Правила обработки персональных данных в информационных системах: требования

Статус обязательный при обработке в информационных системах персональных данных (ИСПДн)
Основание п. 2 ч. 1 ст. 18.1 152-ФЗ
Публичность внутренний локальный акт, не подлежит публичному размещению
Кто утверждает руководитель организации приказом
Обновлено июль 2026
Область действия распространяется на все ИСПДн оператора, включая используемые облачные и аутсорсинговые сервисы
Требования к защите уровни и меры защиты ИСПДн в соответствии с ПП РФ № 1119 и требованиями ст. 18.1 152-ФЗ
Ответственный ответственный за организацию обработки персональных данных в ИСПДн, назначаемый приказом

01 Назначение

Правила обработки персональных данных в информационных системах

Обязательный внутренний локальный акт для всех ИСПДн, утверждается приказом руководителя, обновлено июль 2026

Назначение и область действия. Правила устанавливают единые требования к обработке персональных данных в информационных системах оператора, включая используемые облачные и аутсорсинговые сервисы. Документ обязателен при обработке в ИСПДн и назначает круг ответственных лиц, границы применения для систем и типичных процессов обмена данными. Утверждение - приказ руководителя, документ не подлежит публичному размещению.

Основные принципы обработки и сроки хранения. Правила фиксируют принципы соответствия объема и содержания данных целям обработки, минимизации объема, ограничений срока хранения и процедуры блокирования. Хранение данных не превышает срок, необходимый для достижения цели; при достижении цели обработка прекращается и данные подлежат уничтожению в установленный срок. В тексте приведены типовые сценарии блокирования и указаны ситуации, когда данные подлежат разметке для последующего удаления или обезличивания.

Меры защиты и распределение ролей. Правила содержат требования к организационным и техническим мерам защиты в соответствии с уровнями защищённости ИСПДн, определяемыми в соответствующей нормативной базе. Указываются ключевые роли: ответственный за организацию обработки, владелец ИСПДн, администратор систем и ответственные по договорам с подрядчиками. Для каждой роли предусмотрены обязательные локальные документы - приказы, инструкции по доступу и уничтожению, реестр ИСПДн и оценка вреда при значимых обработках.

Внедрение, контроль и типичные ошибки. Порядок внедрения включает инвентаризацию всех ИСПДн, формирование реестра, настройку разграничений доступа и журналирование, оформление договорных условий для облачных и аутсорсинговых провайдеров, а также процедуры регулярной проверки и корректировки. Триггеры пересмотра правил: появление новых сервисов, изменение целей обработки, инциденты. Частые ошибки - отсутствие метаданных о сроках хранения, отсутствие процедуры удаления в облаке и несогласованные резервные копии.

Раскрыть полностью

02 Ответственность

Ответственность за незаконную обработку ПДн в ИСПДн

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Указанные санкции применимы при обработке персональных данных без предусмотренных законом оснований или при иных нарушениях, связанных с организацией обработки в ИСПДн. Типичные причины привлечения: отсутствие утверждённых локальных правил для ИСПДн, несоблюдение требований по уровням защищённости, превышение установленных сроков хранения и несвоевременное уничтожение данных. Для снижения риска фиксируйте основания обработки, сроки хранения и подтверждения выполнения организационных требований.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Список распространённых названий, которые используют при регистрации и ссылках внутри организации. Помогает быстрее найти нужный локальный акт в реестре и избежать путаницы с другими документами по обработке ПДн.

Порядок обработки персональных данных в ИСПДн
Регламент обработки персональных данных в информационных системах
Правила работы с персональными данными в системе
Порядок доступа к персональным данным в ИСПДн
Порядок обращения с выгрузками и копиями персональных данных
Инструкция по действиям с персональными данными в ИСПДн
Требования к логированию и учёту операций с персональными данными
Порядок хранения, архивирования и уничтожения персональных данных в ИСПДн
Порядок взаимодействия с облачными и аутсорсинговыми сервисами по персональным данным

04 Обязательное содержание

Чеклист ключевых разделов Правил обработки ПД в ИСПДн

Чеклист разделов и элементов документа, необходимых для соответствия требованиям при обработке персональных данных в информационных системах организации.

