Приказ о базах данных, содержащих ПДн граждан РФ: требования, как оформить

Статус обязательный внутренний документ регламента обработки персональных данных
Основание ч. 5 ст. 18 152-ФЗ; ч. 3 ст. 6 152-ФЗ; ч. 3 ст. 22 152-ФЗ; ст. 19 152-ФЗ; ч. 8 и ч. 9 ст. 13.11 КоАП
Публичность внутренний документ организации, не размещается в открытом доступе
Кто утверждает руководитель организации
Владелец документа ответственный за организацию обработки персональных данных в организации
Область действия все базы данных, содержащие персональные данные граждан РФ, включая взаимодействие с обработчиками и каналы передачи данных
Обновлено июль 2026

01 Назначение

Приказ о базах данных, содержащих ПДн граждан РФ - содержание и порядок внедрения

Краткое руководство для руководителя и ответственного за организацию обработки по обязательным разделам приказа и практическим проверкам

Назначение и область действия. Документ фиксирует перечень баз данных с персональными данными граждан РФ, пределы ответственности оператора и порядок включения внешних обработчиков и каналов передачи. Приказ утверждает руководитель организации, владельцем документа является ответственный за организацию обработки. Область действия охватывает все базы и взаимодействия, влияющие на хранение и передачу данных граждан РФ, включая передачи через подрядчиков и внешние сервисы.

Обязательные разделы приказа и конкретные артефакты. Приказ содержит реестр баз данных с ПДн и минимальным набором полей (наименование базы, категория данных, основание обработки, местоположение хранения), перечень назначенных владельцев баз, перечень организационных и технических мер защиты, а также форму учета изменений. В качестве сопровождающих артефактов оформляют реестр баз, карту потоков данных и шаблон приказа о назначении владельца базы.

Взаимодействие с обработчиками и требования к договорам. Приказ регламентирует порядок привлечения обработчиков: наличие письменного договора, предписанные обязанности по защите ПДн и правила субподряда. В приказе указывают лицо, ответственного за контроль исполнения договорных требований, перечень обязательных приложений к договорам и порядок приёмки работ с точки зрения защиты данных.

Триггеры контроля, типичные ошибки и меры реагирования. В приказе перечисляют триггеры для внеплановой проверки - создание или существенное изменение базы, привлечение нового обработчика, перенос хранения за пределы РФ или инцидент несанкционированного доступа. Типичные ошибки - отсутствие актуального реестра, отсутствие назначенных владельцев и пробелы в договорах с обработчиками. Для инцидентов закрепляют порядок уведомления и ответственных лиц, а также требования по документированию и анализу причин.

Раскрыть полностью

02 Ответственность

Ответственность за нарушение требований локализации и неуведомление о неправомерном доступе

ч. 8, ч. 9 и ч. 11 ст. 13.11 КоАП РФ

Юридическое лицо 6 000 000 - 18 000 000 ₽
Должностное лицо 500 000 - 800 000 ₽
Физическое лицо (гражданин) 50 000 - 100 000 ₽

Отсутствие или несоблюдение приказа о базах данных с ПДн граждан РФ повышает риск привлечения по частям ст. 13.11 КоАП, в том числе за нарушение требований о локализации и за неуведомление о факте неправомерного доступа. Типичные ошибки оператора: отсутствие зафиксированных правил локализации и территорий хранения, неполные договоры с обработчиками, отсутствие регламентированной процедуры уведомления о фактах неправомерного доступа. Укажите в приказе порядок локализации и процедуру уведомления, чтобы снизить риск применения указанных частей коап.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Список содержит варианты названий и поисковые запросы для приказа об учёте и контроле баз данных с персональными данными граждан РФ. Различия между документами в комплекте связаны с назначением: внешний реестр, внутренний приказ, техническая схема или положение о локализации.

Приказ об учёте баз персональных данных граждан РФ
Приказ об утверждении перечня баз персональных данных
Приказ о локализации баз персональных данных
Образец приказа об учёте и локализации баз данных персональных данных
Перечень баз персональных данных организации
Положение о месте хранения баз персональных данных
Требования к договору с обработчиком и хостингом
Запись о месте нахождения базы данных для реестра операторов
Инструкция по учёту и контролю баз персональных данных

04 Обязательное содержание

Состав приказа о базах данных с ПДн

Чеклист разделов и элементов приказа, необходимых для оформления всех баз данных, содержащих персональные данные граждан РФ, и для контроля взаимодействия с обработчиками и каналами передачи.

Утверждение и ответственность Указана должность утверждающего (руководитель), дата вступления в силу, лицо, ответственное за организацию обработки, с контактами и полномочиями.
Область действия и реестр баз Определено, что приказ охватывает все базы с ПДн граждан РФ; приложен реестр баз с краткой характеристикой, назначением, владельцем записи и перечислением каналов передачи данных.
Требования к локализации и хранению Зафиксированы требования к размещению и хранению записей граждан РФ на территории России, а также порядок проверки и ограничения передачи данных за пределы России.
Договоры с обработчиками и порядок передачи Описан минимальный набор условий договоров с обработчиками, основания поручения обработки, обязанности сторон и порядок контроля исполнения договорных требований.
Организационные и технические меры защиты Перечислены обязательные организационные и технические меры защиты для каждой категории баз, а также ответственность за внедрение и подтверждение исполнения.
Инвентаризация, классификация и учёт изменений Установлен порядок ведения и актуализации инвентаря баз, критерии классификации по уровню риска, процедура внесения изменений и отметки о задействованных обработчиках и каналах.
Порядок реагирования и уведомления о нарушениях Описана процедура выявления и расследования инцидентов, порядок документирования и уведомления ответственных структур и надзорных органов с указанием ответственных лиц и сроков.

05 Применимость

Кому и в каких случаях нужен приказ о базах данных, содержащих ПДн граждан РФ

Короткое руководство по кругу лиц и событиям, при которых организация должна иметь и поддерживать приказ, регламентирующий базы данных с персональными данными граждан РФ. Указаны связи с обязанностями по защите и локализации данных.

Область действия приказа Приказ распространяется на все базы данных, в которых хранятся персональные данные граждан Российской Федерации, а также на процессы взаимодействия с обработчиками и каналы передачи таких данных.
Обязательность и нормативное основание Наличие и исполнение внутренних документов, фиксирующих организационные и технические меры защиты и требования к хранению данных на территории РФ, обосновано положениями законодательства о персональных данных и нормами об ответственности за нарушения требований локализации и уведомления о фактах неправомерного доступа.
Кому адресован приказ Приказ адресован руководителю организации (утверждение), ответственному за организацию обработки персональных данных (владение документом), подразделениям, ведущим учёт баз данных, подразделениям ИТ и информационной безопасности, а также юридическому отделу и лицам, участвующим в взаимодействии с обработчиками.
Случаи и триггеры подготовки или актуализации Приказ готовят или обновляют при создании новой базы данных, при передаче обработки третьим лицам, при изменении каналов передачи или условий хранения данных, а также при изменении состава сведений, заявляемых оператором; обновление целесообразно после инцидентов, затрагивающих ПДн.
Когда приказ не применяется Приказ не применяется к информационным системам и базам данных, которые не содержат персональные данные граждан Российской Федерации. Для таких систем применяют иные локальные регламенты по защите информации.
Взаимосвязь с другими документами Приказ должен быть частью общего регламента обработки персональных данных и согласован с реестром баз данных, договорами с обработчиками и политикой по обработке персональных данных; в части прав и обязанностей сторон приказ дополняет договорные положения с обработчиками.

