Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» требует от каждого оператора принимать меры, необходимые и достаточные для выполнения своих обязанностей. Обычный оператор сам решает, какие это меры (часть 1 статьи 18.1). Для государственных и муниципальных органов закон поступил иначе: перечень мер для них устанавливает Правительство (часть 3 статьи 18.1).
Этот перечень утверждён постановлением Правительства Российской Федерации от 21.03.2012 № 211. Последний раз его меняли постановлением от 15.04.2019 № 454. Дальше по тексту — «постановление № 211» и «Перечень».
Разберём, что именно должен сделать орган, какие документы утвердить и что в них записать, а потом — что спрашивает Роскомнадзор на проверке.
Кому адресован Перечень
Перечень обязателен для операторов, которые являются государственными или муниципальными органами. Например, федеральные министерства, службы и агентства и их территориальные органы, органы власти субъектов, администрации и другие органы местного самоуправления, а также иные государственные и муниципальные органы.
Государственные и муниципальные учреждения — школы, детские сады, больницы, поликлиники, МФЦ, библиотеки — органами не являются. Перечень к ним не обращён. Они выполняют статью 18.1 152-ФЗ на общих основаниях: сами определяют состав мер, но с учётом тех мер, которые закон называет прямо. Документы по образцу постановления № 211 учреждению не запрещены, и как ориентир Перечень полезен. Но требовать от школы именно этот набор нельзя, и сам набор не закрывает всех её обязанностей.
Для информационных систем учреждений есть своя важная норма. С 1 марта 2026 года действуют Требования, утверждённые приказом ФСТЭК России от 11.04.2025 № 117. Они распространяются на государственные информационные системы и на иные информационные системы государственных органов, государственных унитарных предприятий и государственных учреждений. Значит, государственная школа или больница защищает свои системы по этим Требованиям, даже если постановление № 211 её не касается. В муниципальных информационных системах защиту обеспечивают по Требованиям, если законодательство не установило иного (пункт 3). Принадлежность системы муниципальному учреждению стоит проверить отдельно.
Пункт 1: восемь мер
Пункт 1 Перечня состоит из подпунктов «а»–«з». Пройдём по каждому.
«а» — назначить ответственного
Орган назначает ответственного за организацию обработки персональных данных. Выбрать его можно только из своих людей: государственных или муниципальных служащих либо работников органа, которые занимают должности вне государственной гражданской или муниципальной службы по трудовому договору. Постороннюю организацию или консультанта назначить ответственным нельзя.
Обязанности ответственного задаёт часть 4 статьи 22.1 152-ФЗ: вести внутренний контроль, доводить до служащих законодательство и локальные акты, организовывать приём и обработку обращений и запросов субъектов или контролировать их. Подробнее о роли — в статье Ответственный за организацию обработки персональных данных.
«б» — утвердить документы актом руководителя
Все документы этого подпункта утверждают актом руководителя органа — на практике приказом или распоряжением. В подпункте двенадцать позиций, разберём их ниже отдельным разделом.
«в» — защищать информационные системы
Если орган — оператор информационной системы персональных данных, он принимает правовые, организационные и технические меры защиты. Цель — выполнить требования Правительства к защите персональных данных и обеспечить установленный уровень защищённости. Эти требования утверждены постановлением Правительства Российской Федерации от 01.11.2012 № 1119. Состав мер для информационных систем персональных данных задаёт приказ ФСТЭК России от 18.02.2013 № 21. Если система государственная, меры принимают по требованиям ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. России к защите информации в ГИСГосударственная информационная система — С 01.09.2026 — система, созданная на основании федерального закона, акта Президента или Правительства РФ (федеральная) либо закона, акта высшего должностного лица или органа власти субъекта РФ (региональная), ст. 13 Федерального закона от 27.07.2006 № 149-ФЗ. Меры защиты — по приказу ФСТЭК России от 11.04.2025 № 117. (пункт 7 приказа № 21), сейчас это Требования № 117.
Проверить себя по уровню защищённости можно калькулятором уровня защищённости ИСПДн.
