Главная

Приказ об утверждении перечня лиц с доступом к персональным данным

Приказ фиксирует утверждённый список лиц с доступом к персональным данным, который утверждает руководитель и ведёт уполномоченное лицо по защите персональных данных или служба информационной безопасности. Список применяется к носителям и всем категориям лиц, включая работников и подрядчиков, и используется при кадровых изменениях, отзыве прав и расследовании инцидентов.

Скачать образец документа

Статус обязательный
Основание п. 13 ПП РФ № 687, ст. 19 152-ФЗ
Публичность внутренний документ, доступ ограничен сотрудникам и уполномоченным подрядчикам
Кто утверждает руководитель организации
Ответственный за ведение уполномоченное лицо по защите персональных данных или служба информационной безопасности
Область действия перечень применяется к носителям персональных данных и всем категориям лиц с доступом, включая работников и подрядчиков
Актуальность / обновлено июль 2026

01 Назначение

Приказ об утверждении перечня лиц с доступом к персональным данным

Краткие указания по содержанию, области действия и поддержанию перечня лиц с доступом к ПД

Назначение приказа. Приказ формализует перечень лиц, допущенных к персональным данным, и фиксирует места хранения носителей. Документ нужен для обоснования доступа при выборе и применения организационно-технических мер защиты, а также для распределения ответственности между руководителем, уполномоченным лицом по защите ПД и службой информационной безопасности.

Область действия и границы. Приказ распространяется на все носители персональных данных и на категории лиц с доступом - сотрудников, временно допускаемых лиц и подрядчиков. В тексте указывают границы доступа по функциям и по физическим и информационным местам хранения, а также порядок доступа для подрядных организаций и ограничения, связанные с трудовым законодательством и конфиденциальностью сведений о работниках.

Содержание приказа и связанные документы. В составе приказа оформляют реестр лиц с указанием должности, полномочий, объема доступа и основания (приказ о допуске, трудовой договор, договор с подрядчиком). Приказ должен ссылаться на места хранения носителей, правила учета и выдачи средств доступа, правила работы с учетными записями и меры управления средствами аутентификации, а также на сопроводительные инструкции и журналы учета доступа.

Поддержание, контроль и ответственность. Перечень и связанные приказы пересматривают при кадровых изменениях, при смене подрядчиков и после выявленных инцидентов; при инциденте действует обязанность уведомления в установленный срок. В приказе закрепляют порядок отзыва доступа при увольнении или смене роли, требования к учёту действий с носителями и ответственность за нарушения, в том числе дисциплинарную и административную.

Раскрыть полностью

02 Ответственность

Административная ответственность при массовой утечке персональных данных, релевантная отсутствию или неполноте приказа

ч. 13 ст. 13.11 КоАП РФ - утечка данных 10 000 - 100 000 субъектов

Юридическое лицо 5 000 000 - 10 000 000 ₽
Должностное лицо 300 000 - 500 000 ₽
Физическое лицо (гражданин) 200 000 - 300 000 ₽

При недостатках в приказе об утверждении перечня лиц с доступом доказать принятые организационные и технические меры сложнее, что повышает риск применения административных санкций при массовой утечке. Практические рекомендации: вести актуальные записи о доступах и местах хранения носителей, хранить подтверждения назначения и обучения лиц с доступом, документировать меры управления средствами аутентификации - это снижает правовой риск и облегчает работу при проверке и расследовании инцидента.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Частые поисковые и разговорные названия приказа, который утверждает конкретный список лиц с доступом к персональным данным и закрепляет основания допусков.

Приказ об утверждении перечня лиц с доступом к персональным данным
Приказ о допуске сотрудников к обработке персональных данных
Приказ об утверждении списка допущенных к персональным данным
Перечень лиц, имеющих доступ к персональным данным
Список сотрудников, допущенных к обработке персональных данных
Приказ о допуске работников к персональным данным
Приказ о допуске подрядчиков к персональным данным
Приказ об утверждении списка пользователей с доступом к базе персональных данных

04 Обязательное содержание

Что должно быть в приказе

Чеклист ключевых разделов и элементов приказа, необходимых для оформления и контроля перечня лиц с доступом к персональным данным.

