План внутреннего контроля обработки и защиты персональных данных: требования, штрафы

Статус приложение к правилам внутреннего контроля организации
Основание п. 4 ч. 1 ст. 18.1 152-ФЗ, п. 17 ПП РФ № 1119
Период план на календарный год, с указанием периодичности проверок в графике
Кто утверждает руководитель организации
Ответственный ответственный за организацию внутреннего контроля, назначаемый организацией
Объект контроля процессы обработки ПДн, используемые ИС, меры защиты и учет инцидентов
Обновлено июль 2026

01 Назначение

План внутреннего контроля обработки и защиты персональных данных

Краткое описание назначения, границ контроля и практических шагов внедрения плана на календарный год

Назначение и статус плана. План устанавливает порядок внутреннего контроля обработки и защиты персональных данных как приложение к правилам внутреннего контроля организации. Документ фиксирует цели контроля, форму утверждения и ответственного за организацию внутреннего контроля, служит основой для составления годового графика проверок.

Объект и границы контроля. Контроль охватывает процессы обработки персональных данных, используемые информационные системы, меры защиты и учет инцидентов. В границы проверки включают реестр обработок, права и роли доступа, журналы событий и процедуры реагирования на инциденты, а также связующие регламенты, влияющие на обработку.

Периодичность и структура графика проверок. План формируется на календарный год и содержит график с указанием периодичности для каждого объекта контроля и метода проверки; периодичность выбирают исходя из уровня риска и характера обработки. Для отдельных информационных систем и видов обработки минимальные интервалы проверок могут регулироваться специальными требованиями.

Методика и критерии проверки. Проверки проводят как документальными методами, так и практическими тестами: анализ регламентов, сверка реестров, проверка настроек доступа и выборочные тесты пользователей. Для каждой проверки определяют цели, критерии соответствия и перечень обязательных документов и материалов для оценки результатов.

Типичные нарушения и действия по результатам. Частые несоответствия: отсутствие утвержденного графика, неполные реестры обработок, непротоколируемые изменения прав доступа и несвоевременное реагирование на инциденты. По итогам проверки оформляют акт несоответствий, составляют план корректирующих мероприятий и контролируют его исполнение до закрытия замечаний.

Практические шаги для внедрения плана. Назначьте ответственных, включите план в систему управленческой документации, согласуйте с руководителем организации и распределите обязанности по исполнению и мониторингу. Обеспечьте хранение результатов проверок, регистрацию исполнения корректирующих мер и регулярный пересмотр плана с учётом выявленных рисков.

Раскрыть полностью

02 Ответственность

Ответственность за нарушение требований к плану внутреннего контроля обработки и защиты ПДн

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо (организация) 150 000 - 300 000 ₽
Должностное лицо (ответственный) 50 000 - 100 000 ₽
Граждане (физические лица) 10 000 - 15 000 ₽

Применимость санкций зависит от наличия состава административного правонарушения по ч. 1 ст. 13.11 КоАП РФ. Для плана внутреннего контроля типичные ошибки, повышающие риск привлечения: отсутствие утверждённой редакции, неполный график проверок, отсутствие документации о назначении ответственного и фиксации результатов проверок. Рекомендуется вести утверждённый план с графиком проверок, журнал фиксации результатов и протоколы назначений ответственных.

03 Синонимы и поисковые названия

Варианты названий документа

Документ является приложением к правилам внутреннего контроля, формируется на календарный год и утверждается руководителем организации. В обиходе название сокращают или заменяют часть слов для удобства.

План внутреннего контроля обработки и защиты персональных данных
План внутреннего контроля обработки ПДн
План внутреннего контроля ПДн
План контроля обработки персональных данных
Годовой план контроля ПДн
График проверок по персональным данным
План проверок по защите персональных данных
Приложение к правилам внутреннего контроля по ПДн

04 Обязательное содержание

Что должно быть в плане внутреннего контроля

Короткий чеклист обязательных разделов плана, чтобы документ работал на проверке и обеспечивал исполнение внутреннего контроля обработки и защиты персональных данных.

Юридический статус и утверждение Фиксация статуса плана как приложения к правилам внутреннего контроля, год действия плана и лицо, утверждающее документ (руководитель организации).
План-график проверок Календарный год, график периодичности проверок с указанием объема каждой проверки, методики и ожидаемых результатов для конкретных объектов контроля.
Роли и ответственные Таблица ролей с указанием ответственного за организацию внутреннего контроля, исполнителей проверок, их полномочий и порядка назначения замен или привлечения внешних экспертов.
Объекты и критерии контроля Перечень контролируемых процессов обработки ПДн, используемых информационных систем, применяемых мер защиты и учета инцидентов, с критериями соответствия для каждого объекта.
Документы и ожидаемые материалы проверки Перечень обязательных результатов проверки: протоколы, акты несоответствия, отчеты по инцидентам и реестр замечаний, а также требования к формату и хранению отчетности.
Механизм корректирующих действий Процедура назначения корректирующих мер, указание ответственных за их исполнение и контрольные точки для подтверждения устранения выявленных нарушений.

05 Применимость

Кому и когда нужен план внутреннего контроля обработки и защиты ПДн

Краткие указания по ситуации, в которой организация должна иметь план внутреннего контроля, кто его утверждает и какие случаи требуют иного набора документов.

Организации-операторы, осуществляющие обработку персональных данных План внутреннего контроля предназначен для операторов, которые организуют и ведут обработку персональных данных, и отражает порядок внутреннего контроля и (или) аудита соответствия обработки. План закрепляет предмет контроля и круг ответственных лиц.
Основания и связь с Политикой и внутренними правилами План оформляют как приложение к правилам внутреннего контроля организации и соотносят с принятой Политикой по защите персональных данных; он не заменяет политику и должен обеспечивать её исполнение.
Периодичность и планирование проверок Практически план составляют на календарный год и включают график проверок с указанием периодичности и видов контроля. Конкретные сроки и частоту проверок организация устанавливает в плане с учётом особенностей обработки и используемых информационных систем.
Кто утверждает и кто отвечает за проведение Руководитель организации утверждает план, организация назначает ответственного за организацию внутреннего контроля, который координирует исполнение графика и ведёт учет результатов проверок.
Особые требования для государственных и муниципальных органов и для ИСПДн Для государственных и муниципальных органов а также для отдельных информационных систем персональных данных могут действовать дополнительные требования к содержанию и порядку контроля; такие требования следует учитывать при формировании плана и графика проверок.
Границы применения и случаи, когда нужен другой документ План внутреннего контроля не заменяет специальные регламенты по обработке или по реагированию на инциденты и не является универсальной формой для всех управленческих документов; при наличии отраслевых или государственных нормативов организация формирует комплект документов, согласованный с этими нормативами.

06 Нормативная база

Нормативная база для плана внутреннего контроля обработки и защиты ПДн

п. 4 ч. 1 ст. 18.1 152-ФЗ устанавливает обязанность проведения внутреннего контроля (включая аудит) соответствия обработки персональных данных; план служит документом, в котором фиксируются объекты контроля, критерии оценки соответствия, методы проверки и порядок документирования результатов.
п. 1 ч. 4 ст. 22.1 152-ФЗ определяет, что организация внутреннего контроля осуществляется уполномоченным лицом; в плане следует указать должность ответственного, его полномочия, порядок назначения и сроки отчетности по результатам проверок.
п. 1 ч. 1 ст. 18.1 152-ФЗ предписывает оператору принять документ, определяющий политику обработки и защиты персональных данных; план внутреннего контроля оформляется как приложение к такому документу и обеспечивает проверяемость выполнения мер политики.
п. 17 ПП РФ № 1119 содержит требования к контролю защиты в используемых информационных системах персональных данных; при проверках ИСПДн план должен учитывать рекомендованные периодичность и специальные методы оценки состояния защиты.
ПП РФ № 211 для государственных и муниципальных органов этот акт утверждает перечень обязательных мер по защите персональных данных и контрольных мероприятий; план в таких организациях должен соотноситься с перечнем и конкретизировать дополнительные требования.
ч. 1 ст. 13.11 КоАП устанавливает административную ответственность за нарушения требований законодательства о персональных данных; план внутреннего контроля направлен на снижение риска нарушений через регулярные проверки и внедрение корректирующих мер, при этом план сам по себе не порождает состав правонарушения.

08 Внедрение

Шаги внедрения плана внутреннего контроля обработки и защиты ПДн

Пошаговый план от решения о необходимости плана до рабочего контура и передачи материалов проверяющему. Каждый шаг - ответственный и результат на выходе, годовой план сопровождается графиком периодичности проверок.

1. Принятие и утверждение плана Подготовить проект плана как приложение к правилам внутреннего контроля, согласовать обзор с профильными подразделениями и утвердить руководителем. На выходе - подписанный документ с указанием периода (календарный год) и уровня ответственности.
2. Назначение ответственного и формирование команды контроля Издать приказ о назначении ответственного за организацию внутреннего контроля, определить полномочия, состав исполнителей и порядок взаимодействия с ИБ и ИТ. На выходе - приказ и список контактных лиц.
3. Разработка годового графика и методик проверок Составить годовой график проверок с указанием периодичности для каждого объекта контроля, разработать методики, чек-листы и критерии оценки для проверяющих. Учитывать особенности контроля защиты в ИСПДн при необходимости.
4. Проведение проверок и документирование результатов Провести запланированные и приоритетные внеплановые проверки по графику; фиксировать результаты в актах проверки, протоколах выявлений и предлагать корректирующие меры. На выходе - акт проверки и перечень несоответствий с предложенными действиями.
5. Контроль исполнения корректирующих мер Назначить ответственных за исполнение корректирующих мер, вести реестр статусов и контролировать сроки исполнения. При системных проблемах скорректировать методики и график проверок.
6. Архивация доказательств и подготовка материалов для проверяющих Сформировать рабочую папку для проверяющего с ключевыми подтверждающими документами: акты и отчеты проверок, реестр инцидентов, реестр корректирующих мер, приказы о назначениях и график проверок; указать место и порядок хранения материалов для внутренней и внешней проверки.

