Обучение по защите персональных данных обязательно не для всего штата, а для работников, которые непосредственно обрабатывают такие данные: пункт 6 части 1 статьи 18.1 закона 152-ФЗ требует ознакомить их с законодательством и локальными актами и (или) обучить. Круг определяется фактическим доступом к данным, а не названием должности, и закрепляется приказом с перечнем допущенных лиц. Отдельные обязанности несут ответственный за организацию обработки персональных данных по статье 22.1 и те, кто работает с бумажными картотеками: пункт 6 Положения, утверждённого постановлением Правительства № 687, требует проинформировать их о категориях и правилах обработки. Главное различие: ознакомление под роспись обязательно всегда и делается своими силами, обучение с внешним провайдером закон не навязывает и удостоверения установленного образца не требует.
Разберём, как превратить норму в перечень должностей, какими документами закрывается обязанность и что показывает проверяющему, что обучение было. Покажем, чем ознакомление отличается от обучения по доказательной силе и чем сертификат провайдера отличается от удостоверения о повышении квалификации. Сравнение с охраной труда, экологической безопасностью и первой помощью, форматы обучения, цена ошибки по статье 13.11 КоАП, стоимость перевода ознакомлений в электронный вид и ответы на частые вопросы — во второй половине статьи.
Кого 152-ФЗ обязывает учить работе с персональными данными
Формулировка нормы узкая: обучению и ознакомлению подлежат работники оператора, непосредственно осуществляющие обработку персональных данных. Обработка по статье 3 закона 152-ФЗ — это любое действие с данными: сбор, запись, систематизация, хранение, уточнение, использование, передача, блокирование, удаление. Под определение попадает не только кадровик, который заполняет личную карточку, но и руководитель отдела, который согласует заявку на пропуск, и менеджер, который ведёт клиентскую базу.
Параллельно действует вторая обязанность, которую регулярно смешивают с первой. Пункт 8 части 1 статьи 86 ТК РФ требует ознакомить под роспись всех работников с документами работодателя, устанавливающими порядок обработки их персональных данных, и с их правами в этой области. Здесь работник выступает субъектом данных, а не обработчиком, и обучать его не нужно: достаточно ознакомления. Смешение двух норм даёт типовую ошибку — компания либо гоняет весь штат через курс на 16 часов, либо ограничивается ознакомлением там, где нужно обучение.
Третий контур — лица, обрабатывающие данные без средств автоматизации. Пункт 6 Положения из постановления Правительства № 687 требует, чтобы такие работники были проинформированы о факте обработки, категориях обрабатываемых данных, особенностях и правилах обработки, установленных нормативными и локальными актами. Это касается тех, кто ведёт бумажные журналы, картотеки личных дел, реестры пропусков. Формально закон говорит об информировании, а не об обучении, но без разъяснения правил информирование превращается в подпись под текстом, который никто не читал.
Ответственный за организацию обработки персональных данных стоит отдельно. Часть 4 статьи 22.1 закона 152-ФЗ прямо возлагает на него обязанность доводить до сведения работников оператора положения законодательства о персональных данных, локальных актов и требований к защите данных. То есть в компании должен быть человек, который сам разбирается в теме настолько, чтобы объяснять её остальным. Сведения об этом лице и о самой обработке подаются в реестр операторов персональных данных до начала обработки, там же публикуются формы уведомления и ведомственные нормативные акты.
Мария Ж, юрист со стажем более 20 лет: «Норму читают как требование обучить всех подряд, хотя закон говорит о работниках, непосредственно осуществляющих обработку. Проверьте по своей компании две вещи: кто фактически открывает файлы и папки с данными и кто из работников ознакомлен с порядком обработки собственных данных по статье 86 ТК РФ. Это два разных списка, и в большинстве организаций второй закрыт, а первый не сформирован вовсе.»
