Персональные данные

Положение о защите персональных данных: что включить и что требует закон

Редактор ФТИ 7 октября 2026 9 мин чтения

Коротко

Закон не требует документ «положение о защите», но требует меры по ст. 19 и выполнение постановления № 1119. Разбираем четыре уровня защищённости, структуру положения, образец оглавления и что публиковать.

Коротко: документа с названием «положение о защите персональных данных» закон не требует, это практика. Закон требует другое: принимать правовые, организационные и технические меры защиты (ч. 1 ст. 19 закона № 152-ФЗ) и выполнять требования постановления № 1119 для информационных систем персональных данных, которые зависят от одного из четырёх уровней защищённости. Положение собирает эти меры в один внутренний акт, чтобы их можно было показать по запросу Роскомнадзора.

По постановлению № 1119 и методике ФСТЭК 2021 года, перечень мер под ваш уровень · только документы, цену называем до договора

Определим тип угроз и уровень защищённости — от 12 900 ₽

Узнать цену для моей системы →

Главное

Закон требует меры, а не конкретный документ: ст. 19 и постановление № 1119.
Уровней защищённости четыре (п. 8). Чем выше уровень, тем больше требований (п. 13–16).
Определяет угрозы и уровень оператор (тип угроз определяет оператор по п. 7, уровень устанавливается по п. 8–12 постановления № 1119). Это отдельная работа, положение её не заменяет.
Положение о защите внутренний акт. Публикуют сведения о реализуемых требованиях к защите (ч. 2 ст. 18.1), а не весь документ.
Структура положения наша рекомендация, закон по разделам её не задаёт.

Что требует закон о защите данных

Часть 1 статьи 19 обязывает оператора принимать необходимые правовые, организационные и технические меры защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения данных. Часть 2 перечисляет, чем достигается безопасность. Среди прочего:

определение угроз безопасности данных в информационных системах (п. 1);
организационные и технические меры под установленные Правительством уровни защищённости (п. 2);
средства защиты информации, прошедшие оценку соответствия (п. 3);
учёт машинных носителей (п. 5);
обнаружение несанкционированного доступа, реагирование на компьютерные инциденты (п. 6);
восстановление данных (п. 7), правила доступа и регистрация действий в системе (п. 8);
контроль принимаемых мер и уровня защищённости (п. 9).

Закон не называет «положение о защите» среди этих мер. Мы рекомендуем такой акт потому, что оператор обязан по запросу Роскомнадзора представить документы и (или) иным образом подтвердить принятие мер (ч. 4 ст. 18.1). Собранное в одном документе проще показать, чем объяснять устно.

Постановление № 1119: от системы к уровню защищённости

Постановление № 1119 действует для информационных систем персональных данных. Информационная система это совокупность данных в базах и обеспечивающих их обработку технологий и технических средств (п. 10 ст. 3). По нашему прочтению, под определение подходит и небольшая система: CRM, 1С, база на сервере. Логика постановления такая.

Категории данных в системе: специальные, биометрические, общедоступные, иные; данные только работников или других людей (п. 5).
Тип угроз 1-й, 2-й или 3-й: зависит от того, актуальны ли угрозы, связанные с недокументированными возможностями системного или прикладного программного обеспечения (п. 6). Тип определяет оператор с учётом оценки вреда (п. 7).
Уровень защищённости из четырёх, по типу угроз, категориям данных и числу людей, в том числе порогу 100 000 субъектов, не являющихся работниками (п. 8–12).
Требования для уровня (п. 13–16) и контроль (п. 17).

Как определять тип угроз и модель угроз, в этой статье не разбираем: это отдельная работа, её описание на странице модели угроз персональных данных. Ниже то, что накапливается по уровням.

Уровень	Что требуется (постановление № 1119)
4-й (п. 13)	Режим помещений, препятствующий неконтролируемому проникновению; сохранность носителей; документ, утверждённый руководителем оператора, с перечнем лиц, доступ которых необходим для работы; средства защиты информации, прошедшие оценку соответствия, если они нужны для нейтрализации актуальных угроз
3-й (п. 14)	Всё из 4-го и назначенный ответственный за обеспечение безопасности данных в информационной системе
2-й (п. 15)	Всё из 3-го и доступ к содержанию электронного журнала сообщений только для работников, которым он нужен для выполнения обязанностей
1-й (п. 16)	Всё из 2-го, автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудников по доступу к данным и структурное подразделение, ответственное за безопасность, либо возложение таких функций на одно из подразделений

Контроль выполнения требований оператор организует и проводит самостоятельно и (или) с привлечением на договорной основе организаций и ИП, имеющих лицензию на деятельность по технической защите конфиденциальной информации; проводится он не реже 1 раза в 3 года (п. 17). ФТИ такой деятельности не ведёт: мы готовим документы.

