Перечень мест хранения материальных носителей персональных данных

Таблица, в которой по каждому месту указано, какие носители с персональными данными там лежат, чем это место закрывается и кто за него отвечает. Помещения, шкафы, сейфы, ящики — с точностью до конкретного объекта.

Это один из немногих документов комплекта, который выполняет требование дословно: постановление прямо велит обеспечить возможность определить места хранения носителей по каждой категории данных.

Статусобязательный при бумажной обработке Основаниеп. 13 ПП РФ № 687 Публичностьвнутренний Кто утверждаетруководитель приказом Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

У бумажных данных нет журнала доступа: нельзя посмотреть, кто открывал папку. Поэтому вся защита сводится к физической — к тому, в каком помещении лежит носитель, чем закрывается шкаф и у кого ключ. Перечень мест хранения превращает это в проверяемую систему: не «документы хранятся в отделе кадров», а «шкаф № 2 в кабинете 305, запирающийся, ключ у инспектора по кадрам и дубликат в сейфе руководителя».

Требование сформулировано в постановлении № 687 прямо: обработка должна вестись так, чтобы в отношении каждой категории данных можно было определить места хранения носителей и установить перечень лиц, имеющих к ним доступ. Формулировка «можно было определить» и означает документ: без него определить нельзя, можно только спросить у сотрудников и получить разные ответы.

Есть и практическая польза, не связанная с проверками. Когда места хранения перечислены, сразу видно проблемные: коробки в коридоре, папки на подоконнике, документы в открытом ящике стола. До составления перечня эти места никто не считает местами хранения — они просто «где лежит».

Что именно лежит в этих местах, описывает перечень ПДн без автоматизации, а правила совместного хранения — положение о раздельном хранении.

02 Ответственность

Чем грозит отсутствие

Своей санкции у отсутствия перечня нет, но именно физическая сохранность бумаги — та зона, где инцидент случается тихо и обнаруживается поздно. Пропавшая папка это неправомерный доступ к персональным данным, то есть утечка со всеми последствиями.

ч. 12 ст. 13.11 КоАП РФ — утечка данных 1 000–10 000 субъектов

Юридическое лицо3 000 000 – 5 000 000 ₽

Должностное лицо200 000 – 400 000 ₽

Граждане100 000 – 200 000 ₽

Бумажную утечку недооценивают, потому что она не выглядит как взлом. Но одно потерянное дело — это полный набор данных одного человека: паспорт, адрес, СНИЛС, иногда сведения о здоровье. А исчезнувшая картотека или журнал посетителей — это уже тысячи субъектов, то есть та самая часть 12 статьи 13.11. Плюс обязанность уведомить Роскомнадзор в течение двадцати четырёх часов с момента выявления.

Без перечня непонятно, что пропало. При утрате носителя нужно быстро оценить масштаб: чьи данные и сколько субъектов. Если места хранения не описаны, оценка занимает дни, а на уведомление регулятора есть сутки.

Круг лиц не установлен. Постановление требует установить перечень лиц с доступом к носителям. Доступ к бумаге определяется доступом к месту хранения — значит начинается всё с описания места.

Стол и подоконник местом хранения быть не могут. Открытая поверхность не обеспечивает условий, исключающих несанкционированный доступ. Если в перечне честно написать «рабочий стол», документ сам зафиксирует нарушение.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Перечень мест хранения ПДн

—Места хранения материальных носителей персональных данных

—Перечень помещений и мест хранения носителей ПДн

—Список мест хранения документов с персональными данными

—Реестр мест хранения носителей ПДн

—Где хранятся персональные данные в организации

—Перечень мест хранения по ПП 687

—Приложение к приказу о местах хранения ПДн

Не путать с перечнем помещений, в которых размещены ИСПДн: тот про серверы и рабочие места с доступом к системам, и оттуда растут требования к контролируемой зоне. Здесь речь о хранении материальных носителей — шкафах, сейфах, архивных комнатах. Помещение может попасть в оба перечня, если в нём стоит и компьютер, и шкаф с делами.

04 Обязательное содержание

Что должно быть в документе

Проверка полноты простая: по строке перечня посторонний человек должен найти это место в организации и понять, у кого просить доступ.

Идентификация места. Номер кабинета и конкретный объект: шкаф, сейф, ящик, стеллаж, архивная комната. С инвентарным номером или понятной пометкой — «шкаф слева от входа» тоже работает лучше, чем «в кадрах».

