Внутренний регламент по персональным данным – это локальный нормативный акт, который фиксирует порядок сбора, обработки, хранения и передачи персональных данных (ПД) сотрудников и иных субъектов в организации; Правильное оформление такого документа позволяет избежать штрафов, успешно пройти проверку Роскомнадзора и обеспечить защиту прав работников.

Правовая база, на которой строится регламент

• Федеральный закон № 152‑ФЗ «О персональных данных» (в т.ч. статьи 18.1 и 19, регламентирующие назначение ответственных лиц и обязательное ознакомление работников).
• Постановления и методические рекомендации Роскомнадзора (обязанность регистрации операций обработки ПД, подача уведомления).
• Региональные особенности ЛНР: в некоторых случаях дополнительно требуется согласование с органами местного самоуправления и соблюдение локальных нормативных актов.

Ключевые требования закона

1. Назначить ответственного за обработку ПД (специальный сотрудник или отдел).
2. Разработать политику конфиденциальности (Положение об обработке ПДн), доступную для всеобщего ознакомления.
3. Ознакомить всех работников с регламентом под роспись.
4. Провести регистрацию (или уведомление) в Роскомнадзоре о видах обработки ПД.
5. Обеспечить внутренний контроль и периодический аудит информационных систем и бумажных носителей.

Структура внутреннего регламента

Ниже представлена типовая структура документа, которую можно адаптировать под нужды конкретной организации в ЛНР.

Общие положения
Термины и определения
Правовые основания обработки ПД
Состав и категории обрабатываемых ПД
Права и обязанности субъектов ПД
Ответственные лица и их полномочия
Порядок сбора, хранения, передачи и уничтожения ПД
Технические и организационные меры защиты
Порядок доступа к ПД (уровни доступа)
Процедуры внутреннего контроля и аудита
Порядок реагирования на инциденты (утечка ПД)
Порядок обучения персонала
Порядок внесения изменений в регламент
Приложения (образцы форм, журналы учета и т.п.)

Краткое описание разделов

• Общие положения – цель документа, область применения, ссылки на закон.
• Термины и определения – что понимается под «персональными данными», «обработкой», «оператором» и т.д.
• Правовые основания – согласие субъекта, договорные обязательства, законные интересы.
• Состав ПД – ФИО, паспортные данные, сведения о зарплате, медицинские данные и т.п.
• Права субъектов – доступ, исправление, удаление, возражение против обработки.
• Ответственные лица – Должностное лицо (например, специалист по защите ПД), его полномочия и контактные данные.
• Порядок обработки – как и где собираются данные, где хранятся (ЭЦП, серверы, бумажные архивы).
• Технические меры – шифрование, антивирус, ограничение доступа, резервное копирование.
• Уровни доступа – кто может видеть какие данные (HR‑отдел, бухгалтерия, руководители).
• Внутренний контроль – плановый аудит раз в полгода, журнал учета операций.
• Инциденты – порядок сообщения, расследования и уведомления Роскомнадзора.
• Обучение персонала – обязательные инструктажи, ежегодные курсы.
• Внесение изменений – процедура утверждения и публикации новых версий.
• Приложения – образцы приказов, формы согласия, реестр ПД.

Пошаговый план разработки регламента

1. Сбор исходных данных
   • Определить, какие персональные данные собираются в организации (анкеты, трудовые договоры, медицинские справки).
   • Составить карту потоков данных: от сбора до уничтожения.
2. Назначение ответственного лица

   Издать приказ о назначении специалиста по защите персональных данных. В приказе указать его полномочия, обязанности и контактные данные.

3. Разработка политики конфиденциальности

   Создать документ «Положение об обработке персональных данных», включив в него все пункты из раздела 2 (структура регламента).

4. Подготовка шаблонов и форм
   • Форма согласия субъекта ПД.
   • Журнал регистрации операций обработки.
   • Отчет об аудите.
5. Регистрация в Роскомнадзоре

   Заполнить электронную форму уведомления (или регистрации) о видах обработки ПД, указав:

   • Типы данных.
   • Цели обработки.
   • Способы передачи (внутренняя сеть, интернет).
   • Назначенного ответственного.
6. Ознакомление работников

   Организовать собрание, разослать электронные копии регламента, собрать подписи в журнале согласия.

7. Внедрение технических мер
   • Установить шифрование дисков, ограничить доступ по ролям.
   • Настроить резервное копирование и безопасное уничтожение старых носителей.
8. Внутренний контроль и аудит

   Составить график проверок (раз в 6 месяцев) и назначить аудиторов (может быть внешний специалист).

9. Обучение персонала

   Провести вводный курс для всех сотрудников и ежегодный повторный инструктаж.

10. Подготовка к проверке Роскомнадзора

    Собрать пакет документов: регламент, журналы учета, протоколы аудита, подтверждения обучения.

Примерный образец приказа о назначении ответственного за ПД

Приказ № ___
от «__» __________ 2026 г.

