Персональные данные

ИСПДн: что это такое и как её классифицировать

Редактор ФТИ 8 октября 2026 8 мин чтения

Коротко

Что закон называет информационной системой персональных данных, что считать ИСПДн на практике, как постановление № 1119 делит данные на четыре категории, чем отличаются типы угроз и как классифицируют систему малой организации.

Коротко: информационная система персональных данных (ИСПДн) — это совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств (п. 10 ст. 3 закона № 152-ФЗ). Классифицируют ИСПДн по постановлению Правительства № 1119: смотрят на категорию данных, на то, чьи это данные, на число субъектов и на тип угроз. Из этого складывается один из четырёх уровней защищённости.

Только документы · типичная система: сайт, CRM, 1С · цену называем до договора

Определим тип угроз и уровень защищённости — от 12 900 ₽

Узнать цену для моей системы →

Главное об ИСПДн

ИСПДн определена в законе (п. 10 ст. 3), поэтому защита строится для каждой такой системы.
Категорий данных четыре (п. 5 постановления № 1119): специальные, биометрические, общедоступные, иные.
Работники оператора и все остальные учитываются отдельно: порог 100 000 считают только по тем, кто не работники.
Тип угроз — 1-й, 2-й или 3-й (п. 6–7): определяет оператор.
Что считать ИСПДн на практике — по нашему прочтению: 1С, CRM, база заявок сайта, облачный сервис.

Что такое ИСПДн по закону

Определение дано в п. 10 ст. 3 закона № 152-ФЗ. В нём три элемента: персональные данные в базах данных, информационные технологии и технические средства, которые их обрабатывают. Автоматизированная обработка — это обработка «с помощью средств вычислительной техники» (п. 4 ст. 3).

Закон не говорит, что система должна быть большой, дорогой или «специальной». Любая система, где хранятся и обрабатываются данные людей, подходит под определение. Это наше прочтение, но на нём построена вся практика: статья 19 и постановление № 1119 говорят о защите «в информационных системах».

Бумага сюда не относится. Данные в картотеках и журналах защищают по постановлению № 687. Но есть нюанс: обработку нельзя признать автоматизированной только потому, что данные содержатся в информационной системе или извлечены из неё (п. 2 Положения). Распечатка из 1С остаётся бумажным носителем, а сама база в 1С — ИСПДн.

Что считать ИСПДн на практике

Закон не даёт списка систем. Ниже — наше прочтение определения для типичных случаев.

Где лежат данные	ИСПДн?	Комментарий
1С, кадровая и бухгалтерская программа	Да	Базы с данными работников и контрагентов, технические средства для обработки
CRM, интернет-магазин, личный кабинет	Да	Данные клиентов в базе, обработка программой
База заявок и форм сайта	Да	Данные посетителей хранятся и обрабатываются на сервере или хостинге
Таблица Excel у бухгалтера или менеджера	Как правило, да	Данные в файле, обработка средствами вычислительной техники
Облачный сервис, который обрабатывает данные по вашему поручению	Да	Договор с ним должен обязывать обеспечить безопасность (п. 3 постановления № 1119). Подробнее: облачные сервисы и ПДн
Почта и мессенджеры с перепиской клиентов	Требует решения оператора	Закон прямо не говорит; мы советуем включить в перечень, если там накапливаются данные людей
Бумажные журналы и картотеки	Нет	Постановление № 687, а не № 1119

Составить перечень систем помогает отдельный документ. Закон его по названию не требует, это практика. Образец и порядок составления разобраны в статье про перечень ИСПДн. Данные по целям и категориям берите из перечня персональных данных.

