Тестовые материалы для проверки знаний работников по защите ПДн

Набор вопросов, которым организация подтверждает, что обучение состоялось не формально. Документ короткий, но именно он проводит границу между «работник не знал» и «работник знал и поступил иначе».

Тест, где все ответы очевидны, показывает стопроцентный результат и не доказывает ничего, кроме факта своего существования.

Статусрекомендуемый элемент организационных мер Основаниеп. 6 ч. 1 ст. 18.1 152-ФЗ Публичностьвнутренний Кто утверждаетответственный за организацию обработки ПДн Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Тестовые материалы принято считать необязательной формальностью: обучение провели, подписи собрали, зачем ещё вопросы. Но у теста есть функция, которой нет ни у одного другого документа обучающего блока, и она не измерительная.

Пока проверки усвоения нет, любая ошибка работника читается как недоработка организации. Менеджер отправил базу на личную почту — значит оператор не обеспечил меры, не объяснил, не проконтролировал. Как только появляется тест с датой, фамилией и результатом, картина меняется: человеку объясняли именно этот случай, он подтвердил, что понял, и поступил иначе. Ответственность организации от этого не исчезает, но перестаёт быть безусловной — и в разговоре с регулятором, и в трудовом споре, и при попытке взыскать ущерб.

Отсюда прямое следствие для содержания. Разграничение работает только тогда, когда вопрос описывает поступок, а не норму. «Что такое персональные данные» не проверяет ничего: определение можно знать и всё равно переслать файл. «Клиент просит по телефону продиктовать данные другого клиента — ваши действия» проверяет ровно то поведение, о котором потом пойдёт речь.

Темы вопросов берутся из программы обучения, а результаты фиксируются в журнале учёта обучения: тест без записи о конкретном человеке доказательной силы не имеет.

02 Ответственность

Чем грозит отсутствие

Своего штрафного состава у тестовых материалов нет, и придумывать его мы не станем. Обязанность закон формулирует как ознакомление работников; проверка усвоения — способ сделать это ознакомление доказуемым, а не отдельное требование.

Цена события, а не документа. Ответственность за утечку персональных данных начинается с трёх миллионов рублей для организации и растёт по числу пострадавших субъектов, а при повторе становится оборотной. Подавляющее большинство таких событий — действия работников, а не взломы.

Требования субъектов адресуются оператору. Ст. 17 152-ФЗ даёт право на возмещение убытков и компенсацию морального вреда, и предъявляется оно организации. Довод «сотрудник действовал по своей инициативе» без подтверждения обучения звучит слабо.

Трудовая сторона вопроса. Дисциплинарные меры и тем более взыскание ущерба требуют доказать, что работник был ознакомлен с правилами. Тест с результатом и датой — как раз такое доказательство, в отличие от подписи на общем листе.

Суммы и составы разбираются в карточках, где они применимы напрямую. Здесь важнее другое: тест — единственный документ обучающего блока, который переводит разговор из плоскости «организация не обеспечила» в плоскость «человек знал». Именно поэтому вопросы в нём должны описывать поступки, а не термины.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Тест по защите персональных данных для сотрудников — образец

—Вопросы для проверки знаний по 152-ФЗ

—Как составить тест по персональным данным

—Аттестация работников по вопросам защиты ПДн

—Проверка знаний после инструктажа по ПДн

—Контрольные вопросы по обработке персональных данных

—Что спрашивать у сотрудников про защиту данных

—Тестирование при приёме на работу по 152-ФЗ

Тест легко перепутать с обязательством о неразглашении: оба подписываются работником и оба потом достают при разборе. Разница принципиальная. Обязательство фиксирует, что человек согласился не разглашать. Тест фиксирует, что он понимает, какие именно действия считаются разглашением. Первое — согласие, второе — знание, и в споре они работают по-разному.

04 Обязательное содержание

Что должно быть в документе

Хороший тест короткий, ситуативный и разный для разных категорий работников.

Вопросы по темам программы, а не сверх них. Вопрос о том, чего не было на занятии, проверяет сообразительность, а не обучение, и в споре легко обесценивается.

Ситуации вместо определений. Основа теста: описанный случай и выбор действия. Коллега просит переслать таблицу с клиентами на личную почту; клиент по телефону просит данные другого клиента; на рабочем столе найдена флешка с фамилиями. Определения оставьте на одну-две позиции.

Правдоподобные неверные варианты. Если единственный правильный ответ виден без чтения вопроса, тест не измеряет ничего. Неверные варианты должны быть тем, что люди действительно делают.

Ролевые наборы. Для кадров, бухгалтерии, продаж и клиентского сервиса, ИТ. Общими остаются вопросы про инцидент и про обращения субъектов.

Обязательный блок про инцидент. Кому сообщить, в какой срок, что нельзя делать самому. Единственная тема, которую спрашивают у всех.

Объём и порог. Десять–пятнадцать вопросов, заранее объявленный проходной результат. Порог ниже семидесяти процентов лишает тест смысла.

Правило для не прошедших. Повторное занятие и повторный тест, а не третья попытка угадать. Это же правило отвечает на вопрос проверяющего, что происходит с теми, кто не справился.

Фиксация результата. Фамилия, дата, набранный результат, подпись или электронная отметка. Без привязки к человеку тест перестаёт быть доказательством и становится статистикой.

05 Правовая база

Требования законодательства

п. 6 ч. 1 ст. 18.1 152-ФЗознакомление работников с законодательством, локальными актами и требованиями к защите данных

ч. 2 ст. 19 152-ФЗорганизационные меры защиты наряду с техническими

ст. 17 152-ФЗвозмещение убытков и компенсация морального вреда — требование адресуется оператору

ст. 21 ТК РФобязанность работника соблюдать локальные нормативные акты, с которыми он ознакомлен

Проверки знаний закон не требует — он требует ознакомления. Тест нужен не для соответствия норме, а для того, чтобы ознакомление можно было доказать содержательно. Разница проявляется в трудовом споре: подпись на листе подтверждает вручение документа, результат теста — понимание конкретных правил. Второе опровергнуть значительно труднее.

06 Связи в комплекте

Как связан с другими документами

Тест замыкает обучающий блок и питает кадровые документы.

Программа задаёт темы. Программа определяет содержание занятий; вопросы собираются строго по нему.

Журнал хранит результат. Журнал связывает человека, дату и результат — без этой записи тест теряет доказательную функцию.

Обязательство о неразглашении — соседняя гарантия. Обязательство фиксирует согласие не разглашать, тест — понимание того, что разглашением считается. В споре они дополняют друг друга.

Памятка работает между занятиями. Памятка повторяет те же ситуации короче: если формулировки в тесте и памятке расходятся, работник запомнит ту, что попадалась чаще.

07 Проверка

Что спросит проверяющий

Смотрят не на факт тестирования, а на то, могло ли оно что-то показать.

Дайте посмотреть сами вопросы. Первое действие. Тест из определений закона говорит проверяющему, что обучение было теоретическим.

Каково распределение результатов. Сто процентов у всех и всегда означает, что порог отсутствует или вопросы очевидны. Нормальный тест даёт разброс.

Были ли не прошедшие и что с ними стало. Отсутствие таких случаев за несколько лет — тот же признак, что и стопроцентный результат.

Совпадают ли темы с программой. Расхождение показывает, что документы делались независимо и, скорее всего, взяты из разных комплектов.

Есть ли привязка к конкретным людям. Результаты без фамилий и дат не доказывают ничего: невозможно установить, проходил ли тест тот работник, о действиях которого идёт речь.

08 Разбор эксперта

Разбор эксперта

Тест по персональным данным почти всегда пишут как школьную контрольную: десять определений, четыре варианта, правильный виден сразу. Такой тест проходят все и с первого раза, и в этом его создатели видят подтверждение качества обучения. На деле он подтверждает единственное — что тест был. Проверяющий это понимает не хуже нас: первое, что он делает, — читает сами вопросы, и по ним видит, чем было обучение на самом деле.

Мы советуем строить вопросы только от ситуаций, и вот почему. Настоящая ценность теста не в измерении, а в границе, которую он проводит. Пока проверки нет, любая ошибка сотрудника означает, что организация не обеспечила меры. Как только есть вопрос «коллега просит переслать таблицу с клиентами на личную почту — ваши действия», ответ на него и дата, разговор становится другим: человеку разбирали ровно этот случай. Но работает это только при совпадении формулировки вопроса с формулировкой поступка. Определение персональных данных такой границы не создаёт.

И то, о чём забывают чаще всего: правило для не прошедших. Если его нет, тест превращается в процедуру с гарантированным результатом — человеку дают вторую и третью попытку, пока он не угадает, и ставят отметку. Мы просим клиентов записать прямо: не прошёл — повторное занятие, потом повторный тест. Заодно это снимает неприятный вопрос проверяющего, почему за три года ни один работник ни разу не ошибся. Разброс результатов — признак живой проверки, а не недостаток.

Что мы советуем при подготовке комплекта

Стройте тест на ситуациях из работы конкретных подразделений, а определения оставьте на одну-две позиции. Делайте неверные варианты правдоподобными — это должно быть то, что люди действительно делают. Держите объём в десять–пятнадцать вопросов и заранее объявляйте проходной порог. Обязательный для всех блок — действия при подозрении на инцидент. Пропишите правило для не прошедших: повторное занятие и повторный тест, а не третья попытка. И фиксируйте результат по фамилии и дате в журнале учёта обучения — без этой привязки тест перестаёт быть доказательством.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

09 Частые вопросы

Частые вопросы

Обязательно ли тестировать работников по 152-ФЗ?

Закон требует ознакомления, а не проверки знаний. Тест нужен не для формального соответствия, а чтобы ознакомление можно было доказать содержательно: подпись подтверждает вручение документа, результат теста — понимание конкретных правил.

Сколько вопросов должно быть в тесте?

Десять–пятнадцать достаточно, если они ситуативные. Длинный тест из определений даёт меньше, чем короткий из случаев: усталость на двадцатом вопросе снижает достоверность сильнее, чем недостаток охвата тем.

Какой проходной порог установить?

Разумный ориентир — не ниже семидесяти процентов, и порог должен быть объявлен заранее. Без порога тест не имеет результата, а значит и последствий, ради которых он проводится.

Что делать с работником, не прошедшим тест?

Направить на повторное занятие и затем на повторное тестирование. Давать попытки подряд до случайного успеха бессмысленно: угаданный вариант не меняет поведения и не создаёт той границы ответственности, ради которой тест и нужен.

Можно ли использовать один тест для всех подразделений?

Общими стоит делать только вопросы про инцидент и про обращения субъектов. Остальное разводится по ролям: у кадров, бухгалтерии, продаж и администраторов разные способы допустить утечку, и общий тест не проверяет ни один из них предметно.

Чем тест отличается от обязательства о неразглашении?

Обязательство фиксирует согласие не разглашать данные. Тест фиксирует понимание того, какие именно действия считаются разглашением. В споре первое подтверждает принятые обязанности, второе — осведомлённость о правилах.

Как часто проводить тестирование?

Вместе с обучением: при приёме на работу и далее с периодичностью, установленной приказом о периодическом обучении. Отдельного графика тестам обычно не нужно — они часть занятия, а не самостоятельное мероприятие.

Связанные документы

Программа обучения работников по вопросам защиты ПДнПланы и программы Журнал учёта прохождения обучения по защите ПДнПланы и программы Типовая форма обязательства о неразглашении персональных данныхСогласия и уведомления

Все документы комплекта

Тестовые материалы — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66