Персональные данные

Перечень персональных данных: образец таблицы и приказ об утверждении

Редактор ФТИ 7 октября 2026 9 мин чтения

Коротко

Закон не называет перечень персональных данных отдельным обязательным документом, но требует его содержание: цели, категории, состав и сроки. Разбираем, как составить таблицу, чем она отличается от перечня ИСПДн, и даём пример приказа об утверждении.

Коротко: отдельным обязательным документом с названием «перечень персональных данных» закон не называет, но требует то, что в него входит. Организация-оператор среди мер по ч. 1 ст. 18.1 ФЗ-152 издаёт локальные акты, которые для каждой цели обработки определяют категории и перечень обрабатываемых данных, категории субъектов, способы и сроки обработки и хранения (п. 2 ч. 1). Перечень в виде таблицы закрывает это проще всего, а приказ руководителя придаёт ему дату и силу. И то и другое наша рекомендация, а не норма.

Документы по 152-ФЗ под ваш бизнес · правки до вашего «принимаю» · состав называем до оплаты

Перечни, положение, согласия, инструкции и журналы под ваши цели — 9 900 ₽

Собрать пакет под мой бизнес →

Главное

Название документа закон не задаёт, форму оператор выбирает сам (ч. 1 ст. 18.1). Но содержание названо: категории и перечень данных по каждой цели.
Слова «перечень персональных данных» в законе есть: если данные получены не от человека, ему сообщают этот перечень до начала обработки (п. 2.1 ч. 3 ст. 18, с исключениями из ч. 4).
Строится по целям, а не по системам: у каждой цели свои субъекты, состав данных, основание и срок.
Лишнего в перечне быть не должно: состав и объём данных не могут быть избыточными по отношению к цели (ч. 5 ст. 5).
Не путайте три перечня: данных, информационных систем и лиц с доступом.
Приказ об утверждении закон не требует. Это практика: он фиксирует дату ввода в действие и основание для ознакомления работников.

Что говорит закон

Прямого требования «составьте перечень персональных данных» в 152-ФЗ нет. Зато есть четыре нормы, из которых перечень получается сам.

Ч. 1 ст. 18.1, п. 2. Организация издаёт локальные акты по вопросам обработки, определяющие для каждой цели категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения. Такие акты не могут ограничивать права субъектов и возлагать на операторов обязанности, которых нет в законе.
Ч. 4 ст. 18.1. По запросу Роскомнадзора оператор представляет эти документы или иным образом подтверждает принятие мер. Перечень с датой утверждения подтвердить проще, чем рассказать «на словах».
Ч. 2 и 5 ст. 5. Обработка ограничена заранее определёнными целями, а содержание и объём данных соответствуют им и не избыточны.
Ч. 3.1 ст. 22. В уведомлении для каждой цели указываются категории данных, категории субъектов, правовое основание, действия и способы. Перечень и уведомление лучше держать согласованными, это наша рекомендация.

П. 2 ч. 1 ст. 18.1 говорит об операторе, «являющемся юридическим лицом». По нашему прочтению, у ИП обязанности издавать такие акты в этой норме нет. Но цели и состав данных ИП знать всё равно обязан: ч. 5 ст. 5 и уведомление действуют для всех, и короткий перечень на одну страницу ему так же полезен.

Три разных «перечня»

Слово «перечень» в документах по ПДн означает разное. Путаница здесь частая.

Перечень	Что в нём	Откуда взялся	Подробнее
Перечень персональных данных	Цели, субъекты, состав данных, основание, срок	П. 2 ч. 1 ст. 18.1, ч. 5 ст. 5. Форма не задана	Эта статья
Перечень ИСПДн	Информационные системы, где данные обрабатываются автоматизированно	Название в законе не найдено. Уровни защищённости по ПП № 1119 определяют для информационной системы	перечень ИСПДн
Перечень лиц с доступом	Должности, которым данные нужны для работы	П. 13 «в» ПП № 1119 для информационных систем, п. 13 ПП № 687 для бумажной обработки	матрица доступа

Образец таблицы

Образец, подставьте свои данные. Организация вымышленная, строки показывают принцип: одна цель, один набор данных.

