Комплект: Персональные данные под ключ (152-ФЗ): полный комплект оператора

← К комплекту Войти
1

Дата, номер и место

Печатаются в шапке каждого документа комплекта. Дату можно поставить любую — в том числе прошедшую.

Одна на весь комплект: документы подписываются в один день.
Город слева от даты в шапке: «г. Москва». Приставку «г.» подставим сами.
Согласие на обработку персональных данных
Политика в отношении обработки персональных данных
Положение об обработке и защите персональных данных
Приказ (по ПДн)
Уведомление в Роскомнадзор
Обязательство о неразглашении персональных данных
Модель угроз безопасности персональных данных
Реестр операций обработки персональных данных
Ответ на запрос субъекта персональных данных
Договор поручения на обработку персональных данных
Порядок реагирования на утечку персональных данных
Техническое задание на систему защиты ПДн (СЗПДн)
Акт определения уровня защищённости ИСПДн
Акт классификации ИСПДн
Акт оценки эффективности мер защиты ПДн
Акт уничтожения персональных данных
Согласие на обработку персональных данных несовершеннолетнего
Согласие на обработку персональных данных пациента
Согласие на обработку персональных данных работника
Согласие на рекламные рассылки и маркетинг
Согласие на обработку биометрических персональных данных
Согласие на обработку персональных данных для сайта
Согласие на обработку персональных данных клиента
Приказ по персональным данным
Уведомление в Роскомнадзор об обработке персональных данных
Инструкция по работе с персональными данными в ИСПДн
План мероприятий по защите персональных данных
Уведомление об использовании cookie (баннер для сайта)
Сопроводительное письмо к уведомлению в Роскомнадзор
Уведомление в Роскомнадзор о трансграничной передаче ПДн
Положение об обработке персональных данных работников
Положение об обработке персональных данных клиентов
Перечень информационных систем персональных данных (ИСПДн)
Перечень обрабатываемых персональных данных
Политика информационной безопасности
Правила внутреннего контроля обработки персональных данных
Инструкция администратора безопасности СЗПДн
Согласие на передачу персональных данных третьим лицам
Журнал ознакомления работников с документами по ПДн
Регламент обеспечения доступа субъекта к его персональным данным
Регламент обработки запросов субъектов персональных данных
Регламент уточнения и блокирования персональных данных
Регламент реагирования на инциденты с персональными данными
Регламент взаимодействия с Роскомнадзором и регуляторами
Регламент рассмотрения обращений субъектов персональных данных
Инструкция по обработке ПДн без средств автоматизации
Инструкция по уничтожению персональных данных
Соглашение о трансграничной передаче персональных данных
Типовые условия об обработке ПДн для договоров
Форма запроса субъекта о предоставлении информации
Форма запроса субъекта об уточнении персональных данных
Форма запроса субъекта о блокировании персональных данных
Форма запроса субъекта об уничтожении персональных данных
Отзыв согласия на обработку персональных данных
Журнал учёта носителей персональных данных
Журнал учёта обращений субъектов персональных данных
Журнал учёта инцидентов с персональными данными
Журнал учёта уничтожения персональных данных
Журнал внутренних проверок обработки ПДн
Акт уничтожения носителей персональных данных
Приказ об утверждении перечня ИСПДн
Приказ об утверждении модели угроз
Приказ о допуске работников к обработке ПДн
Должностная инструкция ответственного за обработку ПДн
Инструкция по применению средств защиты информации
Инструкция по взаимодействию с Роскомнадзором

Номер необязателен: пустое поле — номер в заголовке не печатается.

2

Стороны

Кто заключает документы. Данные подставятся во все документы комплекта, где есть эта сторона, — вводить их повторно не нужно.

Субъект персональных данных
От типа зависят реквизиты: у физлица паспорт, у организации ИНН и КПП.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Организация (работодатель)
От типа зависят реквизиты: у физлица паспорт, у организации ИНН и КПП.
ИНН: 10 цифр у организации, 12 — у ИП и физлица. Проверить контрагента можно на egrul.nalog.ru.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
ОГРНИП: 15 цифр — регистрационный номер индивидуального предпринимателя.
Оператор персональных данных
От типа зависят реквизиты: у физлица паспорт, у организации ИНН и КПП.
ИНН: 10 цифр у организации, 12 — у ИП и физлица. Проверить контрагента можно на egrul.nalog.ru.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
ОГРНИП: 15 цифр — регистрационный номер индивидуального предпринимателя.
Обработчик (лицо, обрабатывающее данные по поручению)
От типа зависят реквизиты: у физлица паспорт, у организации ИНН и КПП.
ИНН: 10 цифр у организации, 12 — у ИП и физлица. Проверить контрагента можно на egrul.nalog.ru.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
ОГРНИП: 15 цифр — регистрационный номер индивидуального предпринимателя.
3

Общие данные

Встречаются в нескольких документах комплекта — заполняются один раз.