«г» — соблюдать правила для бумажной обработки
Когда персональные данные обрабатывают без средств автоматизации — на бумаге, в журналах, карточках, — орган выполняет Положение, утверждённое постановлением Правительства Российской Федерации от 15.09.2008 № 687. Оно требует определить места хранения материальных носителей и перечень лиц, которые обрабатывают данные или имеют к ним доступ (пункт 13). Оператор устанавливает меры, которые обеспечивают сохранность носителей, и назначает ответственных за них (пункт 15). Если орган ведёт журнал пропуска посетителей, его ведение предусматривают актом оператора. В акте указывают цель, способы фиксации и состав сведений, лиц с доступом к журналу и ответственных за него, сроки обработки и порядок пропуска без подтверждения подлинности сведений (пункт 8).
«д» — проводить периодические проверки
Внутренний контроль орган ведёт через периодические проверки условий обработки. Проверяет ответственный за организацию обработки либо комиссия, которую образует руководитель органа. О результатах и о мерах по устранению нарушений руководителю докладывает ответственный или председатель комиссии. Периодичность Перечень не называет: её задают правила внутреннего контроля органа. Как построить такой контроль, мы разбирали в статье Внутренний контроль обработки персональных данных.
«е» — знакомить и обучать служащих
Служащих, которые непосредственно обрабатывают персональные данные, знакомят с законодательством о персональных данных, в том числе с требованиями к защите, и с локальными актами органа. Вместо ознакомления или вместе с ним можно организовать обучение. Способ ознакомления Перечень не задаёт. На проверке удобнее всего показать лист ознакомления с подписями или журнал инструктажа.
«ж» — уведомить Роскомнадзор
До начала обработки орган направляет в Роскомнадзор уведомление о намерении обрабатывать персональные данные (часть 1 статьи 22 152-ФЗ). Без уведомления можно обойтись в трёх случаях из части 2 статьи 22: данные включены в государственные информационные системы персональных данных, созданные для защиты безопасности государства и общественного порядка; оператор обрабатывает данные исключительно без средств автоматизации; данные обрабатывают в случаях, предусмотренных законодательством о транспортной безопасности. Как заполнить уведомление — в статье Как заполнить уведомление в реестр операторов.
«з» — обезличивать данные, когда это требуется
В случаях, которые установлены нормативными правовыми актами, орган обезличивает персональные данные в своих информационных системах. Делать это нужно по требованиям и методам, которые установил Роскомнадзор. С 1 сентября 2025 года это приказ Роскомнадзора от 19.06.2025 № 140; прежний приказ от 05.09.2013 № 996 утратил силу.
Есть оговорка. Приказ № 140 не охватывает случаи пункта 9.1 части 1 статьи 6 152-ФЗ, в том числе обработку обезличенных данных для повышения эффективности государственного или муниципального управления и обезличивание по требованию Минцифры России (статья 13.1). Когда оператор обезличивает данные по требованию Минцифры России (часть 2 статьи 13.1), он применяет требования и методы, установленные постановлением Правительства Российской Федерации от 01.08.2025 № 1154. Для остальных случаев пункта 9.1 действуют специальные режимы, на которые этот пункт отсылает. Подробнее — в статье Приказ Роскомнадзора № 140 вместо № 996.
Документы подпункта «б»
Позиций в подпункте двенадцать. Но документов не обязательно столько же: в одной позиции две формы, в другой — несколько перечней, а две позиции нужны, только если орган обезличивает данные. Ниже — каждая позиция: зачем она, что в документе должно быть и кого с ним знакомят. Утверждают их, напомним, актом руководителя органа.
1. Правила обработки персональных данных
Главный документ набора. Перечень требует, чтобы правила устанавливали процедуры выявления и предотвращения нарушений законодательства о персональных данных. Ещё они определяют для каждой цели обработки: содержание персональных данных, категории субъектов, сроки обработки и хранения, порядок уничтожения при достижении цели или при иных законных основаниях.
Удобнее всего строить правила от таблицы целей: цель — субъекты — состав данных — срок — способ уничтожения. Как подтверждать уничтожение, установил приказ Роскомнадзора от 28.10.2022 № 179. С правилами знакомят всех служащих, которые обрабатывают персональные данные (подпункт «е»).
2. Правила рассмотрения запросов субъектов или их представителей
Документ описывает, как орган принимает и регистрирует запросы граждан о их персональных данных, кто готовит ответ, в какие сроки и как проверяют полномочия представителя. Сроки и состав ответа берут из статей 14, 20 и 21 152-ФЗ, а не придумывают. С правилами знакомят тех, кто принимает обращения, и ответственного за организацию обработки.
