Правила ведения журнала учёта машинных носителей персональных данных: зачем нужна, штрафы

Статус обязательный документ при обработке персональных данных в составе ИСПДн
Основание ст. 19 152-ФЗ; приказ ФСТЭК № 21; требования по уровням защищённости ИСПДн (ПП РФ № 1119)
Публичность внутренний документ, доступ ограничен лицам, участвующим в обработке ПДн
Кто утверждает руководитель организации
Ответственный ответственный за организацию обработки персональных данных
Область применения все машинные носители, используемые для хранения, передачи и резервного копирования ПДн, включая съёмные носители
Обновлено июль 2026

01 Назначение

Правила ведения журнала учёта машинных носителей персональных данных

Краткие указания для ответственного за организацию обработки персональных данных по оформлению, хранению и контролю журнала учёта носителей

Назначение и область применения. Журнал предназначен для учёта всех машинных носителей, используемых при обработке персональных данных: локальные накопители, съёмные носители, резервные носители и носители передачи. Правила обязательны при организации ИСПДн и утверждаются руководителем организации; операционные обязанности по ведению журнала возлагаются на ответственного за организацию обработки персональных данных. Применимость журнала распространяется на носители, находящиеся в эксплуатации, в резервных копиях и при передаче между подразделениями.

Структура журнала и обязательные поля. Журнал содержит однозначно идентифицируемую запись для каждого носителя: уникальный номер записи, дата и время выдачи и возврата, наименование и тип носителя, серийный номер или идентификатор, владелец носителя или ответственное лицо, цель и основание выдачи, место хранения, отметка о шифровании или других мерах защиты, состояние носителя и дата уничтожения. Частые ошибки - незаполненные поля при возврате, отсутствие привязки к учетной карточке системы, дублирование записей и отсутствие пометок о резервных копиях; эти ошибки следует исключать процедурами верификации при каждой операции.

Порядок выдачи, хранения и уничтожения носителей. Выдача носителя осуществляется на основании распоряжения или служебной записки с полномочиями лица, подтверждающего необходимость; перед выдачей проверяют идентификацию получателя и вносят данные в журнал. При передаче носителей обеспечивают средства защиты при транспортировке и регистрируют маршрут передачи. Места хранения носителей должны быть защищены и иметь разграничение доступа; резервные носители подлежат учёту и пометке. Уничтожение или вывод из эксплуатации фиксируют в журнале с указанием способа и лиц, проводивших операцию.

Контроль, триггеры проверки и действия при нарушениях. Контроль ведения журнала включает проверку полноты и согласованности записей при плановых проверках и по триггерам: смена ответственного, выявление инцидента безопасности, передача функций или изменение схемы хранения. При выявлении несоответствий журнал рассматривают как первичный источник для расследования; при подозрении на неправомерный доступ запускают процедуру внутреннего расследования и, при необходимости, уведомление уполномоченных органов в сроки, установленные законом. Нарушения требований к учёту могут повлечь меры ответственности в соответствии с нормами административного законодательства.

Раскрыть полностью

02 Ответственность

Административная ответственность за неуведомление и просрочку, связанная с журналом учёта машинных носителей

ч. 11 ст. 13.11 КоАП РФ, неуведомление или просрочка при уведомлении о неправомерном доступе

Юридическое лицо 1 000 000 - 3 000 000 ₽
Должностное лицо 400 000 - 800 000 ₽
Физическое лицо (гражданин) 50 000 - 100 000 ₽

Отсутствие или неполнота журнала затрудняет подтверждение своевременного уведомления о неправомерном доступе и повышает риск привлечения по ч. 11 ст. 13.11. Типичные ошибки операторов: незарегистрированные передачи носителей, пропуски в полях ФИО/дата/цель, отсутствие подписей ответственных и несоблюдение процедуры хранения журнала. Ведение журнала помогает фиксировать сроки и ответственных в рамках требований по уведомлению об инциденте (см. ч. 3.1 ст. 21 152-ФЗ) и требования по уровням защищённости ИСПДн.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Сбор кратких поисковых названий и разговорных вариантов, которыми называют документ о порядке учёта машинных и съёмных носителей персональных данных. Полезно для поиска и согласования ролей и обязанностей.

