Чек-лист для самопроверки соответствия требованиям 152-ФЗ

Рабочий инструмент внутреннего контроля: список проверяемых вопросов, по которому организация оценивает себя до того, как это сделает регулятор. Полезен ровно настолько, насколько допускает отрицательные ответы.

Чек-лист, в котором все ответы «да», не сообщает о благополучии. Он сообщает, что вопросы сформулированы так, чтобы ответить иначе было невозможно.

Статусобязательный элемент внутреннего контроля Основаниеп. 4 ч. 1 ст. 18.1 152-ФЗ Публичностьвнутренний Кто утверждаетответственный за организацию обработки ПДн Обновленоиюль 2026 Периодичностьпо графику внутреннего контроля, не реже раза в год

Содержание

01 Назначение

Зачем нужен документ

Почти весь комплект документов по персональным данным написан для того, чтобы подтверждать: обработка организована так-то, меры приняты, ответственные назначены. Чек-лист самопроверки — исключение. Его задача противоположная: найти места, где подтверждать нечего.

Из этого следует необычный критерий качества. Хороший чек-лист даёт отрицательные ответы. Документ, в котором за три года проверок не появилось ни одного «нет», ничего не говорит о состоянии дел — он говорит о том, что вопросы составлены так, чтобы отвечать «да», или что заполняет их человек, оценивающий собственную работу. Проверяющий читает такой чек-лист именно так, и это ровно обратный эффект тому, ради которого его показывают.

Второе назначение — сделать контроль передаваемым. Правила внутреннего контроля описывают процедуру, план задаёт график, но выполнить проверку по ним может только тот, кто хорошо знает требования. Чек-лист переводит требования в вопросы, на которые способен ответить руководитель подразделения, кадровик или бухгалтер, — и тем самым выводит контроль за пределы одного специалиста.

Процедуру контроля задают правила внутреннего контроля, периодичность — план внутреннего контроля, а найденные несоответствия переезжают в план мероприятий.

02 Ответственность

Чем грозит отсутствие

Внутренний контроль прямо назван в законе среди мер, которые оператор обязан принимать. Но практическая ценность чек-листа не в этом: он ловит самый массовый состав из всей главы — обработку без законного основания, лишние данные и пороки согласий. Именно с него начинается большинство дел.

ч. 1 ст. 13.11 КоАП РФ — обработка в случаях, не предусмотренных законом

Юридическое лицо150 000 – 300 000 ₽

Должностное лицо50 000 – 100 000 ₽

Граждане10 000 – 15 000 ₽

Суммы здесь не самые большие в главе, и это ровно тот случай, когда важна не сумма, а частота. Избыточные графы в анкете, форма на сайте без согласия, хранение резюме неподошедших кандидатов год спустя, анкета с данными о семье — вещи, которые находятся за полчаса и держатся годами именно потому, что никто не смотрел на них специально. Чек-лист и есть это «специально».

Самопроверка дешевле проверки. Найденное самим оператором — пункт плана. Найденное регулятором — предписание со сроком и последующей проверкой исполнения.

Отсутствие внутреннего контроля видно по документам. Пустой или сплошь положительный чек-лист сообщает проверяющему, что мера из п. 4 ч. 1 ст. 18.1 выполняется формально.

Несоответствия накапливаются тихо. Новая форма на сайте, новый подрядчик, новая система — каждое изменение способно добавить обработку без основания, и без периодической сверки это обнаруживается только извне.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Чек-лист по 152-ФЗ для самопроверки — образец

—Как самостоятельно проверить соответствие требованиям по ПДн

—Вопросы для внутренней проверки обработки персональных данных

—Подготовка к проверке Роскомнадзора своими силами

—Лист самооценки соответствия требованиям о персональных данных

—Самопроверка перед проверкой регулятора

—Аудит персональных данных внутри организации

—Контрольные вопросы по защите ПДн для подразделений

Три документа внутреннего контроля стоят рядом и делят роли. Правила — кто проверяет, с какими полномочиями и как оформляет результат. План — что и когда проверяется в течение года. Чек-лист — сами вопросы, по которым идёт проверка. Первые два обычно читает один человек, третий имеет смысл раздать по подразделениям: половина несоответствий видна именно на местах.

04 Обязательное содержание

Что должно быть в документе

Вопросы должны быть проверяемыми: на каждый нужно уметь показать подтверждение.

