Программа обучения работников по вопросам защиты персональных данных

Документ, который определяет, чему именно учат работников: какие темы, для каких категорий персонала, в каком объёме и на каких примерах. Не расписание занятий, а содержание.

Главное решение при составлении программы — отказаться от единого курса для всех. Способы уронить защиту у кадровика, бухгалтера и системного администратора не пересекаются почти нигде.

Статусобязательный элемент организационных мер Основаниеп. 6 ч. 1 ст. 18.1 152-ФЗ Публичностьвнутренний Кто утверждаетруководитель организации Обновленоиюль 2026 Периодичностьпересмотр не реже раза в год

Содержание

01 Назначение

Зачем нужен документ

Программа обучения отвечает на единственный вопрос: чему учить. Кто и как часто учит — это приказ о периодическом обучении, кто прошёл — журнал учёта, что человек должен помнить каждый день — памятка. Программа отвечает за содержание, и именно содержание чаще всего оказывается пустым.

Пустым оно становится по одной причине: обучение строят вокруг закона. Занятие открывается определением персональных данных, продолжается перечнем принципов и заканчивается таблицей штрафов. Формально всё правильно, работник ушёл с занятия информированным. На следующий день он выгружает клиентскую базу в таблицу и отправляет её себе на личную почту, чтобы поработать вечером, — потому что про этот конкретный поступок на занятии не было сказано ни слова.

Отсюда главное решение при составлении программы — развести содержание по ролям. Кадровик рискует сканами паспортов в общей папке и хранением документов после увольнения. Бухгалтер — выгрузками и пересылкой файлов подрядчику. Менеджер по продажам — экспортом базы и работой из дома. Администратор — доступами, копиями баз для тестирования и учётными записями уволившихся. Общий курс не меняет ни один из этих сценариев, потому что не называет ни одного из них.

Периодичность и обязательность занятий закрепляет приказ о периодическом обучении, факт прохождения фиксирует журнал учёта обучения, а короткая выжимка для ежедневного применения — памятка работника.

02 Ответственность

Чем грозит отсутствие

Скажем прямо: отдельного состава за отсутствие программы обучения в законодательстве нет, и подставлять сюда чужой штраф мы не будем. Обязанность есть, но сформулирована она иначе — оператор обязан ознакомить работников, непосредственно обрабатывающих персональные данные, с положениями законодательства, локальными актами и требованиями к защите. Программа — способ выполнить эту обязанность осмысленно, а не единственно возможная её форма.

Риск считается по утечке, а не по документу. Подавляющее большинство инцидентов — это действия работника, не понимавшего последствий. Шкала ответственности за утечку персональных данных начинается с трёх миллионов рублей для организации и растёт по числу пострадавших субъектов.

Ответственность за работника несёт оператор. Субъект предъявляет требования организации, а не конкретному менеджеру: ст. 17 152-ФЗ даёт право на возмещение убытков и компенсацию морального вреда. Ссылка на то, что сотрудник действовал самовольно, вопрос не закрывает.

Проверка смотрит не программу, а её следы. Спрашивают не документ, а то, что люди помнят и делают. Программа при этом объясняет, почему ответы одних категорий работников содержательнее других — и объясняет проверяющему, что обучение продумано.

Честная позиция здесь выгоднее запугивания. Программа обучения не защищает от штрафа сама по себе — она снижает вероятность события, которое к штрафу приводит, и вместе с журналом учёта обучения показывает, что организация сделала зависящее от неё.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Программа обучения по защите персональных данных — образец

—Темы инструктажа работников по 152-ФЗ

—Как составить программу обучения по защите ПДн

—План занятий по персональным данным для сотрудников

—Обучение работников обработке ПДн — содержание курса

—Инструктаж по персональным данным при приёме на работу

—Что должны знать сотрудники о защите персональных данных

—Программа обучения по ролям: кадры, бухгалтерия, продажи

Четыре документа про обучение делят между собой четыре разных вопроса. Приказ — как часто и для кого обязательно. Программа — чему учим. Тестовые материалы — как проверяем усвоение. Журнал — кто и когда прошёл. Собрать всё в одну бумагу можно, но тогда любое изменение содержания требует переиздания приказа, а это ровно та причина, по которой программы не обновляются годами.

04 Обязательное содержание

Что должно быть в документе

Программа собирается из общей части и ролевых блоков — примерно поровну.

