Приказ об утверждении перечня ПДн в ИСПДн: состав, требования и обоснование

Статус обязательный локальный акт при обработке персональных данных в ИСПДн организации
Основание ч. 5 ст. 5; п. 2 ч. 1 ст. 18.1 152-ФЗ
Публичность внутренний документ, действует в пределах организации
Кто утверждает руководитель организации
Обновлено июль 2026
Ответственный за документ ответственный за организацию обработки персональных данных
Область действия перечень применяется к всем ИСПДн и информационным процессам обработки ПДн внутри организации

01 Назначение

Краткое руководство по приказу об утверждении перечня ПДн для ИСПДн

Практические указания: что включить в перечень, кто утверждает, какие триггеры обновления и как проверить соответствие принципам обработки.

Назначение и зона действия. Приказ фиксирует официальный перечень персональных данных, обрабатываемых в конкретной информационной системе персональных данных (ИСПДн). Документ утверждает руководитель организации, действует внутри организации и назначает ответственного за организацию обработки персональных данных, который обеспечивает исполнение и контроль. При внедрении приказа уточняйте границы ИСПДн и соответствие перечня целям обработки.

Что должно быть в перечне. Перечень должен перечислять категории и конкретные поля персональных данных, соотносить каждую записи с целью обработки и правовым основанием, отмечать спецкатегории и биометрические данные, если они используются. Также указывают требуемый уровень защиты для каждой категории и краткое обоснование необходимости включения каждого поля, чтобы избежать избыточного сбора.

Триггеры пересмотра перечня. Перечень пересматривают при запуске новых сервисов или модулей ИСПДн, изменении целей обработки, изменении объема собираемых данных, при выявлении практической избыточности полей или по требованию регулятора. Также пересмотр требуется после инцидента безопасности, который выявил несоответствие реальных выгрузок утвержденному перечню.

Практические шаги по подготовке и проверке. Подготовьте табличный шаблон с колонками: категория ПД, конкретные поля, цель обработки, правовое основание, уровень защиты, источник данных, примечания. Сверьте табличный перечень с реальными выгрузками из ИСПДн и настройками форм ввода, проведите выборочную проверку соответствия и документируйте обнаруженные расхождения. Типичные ошибки: отсутствие привязки к цели, неучёт спецкатегорий, дублирование полей и отсутствие обоснования каждой позиции. После согласования оформите приказ и назначьте ответственного за поддержание актуальности.

Раскрыть полностью

02 Ответственность

Ответственность за обработку ПДн без правового основания, релевантная приказу об утверждении перечня ПДн (ч. 1 ст. 13.11 КоАП РФ)

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Отсутствие или неполнота приказа увеличивают риск квалификации обработки ПДн как осуществляемой без правового основания и привлечения по ч. 1 ст. 13.11 КоАП РФ; ответственность может наступать в отношении организации, должностного лица и привлекаемого физического лица. Типичные ошибки: неполное перечисление категорий ПДн, несоответствие целей и объема требованиям ч. 4 и ч. 5 ст. 5 152-ФЗ, отсутствие соотнесения приказа с регистрами и настройками ИСПДн. Практическая рекомендация для снижения риска: обеспечить обоснование объема данных, документальную привязку перечня к целям обработки и регистрация фактов исполнения приказа.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие варианты названий и поисковые фразы, которые используют сотрудники и службы при обозначении приказа об утверждении перечня ПДн в ИСПДн. Уточняйте в названии, что речь о данных в информационных системах, чтобы не смешивать с приказами для бумажной обработки или с публичными перечнями сведений об операторе.

Приказ об утверждении перечня персональных данных, обрабатываемых в ИСПДн
Приказ о перечне персональных данных в информационных системах
Приказ об утверждении состава обрабатываемых персональных данных
Приказ об утверждении категорий обрабатываемых персональных данных
Приказ об утверждении перечня персональных данных работников
Приказ об утверждении перечня персональных данных клиентов
Приказ о составе и содержании персональных данных
Перечень обрабатываемых персональных данных
Приказ о перечне ПДн в корпоративной ИСПДн
Приказ об утверждении списка обрабатываемых персональных данных

04 Обязательное содержание

Что должно быть в приказе о перечне персональных данных в ИСПДн

Короткий чеклист ключевых элементов приказа, необходимых для обоснованной и проверяемой эксплуатации ИСПДн. Пункты фокусируются на содержании приказа, ролях и граничных случаях.

