Заявление на право использования съёмного носителя: что указывать, требования

Статус рекомендуемый документ, критичен для безопасного обращения с персональными данными при работе со съёмными носителями
Основание ст. 19 ФЗ-152, приказ ФСТЭК № 21 - требования к организационным и техническим мерам защиты при переносе данных
Публичность внутренний документ, доступ для сотрудников в рамках корпоративного контура
Кто утверждает руководитель организации
Ответственный ответственный за организацию обработки персональных данных или служба информационной безопасности
Область применения регламентирует порядок получения разрешения и условия использования съёмных носителей для переноса и выгрузки данных…
Обновлено июль 2026

01 Назначение

Заявление на право использования съёмного носителя: назначение и ключевые требования

Краткое руководство для сотрудников и ответственных лиц по оформлению, согласованию и безопасному использованию съёмных носителей при переносе данных, включая персональные данные

Когда требуется заявление. Заявление оформляют при необходимости вывоза или переноса данных за пределы рабочего контекста, выгрузки данных из информационной системы или подключении внешнего носителя к служебному рабочему месту. Документ служит основанием для оценки обоснованности выгрузки и определения минимально необходимого объёма данных перед предоставлением доступа к носителю.

Роли и порядок утверждения. Руководитель организации утверждает общие правила выдачи разрешений, непосредственное согласование выполняет ответственный за организацию обработки персональных данных или служба информационной безопасности. Сотрудник подаёт заявление через установленную форму, после чего решение фиксируется в журнале выдачи носителей и в личном деле сотрудника в части доступа к данным.

Обязательные элементы заявления. В заявлении указывают цель использования носителя, обоснование объёма выгружаемых данных, срок хранения и порядок возврата или уничтожения, идентификационные данные носителя и ответственного сотрудника, перечень средств защиты, планируемых к применению. Чёткая фиксация этих полей помогает проверить соответствие принципу минимизации и избежать избыточной передачи персональных данных.

Требования к защите и учёту носителей. Разрешённые к использованию носители должны быть защищены средствами криптозащиты, помечены и зарегистрированы в учётной системе; доступ к данным реализуется через управляемые средства аутентификации. При организации переноса применяют базовый набор организационных и технических мер по уровню защищённости, включая антивирусную проверку и контроль подключаемых устройств.

Контроль, инциденты и ответственность. Ведут журнал выдачи и возврата носителей, периодически проводят инвентаризацию и контроль целостности данных; при утечках и инцидентах действуют процедуры оповещения и расследования с регистрацией событий в учёте инцидентов. Соответствие процедурам и сроки уведомления об инциденте устанавливаются нормативными требованиями, нарушение может влечь дисциплинарную или административную ответственность.

Раскрыть полностью

02 Ответственность

Ответственность за утечку персональных данных при использовании съёмных носителей

ч. 13 ст. 13.11 КоАП РФ - утечка данных 10 000 - 100 000 субъектов

Юридическое лицо 5 000 000 - 10 000 000 ₽
Должностное лицо 300 000 - 500 000 ₽
Физическое лицо (гражданин) 200 000 - 300 000 ₽

Приведённые суммы соответствуют административной ответственности за массовую утечку персональных данных в указанном диапазоне количества затронутых субъектов. Типичные ошибки, повышающие риск привлечения: выдача съёмных носителей без письменного разрешения и учёта, отсутствие шифрования и привязки носителя к пользователю, несоблюдение процедур возврата и отсутствие регистрационных журналов. Задержка с уведомлением о инциденте и отсутствие доказательной базы затрудняют смягчение ответственности. Для уменьшения риска используйте обязательные письменные заявления сотрудников, журнал выдачи и возврата, криптозащиту и контроль аутентификации в соответствии с требованиями по уровню защищённости.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Альтернативные названия для формы запроса на выдачу и использования съёмного носителя. В заявлении обычно указывают обоснование операции, объём переносимых данных, срок разрешения, требования по защите и согласующие подписи.

Заявление на право использования съёмного носителя
Заявление на использование флешки
Заявка на выдачу съёмного носителя
Заявление на выдачу флеш-накопителя
Разрешение на использование флеш-накопителя
Форма заявки на работу со съёмным носителем
Служебная записка на выдачу флешки
Заявление на подключение съёмного носителя к ИСПДн

04 Обязательное содержание

Содержание заявления на право использования съёмного носителя

Краткий чеклист обязательных разделов и документов и материалов, необходимых чтобы заявление работало как документ для выдачи разрешения на перенос данных с использованием съёмных носителей.