Категории обучаемых. Кто именно учится и по какому блоку: кадры, бухгалтерия, продажи и клиентский сервис, ИТ и администраторы, руководители. Отдельно — вводное обучение для вновь принятых.

Общая часть, короткая. Что относится к персональным данным в вашей организации, на каком основании они обрабатываются, что такое утечка и почему сутки на уведомление считаются с момента обнаружения. Без пересказа структуры закона: пятнадцать минут, не больше.

Ролевые блоки на ваших примерах. Основной объём. Для каждой категории — три-четыре реальные ситуации из её работы и правильные действия в них. Абстрактные примеры не запоминаются и не переносятся на практику.

Что делать при подозрении на инцидент. Единственная тема, обязательная для всех без исключения: кому сообщить, в какой срок, что нельзя делать самому. Скорость здесь стоит денег буквально.

Порядок работы с обращениями субъектов. Для тех, кто общается с людьми: как распознать обращение, куда его передать и почему нельзя отвечать самостоятельно «мы ничего не храним».

Формат и продолжительность. Очно, дистанционно, в записи; объём в часах по каждой категории. Занятие дольше сорока минут перестаёт усваиваться — лучше два коротких, чем одно образцовое.

Порядок проверки усвоения. Ссылка на тестовые материалы и правило, что делать с теми, кто тест не прошёл: повторное занятие, а не формальная отметка.

Порядок пересмотра. Не реже раза в год и обязательно после изменения законодательства, внедрения новых систем и после каждого инцидента: разобранный случай — лучший учебный материал из существующих.

05 Правовая база

Требования законодательства

п. 6 ч. 1 ст. 18.1 152-ФЗознакомление работников, непосредственно обрабатывающих ПДн, с законодательством, локальными актами и требованиями к защите данных

ч. 1 ст. 18.1 152-ФЗсостав и перечень мер оператор определяет самостоятельно

ч. 2 ст. 19 152-ФЗорганизационные меры защиты наряду с техническими

ст. 17 152-ФЗправо субъекта на возмещение убытков и компенсацию морального вреда — предъявляется оператору, а не работнику

приказ ФСТЭК № 21меры защиты, исполнение которых зависит от действий пользователей информационной системы

Обратите внимание на глагол в законе — «ознакомить». Формально его закрывает подпись на листе ознакомления, и многие этим и ограничиваются. Но ознакомление под подпись доказывает только то, что человек видел документ. Между «видел» и «изменил своё поведение» лежит вся программа обучения, и разница обнаруживается ровно в тот день, когда сотрудник решает, отправлять ли файл на личную почту.

06 Связи в комплекте

Как связан с другими документами

Программа — содержательный центр обучающего блока комплекта.

Приказ задаёт обязательность и ритм. Приказ о периодическом обучении отвечает, кто и как часто учится; программа — чему именно.

Тесты проверяют усвоение программы. Тестовые материалы собираются строго по темам программы: вопрос, которого не было на занятии, проверяет не обучение, а сообразительность.

Журнал фиксирует прохождение. Журнал связывает конкретного человека, дату и тему — без него программа остаётся намерением.

Памятка — выжимка для ежедневного применения. Памятка пишется из программы, а не отдельно: иначе на занятии говорят одно, а на стене висит другое.

07 Проверка

Что спросит проверяющий

Программу проверяют не по оглавлению, а по тому, что помнят люди.

Разговор с рядовым работником. Спрашивают у кадровика или менеджера, что он сделает, если клиент попросит удалить свои данные, и кому сообщит о потерянной флешке. Ответы показывают качество обучения точнее любого документа.

Есть ли разделение по категориям. Единый курс для всех сообщает, что содержание не продумывалось: у бухгалтерии и у администраторов нет общих сценариев, кроме сообщения об инциденте.

Свежесть примеров. Смотрят, отражены ли в программе системы, которыми организация реально пользуется. Программа, не упоминающая мессенджеры и облачные диски, написана не про эту компанию.

Обучались ли принятые за последний год. Сверяют список принятых с журналом. Вводное обучение при приёме — самый частый пробел.

Что происходит с не прошедшими тест. Спрашивают, были ли такие и что с ними делали. Стопроцентный результат у всех и всегда означает, что проверки усвоения фактически нет.

