Главная

Акт проведения внутренней проверки условий обработки персональных данных

Фиксирует состав комиссии, объекты и методы проверки, выявленные несоответствия с оценкой риска, сроки и ответственных за их устранение. Документ утверждает руководитель организации, подготовку ведёт ответственный за организацию обработки персональных данных или служба информационной безопасности; акт служит основанием для корректирующих мер и последующего контроля.

Статус обязательный при проведении внутреннего контроля условий обработки персональных данных
Основание п. 4 ч. 1 ст. 18.1 152-ФЗ, п. 17 ПП РФ № 1119
Публичность внутренний документ, доступ в пределах организации
Кто утверждает руководитель организации
Ответственный за проведение ответственный за организацию обработки персональных данных или служба информационной безопасности
Периодичность не реже 1 раза в 3 года
Обновлено июль 2026

01 Назначение

Акт внутренней проверки условий обработки персональных данных

Краткое руководство по содержанию, триггерам и типичным ошибкам при составлении акта

Назначение и область применения. Акт фиксирует результаты внутреннего контроля условий обработки персональных данных в подразделении или по информационной системе. Документ служит основанием для принятия решений об устранении выявленных нарушений и для корректировки мер защиты. Акт имеет внутренний статус и утверждается руководителем организации; исполнителем обычно выступает ответственный за организацию обработки персональных данных или служба информационной безопасности.

Структура акта и обязательные разделы. В акте указывают паспорт проверки (объект, дата, состав комиссии), описание проверяемых процессов и систем, перечень проверенных организационных и технических мер, выявленные несоответствия с оценкой риска, предложенные корректирующие меры и решение руководителя. К акту прикладывают ссылки на приказы о проведении проверки, реестр процессов обработки и действующие внутренние регламенты, а также указание на записи, подтверждающие выполнение предложенных мер.

Периодичность и триггеры для внеплановой проверки. Плановые внутренние проверки проводят не реже установленного периода, а также проводят внепланово при значительных изменениях в обработке, после инцидента информационной безопасности, при вводе в эксплуатацию новых систем или по обращению субъекта данных. Внеплановая проверка также нужна при смене ответственного за обработку или после выявления системных нарушений.

Типичные ошибки при оформлении и рекомендации по оценке. Частые ошибки: формальная фиксация без подтверждающих записей, отсутствие привязки замечаний к конкретным рискам и ответственным, неопределённые или невыполнимые сроки устранения. При оценке проверяющий должен соотнести выявленные факты с действующими мерами защиты, дать конкретные рекомендации по устранению, назначить ответственных и задокументировать контроль исполнения. Особое внимание уделяют управлению доступом и средствам аутентификации при проверке учетных записей и прав доступа.

Раскрыть полностью

02 Ответственность

Ответственность при нарушениях требований к акту внутренней проверки условий обработки ПДн

ст. 13.11 КоАП РФ

Юридическое лицо санкции по ст. 13.11 КоАП РФ при наличии состава правонарушения, размеры и вид санкций определяются текстом статьи
Должностное лицо санкции по ст. 13.11 КоАП РФ при наличии состава правонарушения, возможна персональная административная ответственность
Индивидуальный предприниматель санкции по ст. 13.11 КоАП РФ при наличии состава правонарушения, размеры определяются текстом статьи
Физическое лицо (гражданин) санкции по ст. 13.11 КоАП РФ при наличии состава правонарушения, применяются в случаях, прямо указанных в тексте нормы
Предупреждение возможное предупреждение или иная административная мера, предусмотренная КоАП РФ, при отсутствии/неполноте доказательств состава правонарушения

При наличии состава административного правонарушения применяются меры, предусмотренные ст. 13.11 КоАП РФ. Отсутствие акта, ненадлежащее оформление или несоответствие акта требованиям внутреннего контроля повышают риск привлечения по указанной статье. Типичные ошибки, повышающие риск: отсутствие подписи руководителя, отсутствие указания ответственного за проведение, неверные даты проведения или отсутствие документов, подтверждающих корректирующие действия.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Название вариативно: документ фиксирует состав комиссии, объекты и методы проверки, выявленные несоответствия и решения по их устранению. В практике используют слова проверка, контроль, аудит - итоговый документ чаще называют актом.