Порядок ведения журнала учёта носителей ПДн
Правила учёта машинных носителей персональных данных
Инструкция по ведению журнала учёта носителей ПДн
Регламент учёта съёмных носителей
Порядок регистрации машинных носителей ПДн
Журнал учёта машинных носителей персональных данных
Форма журнала учёта носителей ПДн
Порядок инвентаризации и сверки носителей ПДн
Журнал учёта съёмных носителей персональных данных
Правила заполнения журнала учёта носителей

04 Обязательное содержание

Чеклист содержания правил журнала учёта машинных носителей

Чеклист разделов и элементов документа, которые должны присутствовать в правилах ведения журнала для соответствия требованиям по учёту и защите машинных носителей персональных данных.

Утверждённая редакция и ответственность Название документа, дата и подпись руководителя, назначение ответственного за организацию обработки и контакт для вопросов по ведению журнала.
Область применения Перечень охватываемых носителей - все машинные носители, включая съёмные и резервные копии, а также границы применения правил внутри организации.
Структура журнала и обязательные поля Список обязательных полей журнала: идентификатор записи, тип носителя, серийный номер или метка, владелец, местонахождение, цель выдачи, дата выдачи и возврата, отметки о шифровании и уничтожении.
Порядок выдачи, передачи и возврата носителей Процедура оформления выдачи и возврата, требуемые согласования, оформление ответственных лиц при передаче и отметки в журнале о фактах передачи между подразделениями.
Хранение, маркировка и защита носителей Требования к физическому хранению, маркировке, контролю доступа и использованию средств защиты информации при хранении и транспортировке носителей.
Действия при утрате или компрометации носителя Чёткий алгоритм реагирования на утрату или компрометацию носителя, ответственность за расследование и порядок уведомления ответственных лиц и контролирующих подразделений.
Журналирование изменений и контроль соответствия Правила ведения истории изменений документа и записей в журнале, порядок инвентаризации носителей и требования к сохранности записей для последующих проверок.

05 Применимость

Кому и когда нужны правила ведения журнала учёта машинных носителей ПДн

Коротко о том, при каких условиях организация обязана вести журнал учёта машинных носителей персональных данных и какие отделы и события подпадают под действие документа.

Обязательность при обработке ПДн в составе ИСПДн Документ обязателен для подразделений и систем, где персональные данные обрабатываются в составе информационной системы персональных данных. Правила фиксируют порядок учёта носителей, ответственность и порядок утверждения документа руководителем организации.
Кому нужен журнал Журнал нужен операторам и сотрудникам, непосредственно работающим с персональными данными, ответственному за организацию обработки и службам, обеспечивающим эксплуатацию и защиту ИСПДн; доступ к правилам ограничен лицами, участвующими в обработке.
Объекты учёта Все машинные носители, используемые для хранения, передачи и резервного копирования персональных данных, включая съёмные носители, переносные накопители, носители в инфраструктуре резервного копирования и временные устройства.
Триггеры для создания и обновления записей Создание записи при вводе носителя в эксплуатацию, передаче сотруднику или подрядчику, перемещении между подразделениями, списании и утилизации носителя, а также при выявлении инцидента информационной безопасности.
Особые условия для филиалов и внешних исполнителей Правила распространяются на машинные носители в филиалах и на носители, переданные подрядчикам для обработки; если учёт ведётся централизованной системой, правила должны описывать механизм интеграции и обмена записями.
Когда журнал не применяется Журнал может не применяться только в тех процессах, где обработка ПДн осуществляется исключительно на бумажных носителях и не предполагает использование машинных носителей; во всех остальных случаях документ обязателен.
Риски при несоблюдении требований Отсутствие и неполный учёт машинных носителей повышает риск утечки данных и может повлечь административную ответственность за нарушения требований в области персональных данных.