Реквизиты приказа и утверждение номер и дата приказа, подпись руководителя, указание лица, ответственого за ведение перечня (уполномоченное лицо по защите ПДн или служба ИБ), а также ссылка на основание принятия приказа.
Таблица лиц с доступом структурированная таблица с колонками: ФИО, должность, категория доступа, основания доступа (должностная инструкция, договор и т.п.), перечень носителей или систем, к которым предоставлен доступ.
Перечень носителей и мест хранения перечень типов носителей и конкретных мест хранения данных, сопоставление каждой категории носителя с допустимыми лицами и ограничениями по доступу.
Роли, полномочия и ответственность описание ролей (кто выдаёт и отзывает доступы), полномочий ответственных лиц, порядок документального оформления выдачи прав и последствия за нарушения обязанностей.
Технические и организационные меры контроля доступа перечень применяемых мер контроля доступа: требования к аутентификации, ведение учёта учётных записей, порядок управления учётными записями и условия доступа подрядчиков.
Порядок отзыва доступа и действия при инцидентах алгоритм отзыва доступов при увольнении или расторжении договора с подрядчиком, действия при утечке или инциденте, ответственные лица и сроки уведомления уполномоченных органов.

05 Применимость

Область применения приказа об утверждении перечня лиц с доступом к персональным данным

Кратко - для внутренних процедур организации, в которых требуется формализовать кто имеет доступ к персональным данным и на каких носителях. Приказ применяется при организации хранения и выдачи доступа сотрудникам и подрядчикам.

Кому необходим приказ Юридическим лицам и индивидуальным предпринимателям, обрабатывающим персональные данные в интересах организации; приказ предназначен для внутренних пользователей и уполномоченных подрядчиков, которым требуется доступ к носителям персональных данных.
Нормативная обязательность Приказ обязателен в части формализации перечня лиц и мест хранения носителей персональных данных на основании требований по организации мер защиты персональных данных.
Область действия перечня Перечень применяется к конкретным носителям персональных данных и ко всем категориям лиц с доступом, включая работников организации и привлекаемых подрядчиков; он должен соотноситься с реальными местами хранения и средствами обработки.
Случаи создания и обновления приказа Приказ оформляется при вводе в эксплуатацию новых носителей или систем, при приеме, переводе или увольнении сотрудников, при выдаче временного доступа подрядчикам, по результатам внутреннего аудита и при выявлении инцидента информационной безопасности; при инциденте возможны срочные корректировки в составе лиц и правах доступа.
Кто утверждает и кто ведет перечень Руководитель организации утверждает приказ, ответственное за ведение лицо - уполномоченное по защите персональных данных или служба информационной безопасности; за нарушение требований о порядке обработки и разглашении персональных данных предусмотрена ответственность, включая дисциплинарную и административную.
Границы применения и сопряжённые документы Приказ не заменяет регламенты управления доступом, договоры с подрядчиками и технические процедуры учёта и управления учетными данными; для управления средствами аутентификации и комплексного контроля доступа применяются отдельные нормативные акты и регламенты.

06 Нормативная база

Нормативная основа для приказа об утверждении перечня лиц с доступом к персональным данным

п. 13 ПП РФ № 687 обязывает для каждой категории персональных данных определить места хранения носителей и установить перечень лиц с доступом; для приказа это означает необходимость зафиксировать категории данных, места хранения носителей и конкретный состав работников и подрядчиков с указанием объема доступа
ст. 19 152-ФЗ требует реализации организационных и технических мер по обеспечению безопасности, включая ограничение доступа; приказ служит документом организационного закрепления мер, распределения обязанностей за ведение перечня и контроля соблюдения правил доступа
приказ ФСТЭК № 21 регламентирует управление средствами аутентификации и контроля доступа; в приказе следует зафиксировать требования к выдаче, отзыву, учету и контролю средств доступа для лиц, включаемых в перечень
ч. 3.1 ст. 21 152-ФЗ определяет несанкционированный доступ как инцидент и устанавливает сроки уведомления уполномоченных органов; утвержденный перечень облегчает идентификацию затронутых лиц и подготовку сведений, необходимых для своевременного уведомления
ст. 88 ТК РФ ограничивает передачу сведений о работнике третьим лицам без письменного согласия; приказ должен отражать границы доступа к кадровым данным и условия допуска подрядчиков и внутренних подразделений
ст. 90 ТК РФ устанавливает ответственность работодателя за нарушение правил обработки персональных данных работников; наличие формализованного перечня помогает точно определить ответственных лиц и основания для применения дисциплинарных или иных мер
ст. 24 152-ФЗ предусматривает ответственность за несоблюдение требований законодательства о персональных данных; приказ, фиксирующий перечень лиц и порядок допусков, является одним из доказательств применения организационных мер защиты при проверках и расследованиях