Акт внутренней проверки условий обработки персональных данных
Акт внутренней проверки ПДн
Акт внутреннего контроля ПДн
Форма акта проверки соблюдения требований по защите ПДн
Отчёт о внутренней проверке персональных данных
Акт самопроверки по персональным данным
Форма акта внутреннего контроля ПДн
Протокол проверки условий обработки ПДн
Отчёт о результатах аудита обработки ПДн

04 Обязательное содержание

Чеклист содержательных элементов акта

Чеклист разделов и элементов, которые должны быть в акте внутренней проверки условий обработки персональных данных. Фокус на оформлении результатов проверки, назначении ответственных и оснований для выводов.

Реквизиты проверки Дата проведения, основание проверки, период охвата, ссылка на распоряжение или приказ об утверждении проверки и отметка об утверждении руководителем организации.
Состав комиссии и ответственные ФИО и должности участников проверки, лицо, ответственное за организацию обработки персональных данных, контактные данные и полномочия комиссии.
Объект и объем проверки Перечень подразделений, информационных систем, реестров и процессов обработки, включённых в проверку, а также конкретные проверочные процедуры для каждого объекта.
Критерии и методика оценки Описание методики оценки соответствия (контрольный список, используемые стандарты и методы выборки), а также ссылка на применимые организационные и технические меры защиты.
Выявленные несоответствия и оценка рисков Перечень выявленных нарушений с краткой квалификацией (описание, уровень риска и влияние на права субъектов), указание на документальные подтверждения и место их хранения.
Корректирующие и профилактические меры Конкретные мероприятия для устранения нарушений, назначение ответственных, сроки исполнения и способ проверки выполнения мер с указанием контрольных точек.
Заключение, подписи и приложения Итоговый вывод о соответствии условий обработки требованиям организации и законодательства, подписи руководителя и ответственного за проведение, а также реестр приложений и отметки об источниках подтверждений.

05 Применимость

Сфера применения акта внутренней проверки условий обработки персональных данных

Краткое руководство, кому и в каких случаях оформляют акт внутренней проверки условий обработки персональных данных. Учитывает статус документа, ответственных и связь с другими внутренними документами.

Обязательное применение Акт обязателен при проведении внутреннего контроля условий обработки персональных данных и используется как протокол результатов проверки и основание для корректирующих мер.
Организации и подразделения, которым рекомендуется Документ целесообразно применять в любых юридических лицах и их филиалах, обрабатывающих персональные данные, особенно в операторах с ИСПДн, в службах информационной безопасности и IT-подразделениях.
Когда акт не заменяет другие документы Акт не является публичной политикой по защите данных и не заменяет уведомления для субъектов данных; он предназначен для внутреннего использования и хранения в рамках организации.
Кто утверждает и кто ответственный Утверждает акт руководитель организации. За проведение отвечает ответственный за организацию обработки персональных данных или служба информационной безопасности, их полномочия и состав фиксируются в акте.
Периодичность и триггеры для внеплановой проверки Плановые проверки проводят в установленной периодичности; акт применяют минимум по периодичности, предусмотренной для контроля ИСПДн, а также при смене ИСПДн, обнаружении инцидента, существенных изменениях инфраструктуры или по требованию контролирующих органов.
Взаимосвязанные документы и практический предел использования Акт дополняет внутренние политики и приказы по мерам защиты, приказы по управлению доступом и реестры ИСПДн; при существенных масштабах обработки вместо отдельного акта может потребоваться комплексная проверка или аудит с оформлением дополнительных протоколов и приказов.