Какие носители там хранятся. Категории данных и виды документов — ссылкой на перечень ПДн без автоматизации, чтобы не дублировать состав.

Способ ограничения доступа. Запирающийся шкаф, сейф, помещение с ключом, помещение под сигнализацией. Именно эта графа показывает, обеспечены ли условия, исключающие несанкционированный доступ.

Кто имеет доступ. Должности, а не «сотрудники отдела». Здесь выполняется требование постановления об установлении перечня лиц с доступом к носителям.

Где хранятся ключи и у кого дубликат. Пункт, который решает половину реальных проблем: ключ в замке, ключ на гвоздике, ключ у всех — типовые находки.

Ответственный за место хранения. Конкретная должность, отвечающая за сохранность носителей в этом шкафу. Без персональной привязки за место не отвечает никто.

Порядок на нерабочее время. Что делают с носителями в конце дня: убирают в шкаф, запирают, сдают. «Чистый стол» — это правило, а не пожелание.

Правила выноса носителя. Можно ли выносить дело из кабинета, кто разрешает и где это фиксируется. Вынос — момент, когда теряется контроль.

05 Правовая база

Требования законодательства

п. 13 ПП РФ № 687определить места хранения носителей по каждой категории данных

п. 13 ПП РФ № 687установить перечень лиц с доступом к носителям

п. 14 ПП РФ № 687раздельное хранение носителей при различных целях

раздел III ПП РФ № 687условия хранения, исключающие несанкционированный доступ

ст. 19 152-ФЗмеры по защите данных, включая организационные

ч. 3.1 ст. 21 152-ФЗутрата носителя — инцидент, уведомление РКН в 24 часа

ч. 12–14 ст. 13.11 КоАПутечка: 3–5, 5–10, 10–15 млн ₽ по числу субъектов

Обратите внимание на формулировку нормы: требуется не «хранить в сейфе», а обеспечить возможность определить места хранения и круг лиц. Это требование к прозрачности процесса, а не к железу. Поэтому дешёвый запирающийся шкаф с описанным порядком доступа выполняет норму лучше, чем дорогой сейф, к которому «ключ где-то у бухгалтера».

06 Связи в комплекте

Как связан с другими документами

Перечень мест — середина бумажного контура: получает состав данных, отдаёт географию всем остальным.

Перечень ПДн без автоматизации — вход. Он говорит, какие категории и документы существуют; места хранения расставляют их по объектам.

Инструкция ответственного — исполнение. Инструкция описывает, что человек делает с носителями: учитывает, выдаёт, проверяет наличие. Места хранения — его зона ответственности.

Правила раздельного хранения — ограничение. Положение запрещает складывать в одно место носители с разными целями обработки, то есть прямо влияет на то, сколько мест нужно.

Реагирование на инциденты — выход. При утрате носителя перечень позволяет за минуты понять, чьи данные пропали: это критично, потому что на уведомление регулятора есть сутки.

07 Актуализация

Когда обновлять документ

Этот перечень устаревает от самых бытовых событий — переезда кабинета или покупки нового шкафа.

Переезд или ремонт

Смена кабинета меняет все номера помещений в перечне. После переезда документ проверяют первым: обычно он остаётся с прежними адресами.

Купили или убрали шкаф, сейф

Новый объект хранения — новая строка; убрали старый — надо описать, куда переехали носители.

Сменился ответственный или держатель ключа

Кадровая перестановка означает, что доступ к месту хранения имеет уже другой человек. Правится сразу, иначе перечень лиц с доступом неверен.

Появился архив или внешнее хранение

Передача документов в архивную компанию — отдельный случай: место хранения вне организации, и нужен договор с обработчиком.

Изменился состав бумажных процессов

Отказались от журнала, перевели дела в электронный вид, начали собирать новые формы — меняется и география.

Плановый обход

Раз в год пройти по перечню физически: открыть каждый шкаф, проверить, что там лежит заявленное и что он запирается. Обход находит больше, чем чтение документа.

08 Проверка

Что спросит проверяющий

Этот перечень проверяют ногами: берут документ и идут смотреть.

Совпадают ли места с реальностью. Открывают указанный шкаф и сравнивают содержимое. Дело, которое лежит не там, где написано, — расхождение документа с практикой.

Запирается ли то, что заявлено запирающимся. Простая и обезоруживающая проверка. Шкаф без замка либо с ключом в замке снимает вопрос о выполнении требований к условиям хранения.