Согласие даётся конкретному юридическому лицу или предпринимателю, а не группе компаний: наименование пишите так, как оно указано в ЕГРЮЛ или ЕГРИП.
ИНН вместе с наименованием и адресом отличает оператора от компаний той же группы с похожими названиями.
ОГРН: 13 цифр у организации, ОГРНИП: 15 цифр у ИП. Указан в выписке из ЕГРЮЛ/ЕГРИП.
Юридический адрес из ЕГРЮЛ: почта по нему считается доставленной.
На этот адрес придёт отзыв согласия и запросы о данных, поэтому ящик должен реально проверяться: обработку нужно прекратить в срок, считая от даты поступления письма.
Телефон в международном формате. Используется для оперативной связи и уведомлений.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
От этого выбора зависит, как в тексте описан субъект и какие дополнительные оговорки попадут в согласие.
Дополнительные цели перечисляйте конкретно. Формулировка «и в иных целях» согласия не подтверждает.
Перечисляйте состав данных исчерпывающе: обработка категории, которой нет в согласии, приравнивается к обработке без согласия.
ИНН: 10 цифр у организации, 12 — у ИП и физлица. Проверить контрагента можно на egrul.nalog.ru.
ОГРН организации — 13 цифр, ОГРНИП предпринимателя — 15; берите из листа записи ЕГРЮЛ или ЕГРИП. Ошибка в номере формально относит документ к другому лицу.
Указывайте адрес полностью с индексом. Для организаций — юридический адрес из ЕГРЮЛ: почта по нему считается доставленной (ст. 165.1 ГК РФ).
Адрес, который вы действительно читаете: на него субъекты персональных данных направляют запросы и отзыв согласия, а на ответ закон даёт 10 рабочих дней.
Телефон в международном формате. Используется для оперативной связи и уведомлений.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Бухгалтерский аутсорсинг, кадровый провайдер, колл-центр, хостинг, сервис рассылок.
От вида приказа зависит распорядительная часть: в документ попадёт только выбранный сценарий, остальные ветки не печатаются.
Город, где фактически подписан приказ — он же указывается в журнале регистрации.
Назовите конкретных работников с должностями, а не отделы: ответственным за организацию обработки персональных данных может быть только физическое лицо (ст. 22.1 152-ФЗ).
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Дата, к которой ответственные отчитываются об исполнении. Приказ без срока проверяющие считают формальным.
Оставьте пустым — контроль останется за руководителем, подписавшим приказ.
Сейф, шкаф, серверная, конкретный кабинет. Формулировка «в бухгалтерии» слишком общая: проверяющий должен найти носитель по описанию.
1С, CRM, СКУД, кадровый портал, сервис рассылок. Перечень ИСПДн нужен и для модели угроз, и для уведомления в Роскомнадзор.
Определяется по типу актуальных угроз, категории данных и числу субъектов. Четвёртый — самый низкий, первый — самый высокий.
Пишите в родительном падеже — фраза строится как «под председательством …».
Не менее трёх человек: акт об уничтожении носителей подписывают все члены комиссии.
Цели формулируются конкретно и связываются с составом данных: обрабатывать можно только то, что нужно для заявленной цели. Формулировка «уставная деятельность» считается недостаточной.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Модель угроз вводится в действие приказом: без грифа утверждения это черновик, на который нельзя сослаться в акте определения уровня защищённости.
Название, под которым система известна работникам, и наименование программного продукта с версией.
Порог в 100 000 субъектов прямо влияет на уровень защищённости по постановлению Правительства № 1119.
Работа из дома, с личных устройств, через VPN или веб-интерфейс — всё это удалённый доступ.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Назначается приказом. Юридическое лицо обязано его назначить; ИП такой обязанности не несёт, но назначение упрощает работу с запросами.
Реестр без приказа о назначении выглядит документом ничьим: проверяющий начинает именно с приказа.
Электронная форма удобнее для актуализации, бумажная — для внутренних проверок и работы с подразделениями без доступа к системе.
Передача обработчику оформляется поручением с перечнем действий и обязанностью конфиденциальности, а не общей фразой в договоре.
Реестр содержит карту всех ваших данных, поэтому сам является чувствительным документом с ограниченным доступом.
По каждому обработчику: кому, какие данные, для чего и на основании какого договора или поручения.
До начала трансграничной передачи оператор подаёт отдельное уведомление и получает от иностранного получателя сведения о мерах защиты.
Поручение на обработку не бывает само по себе: оно всегда обслуживает какой-то основной договор.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Данные о здоровье, судимости, религиозных и политических взглядах. Включает отдельный раздел договора с повышенными требованиями.
Фото и видео для идентификации, отпечатки, слепок голоса. Включает отдельный раздел про статью 11 закона.
