Бесплатный чек-лист
12 пунктов самопроверки по персональным данным — 2026
Основано на действующих требованиях; проверено по источникам 06.09.2026. Отмечайте пункты по порядку: каждый — типовое место, за которое операторам ПДн теперь приходят штрафы.
1. Модель угроз по ПДн актуальна?
С 01.09.2025 действует приказ ФСТЭК России № 0001 — он заменил приказ № 21 от 2013 года. Документы оператора (модель угроз, меры) с этой даты приводятся в соответствие с новым приказом.
Как проверить: найдите дату и основание разработки модели угроз. Если она сделана по приказу № 21 — требуется актуализация под приказ № 0001.
2. Согласия оформлены отдельным документом или действием?
С 01.09.2025 согласие нельзя «прятать» в договоре или оферте. Оператор обязан хранить согласия и фиксировать действия с ними.
Как проверить: откройте формы согласий на сайте и в документах — согласие выделено отдельно? Указан ли способ отзыва?
3. Готов ли порядок «24 часа — 72 часа» при инциденте?
С 01.09.2025: уведомить Роскомнадзор об инциденте — в течение 24 часов (Портал ПДн РКН), результаты внутреннего расследования с оценкой вреда субъектам — в течение 72 часов.
Как проверить: есть ли доступ к Порталу ПДн, назначенный сотрудник и регламент, кто и что делает в первые 24 и 72 часа.
4. Знаете ли вы цену повторной утечки?
С 30.05.2025 действует 420-ФЗ: повторная утечка — оборотный штраф 1–3% выручки за предшествующий год (не менее 25 млн и не более 500 млн ₽). Неуведомление Роскомнадзора об утечке — 1–3 млн ₽.
Как проверить: процесс «инцидент → уведомление → расследование» описан и ответственные назначены до реального инцидента?
5. Учтены ли ПДн и сроки их хранения?
Уведомление об обработке ПДн (ст. 22 152-ФЗ) обязательно для большинства операторов; за непредставление с 30.05.2025 — штраф до 100–300 тыс. ₽. Срок действия согласия и сроки хранения данных фиксируются в документах.
Как проверить: статус оператора в реестре РКН актуален? В документах заявлены сроки хранения и они соблюдаются?
6. Политика обработки ПДн опубликована?
Политика обработки должна быть доступна неограниченному кругу лиц и соответствовать фактическим процессам оператора.
Как проверить: документ находится в открытом доступе (сайт), дата редакции свежее изменений 2025 года, процессы в тексте совпадают с реальными?
7. Ответственный за обработку ПДн назначен?
У оператора назначен сотрудник, отвечающий за организацию обработки персональных данных.
Как проверить: есть ли приказ/должностная инструкция, указаны ли контакты для обращений субъектов в документации.
8. Запросы субъектов ПДн отрабатываются по процедуре?
Субъекты вправе запрашивать сведения об обработке своих данных, требовать уточнения, блокировки или уничтожения — ответы дают в установленные сроки.
Как проверить: есть ли регламент приёма и ответа на запросы, кто подписывает ответы, ведётся ли учёт обращений.
9. Передача третьим лицам указана в согласии?
С 01.09.2025 в согласии указывается перечень третьих лиц, если предполагается передача данных, — вместе с целями и перечнем действий.
Как проверить: сверьте фактических получателей данных (подрядчики, сервисы) с перечнем в действующих формах согласий.
10. Базы данных россиян локализованы в РФ?
152-ФЗ требует при сборе персональных данных, в том числе через Интернет, записывать и хранить их в базах данных на территории Российской Федерации.
Как проверить: где физически размещены системы, в которых собираются и хранятся ПДн, включая сайт и формы обратной связи?
11. Меры защиты приведены к приказу ФСТЭК № 0001?
Новый приказ актуализировал меры под текущие угрозы: добавлены требования к мониторингу событий безопасности, реагированию на инциденты и взаимодействию с подрядными организациями.
Как проверить: комплект организационных и технических мер сверён с новой редакцией; мониторинг событий ИБ настроен?
12. Сотрудники обучены действиям при инциденте?
Сроки 24/72 часа реально работают только тогда, когда сотрудники знают, кому и как сообщать о подозрении на утечку.
Как проверить: проведён ли инструктаж по порядку «инцидент → уведомление → расследование», знает ли персонал ответственного?
Материал носит информационный характер и не является юридической консультацией. Основано на действующих требованиях; проверено по источникам 06.09.2026.
Хотите, проверим за вас?
Бесплатный экспресс-аудит соответствия — 20 минут: разберём, какие пункты чек-листа у вас уже закрыты, а что стоит закрыть в первую очередь.
Записаться на экспресс-аудит