Приказ о проведении периодического обучения работников по защите ПДн: требования и штрафы

Статус рекомендуемый; фактически обязателен как мера защиты, подтверждающая выполнение обязанностей по обеспечению безопасности персональных данных
Основание ч. 1 ст. 18.1 и ст. 19 152-ФЗ, приказ ФСТЭК № 21, устанавливающие требования к организационным и техническим мерам защиты
Публичность внутренний документ, применяется в распоряжении организации и для ответственных лиц
Кто утверждает руководитель организации
Владелец документа ответственный за организацию обработки персональных данных или иное назначенное уполномоченное лицо
Область действия все сотрудники и подрядчики, имеющие доступ к персональным данным или к информационным системам обработки
Обновлено июль 2026

01 Назначение

Приказ о проведении периодического обучения работников по защите персональных данных

Краткое руководство для ответственных лиц: назначение приказа, его содержание, сопутствующие записи и типичные риски при отсутствии обучения

Назначение приказа и область действия. Приказ формализует организационные меры по подготовке персонала и подтверждает исполнение обязанностей по обеспечению безопасности персональных данных. Подписывает приказ руководитель организации, владельцем исполнения назначается ответственный за организацию обработки персональных данных или иное уполномоченное лицо. Область действия охватывает всех сотрудников и подрядчиков, имеющих доступ к персональным данным или к информационным системам обработки.

Содержание приказа - что должно быть зафиксировано. В приказе фиксируют цель обучения, круг обучаемых и критерии включения, ответственность исполнителей, базовую программу и методы контроля знаний, порядок ведения записей о прохождении и процедуры по работе с подрядчиками. В тексте приказыва указывают форму контроля результатов, например аттестация или тестирование, и лицо, ответственное за обновление программы с учётом изменений в нормативных требованиях.

Практические формы и записи для реализации приказа. Организуйте единый реестр обученных, утверждённую программу с учебными модулями, ведомости прохождения, протоколы аттестации и план корректировок программы. Для подрядчиков предусмотрите условия об обязательном обучении и порядок подтверждения прохождения. Эти записи нужны для внутреннего контроля и для подтверждения принятых мер при проверках.

Триггеры внедрения и типичные ошибки при организации обучения. Триггеры - приём на работу или перевод сотрудника на новую роль, существенные изменения в обработке данных, выявленный инцидент и плановые оценки рисков. Типичные ошибки: отсутствие утверждённой программы, неполный охват сотрудников и подрядчиков, отсутствие подтверждающих записей и нерегулярное обновление содержания обучения. Неполная подготовка сотрудников повышает риск опоздания с уведомлением об инциденте и риска санкций при утечках.

Раскрыть полностью

02 Ответственность

Штрафы при утечке персональных данных в объеме 10 000 - 100 000 субъектов

ч. 13 ст. 13.11 КоАП РФ - утечка данных 10 000 - 100 000 субъектов

Юридическое лицо 5 000 000 - 10 000 000 ₽
Должностное лицо 300 000 - 500 000 ₽
Физическое лицо (гражданин) 200 000 - 300 000 ₽

Прямое применение указанных санкций связано с установлением состава правонарушения по ч. 13 ст. 13.11 КоАП РФ при утечке данных 10 000 - 100 000 субъектов. Приказ о периодическом обучении работников по защите персональных данных и подтверждающие записи служат частью мер по ст. 18.1 и ст. 19 152-ФЗ и могут учитываться при оценке вины и размера санкции. Типичные ошибки на проверке: отсутствие оформленного приказа или реестра обученных, неподтверждённые отметки о прохождении, отсутствие требований к подрядчикам, разрывы в документировании мероприятий. Учитывайте эти риски при оформлении и хранении подтверждающих материалов.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Распространённые наименования приказа о периодическом обучении работников по защите персональных данных, которые применяют в распоряжениях, реестрах и при подготовке материалов для проверки.

Приказ о периодическом обучении по защите персональных данных
Приказ об обучении работников по защите персональных данных
Приказ об обучении по 152-ФЗ
Приказ о проведении инструктажа по защите персональных данных
Приказ о периодических инструктажах по персональным данным
Программа внутреннего обучения по информационной безопасности
Ведомость учёта обучения по персональным данным
Приказ о повышении осведомлённости сотрудников по информационной безопасности
Журнал инструктажей по защите персональных данных
Вводный инструктаж по защите персональных данных при приёме на работу

04 Обязательное содержание

Чеклист содержания приказа о периодическом обучении

Чеклист разделов и элементов приказа, которые обычно проверяют при подтверждении выполнения мер по защите персональных данных.

Утверждение приказа и владелец Наличие подписи руководителя и дата утверждения; явное указание владельца документа - ответственного за организацию обработки или иного уполномоченного лица.
Область действия и круг обучаемых Четкое перечисление групп работников и подрядчиков, подпадающих под обучение, с критерием включения - доступ к персональным данным или к информационным системам обработки.
Программа и содержание обучения Перечень учебных модулей и тем, соответствующих базовому набору мер по уровню защищённости, с указанием минимального содержания по организационным и техническим мерам.
Порядок проведения и контроль знаний Описание формата занятий, периодичности или триггеров обучения, процедур контроля знаний и критериев успешного прохождения, а также ответственных за организацию и проверку.
Учет и документирование результатов Положения о ведении записей о прохождении и результатах обучения, порядок хранения и доступа к таким записям для подтверждения выполнения мер безопасности.
Действия при несоответствии и ответственность Механизм действий при неудовлетворительной проверке знаний или нарушении требований по работе с персональными данными, включая порядок ограничения доступа и применяемые дисциплинарные меры.

05 Применимость

Кому и когда нужен приказ о периодическом обучении по защите ПДн

Контур применимости приказа: какие организации и группы сотрудников должны иметь такой приказ, в каких ситуациях он подтверждает принятые меры защиты персональных данных и когда следует использовать другие документы. Указаны роли, триггеры и типичные исключения.

Организации, обрабатывающие персональные данные Приказ уместен для юридических лиц и индивидуальных предпринимателей, которые самостоятельно принимают организационные меры по защите персональных данных и должны уметь подтверждать их выполнение. Приказ обычно утверждает руководитель организации, владельцем исполнения назначается ответственный за организацию обработки персональных данных или иное уполномоченное лицо.
Категории сотрудников и подрядчиков, подпадающие под приказ Документ применяется к сотрудникам и подрядчикам, имеющим доступ к персональным данным или к информационным системам, обрабатывающим ПДн. В приказе целесообразно перечислить должности и категории доступа, обязанности по прохождению обучения и порядок допуска после обучения.
События и триггеры для издания или обновления приказа Приказ необходим как средство документального подтверждения организационных мер в случаях запуска новых систем обработки, изменения объёма или состава ПДн, при инцидентах и перед допуском сотрудников к работе с ПДн. Наличие приказа помогает подтвердить подготовленность организации и оперативно реагировать на требования о подтверждении мер защиты.
Когда приказ не подходит или избыточен Приказ не нужен организациям, которые не обрабатывают персональные данные и не допускают доступ к системам, содержащим ПДн. Для разовых подрядчиков без доступа к ПДн достаточно оформить отдельный допуск или соглашение, а не общий приказ по обучению всей организации.
Когда следует использовать другие внутренние регламенты Если требуется формализация процедуры аттестации знаний, учёт результатов тестов, периодический контроль и санкции за нарушение порядка допуска, целесообразно вводить отдельный регламент по обучению и аттестации. При централизованном управлении обучением для группы филиалов приказ может дополняться локальными распоряжениями.
Особенности для малых организаций и филиалов Малые организации могут фиксировать программу обучения и ответственного в одном документе - приказе, при этом содержание и объём обучения должны соответствовать реальным рискам и доступам. Филиалы действуют по локальному приказу или по централизованному документу головной организации с указанием ответственных и порядка учёта прохождения.

06 Нормативная база

Нормативная база для приказа о периодическом обучении по защите персональных данных

ч. 1 ст. 18.1 152-ФЗ обязывает оператора иметь возможность подтвердить принятые меры по обеспечению безопасности ПДн; приказ о периодическом обучении служит документальным подтверждением мероприятий по повышению компетенций сотрудников и фиксации результатов обучения.
п. 2 ч. 1 и ч. 2 ст. 18.1 152-ФЗ устанавливает требования к принятию локальных актов и обеспечению доступа к ним; приказ реализует эти требования через регламентацию содержания учебных программ, порядка доступа к материалам и ответственности за организацию обучения.
ст. 19 152-ФЗ предписывает организационные и технические меры защиты персональных данных; обучение работников включается в состав организационных мер и должно быть формализовано в приказе и учётных документах.
приказ ФСТЭК № 21 от 18.02.2013 определяет базовый набор мер защиты и методы их реализации, включая информирование и подготовку персонала; приказ об обучении должен соответствовать требованиям по содержанию программ и учёту повышения квалификации.
ст. 196 ТК РФ предусматривает обязанность работодателя определять необходимость подготовки и повышения квалификации работников; приказ закрепляет исполнителей, обязанности и порядок формирования списка обучаемых.
ч. 3.1 ст. 21 152-ФЗ регламентирует порядок обнаружения и уведомления о нарушениях безопасности ПДн; программа обучения должна включать распознавание инцидентов, первичные действия и порядок документирования для своевременного уведомления уполномоченных органов.
ч. 13 ст. 13.11 КоАП устанавливает административную ответственность за утечку персональных данных; приказ об обучении должен предусматривать меры по снижению рисков нарушений и контроль усвоения знаний сотрудниками.

Образец документа

Приказ о проведении периодического обучения работников по защите ПДн

Приказ регламентирует порядок периодического обучения по защите персональных данных, назначает ответственного за организацию, круг обучаемых и форму контроля знаний. На проверке смотрят программу обучения, реестр о...

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа о периодическом обучении работников по защите ПДн

Последовательные действия от принятия решения до первой проверки эффективности. В каждом шаге указан ответственный и конкретный документ на выходе.

1. Принятие решения и утверждение приказа Сбор материалов о необходимости обучения, подготовка проекта приказа и согласование с руководителем. Результат на выходе: подписанный приказ «О проведении периодического обучения работников по защите персональных данных».
2. Разработка учебной программы и критериев оценки Формирование содержания курса с учётом уровня доступа и рисков, подготовка тестов или методики проверки знаний. Результат на выходе: утверждённая учебная программа и методика оценки.
3. Формирование списка участников и графика обучения Определение кругов сотрудников и подрядчиков под обучение на основе обязанностей и доступа к ПДн, составление графика и ведомости. Результат на выходе: график обучения и ведомость участников.
4. Проведение обучения и регистрация результатов Организация занятий или практических тренировок, проведение контроля усвоения материала, регистрация явки и результатов оценки. Результат на выходе: ведомости об участии и отчёт о результатах проверки знаний.
5. Внутренняя проверка эффективности и корректирующие меры Проведение выборочной проверки освоения знаний и соответствия поведения сотрудников требованиям, анализ проблем и подготовка предложений по корректировке программы. Результат на выходе: акт внутренней проверки и проект распоряжения о корректирующих мерах.

09 Актуализация

Поводы для обновления приказа и программы периодического обучения по защите ПДн

Приказ обычно действует долго, но содержание учебной программы, список слушателей и критерии оценки нужно корректировать при конкретных событиях. Ниже - чёткие поводы и короткие действия для ответственного.

Появление новых схем мошенничества Появились фишинговые письма, звонки от поддельных органов, фальшивые счета или иные приёмы социальной инженерии, направленные на получение персональных данных. Практические кейсы повышают готовность сотрудников лучше, чем общие лекции. Обновить практические кейсы, добавить контролируемые симуляции и скорректировать тесты в учебной программе.
Инцидент в организации или у коллег по отрасли Утечка данных, несанкционированный доступ или уязвимость у контрагента требуют внепланового разбора обстоятельств, анализа ошибок и проверки процедур уведомления и реагирования. Провести внеплановое занятие с разбором инцидента, зафиксировать выводы и скорректировать программу; при необходимости переиздать приказ и назначить контрольные мероприятия.
Изменение нормативных требований или методик защиты Новые требования к организационным и техническим мерам, условия подтверждения принятых мер или изменения ответственности влияют на содержание обучения и на критерии оценки знаний сотрудников. Пересмотреть программы и учебные материалы, обновить критерии оценки и утвердить изменения приказом.
Смена ответственных, реорганизация или массовый приём сотрудников При смене ответственного, при реорганизации подразделений или при массовом наборе обязанность по обучению и контроль за ним должны быть перераспределены и отражены в приказе; новые сотрудники требуют вводного инструктажа. Внести изменения в приказ, обновить список слушателей и график обучения, назначить ответственных за исполнение.
Изменение способов работы и используемых систем Переход на удалённую работу, внедрение новых информационных систем, облачных сервисов или мессенджеров меняют риски обработки ПДн и требуют адаптации практических правил и процедур доступа. Добавить модули по новым рабочим сценариям и технологиям, провести целевые тесты и обновить регламенты доступа.

10 Проверка

Инспектор проверит соответствие приказа о периодическом обучении по защите ПДн

Документы и материалы проверки, подтверждающие наличие, содержание и исполнение приказа об обучении по защите персональных данных.

Вопрос 01 «Предъявите приказ об организации периодического обучения по защите персональных данных.»
Вопрос 02 «Назовите ответственного за организацию и контроль обучения и подтвердите его назначение.»
Вопрос 03 «Предъявите программу обучения и график периодичности проведения занятий.»
Вопрос 04 «Как фиксируется факт прохождения обучения сотрудниками?»
Вопрос 05 «Предъявите регламенты по действиям при отказе или непрохождении обязательного обучения.»

Инспектор при проверке, может запросить:

текст приказа с подписью руководителя и датой утверждения, приложение с перечнем категорий сотрудников, подпадающих под обучение, реестр сотрудников, охваченных приказом
приказ о назначении ответственного или распоряжение, запись в должностной инструкции или распоряжении по персоналу
программа обучения с перечислением тем, объема часов и методов контроля знаний, график периодических занятий или расписание повторных курсов
журналы регистрации слушателей, списки завершивших обучение, электронные сертификаты, протоколы итоговой проверки знаний и базы данных учёта обучения
правила внутреннего дисциплинарного воздействия, образцы приказов или распоряжений о применении мер при непрохождении обучения, записи о применённых мерах

11 Экспертная позиция

Практический риск и быстрые меры

Приказ об обучении часто оформляют формально, при этом он не выполняет роль доказательства мер защиты, если не привязан к реестру обученных, программе с критериями и механизмам контроля. Основные ошибки - отсутствие учета прохождения и аттестации, отсутствие привязки программ к ролям и уровням доступа, игнорирование подрядчиков и триггеров обновления. Рабочая практика: в тексте приказа указать ответственного, формат и частоту контроля знаний, виды допустимых подтверждений и правила хранения записей в неизменяемом виде; предусмотреть обновление программы при изменении ИС или после инцидента.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу о периодическом обучении по защите ПДн

Приказ внутренний, но фактически обязателен как мера защиты для сотрудников и подрядчиков, имеющих доступ к персональным данным или информационным системам обработки. Он подтверждает выполнение обязанностей оператора по обеспечению безопасности персональных данных и служит доказательной базой при проверках.

Заказать приказ и комплект документов по периодическому обучению по защите персональных данных

Закажите готовый приказ о периодическом обучении по защите персональных данных в комплекте с локальными нормативными актами и набором доказательств для проверки выполнения обязанностей по безопасности ПДн. В комплект входят: адаптация приказа под организацию, положение о порядке обучения, журнал учёта, реестр обученных, программы и тесты, протоколы контроля знаний, скриншоты и логи доступа. Подготовка документов и комплект доказательств для утверждения руководителем включены в услугу. Гарантий прохождения проверок не предоставляем.

Скачать образец Заказать комплект документов