Перечень персональных данных, обрабатываемых в ИСПДн: как составить, требования

Статус обязательный документ при обработке персональных данных в ИСПДн
Основание ч. 5 ст. 5, ст. 19 152-ФЗ; применяются также ч. 4 и ч. 7 ст. 5, ст. 10, ст. 10.1 и ст. 11 при соответствующих категориях данных
Публичность внутренний документ, доступ ограничен ответственным за обработку и контролирующим подразделениям
Кто утверждает руководитель организации приказом
Обновлено июль 2026
Область применения перечень предназначен для конкретной ИСПДн, используется при формировании выгрузок, настроек доступа и политик обработки
Требования к защите и особые категории уровни защищённости по ПП РФ № 1119; при обработке сведений о здоровье и биометрических данных применяется специальный режим

01 Назначение

Перечень персональных данных, обрабатываемых в ИСПДн

Краткое руководство по назначению, структуре и контролю перечня для конкретной ИСПДн. Обновлён: июль 2026.

Назначение перечня и границы применения. Документ фиксирует набор полей и категорий персональных данных, используемых в конкретной ИСПДн в интересах определённых целей обработки: формирование выгрузок, настройка прав доступа и поддержка внутренних политик обработки. Перечень является внутренним и обязателен для ответственного за обработку и администратора ИСПДн; изменения утверждаются руководителем организации приказом. Доступ к перечню предоставляют контролирующие подразделения и уполномоченные исполнители в рамках задач проверки.

Формат записи и обязательные поля. Каждая строка перечня содержит системное имя поля, тип данных, категорию (обычные, специальные, биометрические), цель(и) обработки, срок хранения, группу доступа и источник данных. Рекомендуется привязывать запись к шаблону выгрузки и уникальному коду поля для автоматической синхронизации настроек доступа и отчетов. Администратор ИСПДн поддерживает структуру и передаёт изменения в службу ИБ для оценок рисков при необходимости.

Жизненный цикл данных и сроки хранения. Перечень задаёт сроки хранения для каждой категории и фиксирует триггеры удаления или архивирования при достижении целей обработки. Процедуры очистки и архивирования должны быть привязаны к бизнес-процессам и автоматизированным задачам, а исполнение регламентируется ответственными лицами и проверяется контролирующими подразделениями. Объём собираемых данных и длительность хранения не должны превышать необходимое для целей обработки.

Контроль соответствия, типичные ошибки и оперативные триггеры. Регулярно сверяйте перечень с фактическими выгрузками и матрицей доступа: частые ошибки - избыточные поля в выгрузках, незаклассифицированные специальные категории и отсутствие сроков удаления. Триггеры для обновления перечня - ввод новых интеграций, изменение функций ИСПДн или появление новой нормативной классификации категорий. Проверки проводят служба ИБ и контролирующие подразделения; изменения фиксируют в журнале и утверждают приказом руководителя.

Раскрыть полностью

02 Ответственность

Административная ответственность за отсутствие или несоответствие перечня персональных данных в ИСПДн

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Отсутствие или несоответствие утверждённого перечня персональных данных для конкретной ИСПДн повышает риск привлечения к административной ответственности по КоАП за обработку, не предусмотренную законом. Типичные ошибки операторов: выгрузки с лишними полями, хранение данных, не обоснованных целями обработки, и незамеченные специальные категории данных, в том числе сведения о здоровье ребёнка. Граничный случай - санкция применяется при наличии состава правонарушения, а не автоматически при формальном расхождении документа. Практические меры снижения риска: утверждение перечня приказом руководителя, документированное обоснование каждого поля, сопоставление полей с целями обработки и уровнями защищённости ИСПДн.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Набор распространённых названий, которые используют сотрудники и подрядчики при поиске и согласовании. Полезно при общении с разработчиками, службой безопасности и контролирующими подразделениями.

Перечень персональных данных
Перечень обрабатываемых персональных данных
Перечень категорий персональных данных
Состав обрабатываемых персональных данных
Таблица полей персональных данных
Список персональных данных в ИСПДн
Перечень полей ИСПДн
Перечень персональных данных работников и клиентов

04 Обязательное содержание

Ключевые элементы перечня персональных данных

Чеклист разделов и обязательных полей, которые должны быть в перечне персональных данных для конкретной ИСПДн, чтобы документ выполнял назначение при настройке выгрузок, доступа и проверках.