Образец документа

Приказ об утверждении перечня лиц с доступом к персональным данным

Утверждает перечень работников и иных уполномоченных лиц, которым предоставлен доступ к персональным данным, и определяет необходимость такого доступа в пределах их должностных или служебных обязанностей

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Внедрение приказа об утверждении перечня лиц с доступом к персональным данным

Обязательный внутренний приказ, утверждается руководителем. Ведение приказа - уполномоченное лицо по защите персональных данных или служба информационной безопасности. Перечень применяется к работникам и уполномоченным подрядчикам и включает места хранения носителей персональных данных.

1. Принятие решения и подготовка проекта приказа Руководитель принимает решение о введении приказа. Уполномоченное лицо по ПДн готовит проект приказа с указанием наименования документа, области действия, ответственных лиц и формата перечня. Результат на выходе - файл «Проект приказа об утверждении перечня лиц с доступом к персональным данным».
2. Сбор и оформление данных о лицах и местах хранения Уполномоченное лицо по ПДн совместно со службой ИБ и HR собирает сведения о категориях работников и подрядчиках, их должностях, зонах доступа и местах хранения носителей. Результат на выходе - документ «Проект перечня лиц с доступом» и приложение «Матрица мест хранения носителей ПДн».
3. Проверка правовой основы и наличие согласий Юрисконсульт и HR проверяют необходимость письменных согласий работников и соответствие оформления доступа требованиям трудового законодательства и внутренним правилам. Результат на выходе - записи в личных делах или реестр согласий, при наличии, с указанием ссылок на документы трудовых отношений.
4. Утверждение приказа и ввод в действие Руководитель подписывает приказ. Служба ИБ и HR обеспечивают доведение приказа до лиц, включенных в перечень, и фиксируют факты ознакомления. Результат на выходе - подписанный документ «Приказ об утверждении перечня лиц с доступом к персональным данным» и журнал ознакомления с приказом.
5. Ведение учета, проверка исполнения и первый контроль Уполномоченное лицо по ПДн организует ведение журналов выдачи и отзыва доступа, проводит первую плановую проверку соответствия перечня фактическим правам доступа и оформляет протокол проверки. Результат на выходе - протокол проверки с приложением: копия приказа, актуальный перечень лиц и журнал учета выданных и отозванных доступов.

09 Актуализация

Поводы для обновления перечня лиц с доступом к персональным данным

Перечень лиц с доступом к персональным данным изменяется главным образом при кадровых событиях, но также требует пересмотра после инцидентов и организационных изменений. Обновления должны синхронизироваться с отзывом учётных записей и учётом носителей, несоответствия фиксируются и документируются.

Увольнение работника Исключение из перечня должно быть оформлено в день увольнения и совпадать по времени с отзывом учётных записей и возвратом носителей. Разрыв между изменением перечня и отключением доступа - частая причина утечки и предмет проверок. Оформить приказ об изменении перечня, отозвать учётные записи, зафиксировать возврат носителей в журнале учёта
Перевод сотрудника или изменение функций подразделения При смене должностных обязанностей или при перераспределении функций у группы людей меняются основания допуска. Типовая ошибка - оставить старые права в дополнение к новым, что приводит к накоплению избыточных доступов. Провести пересмотр прав доступа и обновить записи в перечне, скорректировать учётные записи и их роли
Принятие нового работника Включение в перечень должно быть оформлено до первого рабочего дня с указанием мест хранения носителей и перечня допускаемых действий. Поздняя регистрация оставляет первые рабочие дни формально вне контроля доступа. Внести сведения о новом сотруднике в приказ до начала работы, назначить минимально необходимый доступ
Инцидент безопасности или подтверждённая утечка ПДн После инцидента проводится пересмотр перечня для выявления скомпрометированных учётных записей и носителей, при необходимости доступы временно приостанавливаются или отзываются, изменения документируются и учитываются при уведомлении уполномоченных органов. Инициировать пересмотр перечня, временно приостановить или отозвать доступы, задокументировать изменения и результаты проверки
Плановая сверка перечня с кадровыми данными и учётными записями Сверка перечня со штатным расписанием и фактическими учётными записями выявляет рассогласования в допусках, помогает своевременно удалить неактуальные записи и зафиксировать изменения в приказе. Провести сверку и оформить изменения в приказе, зафиксировать выявленные расхождения и корректирующие меры

10 Проверка

Инспектор проверит

Документы и материалы проверки, подтверждающие наличие и порядок ведения приказа об утверждении перечня лиц с доступом к персональным данным.