06 Нормативная база

Нормативная база для приказа о базах данных, содержащих ПДн граждан РФ

ч. 5 ст. 18 152-ФЗ Требование записи и хранения баз данных с ПДн граждан РФ на территории России. Для приказа это означает обязанность определить перечень баз в пределах области действия документа, порядок фиксации и документального подтверждения места хранения данных и требование к оформлению доказательств локализации при работе с обработчиками.
ч. 3 ст. 6 152-ФЗ Регулирует передачу обработки третьим лицам через договор и поручение с предусмотренными требованиями. В приказе следует закрепить обязательные пункты договоров с обработчиками: требования о локализации и мерах защиты, порядок предоставления по запросу оператора документов и доказательств исполнения обязательств.
ч. 5 ст. 6 152-ФЗ Устанавливает ответственность оператора за действия обработчика перед субъектом ПДн. Приказ должен определить порядок контроля оператора над обработчиками, критерии допустимости привлечения обработчика и перечень документов, подтверждающих соответствие обработчика требованиям оператора.
ч. 3 ст. 22 152-ФЗ Предусматривает указание сведений о месте нахождения баз данных в уведомлении об обработке. Для приказа это означает обязанность регламентировать состав сведений о местоположении базы, формат их учёта и порядок передачи в уведомления и внутренний реестр баз.
ст. 19 152-ФЗ Обязывает применять организационные и технические меры защиты ПДн, в том числе для данных, размещённых у обработчиков. Приказ должен перечислить минимальные категории мер на уровне организации и у обработчиков, а также способы фиксации их внедрения - логи, акты приёмки, отчёты аудита.
ч. 8 и ч. 9 ст. 13.11 КоАП Устанавливают административную ответственность за нарушение требований локализации и за повторные нарушения. Приказу важно предусмотреть контрольные точки и обязательный набор доказательств соблюдения требований локализации для снижения риска привлечения к ответственности.
ч. 11 ст. 13.11 КоАП Касается неуведомления о факте неправомерного доступа. Приказ должен содержать процедуру внутреннего уведомления о инцидентах с указанием ответственных, состава информации для уведомления компетентных органов и требований к учёту и хранению материалов расследования.

Образец документа

Приказ о базах данных, содержащих ПДн граждан РФ

Утверждает сведения о базах данных, содержащих персональные данные граждан Российской Федерации, и фиксирует места их нахождения в целях соблюдения требований к локализации персональных данных

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа о базах данных, содержащих ПДн граждан РФ

План действий от принятия решения до действующего приказа и первичной проверки соответствия требованиям локализации и защиты ПДн.

1. Принятие решения и назначение ответственных Руководитель принимает решение об издании приказа и назначает ответственное лицо. Результат на выходе: приказ-распоряжение о подготовке документа и приказом закреплённый ответственный, начальный реестр баз данных с ПДн в табличном виде.
2. Сбор сведений и классификация баз Ответственные подразделения собирают сведения о каждой базе: местонахождение серверов, состав полей ПДн, участники обработки, используемые каналы передачи. Результат на выходе: обновлённый реестр баз и карта потоков данных в виде приложения к реестру.
3. Подготовка текста приказа и сопроводительных документов Ответственный готовит проект приказа с конкретными требованиями по хранению и обработке ПДн, обязанностями подразделений и правилами взаимодействия с обработчиками, а также шаблоны приложений: форма реестра, шаблон договора с обработчиком. Результат на выходе: проект приказа и комплект приложений.
4. Утверждение приказа и формальная регистрация Руководитель утверждает приказ, документ регистрируется в журнале приказов организации. Результат на выходе: утверждённый приказ с регистрационным номером и запись в журнале распоряжений.
5. Ввод в действие, уведомление и согласование с обработчиками Рассылают приказ в структурные подразделения, проводят согласование и при необходимости вносят изменения в договоры с обработчиками с приложением требований приказа. Результат на выходе: внесённые изменения в договоры с обработчиками и служебные распоряжения на исполнение.
6. Проведение проверки исполнения и ведение записей Организуют внутреннюю проверку соответствия приказу, фиксируют результаты в акте проверки и вносят замечания в реестр. Результат на выходе: акт внутренней проверки соответствия требованиям локализации и защите ПДн, замечания с планом корректирующих мер.

09 Актуализация

Поводы для обновления приказа о базах данных с ПДн граждан РФ

Поводы для правки приказа - события, после которых перечень баз или сопутствующие требования должны быть уточнены и оформлены приказом. Фокус на новых сервисах, смене площадок и подрядчиков, изменении состава данных, передаче обработки и инцидентах, которые влияют на локализацию и меры защиты.