Ознакомление и обучение: разные обязанности с разной доказательной силой
Закон соединяет два действия союзом «и (или)», поэтому оператор вправе ограничиться ознакомлением. На практике этого хватает только там, где обработка простая и однотипная. Как только в организации появляются специальные категории данных, трансграничная передача, видеонаблюдение или биометрия, подписи под листом ознакомления перестают отвечать на вопрос проверяющего, понимает ли работник правила.
Ознакомление доказывается листом ознакомления или отметкой в самом локальном акте: дата, фамилия, подпись. Обучение доказывается программой, датой проведения, списком участников и результатом проверки знаний. Разница проявляется в момент инцидента: лист ознакомления подтверждает, что документ работнику показали, протокол тестирования подтверждает, что он усвоил правила и нарушил их сознательно. Для служебного расследования и для позиции компании перед регулятором это разные аргументы.
Факт: в компаниях с выстроенной системой корпоративного обучения норма составляет 40 часов на сотрудника в год — это 5 рабочих дней. Обязательные программы, включая работу с персональными данными, занимают в этом объёме единицы часов.
Чем сертификат отличается от удостоверения о повышении квалификации
Удостоверение о повышении квалификации — документ, который выдаёт организация с лицензией на образовательную деятельность по программе дополнительного профессионального образования. Минимальный срок освоения такой программы — 16 часов, это установлено Порядком организации образовательной деятельности по дополнительным профессиональным программам, утверждённым приказом Минобрнауки России от 24.03.2025 № 266, который действует с 1 сентября 2025 года. Сведения об удостоверении вносятся в федеральный реестр документов об образовании.
Сертификат — документ произвольной формы. Его выдаёт любой провайдер, вебинарная площадка или сама компания по итогам внутреннего курса. Никаких требований к содержанию, сроку и учёту у сертификата нет, юридически он равен внутреннему протоколу проверки знаний. Для персональных данных это не проблема: закон 152-ФЗ не требует ни лицензированного провайдера, ни удостоверения. Требование удостоверения появляется в других областях — там, где нормативный акт прямо называет форму подготовки.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Внешний курс с удостоверением по персональным данным берут не потому, что этого требует закон, а чтобы закрыть квалификацию ответственного за организацию обработки. Для остального штата дешевле и честнее внутренняя программа с тестом: она привязана к вашим регламентам, а не к абстрактным примерам. Прежде чем оплачивать внешнее обучение, посмотрите, какой документ вы предъявите проверяющему и что в нём будет написано про содержание программы.»
Как собрать перечень работников: от доступа, а не от должности
Отправная точка — не штатное расписание, а инвентаризация процессов. Статья 88 ТК РФ разрешает доступ к персональным данным работников только специально уполномоченным лицам, причём каждое из них получает лишь те данные, которые нужны для конкретных функций. Из этой нормы вырастает документ, который в компаниях называют перечнем лиц, допущенных к обработке: он утверждается приказом руководителя и служит основанием и для выдачи прав в системах, и для включения человека в программу обучения.
Ниже — разбивка по типовым ролям: какие данные обрабатывает работник, какая норма его касается и чем закрывается обязанность.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Кто в компании | Что обрабатывает | Основание | Чем закрывается |
|---|---|---|---|
| Специалисты по кадрам, расчётчики зарплаты | Личные дела, трудовые договоры, ЕФС-1, больничные | П. 6 ч. 1 ст. 18.1 152-ФЗ | Ознакомление и обучение с проверкой знаний |
| Ответственный за организацию обработки | Политику, реестр процессов, обращения субъектов | Ч. 4 ст. 22.1 152-ФЗ | Углублённая подготовка, он же обучает остальных |
| Администраторы систем, ИТ-специалисты | Базы данных, права доступа, резервные копии | П. 6 ч. 1 ст. 18.1 152-ФЗ | Обучение с блоком по средствам защиты информации |
| Руководители подразделений | Оценки, заявки, характеристики подчинённых | П. 6 ч. 1 ст. 18.1 152-ФЗ, ст. 88 ТК РФ | Ознакомление и обучение по правилам передачи данных |
| Работники с бумажными журналами и картотеками | Журналы посетителей, реестры пропусков, личные дела | П. 6 Положения, утв. ПП № 687 | Информирование о категориях и правилах обработки |
| Остальные работники | Собственные данные как субъект | П. 8 ч. 1 ст. 86 ТК РФ | Ознакомление под роспись, обучение не требуется |
Из таблицы видно, что обязанность распадается на три разных объёма работы, и только два верхних требуют программы и проверки знаний. Остальное закрывается документами об ознакомлении, которые кадровая служба и так оформляет при приёме.