Четыре категории данных

Пункт 5 постановления № 1119 делит информационные системы по тому, какие данные в них обрабатываются. Категории определены закрытым перечнем:

Категория	Когда ИСПДн к ней относится (п. 5)
Специальные	Обрабатываются данные о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни
Биометрические	Обрабатываются сведения о физиологических и биологических особенностях человека, по которым можно установить личность и которые оператор использует для установления личности, и не обрабатываются специальные категории
Общедоступные	Данные получены только из общедоступных источников, созданных в соответствии со ст. 8 закона
Иные	Не обрабатываются данные первых трёх категорий

По нашему прочтению, если в системе есть и специальные данные, и иные, она относится к более «тяжёлой» категории: по определению п. 5 «иной» считается система, где нет специальных, биометрических и общедоступных данных. Например, в карточках клиники есть сведения о здоровье, поэтому система считается обрабатывающей специальные категории. Подробнее о таких данных — в статьях про данные в медицинской организации.

Важная деталь про «общедоступные»: система относится к ним, только если данные получены исключительно из общедоступных источников. Если в ней есть и собранные у людей данные, по нашему прочтению это уже «иные».

Работники оператора и все остальные

Постановление отдельно выделяет сотрудников оператора. Система обрабатывает данные сотрудников оператора, если в ней обрабатываются данные только этих людей. В остальных случаях она обрабатывает данные субъектов, не являющихся сотрудниками оператора (последний абзац п. 5).

Практический вывод (по нашему прочтению): кадровая программа с данными только ваших работников — это «сотрудники». Как только в той же системе появляются клиенты, кандидаты или контрагенты-физлица, система переходит в «не сотрудники». Число субъектов (порог 100 000) считают только по людям, которые не являются работниками оператора.

Тип угроз: первый, второй или третий

Угрозы делят по источнику (п. 6 постановления № 1119):

1-й тип: актуальны угрозы, связанные с недокументированными (недекларированными) возможностями в системном программном обеспечении;
2-й тип: то же в прикладном программном обеспечении;
3-й тип: актуальны угрозы, не связанные с такими возможностями ни в системном, ни в прикладном ПО.

Тип определяет оператор. Делает он это с учётом оценки возможного вреда по п. 5 ч. 1 ст. 18.1 закона и в соответствии с актами, принятыми по ч. 5 ст. 19 (п. 7 постановления). Само постановление не объясняет, как отличить один тип от другого, а методику ФСТЭК 2021 года мы в этой статье не разбирали. Поэтому «угрозы 3-го типа» нельзя записать наугад: это вывод, который нужно обосновать. Как это делается, показано в статье про модель угроз.

Пример классификации для малой организации

Образец, подставьте свои данные. Организация вымышленная: ООО «Образец», частный медицинский кабинет с записью через сайт. Тип угроз для всех систем условно принят как 3-й — это допущение примера, в вашем случае его определяете вы. Уровень берётся из п. 11 и 12 постановления № 1119.

Система	Чьи данные	Категория	Число субъектов	Тип угроз (допущение)	Уровень
Кадровая программа (если в ней есть сведения о здоровье или члены семей работников, категория и уровень другие)	Только работники	Иные	12 человек	3-й	4-й (п. 12 «б»)
Таблица бухгалтера	Работники и контрагенты-физлица	Иные	Менее 100 000 не работников	3-й	4-й (п. 12 «б»)
Сайт с формой записи	Посетители	Иные	6 000	3-й	4-й (п. 12 «б»)
Медицинская информационная система	Пациенты	Специальные (состояние здоровья)	4 000	3-й	3-й (п. 11 «в»)

Что видно из таблицы: в одной организации уровни могут быть разными, потому что определяются для каждой системы. Если бы тип угроз для медицинской системы оказался вторым, при тех же данных (специальные, менее 100 000 субъектов) п. 10 «б» назвал бы 2-й уровень. Полную таблицу «тип угроз — категория — число субъектов — уровень» мы собрали в статье про уровни защищённости.

Что делать после классификации

Зафиксируйте результат: форму документа закон не задаёт, на практике это акт (образец в статье про акт определения уровня).
Посмотрите требования своего уровня в постановлении № 1119 по пунктам.
Выберите меры по приказу ФСТЭК № 21 (разбор приказа).
Сверьте картину с общей схемой в разделе о защите персональных данных.

