Акт оценки вреда субъектам персональных данных 2023

С 1 марта 2023 года оператор персональных данных оценивает вред, который может причинить субъектам нарушение закона о персональных данных, и оформляет результат актом. Ниже — бланк акта и образец заполнения для компании, которая обрабатывает данные клиентов и работников.

Бланк в WordWord, 11 КБ Образец в WordWord, 12 КБ Образец в PDFPDF, 69 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

ООО «Ромашка»

ИНН 7701234567, 125009, г. Москва, ул. Тверская, д. 1, офис 10

от 14 ноября 2026 г.

№ 3

Акт оценки вреда, который может быть причинён субъектам персональных данных

в случае нарушения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»

14 ноября 2026 г. № 3

Оценка проведена ответственным за организацию обработки персональных данных ООО «Ромашка» на основании пункта 5 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и Требований, утверждённых приказом Роскомнадзора от 27.10.2022 № 178.

Оператор обрабатывает персональные данные работников, соискателей, клиентов — физических лиц и представителей контрагентов. Обработка ведётся в информационных системах персональных данных «Кадры» и «Клиенты», а также на бумаге. Обрабатываются фамилия, имя, отчество, дата рождения, паспортные данные, адрес, телефон, адрес электронной почты, сведения о трудовой деятельности, реквизиты банковской карты для выплат.

Специальные категории персональных данных не обрабатываются, биометрические персональные данные не обрабатываются, данные не передаются за границу.

По результатам оценки установлена средняя степень вреда. Основание: оператор обрабатывает персональные данные клиентов в дополнительных целях, отличных от первоначальной цели сбора, — для продвижения услуг.

Оценку провёл ответственный за организацию обработки персональных данных ведущий специалист по защите информации Н. С. Мамедова.

Лица, проводившие оценку

Ответственный за организацию обработки персональных данных

____________ / Н. С. Мамедова /

Утвердил

Генеральный директор ООО «Ромашка»

____________ / А. В. Смирнов /

Зачем нужен акт оценки вреда

Закон обязывает оператора принимать меры для выполнения обязанностей по обработке персональных данных, и одна из них — оценка вреда, который может быть причинён субъектам в случае нарушения закона. Это пункт 5 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Порядок оценки установил Роскомнадзор приказом от 27.10.2022 № 178. Требования действуют с 1 марта 2023 года и применяются до 1 марта 2029 года. Результат оценки оформляют актом — без него не обходится ни проверка, ни уведомление об утечке.

Требования не зависят от размера компании: акт составляет и небольшое ООО, и бюджетное учреждение. Оценку проводит ответственный за организацию обработки персональных данных либо комиссия, которую образует оператор.

Что указать в акте оценки вреда

Наименование оператора, а для предпринимателя — фамилию, имя, отчество и реквизиты.
Дату проведения оценки и дату составления акта.
Указание на степень вреда: высокую, среднюю или низкую.
Фамилии, имена, отчества лиц, которые проводили оценку, их должности и подписи.
Основание оценки: пункт 5 части 1 статьи 18.1 закона № 152-ФЗ и приказ Роскомнадзора № 178.
Какие персональные данные и каких субъектов обрабатывает оператор — это помогает обосновать степень вреда.
Обоснование выбранной степени: чем именно рискует человек при нарушении.

Как провести оценку и заполнить акт

Определите, кто проводит оценку. Приказом назначьте ответственного за организацию обработки персональных данных или создайте комиссию. В акте укажите тех, кто действительно проводил оценку.
Опишите обработку. Перечислите категории субъектов, состав данных, информационные системы, бумажные носители, передачу третьим лицам. От этого зависит степень вреда.
Выберите степень вреда. Сверьтесь с приказом № 178: он перечисляет нарушения, которые ведут к высокой, средней или низкой степени. Выбранную степень объясните фактами своей обработки.
Составьте акт. Внесите обязательные сведения, подпишите акт у лиц, проводивших оценку, и утвердите у руководителя.
Храните и передавайте. Держите акт вместе с документами по защите персональных данных. При утечке результаты оценки передают в Роскомнадзор вместе с уведомлением об инциденте.

Какая степень вреда к чему относится

Низкая степень предусмотрена, например, при ведении общедоступных источников персональных данных, сформированных по статье 8 закона, или назначении ответственным лица, которое не состоит в штате оператора.
Средняя степень предусмотрена, например, при распространении персональных данных на сайте оператора или предоставлении их неограниченному кругу лиц, кроме случаев, установленных федеральными законами, а также при обработке данных в целях, дополнительных к первоначальной цели сбора.
Высокая степень предусмотрена, например, при обработке биометрических или специальных категорий данных, кроме случаев, для которых федеральные законы устанавливают цели, порядок и условия такой обработки. Другие случаи высокой степени перечислены в пункте 2.1 приказа № 178.
Точный перечень нарушений и степеней — в приказе № 178. Если в вашей обработке совпадают признаки нескольких степеней, берите более высокую: она описывает худший сценарий.

Когда акт передают в Роскомнадзор

Отдельно сдавать акт в Роскомнадзор не нужно. Результаты оценки вреда передают в уведомлении об утечке персональных данных: с 1 сентября 2022 года оператор сообщает об инциденте в течение 24 часов с момента обнаружения, а затем в течение 72 часов направляет результаты внутреннего расследования.

Акт пригодится и при плановой проверке: инспектор смотрит, провёл ли оператор оценку и есть ли документ с обязательными сведениями. Отсутствие акта — нарушение требований к обработке персональных данных.

Частые вопросы

Обязателен ли акт оценки вреда для небольшой компании?

Да. Пункт 5 части 1 статьи 18.1 закона № 152-ФЗ распространяется на всех операторов, а приказ Роскомнадзора № 178 не делает исключений по численности или выручке.

Как часто проводят оценку вреда?

Срока периодичности приказ № 178 не устанавливает. Оценку проводят при изменении обработки: новые системы, новые категории данных, новые цели, передача третьим лицам. Разумно пересматривать акт не реже раза в год и при каждом существенном изменении.

Кто подписывает акт?

Лица, проводившие оценку, — ответственный за организацию обработки персональных данных или члены комиссии. Акт утверждает руководитель оператора.

Можно ли оформить акт по типовой форме органа местного самоуправления?

Можно взять её за основу, если в акте есть все обязательные сведения из приказа № 178: оператор, даты, степень вреда, фамилии и подписи проводивших оценку. Свою форму оператор утверждает приказом.

Что будет, если акта нет?

Это нарушение требований к обработке персональных данных. При проверке Роскомнадзор выдаст предписание устранить нарушение, а при утечке отсутствие оценки вреда осложнит защиту: нечем подтвердить, что оператор знал свои риски и управлял ими.

Когда документов по персональным данным становится больше, чем успеваешь вести

Чтобы оценка вреда и уведомления собирались без ручной работы

Акт оценки вреда, уведомления об утечке и политика обработки должны быть готовы к проверке и к инциденту. Каждый раз собирать их вручную долго, а ошибка в степени вреда или в реквизитах стоит предписания.

Я настраиваю ИИ-агентов, которые готовят такие документы по шаблону, подставляют данные оператора и систем и приносят ответственному готовый проект на подпись.

Читать об услуге «ИИ-агенты под задачу компании»