Перечень информационных систем персональных данных (ИСПДн): образец заполнения и пустой бланк 2026

1.1. Настоящий перечень содержит сведения об информационных системах персональных данных оператора, о составе обрабатываемых в них данных, категориях субъектов, установленных уровнях защищённости и местах хранения данных.

1.2. Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.3. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законодательством о персональных данных 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

1.4. Оператор обязан принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

1.5. Требования к защите персональных данных при их обработке в информационных системах и уровни защищённости установлены постановлением Правительства ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

1.6. Перечень является учётным документом и основой для определения уровня защищённости каждой системы, разработки модели угроз, выбора мер защиты и подготовки уведомления об обработке персональных данных.

1.7. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определённых и законных целей, а содержание и объём данных должны им соответствовать 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

1.8. Оператор обрабатывает специальные категории персональных данных, что учитывается при определении уровня защищённости систем и состава мер защиты 152-ФЗ ст. 10152-ФЗ ст. 10Специальные категории персональных данных.

1.9. Оператор обрабатывает биометрические персональные данные; их обработка осуществляется при наличии согласия субъекта в письменной форме, если иное прямо не предусмотрено законом 152-ФЗ ст. 11152-ФЗ ст. 11Биометрические персональные данные.

1.10. Для обработки персональных данных используются внешние площадки и облачные сервисы: хостинг в ЦОД на территории России, корпоративная почта на российском сервисе.

1.11. Отношения с их операторами оформляются поручением на обработку персональных данных.

2.1. Сведения об информационных системах персональных данных оператора приведены в таблице.

2.2. Система, не включённая в перечень, считается эксплуатируемой без установленных мер защиты: обработка персональных данных в ней подлежит прекращению до внесения системы в перечень.

2.3. В перечень включаются в том числе системы, не приобретавшиеся как программные продукты: электронные таблицы и файлы с базами клиентов и работников, сервисы рассылок, мессенджеры, используемые для передачи данных, системы видеонаблюдения и контроля доступа, кадровые и бухгалтерские программы.

2.4. Не включаются в перечень системы, в которых персональные данные не обрабатываются, а также обработка персональных данных, осуществляемая исключительно без использования средств автоматизации, — она учитывается отдельно.

3.1. Графа «Наименование системы» содержит название, под которым система известна работникам, и, при наличии, наименование программного продукта и его версию.

3.2. Графа «Назначение и цели обработки» содержит конкретную цель, ради которой данные обрабатываются в этой системе.

3.3. Формулировки «для работы» и «для уставной деятельности» цели не определяют и не допускаются 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

3.4. Графа «Категории субъектов» содержит группы людей, чьи данные обрабатываются: работники, кандидаты, клиенты, представители контрагентов, посетители, члены семьи работников.

3.5. Графа «Категории данных» содержит конкретный состав данных, а не их обобщённое название; отдельно отмечаются специальные категории и биометрические данные.

3.6. Графа «Объём» содержит фактическое или оценочное число субъектов: превышение ста тысяч субъектов влияет на определяемый уровень защищённости ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

3.7. Графа «Тип актуальных угроз» заполняется по результатам оценки угроз безопасности информации Метод. документ ФСТЭК от 05.02.2021Метод. документ ФСТЭК от 05.02.2021Методика оценки угроз безопасности информации и обосновывается в модели угроз, а не выбирается произвольно.

3.8. Графа «Уровень защищённости» заполняется по акту определения уровня защищённости и должна совпадать с ним.

3.9. Графа «Места хранения и серверы» содержит физическое размещение серверов и носителей, включая места хранения резервных копий, с указанием страны размещения.

3.10. Графа «Ответственное подразделение» содержит подразделение, которое эксплуатирует систему и отвечает за состав обрабатываемых в ней данных.

4.1. Ведение перечня обеспечивает Ответственный за организацию обработки персональных данных.

4.2. Новая информационная система вносится в перечень в течение 10 рабочих дней со дня ввода её в эксплуатацию или начала обработки в ней персональных данных.

