Главная

Правила осуществления внутреннего контроля соответствия обработки персональных данных

Правила задают порядок организации внутреннего контроля соответствия обработки персональных данных, распределяют обязанности ответственного за контроль и требования к оформлению результатов. Периодичность определяет оператор; при проверке оценивают правовые основания обработки, соблюдение прав субъектов, наличие и актуальность локальных документов и записи результатов, в отличие от технической проверки защиты ИСПДн.

Статус обязательная организационная мера оператора по обеспечению соответствия обработки ПДн
Основание п. 4 ч. 1 ст. 18.1 и п. 1 ч. 4 ст. 22.1 152-ФЗ
Периодичность законом не установлена - определяется оператором в локальном документе
Кто утверждает руководитель организации - приказом
Обновлено июль 2026
Ответственный ответственный за организацию внутреннего контроля, назначаемый оператором; отвечает за проведение проверок и оформление результатов

01 Назначение

Правила осуществления внутреннего контроля соответствия обработки персональных данных

Назначение и область применения. Правила устанавливают порядок организации и проведения внутреннего контроля соответствия обработки персональных данных в пределах оператора, его структурных подразделений и взаимодействующих обработчиков. Правила применяются ко всем процессам обработки, включая автоматизированные системы и бумажные реестры, и определяют требования к планированию проверок, фиксированию результатов и контролю исполнения корректирующих мер. Утверждаются приказом руководителя организации, за организацию контроля отвечает назначаемый оператором ответственный.

Структура правил и ключевые элементы проверки. Документ содержит цели контроля, критерии соответствия, методику отбора объектов и выборок, план проверок, перечень проверяемых документов и признаки несоответствия. Методики проверки базируются на сопоставлении фактической практики обработки с установленными мерами защиты и результатами оценки вреда. Результатом каждой проверки служат оформленный акт и реестр несоответствий с предложениями по корректирующим и профилактическим мерам.

Роли, обязанности и оформление результатов. За исполнение правил отвечает назначенный ответственный за организацию внутреннего контроля, он организует проверки, фиксирует результаты, готовит предложения руководителю и контролирует исполнение корректировок. Руководитель утверждает локальный акт приказом и принимает решения по санкциям и распределению ресурсов. Оформление включает акт проверки, реестр замечаний, план корректирующих мероприятий и отчёт о выполнении предписаний.

Внедрение, триггеры проверок и типичные ошибки. При внедрении утвердите периодичность и критерии в локальном акте, составьте годовой план проверок с учётом рисков и ресурсного обеспечения, назначьте исполнителей и обеспечьте доступ к первичным записям для верификации. Триггеры внеплановых проверок - запуск новых проектов и сервисов, существенные изменения в обработке, инциденты, жалобы и результаты оценки вреда. Частые ошибки - отсутствие плана и описанных выборок, формальное оформление актов, отсутствие связки между результатами проверки и корректирующими мерами; интегрируйте контроль с оценкой вреда и с перечнем мер защиты.

Раскрыть полностью

02 Ответственность

Административная ответственность за несоблюдение требований при обработке персональных данных

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо штрафы, предусмотренные ч. 1 ст. 13.11 КоАП РФ
Должностное лицо административная ответственность по ч. 1 ст. 13.11 КоАП РФ
Физическое лицо (гражданин) административная санкция по ч. 1 ст. 13.11 КоАП РФ

Отсутствие или формальная реализация внутреннего контроля повышает риск привлечения по ч. 1 ст. 13.11 КоАП РФ при обработке персональных данных в случаях, не предусмотренных законом. Типичные ошибки операторов: не назначен ответственный за контроль, не оформлены протоколы проверок и план устранения нарушений, не зафиксирована периодичность проверок в локальном акте, контроль смешивают с проверками защиты ИСПДн без разделения предметов. Также повышает риск отсутствие оценки вреда и несоответствие выводов требованиям уполномоченного органа. Рекомендация оператору: закрепить порядок и периодичность контроля в приказе, документировать результаты проверок и меры по устранению нарушений; точные размеры санкций уточнять по тексту КоАП РФ.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Распространённые варианты названий локального документа, который регулирует организацию внутреннего контроля или внутреннего аудита соответствия обработки персональных данных.

Правила внутреннего контроля обработки персональных данных
Порядок проведения внутреннего контроля соответствия обработки ПДн
Положение о внутреннем контроле обработки ПДн
Регламент внутреннего контроля персональных данных
Методика внутреннего контроля персональных данных
Порядок внутренних проверок соответствия требованиям 152-ФЗ
Правила самообследования оператора персональных данных
Регламент контроля соответствия обработки ПДн
Инструкция ответственного за внутренний контроль обработки ПДн
Программа и график внутренних проверок по обработке персональных данных

04 Обязательное содержание

Чеклист содержательных разделов Правил внутреннего контроля

Краткий перечень разделов и элементов документа, необходимых для организации внутреннего контроля соответствия обработки персональных данных и для проверки их наличия и исполнительности.

