План мероприятий по защите персональных данных: образец заполнения и пустой бланк 2026

1.1. Настоящий план определяет перечень организационных и технических мероприятий по обеспечению безопасности персональных данных при их обработке оператором, сроки их выполнения и ответственных исполнителей.

1.2. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законодательством о персональных данных, и самостоятельно определять состав таких мер 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

1.3. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры для защиты данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

1.4. Требования к защите персональных данных при их обработке в информационных системах и уровни защищённости установлены постановлением Правительства ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах, а состав и содержание мер защиты — приказом ФСТЭК России Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн.

1.5. Установленный для информационных систем оператора уровень защищённости: 1-й уровень защищённости.

1.6. Тип актуальных угроз безопасности: угрозы 1-го типа.

1.7. Число субъектов, персональные данные которых обрабатываются оператором: 480.

1.8. Ответственным за организацию обработки персональных данных является генеральный директор Иванов Иван Иванович 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.9. План обязателен для всех работников оператора, участвующих в обработке персональных данных, и для подразделений, обеспечивающих функционирование информационных систем.

2.1. Мероприятия, сроки их выполнения, ответственные исполнители и документы, подтверждающие исполнение, приведены в таблице.

2.2. Мероприятие считается исполненным только при наличии указанного в таблице подтверждающего документа: устный доклад об исполнении не принимается.

2.3. Ответственный исполнитель, указанный в таблице, обеспечивает выполнение мероприятия лично либо силами подчинённого подразделения и отвечает за соблюдение срока.

2.4. Мероприятия, срок которых указан периодом (ежеквартально, ежемесячно), выполняются в течение всего периода действия плана, а их исполнение подтверждается документом за каждый период.

2.5. Ниже раскрыто содержание групп мероприятий, включаемых в план-график.

3.1. Актуализация локальных нормативных актов оператора: политики обработки персональных данных, положения об обработке и защите, перечня обрабатываемых данных и целей обработки, форм согласий и разъяснений субъектам.

3.2. Издание документа, определяющего политику оператора в отношении обработки персональных данных, и его опубликование, а также обеспечение неограниченного доступа к нему 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

3.3. Назначение лица, ответственного за организацию обработки персональных данных, и определение его полномочий приказом руководителя 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

3.4. Утверждение и актуализация перечня работников, допущенных к обработке персональных данных, с указанием состава данных и объёма операций для каждого работника.

3.5. Утверждение перечня информационных систем персональных данных и мест хранения материальных носителей: серверная в помещении № 12, металлический шкаф отдела кадров, облачный сервис на территории России.

3.6. Актуализация ранее поданного уведомления об обработке персональных данных при изменении содержащихся в нём сведений 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

3.7. Определение и документальное оформление порядка обработки обращений субъектов персональных данных и сроков ответа на них 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

3.8. Заключение или актуализация поручений на обработку персональных данных с лицами, которым обработка поручается, с включением обязанности соблюдать конфиденциальность и требования к безопасности.

3.9. Определение порядка уничтожения персональных данных по достижении целей обработки и по отзыву согласия с составлением акта об уничтожении 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

4.1. Применение прошедших процедуру оценки соответствия средств защиты информации в объёме, определённом для установленного уровня защищённости Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн.

4.2. Разграничение прав доступа к информационным системам: доступ предоставляется в объёме, минимально необходимом для исполнения работником трудовой функции, и отзывается в день прекращения оснований.

4.3. Ведение и хранение журналов регистрации событий безопасности и действий пользователей, позволяющих установить, кто и когда обращался к персональным данным.

4.4. Применение средств антивирусной защиты и поддержание их в актуальном состоянии: автоматическое обновление баз не реже одного раза в сутки.

4.5. Резервное копирование данных информационных систем: ежедневно, с хранением копий не менее 30 дней.

4.6. Периодическая проверка восстановления данных из резервной копии обязательна.

4.7. Применение парольной политики и многофакторной аутентификации для доступа к системам, обрабатывающим персональные данные, и для удалённого доступа.

4.8. Обеспечение защиты каналов передачи данных при передаче персональных данных по сетям общего пользования.

4.9. Обеспечение режима безопасности помещений, в которых размещены носители и технические средства информационных систем, и исключение бесконтрольного доступа в них посторонних лиц.

4.10. Учёт машинных носителей персональных данных, порядок их выдачи, возврата и гарантированного уничтожения информации перед списанием или передачей техники.

4.11. Обновление системного и прикладного программного обеспечения и устранение выявленных уязвимостей в установленные сроки.

5.1. Осуществление внутреннего контроля соответствия обработки персональных данных требованиям закона и принятым в соответствии с ним нормативным правовым актам, требованиям к защите данных и локальным актам оператора 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

5.2. Периодичность внутреннего контроля: не реже одного раза в год.

5.3. Результаты контроля оформляются актом с перечнем выявленных несоответствий и сроками их устранения.