О назначении ответственного за обработку персональных данных
В целях соблюдения требований Федерального закона № 152‑ФЗ «О персональных данных» и обеспечения защиты персональных данных работников, приказываю:

Назначить Иванова Ивана Ивановича, должность – специалист по защите персональных данных, ответственным за организацию и контроль обработки персональных данных в ООО «_____».
Утвердить должностные обязанности ответственного:
 а) разработка и поддержание в актуальном состоянии Положения об обработке ПДн;
 б) организация обучения персонала;
 в) проведение внутреннего аудита и подготовка отчетов;
 г) взаимодействие с Роскомнадзором.
Ответственному обеспечить доступ к необходимым ресурсам и документам.
Приказ вступает в силу с момента подписания.

Генеральный директор ______________________
(подпись) (ФИО)

Как оформить уведомление в Роскомнадзор (для организаций в ЛНР)

1. Перейти на портал Роскомнадзора и авторизоваться с помощью электронной подписи.
2. Выбрать раздел «Уведомление об обработке персональных данных».
3. Заполнить форму:
   • Наименование организации.
   • ИНН, ОГРН.
   • Перечень категорий ПД (ФИО, паспортные данные, сведения о заработной плате и т.д.).
   • Цели обработки (кадровый учет, начисление заработной платы, медицинский осмотр).
   • Способы передачи (внутренняя сеть, электронная почта, облачное хранилище).
   • Контактные данные ответственного лица.
4. Приложить копию Положения об обработке ПДн и приказ о назначении ответственного.
5. Отправить форму и сохранить подтверждение регистрации.

После подачи уведомления в течение 30 дней Роскомнадзор выдает подтверждающий документ, который необходимо хранить в архиве организации.

Внутренний контроль и аудит

Регулярный контроль позволяет своевременно выявлять нарушения и корректировать процесс обработки ПД.

Ключевые элементы контроля

• Журнал регистрации операций – фиксирует каждое действие с ПД (создание, изменение, передача, удаление).
• Плановый аудит – проверка соответствия фактической практики положениям регламента (раз в 6 месяцев).
• Тестирование уязвимостей – сканирование ИТ‑инфраструктуры на предмет утечек.
• Отчетность – подготовка протоколов аудита и их передача руководству.

Примерный шаблон протокола аудита

Протокол внутреннего аудита обработки персональных данных
Дата проведения: __.__.2026 г.
Аудитор: ______________________

Проверка наличия актуального Положения об обработке ПДн – да/нет
Соответствие реального доступа к ПД уровням, указанным в регламенте – да/нет
Наличие подписанных согласий субъектов – да/нет
Технические меры защиты (шифрование, антивирус) – соответствует/не соответствует
Выявленные нарушения:
 ⏤ ______________________
Рекомендации:
 ⏤ ______________________
Подписи:
 ⎼ Аудитор ______________________
 ⎼ Руководитель ______________________

Обучение персонала и информирование работников

Обучение – обязательный элемент регламента. Оно должно включать:

• Общие принципы защиты ПД (что такое ПД, зачем их защищать).
• Конкретные требования регламента (права работников, порядок доступа).
• Практические сценарии (как правильно заполнять форму согласия, как реагировать на запрос субъекта ПД).
• Инструктаж по действиям в случае утечки (сообщить ответственному, зафиксировать инцидент).

После каждого инструктажа работники подписывают журнал ознакомления.

Что делать в случае утечки персональных данных

1. Немедленно зафиксировать факт утечки в журнале инцидентов.
2. Уведомить ответственного за ПД и руководителя организации.
3. Оценить масштаб утечки (какие данные, сколько субъектов затронуто).
4. Принять меры по локализации утечки (отключить уязвимый сервис, изменить пароли).
5. Подготовить и отправить в Роскомнадзор сообщение о нарушении в течение 72 часов (если утечка может повлечь риск для прав субъектов).
6. Информировать затронутых субъектов о факте утечки и предложить меры защиты (смена пароля, мониторинг кредитных историй).
7. Провести постинцидентный аудит и обновить регламент, если выявлены пробелы.

Подготовка внутреннего регламента по персональным данным – это комплексный процесс, который включает правовую основу, организационные меры, техническую защиту и постоянный контроль. Следуя описанному выше пошаговому плану, организации в ЛНР смогут:

• Соответствовать требованиям 152‑ФЗ и рекомендациям Роскомнадзора.
• Снизить риск штрафов и репутационных потерь.
• Обеспечить прозрачность обработки ПД для работников.
• Создать устойчивую систему защиты данных, готовую к проверкам и аудиту.

Помните, что регламент – живой документ. Его необходимо регулярно пересматривать, обновлять в соответствии с изменениями законодательства и технологических решений, а также проводить обучение персонала. Тщательная работа сегодня гарантирует безопасность персональных данных завтра.

Дата публикации: