Главная
/
Статьи
/
Кто такой юрист по персональным данным

Кто такой юрист по персональным данным и чем он занимается

Схема работы юриста по персональным данным: политика и согласие, уведомление РКН, защита при проверках

Нажимая кнопку «Отправить», вы даете согласие на обработку персональных данных в соответствии с политикой обработки персональных данных

Входим в ведущие рейтинги и объединения страны:

РЕЙТИНГ
ЮРИДИЧЕСКИХ
КОМПАНИЙ
РОССИИ

Результаты рейтинга юридических компаний ПРАВО-300

ЛУЧШИЕ ЮРИДИЧЕСКИЕ ПРАКТИКИ

Результаты рейтинга Российской газеты RG.RU

Кратко: юрист по персональным данным — это юрист, который специализируется на законодательстве о защите информации о людях: в России это прежде всего Федеральный закон № 152-ФЗ «О персональных данных», за рубежом — GDPR и другие режимы. Он переводит требования закона на язык процессов компании: какие данные можно собирать, на каком основании, где и сколько их хранить и кому передавать. Такой специалист готовит документы и уведомления в Роскомнадзор, проверяет сайты и договоры, сопровождает проверки и расследование утечек. Профессия стоит на стыке права, ИТ и информационной безопасности, и спрос на неё резко вырос после введения многомиллионных штрафов за утечки в 2025 году.

В этой статье — чем именно занимается юрист по персональным данным, чем он отличается от DPO и специалиста по информационной безопасности, какие знания и навыки нужны на каждом уровне и как прийти в профессию.

Автор: Морозов Никита Алексеевич

Материал подготовил Морозов Никита Алексеевич, эксперт по защите персональных данных (DPO), старший юрист. Опыт работы с персональными данными с 2020 года.

Задать вопрос эксперту

Дата публикации: 06.11.2026
Дата обновления: 06.11.2026

Структура страницы

Чем занимается юрист по персональным данным

Главная задача — сделать так, чтобы компания могла работать с данными клиентов, сотрудников и партнёров законно и могла это доказать. Доказать нужно трём адресатам: Роскомнадзору, суду и крупным контрагентам, которые всё чаще проверяют поставщиков перед подписанием договора.

На практике работа складывается из восьми блоков.

Карта данных. Юрист выясняет, какие данные собирает компания, о ком, зачем, в каких системах они хранятся и кому передаются. Без этого любой документ остаётся шаблоном.

Правовые основания. Для каждой цели он выбирает основание из ст. 6 152-ФЗ: договор, обязанность по закону, согласие, законный интерес. От этого зависит, нужно ли собирать согласие и в какой форме.

Документы. Политика обработки, согласия, положение об обработке и защите данных, приказы, акт оценки вреда, договоры поручения с подрядчиками, тексты cookie-баннеров и форм на сайте.

Уведомления в Роскомнадзор. О начале обработки, об изменении сведений, о трансграничной передаче и об инцидентах.

Проверка продуктов. Новый сайт, приложение, CRM, ИИ-сервис или рекламная рассылка должны пройти правовую оценку до запуска (подход privacy by design).

Работа с обращениями. Ответы гражданам на запросы о их данных и требования удалить данные — в течение 10 рабочих дней, а также ответы на запросы Роскомнадзора.

Проверки и споры. Сопровождение документарных и выездных проверок, возражения на протокол, обжалование штрафов по ст. 13.11 КоАП РФ, споры с гражданами о компенсации морального вреда.

Реагирование на утечки. Уведомление Роскомнадзора за 24 и 72 часа, внутреннее расследование, коммуникация с пострадавшими и подготовка позиции для дела об административном правонарушении.
Подробный план — в материале «Утечка персональных данных: что делать компании».

Хороший юрист по персональным данным не пишет документы «в стол». Он сверяет их с реальной работой: если на сайте стоит сервис аналитики, который не упомянут в политике, формально существующая политика компанию при проверке не защитит.

Юрист по персональным данным, DPO и специалист по информационной безопасности: в чём разница

Эти роли часто путают, потому что все три связаны с данными. Разница — в том, за какой вопрос отвечает каждая: «можно ли так делать», «соблюдается ли это постоянно» или «защищены ли системы технически».