Цель	Субъекты	Состав данных	Основание	Срок
Кадровый учёт и оформление трудовых отношений	Работники	ФИО, дата и место рождения, паспортные данные, адрес, СНИЛС, ИНН, образование, должность, сведения о трудовой деятельности	Исполнение обязанностей работодателя по закону, п. 2 ч. 1 ст. 6	Пока длится трудовой договор, далее срок хранения кадровых документов по закону (укажите норму)
Расчёт и выплата заработной платы	Работники	ФИО, должность, ИНН, СНИЛС, реквизиты банковского счёта, размер оклада	Исполнение обязанностей работодателя по закону, п. 2 ч. 1 ст. 6	По правилам организации архивного дела, но не менее пяти лет после отчётного года (ч. 1 ст. 29 ФЗ-402)
Заключение и исполнение договоров	Клиенты-физлица	ФИО, телефон, e-mail, адрес, реквизиты договора	Договор, стороной, выгодоприобретателем или поручителем по которому является субъект, п. 5 ч. 1 ст. 6	Срок договора и срок хранения связанных документов по закону
Обработка заявок с сайта	Посетители сайта	ФИО, телефон, e-mail, текст обращения	Согласие, п. 1 ч. 1 ст. 6, оформленное отдельно (ч. 1 ст. 9)	До закрытия обращения; после отзыва согласия до 30 дней (ч. 5 ст. 21)
Подбор персонала	Соискатели	ФИО, контакты, резюме	Согласие, п. 1 ч. 1 ст. 6	До решения о найме, затем уничтожение в срок до 30 дней (ч. 4 ст. 21)

Согласие для заявок с сайта разобрано в статье о согласии на сайте, для соискателей — в статье о согласии соискателя.

Как заполнить каждую колонку

Цель. Конкретная: «расчёт зарплаты», а не «деятельность общества». Цели должны быть определены заранее (ч. 2 ст. 5).
Субъекты. Работники, клиенты, соискатели, посетители сайта, контрагенты-физлица. Для каждой категории свой набор данных.
Состав данных. Только то, что нужно для цели (ч. 4 и 5 ст. 5). Сомневаетесь в поле — спросите, что сломается, если его убрать.
Особые данные. Здоровье, национальная принадлежность, убеждения относятся к специальным категориям. Их обработка не допускается, кроме случаев ч. 2 и 2.1 ст. 10, например письменного согласия (п. 1 ч. 2). Биометрия — ст. 11. Если такие данные есть, пометьте их в перечне отдельно.
Основание. Пункт ч. 1 ст. 6: согласие, закон, договор. Подробнее: обработка без согласия.
Срок. Не дольше, чем требуют цели, если срок не задан законом или договором (ч. 7 ст. 5). Колонки «где хранится» и «кто имеет доступ» добавлять не обязательно, это наша рекомендация.

Приказ об утверждении перечня

Закон приказа об утверждении не требует. Он нужен на практике: появляется дата ввода в действие, подпись руководителя и повод познакомить работников. Работников, непосредственно обрабатывающих данные, оператор знакомит с локальными актами и (или) обучает (п. 6 ч. 1 ст. 18.1). Для документов о порядке обработки данных работников действует п. 8 ст. 86 ТК: ознакомление под роспись. Пример приказа (образец, подставьте свои данные):

ООО «Образец»
ПРИКАЗ № ___ от «__» ________ 20__ г.
Об утверждении перечня персональных данных

В целях определения состава обрабатываемых персональных данных по каждой цели обработки (ч. 5 ст. 5, п. 2 ч. 1 ст. 18.1 Федерального закона № 152-ФЗ)
ПРИКАЗЫВАЮ:

1. Утвердить Перечень персональных данных, обрабатываемых в ООО «Образец» (приложение 1), и ввести его в действие с «__» ________ 20__ г.
2. Ответственному за организацию обработки персональных данных [должность, ФИО] ознакомить с Перечнем под роспись работников, непосредственно обрабатывающих персональные данные, и пересматривать Перечень при изменении целей, состава данных, информационных систем или законодательства.
3. Не допускать обработку персональных данных, не включённых в Перечень.
4. Контроль за исполнением приказа оставляю за собой.

Генеральный директор ____________ / [ФИО]
С приказом ознакомлены: [лист ознакомления]

Как перечень связан с другими документами

Уведомление. Категории данных и субъектов в уведомлении указывают по каждой цели (ч. 3.1 ст. 22). Изменился перечень — проверьте, не изменились ли сведения: об этом изменение уведомления. Общая картина: хаб об уведомлении.
Политика. Цели и категории в политике не должны расходиться с перечнем: политика обработки.
Согласия и положение. Согласие называет цели и данные из перечня: хаб о согласии. Положение даёт порядок обработки: положение об обработке.
Запросы людей. Человек вправе получить обрабатываемые данные о себе и источник их получения (п. 5 ч. 7 ст. 14). С перечнем отвечать проще.

Весь комплект и то, что в нём обязательно, а что практика, разобрано в хабе документы по персональным данным. Кто отвечает за организацию обработки в организации: ответственный за обработку, оформление приказа о назначении.

