Правила внутреннего контроля обработки персональных данных: образец заполнения и пустой бланк 2026

1.1. Настоящие правила устанавливают порядок внутреннего контроля соответствия обработки персональных данных требованиям законодательства и локальным актам оператора.

1.2. Осуществление внутреннего контроля соответствия обработки персональных данных требованиям закона прямо отнесено к мерам, которые оператор обязан принимать 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

1.3. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для выполнения обязанностей, установленных законодательством о персональных данных 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

1.4. Контроль охватывает обработку данных как с использованием средств автоматизации, так и без их использования, во всех подразделениях оператора.

1.5. Целью контроля является выявление и устранение нарушений до того, как они станут предметом жалобы субъекта или проверки уполномоченного органа.

1.6. Организацию внутреннего контроля обеспечивает ответственный за организацию обработки персональных данных генеральный директор Иванов Иван Иванович 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.7. Ответственный за организацию обработки персональных данных получает указания непосредственно от исполнительного органа оператора и подотчётен ему 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

1.8. Результаты контроля используются при пересмотре локальных актов, при уточнении перечней и модели угроз, а также при оценке эффективности мер защиты 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

1.9. Проведение контроля не заменяет оценку эффективности принимаемых мер по обеспечению безопасности данных, которая проводится оператором не реже одного раза в три года 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

2.1. Плановый контроль проводится не реже одного раза в год по плану, утверждаемому руководителем оператора не позднее 1 декабря текущего года.

2.2. Обработка специальных категорий и биометрических персональных данных требует более частого контроля: проверка по этим категориям проводится не реже одного раза в полугодие.

2.3. Внеплановый контроль проводится при поступлении жалобы или обращения субъекта персональных данных, содержащего сведения о нарушении.

2.4. Внеплановый контроль проводится при выявлении инцидента безопасности персональных данных, включая утрату носителя и неправомерный доступ к данным.

2.5. Внеплановый контроль проводится при получении запроса, требования или предписания уполномоченного органа.

2.6. Внеплановый контроль проводится при изменении состава информационных систем, при вводе новых сервисов и при передаче обработки данных стороннему лицу.

2.7. Внеплановый контроль проводится при изменении законодательства о персональных данных, затрагивающем обработку, осуществляемую оператором.

2.8. Текущий контроль осуществляется ответственным за организацию обработки персональных данных постоянно и включает просмотр журналов доступа, контроль сроков ответов на обращения субъектов и контроль истечения сроков хранения данных.

2.9. Текущий контроль не оформляется актом, его результаты фиксируются в рабочих записях ответственного и учитываются при ближайшей плановой проверке.

3.1. Для проведения плановой проверки приказом руководителя оператора создаётся комиссия.

3.2. Председателем комиссии является ответственный за организацию обработки персональных данных.

3.3. Состав комиссии: Начальник отдела кадров, системный администратор, главный бухгалтер, юрисконсульт..

3.4. В комиссию не включается работник, который проверяет собственный участок работы.

3.5. Комиссия вправе запрашивать у работников и руководителей подразделений документы, объяснения и сведения, необходимые для проверки.

3.6. Комиссия вправе получать доступ к настройкам прав доступа в информационных системах и к журналам событий безопасности в объёме, необходимом для проверки.

3.7. Комиссия вправе осматривать помещения и места хранения носителей персональных данных, включая шкафы, сейфы и архив.

3.8. Комиссия вправе привлекать к проверке работников, обладающих специальными знаниями, и внешних специалистов по договору.

3.9. Комиссия обязана не разглашать ставшие ей известными персональные данные и сведения о применяемых мерах защиты 152-ФЗ ст. 7152-ФЗ ст. 7Конфиденциальность персональных данных.

3.10. Члены комиссии, проводящие проверку, знакомятся с локальными актами оператора о персональных данных и подписывают обязательство о неразглашении, если ранее его не подписывали.

3.11. Отказ работника представить комиссии запрошенные документы или объяснения фиксируется в акте проверки и рассматривается как самостоятельное нарушение.

