В 2026 году вопросы обеспечения защиты персональных данных (ПДн) приобрели критическое значение для любого бизнеса и государственных учреждений в РФ․ Ужесточение административной ответственности (ст․ 13․11 КоАП РФ), новые разъяснения Роскомнадзора и практика судебного разбирательств требуют системного подхода к формированию внутренней нормативной базы․ Данная статья представляет подробный обзор необходимого пакета локальных актов, их структуру и ключевые наполнения с учетом актуальных требований законодательства․

Нормативная база и актуальные изменения на 2026 год

Основой для разработки локальных актов служат:

• ФЗ-152 «О персональных данных» (в редакции, действующей на 2026 г․, включая поправки по переграничной передаче и биометрии)․
• Постановление Правительства РФ № 1119 (требования к защите ПДн при их обработке в ИСПДн)․
• Приказ ФСТЭК РФ от № 21 (уровни защищенности ИСПДн)․
• Приказ Росархива от № 236 (утвержден типовые составы и сроки хранения документов, включая п․ 440, регулирующий хранение документов по защите ПДн)․
• Методические рекомендации Роскомнадзора и ФСТЭК РФ․

Ключевые тренды 2026 года:

1. Обязательная оценка последствий для субъектов ПДн (ОПД) перед внедрением новых технологий․
2. Строгие требования к учету инцидентов безопасности и уведомлению оператора/Роскомнадзора в установленные сроки (не позднее 24 часов)․
3. Расширенные права субъектов ПДн (право на забвение, переносимость данных, отказ от автоматизированного принятия решений)․

Перечень обязательных локальных актов (Минимальный пакет)

Согласно ч․ 2 ст․ 22 ФЗ-152 и п․ 6 Постановления № 1119, оператор обязан разработать и утвердить следующие документы:

Детальная структура ключевых документов

Политика в отношении обработки ПДн (Публичный документ)

Размещается на официальном сайте оператора в неограниченном доступе․ Обязательные разделы:

• Общие положения (цели, правовая основа)․
• Категории обрабатываемых ПДн (ФИО, контакты, паспортные данные, СНИЛС, ИНН, биометрия и т․д․)․
• Цели обработки (исполнение договора, расчет зарплаты, маркетинг, видеонаблюдение)․
• Правовые основания (согласие, договор, закон, жизненные интересы)․
• Способы и сроки обработки / уничтожения․
• Перечень третьих лиц (операторов, курьеров, банков, ), которым передаются данные․
• Переграничная передача (страны-получатели, адекватность защиты)․
• Права субъекта ПДн и порядок их реализации (контакты ДПО / Ответственного: тел․ —, email: @*․ru)․
• Меры безопасности (технические, организационные)․
• Дата вступления в силу и версия документа․

Положение о защите персональных данных (Внутренний, основной документ)

Это «конституция» защиты данных внутри организации․ Рекомендуемая структура:

Раздел I․ Общие положения

• Назначение и область действия․
• Основные термины и определения․
• Нормативные ссылки․

Раздел II․ Организация процесса защиты ПДн

• Назначение Ответственного за защиту ПДн (ФИО: * * , должность, приказ № от ․․202*)․
• Создание комиссии по защите ПДн (при штате > 50 чел․ или обработке спецкатегорий)․
• Полномочия ответственного лица и комиссии․

Раздел III․ Учет и категорирование ПДн

• Процедура ведения Карты категорий ПДн․
• Инвентаризация носителей информации (бумага, флешки, серверы, облака)․
• Категорирование ИСПДн (Уровни 1–4) с обоснованием․

Раздел IV․ Организационные меры безопасности (согласно Прил․ к Пост․ № 1119)

• Режим доступа к помещениям (СКУД, журналы посещений, охрана)․
• Учет и защита носителей (маркировка, хранение в сейфах/металлических шкафах, уничтожение актами)․
• Работа с персоналом: инструктажи (вводовые, первичные, повторные), подписка на допуск/неразглашение, обучение․
• Порядок предоставления доступа к ПДн (принцип минимальных привилегий, матрица доступа)․
• Порядок привлечения третьих лиц (Договоры с операторами, проверка надежности)․

Раздел V․ Технические меры безопасности

• Идентификация и аутентификация пользователей (пароли, МФА, токены)․
• Разделение доступа (Ролевая модель RBAC)․
• Антивирусная защита, обновление ПО, управление уязвимостями․
• Контроль целостности ПО и данных (хэш-суммы)․
• Резервное копирование (регламент, хранение копий, тестирование восстановления)․
• Средства криптографической защиты информации (СКЗИ) — ФКСН/ФКН (для УЗ 1-3)․
• Учет событий безопасности (SIEM, логи доступа, хранение логов не менее 3 лет)․

Раздел VI․ Реагирование на инциденты безопасности

• Классификация инцидентов․
• Порядок обнаружения, регистрации, локализации, устранения и расследования․
• Порядок уведомления Роскомнадзора (форма, срок 24 часа) и субъектов ПДн․
• Анализ причин и корректировка мер защиты․

Раздел VII․ Контроль и аудит

• Внутренний аудит (плановый/внеплановый) не реже 1 раза в год․
• Взаимодействие с ФСТЭК/Роскомнадзором при проверках․
• Отчетность перед руководством․

Инструкция по организации защиты ПДн (Методический документ для сотрудников)

Документ «для каждого дня»․ Пишется простым языком, без ссылок на статьи законов․

• Правила работы с бумажными носителями: чистый стол, блокировка шкафов, переработка (шредер) по акту․
• Правила работы на АРМ: блокировка сессии (Win+L), запрет чужих флешек, сложные пароли (смена раз в 90 дней), запрет передачи паролей коллегам․
• Работа с почтой и облаками: шифрование вложений с ПДн (пароль по другому каналу), запрет личных почт для служебной переписки․
• Видеонаблюдение: зоны съемки, сроки хранения записей (обычно 30 дней), порядок выдачи записей (только по заявлению субъекта/суду/полиции)․
• Действия при подозрении на утечку/вирус: отключить кабель/вай-фай, не выключать ПК, вызвать администратора/ИБ (тел․ *)․

Специфические локальные акты (По обстоятельствам)

Оценка последствий для субъектов ПДн (ОПД / DPIA)

Обязательна при:

• Обработке биометрических/генетических данных․
• Автоматизированном принятии решений (скоринг, HR-боты)․
• Массовом мониторинге (видеонаблюдение в общественных местах, трекинг Wi-Fi/Bluetooth)․
• Переграничной передаче в страны без адекватного уровня защиты․

Документы по работе с операторами (Аутсорсинг)

• Договор на обработку ПДн (ст․ 28 ФЗ-152) — обязателен при передаче данных третьим лицам (бухаутсорс, колл-центры, облачные 1С, *)․
• Акт передачи-приемки ПДн (с указанием объема, категории, носителя)․
• Инструкция по контролю исполнения договора оператором (аудит оператора 1 раз в год)․

Локальные акты для HR / Кадровой службы

• Положение о обработке ПДн работников и соискателей․
• Формы согласий работников (на обработку, на фото/видео, на рассылку, на биометрию СКУД)․
• Порядок ознакомления работников с локальными актами под роспись (Журнал ознакомления)․
• Порядок уничтожения ПДн по истечении сроков хранения (Акт уничтожения, Комиссия)․

Оформление, хранение и контроль документов (ссылка на Приказ Росархива № 236)

Согласно п․ 440 Приказа Росархива от № 236, документы по защите ПДн относятся к категории «Документы по вопросам защиты персональных данных»․

• Срок хранения: Как правило, 5 лет после прекращения действия документа (утраты силы), либо до следующей ревизии/аудита․ Журналы учета инцидентов — 5 лет․
• Форма хранения: Бумажная (подпись руководителя, печать при наличии, нумерация, прошивка) или Электронная (ЭДО, КЭП руководителя, соответствие ГОСТ Р 7․0․97-2016)․
• Нумерация: Рекомендуется единая система регистрации (например, ЛНА-ПДн-2026-001)․
• Доступ: Положение и Инструкция, только для сотрудников, допущенных к ПДн (под роспись в Журнале ознакомления)․ Политика — публичный доступ․

Типичные ошибки при разработке (Чек-лист для самопроверки)

1. Копипаст из интернета без адаптации․ В документе указаны категории ПДн, которых у вас нет (например, биометрия, данные о здоровье), или отсутствуют реальные (данные водителей, видеонаблюдение)․
2. Отсутствие привязки к ИСПДн․ Положение пишется в вакууме, не описаны конкретные системы (1С, CRM, Сайт, Почта, СКУД, Видеонаблюдение) и меры защиты для каждой․
3. Формализм в Модели угроз․ Угрозы скопированы из типовых каталогов ФСТЭК без учета специфики инфраструктуры (нет угрозы «утечка через облачный 1С», «компрометация учетной записи админа» и т․д․)․
4. Нет процедуры уничтожения․ Данные хранятся «вечно», акты уничтожения не составляются․
5. Игнорирование ОПД․ Внедряют новую CRM с авто-скорингом или СКУД с лицом без ОПД․
6. Отсутствие договоров с операторами․ Передача данных в аутсорс (кадры, юристы, маркетинг) без ст․ 28 ФЗ-152․
7. Неактуальные контакты ДПО/Ответственного․ В Политике на сайте указан уволенный сотрудник или несуществующий email․

Практический алгоритм внедрения (Roadmap)

1. Инвентаризация (Аудит): Опросники подразделений -> Карта потоков ПДн -> Реестр ИСПДн․
2. Категорирование ИСПДн: Определение УЗ (1-4) для каждой системы -> Акт категорирования․
3. Модель угроз: Для каждой ИСПДн по УЗ 1-3 (для УЗ 4 — по желанию/корпоративным стандартам)․
4. Разработка пакета ЛНА: Положение, Инструкция, Политика, Перечни, Журналы, План мероприятий․
5. Техническая реализация: Настройка прав доступа, СКЗИ, антивирусы, бэкапы, логирование, DLP/СКЗИ для УЗ 1-2․
6. ОПД (при необходимости): Проведение оценки, согласование с Роскомнадзором (если высокие остаточные риски)․
7. Утверждение и ознакомление: Приказ об утверждении -> Ознакомление сотрудников под роспись -> Обучение․
8. Внутренний аудит: Проверка соответствия факта документам через 1-2 месяца после внедрения․
9. Текущая поддержка: Ежеквартальный мониторинг логов, ежегодный аудит, обновление ЛНА при изменениях законов/бизнес-процессов․

Ответственность за нарушения в 2026 году (Ст․ 13․11 КоАП РФ)

Несоответствие локальных актов требованиям закона или их отсутствие влечет штрафы:

• Для должностных лиц: от 20 000 до 50 000 руб․ (п․ 1 ст․ 13․11)․
• Для юрлиц: от 100 000 до 500 000 руб․ (п․ 1 ст․ 13․11)․
• За повторное нарушение: до 100 000 руб․ (должностные) и до 1 000 000 руб․ (юрлица) + дисквалификация до 3 лет․
• За утечку/несанкционированный доступ: до 500 000 руб․ (юрлица) за каждое нарушение (п․ 3 ст․ 13․11)․
• За несвоевременное уведомление об утечке: до 500 000 руб․ (юрлица)․

Примечание: Роскомнадзор активно применяет квалификацию «за каждое нарушение» (каждая запись в БД = отдельное нарушение), что может привести к суммам в десятки миллионов рублей․

Грамотно разработанная система локальных актов по защите персональных данных, это не просто «бумага для проверки», а работающий инструмент управления рисками․ В 2026 году акцент сместился с формального оформления на доказуемую эффективность мер защиты: наличие актуальной Модели угроз, регулярного внутреннего аудита, работающей процедуры реагирования на инциденты и проведенной ОПД для рисковых обработок․

Рекомендуется не копировать шаблоны, а строить документы на результатах реального аудита потоков данных в вашей организации․ При отсутствии компетенций внутри штата целесообразно привлечь профильных консультантов (лицензиатов ФСТЭК/ФСБ) для проведения категорирования, разработки Модели угроз и экспертизы пакета ЛНА перед утверждением․

Данная статья носит информационный характер и не является правовым консультированием․ Для подготовки конкретных документов с учетом специфики вашей организации обратитесь к специалистам по защите информации и юристам, специализирующимся на ФЗ-152․ Контакты для связи: тел․ —, email: *@*․ru․