08 Разбор эксперта

Разбор эксперта

Если бы можно было изменить в типовой программе обучения только одну вещь, я бы убрал из неё закон. Не целиком, но почти: пятнадцать минут общей части — и достаточно. Всё остальное время должно уходить на ситуации, которые у этих людей случаются каждую неделю. Причина простая. Работник не принимает решений в терминах статей. Он принимает их в терминах «отправить или не отправить», «сохранить на рабочий стол или не сохранять», «дать коллеге свой пароль на пять минут или отказать». Обучение, которое не содержит этих формулировок, не участвует в его решениях вообще.

Второе, что мы советуем всегда, — разделить программу по ролям, даже если организация небольшая. Способы уронить защиту у разных подразделений не пересекаются. Кадры теряют данные через сканы паспортов в общих папках и хранение дел уволившихся. Бухгалтерия — через выгрузки и пересылку файлов подрядчикам. Продажи — через экспорт базы перед уходом к конкуренту. Администраторы — через копии рабочих баз, развёрнутые для тестирования и забытые. Один курс на всех вынужденно говорит о том общем, чего нет ни у кого конкретно.

И третье, из практики разборов: лучший учебный материал — ваш собственный инцидент. Не чужой кейс из новостей, а история, которая произошла у вас, рассказанная без фамилий. Она запоминается целиком и работает годами, потому что слушатели узнают обстановку: тот же коридор, та же система, тот же аврал в конце квартала. Поэтому мы просим клиентов заводить правило: после каждого разбора инцидента в программу добавляется один новый пример. Через два года у вас обучение, которое невозможно купить.

Что мы советуем при подготовке комплекта

Сократите общую правовую часть до пятнадцати минут и перенесите вес на ролевые блоки: кадры, бухгалтерия, продажи и клиентский сервис, ИТ, руководители. В каждом блоке — три-четыре ситуации из реальной работы этих людей с правильными действиями. Сделайте обязательным для всех только одно — порядок действий при подозрении на инцидент. Заложите вводное обучение при приёме на работу, а не ожидание годовой кампании. Свяжите программу с тестовыми материалами по темам. И добавляйте в неё разобранные собственные случаи: свой пример стоит десяти чужих.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

09 Частые вопросы

Частые вопросы

Обязательна ли программа обучения по 152-ФЗ?

Закон требует ознакомить работников, непосредственно обрабатывающих персональные данные, с законодательством, локальными актами и требованиями к защите. Формы документа он не устанавливает, но выполнить эту обязанность осмысленно без программы трудно: без неё содержание занятия каждый раз придумывается заново.

Чем обучение отличается от ознакомления под подпись?

Ознакомление доказывает, что человек видел документ. Обучение меняет его поведение в конкретных ситуациях. Подпись на листе ознакомления собирается за полчаса и ни на что не влияет — именно поэтому инциденты происходят в организациях с полностью подписанными листами.

Всех ли работников нужно обучать?

Обязанность закон связывает с теми, кто непосредственно обрабатывает данные, но на практике круг шире: доступ к персональным данным есть почти у всех, кто работает с клиентами или коллегами. Разумнее развести объём по ролям, чем сокращать список обучаемых.

Сколько должно длиться занятие?

Ориентир — до сорока минут на блок. Дальше усвоение падает, и трёхчасовой курс даёт меньше, чем два коротких занятия в разные дни. Объём в часах по каждой категории лучше зафиксировать в самой программе.

Нужно ли обучать вновь принятых сразу?

Да, и это самый частый пробел. При годовой кампании принятые после неё работают до следующей без всякого обучения — а именно новички чаще всего и допускают ошибки. Вводный блок должен запускаться приёмом на работу, а не календарём.

Можно ли проводить обучение дистанционно?

Можно, форма не регламентирована. Важно, чтобы фиксировался факт прохождения конкретным человеком и проверялось усвоение: запись, которую «посмотрели» в фоновом режиме, ничем не отличается от нераспечатанного листа ознакомления.

Как часто обновлять программу?

Не реже раза в год, а также после изменений законодательства, внедрения новых систем и после каждого разобранного инцидента. Последнее важнее прочего: собственный случай — самый убедительный учебный материал.

Связанные документы

Журнал учёта прохождения обучения по защите ПДнПланы и программы Памятка работника по защите персональных данных (краткая)Инструкции и регламенты Приказ о проведении периодического обучения работников по защите ПДнПриказы

Все документы комплекта

Программа обучения работников — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66