Важный нюанс из практики: перечень допущенных лиц почти всегда расходится с реальными правами в информационных системах. Человека перевели в другой отдел, приказ о переводе оформили, а доступ к папке с личными делами у него остался. В практике Добыто мы сверяем перечень с ролями в системе на этапе пилотной группы, до раскатки на всю компанию: расхождения находятся почти в каждом проекте, и чаще всего у уволенных и переведённых сотрудников.
Сверьте должности и обязательные программы в матрице обучения
Как определить, кто обязан проходить обучение: пошаговая инструкция
- Шаг 1. Составьте реестр процессов обработки: кадровый учёт, подбор, пропускной режим, видеонаблюдение, маркетинг, работа с клиентами. Для каждого процесса зафиксируйте категории данных и цель обработки.
- Шаг 2. По каждому процессу выпишите роли, а не фамилии: кто вносит данные, кто их читает, кто передаёт третьим лицам, кто удаляет. Роль, у которой нет ни одного действия с данными, в перечень не попадает.
- Шаг 3. Сверьте список ролей с фактическими правами в системах и с ключами от шкафов с бумажными делами. Расхождения устраните до утверждения перечня, иначе документ разойдётся с реальностью в первый же месяц.
- Шаг 4. Утвердите приказом перечень лиц, допущенных к обработке персональных данных, и разделите его на две части: кому нужна программа с проверкой знаний и кому достаточно информирования по постановлению № 687.
- Шаг 5. Привяжите перечень к кадровым событиям: приём, перевод, изменение должностной инструкции, выдача доступа. Ответственным за актуализацию назначьте того же человека, который отвечает за организацию обработки по статье 22.1.
Как часто повторять обучение и какие события его запускают
Периодичность обучения по персональным данным закон не устанавливает. Оператор определяет её сам в локальном нормативном акте, и именно эта формулировка становится обязательной для компании: если в положении написано «не реже одного раза в год», проверяющий будет сверять журнал с этим сроком, а не с абстрактной практикой рынка. Отсюда практическое правило: не переписывайте в положение красивый короткий срок, который вы не выдержите.
Кроме календарной периодичности работает событийный контур. Обучение или повторное ознакомление запускают: приём работника на должность с доступом к данным, перевод на такую должность, выдача доступа к новой системе, утверждение новой редакции политики или положения об обработке, изменение законодательства, инцидент с утечкой или обращение субъекта данных. Событийная привязка надёжнее календарной: она закрывает срок между плановыми занятиями, когда в компанию пришли новые люди.
Кейс из практики: компания включила блок по обработке персональных данных в папку должности, которую новичок изучает при выходе на работу, вместе с продуктом должности и технологией работы по шагам. Базовая адаптация по такой системе занимает 3-5 дней, и ознакомление с правилами обработки перестало быть отдельной задачей кадровой службы: оно закрывается в тот же срок, что и остальной онбординг.
Мы закладываем повторное ознакомление на те же события, что и выдачу доступа: заявка на доступ и лист ознакомления идут одним пакетом. Это снимает основную часть расхождений между перечнем и реальностью.
Форматы обучения по персональным данным: синхронный, асинхронный, смешанный
Синхронный формат — это занятие в реальном времени: очный семинар, вебинар, разбор кейсов с тренером. Все участники находятся в одной точке расписания, можно задать вопрос и получить ответ сразу. Асинхронный формат — самостоятельное прохождение записанного курса, чтения регламента, теста в удобное время. Обучение по персональным данным ложится на асинхронный формат почти целиком: содержание нормативное, вопросов на понимание немного, а фиксация результата нужна поимённая.
Смешанный формат в корпоративном обучении стал основным: медианная доля гибридных программ по независимым опросам составляет 82%, чистое очное обучение осталось примерно у 4% компаний, а внутри гибрида баланс держится около 63% дистанционно и 37% очно. Для персональных данных разумная пропорция смещена ещё сильнее в сторону дистанционного: очной остаётся только часть для ответственного за организацию обработки и руководителей, где разбираются спорные ситуации с передачей данных.
Лайфхак: взрослый усваивает материал лучше, когда добывает знание сам. Выдайте регламент и памятку, обозначьте срок и проверьте усвоение через 3 дня — это снимает нагрузку с руководителя и включает ответственность работника.
Когда корпоративный университет и модель 70-20-10 не подходят
Модель 70-20-10 распределяет развитие так: 70% — обучение на рабочих задачах, 20% — обучение у коллег и наставника, 10% — формальные курсы. Для управленческих и профессиональных навыков она работает. Для персональных данных она даёт сбой в части доказательства: обучение на рабочих задачах и подсказки коллеги не оставляют документа, который можно предъявить проверяющему. Норматив требует подтверждаемого факта, а не результата развития.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Корпоративный университет с собственной платформой и методистами тоже не универсальное решение. Он оправдан там, где обучение идёт потоком: несколько тысяч человек, регулярные программы, оценка эффекта. Компании с численностью до сотни человек закрывают обязанность по персональным данным положением об обучении, программой на несколько часов, тестом и журналом учёта. Разворачивать под эту задачу платформу — лишние расходы: содержание программы не меняется чаще, чем законодательство.
Учебный центр, живущий в отрыве от бизнеса, учит тому, что кажется правильным методисту. С персональными данными эта ошибка стоит дорого: курс с общими примерами не отвечает на вопрос конкретного менеджера, можно ли отправить в мессенджере скан паспорта клиента. Программа собирается из ваших регламентов и ваших процессов, иначе после неё работник действует по привычке.
Документы, которыми вы докажете обучение проверяющему
Проверка Роскомнадзора смотрит не на факт обучения, а на комплект документов, который его фиксирует. Минимальный набор: локальный акт с порядком и периодичностью обучения, приказ об утверждении этого акта, приказ с перечнем допущенных лиц, программа обучения, журнал учёта, лист ознакомления и результаты проверки знаний. Отсутствие любого элемента превращает обучение в незадокументированное мероприятие.
Мария Ж, HR-эксперт с 13-летним стажем: «Самая частая дыра в комплекте — журнал учёта, который ведут задним числом перед проверкой. Заводите журнал одновременно с положением и вносите записи в день занятия: дата, программа, список участников, результат проверки знаний, подпись обучавшего. Один раз восстановленный задним числом журнал видно по почерку и по датам, и он работает против компании, а не за неё.»
Шаблоны локальных актов и учётных форм для обучения по персональным данным
Комплект собран под задачу подтвердить обучение документально, начинать удобнее с положения об обучении: оно задаёт периодичность, на которую потом ссылаются остальные формы.
| Документ | Скачать |
|---|---|
| Положение об обучении персонала | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Журнал учёта обучения персонала | Скачать |
| Тест проверки знаний после обучения | Скачать |
| Согласие на обработку персональных данных | Скачать |
Подписи под листами ознакомления можно собирать электронно. В Добыто КЭДО лист уходит маршрутом сразу группе работников, статусы подписания видны в реестре документов, а подписанный файл попадает в архив с доступом только у сотрудников с соответствующими правами. Для распределённых команд это снимает главную проблему бумажного ознакомления — отсутствующих в офисе в день утверждения акта.