3. Правила внутреннего контроля
Они определяют, как орган проверяет, что обработка отвечает закону, подзаконным актам и собственным локальным актам. В правилах записывают, кто проверяет (ответственный или комиссия), как часто, что именно проверяют, как оформляют результаты и как докладывают руководителю. Это рабочий инструмент для подпункта «д».
4. Правила работы с обезличенными данными
Нужны, если орган обезличивает персональные данные. В них описывают, какие методы применяются, как хранят обезличенные данные и дополнительную информацию, которая позволяет их снова связать с человеком, и кто к ней допущен. Если обезличивания нет, документ не нужен — Перечень прямо оговаривает это условие.
5. Перечень информационных систем персональных данных
Список всех информационных систем, где орган обрабатывает персональные данные: кадровые и бухгалтерские программы, системы оказания услуг, электронный документооборот. Удобно указать для каждой назначение, уровень защищённости и, если система государственная, её класс защищённости. От этого перечня зависит объём работ по подпункту «в».
6. Перечни персональных данных
Перечень требует перечни данных по двум основаниям. Первое — служебные или трудовые отношения: данные служащих, кандидатов, бывших служащих. Второе — оказание государственных или муниципальных услуг и выполнение функций: данные заявителей и других граждан. Сведения в перечнях должны соответствовать фактической обработке и не расходиться с правилами обработки и уведомлением в Роскомнадзор.
7. Перечень должностей, ответственных за обезличивание
Нужен, если орган обезличивает данные. Перечень называет должности, а не фамилии: служащие меняются, а документ остаётся в силе.
8. Перечень должностей с доступом к персональным данным
Список должностей, замещение которых предполагает обработку персональных данных или доступ к ним. От него зависят права доступа в информационных системах и круг тех, кого знакомят с правилами и у кого берут обязательство (документ 10).
9. Должностной регламент или должностная инструкция ответственного
Обязанности ответственного за организацию обработки нужно закрепить в его должностном регламенте (для служащего) или должностной инструкции (для работника по трудовому договору). Основа — часть 4 статьи 22.1 152-ФЗ. С документом знакомят самого ответственного.
10. Типовое обязательство о прекращении обработки
Служащий, который непосредственно обрабатывает персональные данные, обязуется прекратить их обработку, если с ним расторгнут служебный контракт или трудовой договор. Речь о данных, которые стали ему известны по службе. Руководитель утверждает типовую форму, а подписывает обязательство сам служащий. На практике его подписывают при назначении на должность из перечня (документ 8), а не в день увольнения.
11. Типовая форма согласия и типовая форма разъяснения последствий отказа
Это две формы. Первая — согласие на обработку персональных данных служащих органа и иных субъектов. Её используют, когда обработка опирается на согласие, а не на закон или служебный контракт; обязательные реквизиты письменного согласия перечислены в части 4 статьи 9 152-ФЗ. Вторая — разъяснение субъекту юридических последствий отказа предоставить свои персональные данные. Оно нужно, когда предоставить данные или дать согласие обязательно по федеральному закону (часть 2 статьи 18 152-ФЗ).
12. Порядок доступа служащих в помещения
Документ определяет, кто и как попадает в помещения, где обрабатывают персональные данные: кабинеты кадровой службы, архив, серверную. Перечень не задаёт его содержание. Обычно в нём записывают, как помещения запирают и опечатывают, у кого ключи, как допускают уборщиков, ремонтников и посетителей.
Пункт 2: публикация на сайте за 10 дней
Документы, которые определяют политику органа в отношении обработки персональных данных, публикуют на его официальном сайте в течение 10 дней после утверждения. Срок считают от даты акта руководителя.
Какие именно документы считать определяющими политику, постановление не перечисляет. Часть 2 статьи 18.1 152-ФЗ требует обеспечить неограниченный доступ к документу о политике и к сведениям о реализуемых требованиях к защите. Поэтому на сайте публикуют документ, который определяет политику, — отдельную политику или правила обработки, если по содержанию они её и определяют. Сведения о реализуемых требованиях к защите тоже должны быть доступны. Внутренние перечни должностей и порядок доступа в помещения публиковать не обязательно, а иногда и не стоит. Новую редакцию документа тоже утверждают, поэтому её разумно публиковать в тот же срок.