Подключён новый сервис или система Появление новой площадки, интеграция внешней системы или запуск сервиса, в котором впервые фиксируются ПДн граждан РФ, меняет набор баз. Наличие строк в перечне должно совпадать с началом первичной записи данных, иначе база могла существовать вне учёта. Приостанавливание ввода ПДн до подтверждения соответствия локализации и мер защиты, проведение предварительной проверки площадки и внесение строки в перечень с указанием типа хранения.
Провайдер сменил площадку или субподрядчика Перемещение нагрузки или передача хранения новому субподрядчику может привести к изменению юрисдикции размещения данных. Часто это происходит без изменения реквизитов договора, поэтому такой перенос остаётся незамеченным в учёте. Запросить у провайдера подтверждающие документы о месте размещения и договорах с субподрядчиками, оценить соответствие локализации и при несоответствии отразить изменения в приказе и приостановить передачи.
Изменился состав обрабатываемых сведений или категории субъектов Если в ранее учтённой базе появились сведения о физических лицах-гражданах РФ или расширился набор полей с персональными данными, для неё действуют дополнительные требования к локализации и защите. Актуализировать классификацию баз, внести изменения в перечень и адаптировать набор организационных и технических мер защиты для новой категории данных.
Данные переданы подрядчику на обработку Передача ПДн подрядчику обязывает зафиксировать место обработки и обеспечить правовые и технические гарантии локализации. Отсутствие в договоре соответствующих условий оставляет строку перечня необеспеченной. Включить в договор пункт о месте хранения и праве оператора запрашивать подтверждающие документы, провести проверку подрядчика и внести запись о базе в перечень или обновить существующую запись.
Выявлен инцидент неправомерного доступа или утечка, затрагивающие ПДн граждан РФ Инцидент может выявить незарегистрированные базы или показать, что существующие меры защиты и место хранения оказались несоответствующими. Это влияет на перечень и на набор требуемых доказательств и ответных мер. Зафиксировать список затронутых баз, проверить их соответствие требованиям локализации и мер защиты, внести необходимые правки в приказ и сопроводительные договоры, подготовить доказательства принятых мер.

10 Проверка

Инспектор проверит

Документы и материалы проверки приказа о базах данных, содержащих персональные данные граждан РФ.

Вопрос 01 «Предъявите приказ об учёте и контроле баз данных, содержащих персональные данные граждан РФ.»
Вопрос 02 «Предъявите реестр баз данных, попадающих под действие приказа.»
Вопрос 03 «Предъявите договоры с обработчиками и подтверждение правовой основы передачи данных третьим лицам.»
Вопрос 04 «Предъявите материалы, подтверждающие внедрение организационных и технических мер защиты, предусмотренных приказом.»
Вопрос 05 «Предъявите подтверждение соответствия требованиям о локализации и регламент действий при фактах неправомерного доступа.»

Инспектор при проверке, может запросить:

приказ, подписанный руководителем организации, с указанием владельца документа и области действия
реестр баз данных с указанием наименования базы, типа обрабатываемых данных, ответственных лиц и мест хранения
договоры с обработчиками, приложения к ним и документы, подтверждающие распределение ответственности между оператором и обработчиком
перечень организационно-технических мер, инструкции по контролю доступа, журналы учёта доступа, отчёты о тестировании и результатах внутреннего контроля
документы, подтверждающие хранение данных на территории РФ, регламент уведомления о неправомерном доступе и записи о фактах уведомления

11 Экспертная позиция

Риск незаписанных реплик и бэкапов

Частая ошибка: в приказе учёта баз фиксируют только основные сервисы, а реплики, бэкапы и тестовые окружения остаются вне документа. В результате данные граждан РФ могут фактически храниться или передаваться за границу через поставщиков облачных услуг. В приказе предусмотрите обязанность идентифицировать все системы и каналы хранения, требование к обработчикам подтверждать место хранения и репликации данных, а также условие о договорной ответственности оператора за действия обработчика.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу о базах данных, содержащих ПДн граждан РФ

Приказ распространяется на все базы данных, содержащие персональные данные граждан РФ, включая базы, которыми обмениваются с обработчиками и каналы передачи данных. Это касается как внутренних систем, так и внешних сервисов, если в них хранятся или обрабатываются ПДн граждан РФ. Ведомости о локализации хранения и правах доступа должны быть отражены в реестре баз.

Заказать приказ о базах данных, содержащих ПДн граждан РФ

Закажите приказ, адаптированный к структуре вашей организации, и комплект локальных нормативных актов для учёта и контроля баз данных с персональными данными граждан РФ. Приказ будет соответствовать факту: это внутренний обязательный документ, утверждается руководителем, владелец документа - ответственный за организацию обработки; область действия охватывает все базы с ПДн граждан РФ, включая каналы передачи и взаимодействие с обработчиками. В комплект входят: проект приказа, журнал учёта баз, образцы договоров с обработчиками, инструкция по требованиям локализации и шаблоны уведомлений, а также комплект доказательств для проверки - приказ, журнал, договоры, скриншоты и логи доступа. Оказываем помощь по адаптации и внедрению документов и по подготовке материалов к внутренней проверке.

Скачать образец Заказать приказ и комплект локальных нормативных актов