06 Нормативная база

Нормативная база для акта внутренней проверки условий обработки ПДн

п. 4 ч. 1 ст. 18.1 152-ФЗ Определяет акт как документальный результат внутреннего контроля или аудита соответствия обработки персональных данных. Для акта важно фиксировать объект и период проверки, выявленные несоответствия, оценку последствий для прав субъектов данных, предложения по корректирующим мерам и ответственных за их исполнение.
ч. 2 ст. 18.1 152-ФЗ Устанавливает обязанность сохранения документов и их предоставления регулятору по запросу. Для акта это значит обеспечить учёт версий, порядок хранения и журнал доступа, чтобы по запросу можно было подтвердить дату составления, участников проверки и внесённые исправления.
п. 17 ПП РФ № 1119 Задаёт требование к периодичности контроля в ИСПДн - не реже одного раза в три года. В акте следует указывать основание и периодичность проверки, соотносить результаты с предыдущими проверками и расписанием оператора.
п. 17 ПП РФ № 1119 Допускает привлечение лицензированных исполнителей по защите конфиденциальной информации при проведении контроля. Акт должен документировать факт привлечения внешних экспертов, приложенные заключения или отчёты и выводы, сделанные на их основе.
ст. 19 152-ФЗ Определяет содержание мер по обеспечению безопасности персональных данных - предмет проверки акта. Акт должен проверять наличие и эффективность организационных и технических мер, например разграничение доступа, учёт и журналирование, обучение персонала и резервное копирование.
приказ ФСТЭК № 21 Содержит детализированные требования к отдельным техническим мерам, в том числе управлению средствами аутентификации. Акт должен оценивать соответствие внедрённых средств и процедур требованиям приказа, фиксировать отступления и предлагать план приведения в соответствие.
п. 1 ч. 1 ст. 18.1 152-ФЗ Требует наличия документа, регламентирующего политику обеспечения безопасности персональных данных. Акт должен проверять, что такая политика утверждена руководителем, актуальна для проверяемых систем и доступна ответственным за обработку.

08 Внедрение

Шаги внедрения и оформления Акта внутренней проверки условий обработки персональных данных

Кратко: последовательность действий от решения о проведении до утверждения и хранения акта. Документ утверждает руководитель организации, ответственным за проведение назначается ответственный за организацию обработки персональных данных или служба информационной безопасности. Периодичность проверки устанавливается нормативами.

1. Принятие решения о проведении проверки и издание распоряжения Руководитель принимает решение о проведении внутренней проверки и издаёт распорядительный документ. Результат на выходе: Приказ о проведении внутренней проверки условий обработки персональных данных, с указанием сроков, состава комиссии и ответственных.
2. Формирование состава проверяющих и методики проверки Ответственный за организацию обработки ПДн совместно со службой ИБ разрабатывает методику и чек-лист проверки, определяет объём проверяемых систем и список документов. Результат на выходе: утверждённый план проверки и чек-лист.
3. Проведение проверки и документирование фактов Проверяющие выполняют проверку по утверждённому чек-листу, фиксируют выявленные несоответствия и собирают подтверждающие материалы. Результат на выходе: черновая редакция Акта проверки и прикреплённые приложения с чек-листами и подтверждающими материалами.
4. Анализ результатов и подготовка предложений по мерам Ответственный за обработку ПДн анализирует выявленные риски и формирует предложения по корректирующим и профилактическим мерам, а также проект приказа по результатам проверки. Результат на выходе: отчёт с предложениями и проект приказа о мерах.
5. Утверждение акта, исполнение и хранение материалов Руководитель утверждает Акт и, при необходимости, издаёт приказ о проведении и контроле исправительных мероприятий. Все материалы проверки включают в папку внутреннего контроля; выводы акта используются как вход для плана мероприятий и основание для приказов. Результат на выходе: утверждённый Акт, приказ по результатам, запись в журнале внутреннего контроля.

09 Актуализация

Поводы для проведения или переиздания Акта внутренней проверки условий обработки ПДн

Акт фиксирует результаты конкретной проверки и остаётся в архиве в той редакции, в которой был составлен. Изменяют типовую форму акта отдельно; сами проверки проводят повторно по событиям и по плану. Триггеры определяют, когда нужно инициировать новый акт, когда провести целевую проверку по невыполненным пунктам и когда корректировка формы обязательна.

