Документы по персональным данным и ИБ для управляющей компании в Серпухове

Руководитель управляющей компании нередко сталкивается с запросом собственника: «На каком основании вы обрабатываете мои паспортные данные? Кто имеет к ним доступ? Как долго они хранятся?» Если к этому моменту в организации нет политики обработки персональных данных, приказа об ответственном, форм согласий и регламентов доступа, ответить по существу сложно — а отказ или молчание лишь усиливает риск жалобы в Роскомнадзор.

Ниже разберём, какие документы по 152-ФЗ и организационным мерам защиты действительно обязательны для УК и ТСЖ, а какие носят рекомендательный характер. Покажем, что ЖКХ не относится к сфере критической информационной инфраструктуры, поэтому тяжёлый технический контур не нужен. Дадим состав комплекта, порядок работы и честные цены. Всё это — с учётом изменений 2025–2026 годов, включая требование оформлять согласия отдельными формами.

Какие документы по ИБ обязательны: управляющая компания, ТСЖ

Для УК и ТСЖ основным регулятором является Федеральный закон № 152-ФЗ «О персональных данных». Дополнительно применяются требования Трудового кодекса (для данных работников), постановление Правительства РФ № 1119 (уровень защищённости информационных систем) и постановление № 687 (для неавтоматизированной обработки). ЖКХ не входит в перечень сфер критической информационной инфраструктуры по 187-ФЗ, поэтому требования к значимым объектам КИИ (приказы ФСТЭК 235/239) на УК не распространяются.

Видеонаблюдение в местах общего пользования — это обработка персональных данных (изображение лиц), поэтому цели, сроки и ответственные должны быть зафиксированы в политике и регламенте. Если УК передаёт данные жителей в расчётный центр или платёжному агенту, требуется поручение на обработку (ч. 3 ст. 6 152-ФЗ). Без него действия подрядчика формально незаконны, а оператором по-прежнему остаётся УК.

Отраслевого перечня угроз безопасности персональных данных для жилищно-коммунальной сферы не утверждено. Если УК ведёт базу жителей в обычной учётной программе, объём данных небольшой и категории не относятся к специальным, чаще всего применяется 4-й уровень защищённости. Технические меры можно свести к организационным, но их перечень также нужен в документах.

Состав комплекта для вашей организации

Ниже — минимальный и достаточный для большинства УК правовой пакет. Он закрывает требования 152-ФЗ и Трудового кодекса, позволяет корректно заполнить уведомление РКН и ответить на запрос жильца без лишних рисков.

Кто проверяет и что смотрят

Основной надзорный орган по персональным данным — Роскомнадзор. Он вправе запрашивать документы и локальные акты по ч. 4 ст. 18.1 152-ФЗ. ФСТЭК контролирует только государственные информационные системы и объекты КИИ; для обычной управляющей компании такие проверки не проводятся. Прокуратура и государственная жилищная инспекция могут подключиться при жалобе жильца, но, как правило, перенаправляют материалы в РКН или проверяют в рамках своих полномочий.

Типовые вопросы и запросы при проверке:

• Покажите политику обработки ПДн и подтвердите, что она опубликована (ссылка на сайт или скан стенда).
• Представьте приказ о назначении ответственного за организацию обработки ПДн.
• Имеются ли формы согласий, соответствующие ч. 1 ст. 9 (отдельные от договора управления)?
• Заключено ли поручение на обработку с расчётным центром? Какие данные передаются и для каких целей?
• Как вы отвечаете на запросы субъектов? Ведите ли журнал обращений и акты уничтожения?
• Что делаете при утечке данных? Есть ли регламент уведомления РКН в течение 24 и 72 часов?

Подготовленный комплект закрывает большинство этих вопросов, поскольку в нём уже описаны цели, сроки, лица с доступом и процедуры.

Как мы готовим комплект

Работаем дистанционно по всей России, в том числе с организациями из Серпухове. Вы заполняете опросный лист о деятельности, целях обработки, используемых системах, сотрудниках и подрядчиках. При необходимости проводим созвон. Документы не скачиваются из интернета и не штампуются — специалист адаптирует их под ваши процессы: типы домов, наличие биллинга, видеонаблюдения, передачу показаний, работу с должниками.