4.3. Изменения вносятся в перечень в тот же срок при изменении состава обрабатываемых данных, категорий субъектов, целей обработки, мест хранения данных или ответственного подразделения.

4.4. Плановая актуализация перечня проводится не реже одного раза в год независимо от наличия изменений; результат актуализации оформляется отметкой о проверке даже при отсутствии изменений.

4.5. Руководители подразделений сообщают ответственному за ведение перечня о планируемом вводе в эксплуатацию новой системы, о начале обработки в ней персональных данных и о любом изменении состава данных до фактического начала таких действий.

4.6. Ввод в эксплуатацию информационной системы, обрабатывающей персональные данные, без внесения её в перечень и без определения уровня защищённости не допускается.

4.7. Изменённая редакция перечня утверждается приказом руководителя оператора; редакция, утратившая силу, хранится вместе с приказом об утверждении новой редакции.

4.8. При изменении сведений, содержащихся в уведомлении об обработке персональных данных, оператор направляет в уполномоченный орган информацию об изменениях 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

4.9. Актуализация перечня проводится также по результатам внутреннего контроля соответствия обработки требованиям закона и по результатам проверок уполномоченного органа 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

7.1. Перечень хранится у ответственного за ведение перечня в бумажном и электронном виде.

7.2. Доступ к перечню предоставляется руководителю оператора, ответственному за организацию обработки персональных данных, работникам подразделения информационных технологий и работникам, участвующим во внутреннем контроле.

7.3. Перечень содержит сведения о структуре и защите информационных систем и не подлежит публикации и передаче третьим лицам, кроме случаев представления по требованию уполномоченного органа или суда.

7.4. Копия перечня предоставляется лицу, которому поручена обработка персональных данных, в части систем, к которым оно допущено.

7.5. Перечень и утратившие силу его редакции хранятся не менее пяти лет со дня утверждения новой редакции.

7.6. Работники, допущенные к обработке персональных данных, знакомятся с касающейся их частью перечня под подпись 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

7.7. Сведения о работниках, допущенных к каждой системе, ведутся отдельным перечнем и сверяются с фактическими правами доступа при внутреннем контроле.

9.1. Перечень утверждается приказом руководителя оператора от 01.01.2026 № 19-ПДн и вводится в действие со дня утверждения.

9.2. Перечень доводится до ответственных работников под подпись в листе ознакомления Приложение № 1.

9.3. Изменения перечня оформляются в порядке, установленном для его утверждения, и фиксируются в листе учёта изменений Приложение № 2.

9.4. Перечень является приложением к политике оператора в отношении обработки персональных данных и применяется совместно с ней.

9.5. Контактные данные оператора для обращений субъектов персональных данных: pdn@romashka-example.ru, телефон +7 (900) 000-00-00, сайт https://example.ru, почтовый адрес г. Москва, ул. Ленина, д. 1, оф.

9.6. 1.

9.7. Обращения субъектов персональных данных о составе обрабатываемых данных рассматриваются в порядке и в сроки, установленные законом 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

9.8. Вопросы, не урегулированные настоящим перечнем, разрешаются в соответствии с законодательством о персональных данных и локальными актами оператора.

Перечень информационных систем персональных данных ООО «Ромашка», утверждён приказом от 01.01.2026 № 19-ПДн.

Работник своей подписью подтверждает, что ознакомлен с перечнем в части систем, к которым он допущен, и обязуется сообщать ответственному за ведение перечня об изменении состава обрабатываемых данных и о вводе в эксплуатацию новых систем.

Лист ознакомления хранится вместе с перечнем у ответственного за его ведение и предъявляется при проверках.

В листе фиксируется каждое изменение перечня.

Запись вносит Ответственный за организацию обработки персональных данных в день утверждения изменённой редакции перечня.

Одновременно с записью проверяется, требуется ли пересмотр акта определения уровня защищённости и модели угроз по изменённой системе.