В 2026 году требования к документации по защите персональных данных (ПДн) продолжают ужесточаться. С вступлением в силу поправок‚ увеличивающих административные штрафы с 30 мая 2025 года‚ грамотное оформление внутренних документов — объяснительных записок‚ уведомлений‚ согласий и отзывов — становится критически важным для любого оператора. В этой статье мы подробно разберем основные виды документов‚ их образцы заполнения и актуальные требования Роскомнадзора.

Объяснительная записка: когда нужна и как оформить

Объяснительная записка — это документ свободной формы‚ который пишется работником или ответственным лицом для разъяснения обстоятельств определенного события. В контексте ПДн она требуется в следующих случаях:

• Нарушение режима защиты ПДн (утеря носителя‚ несанкционированный доступ‚ отправка не тем адресатам).
• Выявление инцидента безопасности при внутреннем аудите или проверке Роскомнадзора.
• Необходимость разъяснить причины обработки определенной категории данных без согласия субъекта.
• Ответ на требование инспектора Роскомнадзора в ходе проверки.

Общие правила оформления (актуально на 2026 год)

1. Строгой унифицированной формы нет. Организация может утвердить свой бланк локальным нормативным актом (ЛНА). Если бланка нет — пишут на чистом листе (А4) или фирменном бланке.
2. Структура документа:
   • Шапка: Кому (ФИО руководителя/ФИО инспектора)‚ От кого (ФИО автора‚ должность‚ подразделение).
   • Название: «ОБЪЯСНИТЕЛЬНАЯ ЗАПИСКА» (по центру).
   • Суть события: Что‚ где‚ когда произошло (факты‚ без эмоций).
   • Причины: Почему это произошло (человеческий фактор‚ сбой ПО‚ отсутствие инструкции).
   • Последствия: Какие данные задействованы‚ есть ли ущерб.
   • Меры: Что сделано для устранения и предотвращения повторения.
   • Дата‚ подпись‚ расшифровка подписи.
3. Сроки: Обычно требуется предоставить в течение 2 рабочих дней после обнаружения нарушения или получения требования (если иное не установлено ЛНА).

Пример структуры (шаблон)

Генеральному директору ООО «Ромашка»
Иванову И.И.
от менеджера отдела продаж
Петрова П.П. (подразделение )

ОБЪЯСНИТЕЛЬНАЯ ЗАПИСКА

 DD.MM.2026 г. в :* в ходе работы с CRM-системой была допущена ошибка: коммерческое предложение с вложением файла‚ содержащего персональные данные клиентов (ФИО‚ телефоны )‚ направлено на адрес  вместо адреса .

Причина: неверно выбран контакт из выпадающего списка при автозаполнении. Инструкция по работе с CRM (версия 1.0) не содержала пункта о обязательной проверке получателя перед отправкой массовых рассылок.

Последствия: данные  субъектов ПДн стали доступны неавторизованному лицу. Ущерба субъектам не причинено‚ данные не являются особыми/биометрическими.

Принятые меры:
Немедленно отправлено письмо ошибочному получателю с требованием удалить письмо и подтвердить удаление.
Сообщение об инциденте направлено в службу ИБ (журнал инцидентов № *).
Инициировано обновление Инструкции по работе с CRM (пункт 4.5).
Прошу принять к сведению и не применять к мне дисциплинарные взыскания ввиду отсутствия умысла и своевременного сообщения.

 DD.MM.2026 г. Петров П.П. /Петров П.П./

> Важно: Всегда актуальные бланки и образцы в формате ;doc и .pdf можно найти в справочно-правовых системах (например‚ КонсультантПлюс‚ Приложение № 25 к типичным актам) или на профильных порталах (DataDoc‚ Бух.1С).

Согласие на обработку ПДн и Отзыв согласия: образцы 2026 года

Согласие субъекта — один из основных оснований обработки (ст. 6‚ 9‚ 10 Закона № 152-ФЗ). Роскомнадзор регулярно обновляет рекомендации по его оформлению.

Ключевые требования к форме согласия (ст. 9 Закона № 152-ФЗ):

• Написание от руки или ЭЦП (для электронного вида).
• ФИО‚ паспортные данные‚ адрес субъекта (маскируем в примерах: ).
• ФИО/Наименование оператора‚ адрес (юридический/фактический ).
• Цель обработки (конкретная‚ а не «для любых целей»).
• Перечень обрабатываемых данных (ФИО‚ телефон‚ email‚ СНИЛС‚ паспорт и т.д;).
• Способы обработки (сбор‚ запись‚ хранение‚ удаление и т.д.).
• Срок действия или условие прекращения (например‚ «до достижения цели» или «3 года»).
• Подпись субъекта и дата.

Отзыв согласия (Ст. 9‚ ч. 2 Закона № 152-ФЗ)

Субъект имеет право отозвать согласие в любой момент. Образец заявления на отзыв должен содержать:

• Реквизиты оператора (Кому).
• Данные субъекта (От кого).
• Текст: «Отзываю свое согласие на обработку персональных данных‚ данное DD.MM.YYYY г.».
• Требование прекратить обработку и уничтожить данные (если нет иных законных оснований).
• Способ уведомления о результатах (почта‚ email‚ лично под роспись).

Уведомление Роскомнадзора об обработке ПДн

До начала обработки ПДн (кроме исключений ст. 22 Закона) оператор обязан уведомить Роскомнадзор для внесения в реестр.

Порядок и сроки (актуально на ):

1. Подача уведомления через личный кабинет на pdn.rkn.gov.ru (электронный вид) или по почте/лично.
2. Роскомнадзор вносит сведения в реестр в течение 30 календарных дней с даты получения уведомления.
3. После внесения в реестр оператору присваивается номер записи.