Основания обработки по каждой категории субъектов. Работники, кандидаты, клиенты, посетители сайта, контрагенты — по каждой группе вопрос, на каком основании обрабатываются данные и чем это подтверждается.

Соответствие состава данных цели. Не «соблюдается ли принцип минимизации», а конкретно: какие графы есть в анкете и зачем нужна каждая. Самое урожайное место любой самопроверки.

Публичные документы и их актуальность. Опубликована ли на сайте действующая редакция Политики, совпадает ли она с утверждённой, есть ли форма согласия там, где собираются данные.

Сроки хранения и уничтожение. Есть ли данные, срок хранения которых истёк, и подтверждается ли уничтожение актами. Резюме неподошедших кандидатов — классический случай.

Передача третьим лицам. Все ли получатели данных перечислены, есть ли поручения на обработку, знает ли о передаче субъект.

Работа с обращениями. Сколько обращений поступило за период, соблюдены ли сроки ответа, есть ли записи в журнале обращений.

Организационные меры. Ответственные назначены, работники обучены, доступы соответствуют матрице, уволившиеся отключены.

Графа подтверждения и графа для «нет». По каждому пункту — чем подтверждается ответ, а при отрицательном ответе — что и к какому сроку делаем. Без второй графы чек-лист остаётся опросом настроения.

05 Правовая база

Требования законодательства

п. 4 ч. 1 ст. 18.1 152-ФЗосуществление внутреннего контроля соответствия обработки данных закону и принятым актам

ч. 2 ст. 18.1 152-ФЗобязанность опубликовать документ, определяющий политику обработки, и обеспечить неограниченный доступ к нему

ч. 1 ст. 18.1 152-ФЗсостав и перечень мер оператор определяет самостоятельно и должен быть способен их подтвердить

ст. 19 152-ФЗмеры по обеспечению безопасности при обработке данных

ч. 1 ст. 13.11 КоАПобработка в случаях, не предусмотренных законом: ЮЛ 150–300 тыс ₽

Периодичность внутреннего контроля закон не устанавливает — её определяет сам оператор. Это часто читают как послабление, хотя работает норма наоборот: раз вы определяете периодичность сами, спросят с вас по вашему же документу. Написали в правилах «ежеквартально» — значит должно быть четыре заполненных чек-листа в год, и их отсутствие будет нарушением не закона, а собственного акта, что выглядит хуже.

06 Связи в комплекте

Как связан с другими документами

Чек-лист — рабочий инструмент между процедурой контроля и планом работ.

Правила задают процедуру. Правила внутреннего контроля определяют, кто проверяет и как оформляется результат; чек-лист — то, с чем проверяющий приходит.

План контроля задаёт даты. План внутреннего контроля расставляет проверки по году, чтобы самопроверка не превращалась в разовое мероприятие перед визитом регулятора.

Найденное уходит в план мероприятий. Каждое «нет» обязано стать строкой в плане мероприятий со сроком и ответственным — иначе смысл самопроверки теряется полностью.

Обучение закрывает часть вопросов. Раздел про осведомлённость работников проверяется по журналу учёта обучения: сверка списка принятых с записями об обучении даёт ответ за пять минут.

07 Проверка

Что спросит проверяющий

Чек-лист интересен регулятору не сам по себе, а как след живого контроля.

Покажите заполненные чек-листы за последние периоды. Пустая форма без результатов означает, что внутренний контроль существует только в правилах.

Есть ли отрицательные ответы. Сплошные «да» вызывают не доверие, а следующий вопрос — кто заполнял и проверял ли он что-нибудь на самом деле.

Что стало с найденными несоответствиями. Смотрят, попали ли они в план мероприятий и выполнены ли. Найденное и забытое хуже ненайденного: организация знала и не сделала.

Соблюдается ли собственная периодичность. Сравнивают даты заполнения с тем, что написано в правилах внутреннего контроля.

Кто заполнял. Если ответственный за защиту проверяет сам себя, это отмечается как недостаток организации контроля — и обычно подтверждается качеством ответов.

08 Разбор эксперта

Разбор эксперта

Чек-лист самопроверки — единственный документ комплекта, который приносит пользу только плохими новостями. Все остальные бумаги мы делаем, чтобы показать соответствие; эту — чтобы найти его отсутствие. И вот здесь срабатывает привычка: вопросы формулируют так, как удобно отвечать. «Утверждена ли Политика обработки персональных данных?» — конечно, да, вот приказ. Правильный вопрос звучит иначе: опубликована ли на сайте действующая редакция и совпадает ли она с утверждённой. Мы регулярно находим на сайтах политику двухлетней давности при свежем приказе внутри — и первый вариант вопроса этого не увидит никогда.

