Приказ об оценке вреда субъектам персональных данных: требования, штрафы

Статус обязательный для оператора
Основание п. 5 ч. 1 ст. 18.1 152-ФЗ, приказ Роскомнадзора № 178
Публичность внутренний, доступ ограничен сотрудникам организации
Кто утверждает руководитель организации
Периодичность определяется оператором и фиксируется в локальном акте
Обновлено июль 2026
Ответственный ответственный за организацию обработки персональных данных или комиссия, если назначена
Область действия применяется при проведении оценки вреда субъектам персональных данных при внедрении или изменении обработок и при утверждении локальных актов

01 Назначение

Приказ об оценке вреда субъектам персональных данных - назначение и порядок

Краткие указания для ответственного за организацию обработки и руководства

Назначение и область применения. Приказ фиксирует обязанность оператора провести оценку возможного вреда субъектам персональных данных для конкретных видов обработки, устанавливает кому доступны результаты и кто принимает решения. Документ внутренний, утверждается руководителем организации и реализуется в рамках требований ст. 18.1 152-ФЗ и приказа Роскомнадзора № 178.

Ответственные лица и методика оценки. Оценку проводит ответственный за организацию обработки персональных данных или комиссия, состав и полномочия которых закреплены в приказе. Методика включает классификацию степеней вреда - высокая, средняя, низкая - и правило применения более высокой степени при совпадении критериев.

Оформление результатов и связь с мерами защиты. Результаты оценки оформляются актом оценки вреда и фиксируются в локальных документах организации; на их основании принимаются организационные и технические меры защиты и фиксируются протоколы решений. Обязательное документирование связи оценки и выбранных мер обеспечивает прослеживаемость и обоснованность применённых мероприятий.

Триггеры проведения и правила пересмотра. Пересмотр оценки проводится при вводе новых видов обработки, изменении целей обработки, появлении новых категорий специальных данных, смене обработчика или после инцидента, повлиявшего на безопасность. Периодичность и порядок пересмотра устанавливаются оператором и фиксируются в локальном акте с указанием ответственных и даты следующего контроля.

Раскрыть полностью

02 Ответственность

Административная ответственность, связанная с приказом об оценке вреда субъектам ПДн

Юридическое лицо (оператор) возможная административная ответственность по КоАП РФ при наличии состава правонарушения; суммы в источниках не указаны
Должностное лицо (руководитель, ответственный за обработку) возможная административная ответственность по КоАП РФ при наличии состава правонарушения; суммы в источниках не указаны
Индивидуальный предприниматель возможная административная ответственность по КоАП РФ при наличии состава правонарушения; суммы в источниках не указаны
Примечание в источниках по документу отсутствуют конкретные штрафные суммы, оценивайте риск и сохраняйте доказательства проведения оценки вреда

В предоставленных нормативных источниках нет прямых сумм штрафов за отсутствие или несоблюдение конкретного приказа об оценке вреда. При наличии состава административного правонарушения возможна ответственность по КоАП РФ в отношении оператора, должностных лиц или ИП. Типичные ошибки операторов, повышающие риск привлечения: отсутствие актов оценки, несвоевременное проведение оценки, неправильная квалификация степени вреда. Рекомендуется фиксировать акт оценки, участников и мотивировку выбора степени вреда для защиты при проверке.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие названия и запросы, которые используют при поиске или оформлении приказа об оценке вреда субъектам персональных данных.

Приказ об оценке вреда субъектам персональных данных
Приказ о проведении оценки вреда субъектам персональных данных
Приказ о порядке оценки вреда по 152-ФЗ
Приказ Роскомнадзора 178 оценка вреда
Приказ о назначении ответственного за оценку вреда
Приказ о создании комиссии по оценке вреда субъектов персональных данных
Форма приказа об оценке вреда субъектам персональных данных
Порядок проведения оценки вреда субъектам персональных данных
Оценка вреда и соотнесение с мерами защиты

04 Обязательное содержание

Чеклист содержимого приказа

Короткий перечень разделов и элементов, которые должны быть в приказе об оценке вреда субъектам персональных данных, чтобы документ выполнял свою функцию при проверке и в операционной работе.