06 Нормативная база

Нормативная база для журнала учёта машинных носителей

ст. 19 152-ФЗ Обязывает реализовать организационные и технические меры защиты, включая средства обнаружения и регистрации фактов доступа; для журнала это значит фиксировать выдачу, возврат и перемещение машинных носителей, операции чтения и копирования, идентификацию ответственных лиц и сроки хранения записей.
приказ ФСТЭК № 21 от 18.02.2013 Включает учёт машинных носителей в базовый набор мер защиты; журнал должен содержать обязательные реквизиты носителя (тип, серийный номер или метка), данные о владельце и назначении носителя, даты выдачи и возврата, отметки инвентаризации и результаты проверок.
приказ ФСТЭК № 21 Предусматривает меры управления средствами аутентификации и контролем доступа к ресурсам; в журнале следует обеспечивать связь записей о носителях с учётными записями пользователей и событиями доступа для поиска источника операций и установления цепочки владения.
ПП РФ № 1119 Определяет уровни защищённости ИСПДн и соответствующий состав мер; формат и требования к защите журнала должны соответствовать установленному уровню, в том числе по хранению, шифрованию и ограничению доступа к записям.
ч. 3.1 ст. 21 152-ФЗ Устанавливает обязанность уведомления о нарушениях в установленный срок с момента выявления; журнал должен содержать поля для даты и времени обнаружения инцидента, описания действий по локализации и ответственных лиц для подтверждения своевременного реагирования.
ст. 13.11 КоАП РФ Регулирует административную ответственность за непредоставление сведений об инциденте или за фиктивное обезличивание; журнал служит доказательной базой при проверках и должен обеспечивать прослеживаемость принятия мер и своевременной отчётности перед контролирующими органами.

08 Внедрение

Внедрение Правил ведения журнала учёта машинных носителей персональных данных

Пошаговый план от утверждения документа до первичной проверки. Каждый шаг содержит ответственного и конкретный выходной документ для хранения в деле.

1. Утверждение Правил Руководитель организации оформляет распоряжение об утверждении Правил и назначает ответственного за внедрение. На выходе - Приказ об утверждении Правил ведения журнала учёта машинных носителей, регистрационная запись в журнале распоряжений.
2. Разработка формы журнала и регламента ведения Ответственный за организацию обработки персональных данных совместно со службой информационной безопасности готовит форму журнала и регламент заполнения, включает перечень категорий носителей, правила маркировки и условий хранения. На выходе - Утверждённая форма журнала и текст регламента.
3. Настройка процедуры выдачи, учёта и уничтожения носителей Служба информационной безопасности и администратор информационных систем внедряют процедуру выдачи и возврата носителей, ведут реестр выданных носителей и оформляют акты уничтожения и передачи. На выходе - реестр выдачи носителей, бланки выдачи/возврата, акты уничтожения.
4. Инструктаж и закрепление обязанностей Ответственный организует инструктаж и подписные листы для всех сотрудников, допущенных к работе с носителями, фиксирует объемы доступа и обязанности по учёту. На выходе - записи об инструктаже и перечень лиц с правом работы с носителями.
5. Контроль соблюдения и первая проверка Внутренний аудитор или служба внутреннего контроля осуществляет выборочную проверку журналов и сопутствующих реестров, составляет акт первичной проверки с перечнем несоответствий и планом исправлений. В папку для проверяющего кладут приказ об утверждении, утверждённую форму журнала, выборку заполненных страниц журнала, реестр выдач, акты уничтожения и записи об инструктаже. На выходе - акт первичной проверки и план корректирующих мероприятий.

09 Актуализация

Поводы для пересмотра и переутверждения Правил ведения журнала

Четкие поводы, при которых документ подлежит правке, переизданию или отмене. Для каждого повода - краткое требуемое действие ответственному за обработку.

Ввод в эксплуатацию ИСПДн или нового оборудования При вводе в эксплуатацию нового информационного комплекса, серверов или периферийного оборудования, предназначенного для хранения или обработки ПДн, необходимо обеспечить учёт всех машинных носителей с момента ввода. Внести запись об оборудовании и соответствующих носителях в журнал, утвердить форму журнала и назначить ответственных за учёт.
Изменение требований по уровню защищённости ИСПДн При изменении применяемого уровня защищённости или требований к режиму обработки ПДн пересмотрите правила учёта носителей и сопутствующие процедуры. Адаптировать текст Правил и шаблон журнала, оформить приказ о внесении изменений и уведомить ответственных подразделений.
Инцидент с персональными данными или выявленный несанкционированный доступ После инцидента проверяют записи журнала для установления цепочки обращения с носителями и доказательной базы расследования; при необходимости выполняют уведомления в установленные сроки. Сверить и извлечь выписки из журнала, приложить их к материалам расследования, при наличии оснований выполнить уведомление уполномоченных органов.
Появление новых типов машинных носителей или изменение их назначения При внедрении новых носителей (новые технологии, форм-факторы) или при изменении назначений существующих носителей требуется пересмотр реестра и правил хранения, транспортировки и уничтожения. Обновить реестр машинных носителей, установить требования по маркировке и процедурам передачи между ответственными лицами.
Плановая проверка, аудит или внутренний контроль Перед плановой проверкой по информационной безопасности или внутренним аудитом подготовьте журнал и сопроводительные записи для подтверждения корректного ведения учёта носителей. Сформировать комплект подтверждающих записей, провести сверку целостности и полноты записей, устранить выявленные несоответствия и зафиксировать корректирующие меры.

10 Проверка

Инспектор проверит

Документы и материалы проверки журнала учёта машинных носителей персональных данных.

Вопрос 01 «Предъявите журнал учёта машинных носителей персональных данных.»
Вопрос 02 «Предъявите документ об утверждении правил ведения журнала.»
Вопрос 03 «Предъявите документы, регулирующие доступ к журналу и хранение машинных носителей.»
Вопрос 04 «Предъявите записи и материалы по инцидентам, связанным с машинными носителями.»
Вопрос 05 «Предъявите подтверждения учёта носителей при резервном копировании и утилизации.»

Инспектор при проверке, может запросить:

журнал учёта машинных носителей персональных данных в актуальной редакции, с записями о вводе, перемещении, передаче и списании носителей, с указанием даты и ответственного
приказ руководителя об утверждении правил ведения журнала; инструкция по заполнению журнала
реестр лиц, имеющих право доступа к носителям; журнал регистрации доступа к месту хранения носителей; регламент управления средствами аутентификации
записи в журнале об утерях и инцидентах с носителями; акты и протоколы расследований; копии уведомлений в уполномоченные органы при их направлении
журналы резервного копирования с указанием задействованных носителей; акты списания и утилизации носителей

11 Экспертная позиция

Практический риск и конкретные меры

Частая ошибка - рассматривать журнал как формальность: записи неполные или несвязанные с фактическим движением и уничтожением носителей, доступ к журналу стихийный, правки не регламентированы. Это повышает риск незамеченной утраты и затрудняет расследование инцидента. Рекомендация: ввести обязательный набор полей (дата/время записи, ФИО и роль ответственного, тип и серийный номер носителя, цель обработки, место хранения, статус шифрования, ссылка на акт передачи/уничтожения), запрет на удаление без следа, электронная подпись записи или запись пользователя, привязка к физической инвентаризации и регулярные сверки. Для носителей, переданных третьим лицам или на резервное хранение, фиксировать контрагента и условия передачи. Наличие таких правил уменьшит вероятность административной ответственности и ускорит уведомление при инциденте.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по журналу учёта машинных носителей персональных данных

Да. Журнал является обязательным элементом при обработке персональных данных в составе ИСПДн и реализует требования по организационным и техническим мерам защиты. Основания включают положения о мерах защиты и требования по уровням защищённости ИСПДн.

Заказать Правила учёта машинных носителей и комплект локальных нормативных актов

Закажите разработку и адаптацию Правил ведения журнала учёта машинных носителей персональных данных, утверждаемых руководителем, в комплекте с приказом об утверждении, шаблоном журнала, формой записи и инструкцией для ответственного за организацию обработки. В комплект включены доказательства внедрения: приказ, URL журнала, скриншоты и логи доступа. Объём и срок подготовки согласуются при оформлении заказа.

Заказать правила и комплект локальных нормативных актов

Правила ведения журнала учёта машинных носителей персональных данных