10 лет приводим организации по всей России в соответствие с Федеральным законом № 152-ФЗ «О персональных данных»
Тестовые материалы для проверки знаний работников по защите ПДн
Набор вопросов, которым организация подтверждает, что обучение состоялось не формально. Документ короткий, но именно он проводит границу между «работник не знал» и «работник знал и поступил иначе».
Зачем нужен документ
Тестовые материалы принято считать необязательной формальностью: обучение провели, подписи собрали, зачем ещё вопросы. Но у теста есть функция, которой нет ни у одного другого документа обучающего блока, и она не измерительная.
Пока проверки усвоения нет, любая ошибка работника читается как недоработка организации. Менеджер отправил базу на личную почту — значит оператор не обеспечил меры, не объяснил, не проконтролировал. Как только появляется тест с датой, фамилией и результатом, картина меняется: человеку объясняли именно этот случай, он подтвердил, что понял, и поступил иначе. Ответственность организации от этого не исчезает, но перестаёт быть безусловной — и в разговоре с регулятором, и в трудовом споре, и при попытке взыскать ущерб.
Отсюда прямое следствие для содержания. Разграничение работает только тогда, когда вопрос описывает поступок, а не норму. «Что такое персональные данные» не проверяет ничего: определение можно знать и всё равно переслать файл. «Клиент просит по телефону продиктовать данные другого клиента — ваши действия» проверяет ровно то поведение, о котором потом пойдёт речь.
Чем грозит отсутствие
Своего штрафного состава у тестовых материалов нет, и придумывать его мы не станем. Обязанность закон формулирует как ознакомление работников; проверка усвоения — способ сделать это ознакомление доказуемым, а не отдельное требование.
Как ещё называют этот документ
Что должно быть в документе
Хороший тест короткий, ситуативный и разный для разных категорий работников.
Требования законодательства
Как связан с другими документами
Тест замыкает обучающий блок и питает кадровые документы.
Что спросит проверяющий
Смотрят не на факт тестирования, а на то, могло ли оно что-то показать.
Разбор эксперта
Тест по персональным данным почти всегда пишут как школьную контрольную: десять определений, четыре варианта, правильный виден сразу. Такой тест проходят все и с первого раза, и в этом его создатели видят подтверждение качества обучения. На деле он подтверждает единственное — что тест был. Проверяющий это понимает не хуже нас: первое, что он делает, — читает сами вопросы, и по ним видит, чем было обучение на самом деле.
Мы советуем строить вопросы только от ситуаций, и вот почему. Настоящая ценность теста не в измерении, а в границе, которую он проводит. Пока проверки нет, любая ошибка сотрудника означает, что организация не обеспечила меры. Как только есть вопрос «коллега просит переслать таблицу с клиентами на личную почту — ваши действия», ответ на него и дата, разговор становится другим: человеку разбирали ровно этот случай. Но работает это только при совпадении формулировки вопроса с формулировкой поступка. Определение персональных данных такой границы не создаёт.
И то, о чём забывают чаще всего: правило для не прошедших. Если его нет, тест превращается в процедуру с гарантированным результатом — человеку дают вторую и третью попытку, пока он не угадает, и ставят отметку. Мы просим клиентов записать прямо: не прошёл — повторное занятие, потом повторный тест. Заодно это снимает неприятный вопрос проверяющего, почему за три года ни один работник ни разу не ошибся. Разброс результатов — признак живой проверки, а не недостаток.
Стройте тест на ситуациях из работы конкретных подразделений, а определения оставьте на одну-две позиции. Делайте неверные варианты правдоподобными — это должно быть то, что люди действительно делают. Держите объём в десять–пятнадцать вопросов и заранее объявляйте проходной порог. Обязательный для всех блок — действия при подозрении на инцидент. Пропишите правило для не прошедших: повторное занятие и повторный тест, а не третья попытка. И фиксируйте результат по фамилии и дате в журнале учёта обучения — без этой привязки тест перестаёт быть доказательством.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Закон требует ознакомления, а не проверки знаний. Тест нужен не для формального соответствия, а чтобы ознакомление можно было доказать содержательно: подпись подтверждает вручение документа, результат теста — понимание конкретных правил.
Десять–пятнадцать достаточно, если они ситуативные. Длинный тест из определений даёт меньше, чем короткий из случаев: усталость на двадцатом вопросе снижает достоверность сильнее, чем недостаток охвата тем.
Разумный ориентир — не ниже семидесяти процентов, и порог должен быть объявлен заранее. Без порога тест не имеет результата, а значит и последствий, ради которых он проводится.
Направить на повторное занятие и затем на повторное тестирование. Давать попытки подряд до случайного успеха бессмысленно: угаданный вариант не меняет поведения и не создаёт той границы ответственности, ради которой тест и нужен.
Общими стоит делать только вопросы про инцидент и про обращения субъектов. Остальное разводится по ролям: у кадров, бухгалтерии, продаж и администраторов разные способы допустить утечку, и общий тест не проверяет ни один из них предметно.
Обязательство фиксирует согласие не разглашать данные. Тест фиксирует понимание того, какие именно действия считаются разглашением. В споре первое подтверждает принятые обязанности, второе — осведомлённость о правилах.
Вместе с обучением: при приёме на работу и далее с периодичностью, установленной приказом о периодическом обучении. Отдельного графика тестам обычно не нужно — они часть занятия, а не самостоятельное мероприятие.