Область применения и цель Четко сформулированы цель оценки и круг обрабатываемых персональных данных, условия, при которых инициируется оценка, а также указано, что порядок и периодичность определяются локальным актом; указание на утверждение приказа руководителем организации.
Ответственные лица и форма проведения Перечислены ответственный за организацию обработки либо состав комиссии, их полномочия и роль на каждом этапе оценки, регламентированы сроки и порядок принятия решений.
Критерии и шкала степеней вреда Описаны три степени вреда (высокая, средняя, низкая) с примерами ситуаций и правилами применения, включая правило выбора более высокой степени при совпадении критериев.
Форма акта оценки и обязательные реквизиты Установлена унифицированная форма акта оценки с обязательными элементами: объект оценки, выявленные риски, выбранная степень вреда и обоснование, принятые или рекомендуемые меры, дата и подписи уполномоченных лиц.
Порядок сопоставления вреда и мер защиты Зафиксирован алгоритм проверки соответствия выявленного вреда существующим организационным и техническим мерам и критерии, при которых требуются дополнительные меры или отказ от обработки.
Процедуры для граничных и нестандартных случаев Описаны действия при отсутствии однозначных данных, при совпадении нескольких сценариев, а также порядок эскалации споров к комиссии или внешним специалистам.
Хранение, доступ и триггеры пересмотра Указано место и режим хранения актов оценки, список сотрудников с правом доступа, ограничение доступа внутренним пользованием организации и события, которые инициируют пересмотр оценки.

05 Применимость

Кому и когда нужен приказ об оценке вреда субъектам ПДн

Краткие границы применимости приказа: кто обязан издавать документ, кто проводит оценку, какие случаи подпадают под оценку и где оформляются результаты. Указаны минимальные ориентиры для принятия локального решения при подготовке приказа.

Обязательность документа для оператора Документ обязателен для оператора персональных данных в рамках требований по оценке вреда и соотнесению вреда с мерами защиты; приказ формирует внутреннюю процедуру оценки и фиксирует ответственность за её исполнение.
Кому адресован внутри организации Приказ внутренний, применяется сотрудниками организации: руководством, ответственным за организацию обработки персональных данных и сотрудниками, участвующими в оценке; доступ к приказу и результатам ограничен в пределах организации согласно установленным правилам.
Кто проводит оценку и как назначается Оценку проводит ответственный за организацию обработки персональных данных либо комиссия, назначаемая локальным актом; в приказе указывают форму и порядок назначения исполнителей и порядок передачи материалов на утверждение.
Классификация степеней вреда и правила выбора степени Приказ закрепляет шкалу степеней вреда (высокая, средняя, низкая) и перечни случаев применения каждой степени; при совпадении нескольких степеней применяется более высокая степень.
Результат оценки и оформление актов Результаты оценки оформляют актом, в котором фиксируют вывод о степени вреда, обоснование и решения по требуемым организационным и техническим мерам защиты; акт служит основанием для последующих локальных актов и реализации мер.
Периодичность и соотнесение с локальными актами Периодичность проведения оценки и порядок пересмотра результата определяется оператором и фиксируется в локальном акте приказа или сопутствующих документах; приказ должен ссылаться на ответственных за регулярный пересмотр.

06 Нормативная база

Нормативная база для приказа об оценке вреда субъектам персональных данных

п. 5 ч. 1 ст. 18.1 152-ФЗ обязывает проводить оценку вреда субъектам персональных данных и соотносить оценённый уровень вреда с принимаемыми мерами защиты. Для приказа: закрепить методику оценки, критерии сопоставления вреда и мер, обязанность использовать результаты оценки при выборе и обосновании защитных мер.
п. 2 ч. 1 ст. 18.1 152-ФЗ предусматривает, что оператор издаёт локальные акты по вопросам обработки персональных данных. Для приказа: подтвердить статус локального акта, зафиксировать зоны ответственности, порядок и периодичность оценок, а также полномочия лиц, ответственных за исполнение.
приказ РКН № 178, п. 1 устанавливает, что оценку проводит ответственный за организацию обработки персональных данных либо созданная комиссия. Для приказа: назначить исполнителя оценки, описать процедуру формирования комиссии, её полномочия и требования к документированию выводов.
приказ РКН № 178, п. 2 определяет три степени вреда - высокая, средняя, низкая, причём перечни характерных случаев закрытые. Для приказа: зафиксировать используемую классификацию, ссылаться на применимые списки случаев или критерии и описать границы применения каждой степени.
приказ РКН № 178, п. 6 предписывает при наличии нескольких подходящих степеней вреда применять более высокую степень. Для приказа: установить правило выбора более высокой степени и указать, как это влияет на требования к мерам защиты и документальное оформление.
приказ РКН № 178, п. 3 требует оформления результатов оценки актом. Для приказа: обязать оформление акта оценки с указанием основания, обоснования выбранной степени вреда, перечня рассмотренных факторов и принятых мер, а также правил хранения и доступа к акту.
ст. 19 152-ФЗ устанавливает принцип подбора организационных и технических мер с учётом возможного вреда. Для приказа: увязать результаты оценки вреда с требованиями к мерам защиты, предусмотреть процедуру документального обоснования соответствия мер уровню вреда и контроль их исполнения.

Образец документа

Приказ об оценке вреда субъектам персональных данных

Регламентирует порядок оценки вреда: кто её проводит - ответственный за организацию обработки или комиссия - и какие результаты оформляют актом со степенью вреда. Документ обязателен для оператора, утверждается руков...

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа об оценке вреда субъектам персональных данных

План от принятия решения до рабочего контура и первой проверки. Каждый шаг содержит исполнителя и конкретный выходной документ для регистрации и последующей проверки.

1. Подготовка проекта приказа и регистрация проекта Ответственный за организацию обработки формирует проект приказа с обоснованием, кругом обязанностей и предложенной периодичностью оценки; регистрирует проект в журнале подготовки локальных актов. Результат на выходе: файл проекта приказа 'Приказ об оценке вреда субъектам персональных данных' и запись в журнале подготовки локальных актов.
2. Назначение ответственного или комиссии Руководитель организации оформляет приказ о назначении ответственного за организацию обработки либо комиссии для проведения оценки. Результат на выходе: приказ о назначении и регистрационная запись об исполнении поручения.
3. Разработка методики оценки и бланка акта Ответственный совместно с юристом по ПДн и специалистом по информационной безопасности разрабатывает методику оценки вреда, критерии квалификации степеней вреда и унифицированный бланк акта оценки. Результат на выходе: документ 'Методика оценки вреда субъектам ПДн' и бланк 'Акт оценки вреда'.
4. Проведение оценок и оформление актов Ответственный или комиссия проводит оценку конкретных обработок в соответствии с методикой, присваивает степень вреда (высокая, средняя, низкая), при совпадении нескольких степеней применяет более высокую; оформляет результаты актом. Результат на выходе: заполненные акты 'Акт оценки вреда субъектам ПДн' и запись в журнале оценки.
5. Утверждение результатов, внедрение мер и подготовка материалов для проверки Руководитель утверждает акты оценки и распоряжается о реализации организационных и технических мер защиты; ответственный формирует краткий отчет об исполнении и комплект для внутренней проверки. Результат на выходе: приказ/распоряжение об утверждении акта и мерах, отчет об исполнении, папка для проверяющего с копиями приказа о назначении, методики, акта оценки и регистрационных записей.

09 Актуализация

Поводы для переоценки вреда субъектам персональных данных

Конкретные события, после которых прежняя оценка вреда перестаёт быть достоверной и требуется повторная оценка с оформлением нового акта или изменением приказа. В описаниях указано, когда оценку проводят до ввода в эксплуатацию и какие результаты фиксируют.