Область действия Перечислены все ИСПДн организации, включая используемые облачные и аутсорсинговые сервисы, и указано, что Правила обязательны при обработке персональных данных в этих системах.
Утверждение и редакции Указано, что документ утверждён приказом руководителя с датой утверждения и датой вступления в силу, а также порядок внесения и документального оформления изменений редакции.
Роли и обязанности Таблица ролей и обязанностей: ответственный за организацию обработки, администраторы ИСПДн, лица с доступом и исполнители; для каждой роли указаны полномочия и зоны ответственности.
Требования к мерам защиты Перечислены организационные и технические меры защиты данных с указанием применимых уровней защищённости и механизма их подтверждения в соответствии с требованиями по уровням защищённости ИСПДн.
Управление доступом Описаны процедуры выдачи, изменения и прекращения доступа, принцип минимально необходимого объёма прав, порядок учёта и регулярной сверки прав доступа и журналирования.
Хранение, блокирование и уничтожение Правила хранения данных, критерии сохранения по целям обработки, процедура блокирования при необходимости и порядок уничтожения данных не позднее установленного срока после достижения цели.
Работа с облачными провайдерами и подрядчиками Требования к выбору поставщиков услуг, обязательные положения договоров об обработке и защите ПД, порядок контроля исполнения договорных обязательств и передачи логов и доступа при аутсорсинге.

05 Применимость

Применимость Правил обработки персональных данных в ИСПДн

Краткие указания, кому и в каких случаях обязательны Правила обработки ПДн в информационных системах организации. Учитывайте, что документ - внутренний локальный акт, утверждаемый руководителем.

Обязательное применение при обработке в ИСПДн Правила обязательны для всех случаев обработки персональных данных в информационных системах оператора; служат основой для регламентирования доступа, регистрации и контроля операций с ПДн.
Область действия по системе и участникам Распространяются на все ИСПДн оператора, включая используемые облачные и аутсорсинговые сервисы, а также на сотрудников, подрядчиков и администраторов, имеющих доступ к этим системам.
Связь с требованиями по защите и хранению Содержание Правил должно учитывать требования по уровням защищённости ИСПДн, а также правила минимизации, сроки хранения и порядок уничтожения ПДн.
Когда документ не применяется Правила не применяются в организациях и процессах, где персональные данные не обрабатываются в информационных системах (например, исключительно бумажный учёт) либо когда обработка регулируется специальными нормативными актами, несовместимыми со структурой этих Правил.
Утверждение, редакции и регистрация Правила оформляются как локальный акт и утверждаются приказом руководителя организации; изменения фиксируются в реестре редакций локальных актов.
Применение в головной организации, филиалах и дочерних юрлицах Правила должны применяться в головной организации и в её филиалах и обособленных подразделениях; конкретные меры и процедуры могут быть адаптированы к масштабам и целям обработки, с сохранением обязательных требований по защите и учёту ПДн.

06 Нормативная база

Нормативная база для Правил обработки персональных данных в ИСПДн

п. 2 ч. 1 и ч. 2 ст. 18.1 152-ФЗ Устанавливает обязанность оператора принимать меры по обеспечению безопасности при обработке в ИСПДн. Для Правил это означает формализовать набор организационных и технических мер, распределение ответственности и механизмы контроля соответствия этим мерам.
п. 2 ч. 1 ст. 18.1 152-ФЗ Требует издания локальных актов, регламентирующих порядок обработки ПДн. Правила должны быть оформлены как такой локальный акт и содержать область действия, ответственность, порядок взаимодействия с облачными и аутсорсинговыми сервисами и процедуру утверждения.
п. 3 ст. 3 152-ФЗ Дает юридическое определение обработки как совокупности действий с персональными данными. В Правилах нужно перечислить охватываемые операции - сбор, запись, хранение, предоставление, блокирование, уничтожение и т.д. - и указать, как эти операции реализуются в ИСПДн.
п. 5 ч. 1 ст. 5 152-ФЗ Закрепляет принцип соразмерности: объём и содержание данных должны соответствовать целям обработки. Правила обязаны фиксировать цели обработки, категории собираемых данных и ограничения на объём и формат данных для каждой цели.
п. 7 ч. 1 ст. 5 152-ФЗ Ограничивает срок хранения персональных данных сроком, необходимым для достижения цели. В Правилах следует установить критерии классификации данных по срокам хранения и процедуры удаления при достижении цели или прекращении необходимости.
ч. 4 ст. 21 152-ФЗ Предписывает прекращение обработки и уничтожение данных по достижении цели, с указанием срока не более тридцати дней. Правила должны определить порядок прекращения обработки, ответственных лиц и технологические шаги уничтожения данных.
ПП РФ № 1119 Задает уровни защищённости ИСПДн и требования к защищённым средствам и процедурам. Правила должны соотнести каждую ИСПДн с уровнем защищённости, перечислить обязательные технические и организационные меры и требования к поставщикам облачных и аутсорсинговых услуг.

