Никита Малов.

Основатель и управляющий партнёр
аналитической компании ДОВОДАналитика рынков · OSINT

Факты. Решения.
Развитие бизнеса.

Акт категорирования персональных данных: перечень персональных данных

Акт категорирования фиксирует, какие персональные данные компания обрабатывает, к какому типу они относятся и какой уровень защищённости нужен информационной системе. Ниже — бланк и образец заполнения с перечнем персональных данных по отделам.

Бланк в WordWord, 11 КБ Образец в WordWord, 11 КБ Образец в PDFPDF, 66 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

ООО «Ромашка»

УТВЕРЖДАЮ

Генеральный директор П. П. Петров

«16» ноября 2026 г.

Акт категорирования персональных данных

информационной системы персональных данных «Кадры и клиенты»

16 ноября 2026 г. № 7

Комиссия в составе: председатель — заместитель директора А. С. Смирнов, члены комиссии — руководитель отдела кадров И. И. Иванова, системный администратор Д. О. Кузнецов, провела категорирование информационной системы персональных данных «Кадры и клиенты».

Система обрабатывает персональные данные работников, соискателей и клиентов — физических лиц. Перечень персональных данных: фамилия, имя, отчество; дата рождения; паспортные данные; адрес регистрации; ИНН и СНИЛС; номер телефона и адрес электронной почты; сведения о трудовой деятельности и заработной плате; сведения о состоянии здоровья в части листков нетрудоспособности.

Обрабатываются специальные категории персональных данных — сведения о состоянии здоровья работников, и биометрические персональные данные не обрабатываются. Субъектов персональных данных — более ста тысяч.

По результатам категорирования системе присвоен уровень защищённости УЗ-2: обрабатываются специальные категории персональных данных более чем ста тысяч субъектов. Требования к защите установлены постановлением Правительства РФ от 01.11.2012 № 1119.

Председатель комиссии

Заместитель директора

____________ / А. С. Смирнов /

Члены комиссии

Руководитель отдела кадров

____________ / И. И. Иванова /

Зачем нужен акт категорирования

Акт категорирования — внутренний документ, которым компания определяет, какие персональные данные она обрабатывает и к какой категории они относятся. От этого зависит уровень защищённости информационной системы и набор мер по защите.

Категории и уровни защищённости задаёт постановление Правительства РФ от 01.11.2012 № 1119. Компания проходит по его пунктам и фиксирует результат в акте, чтобы решение о защите системы было обосновано документом, а не устной договорённостью.

Что входит в перечень персональных данных

  • Общие данные: фамилия, имя, отчество, дата и место рождения, адрес, паспортные данные, ИНН, СНИЛС.
  • Контакты: номер телефона, адрес электронной почты, мессенджеры.
  • Трудовые данные: должность, подразделение, стаж, сведения о доходах и вычетах.
  • Специальные категории: состояние здоровья, в том числе листки нетрудоспособности, сведения о медицинских осмотрах.
  • Биометрические данные: фотография в пропуске, отпечаток пальца, запись голоса — если их используют для установления личности.
  • Данные клиентов и контрагентов — физических лиц: реквизиты договоров, история заказов, переписка.

Как составить акт категорирования

  1. Соберите комиссию. Включите в неё ответственного за обработку персональных данных, руководителя отдела кадров и специалиста, который отвечает за информационные системы.
  2. Опишите систему. Укажите, какие процессы она обслуживает: кадровый учёт, бухгалтерия, сайт с формами заявок, CRM.
  3. Перечислите данные. Выпишите по каждому процессу все персональные данные, которые собираете и храните, включая сканы документов и вложения в письмах.
  4. Определите категории. Отметьте, есть ли специальные категории и биометрия, сколько субъектов данных обрабатывается — больше или меньше ста тысяч.
  5. Присвойте уровень защищённости. Пройдите по пунктам постановления № 1119 и запишите результат: УЗ-1, УЗ-2, УЗ-3 или УЗ-4.
  6. Подпишите и утвердите. Подпишите акт составом комиссии и утвердите у руководителя компании; храните вместе с моделью угроз и документами по защите.

Частые ошибки

  • В перечне указаны только паспортные данные, а сканы листков нетрудоспособности и медосмотров не учтены — специальная категория пропущена.
  • Биометрией считают любую фотографию, хотя для установления личности она не используется.
  • Уровень защищённости выбирают по привычке, не сверяясь с постановлением № 1119.
  • Акт составлен один раз и не пересматривается после запуска новой системы или нового процесса.
  • В акте нет числа субъектов персональных данных, хотя от него зависит уровень защищённости.

Частые вопросы

Обязателен ли акт категорирования по закону?

Прямой обязанности составлять акт именно с таким названием закон не устанавливает. Но оператор обязан знать, какие данные и в каком объёме он обрабатывает, и обеспечить их защиту по постановлению № 1119. Акт — удобная форма, в которой это решение зафиксировано и подтверждено при проверке.

Чем акт категорирования отличается от перечня персональных данных?

Перечень — это список данных по процессам и отделам. Акт категорирования включает перечень и добавляет к нему категории данных, число субъектов и уровень защищённости системы. Перечень часто оформляют приложением к акту.

Как определить уровень защищённости?

По постановлению № 1119: смотрят, есть ли специальные категории, биометрия, общедоступные данные, сколько субъектов — больше или меньше ста тысяч, являются ли они работниками оператора, и тип актуальных угроз безопасности. По сочетанию этих признаков получают УЗ-1, УЗ-2, УЗ-3 или УЗ-4.

Нужно ли пересматривать акт?

Да, при запуске новой системы, подключении нового процесса или изменении состава данных. Старый акт заменяют новым с новой датой, прежний хранят.

Кто подписывает акт?

Комиссия, которую назначил руководитель компании. Акт утверждает руководитель или уполномоченное им лицо. Если в компании назначен ответственный за обработку персональных данных, его подпись в составе комиссии обязательна.

Когда категорирование и перечни данных делаются вручную

Чтобы перечни данных собирались сами

Ручной перечень персональных данных устаревает после каждого нового сервиса: данные появляются в формах на сайте, в CRM, в почте и мессенджерах, а в акте остаются прежние строки.

Я настраиваю ИИ-агентов, которые собирают сведения о персональных данных по вашим системам, сверяют их с перечнем в акте и показывают, что появилось нового и где данные хранятся без учёта.

Читать об услуге «ИИ-агенты под задачу компании»

Другие образцы