Образец перечня информационных систем персональных данных (ИСПДн)

Что должно быть в документе

• наименование каждой информационной системы так, как её называют в организации (1С: ЗУП, CRM, электронный журнал);
• назначение системы и цели обработки персональных данных в ней;
• категории субъектов (работники, клиенты, обучающиеся) и категории данных по каждой системе;
• число субъектов — менее чем 100 000 или более чем 100 000: это один из критериев уровня защищённости наряду с категорией данных, типом актуальных угроз и тем, являются ли субъекты работниками оператора (постановление Правительства Российской Федерации от 01.11.2012 № 1119);
• тип актуальных угроз и определённый уровень защищённости с реквизитами акта, которым он установлен;
• места размещения и хранения: сервер в офисе, облако провайдера, адрес центра обработки данных;
• подразделение-владелец и работник, ответственный за эксплуатацию системы;
• отметку о наличии поручения обработки, если систему обслуживает подрядчик (часть 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ).

Как оформить

1. Соберите все места, где данные обрабатываются автоматизированно: учётные программы, базы, CRM, почтовые ящики, файловые папки, таблицы.
2. Отсеките то, что системой не является: разовый файл на рабочем столе — не ИСПДн, но общая папка с кадровыми документами обычно ею оказывается.
3. Опишите по каждой системе цели, категории субъектов и данных и оцените число субъектов.
4. Определите уровень защищённости по каждой системе и укажите реквизиты акта классификации.
5. Утвердите перечень приказом или включите его приложением к положению об обработке и защите персональных данных.
6. Обновляйте перечень при появлении новой системы или изменении состава данных: устаревший перечень хуже отсутствующего — он вводит в заблуждение и вас, и проверяющего.

Частые вопросы