Если в вашей УК есть автоматизированная система с персональными данными (например, программный комплекс для расчёта квартплаты с базой паспортов жителей), может потребоваться определить уровень защищённости и разработать модель угроз. Эту техническую часть мы выполняем только методически: предоставляем шаблон, консультируем, проверяем результат, а подготавливает и утверждает документ специалист заказчика. Либо можем привлечь партнёра-лицензиата ФСТЭК. Но для типовой УК с 2–3 программами и небольшим объёмом данных это не всегда необходимо — сначала достаточно правового контура.

Особенности, о которых забывают

• ✓ Должники. Вывешивать списки должников с ФИО и номерами квартир в подъездах или групповых чатах нельзя — это распространение персональных данных без согласия. Такие действия подпадают под ч. 1 или ч. 2 ст. 13.11 КоАП. Работать с долгом можно через официальные уведомления, судебный порядок.
• ✓ Видеонаблюдение. Камеры в лифтах, на придомовой территории — это обработка ПДн. В политике должны быть закреплены цели (безопасность, сохранность имущества), срок хранения записей (обычно 30 суток), ответственный за доступ. Доступ к архиву — только у уполномоченных лиц, перечень которых приказом утверждён.
• ✓ Передача в расчётный центр. РЦ или платёжный агент обрабатывает данные жителей по вашему поручению. Обязательно оформите поручение с перечнем данных и целей. Это защищает и вас: если у РЦ утечка, вы сможете показать договорную основу.
• ✓ Согласия при онлайн-обращениях. Если житель оставляет заявку через сайт или мобильное приложение, форма сбора должна включать отдельное поле согласия на обработку ПДн. Нельзя включать пункт о согласии «мелким шрифтом» в общий договор — с 01.09.2025 это прямо запрещено.
• ✓ Подрядчики. Клининговая компания, охрана, аварийная служба могут иметь доступ к данным жителей. Подпишите с ними обязательство о неразглашении и, если нужно, поручение на обработку.

Разбор на примере: управляющая компания на 40 домов

Как шла работа:

Что будет без документов

Отдельного штрафа «за отсутствие локальных актов» в КоАП РФ нет. Но отсутствие политики, согласий и приказа об ответственном почти всегда трактуется как нарушение порядка обработки персональных данных и влечёт санкции по ст. 13.11. Основные составы:

За утечку персональных данных предусмотрены оборотные штрафы: до 3% годовой выручки за повторные или массовые случаи, минимум 20 млн ₽, максимум 500 млн ₽ (ч. 15 и 18 ст. 13.11). Для управляющей компании база жителей может составлять десятки тысяч записей, поэтому риск серьёзный.

Кроме административной, есть и трудовая ответственность: работника, разгласившего ПДн другого работника, можно уволить по п. 6 «в» ч. 1 ст. 81 ТК РФ. Но чтобы такое увольнение прошло проверку в суде, в организации должны быть документы, подтверждающие, что сведения относились к охраняемой законом тайне: перечень, расписка об ознакомлении, гриф.

Если управляющая компания вводит режим коммерческой тайны (например, для базы должников или внутренних методик), без полного набора мер по ст. 10 98-ФЗ режим не будет считаться установленным, а значит, защитить сведения не получится.

Чем поможем и сколько это стоит

Мы готовим правовой и организационный пакет для управляющих компаний и ТСЖ:

• Политика обработки ПДн (для сайта и внутренняя).
• Положение об обработке ПДн жителей и работе с должниками.
• Положение о ПДн работников.
• Приказ об ответственном за организацию обработки.
• Формы согласий отдельными документами (включая согласие на распространение).
• Поручение на обработку для расчётного центра и платёжных агентов.
• Регламент ответов на запросы субъектов и порядок уничтожения.
• Регламент видеонаблюдения.

Цена ниже средней, потому что мы используем отработанные типовые решения и дистанционный формат без выезда специалиста. Документы готовит специалист, а не программа: вы получаете не пустой шаблон, а тексты, адаптированные под ваши процессы. Техническую часть, если она нужна, честно выносим в отдельное методическое сопровождение или привлекаем партнёра-лицензиата, не навязывая лишний контур.

Частые вопросы

Если вам нужен комплект документов по персональным данным или политика обработки ПДн для управляющей компании в Серпухове, обращайтесь — подготовим пакет под ваши процессы. Также поможем с документами по персональным данным, политикой обработки ПДн и уведомлением в РКН.