Кто имеет доступ и подтверждается ли это. Список должностей из перечня сверяют с тем, у кого фактически есть ключи.

Есть ли места хранения вне перечня. Осматривают кабинеты: коробки в коридоре, папки на подоконнике, документы в открытых лотках. Незаявленное место хранения — это обработка вне описанных правил.

Что происходит в нерабочее время. Спрашивают про правило чистого стола и проверяют, убираются ли документы. Вечерний обход показывает это лучше любых документов.

09 Разбор эксперта

Разбор эксперта

Самая частая находка в бумажном контуре — не отсутствие сейфа, а ключ. Шкаф куплен, дела аккуратно подшиты, перечень написан, а ключ висит на гвоздике у входа или торчит в замке, потому что «неудобно каждый раз открывать». Формально условия, исключающие несанкционированный доступ, не обеспечены — и никакое описание в документе этого не исправит. Поэтому графу «где хранятся ключи» мы считаем главной в перечне, а не формальностью.

Второе — рабочий стол. В половине организаций реальное место хранения текущих документов это стол сотрудника: папка с договорами лежит здесь весь день, а вечером остаётся. Писать в перечне «рабочий стол» нельзя — так документ сам зафиксирует нарушение. Но и врать бессмысленно: вечерний обход проверяющего покажет, как есть. Правильный выход один — правило чистого стола и запирающийся ящик у каждого, кто работает с делами.

Третье, о чём почти не думают: перечень мест хранения нужен не только для проверки, но и для инцидента. Когда пропадает папка, у организации есть двадцать четыре часа, чтобы уведомить Роскомнадзор, и в уведомлении нужно указать, чьи данные и сколько субъектов затронуто. Если места хранения описаны, ответ занимает пять минут. Если нет — сутки уходят на выяснение того, что вообще лежало в исчезнувшей папке.

Что мы советуем при подготовке комплекта

Описывайте места конкретно, до номера кабинета и шкафа: «в отделе кадров» — не место хранения. Обязательно заполните графу про ключи и дубликаты, это самая работающая часть документа. Назначьте ответственного за каждое место персонально по должности. Введите правило чистого стола и запирающийся ящик для текущих документов — иначе фактическим местом хранения останется стол. И раз в год проходите перечень физически: открывать шкафы информативнее, чем перечитывать таблицу.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Обязателен ли перечень мест хранения?

Постановление Правительства № 687 требует, чтобы по каждой категории персональных данных можно было определить места хранения носителей и установить перечень лиц с доступом. Без документа это требование выполнить нечем, поэтому перечень фактически обязателен при любой бумажной обработке.

Насколько подробно описывать место?

До конкретного объекта: номер кабинета плюс шкаф, сейф или ящик. Формулировка «в отделе кадров» местом хранения не является — по ней нельзя ни найти носитель, ни понять, кто к нему имеет доступ.

Можно ли указать рабочий стол сотрудника?

Нежелательно: открытая поверхность не обеспечивает условий, исключающих несанкционированный доступ. Если документы фактически лежат на столах, вводите правило чистого стола и запирающиеся ящики, а в перечень включайте именно ящики.

Нужно ли описывать сейф с ключами?

Само хранилище ключей носителем персональных данных не является, но графу про ключи и дубликаты в перечне заполнять нужно обязательно: доступ к бумаге — это доступ к ключу, и на практике проблема чаще всего именно здесь.

Чем этот перечень отличается от перечня помещений с ИСПДн?

Тот про помещения, где стоят серверы и рабочие места с доступом к информационным системам, и из него растут требования к контролируемой зоне. Этот — про физическое хранение материальных носителей. Одно помещение может попасть в оба перечня.

Что делать, если документы хранятся в архивной компании?

Указать внешнее место хранения и оформить отношения с компанией как с лицом, обрабатывающим данные по поручению: договор, требования к защите, ответственность. Передача носителей на хранение — это передача данных.

Как часто обновлять перечень?

По событию — переезд, новый шкаф, смена ответственного или держателя ключей — и раз в год плановым физическим обходом. Обход обычно находит места хранения, которых в документе нет: коробки в коридоре, папки на подоконнике.

Связанные документы

Перечень персональных данных, обрабатываемых без средств автоматизацииПеречни, матрицы, схемы Инструкция ответственного за безопасность материальных носителей ПДнИнструкции и регламенты Положение о раздельном хранении категорий персональных данныхОрганизационные документы

Все документы комплекта

Перечень мест хранения носителей — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66