Как оформить политику, мы подробно разбирали в статье Как разработать политику обработки персональных данных.
Что проверяет Роскомнадзор
Роскомнадзор ведёт проверки по проверочному листу, утверждённому приказом Роскомнадзора от 24.12.2021 № 253. Для органов в нём есть восемь вопросов, которые прямо ссылаются на постановление № 211:
| Вопрос | Что спрашивают | Норма Перечня |
|---|---|---|
| 50 | Назначен ли ответственный из числа служащих или работников органа | подпункт «а» пункта 1 |
| 51 | Утверждены ли актом руководителя документы подпункта «б» | подпункт «б» пункта 1 |
| 52 | Соблюдаются ли требования к обработке без средств автоматизации | подпункт «г» пункта 1 |
| 53 | Ведётся ли внутренний контроль | подпункт «д» пункта 1 |
| 54 | Ознакомлены ли служащие с законодательством и локальными актами | подпункт «е» пункта 1 |
| 55 | Направлено ли уведомление в Роскомнадзор | подпункт «ж» пункта 1 |
| 56 | Соблюдаются ли требования при обезличивании | подпункт «з» пункта 1 |
| 57 | Опубликованы ли документы о политике на сайте в течение 10 дней | пункт 2 |
Вопроса со ссылкой на подпункт «в» в листе нет. Но вопрос 49 спрашивает, выполняет ли ответственный свои обязанности по части 4 статьи 22.1 152-ФЗ, а вопрос 58 — не смешаны ли на одном бумажном носителе данные с несовместимыми целями (пункт 5 Положения № 687). Остальные вопросы листа, например об уничтожении данных и о согласиях, касаются органа так же, как любого оператора.
По запросу Роскомнадзора оператор обязан представить документы и локальные акты или иным образом подтвердить принятые меры (часть 4 статьи 18.1 152-ФЗ). Поэтому полезно хранить не только утверждённые документы, но и следы их работы: акты проверок, листы ознакомления, подписанные обязательства, скриншот страницы сайта с датой. Весь лист мы разбирали в статье Проверочный лист Роскомнадзора.
С чего начать органу
- Назначьте ответственного приказом руководителя и впишите обязанности в его регламент или инструкцию.
- Составьте карту обработки: цели, субъекты, состав данных, сроки, информационные системы, бумажные журналы. Из неё вырастут правила обработки, перечни данных и перечень систем.
- Определите должности с доступом к данным, а если есть обезличивание — ответственные за него.
- Подготовьте остальные документы подпункта «б» и утвердите их одним или несколькими актами руководителя.
- Опубликуйте документы о политике на сайте в течение 10 дней и сохраните подтверждение даты.
- Ознакомьте служащих и возьмите обязательства у тех, кто обрабатывает данные.
- Проверьте уведомление в реестре операторов: совпадает ли оно с правилами и перечнями.
- Займитесь информационными системами: уровень защищённости, модель угроз, меры защиты, для государственных систем — класс защищённости и аттестация.
- Запланируйте первую проверку по правилам внутреннего контроля и доложите руководителю о результатах.
Документы для органа в ГрамотаИБ
В кабинете ГрамотаИБ есть самопроверка по проверочному листу Роскомнадзора. Для государственного или муниципального органа она включает вопросы по постановлению № 211 и по ответам составляет план устранения. Образцы отдельных документов набора — правил внутреннего контроля, перечня информационных систем, обязательства о прекращении обработки, разъяснения последствий отказа, порядка доступа в помещения — собраны в разделе образцов по персональным данным.
Главное
Постановление № 211 обязательно для государственных и муниципальных органов, а не для учреждений. Оно требует назначить ответственного из своих служащих, утвердить актом руководителя документы по двенадцати позициям подпункта «б», защищать информационные системы, соблюдать правила бумажной обработки, проверять себя, знакомить служащих, уведомить Роскомнадзор и обезличивать данные, когда это требуется. Документы о политике публикуют на сайте в течение 10 дней. Роскомнадзор проверяет выполнение Перечня вопросами 50–57 проверочного листа; на подпункт «в» в них отдельного вопроса нет. Учреждения выполняют статью 18.1 152-ФЗ на общих основаниях. Информационные системы государственных учреждений защищают по Требованиям, утверждённым приказом ФСТЭК России № 117, муниципальные информационные системы — по тем же Требованиям, если законодательство не установило иного.