Утверждённая редакция и подпись руководителя В приказе должна быть указана дата утверждения, наименование утверждающего лица и подпись руководителя организации, а также ссылка на ответственное лицо за документ и хранение редакций.
Перечень полей ПДн с указанием цели и обоснования Для каждого поля персональных данных должен быть указан цель обработки и обоснование необходимости данных в рамках этой цели, чтобы исключить избыточный объём собираемых сведений.
Классификация особых категорий и биометрии Если в перечень входят спецкатегории или биометрические данные, это должно быть явно отмечено с отдельным обоснованием допуска их обработки и указанием повышенных требований к защите и доступу.
Роли и ответственные лица по обработке В приказе должна быть таблица ролей: ответственный за организацию обработки персональных данных и иные внутренние ответственные лица с зонами ответственности по сбору, доступу и передаче данных.
Порядок выгрузок, передач и основания для них Документ должен описывать случаи и условия выгрузок или передач данных, указывать основания для передачи и требования минимизации объёма передаваемых сведений.
Процедура внесения изменений и версия контроля Должна быть регламентирована последовательность внесения изменений в перечень, критерии для изменения (новые цели, новые системы, изменения нормативов) и механизм фиксации и публикации новой редакции.
Граничные случаи и запреты на включение данных Перечислены сценарии, когда поле не должно входить в перечень без дополнительного обоснования - например обработка для целей, не предусмотренных законом, или потенциально избыточные поля; для таких случаев требуется отдельное документальное обоснование.

05 Применимость

Кому и когда требуется приказ об утверждении перечня ПДн в ИСПДн

Кратко о том, для каких подразделений и при каких условиях приказ обязателен или желателен. Документ - локальный, внутренний акт организации, утверждается руководителем и ведётся ответственным за организацию обработки персональных данных.

Органы и подразделения, для которых приказ обязателен Приказ обязателен для организации и её филиалов, эксплуатирующих интегрированную систему персональных данных (ИСПДн) при обработке персональных данных в этой системе; приказ закрепляет перечень полей ПДн, их назначение и границы обработки. Утверждает приказ руководитель организации, эксплуатацию и актуализацию ведёт ответственный за организацию обработки персональных данных.
Триггеры издания и актуализации приказа Издавать или обновлять приказ при вводе ИСПДн в эксплуатацию; при изменении целей обработки или состава обрабатываемых категорий ПДн; при подключении новых систем, сервисов или внешних обработчиков; при смене ответственного за обработку персональных данных.
Случаи, когда приказ желателен и дополняет другие акты Приказ служит внутренним документом, который конкретизирует положенную в организации политику по ПДн и дополняет регламенты, соглашения с обработчиками и технические инструкции. Он не заменяет требования по объёму и категориям данных и требования для спецкатегорий и биометрии.
Когда приказ не применяется При отсутствии обработки персональных данных в ИСПДн или при обработке только анонимизированных сведений приказ не требуется. Для иных форм обработки может потребоваться другой локальный акт, регламент или договор, а не этот приказ.

