценку уровня зрелости защиты: её проводят перед запуском обработки, затем периодически и после инцидентов.

Пока приказ не утверждён, компания работает по действующему приказу № 21. Когда новый документ вступит в силу, приказ и перечень мер придётся пересмотреть: часть мер изменится, а оценку зрелости нужно будет включить в работу.

Частые ошибки

Ответственный назначен, но в приказе не назван круг его обязанностей — при проверке непонятно, за что он отвечает.
Перечень систем не составлен, и данные, которые сотрудники хранят в личных облаках и мессенджерах, остаются вне защиты.
Положение о защите данных утверждено, но работники с ним не ознакомлены под подпись.
Меры перечислены общими словами без привязки к системам: «ограничить доступ» — кому, к чему и как.
Приказ издан один раз и не пересматривается, хотя появились новые сервисы и подрядчики.

Частые вопросы

Обязателен ли приказ о защите персональных данных?

Да. Оператор обязан принимать меры защиты и назначить ответственного за организацию обработки данных (ч. 1 ст. 18.1 и ч. 1 ст. 19 152-ФЗ). Приказ — обычная форма, которой эти обязанности закрепляют в компании.

Кого назначить ответственным за обработку персональных данных?

Любого работника, которому доверяют эту работу: заместителя директора, юриста, руководителя кадров. Закон требует назначить ответственного, но не требует для этого отдельной должности.

Нужно ли согласие работников на обработку их данных?

Для данных, необходимых для исполнения трудового договора и обязанностей работодателя по закону, отдельное согласие обычно не требуется. Для других целей основание обработки проверяют отдельно; при передаче данных сервису по поручению оператора оформляют поручение с условиями, предусмотренными законом.

Что делать при утечке персональных данных?

Сообщить в Роскомнадзор: по ч. 3.1 ст. 21 152-ФЗ уведомление направляют в течение 24 часов с момента обнаружения утечки, а в течение 72 часов — сведения о результатах внутреннего расследования. Порядок действий при инциденте прописывают в приказе заранее.

Как часто пересматривать приказ?

Строгого срока закон не устанавливает. Пересматривают при смене ответственных, появлении новых систем и подрядчиков, изменении требований ФСТЭК и после инцидента.

Нужен ли приказ, если компания обрабатывает только данные сотрудников?

Да. Работодатель — оператор персональных данных, и обязанности по ст. 18.1 и 19 152-ФЗ распространяются на него так же, как на компании, которые обрабатывают данные клиентов.

Пока приказ лежит в папке, данные уходят в мессенджеры и облака

Чтобы правила защиты данных работали, а не лежали в папке

Приказ и положение есть, но сотрудники по-прежнему пересылают данные клиентов в личных мессенджерах, а заявки с сайта уходят в общую почту без контроля доступа.

Я настраиваю ИИ-агентов, которые разбирают заявки и документы по заданным правилам, работают внутри ваших систем и не выпускают данные за их пределы.

Читать об услуге «ИИ-агенты под задачу компании»