Структура положения о защите

Структура ниже наша рекомендация. Положение связывает нормы закона с вашей системой и конкретными людьми.

Раздел	Что в нём	Опора
1. Общие положения	Цель, сфера, связь с положением об обработке	Ст. 19; ч. 1 ст. 18.1
2. Системы и уровень	Перечень информационных систем, категории данных, уровень защищённости со ссылкой на документ об его определении	П. 5–12 постановления № 1119; перечень ИСПДн
3. Правовые меры	Локальные акты, договоры с обработчиками, обязательства работников	Ч. 3 ст. 6; п. 3 постановления № 1119; обязательство о неразглашении
4. Организационные меры	Режим помещений, перечень лиц с доступом, ответственный, инструктаж	П. 13–14 постановления № 1119; инструкция ответственного
5. Носители	Учёт машинных носителей, хранение бумажных носителей	П. 5 ч. 2 ст. 19; п. 13–15 постановления № 687; журнал учёта носителей
6. Технические меры	Разграничение доступа, регистрация действий, средства защиты, если они нужны для уровня	П. 8 ч. 2 ст. 19; п. 13 г, п. 4 постановления № 1119
7. Инциденты	Выявление, уведомление Роскомнадзора, восстановление данных	П. 6, 7 ч. 2 ст. 19; ч. 3.1 ст. 21; регламент реагирования
8. Контроль	Внутренний контроль, периодичность проверок мер	П. 9 ч. 2 ст. 19; п. 4 ч. 1 ст. 18.1; п. 17 постановления № 1119
9. Ответственность и ознакомление	Кто отвечает, как работники знакомятся	П. 6 ч. 1 ст. 18.1; п. 8 ст. 86 ТК

Образец оглавления и ключевых пунктов

Образец, подставьте свои данные. Это не утверждённая форма. Данные вымышленные. Уровень защищённости в образце условный: он определяется для вашей системы, а не берётся из образца.

ООО «Образец»
ПОЛОЖЕНИЕ О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
Утверждено приказом генерального директора от __.__.20__ № __

2. Системы и уровень защищённости
2.1. Персональные данные обрабатываются в информационных системах, указанных в перечне (приложение 1).
2.2. Уровень защищённости для каждой системы определён документом от __.__.20__ в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119.

4. Организационные меры
4.1. Помещения, в которых размещены системы, запираются. Доступ посторонних лиц без сопровождения не допускается.
4.2. Перечень лиц, доступ которых к данным необходим для выполнения трудовых обязанностей, утверждается приказом руководителя.
4.3. Ответственный за организацию обработки персональных данных ведёт контроль выполнения Положения.

5. Носители
5.1. Машинные носители персональных данных учитываются в журнале учёта.
5.2. Бумажные носители с данными, цели обработки которых различны, хранятся раздельно.

7. Инциденты
7.1. Работник, обнаруживший неправомерную или случайную передачу данных, немедленно сообщает ответственному.
7.2. При инциденте, повлекшем нарушение прав субъектов, оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления, о результатах внутреннего расследования в течение 72 часов (ч. 3.1 ст. 21).

8. Контроль
8.1. Внутренний контроль выполнения мер проводится ответственным не реже одного раза в год. Контроль требований к защите в информационных системах проводится не реже одного раза в три года.

Сроки 24 и 72 часа взяты из ч. 3.1 ст. 21, трёх лет из п. 17 постановления № 1119, остальные периоды (например, раз в год) мы предлагаем как практику. Подробнее об инциденте: утечка персональных данных: 24 часа.

Что публиковать и чего положение не заменяет

Оператор обязан опубликовать или иным образом обеспечить доступ к сведениям о реализуемых требованиях к защите данных (ч. 2 ст. 18.1). Что именно писать, закон не уточняет. По нашему прочтению, достаточно общего описания мер без технических деталей, которые раскрывают устройство системы. Положение и модель угроз целиком публиковать не нужно. Эти же сведения, по нашему прочтению, должны совпадать с уведомлением (п. 7, 11 ч. 3 ст. 22): расхождения между уведомлением и сайтом считаются индикатором риска (приказ Минцифры № 720).

Определение угроз и уровня отдельный документ. Положение на него ссылается.
Средства защиты и аттестация положением не создаются. Выбор средств защиты осуществляется в соответствии с актами ФСБ и ФСТЭК (п. 4 постановления № 1119).
Положение об обработке другой документ: порядок обработки, а не защиты. См. положение об обработке персональных данных.
Без средств автоматизации действует постановление № 687, а не № 1119: раздельное хранение носителей, места хранения и перечень лиц.

Как мы помогаем

ФТИ — учебный центр, персональные данные мы ведём для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России. Аттестацию, установку и настройку средств защиты мы не оказываем.

Модель угроз и уровень защищённости — от 12 900 ₽ для типичной системы: сайт, CRM, 1С. Описание системы, тип угроз и уровень по постановлению № 1119, модель угроз по методике ФСТЭК 2021 года, перечень мер, соответствующих уровню. Только документы. Цену называем до договора.
Документы по 152-ФЗ — 9 900 ₽: политика, согласия, локальные акты под вашу ситуацию (в описании пакета: положение об обработке, приказ об ответственном, перечни, инструкции, журналы). Нужно ли отдельное положение о защите, решаем на разборе; состав называем до оплаты.
Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽: уведомление в Роскомнадзор, документы и документы для сайта. Все услуги ФТИ на одной странице.

Ответственному за безопасность подойдёт курс «Защита персональных данных»: повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. Закон требует ознакомления и (или) обучения (п. 6 ч. 1 ст. 18.1), а не обязательно этого курса. Курс не выдаёт готовых документов. Общая картина документов в обзоре документов по персональным данным, по политике в обзоре о политике обработки.

Звонок 20–30 минут, состав и цену называем до оплаты · консультация бесплатная

Сколько документов вам нужно по защите данных?

Получить разбор →

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Обязательно ли положение о защите персональных данных?

Документ с таким названием закон не требует. Закон требует принимать правовые, организационные и технические меры защиты (ч. 1 ст. 19 закона № 152-ФЗ) и выполнять требования постановления № 1119 для информационных систем. Положение это практика: оно собирает меры в один акт, чтобы подтвердить их по запросу Роскомнадзора (ч. 4 ст. 18.1).

Чем положение о защите отличается от положения об обработке?

Положение об обработке описывает, какие данные, зачем, как долго и как уничтожаются (п. 2 ч. 1 ст. 18.1). Положение о защите описывает меры безопасности: помещения, носители, доступ, инциденты, контроль (ст. 19, постановление № 1119).

Сколько уровней защищённости персональных данных?

Четыре (п. 8 постановления № 1119). Уровень зависит от типа актуальных угроз, категорий данных и числа субъектов, не являющихся работниками оператора, с порогом 100 000 (п. 9–12). Уровень определяет оператор.

Какой уровень защищённости у малого бизнеса?

Зависит от системы. Для типичной малой системы, где обрабатываются иные категории данных, угрозы 3-го типа и менее 100 000 субъектов, это 4-й уровень (п. 12 б постановления № 1119). Если обрабатываются данные о здоровье или актуальны угрозы 2-го типа, уровень может быть выше. Определить его нужно для вашей системы.

Нужен ли ответственный за безопасность персональных данных в информационной системе?

Назначить должностное лицо, ответственное за обеспечение безопасности данных в системе, требуется для 3-го, 2-го и 1-го уровней защищённости (п. 14–16 постановления № 1119). Для 4-го такого требования нет. Ответственного за организацию обработки назначает юрлицо по ст. 22.1 независимо от уровня.

Что публиковать на сайте из документов о защите?

Сведения о реализуемых требованиях к защите персональных данных (ч. 2 ст. 18.1). Закон не уточняет объём. По нашему прочтению, достаточно общего описания мер. Положение о защите и модель угроз целиком публиковать не нужно.

Нужна ли лицензия, чтобы подготовить положение о защите?

Прямого разъяснения именно по положению о защите мы не нашли. По нашему прочтению, это внутренний акт оператора. Лицензия на деятельность по технической защите конфиденциальной информации упоминается в п. 17 постановления № 1119 для организаций, которых оператор привлекает к контролю выполнения требований. ФТИ такой деятельности не ведёт: мы готовим документы.

Как часто нужно проверять выполнение мер защиты?

Для информационных систем контроль выполнения требований проводится не реже 1 раза в 3 года в сроки, определяемые оператором (п. 17 постановления № 1119). Внутренний контроль и (или) аудит названы в п. 4 ч. 1 ст. 18.1 без срока. Ежегодную проверку мы предлагаем как практику.

Что делать с бумажными документами с персональными данными?

Для обработки без использования средств автоматизации действует постановление № 687: обособление данных, раздельное хранение носителей разных целей, определение мест хранения и перечня лиц с доступом (п. 4–5, 13–15).

Сколько стоит определить уровень защищённости и подготовить документы в ФТИ?

Модель угроз и уровень защищённости для типичной малой системы (сайт, CRM, 1С) от 12 900 ₽, только документы, цену называем до договора. Пакет документов по 152-ФЗ стоит 9 900 ₽. Аттестацию, установку и настройку средств защиты мы не оказываем.