Ставьте меньше 24: Оператору нужно успеть уведомить Роскомнадзор в течение суток с момента, когда об утечке узнал он сам.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Фиксированный штраф за каждый случай. Без него взыскать с Обработчика можно только доказанные убытки, а доказать их трудно.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
У оператора всего 24 часа на уведомление Роскомнадзора, поэтому внутренний срок должен измеряться часами, а не днями.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Уровень защищённости определяется сочетанием категории данных, отношения субъектов к оператору, их числа и типа угроз. От него зависит объём обязательных мер.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Назовите каждого получателя поимённо и цель передачи. Формулировка «третьим лицам» без перечня не даёт оператору права передавать данные ребёнка.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Указывайте адрес полностью с индексом. Для организаций — юридический адрес из ЕГРЮЛ: почта по нему считается доставленной (ст. 165.1 ГК РФ).
Телефон в международном формате. Используется для оперативной связи и уведомлений.
Электронная почта из реквизитов приобретает силу юридически значимого канала — письма на неё считаются доставленными, если это указано в договоре.
Цель должна быть конкретной. Формулировка «в любых не запрещённых законом целях» делает согласие недействительным.
Фотография для пропуска, отпечаток пальца или скан лица в СКУД — это биометрия, и она обрабатывается только по отдельному письменному согласию.
Отметьте, если данные нужны для гражданско-правового договора: подряда, оказания услуг, поставки, аренды.
Маркетинговая цель всегда отдельна от кадровой: отказ от неё не может быть причиной отказа в приёме на работу или в заключении договора.
Зарплатный проект, выплата вознаграждения по договору, оформление корпоративной карты.
Каждый получатель называется отдельно и с целью: согласие «третьим лицам» без перечня конкретным не считается.
Передача за пределы России требует отдельного упоминания в согласии и предварительного уведомления Роскомнадзора.
Публикация в открытом доступе — это распространение данных, для него нужно отдельное согласие; для фотографии дополнительно требуется согласие на использование изображения.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Реквизиты паспорта запрашивайте только тогда, когда они действительно нужны: избыточные данные нарушают принцип соответствия объёма данных целям обработки.
Политика должна быть опубликована и доступна без регистрации — это самостоятельная обязанность оператора.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Политика должна быть открыта для свободного доступа: без неё согласие не считается информированным.
Приказ, датированный позже начала фактической обработки данных, не закрывает предыдущий период — это самая частая претензия при проверке.
Внутренняя проверка проводится не реже одного раза в три года, если оператор не установил более частую периодичность.
Администратор безопасности отвечает за техническую защиту в информационных системах. Совмещать эту роль с ролью ответственного за организацию обработки ПДн нежелательно: зоны ответственности разные.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
По закону — десять рабочих дней с возможностью продления ещё на пять.
Отсчёт от исполнения договора. Для бухгалтерских документов действуют собственные сроки, они длиннее.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Одна строка — одна информационная система. Вносите и «неочевидные» системы: таблицу с клиентской базой в облачном офисе, CRM, сервис рассылок, систему видеонаблюдения, кадровую программу. Система, не попавшая в перечень, остаётся без мер защиты и всплывает при первой же проверке.
Обычно это лицо, ответственное за организацию обработки персональных данных. Если ведение поручено другому работнику, укажите его: перечень без владельца устаревает за квартал.
Отсчёт со дня ввода системы в эксплуатацию или начала обработки в ней персональных данных.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Когда листы заканчиваются, заводится следующий том со сквозным продолжением нумерации записей.
Число листов указывается на листе-заверителе и в заверительной надписи на обложке. По нему видно, что листы не изымались.
Одна строка — один факт ознакомления одного работника с одним документом. Строки вносятся в хронологическом порядке и не удаляются.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Первичные сбор, запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России ведутся только в базах на территории России. Передача за рубеж эту обязанность не отменяет.
Электронная почта из реквизитов приобретает силу юридически значимого канала — письма на неё считаются доставленными, если это указано в договоре.
Заполняется, когда журнал окончен: после этого он передаётся на хранение, а записи продолжаются в новом журнале.
4