	Юрист по персональным данным	DPO (ответственный за организацию обработки)	Специалист по ИБ
Главный вопрос	Законно ли то, что делает компания с данными	Соблюдаются ли правила каждый день	Защищены ли системы от доступа и утечки
Основа в законе	Должность в законе не предусмотрена	Ст. 18.1 и 22.1 152-ФЗ: юрлицо-оператор обязано назначить ответственного	Ст. 19 152-ФЗ, Постановление Правительства № 1119, приказы ФСТЭК и ФСБ
Результат работы	Правовая позиция, документы, уведомления, защита в спорах	Внутренний контроль, обучение сотрудников, работа с обращениями	Модель угроз, средства защиты, журналы, расследование инцидентов
Образование	Юридическое	Любое; чаще юридическое или техническое	Техническое, часто по информационной безопасности
Может быть внешним	Да: юридическая фирма или консультант	Да: закон допускает назначить стороннюю организацию	Да: интегратор или лицензиат ФСТЭК

В небольших компаниях юрист по персональным данным часто и есть DPO: обе роли совмещает один сотрудник или внешний DPO. В крупных банках, телекоме и ритейле роли разделены: юрист даёт правовую позицию, DPO следит за исполнением, а ИБ отвечает за технические меры.

От корпоративного юриста общего профиля юрист по персональным данным отличается глубиной: он следит за позициями Роскомнадзора, судебной практикой по ст. 13.11 КоАП и понимает, как устроены ИТ-системы, через которые движутся данные.

Где работает юрист по персональным данным

Работодатели делятся на четыре группы, и в каждой работа выглядит по-разному.

В компании (in-house)

Банки, страховщики, телеком, маркетплейсы, клиники, ИТ-компании с большой базой пользователей. Юрист встроен в продуктовые команды: согласовывает новые функции, маркетинговые кампании и договоры с поставщиками. Плюс — глубокое знание одного бизнеса, минус — мало разнообразной практики по проверкам и спорам.
В юридической фирме

Практики цифрового и ИТ-права ведут аудиты, готовят комплекты документов, сопровождают проверки и судебные дела для десятков клиентов из разных отраслей. Здесь быстрее всего набирается опыт нестандартных ситуаций: ИИ-сервисы, биометрия, трансграничная передача, утечки.
В консалтинге и у интеграторов ИБ

Аудиторские и консалтинговые компании, а также интеграторы информационной безопасности нанимают юристов в смешанные команды. Юрист отвечает за организационные документы и правовую часть отчёта, инженеры — за технические меры и модель угроз.
На стороне государства

Роскомнадзор и его территориальные органы, а также юридические службы госорганов и госкомпаний, которые сами являются крупными операторами данных. Опыт работы в надзоре ценится на рынке: такой специалист знает, как проверяющие читают документы оператора.

Что должен знать юрист по персональным данным

Закон 152-ФЗ — только начало. Требования к данным рассыпаны по кодексам, отраслевым законам и подзаконным актам трёх ведомств — Роскомнадзора, ФСТЭК и ФСБ.

Область	Что нужно знать	Ключевые акты
Общие правила обработки	Принципы, основания, согласия, права субъектов, обязанности оператора, локализация, трансграничная передача	Федеральный закон от 27.07.2006 № 152-ФЗ
Ответственность	Составы и штрафы, смягчающие обстоятельства, замена штрафа предупреждением, уголовная ответственность за незаконный оборот данных	ст. 13.11 КоАП РФ, ст. 4.1.1 КоАП РФ, ст. 272.1 УК РФ
Технические меры защиты	Уровни защищённости ИСПДн, состав мер, взаимодействие с ГосСОПКА при инцидентах	Постановление Правительства от 01.11.2012 № 1119, приказ ФСТЭК от 18.02.2013 № 21, приказ ФСБ от 13.02.2023 № 77
Подзаконные акты Роскомнадзора	Оценка вреда, подтверждение уничтожения данных, перечень стран с адекватной защитой, формы уведомлений	приказы РКН от 27.10.2022 № 178 и от 28.10.2022 № 179, приказ РКН от 16.09.2026 № 253, портал персональных данных
Кадры	Данные сотрудников и кандидатов, видеонаблюдение, пропускной режим, медосмотры	глава 14 Трудового кодекса РФ
Маркетинг и сайты	Рекламные рассылки, cookie и веб-аналитика, рекомендательные технологии	ст. 18 закона «О рекламе», 149-ФЗ «Об информации…»
Отраслевые режимы	Врачебная, банковская и тайна связи, биометрия, данные детей	отраслевые законы по сфере клиента
Иностранное право	GDPR для компаний с клиентами из ЕС, законы стран СНГ для групп компаний	Регламент (ЕС) 2016/679

Знания законов мало без практики. Юрист следит за разъяснениями Роскомнадзора, решениями судов по делам об утечках в картотеке арбитражных дел и судов общей юрисдикции, а также за законопроектами: за 2024–2026 годы ключевые правила менялись шесть раз.