Классификацию стоит пересматривать, когда появляется новая система, меняется состав данных или программное обеспечение. Срок пересмотра закон не называет, это наша рекомендация.

Как мы помогаем

Мы описываем ваши системы, определяем тип угроз и уровень защищённости по постановлению № 1119 и оформляем результат документом, затем готовим модель угроз и перечень мер. Цена от 12 900 ₽ для типичной системы: сайт, CRM, 1С. Цену называем до договора. Только документы: проектирование и внедрение средств защиты, аттестацию, мониторинг мы не берём, на них нужна лицензия ФСТЭК. Критическую информационную инфраструктуру, государственные информационные системы и системы с криптографией не берём.

Описание системы, уровень по № 1119, модель угроз, перечень мер · без внедрения

Модель угроз и уровень защищённости — от 12 900 ₽

Узнать цену для моей системы →

Положение об обработке, приказ об ответственном, перечни, инструкции и журналы по вашей ситуации входят в документы по 152-ФЗ за 9 900 ₽: состав называем до оплаты, правки до вашего «принимаю». Дальше обновлять документы при смене программ помогает сопровождение по персональным данным.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Что такое ИСПДн простыми словами?

Это любая система, где хранятся и обрабатываются персональные данные: база, программа и компьютеры или серверы, на которых они работают. Определение дано в п. 10 ст. 3 закона № 152-ФЗ: совокупность данных в базах и обеспечивающих их обработку технологий и технических средств.

Считается ли 1С или CRM информационной системой персональных данных?

По нашему прочтению определения из п. 10 ст. 3, да, если там обрабатываются данные людей. Закон не даёт списка систем, но защиту по постановлению № 1119 строят для каждой такой системы.

Сайт с формой обратной связи — это ИСПДн?

Если заявки с данными посетителей сохраняются в базе на сервере или хостинге, по нашему прочтению это система, в которой обрабатываются персональные данные. Где она размещена, важно и для уведомления Роскомнадзора.

Бумажная картотека — это ИСПДн?

По нашему прочтению нет. Обработка без средств автоматизации регулируется постановлением № 687. Но распечатка из программы не превращает данные в программе в бумажные: обработку нельзя признать автоматизированной только потому, что данные содержатся в системе или извлечены из неё (п. 2 Положения).

Какие категории данных выделяет постановление № 1119?

Четыре: специальные, биометрические, общедоступные и иные (п. 5). Если в системе нет данных первых трёх видов, она считается обрабатывающей иные категории.

Что значит порог 100 000 субъектов?

Условия п. 9–12 различают системы с данными менее чем 100 000 и более чем 100 000 субъектов, не являющихся работниками оператора. Случай ровно 100 000 в тексте постановления не назван, разъяснения мы не нашли: при таких цифрах лучше обсудить расчёт со специалистом.

Кто определяет тип угроз?

Оператор (п. 7 постановления № 1119), с учётом оценки возможного вреда и актов, принятых по ч. 5 ст. 19 закона. Как отличить 1-й, 2-й и 3-й тип, постановление не объясняет, поэтому вывод нужно обосновать.

Можно ли просто выбрать 4-й уровень защищённости?

Нельзя занижать: уровень устанавливается при наличии условий п. 9–12 постановления № 1119. Для небольшой системы с иными категориями данных, угрозами 3-го типа и менее чем 100 000 субъектов, не являющихся работниками, это действительно 4-й уровень, но к этому выводу нужно прийти по своим данным.

Вы определяете уровень защищённости за нас?

Да, документом: описываем систему, определяем тип угроз и уровень по постановлению № 1119, готовим модель угроз и перечень мер. От 12 900 ₽ для типичной системы, цену называем до договора. Установку и настройку средств защиты мы не берём.