Согласие на обработку персональных данных

Поля только для этого документа. Что это за документ

Политика должна быть опубликована и доступна без регистрации: её отсутствие — самостоятельный состав нарушения, независимо от качества согласия.
Отметьте, если данные принадлежат ребёнку до 14 лет либо подростку, за которого согласие подписывает родитель или опекун.
Одна цель — одно согласие. Если целей несколько и они не связаны между собой, оформляйте отдельные согласия под каждую.
Биометрия — это данные, по которым устанавливают личность: изображение лица для распознавания, отпечаток, слепок голоса. Обычная фотография в личном деле биометрией не считается.
Это сведения о здоровье, национальности, политических и религиозных взглядах, интимной жизни, судимости. Для них требуется отдельное письменное согласие.
Хостинг, облачная CRM, бухгалтерия на аутсорсе, колл-центр — это обработка по поручению. Она возможна только с согласия субъекта и по договору с обработчиком.
Согласие на передачу сведений в бюро кредитных историй действует ограниченный срок и должно быть отделено от согласия на прочую обработку.
Называйте каждого получателя и цель передачи. Формулировка «партнёрам оператора» согласия на передачу не подтверждает.
Передача данных за границу возможна только после отдельного уведомления Роскомнадзора и до получения от него запрета.
Реклама по телефону, СМС и электронной почте допускается только с предварительного согласия адресата, и доказывать наличие согласия придётся оператору.
Это отдельный вид согласия: оно оформляется отдельно от прочих целей и позволяет опубликовать данные для неограниченного круга лиц.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
5

Положение об обработке и защите персональных данных

Поля только для этого документа. Что это за документ

Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
6

Приказ (по ПДн)

Поля только для этого документа. Что это за документ

Оставьте пустым, если хватает выбранного сценария: пункт не напечатается. Если дописываете — повелительно, с исполнителем и сроком.
Только конкретное физическое лицо: назначить ответственным отдел или должность «вообще» нельзя.
Дата не должна быть позже даты фактического начала обработки персональных данных.
Организационная и техническая защита — разные зоны ответственности, их полезно развести уже в приказе.
По строке на работника. Доступ даётся в минимально необходимом объёме — «на всякий случай» доступ является нарушением принципа соответствия объёма данных целям обработки.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Если данные собираются через сайт, документ, определяющий политику, должен быть открыт для неограниченного доступа.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
7

Уведомление в Роскомнадзор

Поля только для этого документа. Что это за документ

У каждого вида уведомления свой срок: до начала обработки, десять рабочих дней при изменениях и прекращении, двадцать четыре часа при утечке.
Перечислите все группы, включая соискателей и представителей контрагентов: не заявленная категория означает обработку за пределами уведомления.
Отдельно отметьте специальные категории (здоровье, судимость) и биометрию: для них нужны самостоятельные основания и усиленные меры защиты.
Перечисляйте только меры, которые реально внедрены и подтверждаются документами: при проверке заявленное сверяют с фактическим (ст. 18.1, 19 ФЗ-152).
Заполняется только при фактической передаче данных за рубеж. О такой передаче Роскомнадзор уведомляется отдельно и до её начала (ст. 12 ФЗ-152).
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
8

Модель угроз безопасности персональных данных

Поля только для этого документа. Что это за документ

Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите страну размещения: первичный сбор данных граждан России ведётся в базах на территории России.
Определяется по совокупности технических и эксплуатационных показателей системы: территориальному размещению, наличию соединений с сетями общего пользования, разграничению доступа и другим.
Одна строка — одна категория нарушителя. Потенциал определяет, какие возможности нарушителя учитываются при выборе мер защиты.
Формулировки угроз берите из банка данных угроз ФСТЭК России (bdu.fstec.ru) и приводите к своей системе. Одна строка — одна угроза.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
9