Второе, о чём стоит сказать честно: заполнение чек-листа ответственным за защиту — это самооценка, а не контроль. Человек оценивает результат собственной работы, и даже при полной добросовестности он не увидит того, к чему привык. Разумный компромисс для небольшой организации — раздать разделы по подразделениям: пусть кадровик отвечает про анкеты и хранение личных дел, бухгалтерия про выгрузки и передачу подрядчикам, ИТ про доступы и уволившихся. Половина несоответствий видна именно на местах, и вопрос, заданный человеку, который каждый день это делает, работает лучше любого аудита сверху.

И главное, ради чего всё затевается. Самопроверка имеет смысл ровно тогда, когда у найденного «нет» есть продолжение. Мы видели десятки заполненных чек-листов, где отрицательные ответы честно проставлены — и на этом всё закончилось. Юридически это хуже, чем не проверять вовсе: организация письменно зафиксировала, что знает о нарушении, и ничего не сделала. Поэтому правило простое и жёсткое: каждое «нет» в тот же день становится строкой плана мероприятий со сроком и фамилией. Без этого чек-лист превращается в собранный своими руками протокол собственной небрежности.

Что мы советуем при подготовке комплекта

Формулируйте вопросы так, чтобы ответ можно было подтвердить документом, настройкой или скриншотом, и добавьте графу подтверждения. Разведите разделы по подразделениям, а не отдавайте весь чек-лист ответственному за защиту. Обязательно заведите графу «что делаем и к какому сроку» для отрицательных ответов и переносите их в план мероприятий в тот же день. Держите периодичность, записанную в правилах внутреннего контроля, — по ней с вас и спросят. И не пугайтесь ответов «нет»: чек-лист без них не доказывает благополучия, он доказывает только то, что его не заполняли всерьёз.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

09 Частые вопросы

Частые вопросы

Обязателен ли чек-лист самопроверки по 152-ФЗ?

Обязателен внутренний контроль соответствия обработки — это прямая мера из п. 4 ч. 1 ст. 18.1. Форму закон не устанавливает, но выполнить контроль без списка проверяемых вопросов трудно: без него проверка каждый раз проводится по памяти и по-разному.

Как часто проводить самопроверку?

Периодичность оператор определяет сам и записывает в правилах внутреннего контроля. Практический ориентир — не реже раза в год, а по участкам с частыми изменениями чаще. Важно, чтобы фактические даты совпадали с заявленной периодичностью: спрашивают по вашему же документу.

Кто должен заполнять чек-лист?

Лучше не тот, кто отвечает за защиту: это самооценка. Разумно раздать разделы по подразделениям — кадры отвечают про анкеты и личные дела, бухгалтерия про выгрузки, ИТ про доступы, — а ответственный сводит результаты.

Что делать с найденными несоответствиями?

Переносить в план мероприятий со сроком и ответственным, в тот же день. Зафиксированное и не устранённое несоответствие хуже ненайденного: получается письменное подтверждение того, что организация знала и ничего не сделала.

Что чаще всего находится при самопроверке?

Избыточные графы в анкетах, формы на сайте без согласия, устаревшая редакция Политики в публичном доступе, хранение резюме неподошедших кандидатов, действующие доступы уволившихся и передача данных подрядчику без поручения.

Можно ли использовать чужой чек-лист?

Как основу — да, но вопросы придётся привязать к своим процессам и системам. Универсальный список проверяет соответствие вообще, а находки появляются там, где вопрос сформулирован про конкретную анкету, конкретную форму на сайте и конкретную выгрузку.

Чем чек-лист отличается от правил и плана внутреннего контроля?

Правила отвечают, кто проверяет и как оформляет результат. План — что и когда проверяется. Чек-лист — сами вопросы, с которыми проверяющий приходит на участок. Это три разных документа, и подменять один другим не выходит.

Связанные документы

Правила осуществления внутреннего контроля соответствия обработки ПДнОрганизационные документы План внутреннего контроля обработки и защиты персональных данныхПланы и программы План мероприятий по защите ПДн в ИСПДнПланы и программы

Все документы комплекта

Чек-лист самопроверки — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66