Утверждение и область применения Фиксированы дата утверждения и реквизиты приказа руководителя, указана область действия документа, категории обработок и ответственность оператора; отмечено, что периодичность проверок определяется оператором в локальном документе.
Ответственные и распределение полномочий Таблица ролей и обязанностей: ответственный за организацию внутреннего контроля, состав проверяющих, ответственные за устранение нарушений; порядок назначения и замещения.
Планирование и методика проверок Правила формирования плана проверок, критерии отбора объектов и риск-ориентированные методики проверки, шаблоны проверочных листов и методические указания для проверяющих.
Критерии оценки соответствия и оценка вреда Перечень критериев несоответствия, показатели для оценки риска и вреда, порядок проведения оценки вреда и соотношения вреда с принимаемыми мерами защиты.
Оформление результатов и хранение записей Формы актов и протоколов проверок, порядок фиксации несоответствий, требования к срокам и способам хранения результатов и доступа к ним для руководства.
Меры по устранению нарушений и контроль исполнения Процедура назначения корректирующих мер, установление сроков исполнения, ответственные за выполнение и порядок проведения повторных проверок для подтверждения исполнения.
Особые случаи и взаимодействие с надзором Порядок реагирования при выявлении значимых нарушений, механизмы уведомления заинтересованных лиц и надзорных органов; для гос и муниципальных органов выделены дополнительные меры контроля.

05 Применимость

Кому и когда нужны Правила внутреннего контроля соответствия обработки персональных данных

Краткие критерии применения документа внутри организации, границы действия и типичные граничные случаи. Основа - обязанность оператора обеспечить внутренний контроль и назначить ответственного.

Кому предназначены Правила Операторам персональных данных всех организационно-правовых форм, которые осуществляют обработку персональных данных в организации. Правила применяются ко всем структурным подразделениям и филиалам организации, если локальными актами не установлено иное.
Когда документ обязателен Документ является элементом организационных мер оператора по обеспечению соответствия обработки персональных данных и обязателен в связи с обязанностью оператора принимать меры по обеспечению безопасности и организовывать внутренний контроль соответствия обработки.
Когда документ желателен Рекомендуется при большом объеме обработок, при наличии распределённой структуры или филиалов, при обработке специальных категорий данных, при использовании подрядчиков, а также при изменениях процессов, внедрении новых информационных систем или после произошедших инцидентов.
Границы применения и исключения Правила охватывают процессы контроля соответствия обработки персональных данных в пределах юридического лица. Не применяются в организациях, которые фактически не осуществляют обработку персональных данных. Для государственных и муниципальных органов действует дополнительный перечень мер и требований.
Кто утверждает и ключевые роли Утверждение документа - приказ руководителя организации. Оператор назначает ответственного за организацию внутреннего контроля, который планирует и проводит проверки, оформляет результаты и контролирует устранение выявленных нарушений.
Типичные ошибки и граничные случаи Частые ошибки - отсутствие назначенного ответственного, отсутствие планов и методики проверок, нефиксированная периодичность без обоснования, смешение функций контроля и оперативного управления. Не путать внутренний контроль соответствия с техническим контролем защиты ИСПДн - для последнего есть отдельные рекомендации по частоте и методам проверок.

06 Нормативная база

Нормативная основа для Правил внутреннего контроля обработки ПДн

п. 4 ч. 1 ст. 18.1 152-ФЗ обязывает проводить внутренний контроль и/или аудит соответствия обработки персональных данных; для Правил это означает регламентировать цели и область контроля, методики выборок и проверок, критерии соответствия, порядок оформления актов и требования к корректирующим действиям.
п. 1 ч. 4 ст. 22.1 152-ФЗ указывает, что внутренний контроль организует назначаемый ответственный; Правила должны фиксировать порядок назначения, статус и полномочия ответственного, формы отчетности, механизм взаимодействия с подразделениями и сведения, подлежащие передаче руководителю по итогам проверок.
п. 5 ч. 1 ст. 18.1 152-ФЗ регламентирует проведение оценки потенциального вреда субъекты при обработке; Правила внутреннего контроля должны установить порядок согласования выводов контроля с процедурой оценки вреда, хранение обоснований принятия мер и действия при выявлении несоответствий, влияющих на уровень вреда.
п. 17 ПП РФ № 1119 в части контроля средств и систем ИСПДн устанавливает ориентир по периодичности проверок - не реже 1 раза в 3 года; применение нормы ограничено ИСПДн, поэтому Правила должны предусматривать критерии для определения периодичности и отдельные сроки для критичных систем и процессов.
ПП РФ № 211 для государственных и муниципальных органов содержит утвержденный перечень мер, включая контрольные процедуры; если оператор относится к этой категории, Правила следует соотнести с указанным перечнем и отразить обязательные элементы контроля.
ч. 1 ст. 13.11 КоАП устанавливает общую ответственность за обработку, не предусмотренную законом; Правила внутреннего контроля выполняют превентивную функцию и формируют доказательную базу при проверках, поэтому в них целесообразно описать порядок выявления несанкционированной обработки и меры ее устранения.