06 Нормативная база

Нормативная база для приказа об утверждении перечня ПДн в ИСПДн

ч. 4 ст. 5 152-ФЗ Приказ должен фиксировать только те категории персональных данных, которые прямо соотносятся с целями обработки в ИСПДн. Для каждой категории укажите цель обработки и ограничения по использованию, чтобы исключить включение нерелевантных сведений.
ч. 5 ст. 5 152-ФЗ Приказ устанавливает требования к объёму и содержанию данных, исключая избыточные поля. В приказе полезно указать обоснование включения каждого поля и минимально необходимый набор для типовых операций и выгрузок из систем.
п. 2 ч. 1 ст. 18.1 152-ФЗ Этот локальный акт издаётся руководителем организации как обязательный документ по вопросам обработки ПДн. Приказ должен назначать ответственного за перечень, регламентировать процедуру утверждения и внесения изменений и ссылаться на применимые меры по обеспечению безопасности ИСПДн.
ст. 10, ст. 11 152-ФЗ Если в перечень включены специальные категории или биометрические данные, приказ должен предусмотреть для них отдельный режим обработки и документальное обоснование включения, с учётом ограничений и дополнительных мер защиты.
ст. 19 152-ФЗ, ПП РФ № 1119 При составлении перечня учитывают категорию и объём данных для определения уровня защищённости ИСПДн. Приказ связывает конкретные категории с требованиями по защите и служит основанием для выбора технических и организационных мер.
ч. 3 ст. 22 152-ФЗ Сведения о категориях ПДн, утверждённых приказом, должны быть согласованы с данными, заявляемыми оператором в уведомлении. Приказ обеспечивает совместимость внутреннего перечня с информацией, объявляемой о деятельности оператора.
ч. 1 ст. 13.11 КоАП Документ помогает предотвратить административную ответственность за избыточную или несовместимую обработку: приказ фиксирует критерии допустимости, распределяет ответственность за контроль соответствия перечня целям и документирует меры проверки.

Образец документа

Приказ об утверждении перечня персональных данных, обрабатываемых в ИСПДн

Утверждает руководитель организации, ведёт ответственный за организацию обработки персональных данных. Приказ фиксирует приложенный перечень категорий ПДн, обоснование объема и связь каждой категории с требуемыми...

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа об утверждении перечня ПДн в ИСПДн

Порядок действий от решения о подготовке приказа до первой проверки исполнения. В каждом шаге указаны исполнитель и документ для хранения в деле документа.

1. Инициирование и постановка задачи Руководитель принимает решение о подготовке приказа и поручает ответственному за организацию обработки персональных данных собрать исходную информацию. На выходе - распоряжение или служебная записка с указанием сроков и состава исполнителей.
2. Сбор и формирование чернового перечня по ИСПДн Ответственный совместно с владельцами систем формирует таблицу по каждой ИСПДн: наименование системы, цели обработки, классы и категории данных, основания и источники получения. документ - файл перечня в стандартизированном шаблоне.
3. Привязка категорий данных к уровню защищенности Служба информационной безопасности оценивает категории данных по критериям защищенности и указывает требуемые меры для каждой записи перечня. На выходе - пометка уровня защищенности и ссылка на акт определения уровня.
4. Подготовка проекта приказа и приложений Ответственный оформляет текст приказа с приложением - утвержденным перечнем и указанием ответственных за обновление. Формируется версия для согласования с юридическим отделом и службой ИБ.
5. Утверждение приказа и доведение до подразделений Руководитель подписывает приказ, устанавливает дату введения в действие и ответственных за исполнение. Ответственный организует рассылку приказа и размещение в внутреннем реестре документов.
6. Первая проверка исполнения и хранение результатов Проводится выборочная сверка содержания ИСПДн с утвержденным перечнем. В дело кладут приказ с приложением, протокол сверки, реестр замечаний и план корректирующих действий. Ответственный фиксирует результаты и сроки устранения несоответствий.

09 Актуализация

Триггеры для обновления приказа о перечне ПДн в ИСПДн

Состав персональных данных может изменяться незаметно: новое поле в форме или подключённый сервис становятся причиной несоответствия приказа. Перечень должен корректироваться по конкретным поводам до начала новой обработки и фиксироваться в деле документа.