Реестр операций обработки персональных данных

Поля только для этого документа. Что это за документ

ИНН: 10 цифр у организации, 12 — у ИП и физлица. Проверить контрагента можно на egrul.nalog.ru.
ОГРН организации — 13 цифр, ОГРНИП — 15. Реквизит нужен, чтобы реестр совпадал с уведомлением в Роскомнадзор.
Указывайте адрес полностью с индексом. Для организаций — юридический адрес из ЕГРЮЛ.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Уведомление подаётся до начала обработки. Реестр — рабочая основа для его заполнения и для информационных уведомлений об изменениях.
Одна строка — один процесс: кадры, клиенты, сайт, видеонаблюдение, пропускной режим. Строки добавляются кнопкой.
Одна строка — одна система или база: 1С, CRM, сайт, облачный диск, система видеонаблюдения.
10

Ответ на запрос субъекта персональных данных

Поля только для этого документа. Что это за документ

Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Для ст. 14: подтверждение факта обработки, цели, способы, сроки, состав данных, источники получения, сведения о передаче третьим лицам.
Продление допускается один раз и не более чем на 5 рабочих дней, с обязательным мотивированным уведомлением субъекта.
Уведомление направляется до истечения основного десятидневного срока — иначе продление считается непроизведённым.
Дата подготовки ответа. Именно она сопоставляется со сроком в 10 рабочих дней при проверке Роскомнадзора.
11

Договор поручения на обработку персональных данных

Поля только для этого документа. Что это за документ

Свой внутренний номер. Удобно вести отдельную нумерацию договоров по персональным данным.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
От сценария зависит формулировка целей обработки в разделе о целях: договор подставит готовый текст вместо свободной строки.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Электронная почта из реквизитов приобретает силу юридически значимого канала — письма на неё считаются доставленными, если это указано в договоре.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
12

Порядок реагирования на утечку персональных данных

Поля только для этого документа. Что это за документ

Минимум трое: руководитель группы, технический специалист и ответственный за обработку ПДн. Юрист и специалист по коммуникациям — по возможности.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Электронная почта из реквизитов приобретает силу юридически значимого канала — письма на неё считаются доставленными, если это указано в договоре.
Телефон в международном формате. Используется для оперативной связи и уведомлений.
Отметьте, если организация — субъект критической информационной инфраструктуры или подключена к ГосСОПКА: включится отдельный раздел о параллельном уведомлении НКЦКИ.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
13

Техническое задание на систему защиты ПДн (СЗПДн)

Поля только для этого документа. Что это за документ

Техническое задание вводится в действие приказом оператора: без него это проект документа, а не основание для работ.
Работы по технической защите информации для сторонних заказчиков выполняются только лицензиатами ФСТЭК России. Если работы выполняются собственными силами, укажите подразделение.
Перечислите каждую ИСПДн отдельно: границы системы задают объём работ и стоимость. «Все системы организации» — формулировка, из-за которой исполнитель и заказчик спорят на приёмке.
Категория данных вместе с типом угроз и числом субъектов определяет требуемый уровень защищённости по ПП РФ № 1119.
Обработка данных посторонних лиц повышает требования: у своих работников оператор располагает дополнительными организационными мерами.
Каждая строка — отдельное проверяемое требование. Формулировка «обеспечить надлежащий уровень защиты» на приёмке не проверяется и работает против заказчика.
Для нейтрализации угроз 1-го и 2-го типа применяются средства защиты, прошедшие оценку соответствия в форме обязательной сертификации.
Резервная копия с персональными данными защищается так же, как основная база: незашифрованный бэкап на внешнем диске — типовая причина утечки.
Разбивка по стадиям привязывает оплату к результату: без неё исполнитель сдаёт всё одним актом в конце срока.
Для информационных систем персональных данных обязательна оценка эффективности не реже одного раза в три года. Аттестация обязательна, если система одновременно относится к государственным информационным системам или к значимым объектам критической инфраструктуры.
Срок считается со дня утверждения технического задания, если договором не установлено иное.
Гарантия на настройку средств защиты имеет смысл не короче года: за этот срок проходит первый цикл обновлений и продлений лицензий.
Без указанного времени реакции гарантийное обязательство неисполнимо: спор сведётся к тому, что считать разумным сроком.
14

Акт определения уровня защищённости ИСПДн

Поля только для этого документа. Что это за документ

15

Акт классификации ИСПДн

Поля только для этого документа. Что это за документ

16

Акт оценки эффективности мер защиты ПДн

Поля только для этого документа. Что это за документ

Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
17

Акт уничтожения персональных данных

Поля только для этого документа. Что это за документ

18

Согласие на обработку персональных данных несовершеннолетнего

Поля только для этого документа. Что это за документ

Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
19

Согласие на обработку персональных данных работника

Поля только для этого документа. Что это за документ

От этого зависит правовое основание и срок: у работника обработка идёт по трудовому договору, у соискателя — только по согласию и на ограниченный срок.
Согласие без идентификации субъекта считается неподтверждённым: проверяющий не сможет соотнести его с конкретным человеком.
Нужно, если субъекту нет 18 лет либо он ограничен в дееспособности: тогда согласие даёт представитель и прикладывает документ о полномочиях.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Проверка рекомендаций у прежних работодателей, запрос в вуз о подлинности диплома, справка из медорганизации — всё это получение данных у третьих лиц.
Указывайте адрес полностью с индексом. Для организаций — юридический адрес из ЕГРЮЛ: почта по нему считается доставленной (ст. 165.1 ГК РФ).
Реклама по сетям электросвязи без предварительного согласия запрещена; доказывать наличие согласия обязан распространитель рекламы.
20

Согласие на рекламные рассылки и маркетинг

Поля только для этого документа. Что это за документ

Сюда попадает то, что вы собираете сверх контактов. Данные, не названные в согласии, обрабатывать нельзя.
Ограничение частоты — не требование закона, а способ снизить число отписок и жалоб в ФАС.
Публикация имени в открытом доступе — это распространение данных, для него нужно отдельное согласие, оформленное по особым правилам.
Способ должен позволять подтвердить факт получения согласия. Молчание, бездействие и заранее проставленная галочка согласием не считаются.
Закон даёт оператору не более 30 дней. Меньший срок можно взять на себя добровольно — это работает в вашу пользу при проверке.
21

Согласие на обработку биометрических персональных данных

Поля только для этого документа. Что это за документ

22

Согласие на обработку персональных данных для сайта

Поля только для этого документа. Что это за документ

Заранее проставленная отметка согласием не является: действие должно совершить само физическое лицо.
Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
Полномочие давать согласие на обработку персональных данных должно быть прямо названо в доверенности.
Здоровье, национальность, религиозные убеждения, судимость. Для них нужны отдельные основания и повышенная защита.
Фотография в целях установления личности, отпечаток, слепок голоса. Обычная аватарка биометрией не является.
Звонки и сообщения рекламного характера без предварительного согласия абонента запрещены и наказываются штрафом.
23

Согласие на обработку персональных данных клиента

Поля только для этого документа. Что это за документ

За ребёнка младше 14 лет согласие даёт только родитель, усыновитель или опекун; с 14 лет ребёнок вправе подписать согласие сам.
Реклама по телефону, SMS и электронной почте без отдельного предварительного согласия запрещена, и доказывать наличие согласия обязан оператор.
Электронная форма допустима, но оператор обязан суметь доказать, что согласие дал именно этот человек и именно на этих условиях.
24

Приказ по персональным данным

Поля только для этого документа. Что это за документ

Перечислите акты полностью, как они названы в самих документах: приказ вводит в действие ровно те документы, которые в нём поименованы.
Назовите конкретных работников с должностями. Ответственный за организацию обработки ПДн включается в комиссию, но не может быть её единственным членом — иначе он проверяет сам себя.
Согласие на распространение данных оформляется отдельно от общего согласия и не может быть в него включено.
Комиссия оценивает вред, который может быть причинён субъектам при нарушении требований, и сопоставляет его с принимаемыми мерами защиты.
Перечислите помещения по номерам и назначению: режим допуска вводится в конкретные помещения, а не в организацию вообще.
Данные хранятся не дольше, чем требует цель обработки. Бессрочное хранение «на всякий случай» — самостоятельное нарушение принципов обработки.
От этой даты считаются 24 часа на уведомление Роскомнадзора о факте инцидента и 72 часа на уведомление о результатах внутреннего расследования.
Опишите, какие данные и в каком объёме затронуты и каким образом произошёл неправомерный доступ — это же содержание уходит в уведомление регулятору.
Закон отводит на ответ 10 рабочих дней со дня обращения с возможностью продления не более чем на 5 рабочих дней с уведомлением заявителя.
Укажите, какой акт и в какой части меняется. Изменение политики требует её повторного опубликования, если она размещена на сайте.
Свободный пункт для распоряжений, не покрытых выбранным сценарием. Если поле пустое, пункт в документ не попадает.
25

Инструкция по работе с персональными данными в ИСПДн

Поля только для этого документа. Что это за документ

Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Через сколько минут бездействия экран блокируется автоматически. Это не отменяет обязанность блокировать вручную.
26

План мероприятий по защите персональных данных

Поля только для этого документа. Что это за документ

Одна строка — одно мероприятие. Срок указывайте датой или периодом («до 01.04.2026», «ежеквартально»), а в графе результата — документ, которым исполнение подтверждается: без подтверждающего документа мероприятие считается неисполненным.
Уведомление об обработке персональных данных подаётся до начала обработки, а сведения в нём актуализируются при их изменении.
27

Сопроводительное письмо к уведомлению в Роскомнадзор

Поля только для этого документа. Что это за документ

Должность лица, подписывающего уведомление. Подписант должен иметь полномочия — иначе уведомление вернут.
Фамилия, имя и отчество полностью, как в документе о назначении или в доверенности.
В родительном падеже: «Устава», «доверенности от 12.01.2026 № 3», «приказа от 09.01.2026 № 1-к».
Считаются листы всех приложений вместе с сопроводительным письмом. Нужно для описи вложения при отправке почтой.
28

Положение об обработке персональных данных работников

Поля только для этого документа. Что это за документ

Перечень должностей утверждается приказом. Доступ даётся только к тем данным, которые нужны для работы.
Обычно 30 дней. Дольше — только с согласия кандидата на хранение резюме в кадровом резерве.
29

Положение об обработке персональных данных клиентов

Поля только для этого документа. Что это за документ

Одна строка — одна цель. Основание и срок хранения указываются отдельно по каждой цели: именно построчное соответствие проверяют в первую очередь.
По каждому лицу нужен договор поручения с перечнем действий, целями обработки и обязанностью соблюдать конфиденциальность.
30

Перечень информационных систем персональных данных (ИСПДн)

Поля только для этого документа. Что это за документ

31

Перечень обрабатываемых персональных данных

Поля только для этого документа. Что это за документ

Одна строка — одна категория субъектов. Пишите конкретный состав данных, а не «анкетные данные»: именно по этой графе сверяют фактическую обработку с задекларированной.
Резюме, полученное вне конкурса на конкретную вакансию, хранится только при наличии согласия кандидата.
32

Правила внутреннего контроля обработки персональных данных

Поля только для этого документа. Что это за документ

Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Одна строка — один проверяемый вопрос. Графа «подтверждающий документ» важнее остальных: без документа ответ «да» ничего не подтверждает.
33

Инструкция администратора безопасности СЗПДн

Поля только для этого документа. Что это за документ

Уровень определяется актом по постановлению Правительства № 1119 исходя из типа угроз и категорий данных.
Перечислите реально установленные средства: антивирус, межсетевой экран, средство доверенной загрузки, средство криптографической защиты.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
34

Журнал ознакомления работников с документами по ПДн

Поля только для этого документа. Что это за документ

Бумажный журнал печатается с пустой разграфкой и заполняется работниками от руки. Электронный заполняется прямо здесь и выгружается готовой таблицей.
Перечислите свои действующие локальные акты по персональным данным с их реквизитами. Ознакомление «с политикой вообще», без реквизитов документа, оспаривается первым.
35

Регламент обеспечения доступа субъекта к его персональным данным

Поля только для этого документа. Что это за документ

Раньше этого срока повторный запрос исполняется только при мотивированном обосновании.
36

Регламент уточнения и блокирования персональных данных

Поля только для этого документа. Что это за документ

Сколько дней даётся на техническое блокирование с момента, когда основание установлено.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
37

Регламент реагирования на инциденты с персональными данными

Поля только для этого документа. Что это за документ

Указывайте роли и должности, а не только фамилии: при кадровых изменениях документ не придётся переписывать.
Электронная почта из реквизитов приобретает силу юридически значимого канала — письма на неё считаются доставленными, если это указано в договоре.
Телефон в международном формате. Используется для оперативной связи и уведомлений.
Хостинг, облачный сервис, аутсорсинг бухгалтерии или кадров, колл-центр, курьерская служба.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
38

Регламент взаимодействия с Роскомнадзором и регуляторами

Поля только для этого документа. Что это за документ

Закон даёт десять рабочих дней со дня изменения сведений, ранее поданных в уведомлении.
39

Регламент рассмотрения обращений субъектов персональных данных

Поля только для этого документа. Что это за документ

Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
40

Инструкция по обработке ПДн без средств автоматизации

Поля только для этого документа. Что это за документ

Сейф нужен для документов со специальными категориями данных и для оригиналов документов субъектов.
41