09 Актуализация

Поводы для обновления плана внутреннего контроля обработки и защиты ПДн

Краткий перечень конкретных случаев, при которых план внутреннего контроля требует редакции или переиздания. Для каждого повода указан ожидаемый результат правки и дальнейшее действие.

Подготовка годового плана При подготовке плана на календарный год проверяют и уточняют периодичность проверок в графике, ресурсы и распределение ответственных, чтобы план соответствовал операционной реальности. Скорректировать текст плана и график проверок, подготовить приказ об утверждении.
Назначение нового ответственного или изменение состава команды контроля При назначении нового ответственного за внутренний контроль или при перестановках в управлении обновляют разделы плана с распределением обязанностей и контактной информацией. Обновить разделы плана с указанием новых ответственных, распределить задачи и зафиксировать изменения в приказе.
Результаты внутреннего контроля или аудита, выявившие несоответствия При обнаружении нарушений, системных ошибок или рекомендаций аудита, затрагивающих процессы обработки ПДн, меры защиты или учет инцидентов, план пересматривают для устранения рисков и контроля исполнения рекомендаций. Внести изменения в план и график проверок, назначить ответственных за реализацию корректирующих мер.
Внедрение новой или существенное изменение используемой информационной системы При вводе новой ИС для обработки ПДн или при значительной модернизации существующей пересматривают объекты контроля и применимость текущих мер защиты. Обновить перечень объектов контроля и график тестирования, согласовать мероприятия с ИТ и службой защиты.
Серьезный или повторяющийся инцидент безопасности ПДн После инцидента, повлекшего нарушение конфиденциальности, целостности или доступности ПДн, либо серии инцидентов проводят внеплановый пересмотр мер, процедур учета и реагирования. Обновить раздел по учёту инцидентов и корректирующие мероприятия, провести внеплановую проверку исполнения изменений.

10 Проверка

Инспектор проверит

Вопросы и ожидаемые документы и материалы при документарной или выездной проверке плана внутреннего контроля обработки и защиты персональных данных.

Вопрос 01 «Предъявите утвержденный план внутреннего контроля на текущий календарный год.»
Вопрос 02 «Предъявите приказ руководителя об утверждении плана.»
Вопрос 03 «Предъявите документ о назначении ответственного за организацию внутреннего контроля.»
Вопрос 04 «Предъявите график плановых проверок и материалы по последним выполненным проверкам.»
Вопрос 05 «Предъявите документы по проверке мер защиты и учету инцидентов безопасности.»

Инспектор при проверке, может запросить:

утвержденный план внутреннего контроля обработки и защиты персональных данных на указанный период
приказ руководителя об утверждении плана внутреннего контроля
приказ или распоряжение о назначении ответственного за организацию внутреннего контроля
график проверок с указанием периодичности и акты либо журналы выполненных проверок
отчеты по проверке мер защиты, реестр зарегистрированных инцидентов и протоколы расследований

11 Экспертная позиция

Риск формального плана и как его нейтрализовать

Частая проблема - утверждённый план внутреннего контроля существует только на бумаге: в графике указана периодичность, но не связаны объекты проверки, ИС и источники доказательств. Практика: для каждого процесса в плане укажите конкретные критерии отбора, перечень материалов проверки (реестр ИС, журналы доступа, протоколы инцидентов, акты устранения замечаний), ответственных и механизм фиксации выполнения корректирующих мер. Привяжите элементы плана к реестру рисков и процедурам учёта инцидентов, чтобы проверки выявляли управляемые задачи, а не формальные пункты.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - План внутреннего контроля обработки и защиты ПДн

План составляетcя на календарный год, в нём в графике указывают периодичность и предполагаемые даты плановых проверок. График служит основанием для распределения ресурсов и учёта результатов, при необходимости корректировки изменения фиксируют документально и утверждают ответственное лицо.

Заказать план внутреннего контроля и комплект доказательств по обработке ПДн

Закажите план внутреннего контроля на календарный год с план-графиком проверок, который утверждается руководителем и закрепляет ответственность за организацию контроля. В комплект входит шаблон приказа об утверждении, журнал проверок, чек-листы по процессам обработки и используемым информационным системам, инструкция по учёту инцидентов и пакет доказательств - URL, скриншоты и логи доступа. Документ адаптируется под структуру вашей организации, возможен сопровождение внедрения. Гарантии прохождения проверок не предоставляются.

Заказать план и комплект доказательств

План внутреннего контроля обработки и защиты персональных данных