Типичные ошибки

Один общий список «всё, что у нас есть». Без цели непонятно, зачем поле и как долго хранить.
Данные «на всякий случай». Копия паспорта в анкете клиента без причины — это избыточность по ч. 5 ст. 5.
Перечень не совпадает с уведомлением и политикой. Расхождения видны при проверке сайта: как готовить сайт к проверке.
Нет специальных категорий. Листки нетрудоспособности и медицинские справки содержат сведения о здоровье, а перечень о них молчит.
Скопирован чужой перечень. Чужие цели и поля не защитят вас, если данные у вас другие.
Не пересматривается. Появилась CRM или новый сервис рассылки, а перечень остался прежним.

Как мы помогаем

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России. Мы не пишем перечень «по образцу из интернета»: сначала разбираем, какие данные вы собираете, зачем, где храните и у кого доступ.

Документы по 152-ФЗ — 9 900 ₽. Политика, согласия, положение об обработке, приказ об ответственном, перечни, инструкции и журналы по вашей ситуации. Правки включены, пока вы не примете пакет. Точный состав называем после разбора и до оплаты.
Сопровождение — 1 990 ₽ в месяц или 19 900 ₽ в год. При изменении закона, сайта или систем обновляем политику, согласия и акты, ведём сроки, отвечаем на вопросы.
Уведомление в Роскомнадзор под ключ — 4 900 ₽. Категории данных в нём сверяем с перечнем. Вместе с документами дешевле: пакет «Старт» в услугах ФТИ — 14 900 ₽ вместо 18 700 ₽.

Консультация бесплатная · скажем честно, что вам нужно, а что нет

Покажем, какие данные вам нужны, а какие лишние

Узнать, что нужно мне →

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Обязателен ли перечень персональных данных?

Документа с таким названием закон не называет. Среди мер по ч. 1 ст. 18.1 он называет локальные акты, которые для каждой цели определяют категории и перечень данных, категории субъектов, способы и сроки обработки (п. 2). Оператор сам определяет состав мер, поэтому форму выбирает сам. Перечень-таблица удобен, это наша рекомендация.

Чем перечень персональных данных отличается от перечня ИСПДн?

Первый отвечает на вопрос «какие данные и зачем», второй на вопрос «в каких информационных системах они обрабатываются». Название «перечень ИСПДн» в законе мы не нашли, это практика. Уровни защищённости по постановлению № 1119 определяют для информационной системы.

Нужен ли приказ об утверждении перечня?

Закон приказа не требует. На практике он нужен, чтобы зафиксировать дату ввода в действие и познакомить работников под роспись. Для документов о порядке обработки данных работников такое ознакомление предусмотрено п. 8 ст. 86 ТК.

Что включить в перечень персональных данных?

По каждой цели: категории субъектов, состав данных, правовое основание, срок обработки и хранения. Сроки обработки и хранения закон называет прямо (п. 2 ч. 1 ст. 18.1). Правовое основание по каждой цели закон называет среди сведений уведомления (ч. 3.1 ст. 22). Колонки «где хранятся данные» и «кто имеет доступ» мы рекомендуем, это наша рекомендация.

Нужен ли перечень индивидуальному предпринимателю?

Норма п. 2 ч. 1 ст. 18.1 говорит об операторе-юридическом лице, поэтому по нашему прочтению обязанности издавать такие акты у ИП нет. Но цели и состав данных ИП знать обязан (ч. 5 ст. 5, ч. 3.1 ст. 22), и короткий перечень на страницу ему помогает.

Как часто пересматривать перечень?

Закон срок не называет. Пересматривайте при изменении целей, состава данных, систем и закона. Раз в год сверить перечень с реальностью — наша рекомендация.

Нужно ли менять уведомление, если изменился перечень?

Категории данных и субъектов по каждой цели входят в сведения уведомления (ч. 3.1 ст. 22). При изменении сведений оператор уведомляет Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22). Меняется ли в вашем случае именно эта часть сведений, проверяйте по каждому пункту.

Можно ли включить в перечень данные о здоровье?

Сведения о здоровье относятся к специальным категориям. Их обработка не допускается, кроме случаев, названных в ч. 2 ст. 10, например письменного согласия субъекта. Для работников действуют ограничения ст. 86 ТК. Если такие данные у вас есть, отметьте их в перечне отдельно.

Нужно ли знакомить работников с перечнем?

Работников, непосредственно обрабатывающих данные, оператор знакомит с локальными актами и (или) обучает (п. 6 ч. 1 ст. 18.1). Для документов, устанавливающих порядок обработки данных работников, ознакомление под роспись требует п. 8 ст. 86 ТК. Лист ознакомления проще приложить к приказу.

Составит ли ФТИ перечень персональных данных и сколько это стоит?

Да, перечни входят в пакет «Документы по 152-ФЗ» за 9 900 ₽. Сначала разбираем ваши данные, цели и системы, точный состав пакета называем до оплаты. Правки включены, пока вы не примете документы. Для актуальности при изменениях есть сопровождение: 1 990 ₽ в месяц или 19 900 ₽ в год.