Инструкция по уничтожению персональных данных

Поля только для этого документа. Что это за документ

Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Сколько дней проходит до полной перезаписи архива. До этого срока данные в копиях блокируются.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
42

Соглашение о трансграничной передаче персональных данных

Поля только для этого документа. Что это за документ

Указывайте адрес полностью с индексом. Для организаций — юридический адрес из ЕГРЮЛ: почта по нему считается доставленной (ст. 165.1 ГК РФ).
Электронная почта из реквизитов приобретает силу юридически значимого канала — письма на неё считаются доставленными, если это указано в договоре.
От этого зависит весь порядок: в государства с адекватной защитой достаточно уведомления, в остальные нужно ещё и отдельное основание из части 4 статьи 12 закона о персональных данных.
Список закрытый. Если ни одно основание не подходит — передавать нельзя, каким бы удобным ни был иностранный сервис.
Уведомление о намерении осуществлять трансграничную передачу подаётся ДО начала передачи, отдельно от общего уведомления об обработке.
43

Типовые условия об обработке ПДн для договоров

Поля только для этого документа. Что это за документ

Условия работают как готовый раздел основного договора. Укажите, к каким договорам вы их прикладываете.
Три конструкции требуют разных условий. Обмен визитками представителей — это не поручение обработки, а поручение обработки — не совместное операторство. Выбор определяет весь текст раздела.
Поручение без перечня действий не соответствует части 3 статьи 6 закона о персональных данных.
Отсчитывается от момента, когда отпали и цель обработки, и обязанность хранить документы по закону.
44

Журнал учёта обращений субъектов персональных данных

Поля только для этого документа. Что это за документ

Все объявленные каналы должны реально работать: обращение считается поступившим с момента доставки по любому из них.
Срок ответа считается от даты поступления, а не от даты регистрации, поэтому затягивать регистрацию бессмысленно и опасно.
Отчёт показывает не количество писем, а слабые места обработки: если люди массово просят удалить данные, проблема не в журнале.
45

Журнал учёта инцидентов с персональными данными

Поля только для этого документа. Что это за документ

Ориентир: 30 строк хватает на год работы небольшой компании. Когда строки закончатся, заводится следующий журнал.
46

Журнал учёта уничтожения персональных данных

Поля только для этого документа. Что это за документ

Индекс дела по номенклатуре. Он же указывается на обложке журнала и в описи при передаче в архив.
Дата первой записи или дата утверждения журнала приказом.
Разрыв листа руками и мусорная корзина уничтожением не считаются: данные остаются восстановимыми, и это нарушение.
Удаление файла и очистка корзины данные не уничтожают. Нужны затирание, размагничивание или физическое разрушение носителя.
47

Акт уничтожения носителей персональных данных

Поля только для этого документа. Что это за документ

Каждая строка — отдельная позиция: вид носителя, его учётный номер, категория данных и количество.
48

Приказ об утверждении перечня ИСПДн

Поля только для этого документа. Что это за документ

Укажите фамилию, имя и отчество полностью, как в паспорте. Для документов с падежами система просклоняет автоматически.
Выберите дату в календаре — в документ она попадёт цифрами и прописью, где это требуется.
49

Приказ об утверждении модели угроз

Поля только для этого документа. Что это за документ

Определяется по постановлению Правительства № 1119 исходя из категории данных, типа угроз и числа субъектов.
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
50

Приказ о допуске работников к обработке ПДн

Поля только для этого документа. Что это за документ

Допуск оформляется по должностям, а не по фамилиям: при смене работника перечень не приходится переиздавать. Объём доступа пишите действиями, а не словом «полный».
Укажите числовое значение без единиц измерения — размерность уже указана в названии поля.
Отпуск, больничный, командировка основного работника. Временный доступ без срока окончания превращается в постоянный.
51

Инструкция по применению средств защиты информации

Поля только для этого документа. Что это за документ

Перечислите средства защиты, установленные в информационных системах, с номерами лицензий или сертификатов.
52

Инструкция по взаимодействию с Роскомнадзором

Поля только для этого документа. Что это за документ

Территориальное управление по месту нахождения организации — туда идут запросы и туда же представляются документы при проверке.

Один архив ZIP, внутри файл на каждый документ комплекта. Документы останутся в личном кабинете — пересобрать можно в любой момент.