4.1. План внутреннего контроля на год содержит перечень проверяемых подразделений и процессов, сроки проверок и ответственных исполнителей.

4.2. При составлении плана учитываются результаты предыдущих проверок, поступившие обращения субъектов, произошедшие инциденты и изменения в составе информационных систем.

4.3. Проведение проверки назначается приказом руководителя оператора с указанием состава комиссии, предмета, периода и сроков проверки.

4.4. Руководитель проверяемого подразделения уведомляется о плановой проверке не позднее чем за 3 рабочих дня до её начала.

4.5. Внеплановая проверка проводится без предварительного уведомления, если предварительное уведомление способно повлиять на её результат.

4.6. Продолжительность плановой проверки не превышает 10 рабочих дней.

4.7. Срок может быть продлён приказом руководителя при необходимости запроса дополнительных сведений.

4.8. Проверка проводится по проверочному листу, форма которого приведена в приложении к настоящим правилам.

4.9. Проверка включает изучение документов, осмотр мест хранения носителей, проверку настроек прав доступа и опрос работников, участвующих в обработке данных.

5.1. Вопросы, подлежащие проверке, их подтверждающие документы и результаты приведены в таблице.

5.2. Ответ на вопрос проверочного листа подтверждается конкретным документом.

5.3. Устные пояснения работников результатом проверки не являются.

5.4. Незаполненная графа проверочного листа приравнивается к невыполнению требования: проверяющий обязан либо зафиксировать подтверждение, либо указать нарушение.

5.5. Проверочный лист подписывается всеми членами комиссии и прилагается к акту проверки.

6.1. Локальные акты: наличие и актуальность политики обработки персональных данных, положений об обработке данных работников и клиентов, перечня информационных систем и перечня обрабатываемых данных, а также ознакомление работников с ними под подпись.

6.2. Правовые основания: наличие основания обработки по каждой цели, соответствие фактически обрабатываемых данных заявленным целям и отсутствие избыточных данных 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

6.3. Согласия субъектов: наличие согласий там, где они обязательны, соответствие их содержания требованиям закона, порядок хранения согласий и их отзыва 152-ФЗ ст. 9152-ФЗ ст. 9Согласие субъекта персональных данных на обработку его персональных данных.

6.4. Сроки хранения: соблюдение установленных сроков, отсутствие данных с истёкшим сроком хранения и достигнутой целью обработки 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

6.5. Уничтожение данных: наличие актов уничтожения, соответствие способа уничтожения требованию невосстановимости, уничтожение резервных копий наравне с основными данными.

6.6. Доступ к данным: соответствие фактических прав доступа в информационных системах утверждённому перечню допущенных лиц, отсутствие действующих учётных записей уволенных работников.

6.7. Защита данных: применение мер, соответствующих установленному уровню защищённости, ведение журналов событий безопасности, учёт машинных носителей 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

6.8. Договоры поручения: наличие договоров с лицами, которым поручена обработка, указание в них перечня действий, целей обработки и обязанности соблюдать конфиденциальность 152-ФЗ ч. 3 ст. 6152-ФЗ ч. 3 ст. 6Основные понятия, используемые в настоящем Федеральном законе.

6.9. Уведомление уполномоченного органа: наличие уведомления об обработке персональных данных и соответствие содержащихся в нём сведений фактической обработке 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

6.10. Обращения субъектов: соблюдение порядка и сроков рассмотрения обращений и запросов, наличие журнала учёта обращений 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

6.11. Онлайн-сервисы: размещение политики обработки персональных данных в открытом доступе на сайте, корректность форм сбора данных и получения согласия на рассылки и на использование cookie.

6.12. Инциденты: наличие порядка действий при инциденте, журнала учёта инцидентов и соблюдение сроков уведомления уполномоченного органа 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.

7.1. По результатам каждой проверки составляется акт в срок не более 5 рабочих дней со дня её завершения.

