Никита Малов.

Основатель и управляющий партнёр
аналитической компании ДОВОДАналитика рынков · OSINT

Факты. Решения.
Развитие бизнеса.

Акт оценки вреда, который может быть причинён субъектам персональных данных

Операторы персональных данных обязаны оценивать вред, который может быть причинён людям при нарушении закона о персональных данных. Требования к оценке действуют с 1 марта 2023 года. Результат оформляют актом. Ниже — образец и правила заполнения.

Бланк в WordWord, 11 КБ Образец в WordWord, 12 КБ Образец в PDFPDF, 69 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

ООО «Ромашка»

ИНН 7701234567, ОГРН 1157746123456

Адрес: 125009, г. Москва, ул. Тверская, д. 1, офис 10

Акт оценки вреда, который может быть причинён субъектам персональных данных

в случае нарушения Федерального закона «О персональных данных»

«10» ноября 2026 г. № 3

Оценка проведена во исполнение пункта 5 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и Требований, утверждённых приказом Роскомнадзора от 27.10.2022 № 178.

Оценке подвергнуты процессы обработки персональных данных клиентов и работников в информационных системах «1С:Зарплата и управление персоналом» и «Битрикс24». Обрабатываются фамилия, имя, отчество, дата рождения, паспортные данные, адрес, телефон, адрес электронной почты, сведения о трудовой деятельности и заработной плате.

В результате оценки установлена высокая степень вреда. Основание: для установления личности при пропускном режиме обрабатываются биометрические персональные данные — изображение лица. Также обрабатываются сведения о состоянии здоровья работников. При нарушении закона возможны утечка, неправомерный доступ или уничтожение данных, что может причинить субъектам моральный вред и имущественные потери.

Оценку провела комиссия в составе: председатель — заместитель генерального директора Петров П. П., члены — руководитель отдела кадров Иванова И. И., системный администратор Сидоров С. С.

Председатель комиссии

Заместитель генерального директора

____________ / П. П. Петров /

Члены комиссии

Руководитель отдела кадров

____________ / И. И. Иванова /

Системный администратор

____________ / С. С. Сидоров /

Зачем нужен акт оценки вреда

Закон обязывает оператора персональных данных оценивать вред, который может быть причинён субъектам при нарушении закона. Это требование пункта 5 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Порядок оценки установлен приказом Роскомнадзора от 27.10.2022 № 178. Он действует с 1 марта 2023 года до 1 марта 2029 года. Результат оценки оформляют актом. Акт подтверждает, что оператор провёл оценку и определил степень возможного вреда.

Что указать в акте

  • Наименование и адрес оператора-организации либо фамилия, имя, отчество при наличии и адрес оператора — индивидуального предпринимателя.
  • Дата проведения оценки и дата составления акта.
  • Указание на степень вреда: высокую, среднюю или низкую.
  • Фамилии, имена, отчества лиц, которые проводили оценку, и их подписи.
  • Основание проведения оценки — ссылка на закон и приказ Роскомнадзора.
  • Объект оценки: какие процессы обработки, информационные системы и категории данных проверяли.
  • Обоснование выбранной степени вреда.

Как провести оценку и заполнить акт

  1. Назначьте ответственного или комиссию. Оценку проводит ответственный за организацию обработки персональных данных или комиссия оператора. Если оценку проводит комиссия, укажите в акте всех её членов.
  2. Опишите, какие данные и как обрабатываются. Перечислите процессы обработки, информационные системы и категории персональных данных. Отдельно отметьте специальные категории (здоровье, национальность, религия) и биометрические данные — они повышают степень вреда.
  3. Определите степень вреда. Определите степень по случаям, перечисленным в приказе № 178: высокую, среднюю или низкую. Если применимы несколько степеней, укажите более высокую. Например, утечка паспортных данных или сведений о здоровье может причинить существенный вред.
  4. Заполните акт. Внесите наименование оператора, дату оценки, степень вреда, фамилии и подписи участников. Акт можно дополнить обоснованием — это поможет при проверке.
  5. Подпишите и храните. Акт подписывают все, кто проводил оценку. Храните акт вместе с документами по обработке персональных данных. При выявлении неправомерной или случайной передачи данных, повлёкшей нарушение прав субъектов, уведомите Роскомнадзор об инциденте и предполагаемом вреде в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов.

Акт оценки потенциального вреда: чем отличается от текущей оценки

Акт оценки потенциального вреда составляют, когда хотят заранее понять, какие последствия возможны для людей при нарушении закона о персональных данных. Такой документ может быть частью внутреннего аудита или подготовки к проверке.

Закон не требует отдельного акта оценки потенциального вреда: приказ Роскомнадзора № 178 говорит об оценке вреда, который может быть причинён субъектам персональных данных. Формулировка «потенциальный вред» подчёркивает, что вред ещё не наступил, но может возникнуть. Поэтому в акте оценки вреда, который может быть причинён субъектам персональных данных, по сути и оценивают потенциальный вред. Если компания называет документ «акт оценки потенциального вреда», достаточно указать в нём те же обязательные сведения: наименование оператора, даты, степень вреда, фамилии и подписи участников.

Частые ошибки

  • Не указана степень вреда или выбрана без обоснования.
  • В акте нет подписей всех участников оценки.
  • Оценку провёл сотрудник, не назначенный ответственным за обработку персональных данных.
  • Не учтены специальные категории данных, которые повышают степень вреда.
  • Акт составлен задним числом — при проверке это вызывает вопросы.

Частые вопросы

Кто должен проводить оценку вреда?

Ответственный за организацию обработки персональных данных или комиссия оператора. Это следует из приказа Роскомнадзора № 178.

Какие бывают степени вреда?

Три: высокая, средняя и низкая. Оператор определяет степень по случаям, перечисленным в приказе № 178. Если применимы несколько степеней, выбирают более высокую.

Нужно ли передавать акт в Роскомнадзор?

Сам акт в обычном порядке в Роскомнадзор не сдают. При уведомлении об инциденте, повлёкшем нарушение прав субъектов, сообщают в том числе о предполагаемом вреде их правам.

Можно ли использовать типовую форму акта?

Да, закон не запрещает брать за основу типовую форму, утверждённую органом власти или разработанную самостоятельно. Главное — указать обязательные сведения: наименование оператора, даты, степень вреда, фамилии и подписи.

Когда оценка вреда и другие документы по персональным данным отнимают время

Поручить рутину ИИ-агенту

Оценка вреда, подготовка актов и уведомлений — регулярная работа, которая повторяется для каждого процесса и каждой системы.

Я настраиваю ИИ-агентов, которые собирают такие документы по шаблону, проверяют данные и готовят акт на подпись.

Читать об услуге «ИИ-агенты под задачу компании»

Другие образцы