5.4. Оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения закона, и соотнесение указанного вреда с принимаемыми оператором мерами 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

5.5. Оценка эффективности принимаемых мер по обеспечению безопасности персональных данных проводится не реже одного раза в три года и до ввода информационной системы в эксплуатацию 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

5.6. Учёт машинных носителей и контроль фактического наличия носителей персональных данных.

5.7. Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер, включая восстановление изменённых или уничтоженных данных 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

5.8. Проверка актуальности перечня работников, допущенных к обработке, и фактических прав доступа в информационных системах.

5.9. Проверка соблюдения сроков хранения персональных данных и своевременности их уничтожения по достижении целей обработки.

5.10. Проверка исполнения поручений на обработку персональных данных третьими лицами и соблюдения ими требований к безопасности данных.

6.1. Ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, требованиями к защите данных и локальными актами оператора под подпись 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

6.2. Периодичность обучения и инструктажей: не реже одного раза в год.

6.3. Вновь принимаемые работники проходят инструктаж до предоставления им доступа к персональным данным.

6.4. Ознакомление работников с обязанностью не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта 152-ФЗ ст. 7152-ФЗ ст. 7Конфиденциальность персональных данных.

6.5. Ознакомление работников с порядком передачи персональных данных работника и с их правами в области защиты таких данных ТК РФ ст. 88ТК РФ ст. 88Передача персональных данных работника.

6.6. Проведение практических занятий по действиям при получении обращения субъекта персональных данных и при обнаружении инцидента.

6.7. Доведение до работников результатов внутреннего контроля и типовых ошибок, выявленных за период.

6.8. Учёт проведённого обучения: журнал или лист ознакомления с указанием даты, темы и подписи работника.

6.9. Рассылка по электронной почте ознакомление под подпись не заменяет.

8.1. Общий контроль исполнения плана осуществляет генеральный директор Иванов Иван Иванович как лицо, ответственное за организацию обработки персональных данных.

8.2. Ответственные исполнители, указанные в плане-графике, представляют сведения об исполнении мероприятия с приложением подтверждающего документа не позднее пяти рабочих дней со дня наступления установленного срока.

8.3. Ответственный за организацию обработки ведёт учёт исполнения плана и фиксирует по каждому мероприятию отметку об исполнении, о частичном исполнении или о неисполнении с указанием причины.

8.4. Мероприятие, срок которого наступил, а подтверждающий документ отсутствует, учитывается как неисполненное независимо от фактически проделанной работы.

8.5. При выявлении неисполнения ответственный за организацию обработки направляет исполнителю требование об устранении с указанием нового срока и уведомляет руководителя оператора.

8.6. Контроль исполнения плана совмещается с внутренним контролем соответствия обработки требованиям закона и оформляется одним актом 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

8.7. Сведения об исполнении плана хранятся не менее срока действия плана и трёх последующих лет и предъявляются при проверках уполномоченного органа.

12.1. План утверждается приказом руководителя оператора от 01.01.2026 № 18-ПДн и действует в течение периода: 2026 год.

12.2. План доводится до ответственных исполнителей под подпись в листе ознакомления Приложение № 2.

12.3. План подлежит актуализации при изменении законодательства о персональных данных, состава обрабатываемых данных, целей и способов обработки, а также структуры информационных систем оператора.

12.4. Новый план на следующий период утверждается не позднее последнего рабочего дня периода действия предыдущего плана; мероприятия, не исполненные в предыдущем периоде, переносятся в новый план с отметкой о переносе.

12.5. Отчёт об исполнении плана за истёкший период оформляется по форме Приложение № 1.

12.6. План, отчёты о его исполнении, акты внутреннего контроля и документы, подтверждающие исполнение мероприятий, хранятся у ответственного за организацию обработки персональных данных.

12.7. Контактные данные оператора для обращений субъектов персональных данных: info@romashka.ru, телефон +7 (900) 000-00-00, сайт https://example.ru, почтовый адрес г. Москва, ул. Ленина, д. 1, оф.

12.8. 1.

Отчёт об исполнении плана мероприятий по обеспечению защиты персональных данных ООО «Ромашка» за период: ______________________.

Составил: генеральный директор Иванов Иван Иванович.

Результаты внутреннего контроля за отчётный период: количество проверок, выявленные несоответствия и сроки их устранения.

Результаты оценки вреда субъектам персональных данных и оценки эффективности принимаемых мер защиты.

Сведения об обращениях субъектов персональных данных и о сроках ответов на них.

Сведения о выявленных инцидентах, направленных уведомлениях и принятых мерах.

Предложения о мероприятиях на следующий период и о необходимом финансировании.

Отчёт представлен руководителю оператора: дата ______________, подпись ______________________.

План мероприятий по обеспечению защиты персональных данных ООО «Ромашка» на период 2026 год, утверждён приказом от 01.01.2026 № 18-ПДн.

Работник своей подписью подтверждает, что ознакомлен с планом, с закреплёнными за ним мероприятиями и сроками их выполнения и обязуется их выполнять.

Лист ознакомления хранится вместе с планом у ответственного за организацию обработки персональных данных и предъявляется при проверках.