Сведения о заявителе и ответственных ФИО, должность и подразделение заявителя, контактные данные, а также указание ответственного за организацию обработки персональных данных или службы информационной безопасности, контакт для оперативной связи.
Обоснование необходимости и минимизация объёма данных Цель переноса, обоснование необходимости выгрузки, перечень типов и предполагаемый объём данных с подтверждением, что передаваемые данные ограничены минимально необходимым для цели.
Перечень носителей и требуемые технические меры Указание типа и серийных номеров носителя, требования к защите носителя в момент хранения и переноса: шифрование, управление доступом и средствами аутентификации, антивирусная защита и контроль целостности, совместимость с корпоративными требованиями по защищённости.
Порядок выдачи, согласования и срок действия разрешения Лицо, уполномоченное утверждать разрешение (руководитель организации), дата выдачи, срок действия разрешения и условия досрочного отзыва; схема согласования с службой информационной безопасности и требуемые согласующие подписи.
Обязанности пользователя и порядок действий при инциденте Обязанности по использованию, хранению и возврату носителя, ограничения на копирование и распространение данных; порядок немедленного уведомления при утрате или подозрении на утечку и контакт для сообщения; возможные дисциплинарные или административные последствия.
Учёт выдачи и подтверждающие записи Образец формы журнала выдачи с полями для серийных номеров носителей, данных получателя, цели и срока; акт возврата носителя и указание места и срока хранения записей об операциях с носителями.

05 Применимость

Область применения заявления на право использования съёмного носителя

Внутренний документ для регламентирования выдачи разрешений на перенос и выгрузку данных на съёмные носители. Назначается и утверждается руководителем организации, исполнение контролирует ответственный за организацию обработки персональных данных или служба ИБ.

Кому требуется документ Организации и их подразделения, обрабатывающие персональные данные и использующие съёмные носители для обмена или выгрузки данных; сотрудники, командированные для работы вне корпоративной сети; подрядчики при работе с переносимыми носителями в рамках договора.
Когда документ обязателен или критически желателен При необходимости переноса или выгрузки персональных данных за пределы защищённого контура организации, при использовании носителей для распространения отчётности или архивов, а также при отсутствии защищённых сетевых каналов, пригодных для передачи соответствующих объёмов данных.
Когда заявление не подходит Не применяется для передач, которые выполняются через утверждённые защищённые сетевые каналы, облачные сервисы с договорными гарантиями или для рабочих задач, не предполагающих физическое перемещение носителя; в этих случаях используются иные регламенты и договоры.
Границы и случаи, требующие иного набора документов Для информации с повышенным уровнем секретности или для ИСПДн, отнесённых к регулируемым уровням защищённости, требуется отдельный регламент и технические меры в соответствии с требованиями по уровням защиты; заявление может дополняться приказом и регистрацией носителей.
Кто утверждает и кто исполняет Утверждение документа возлагается на руководителя организации, исполнение распределяется между ответственным за организацию обработки персональных данных и службой информационной безопасности; исполнительная практика должна фиксировать список уполномоченных сотрудников и журнал выдачи носителей.
Риски, мотивирующие введение заявления Документ оправдан при необходимости минимизировать объём переносимых данных, обеспечить учёт и контроль носителей, снизить риск инцидентов и ускорить реакцию на утечку; наличие регламента уменьшает вероятность штрафных последствий и упрощает доказательственную базу при инциденте.

06 Нормативная база

Нормативная база для заявления на право использования съёмных носителей

ст. 19 152-ФЗ Возлагает обязанность обеспечивать организационные и технические меры защиты при обработке персональных данных; для заявления это означает фиксировать порядок выдачи разрешений на использование носителя, распределение ответственности и обязательные требования к защите при переносе данных.
приказ ФСТЭК № 21 от 18.02.2013 Определяет базовый набор мер по уровням защищённости; заявление должно отражать требования к шифрованию, маркировке, антивирусной проверке и учёту съёмных носителей в соответствии с назначенным уровнем.
приказ ФСТЭК № 21 Регламентирует меры по управлению средствами аутентификации и доступом; заявление на использование носителя должно описывать процедуру идентификации заявителя, привязку носителя к конкретному сотруднику и порядок выдачи и возврата.
ч. 5 ст. 5 152-ФЗ Принцип минимизации объёма обрабатываемых данных; заявление должно требовать обоснование необходимости выгрузки и чёткий перечень полей, которые допустимо переносить на съёмный носитель.
ПП РФ № 1119 Определяет критерии отнесения систем к уровням защищённости и сопутствующие меры; в заявлении следует указывать применимый уровень защищённости ИСПДн и соответствующие технические требования к носителю и процедурам обращения с ним.
ч. 3.1 ст. 21 152-ФЗ Утрата или несанкционированный доступ к носителю рассматриваются как инцидент с требованием оперативного реагирования; заявление должно регламентировать порядок действий при утрате носителя, сроки уведомления и распределение обязанностей при расследовании.
ч. 11 - 14 ст. 13.11 КоАП Установлена административная ответственность за просрочку уведомления и факты утечки персональных данных; заявление должно предусматривать документирование инцидентов, хранение подтверждающих материалов и порядок взаимодействия с контролирующими органами.

08 Внедрение

Шаги внедрения заявления на право использования съёмного носителя

Порядок внедрения охватывает инициативу сотрудника, согласование, выдачу и контроль возврата носителя, а также формирование пакета документов для проверки. В каждом шаге указаны ответственный и результат на выходе.

1. Инициирование запроса и заполнение заявления Сотрудник, которому требуется перенос данных, заполняет заявление с указанием цели, обоснования выгрузки объёма данных и предполагаемого срока использования. На выходе - оформленное заявление и короткое обоснование минимизации объёма данных.
2. Предварительная проверка и согласование запроса Ответственный за обработку ПДн или служба ИБ проверяет необходимость выгрузки, соответствие принципу минимизации данных, допустимость использования конкретного типа носителя и наличие технических средств защиты. На выходе - резолюция с перечнем требуемых мер и отметка о допуске или отказе.
3. Подготовка и маркировка съёмного носителя Перед выдачей носитель регистрируют в журнале учёта, присваивают уникальный идентификатор, наносят метку владельца и настраивают требуемые технические меры - шифрование, управление доступом и антивирусная проверка. На выходе - запись в журнале и помеченный готовый носитель.
4. Выдача носителя и оформление передачи Носитель выдают под подпись получателя по оформленному акту выдачи с указанием содержимого и срока использования. При передаче фиксируют дату, время и данные ответственного лица. На выходе - подписанный акт выдачи и обновлённая запись в журнале.
5. Возврат, проверка целостности и инцидентный алгоритм После возврата носителя служба ИБ и получатель проводят проверку на наличие посторонних изменений и вредоносного ПО, сверяют содержимое с актом выдачи. При подозрении на утечку выполняют действия по инциденту и уведомляют ответственных. На выходе - акт приёма и отметки о проверках.
6. Архивация записей и подготовка к проверке Ответственный формирует папку проверяющему с заявлением, актами выдачи/приёма, записями журнала и конфигурацией защитных настроек. Папка хранится в корпоративном контуре для внутреннего аудита и последующих проверок.

09 Актуализация

Поводы для пересмотра формы заявления

Форму пересматривают при фактических изменениях в способах работы с данными, требованиях к уровню защищённости или после инцидента - не по шаблону. Цель пересмотра: привести поля формы и процедуру согласования в соответствие новым рискам, техническим возможностям и нормативным требованиям.