Типичные ошибки заполнения (по материалам Роскомнадзора):

• Копирование чужого образца без учета специфики бизнеса (Роскомнадзор прямо предупреждает: «не переносить данные образца в свою форму ввиду специфичности каждого вида бизнеса»).
• Неполный перечень категорий субъектов (работники‚ клиенты‚ посетители сайта‚ кандидаты).
• Отсутствие перечня действий (операций) с ПДн для каждой категории.
• Неуказание мер защиты (административных‚ организационных‚ технических) согласно Приказу ФСТЭК № 21 / Приказу ФСБ № 334.
• Ошибки в указании оснований обработки (ссылка на ст. 6‚ 10‚ 11 Закона).

Пример заполнения формы (Информационное письмо о внесении изменений) публикуеться на сайте Роскомнадзора (раздел «Для операторов ПДн» -> «Примеры заполнения»). Обязательно сверяйтесь с актуальной версией формы‚ утвержденной Приказом Роскомнадзора.

Уведомление работника о получении ПДн от третьих лиц (Ст. 18.1 Закона № 152-ФЗ)

Если оператор получает данные о работнике/кандидате не от самого субъекта (например‚ от прошлого работодателя‚ кредбюро‚ агентства по найму)‚ он обязан уведомить субъекта об этом.

Содержание уведомления (образец):

• Источник получения данных (Наименование третьего лица‚ адрес *).
• Полученные категории данных (Сведения о трудовой деятельности‚ зарплате‚ судимостях и т.д.).
• Цель обработки этих данных.
• Правовое основание (п. 2 ч. 1 ст. 6 или иные).
• Сроки обработки.
• Права субъекта (доступ‚ исправление‚ блокировка‚ отзыв согласия — если обработка на основании согласия).

Срок уведомления: в течение 30 дней с момента получения данных (если законом не установлен иной срок). В 2025-2026 гг. популярны онлайн-генераторы таких уведомлений (например‚ сервис DataDoc)‚ но юристы рекомендуют проверять сгенерированный текст на соответствие реальным бизнес-процессам.

Внутренний документооборот: обязательный пакет ЛНА на 2026 год

Наличие объяснительной записки — это реакция на инцидент. Профилактика — это разработанный и утвержденный пакет локальных нормативных актов (ЛНА). По данным подборок образцов (юридические порталы‚ КонсультантПлюс)‚ минимальный набор на 2026 год включает:

Административная ответственность: что изменилось с мая 2025 года

Ссылки на источники (БУХ.1С‚ профильные журналы) указывают на увеличение штрафов с 30 мая 2025 года (ФЗ от № 418-ФЗ). Это делает риск «работать без документов» или «писать объяснительные постфактум без системы» недопустимо высоким.

• Для должностных лиц: от 20 000 до 50 000 руб. (было 5 000 – 10 000).
• Для юрлиц: от 100 000 до 500 000 руб. (было 15 000 – 75 000).
• За повторное нарушение: до 1 000 000 руб. или приостановка деятельности до 90 дней.

Нарушения: отсутствие уведомления в реестре‚ обработка без основания‚ несоблюдение прав субъектов (отказ в доступе‚ неисполнение отзыва)‚ отсутствие мер защиты‚ утечка данных.

Чек-лист: алгоритм действий при обнаружении инцидента с ПДн (для написания объяснительной)

1. Фиксация факта: Время обнаружения‚ кто обнаружил‚ что именно произошло (утечка‚ потеря‚ взлом‚ ошибочная рассылка).
2. Локализация: Блокировка доступа‚ отзыв письма‚ изъятие носителя‚ смена паролей.
3. Оценка масштаба: Категории данных (общие‚ особые‚ биометрические)‚ количество субъектов (* человек).
4. Уведомление ответственных: Ответственный за защиту ПДн (ОЗПДн)‚ руководитель‚ юрист‚ ИБ (есть штат/аутсорс).
5. Решение об уведомлении Роскомнадзора и субъектов: Обязательно‚ если есть угроза правам субъектов (ст. 22.1 Закона № 152-ФЗ). Срок — 24 часа для РКН‚ в разумный срок для субъектов.
6. Сбор доказательной базы: Логи серверов‚ скриншоты‚ акты осмотра‚ объяснительные записки виновных/свидетелей.
7. Расследование и корректирующие меры: Выявление первопричины (Root Cause Analysis)‚ обновление ЛНА‚ обучение персонала‚ закупка СЗИ.
8. Документирование итогов: Акт расследования‚ приказ о мерах по предотвращению‚ отчет в РКН (если уведомляли).

В 2026 году «Образец объяснительной персональных данных» — это не просто шаблон для скачивания‚ а элемент системы управления защитой информации. Использование готовых бланков (из КонсультантПлюс‚ сайта Роскомнадзора‚ профильных сервисов типа DataDoc) допустимо и необходимо‚ но только после адаптации под специфику вашей организации.

Главные правила успеха:

• Имейте утвержденные ЛНА (Политику‚ Приказы‚ Инструкции) до возникновения инцидента.
• Обучайте персонала правилам заполнения объяснительных и уведомлений.
• Проводите внутренний контроль (план на год) и фиксируйте результаты.
• Следите за сроками уведомления Роскомнадзора (30 дней на регистрацию‚ 24 часа на инцидент) и субъектов.
• Маскируйте реальные ПДн в учебных примерах и публичных документах (используйте *).

Данная статья носит информационный характер. Для решения конкретных правовых вопросов обратитесь к квалифицированному юристу или специалисту по защите персональных данных. Актуальность нормативной базы проверяйте на дату использования (текущая дата: ).