7.2. Акт содержит дату и место составления, состав комиссии, основание и предмет проверки, проверяемый период и перечень изученных документов и систем.

7.3. Акт содержит выявленные несоответствия со ссылкой на нарушенную норму или пункт локального акта оператора и указание на подтверждающие документы.

7.4. Акт содержит предлагаемые меры по устранению каждого выявленного нарушения и срок их выполнения.

7.5. Акт подписывается всеми членами комиссии.

7.6. Член комиссии, не согласный с выводами, подписывает акт с отметкой об особом мнении, которое прилагается к акту.

7.7. С актом под подпись знакомится руководитель проверяемого подразделения.

7.8. Отказ от ознакомления фиксируется в акте.

7.9. Акт утверждается руководителем оператора и регистрируется в журнале учёта проверок.

7.10. Акты проверок хранятся не менее 5 лет.

7.11. Вывод об отсутствии нарушений оформляется актом наравне с выводом о нарушениях.

7.12. Отсутствие акта означает, что проверка не проводилась.

9.1. Ответственный за организацию обработки персональных данных представляет руководителю оператора отчёт о результатах внутреннего контроля не позднее 31 января года, следующего за отчётным.

9.2. Отчёт содержит сведения о проведённых плановых и внеплановых проверках, о выявленных нарушениях и о состоянии их устранения.

9.3. Отчёт содержит сведения о поступивших обращениях субъектов персональных данных и о соблюдении сроков ответа на них: 10 рабочих дней.

9.4. Отчёт содержит сведения о произошедших инцидентах безопасности персональных данных и о принятых по ним мерах.

9.5. Отчёт содержит предложения по изменению локальных актов, состава мер защиты и перечня допущенных к обработке лиц.

9.6. По результатам рассмотрения отчёта руководитель оператора принимает решение о необходимых мероприятиях и о выделении ресурсов на их проведение.

9.7. Отчёт и решение руководителя хранятся вместе с актами проверок и предъявляются при проверке уполномоченного органа как подтверждение системности контроля.

11.1. Правила вводятся в действие со дня утверждения приказом руководителя оператора и действуют до утверждения новой редакции.

11.2. Правила доводятся до сведения работников, участвующих в обработке персональных данных, под подпись.

11.3. Работники обязаны представлять комиссии запрашиваемые документы и объяснения и обеспечивать доступ к местам хранения носителей.

11.4. Лица, виновные в нарушении требований законодательства о персональных данных, несут ответственность в порядке, установленном законодательством 152-ФЗ ст. 24152-ФЗ ст. 24Ответственность за нарушение закона о ПДн.

11.5. Нарушение установленного законом порядка обработки персональных данных влечёт административную ответственность оператора и его должностных лиц КоАП РФ ст. 13.11КоАП РФ ст. 13.11Нарушение законодательства о персональных данных.

11.6. Неисполнение работником обязанностей, установленных настоящими правилами, является нарушением трудовых обязанностей ТК РФ ст. 192ТК РФ ст. 192Дисциплинарные взыскания.

11.7. Вопросы, не урегулированные настоящими правилами, разрешаются в соответствии с законодательством о персональных данных и локальными актами оператора.

Оператор: ООО «Ромашка», ИНН 7701234567. План на 2027 год.

Обязательные блоки: локальные акты, правовые основания обработки, согласия субъектов, сроки хранения, уничтожение данных, доступ работников к данным, меры защиты, договоры поручения, уведомление уполномоченного органа, обращения субъектов, инциденты.

Акт проверки соблюдения требований к обработке персональных данных

Оператор: ООО «Ромашка», ИНН 7701234567, адрес: г. Москва, ул. Ленина, д. 1, оф. 1.

Вид проверки: плановая / внеплановая

Состав комиссии: председатель — ответственный за организацию обработки персональных данных; члены комиссии — Начальник отдела кадров, системный администратор, главный бухгалтер, юрисконсульт.

Журнал ведёт ответственный за организацию обработки персональных данных и хранит его не менее 5 лет вместе с актами проверок.