Подошёл плановый срок проверки Провести проверку в соответствии с правилами внутреннего контроля, при этом соблюсти периодичность, установленную для контроля защиты в информационных системах персональных данных. Инициировать проверку по графику, оформить акт и направить на утверждение руководителю организации.
Ввод в эксплуатацию новой ИС или значительное изменение ИСПДн Новая система или серьёзное изменение процессов обработки требуют внеплановой проверки условий обработки, чтобы своевременно выявить недостатки в настройках доступа, журнальных записях и мерах защиты. Назначить целевую проверку в ранний период после запуска или изменения, зафиксировать результаты отдельным актом.
Произошёл инцидент, связанный с утечкой или нарушением обработки После инцидента проводят внеплановую проверку условий обработки, целью которой является выявление организационных и технических факторов, позволивших инциденту произойти; результаты фиксируют отдельным актом. Инициировать проверку по факту инцидента, составить акт, выделив раздел по условиям обработки, приведшим к инциденту.
Изменились обязанности, структура или переданы процессы на аутсорсинг Реорганизация, смена ответственного или передача функций третьим лицам требуют проверки распределения обязанностей, прав доступа и договорных условий, чтобы убедиться, что меры защиты сохраняются. Провести проверку зон ответственности и настройку доступа, оформить акт с указанием необходимых корректирующих мер.
Остались невыполненные замечания по предыдущему акту Если по предыдущему акту выявлены обязующие к выполнению меры и срок их исполнения истёк или меры не завершены, требуется целевая повторная проверка именно по этим пунктам до полного закрытия замечаний. Инициировать повторную проверку ограниченным объёмом по ранее зафиксированным пунктам и зафиксировать статус исполнения в новом акте.

10 Проверка

Инспектор проверит документы и материалы по акту внутренней проверки ПДн

Документы и материалы проверки, подтверждающие организацию, проведение и результаты внутренней проверки условий обработки персональных данных.

Вопрос 01 «Предъявите акт внутренней проверки условий обработки персональных данных.»
Вопрос 02 «Предъявите материалы, подтверждающие проведение проверки и её результаты.»
Вопрос 03 «Предъявите документы по корректирующим мероприятиям и подтверждения их выполнения.»
Вопрос 04 «Предъявите документы, подтверждающие полномочия и назначение ответственного за проведение проверки.»
Вопрос 05 «Предъявите документы, подтверждающие периодичность проверок и историю предыдущих проверок.»

Инспектор при проверке, может запросить:

акт внутренней проверки условий обработки персональных данных, утверждённый руководителем, с датой и подписью
протоколы осмотра, журналы замечаний, сводная ведомость выявленных несоответствий и заключение комиссии
план корректирующих мероприятий, приказы и распоряжения на выполнение, акты устранения замечаний и журналы выполнения работ
приказ о назначении ответственного лица или служебное распоряжение, записи о составе комиссии и распределении обязанностей
график внутренних проверок, акты предыдущих проверок за последние три года и перечень проверенных систем и подразделений

11 Экспертная позиция

Связать выводы акта с рисками и мерами

Частая слабость акта внутренней проверки - формальная фиксация факта проверки без явной связи выявленных несоответствий с оценкой риска и планом устранения. Практический прием: в акте предусмотреть структурированную таблицу с полями «описание несоответствия», «оценка вреда», «предлагаемая мера защиты», «ответственный», «срок исполнения», «доказательства и ссылки на материалы проверки», а также указание выборки систем и источников логов, использованных при проверке. Это ускорит управление несоответствиями, позволит контролировать исполнение и соотнести результаты с реестром рисков и политикой организации.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по акту внутренней проверки условий обработки ПДн

Акт - это служебный документ, фиксирующий результаты внутренней проверки соответствия организации обработки персональных данных требованиям безопасности и внутренним правилам. Его составляют по итогам проверки для фиксирования выявленных рисков, недостатков и рекомендованных мер. Проведение акта требуется при организации внутреннего контроля обработки персональных данных в соответствии с требованиями законодательства.

Заказать акт внутренней проверки условий обработки персональных данных в комплекте с доказательствами

Подготовим проект акта внутренней проверки условий обработки персональных данных и соберем готовый комплект доказательств для внутреннего контроля. В работе: подготовка акта с указанием состава комиссии, объектов и методов проверки; реестр выявленных несоответствий с оценкой риска, сроками и ответственными; комплект доказательств - приказ об утверждении, журнал проверки, протоколы комиссии, ссылки на ресурсы, скриншоты настроек и логи доступа. По запросу адаптируем документ и включим его в комплект локальных нормативных актов. После заявки согласуем объем работ и перечень исходных материалов, необходимых для подготовки.

Заказать акт и комплект доказательств