08 Внедрение

Шаги внедрения Правил обработки персональных данных в ИСПДн

Короткий план от принятия решения до первой внутренней проверки. Включает ответственных и конкретные выходные документы, согласование с ИТ и провайдерами, а также комплект материалов для проверки.

1. Принятие решения и назначение ответственных Руководитель принимает решение об утверждении Правил и назначает ответственных за организацию обработки и за информационную безопасность. Результат на выходе: приказ «Об утверждении Правил обработки персональных данных в ИСПДн» с указанием ответственных лиц и перечня прилагаемых документов.
2. Подготовка проекта Правил и сопроводительных реестров Ответственный за организацию обработки готовит проект Правил, включает разделы по целям обработки, минимизации объема данных, срокам хранения, процедурам блокирования и уничтожения; формирует приложение «Перечень персональных данных по ИСПДн» и «Матрицу доступа». Результат на выходе: проект Правил и приложения в редакционном виде.
3. Согласование с ИТ, службой ИБ и внешними провайдерами Согласовать проект с подразделениями ИТ и информационной безопасности, а также с поставщиками облачных и аутсорсинговых сервисов; при необходимости оформить дополнительные требования к договорам и технические задания по уровню защищённости. Результат на выходе: протокол согласований и оформленные дополнительные соглашения или требования к договорам.
4. Утверждение локального акта и размещение в локальном реестре Руководитель утверждает Правила приказом; акт является внутренним и не подлежит публичному размещению. Результат на выходе: утверждённый приказ и версия Правил, размещённая в локальном реестре документов организации с указанием ответственных и места хранения.
5. Внедрение, ознакомление сотрудников и первая проверка Организовать ознакомление руководителей подразделений и сотрудников, вести журнал ознакомления; обеспечить обучение и инструктажы по новым требованиям; провести первую внутреннюю проверку соблюдения Правил и составить акт проверки. Результат на выходе: журнал ознакомлений, обучающие материалы, акт внутренней проверки и папка для проверяющих с приказом, редакцией Правил, перечнем ПДн и матрицей доступа.

09 Актуализация

Поводы для обновления Правил обработки персональных данных в ИСПДн

Короткий перечень конкретных событий и изменений, при которых Правила должны быть пересмотрены или дополнены. Правило распространяется на все ИСПДн оператора, включая облачные и аутсорсинговые сервисы.

Ввод в эксплуатацию новой информационной системы Любая новая ИТ-система, включая CRM, кадровый портал или сервис заявок, должна быть включена в реестр ИСПДн с описанием целей обработки, перечнем обрабатываемых полей и назначенными ответственными. Ввод системы в эксплуатацию без внесения в реестр и без определения требуемых мер защиты выводит систему за рамки описанных правил. Внести систему в реестр ИСПДн, назначить ответственных, подготовить проект приказа об утверждении правил для системы и перечень мер защиты по уровням.
Появление новой интеграции или канала обмена данными Любая связь с внешней системой, API или облачным сервисом фактически влечет передачу данных и изменение границ ответственности. Каждая интеграция требует карты передачи данных, уточнения правовых оснований обработки, согласования договорных условий и проверки настроек защиты. Задокументировать направление и состав передаваемых данных, согласовать условия с контрагентом, обновить реестры и настройки сетевых и прикладных ограничений доступа.
Изменился объём или тип обрабатываемых персональных данных Добавление новых полей в карточки, анкеты или реестры может изменить соразмерность и необходимость хранения данных. Нужно проверить соответствие объёма и содержания заявленным целям, а также пересмотреть сроки хранения и меры по удалению или обезличиванию. Обновить реестр полей и цели обработки, пересмотреть сроки хранения, при необходимости внедрить минимизацию данных и процедуры уничтожения или обезличивания.
Реорганизация, смена ролей или передача функций на аутсорсинг Изменение организационной структуры, появление новых подразделений или передача функций подрядчику меняют распределение прав доступа и ответственность за обработку. Потребуется пересмотр матрицы доступа, договоров с поставщиками и внутренней регламентации. Пересмотреть матрицу разграничения прав, обновить инструкции по доступу, оформить или скорректировать договоры с подрядчиками и подтвердить меры защиты у провайдеров.
Инцидент безопасности или выявленная утечка данных Инциденты и несанкционированные выгрузки обычно показывают несоответствие реальных процедур документированным. По итогам расследования необходимо скорректировать правила экспорта данных, порядок блокирования обработки и технические ограничения на выгрузки. Провести разбор инцидента, зафиксировать объём и причины, внести изменения в правила выгрузок и в процедуры блокирования обработки, при необходимости издать поправочный приказ.

10 Проверка

Инспектор проверит соблюдение Правил обработки ПДн в ИСПДн

Документы и материалы проверки, относящиеся к Правилам обработки персональных данных в ИСПДн: подтверждение утверждения, распространения на облака и аутсорсинг, учёт доступа, сроки хранения и соответствие целям обработки.

Вопрос 01 «Предъявите приказ об утверждении Правил обработки персональных данных в ИСПДн и сопроводительные документы.»
Вопрос 02 «Предъявите документы, подтверждающие, что Правила распространяются на используемые облачные и аутсорсинговые сервисы.»
Вопрос 03 «Предъявите материалы по управлению доступом и учёту операций с персональными данными в ИСПДн.»
Вопрос 04 «Предъявите документы, подтверждающие соблюдение правил хранения и уничтожения персональных данных.»
Вопрос 05 «Предъявите обоснование объёма и содержания обрабатываемых персональных данных в ИСПДн.»

Инспектор при проверке, может запросить:

приказ об утверждении Правил обработки персональных данных в ИСПДн и приложения к приказу
реестр ИСПДн с указанием используемых облачных и аутсорсинговых сервисов и ответственных лиц; договоры с провайдерами с разделами по мерам защиты
журналы учёта доступа к персональным данным; реестр прав доступа и протоколы разграничения ролей; логи событий доступа за контрольный период
правила хранения и сроки хранения персональных данных; журнал уничтожения данных с указанием даты и ответственного лица
перечни полей персональных данных с описанием целей обработки; документы оценки соответствия объёма и содержания целям обработки

11 Экспертная позиция

Практический риск и приём внедрения

Частая невидимая проблема при утверждении Правил обработки ПДн в ИСПДн - отсутствие инвентаризации и жизненного цикла для каждого экземпляра системы, особенно при использовании облаков и аутсорсинга. Без реестра не ясно, кто отвечает за доступы, как соотносятся объём данных и цели, когда запускать блокирование и когда инициировать уничтожение. Рекомендуем внедрить реестр ИСПДн с полями: владельцы и интерфейсы ответственности, категории и минимально необходимые поля данных, уровень защиты по регламенту, шаблон сроков хранения и триггеров удаления, требования к SLA и журналированию действий администраторов. Для контроля включите регулярную проверку соответствия правил конкретным услугам облачных и аутсорсерских провайдеров и привяжите процедуру реагирования к записям реестра.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Правилам обработки персональных данных в ИСПДн

Да. Правила обязательны при обработке персональных данных в информационных системах оператора. Их утверждает руководитель организации приказом; документ носит внутренний характер и применяется к работе с ИСПДн.

Заказать Правила обработки ПДн в ИСПДн и комплект локальных актов

Закажите адаптацию Правил обработки персональных данных под ваши информационные системы и организационную структуру, с учётом охвата облачных и аутсорсинговых сервисов. В составе заказа - сам документ и комплект локальных актов, нужный для внутренней проверки и ведения учёта ответственности. В комплект входят проект приказа об утверждении, журнал регистрации локальных актов, реестр ИСПДн и перечень используемых сервисов, правила хранения и журнал уничтожения, скриншоты конфигураций и экспорт логов доступа. Документ подготовим с учётом последнего обновления (июль 2026) и передадим для утверждения руководителю приказом.

Заказать Правила и комплект локальных актов

Правила обработки персональных данных в информационных системах