Журнал внутренних проверок обработки ПДн: образец заполнения и пустой бланк 2026

Оператор обязан самостоятельно контролировать соответствие своей обработки персональных данных требованиям закона и принятым локальным актам.

Журнал фиксирует, что контроль действительно проводился: даты, предмет проверки, выявленные нарушения, принятые меры и сроки их устранения.

Оценка эффективности принятых мер по обеспечению безопасности персональных данных проводится не реже одного раза в три года. Плановые внутренние проверки в настоящей организации проводятся ежегодно.

Программу проверок утверждает руководитель организации приказом № 7-ПДн, и она определяет проверяемые процессы, состав комиссии и сроки.

Технические меры защиты проверяются с учётом состава мер, установленных приказом ФСТЭК России от 18.02.2013 № 21 для информационных систем персональных данных.

Плановый внутренний аудит — проводится по утверждённой программе с периодичностью ежегодно;

Внеплановый внутренний аудит — при обращении субъекта персональных данных, при смене ответственного, при изменении состава обрабатываемых данных или после инцидента;

Проверка Роскомнадзора — плановая или внеплановая, в рамках государственного контроля за обработкой персональных данных;

Проверка ФСТЭК России или ФСБ России — по вопросам технической и криптографической защиты информации;

Оценка эффективности мер защиты — не реже одного раза в три года, с оформлением отдельного заключения;

Проверка после инцидента (утечки) — с фиксацией того, какие данные затронуты и кто уведомлён.

Журнал ведётся в электронном виде; записи печатаются таблицей со сквозной нумерацией.

Электронная форма допустима, если обеспечены неизменность внесённых записей и разграничение доступа; распечатанные листы подписывает ответственный за организацию обработки персональных данных.

Запись создаётся в день начала проверки, а результат и меры вносятся по её окончании, не позднее пяти рабочих дней.

Графа «Что проверялось» заполняется предметно: перечень обрабатываемых данных, согласия субъектов, сроки хранения и уничтожения, доступ работников, договоры с обработчиками, уведомление в Роскомнадзор, парольная политика, резервные копии.

В графе «Результат» фиксируются как отсутствие нарушений, так и найденные недостатки.

Каждому нарушению соответствует мера и срок устранения, и без отметки об устранении проверка считается незакрытой.

Ошибочная запись зачёркивается одной чертой, рядом пишется верный текст с отметкой «Исправленному верить», датой и подписью ответственного.

Строки не пропускаются, а свободное место в конце страницы прочёркивается.

По результатам аудита дополнительно оформляется акт (заключение), реквизиты которого указываются в графе «Основание» или «Результат».

Проверку организует ответственный за организацию обработки персональных данных — генеральный директор Иванов Иван Иванович, назначенный приказом руководителя.

Состав комиссии: Председатель комиссии — заместитель директора Смирнов Алексей Петрович; члены комиссии — ответственный за обработку персональных данных Иванов Иван Иванович и системный администратор Кузнецов Дмитрий Олегович.

Записи в журнале вносит и подписывает ответственный за организацию обработки персональных данных; результаты аудита утверждает руководитель организации.

Титульный лист и лист-заверитель подписывает руководитель; журнал скрепляется печатью при её наличии.

Работники, которых касаются выявленные нарушения, знакомятся с результатами проверки под подпись в листе ознакомления.

Ответственный за обработку персональных данных: ______________________ / Иванов Иван Иванович /

Руководитель организации: ______________________ / ______________________ /

Журнал хранится по адресу г. Москва, ул. Ленина, д. 1, оф. 1, кабинет ответственного за обработку персональных данных, сейф № 2, с ограниченным доступом.

Срок хранения журнала и материалов внутренних проверок — 5 лет с даты последней записи; акты и заключения по результатам аудитов хранятся вместе с журналом.

Материалы проверок надзорных органов и переписка с ними хранятся 5 лет со дня завершения проверки.

Заполненный журнал закрывается: на титульном листе проставляется дата закрытия, оформляется лист-заверитель, журнал передаётся на хранение ответственному за обработку персональных данных.

По истечении срока хранения журнал уничтожается по акту.

Электронная копия журнала хранится в защищённом каталоге с ограничением доступа и включается в резервное копирование.

Программа утверждается руководителем организации и определяет, что именно проверяется в ходе планового аудита.

Руководитель организации: ______________________ / ______________________ /

Дата утверждения программы: ______________________

С результатами внутренней проверки обработки персональных данных и с мерами по устранению выявленных нарушений ознакомлены:

Работник, отказавшийся от ознакомления, указывается в акте, который составляется ответственным за обработку персональных данных в присутствии двух работников.