Реквизиты утверждения и версия Запись об утверждении документом руководителя: наименование приказа или распоряжения, дата, номер версии, лицо, ответственное за ведение перечня, зона действия ИСПДн.
Идентификация ИСПДн и область применения Идентификатор или наименование системы, подразделения-владелец, назначение обработки, границы данных и интеграции с другими системами, указание кто имеет доступ к списку.
Таблица категорий данных с целями обработки Перечень категорий персональных данных в форме таблицы с указанием цели обработки для каждой категории и правовой основы, по которой данные обрабатываются.
Перечень полей и минимально необходимый объём данных Для каждой категории указаны конкретные поля (атрибуты), формат данных и обоснование необходимости их включения, чтобы исключить избыточные выгрузки.
Сроки хранения и триггеры удаления Колонка со сроком хранения или ссылкой на применимую политику хранения, а также условия и ответственные за удаление данных по завершении цели.
Особые категории и биометрические данные Отмечены категории, требующие специальных режимов обработки: сведения о здоровье, данные детей, биометрические данные, с указанием дополнительных ограничений и условий согласия или оснований обработки.
Контроль доступа, ограничения распространения и требования по защите Колонка с перечнем ролей и уровней доступа к каждой категории данных, отметки о разрешённых выгрузках и трансграничной передаче, а также ссылка на требования по уровню защищённости ИСПДн.

05 Применимость

Кому и когда нужен перечень персональных данных для конкретной ИСПДн

Кратко: перечень обязателен для каждой конкретной информационной системы персональных данных (ИСПДн). Используется при формировании выгрузок, настройке прав доступа и определении мер защиты в рамках этой ИСПДн.

Кому предназначен Для оператора и ответственного за организацию обработки, администраторов ИСПДн и контролирующих подразделений, которые настраивают выгрузки, права доступа и применяют организационно-технические меры защиты. Документ внутренний, доступ ограничен уполномоченным лицам.
Обязательность и правовая основа Перечень является обязательным документом при обработке персональных данных в конкретной ИСПДн; он обосновывает объём обрабатываемых данных и требования к защите.
Типовые сценарии применения Применяется при подготовке и верификации выгрузок данных, при настройке ролей и прав доступа, при формировании требований к средствам защиты и при приёмке ИСПДн в эксплуатацию.
Границы применения и исключения Относится только к персональным данным, входящим в состав данной ИСПДн. Для других систем или для данных, которые не хранятся в этой ИСПДн, формируется отдельный перечень. Перечень не заменяет иные регламенты обработки вне рамок конкретной ИСПДн.
Особые категории данных Если в составе ИСПДн присутствуют сведения о здоровье ребёнка, биометрические данные или иные специальные категории, перечень должен выделять такие категории и отражать предусмотренные режимы обработки.
Утверждение, ответственность и случаи обновления Утверждается руководителем организации приказом, под ответственностью ответственного за обработку. Обновляют при изменении состава данных в ИСПДн, при вводе новых выгрузок, при изменении настроек доступа или при изменениях требований к защищённости.

06 Нормативная база

Нормативная база для перечня персональных данных в ИСПДн

ч. 5 ст. 5 152-ФЗ Определяет требование минимизации объёма данных, обосновывает каждое поле перечня через цель обработки. Для документа это означает: указывать для каждой позиции цель использования, фиксировать обоснование включения поля и отмечать триггеры пересмотра при расширении выгрузок. Типичная ошибка - включение всех доступных атрибутов без обоснования.
ст. 19 152-ФЗ Устанавливает необходимость организационных и технических мер защиты персональных данных. Перечень служит основой для классификации полей по требованиям защиты и для выбора мер доступа, шифрования и журналирования; при добавлении полей проверять соответствие уровню защиты. Триггер пересмотра - появление специальных категорий или роста числа субъектов.
ч. 4 ст. 5 152-ФЗ Ограничивает обработку данными, которые соответствуют целям. Для перечня это значит: соотнести каждое поле с конкретной целью обработки, описать допустимые операции и исключить поля, не относящиеся к целям ИСПДн. Практика - при формировании выгрузок сначала фильтровать по цели, затем по роли доступа.
ч. 7 ст. 5 152-ФЗ Регламентирует срок хранения данных и порядок прекращения обработки после достижения цели. В перечне следует указывать рекомендуемые сроки хранения или ссылку на категорию хранения, критерии удаления и ответственного за обезличивание или уничтожение. Граничный случай - смена цели обработки, требующая пересмотра сроков для соответствующих полей.
ст. 10 152-ФЗ Определяет специальные категории данных, включая сведения о здоровье и судимостях. Перечень должен помечать такие поля для применения особых режимов доступа и согласований, а также ограничений на автоматизированную обработку. Частая ошибка - отсутствие явной маркировки специальных категорий в выгрузках и настройках доступа.
ст. 10.1 152-ФЗ Требует возможности определять, какие данные субъект разрешил к распространению. В перечне нужно обеспечить поле статуса распространения или ссылку на запись согласий, чтобы при формировании выгрузок автоматически исключать недопустимое распространение. Проверочный триггер - запрос третьих лиц на передачу данных.
ст. 11 152-ФЗ Устанавливает отдельный режим для биометрических данных, часто требующий согласия и усиленной защиты. Перечень обязан явно выделять биометрические поля, указывать требования к хранению и проверять наличие согласий перед обработкой. Практическая рекомендация - минимизировать число биометрических атрибутов в выгрузках.
ПП РФ № 1119 Задает критерии формирования уровней защищённости информационных систем в зависимости от категории данных и числа субъектов. Для перечня это означает: связывать каждую категорию полей с уровнем защищённости ИСПДн и использовать это при выборе технических мер и процедур доступа. Триггер пересмотра - изменение масштаба обработки или состава категорий данных.

08 Внедрение

Внедрение Перечня персональных данных для конкретной ИСПДн

Короткий план от принятия решения до рабочего контура и передачи материалов проверяющим. Акцент на обосновании объема данных, учете специальных категорий и фактической настройке выгрузок.

1. Сбор исходных данных и триггеров обработки Ответственный за обработку собирает источники полей из ИСПДн, интеграций и форм ввода, фиксирует цели обработки и события, требующие изменений перечня (новые интеграции, изменение целей, выявление спецкатегорий). На выходе: файл чернового Перечня ПД с привязкой полей к целям и список триггеров изменений.
2. Классификация по категориям и оценка специальных категорий Специалист по информационной безопасности совместно с ИТ-катьлогизирует поля по категориям: общие, специальные, биометрические, сведения о детях. Для специальных категорий отмечается требуемый режим обработки и дополнительные требования к защите. На выходе: таблица «Категории данных и режим обработки».
3. Согласование с владельцами процессов и юридическим отделом Ответственный за обработку направляет проект перечня владельцам процессов и юристам для проверки соответствия целям обработки и требованиям не избыточности. По результатам оформляется протокол согласования с перечнем отклонений и принятых решений. На выходе: подписанный протокол и обновлённый проект Перечня.
4. Утверждение приказом и регистрация документа Руководитель организации утверждает Перечень приказом. Секретариат регистрирует приказ и вносит запись о Перечне в реестр локальных актов организации. На выходе: Приказ об утверждении Перечня персональных данных и запись в реестре локальных актов.
5. Внедрение в ИСПДн и план контроля изменений ИТ-администратор вносит утверждённые поля в настройки выгрузок, правил доступа и маскирования, отвечает за запись изменений в журнале версий. Ответственный за обработку включает Перечень в план контрольных проверок и передаёт в папку проверяющего: приказ, утверждённый Перечень и протокол согласования. На выходе: рабочая конфигурация ИСПДн и реестр изменений.

09 Актуализация

Триггеры для пересмотра перечня ПД в конкретной ИСПДн

Перечень пересматривают при реальных изменениях состава данных, категорий субъектов, требований к защите или целям обработки. Пересмотр проводить до фактической запуска новой обработки и фиксировать документально; регулярная сверка инвентаря систем обеспечивает своевременное обнаружение изменений.

Изменился состав полей в системах Добавлены новые атрибуты в карточки сотрудников, формы заявок или выгрузки данных. Любое новое поле, которое влияет на объём обрабатываемых данных, вносится в перечень до начала его использования в ИСПДн; при необходимости уточняют основания и уровень доступа. Зафиксировать изменение в перечне, обновить метаданные выгрузок и сопроводить приказом или служебной запиской; проверить соответствие принципу минимизации данных.
Появилась новая категория субъектов Начало обработки данных несовершеннолетних, доверенных лиц, работников подрядчика или иных новых групп. Для каждой группы пересматривают перечень полей, правовые основания обработки и правила распространения данных. Классифицировать новую категорию, сопоставить с правовыми основаниями и особым режимом обработки, обновить разделы доступа и инструкции по работе с этими данными.
Появились специальные категории или биометрические данные Появление сведений о здоровье, судимостях, биометрии или иных специальных данных меняет требования к правовой основе и уровню защиты. Такие данные не включают в перечень без отдельного обоснования и соответствующих мер защиты. Приостановить массовое включение до наличия правового основания; оформить изменение перечня с указанием основания обработки и требований к уровню защищённости ИСПДн.
Изменился объём или масштаб субъектов обработки Рост количества субъектов, масштаб выгрузок или интеграция с новыми системами могут потребовать иного уровня защищённости и дополнительных организационных мер. Перечень проверяют в связке с оценкой рисков и уровнем защищённости ИСПДн. Провести оценку уровня защищённости и, при необходимости, пересмотреть перечень и требования к техническим и организационным мерам защиты.
Изменились цели обработки или сроки хранения Изменение целей обработки, политика хранения или новые внутренние требования влекут за собой проверку соответствия перечня и необходимость удаления данных, срок хранения которых истёк. Перечень должен отражать актуальные цели и сроки для каждой категории данных. Обновить сведения о целях и сроках в перечне, запланировать удаление устаревших данных и документально обосновать изменения.

10 Проверка

Инспектор проверит

Документы и материалы проверки перечня персональных данных для конкретной ИСПДн, включая подтверждение утверждения, обоснования включённых полей, особые категории данных, настройки доступа и журнал изменений.

Вопрос 01 «Предъявите приказ, которым утверждён перечень персональных данных для этой ИСПДн.»
Вопрос 02 «Предъявите обоснование соответствия состава перечня целям обработки и минимальности объёма.»
Вопрос 03 «Предъявите документы по специальным категориям данных, включённым в перечень.»
Вопрос 04 «Предъявите материалы, подтверждающие настройку прав доступа и соответствие перечня требованиям защищённости ИСПДн.»
Вопрос 05 «Предъявите записи об обновлениях перечня и основания для последних изменений.»

Инспектор при проверке, может запросить:

утверждённый приказ об утверждении перечня персональных данных для данной ИСПДн с подписью руководителя и датой
аналитические записки, карты выгрузок или таблицы соответствия полей целям обработки
перечни полей, отнесённых к специальным категориям, копии согласий субъектов или иные правовые основания для обработки
спецификации выгрузок для данной ИСПДн, матрица разграничения доступов и протоколы или отчёты по тестированию соответствия уровня защищённости
журнал версий перечня с датами изменений, указанием ответственных лиц и документами-основаниями (приказы или служебные записки)

11 Экспертная позиция

Практическая опасность и рабочая метрика для перечня ПДн

Типичная ошибка - формирование перечня как зеркала всех колонок исходных систем без привязки к целям обработки. Это порождает избыточные выгрузки, усложняет разграничение доступа и нарушает требования минимизации и срока хранения. Рабочий приём: для каждого поля вести краткую карточку с целью обработки, категорией данных, перечнем ролей с доступом и сроком хранения; помечать особые категории и биометрию отдельным флагом и включать простую автоматическую валидацию выгрузок перед применением. Такой подход уменьшит лишние права и упростит проверки.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - Перечень персональных данных, обрабатываемых в ИСПДн

Да. Перечень составляется для конкретной ИСПДн и должен отражать только те поля, которые реально обрабатываются в этой системе. Утверждение делает руководитель организации приказом, перечень используется при настройке выгрузок, прав доступа и политик обработки.

Заказать перечень персональных данных для ИСПДн

Закажите подготовку и адаптацию Перечня персональных данных для конкретной ИСПДн в составе комплекта локальных нормативных актов. В комплект входит: заполненный перечень с полями и категориями субъектов, привязка к целям обработки и уровням защищённости, сроки хранения и журнал изменений, приказ об утверждении, рекомендации по выгрузкам и настройкам доступа, комплект доказательств для проверки (приказ, экспорт настроек, скриншоты, журналы доступа). Документ готов к утверждению руководителем и передаче контролирующим подразделениям.

Заказать перечень в комплекте локальных нормативных актов

Перечень персональных данных, обрабатываемых в ИСПДн