Навыки и компетенции

Юрист по персональным данным полезен ровно настолько, насколько он понимает бизнес и технологии клиента. Поэтому кроме юридической техники важны ещё две группы навыков.

Профессиональные (hard skills)

Data mapping и аудит. Умение задать правильные вопросы ИТ, HR, маркетингу и составить реестр процессов обработки: цель, состав данных, система, срок хранения, получатели.

Разработка документов под реальные процессы. Политики, согласия, положения, договоры поручения, соглашения о передаче данных внутри группы.

Техническая грамотность. Как работают cookie, пиксели и сервисы аналитики, что такое API, облачное хранилище, логи и резервные копии, куда форма на сайте отправляет данные. Без этого невозможно оценить локализацию и трансграничную передачу.

Оценка рисков. Отличить нарушение, за которое штрафуют на миллионы, от формальности и расставить приоритеты исправлений.

Работа с регулятором. Ответы на запросы Роскомнадзора строго по перечню вопросов и в срок (10 рабочих дней с возможностью продлить на 5), сопровождение проверок, возражения на протокол.

Реагирование на инциденты. Умение за часы собрать факты и написать уведомление об утечке, которое не станет потом доказательством против компании.

Судебная работа. Дела по ст. 13.11 КоАП РФ и споры с гражданами о компенсации морального вреда.

Личные качества (soft skills)

Перевод с юридического на язык бизнеса. Не «ст. 18.1 требует…», а «чтобы запустить фичу в срок, нужно сделать три вещи».

Работа с разными командами. Разработчики, маркетологи, HR и служба безопасности смотрят на данные по-разному, и юрист договаривается со всеми.

Стрессоустойчивость. Утечка или срочный запрос регулятора не приходят по расписанию.

Привычка к постоянному обучению. Законодательство и практика Роскомнадзора меняются быстрее, чем в большинстве других отраслей права.

Компетенции по уровням

Уровень	Что делает самостоятельно	Признак перехода на следующий уровень
Начинающий (junior)	Готовит политику и согласия для сайта, заполняет уведомление в Роскомнадзор, отвечает на типовые запросы граждан	Находит расхождения между документами и реальными процессами без подсказки
Средний (middle)	Ведёт аудит компании целиком, оформляет трансграничную передачу, согласовывает договоры поручения с крупными контрагентами, отвечает Роскомнадзору	Даёт позицию по вопросу, на который закон не отвечает прямо (ИИ, биометрия, новые технологии)
Ведущий (senior)	Пишет legal opinion, строит систему защиты данных для группы компаний, ведёт проверки и судебные дела, руководит реагированием на утечку	Отвечает за стратегию компании в работе с данными и обучает команду

Как стать юристом по персональным данным

Отдельной специальности «юрист по персональным данным» в вузах нет. В профессию приходят из ИТ-, корпоративного и трудового права, а иногда из информационной безопасности с получением второго образования. Обычный путь выглядит так.
1] Юридическое образование. Бакалавриат или специалитет по юриспруденции; полезна магистратура по ИТ-праву или праву цифровой экономики.
2] База по 152-ФЗ и смежным актам. Прочитать закон целиком, ст. 13.11 КоАП, главу 14 ТК, разъяснения и формы на портале Роскомнадзора.
3] Повышение квалификации. Программы дополнительного профессионального образования по защите персональных данных; для работы с иностранными клиентами — международные сертификаты IAPP (CIPP/E по европейскому праву, CIPM по управлению privacy-программой).
4] Практика на реальных проектах. Лучше всего — в информационной или цифровой практике юридической фирмы или в компании с большой базой клиентов: аудиты, уведомления, ответы регулятору.
5] Технический кругозор. Базовый курс по информационной безопасности и веб-технологиям, самостоятельная проверка сайтов через инструменты разработчика в браузере: какие cookie ставятся и куда уходят данные из форм.
6] Публичная экспертиза. Статьи, комментарии в СМИ, выступления. В этой нише клиенты и работодатели часто выбирают специалиста по публикациям и попаданию в отраслевые рейтинги — например, индивидуальный рейтинг юристов по защите персональных данных ИД «Коммерсантъ».