Обучение по персональным данным и другие обязательные программы: в чём разница
Кадровику полезно видеть, где законодатель задал жёсткую форму подготовки, а где оставил свободу. Сравнение четырёх обязательных направлений показывает, почему требования к обучению по персональным данным заметно мягче.
| Направление | Норма | Кто обязан | Форма подготовки |
|---|---|---|---|
| Персональные данные | П. 6 ч. 1 ст. 18.1 152-ФЗ | Работники, непосредственно обрабатывающие данные | Определяет оператор, лицензия провайдера не требуется |
| Охрана труда | Правила, утв. постановлением Правительства № 2464 | Руководитель, специалисты, работники по программам А, Б, В | Программы с проверкой знаний, часть — только в аккредитованной организации |
| Первая помощь | П. 33 Правил, утв. ПП № 2464 | Работники из перечня по подпунктам «а» — «ж», включая назначенных решением работодателя | Отдельная программа, перечень утверждает работодатель |
| Экологическая безопасность | Ст. 73 Федерального закона № 7-ФЗ | Руководители и специалисты, принимающие решения по деятельности с воздействием на окружающую среду | Подготовка в области охраны окружающей среды и экологической безопасности |
Различие сводится к одному: в охране труда и экологии нормативный акт называет категории работников и форму подготовки, а в персональных данных категорию определяет сам оператор через перечень допущенных лиц. Свобода формы оборачивается ответственностью за её обоснование: если перечень составлен формально, никакая программа обучения его не спасёт.
Сколько стоит ошибка: штрафы и последствия необученного персонала
Цена вопроса изменилась 30 мая 2025 года, когда вступили в силу поправки в статью 13.11 КоАП РФ, внесённые законом № 420-ФЗ. Неправомерная передача персональных данных от 1 000 до 10 000 субъектов обходится организациям и ИП в 3-5 млн рублей, свыше 10 000 и до 100 000 субъектов — в 5-10 млн рублей. Непредставление уведомления об утечке в Роскомнадзор — отдельный состав, от 1 до 3 млн рублей. За повторное нарушение предусмотрен оборотный штраф в размере 1-3% годовой выручки.
Параллельно действует статья 272.1 УК РФ, введённая в декабре 2024 года: незаконные использование и передача компьютерной информации, содержащей персональные данные, стали самостоятельным преступлением. Ответственность здесь персональная, и она ложится на конкретного работника, который переслал базу или выгрузил её на личный носитель.
Полезно знать: отказ от обучения запускает цепочку: штат остаётся некомпетентным, руководитель начинает делать работу за подчинённых, его ресурс уходит на текучку. Экономия на обучении оборачивается стагнацией, а в теме персональных данных ещё и незакрытой обязанностью оператора.
Экономика решения простая. Внутренняя программа по персональным данным — это несколько часов работы юриста на подготовку и по часу на работника в год. Один инцидент с базой на 1 000 человек стоит минимум 3 млн рублей плюс уведомление регулятора в течение суток и расследование. Обученный работник не гарантирует отсутствия утечки, но снимает самый частый её сценарий: отправку данных не по адресу, выгрузку на личную почту и передачу файла подрядчику без договора поручения.
Мария Ж, судебный эксперт по трудовому праву: «Дисциплинарное взыскание за нарушение правил обработки данных держится в суде только тогда, когда работник ознакомлен с конкретным локальным актом и обучен его применять. Если в деле есть лист ознакомления с политикой и протокол проверки знаний, позиция работодателя устойчива. Если есть только приказ об увольнении, суд восстанавливает работника, а компания остаётся и без него, и с инцидентом.»
Стоимость перевода ознакомлений и кадровых документов в электронный вид
Затраты на само обучение по персональным данным компания несёт внутри, а расходы возникают там, где нужно собрать и хранить подписи под листами ознакомления и локальными актами. Стоимость зависит от численности штата и набора функций.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения численности | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф | без отдельной оплаты |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
| Электронный архив и кастомные шаблоны | входит в тариф «Бизнес» | настраивается при подключении |
Итоговая сумма складывается из численности, набора функций и того, нужны ли выделенный сервер и персональный менеджер. Электронные подписи для сотрудников выпускаются без отдельной оплаты на всех тарифах, а условия по каждому пакету и порядок перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Платформа соответствует требованиям закона № 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и закона 152-ФЗ о персональных данных, поэтому листы ознакомления и локальные акты, подписанные в системе, работают как доказательство наравне с бумажными.