Изменение требований по уровням защищённости ИСПДн При переходе на другой уровень защищённости или при изменении требований к способам хранения и передачи данных обновляют разделы о допустимых типах носителей, требованиях к настройке устройств и контролю доступа. Добавить поле об уровне защищённости ИСПДн, уточнить перечень допустимых носителей и сопутствующих настроек, скорректировать обязанности ответственного за выдачу.
Инцидент с утечкой или потерей носителя После факта утраты, компрометации или несвоевременного уведомления анализируют, какие сведения в форме не позволяли оценить риск вовремя и какие поля мешали контролю выдачи и возврата. Сократить время действия разрешения при необходимости, ввести отметки о шифровании и учёте серийных номеров, скорректировать процедуру уведомления уполномоченных лиц.
Появление и внедрение альтернативных способов передачи данных При появлении защищённых каналов передачи, корпоративного хранилища или средств удалённого доступа меняется требование к обоснованию выгрузки на съёмный носитель - форму дополняют пунктом об анализе альтернатив и минимизации объёма данных. Добавить обязательное обоснование выбора съёмного носителя и поле для подтверждения соблюдения принципа минимизации объёма выгружаемых данных.
Введение обязательного шифрования и управления аутентификацией Если организация вводит требование выдавать только зашифрованные носители или ужесточает правила управления средствами аутентификации, форма должна содержать подтверждение соблюдения этих условий и сведения о способе шифрования. Добавить пункт подтверждения шифрования носителя, поле для указания используемого метода шифрования и раздел об управлении ключами/средствами аутентификации.
Смена способа подачи заявок или массовый переход на удалённую работу При переводе формы в электронный вид или при массовом удалённом формате работы пересматривают порядок согласования, контрольные сроки и требования к аудитам выдачи и возврата. Перевести форму в электронный процесс с учётом аудита действий, встроить статус согласования и сроки, определить ответственных за контроль и хранение журналов выдачи.

10 Проверка

Инспектор проверит

Вопросы и ожидаемые документы и материалы при документарной или выездной проверке заявления на право использования съёмного носителя.

Вопрос 01 «Предъявите само заявление на право использования съёмного носителя.»
Вопрос 02 «Предъявите документ, подтверждающий разрешение руководителя на использование съёмных носителей.»
Вопрос 03 «Предъявите учётные документы по выдаче и возврату съёмных носителей.»
Вопрос 04 «Предъявите подтверждение применения мер защиты информации при подготовке и использовании носителя.»
Вопрос 05 «Предъявите обоснование объёма выгружаемых персональных данных при использовании носителя.»

Инспектор при проверке, может запросить:

оригинал заявления на право использования съёмного носителя, с указанием цели использования, перечня данных для переноса, подписью сотрудника и датой
приказ или распоряжение руководителя либо раздел локального регламента, подтверждающий право сотрудника на использование съёмных носителей, с датой и подписью
журнал учёта выданных носителей или электронный реестр с указанием идентификатора носителя, ФИО пользователя, даты выдачи и факта возврата
протоколы форматирования и шифрования носителя, сведения о применённой криптозащите или аппаратном шифровании и сведения об используемых средствах аутентификации
документированное обоснование объёма выгрузки по принципу минимизации, с перечнем полей и мотивировкой необходимости их переноса

11 Экспертная позиция

Практический риск при выдаче разрешений на съёмные носители

Разрешение часто оформляют как формальность, при этом ключевая уязвимость - отсутствие связки между документом и техническими контролями, из-за чего возможны избыточные выгрузки и неучтённые копии персональных данных. В форму заявления включите обязательные поля: цель выгрузки и обоснование минимальности объёма, идентификатор носителя, статус шифрования, срок хранения и лицо, ответственное за возврат. Обеспечьте привязку выдачи к учёту и логированию, к процедурам контроля соответствия и к регламенту срочного реагирования на инциденты.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - заявление на право использования съёмного носителя

Заявление подаёт сотрудник, которому необходимо временно или постоянно использовать съёмный носитель для рабочих задач с данными организации. Утверждение выполняет руководитель организации; за выдачу и контроль исполнения отвечает ответственное лицо по обработке персональных данных или служба информационной безопасности. Внутренний порядок регистрации и выдачи носителей должен быть закреплён в локальном акте.

Заказать заявление на право использования съёмного носителя в составе комплекта документов

Закажите подготовку заявления на право использования съёмного носителя в составе комплекта локальных нормативных актов для корпоративного контура. В комплект входят: шаблон заявления, проект приказа для утверждения руководителем, журнал учёта выдачи носителей, краткая инструкция для службы информационной безопасности и комплект доказательств (приказ, URL, скриншоты, логи доступа). Консультация по учёту объёма выгрузки и правилам безопасного переноса данных включена. Никаких гарантий соответствия внешним проверкам не даём, подготовим документы и доказательства для внутренней фиксации разрешений и ответственных.

Заказать заявление в комплекте