Стартовая позиция — помощник юриста или юрист в практике ИТ-права. До уровня, на котором юрист самостоятельно ведёт аудит и проверку Роскомнадзора, обычно уходит несколько лет практики.

Как меняется профессия в 2024–2026 годах

За два года работа с персональными данными превратилась из «бумажного» требования в тему для совета директоров. Причина — шесть правовых изменений, которые сделали ошибки дорогими.

Дата	Изменение	Что это значит для юриста
30.10.2026	Новый перечень стран с адекватной защитой данных (приказ РКН № 253)	Перепроверить страны всех зарубежных получателей данных
26.07.2026	Участие в Конвенции Совета Европы № 108 больше не делает страну «адекватной» автоматически (265-ФЗ)	Оценивать право страны получателя, а не ссылаться на Конвенцию
01.09.2025	Согласие только отдельным документом (156-ФЗ)	Вычистить согласия из оферт, пользовательских соглашений и трудовых договоров
01.07.2025	Прямой запрет собирать данные россиян в зарубежные базы (23-ФЗ)	Проверять формы, CRM и аналитику на предмет зарубежных серверов
30.05.2025	Штрафы за утечку до 20 млн руб., за повторную — до 3% выручки (420-ФЗ)	Готовить план реагирования и доказывать меры защиты до инцидента
11.12.2024	Уголовная ответственность за незаконный оборот персональных данных (ст. 272.1 УК РФ)	Проверять происхождение клиентских баз и оформлять доступ сотрудников приказом

Спрос на специалистов рос ещё до оборотных штрафов: в январе 2024 года вакансий юристов по персональным данным стало на 147% больше, чем годом ранее, и более половины их приходилось на Москву и Санкт-Петербург (исследование в пересказе MDS). Реестр операторов Роскомнадзора в 2026 году превысил 2,6 млн записей, и более 1,3 млн из них добавились после повышения штрафов в мае 2025 года. Каждая такая компания — потенциальный работодатель или клиент юриста по персональным данным.

Следующая точка роста — искусственный интеллект. Обучение моделей на клиентских данных, распознавание документов и ИИ-ассистенты поднимают вопросы, на которые закон пока прямо не отвечает, и ценность юриста, который может сформулировать обоснованную позицию, растёт.

Если компании нужен такой специалист, а держать его в штате невыгодно, оптимально привлечь внешнего консультанта на проект или на постоянное сопровождение — подробнее об услугах юриста по персональным данным.

Михаил Божор — руководитель практики цифрового права «Афонин, Божор и партнеры»

Эксперт, проверивший статью

Божор Михаил Юрьевич

Руководитель практики цифрового права «Афонин, Божор и партнеры»

Входит в ТОП-30 юристов в области защиты персональных данных — индивидуальный рейтинг ИД «Коммерсантъ», 2026. Смотреть рейтинг

Задать вопрос эксперту

Частые вопросы (FAQ)

Мы в цифрах

Динамичность

< 3 час.

средний срок ответа на запрос клиента по стандартной задаче. Оперативно отвечаем на обращения и согласовываем сроки решения задач

Заслуживаем доверие

6 лет

подряд нашу фирму и специалистов отмечают рейтинги Право-300, ИД Коммерсантъ, Российская газета в числе лучших юристов

Опыт

9 лет

средний юридический стаж наших экспертов, из которых порядка пяти лет работы в нашей компании. Мы сплоченная команда энтузиастов с прочной позицией на рынке

клиенты из Forbes, RAEX

> 10

крупнейших компаний доверяют нам свои проекты, в их числе компании группы Сбера, Яндекса, Технониколь, LG, 1С и Самолет

Услуги по теме

Разработка документов по персональным данным

Подробнее

Защита от проверок Роскомнадзора

Подробнее

Разблокировка сайтов и приложений

Подробнее

Уведомление о начале обработки персональных данных

Подробнее

Консультация юриста по персональным данным

Подробно разобрать ситуацию и предоставить рекомендации по решению вопроса

Нажимая кнопку «Отправить», вы даете согласие на обработку персональных данных в соответствии с политикой обработки персональных данных