Выводы
Обязанность обучать по персональным данным адресована узкому кругу: работникам, которые реально совершают действия с данными, ответственному за организацию обработки и тем, кто ведёт бумажные картотеки. Остальному штату достаточно ознакомления под роспись с порядком обработки их собственных данных. Форму обучения, периодичность и содержание программы определяет сама компания в локальном акте, но именно этот акт потом становится мерилом при проверке. Доказательством служит не факт занятия, а комплект: перечень допущенных лиц, программа, журнал учёта и результаты проверки знаний.
Мы в Добыто ежедневно работаем с той частью задачи, где обязанность превращается в документы: сбор подписей под локальными актами, маршруты ознакомления, хранение подписанных файлов с разграничением доступа. Когда перечень допущенных лиц синхронизирован с правами в системе, ежегодная актуализация обучения перестаёт быть отдельным проектом кадровой службы.
Частые вопросы
Нужно ли обучать самозанятых и исполнителей по договору ГПХ?
Требования статьи 18.1 закона 152-ФЗ адресованы работникам оператора, то есть лицам в трудовых отношениях. С исполнителем по гражданско-правовому договору обязанность закрывается иначе: если он обрабатывает данные по вашему поручению, заключается договор поручения обработки по части 3 статьи 6 закона 152-ФЗ, где прописываются перечень действий, цели, требование конфиденциальности и меры защиты. Пункт 6 Положения из постановления № 687 отдельно упоминает лиц, обрабатывающих данные по договору с оператором: их тоже надо проинформировать о правилах обработки.
Нужно ли обучать генерального директора и собственника?
Руководитель организации — такой же работник по трудовому договору, и если он подписывает кадровые документы, согласует заявки и видит персональные данные, он попадает в перечень допущенных лиц на общих основаниях. Собственник, не занимающий должность и не имеющий доступа к системам, в перечень не включается: обработку он не осуществляет. Отдельно проверьте, кто утверждает перечень: приказ подписывает руководитель, и его собственная фамилия в списке выглядит логично, а не странно.
Считается ли обучением ежегодное переподписание листа ознакомления?
Нет. Повторное ознакомление с той же редакцией акта подтверждает, что документ работнику показали ещё раз, но не подтверждает усвоение правил. Если в вашем локальном акте написано слово «обучение», проверяющий будет искать программу с содержанием и результат проверки знаний. Если написано только «ознакомление», достаточно листа с подписью и датой, и требовать большего оснований нет.
Что делать с работниками, которые видят данные случайно: курьеры, уборщики, охрана?
Критерий один — совершает ли человек действия с данными в рамках своих функций. Охранник, который вносит посетителей в журнал, обрабатывает данные и попадает под пункт 6 Положения из постановления № 687. Уборщик, который просто находится в помещении с документами, обработку не осуществляет, и обучать его не нужно. Для этой категории работает не обучение, а режим: запираемые шкафы, чистый стол, разграничение доступа в помещения.
Как оформить обучение для работника в отпуске по уходу за ребёнком?
Пока трудовой договор действует, работник числится в штате, но доступ к данным на период отпуска у него отсутствует. Практичный вариант — исключить его из перечня допущенных лиц на время отпуска и провести обучение и ознакомление с актуальной редакцией актов в день выхода на работу, до восстановления доступа. Требовать явки на обучение в период отпуска работодатель не вправе.
Обязательно ли хранить результаты тестирования и сколько времени?
Закон 152-ФЗ срок хранения таких документов не устанавливает, он определяется номенклатурой дел организации. Разумный ориентир — хранить журнал учёта и протоколы проверки знаний столько же, сколько действует соответствующая редакция локального акта, плюс срок исковой давности по трудовым спорам. Уничтожать результаты при увольнении работника не стоит: они могут понадобиться при расследовании инцидента, произошедшего в период его работы.