Появилась новая цель обработки Запуск продукта, программы лояльности, скоринга, видеонаблюдения с распознаванием и другие новые цели меняют контекст рисков. Новая цель может изменить критерии определения степени вреда, поэтому оценку проводят до ввода цели в эксплуатацию и оформляют акт с выводом о требуемых мерах. Провести повторную оценку до запуска; оформить акт оценки; при изменении степени вреда внести изменение в приказ.
Начата обработка новой категории персональных данных Появление специальных категорий данных, биометрии или данных несовершеннолетних обычно вызывает скачкообразное повышение вреда. Оценку выполняют до начала обработки такой категории и документируют степень вреда и дополнительные меры. Провести оценку и оформить акт до передачи или запуска обработки новой категории; зафиксировать требования к мерам защиты.
Передача обработки подрядчику или изменение модели обработки Появление лица, выполняющего обработку по поручению, изменяет распределение ответственности и технические требования. Оценка нужна до подписания договора, чтобы в акте указать, какие меры и контрактные обязательства обязательны для подрядчика. Провести оценку до заключения договора; в акте зафиксировать распределение ответственности и требования к подрядчику; при необходимости скорректировать приказ.
Существенное увеличение числа субъектов или изменение состава базы Слияние, покупка клиентской базы, массовый набор персонала или иные изменения масштаба и состава выборки повышают потенциал ущерба и цену последствий. Это может повлечь пересмотр соотношения вреда и применяемых мер. Провести переоценку с учётом новых объёмов и характера выборки; оформить акт и при необходимости внести изменения в приказ или методику оценки.
Инцидент с персональными данными или смена ответственного/состава комиссии После утечки, несанкционированного доступа, утраты носителя либо при замене ответственного лица прежний акт может не отражать реальные угрозы и практические последствия. Также смена исполнителя требует обновления приказа, если исполнение процедуры было привязано к конкретному лицу. Провести внеплановую оценку и оформить акт немедленно после инцидента; при смене ответственного переиздать приказ с указанием нового исполнителя и сроков исполнения.

10 Проверка

Инспектор проверит

Документы и материалы проверки по приказу об оценке вреда субъектам персональных данных.

Вопрос 01 «Предъявите приказ об оценке вреда субъектам персональных данных.»
Вопрос 02 «Предъявите результаты проведённой оценки вреда и обоснование выбранной степени вреда.»
Вопрос 03 «Предъявите документы, подтверждающие состав исполнителей оценки.»
Вопрос 04 «Предъявите материалы соотнесения результатов оценки с мерами защиты.»
Вопрос 05 «Предъявите учётные записи о проведённых оценках и принятых решениях по ним.»

Инспектор при проверке, может запросить:

приказ об оценке вреда субъектам персональных данных, подписанный руководителем организации
акт оценки вреда субъектам персональных данных с указанием степени вреда и мотивировкой выбора
приказ о назначении ответственного за организацию обработки или протокол комиссии по оценке вреда
материалы сопоставления результатов оценки и перечень принятых организационных и технических мер
реестр оценок вреда субъектам персональных данных или журнал регистрации актов оценки с указанием дат и ответственных

11 Экспертная позиция

Практический риск при оценке вреда субъектам ПДн

Частая ошибка операторов - формализовать оценку вреда как набор галочек без объяснения, почему выбрана именно эта степень вреда. Если несколько степеней подходят, применяется более высокая степень, поэтому обязательна прозрачная методика и документированное обоснование выбора. Рекомендуется закрепить в приказе: шаблон акта оценки, матрица критериев для соотнесения случаев с закрытыми перечнями, состав исполнителей или комиссия с фиксированием конфликта интересов, порядок хранения доказательств и версия акта. Периодичность и ответственный фиксируйте в локальном акте. Храните протоколы и расчёты так, чтобы при проверке можно было быстро показать логику и источники решений.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу об оценке вреда субъектам ПДн

Приказ утверждает руководитель организации. Документ оформляется как локальный акт организации, в котором фиксируют полномочия ответственных и порядок проведения оценки.

Заказать приказ об оценке вреда субъектам персональных данных

Обязательный локальный приказ для оператора, основание: п. 5 ч. 1 ст. 18.1 152-ФЗ и приказ РКН № 178; утверждает руководитель, доступ внутренний. Закажите адаптацию приказа под вашу организацию вместе с комплектом документов для оформления оценки вреда: методика оценки со степенями вреда (высокая, средняя, низкая), форма акта оценки, шаблон приказа о назначении ответственного или комиссии, журнал регистрации оценок, краткая инструкция по применению и перечень типичных подтверждений. Пакет поможет правильно фиксировать выводы по степени вреда и собрать доказательства для внутренней проверки, периодичность определяете и фиксируете в локальном акте.

Скачать образец Заказать приказ и комплект документов