08 Внедрение

Шаги внедрения Правил внутреннего контроля соответствия обработки ПДн

Пошаговый план от принятия решения до рабочего контура и первой проверки. Периодичность проверок фиксируется в локальном документе; ответственный назначается приказом и оформляет результаты проверок.

1. Принятие решения и назначение ответственного Руководитель оформляет приказ об утверждении Правил и отдельный приказ о назначении ответственного за организацию внутреннего контроля. На выходе - два документа: "Приказ об утверждении Правил осуществления внутреннего контроля соответствия обработки персональных данных" и "Приказ о назначении ответственного за внутренний контроль"; в приказе фиксируется периодичность проверок и ответственные подразделения.
2. Сбор исходных данных и анализ текущей практики Ответственный собирает реестр обработок, перечень используемых ИСПДн, существующие локальные акты и результаты предшествующих проверок; проводит анализ основных рисков и типичных нарушений. На выходе - отчёт "Анализ соответствия обработки персональных данных" и реестр подразделений и процессов для проверки.
3. Разработка текста Правил и методики проверок Юрист совместно с ответственным и службой ИБ формируют окончательный текст Правил, методические критерии соответствия и унифицированные чек-листы для проверок. На выходе - файл "Правила внутреннего контроля" в окончательной редакции и комплект чек-листов для разных типов обработок.
4. Утверждение и доведение до сотрудников После подписания приказа ответственный организует ознакомление сотрудников и руководителей подразделений, фиксирует факты ознакомления. На выходе - журнал учета ознакомления сотрудников с Правилами или электронная запись о доведении, а также рассылка с ссылкой на актуальную редакцию Правил.
5. Планирование и проведение первой волны проверок Составляется план внутреннего контроля с перечнем подразделений, периодов и методик проверки; проводятся первые проверки по утверждённым чек-листам. На выходе - План внутреннего контроля и акты по каждой проверке, включая выявленные несоответствия и рекомендации по устранению.
6. Оформление результатов, корректирующие меры и контроль исполнения Результаты проверок оформляют актами и заносят в журнал проверок; формируются планы корректирующих мероприятий с назначением исполнителей и сроков. На выходе - единый реестр замечаний и план корректирующих действий, протоколы закрытия замечаний и отчёт для руководителя о ходе исполнения.

09 Актуализация

Поводы для обновления Правил внутреннего контроля соответствия обработки ПДн

Конкретные события и находки, при которых Правила и сопроводительные чек-листы должны быть пересмотрены, уточнены или переизданы. Для каждого повода указан ожидаемый результат правки и оперативное действие.

Изменился состав или объём обрабатываемых персональных данных Появились новые цели обработки, категории данных, привлечённые операторы/обработчики или внедрены новые информационные системы - область контроля расширяется, появляются дополнительные риски и пункты для проверки. Чек-листы и область покрываемых подразделений корректируются с привязкой к новым ресурсам. Пересмотреть область контроля, обновить чек-листы и матрицы рисков, назначить дополнительные выездные или технические проверки по новым системам.
Сменился ответственный за внутренний контроль или реорганизована структура При кадровых изменениях проверяют приказы о назначении, границы ответственности и распределение обязанностей по контролю; необходимо убедиться, что новые лица имеют доступ к регистрам и документам, а также в их обязанностях отражены права на проведение проверок. Зафиксировать назначение приказом, обновить реестр ответственных, скорректировать регламенты взаимодействия и уведомить смежные подразделения.
Изменились нормы или требования законодательства, затрагивающие обязанности оператора Появление или уточнение норм, требующих новых мер (например, порядок оценки вреда, обязанности по уведомлению об инцидентах и иные обязательства) требует добавления соответствующих проверочных критериев и методов оценки соответствия. Сопоставить новые требования с действующей редакцией Правил, внести правки в чек-листы и методики оценки, провести инструктаж для лиц, выполняющих контроль.
Проверки регулярно выявляют одинаковые нарушения или отклонения Если в последовательных проверках обнаруживаются повторяющиеся дефекты, значит источник в процессе или в методах контроля - правила, чек-листы или процедуры исполнения требуют корректировки для устранения первопричины. Провести анализ первопричин, обновить Правила и процедуры работы подразделений, ввести корректирующие мероприятия и контроль выполнения этих мероприятий.
Проведена внешняя проверка или получены предписания контролирующего органа Замечания и предписания внешних проверок показывают реальные пробелы в внутреннем контроле; Правила должны учитывать устранение предписанных нарушений и предусматривать контроль их исполнения. Разработать план устранения замечаний, внести необходимые изменения в Правила и чек-листы, отчитаться перед руководством и, при необходимости, сформировать программу корректирующих действий.

10 Проверка

Инспектор проверит

Документы и материалы проверки по Правилам осуществления внутреннего контроля соответствия обработки персональных данных.

Вопрос 01 «Предъявьте документ, подтверждающий утверждение Правил внутреннего контроля.»
Вопрос 02 «Кого назначили ответственным за организацию внутреннего контроля и как закреплены его функции?»
Вопрос 03 «Предъявите документы, регламентирующие периодичность и методику проведения проверок внутреннего контроля.»
Вопрос 04 «Предъявьте результаты последних проведённых проверок внутреннего контроля.»
Вопрос 05 «Какие корректирующие меры были приняты по результатам проверок и как организован контроль их исполнения?»

Инспектор при проверке, может запросить:

актуальная редакция Правил осуществления внутреннего контроля соответствия обработки персональных данных, приказ об утверждении
приказ о назначении ответственного за организацию внутреннего контроля, должностная инструкция или положение об исполнителе функций
график проведения проверок внутреннего контроля, методика или регламент проведения проверок, критерии оценки соответствия
акты и отчёты проверок внутреннего контроля, журналы регистрации проверок с выводами и датами
планы корректирующих мероприятий, приказы или распоряжения по устранению замечаний, журналы контроля исполнения корректирующих мер с записями о закрытии

11 Экспертная позиция

Риск-ориентированный приём для внутреннего контроля

Частая ошибка - сводить внутренний контроль к формальным актам без привязки к реальным рискам. Практика: зафиксируйте критерии отбора объектов проверки (системы, процессы, обработчики, чувствительные категории ПДн), привяжите выборку и частоту проверок к оценке вреда, включите проверку журналов доступа и работоспособности мер защиты у обработчиков. Оформляйте результаты протоколом с описанием нарушений, назначенными ответственными и контрольными сроками устранения.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по правилам внутреннего контроля обработки ПДн

Да. Внутренний контроль является обязательной организационной мерой оператора по обеспечению соответствия обработки персональных данных. Организация контроля и ответственность за неё закреплены в нормах, предусматривающих проведение внутреннего контроля и назначение ответственного.

Правила осуществления внутреннего контроля соответствия обработки персональных данных

Правила осуществления внутреннего контроля соответствия обработки персональных данных

Административная ответственность за несоблюдение требований при обработке персональных данных

Как ещё называют этот документ

Чеклист содержательных разделов Правил внутреннего контроля

Кому и когда нужны Правила внутреннего контроля соответствия обработки персональных данных

Нормативная основа для Правил внутреннего контроля обработки ПДн

Шаги внедрения Правил внутреннего контроля соответствия обработки ПДн

Поводы для обновления Правил внутреннего контроля соответствия обработки ПДн

Инспектор проверит

Риск-ориентированный приём для внутреннего контроля

Частые вопросы по правилам внутреннего контроля обработки ПДн

База знаний содержит 268 документов

Заказать правила внутреннего контроля соответствия обработки персональных данных

Правила осуществления внутреннего контроля соответствия обработки персональных данных

Правила осуществления внутреннего контроля соответствия обработки персональных данных

Административная ответственность за несоблюдение требований при обработке персональных данных

Как ещё называют этот документ

Чеклист содержательных разделов Правил внутреннего контроля

Кому и когда нужны Правила внутреннего контроля соответствия обработки персональных данных

Нормативная основа для Правил внутреннего контроля обработки ПДн

Связанные документы для внутреннего контроля соответствия обработки ПДн

Связанные документы

Шаги внедрения Правил внутреннего контроля соответствия обработки ПДн

Поводы для обновления Правил внутреннего контроля соответствия обработки ПДн

Инспектор проверит

Риск-ориентированный приём для внутреннего контроля

Частые вопросы по правилам внутреннего контроля обработки ПДн

База знаний содержит 268 документов

Заказать правила внутреннего контроля соответствия обработки персональных данных

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями