Перечень персональных данных: как составить, образец

• Определение объёма обработки — фиксирует, какие именно данные обрабатывает организация;
• Соблюдение принципа минимизации — позволяет убедиться, что собираются только необходимые данные (ст. 5 ч. 5 152-ФЗ);
• Основание для определения уровня защищённости — категории ПДн влияют на требуемый уровень защиты по Постановлению Правительства РФ № 1119;
• Документальное подтверждение при проверках — Роскомнадзор и ФСТЭК запрашивают перечень при контрольных мероприятиях;
• Разработка других документов — перечень является основой для политики обработки ПДн, модели угроз, уведомления Роскомнадзора.

В организации обычно составляется несколько связанных перечней:

• Перечень обрабатываемых ПДн — полный список данных по категориям субъектов;
• Перечень персональных данных работников — данные, обрабатываемые в рамках трудовых отношений;
• Перечень информационных систем ПДн (ИСПДн) — системы, в которых обрабатываются данные;
• Перечень категорий ПДн — классификация данных (общие, специальные, биометрические);
• Перечень мер защиты ПДн — организационные и технические меры безопасности.

1. Заголовок: «Приказ об утверждении перечня персональных данных, обрабатываемых в ООО «___»».

2. Преамбула: ссылка на Федеральный закон от 27.07.2006 № 152-ФЗ, Постановление Правительства РФ от 01.11.2012 № 1119, внутренние нормативные акты организации.

3. Приказываю:

• Утвердить Перечень персональных данных, обрабатываемых в организации (Приложение № 1);
• Утвердить Перечень информационных систем персональных данных (Приложение № 2);
• Назначить ответственного за актуализацию перечня — указать должность и ФИО;
• Установить периодичность пересмотра — не реже одного раза в год;
• Ознакомить под подпись всех работников, допущенных к обработке ПДн.

4. Приложения: собственно перечни в табличной форме.

5. Подпись: руководитель организации, дата, печать (при наличии).

• Приказ издаётся до начала обработки персональных данных;
• При изменении состава обрабатываемых данных приказ переиздаётся или вносятся изменения;
• Перечень ПДн является конфиденциальным документом — доступ только у сотрудников, работающих с ПДн;
• Приказ хранится постоянно (срок хранения — до ликвидации организации).