Появление новой цели обработки Запуск рассылки, программы лояльности, видеонаблюдения или аналитики меняет цель обработки и набор требуемых полей. Перечень дополняют до начала такой обработки, чтобы обеспечить соразмерность и избежать избыточности. До запуска обновить приказ, согласовать новую цель с ответственными за ИСПДн и ИБ, зафиксировать изменения в реестре ИСПДн.
Добавление поля в форме или анкете Любое новое поле в заявке, анкете или кадровом документе (например, дата рождения, место работы, основание для отпуска) изменяет состав ПДн. Это самый частый и легко пропускаемый триггер. Перед вводом поля в продуктив обновить приказ с указанием категории и минимально необходимого объёма данных, оповестить подразделения, формирующие данные.
Подключение новой системы, сервиса или интеграции Внедрение CRM, мессенджера, облачного сервиса или новой интеграции приводит к появлению новых полей и точек доступа. Сначала систему вносят в реестр ИСПДн, затем фиксируют состав ПДн по этой системе. Включить систему в реестр ИСПДн, собрать перечень полей от поставщика и разработчиков, актуализировать приказ и согласовать меры защиты с ИБ.
Появление спецкатегорий или биометрии Появление сведений о здоровье, судимости или биометрических данных требует отдельного правового основания и отдельных правил учёта. Такие данные подлежат особым режимам и повышенным мерам защиты. Выделить спецкатегории в отдельный раздел приказа, указать правовое основание и уровень защищённости, согласовать изменения с юридическим отделом и ИБ.
Изменение нормативных или организационных требований, инцидент безопасности Изменение законодательства или подзаконных актов, результаты оценки вреда, а также инцидент утечки или иная ошибка обработки могут сделать перечень несоответствующим действующим требованиям и уровню риска. Провести сверку приказа с новой нормой или результатами оценки, при необходимости подготовить приказ-обновление и довести изменения до ответственных подразделений.

10 Проверка

Инспектор проверит

Вопросы для документарной проверки приказа об утверждении перечня персональных данных, обрабатываемых в ИСПДн организации.

Вопрос 01 «Предъявите приказ об утверждении перечня персональных данных, обрабатываемых в ИСПДн.»
Вопрос 02 «Какие категории персональных данных включены в перечень и как обоснована их необходимость для заявленных целей?»
Вопрос 03 «Как в приказе учтены особенности обработки специальных категорий и биометрических данных?»
Вопрос 04 «Где в приказе указаны ИСПДн и назначены ответственные за обработку персональных данных?»
Вопрос 05 «Как приказ соотнесён с мерами по обеспечению безопасности обработки персональных данных?»

Инспектор при проверке, может запросить:

приказ с подписью руководителя и датой, утверждающий перечень персональных данных для ИСПДн
перечень категорий персональных данных в структурированном виде и обоснительная записка с указанием целей обработки
пункты приказа с перечислением спецкатегорий и биометрических данных и указанием применимых режимов обработки
фрагменты приказа с наименованиями ИСПДн и назначением ответственных лиц (Ф.И.О., должности)
указание в приказе на применимые меры защиты и ссылки на соответствующие локальные процедуры и требования уровня защищённости

11 Экспертная позиция

Риск избыточности и как его нейтрализовать

Типичная проблема при утверждении перечня ПДн для ИСПДн - внесение полей без явной привязки к цели и правовому основанию. Это приводит к избыточной обработке, неоправданному расширению доступа и к необходимости более строгих мер защиты для отдельных категорий данных. Практический приём: для каждой записи в перечне зафиксировать цель обработки и правовое основание, присвоить категорию данных и соответствующий уровень защищённости ИСПДн, назначить ответственного за поддержание перечня и прописать чёткие триггеры пересмотра (смена цели, внедрение нового сервиса, появление новых категорий). Особое внимание - спецкатегории и биометрия, а также соразмерность объёма данных заявленным целям.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - приказ об утверждении перечня ПДн в ИСПДн

Да. Приказ является обязательным локальным актом при обработке персональных данных в ИСПДн и утверждается руководителем организации. Наличие локального акта помогает исполнить требования мер по обеспечению безопасности.

Заказать приказ и комплект локальных нормативных актов для перечня персональных данных в ИСПДн

Закажите подготовку приказа об утверждении перечня персональных данных для вашей ИСПДн и комплект локальных нормативных актов, адаптированных под организацию. В комплект входят проект приказа с приложением перечня категорий ПДн и обоснованием объёма, журнал учёта категорий, шаблоны доказательств для проверки (скриншоты, логи, ссылки) и инструкция для ответственного за обработку. Поможет сформировать доказательную базу и сократить избыточный объём данных.

Скачать образец Заказать приказ и комплект локальных нормативных актов