Вопрос 01 «Предъявите приказ об утверждении перечня лиц с доступом к персональным данным.»
Вопрос 02 «Предъявите перечень лиц с доступом к персональным данным и основания их доступа.»
Вопрос 03 «Предъявите документы о назначении ответственного за ведение перечня и порядке его ведения.»
Вопрос 04 «Предъявите записи по управлению учётными записями и правами доступа у лиц из перечня.»
Вопрос 05 «Предъявите документы, регламентирующие доступ подрядчиков и действия при инцидентах с участием лиц из перечня.»

Инспектор при проверке, может запросить:

приказ об утверждении перечня лиц с подписью руководителя, датой утверждения и регистрационными сведениями внутреннего документооборота
перечень лиц с указанием должностей, категории доступа, оснований доступа (трудовые договоры, приказы, доверенности) и мест хранения носителей персональных данных
приказ о назначении уполномоченного лица, должностная инструкция или положение об обязанностях по ведению перечня, журнал учёта изменений перечня
реестры учётных записей и прав доступа, журналы выдачи и аннулирования доступов, логи аутентификации и распоряжения на выдачу доступа
договоры с подрядчиками с условиями доступа к персональным данным и приложениями с перечнями уполномоченных сотрудников подрядчика, регламент реагирования на инциденты с указанием сроков уведомления

11 Экспертная позиция

Риск устаревания и ненадлежащего управления правами доступа

Приказ часто превращается в «архив прав»: в перечне остаются бывшие сотрудники и подрядчики, не прописаны места хранения носителей и триггеры отзыва доступа. Это увеличивает вероятность несанкционированного доступа и осложняет расследование инцидента. Рекомендуется привязать перечень к каталогам носителей и средствам аутентификации, зафиксировать триггеры деактивации, регламенты сверки с HR и подрядчиками и требования к журналированию доступа и доказательствам проверок.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу об утверждении перечня лиц с доступом к персональным данным

Да. Приказ необходим как один из элементов организации мер защиты персональных данных: в него вносят категории носителей и утверждают круг лиц, имеющих доступ, что следует из требований по определению мест хранения носителей и перечней лиц для каждой категории данных.

Заказать приказ об утверждении перечня лиц с доступом к персональным данным

Закажите приказ, оформленный под вашу организацию, и комплект документов для внедрения и подтверждения доступа. В комплект входят: готовый текст приказа, журнал регистрации лиц с доступом, положение о порядке доступа и инструкции по ведению. Также поставляется комплект доказательств для проверки: заверенный приказ, URL на систему, скриншоты и логи доступа. Приказ учитывает, что документ обязателен и утверждается руководителем, ведение поручается уполномоченному по защите персональных данных или службе информационной безопасности.

Скачать образец Заказать приказ и комплект локальных нормативных актов

Приказ об утверждении перечня лиц с доступом к персональным данным

Приказ об утверждении перечня лиц с доступом к персональным данным

Административная ответственность при массовой утечке персональных данных, релевантная отсутствию или неполноте приказа

Как ещё называют этот документ

Что должно быть в приказе

Область применения приказа об утверждении перечня лиц с доступом к персональным данным

Нормативная основа для приказа об утверждении перечня лиц с доступом к персональным данным

Связанные документы и роли в комплекте доступа

Связанные документы

Внедрение приказа об утверждении перечня лиц с доступом к персональным данным

Поводы для обновления перечня лиц с доступом к персональным данным

Инспектор проверит

Риск устаревания и ненадлежащего управления правами доступа

Частые вопросы по приказу об утверждении перечня лиц с доступом к персональным данным

База знаний содержит 268 документов

Заказать приказ об утверждении перечня лиц с доступом к персональным данным

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями