# Положение о защите персональных данных: что включить и что требует закон

> Источник: https://ftex.pro/blog/polozhenie-o-zashchite-personalnyh-dannyh/  
> Опубликовано: 07.10.2026  
> Раздел: Персональные данные  
> Описание: Положение о защите персональных данных: что требуют ст. 19 и постановление № 1119, 4 уровня защищённости, структура и образец оглавления. Без лишних бумаг.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: документа с названием «положение о защите персональных данных» закон не требует, это практика.** Закон требует другое: принимать правовые, организационные и технические меры защиты (ч. 1 ст. 19 закона № 152-ФЗ) и выполнять требования постановления № 1119 для информационных систем персональных данных, которые зависят от одного из четырёх уровней защищённости. Положение собирает эти меры в один внутренний акт, чтобы их можно было показать по запросу Роскомнадзора.

 

По постановлению № 1119 и методике ФСТЭК 2021 года, перечень мер под ваш уровень · только документы, цену называем до договора

 

Определим тип угроз и уровень защищённости — от 12 900 ₽

 

[Узнать цену для моей системы →](https://ftex.pro/model-ugroz-pdn/)

 

**Главное**

 

- **Закон требует меры,** а не конкретный документ: ст. 19 и постановление № 1119.
- **Уровней защищённости четыре** (п. 8). Чем выше уровень, тем больше требований (п. 13–16).
- **Определяет угрозы и уровень оператор** (тип угроз определяет оператор по п. 7, уровень устанавливается по п. 8–12 постановления № 1119). Это отдельная работа, положение её не заменяет.
- **Положение о защите внутренний акт.** Публикуют сведения о реализуемых требованиях к защите (ч. 2 ст. 18.1), а не весь документ.
- **Структура положения** наша рекомендация, закон по разделам её не задаёт.

 

## Что требует закон о защите данных

 

Часть 1 статьи 19 обязывает оператора принимать необходимые правовые, организационные и технические меры защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения данных. Часть 2 перечисляет, чем достигается безопасность. Среди прочего:

 

- определение угроз безопасности данных в информационных системах (п. 1);
- организационные и технические меры под установленные Правительством уровни защищённости (п. 2);
- средства защиты информации, прошедшие оценку соответствия (п. 3);
- учёт машинных носителей (п. 5);
- обнаружение несанкционированного доступа, реагирование на компьютерные инциденты (п. 6);
- восстановление данных (п. 7), правила доступа и регистрация действий в системе (п. 8);
- контроль принимаемых мер и уровня защищённости (п. 9).

 

Закон не называет «положение о защите» среди этих мер. Мы рекомендуем такой акт потому, что оператор обязан по запросу Роскомнадзора представить документы и (или) иным образом подтвердить принятие мер (ч. 4 ст. 18.1). Собранное в одном документе проще показать, чем объяснять устно.

 

## Постановление № 1119: от системы к уровню защищённости

 

Постановление № 1119 действует для информационных систем персональных данных. Информационная система это совокупность данных в базах и обеспечивающих их обработку технологий и технических средств (п. 10 ст. 3). По нашему прочтению, под определение подходит и небольшая система: CRM, 1С, база на сервере. Логика постановления такая.

 

1. **Категории данных в системе:** специальные, биометрические, общедоступные, иные; данные только работников или других людей (п. 5).
2. **Тип угроз** 1-й, 2-й или 3-й: зависит от того, актуальны ли угрозы, связанные с недокументированными возможностями системного или прикладного программного обеспечения (п. 6). Тип определяет оператор с учётом оценки вреда (п. 7).
3. **Уровень защищённости** из четырёх, по типу угроз, категориям данных и числу людей, в том числе порогу 100 000 субъектов, не являющихся работниками (п. 8–12).
4. **Требования** для уровня (п. 13–16) и контроль (п. 17).

 

Как определять тип угроз и модель угроз, в этой статье не разбираем: это отдельная работа, её описание на странице [модели угроз персональных данных](https://ftex.pro/model-ugroz-pdn/). Ниже то, что накапливается по уровням.

 

| Уровень | Что требуется (постановление № 1119) |
|---|---|
| 4-й (п. 13) | Режим помещений, препятствующий неконтролируемому проникновению; сохранность носителей; документ, утверждённый руководителем оператора, с перечнем лиц, доступ которых необходим для работы; средства защиты информации, прошедшие оценку соответствия, если они нужны для нейтрализации актуальных угроз |
| 3-й (п. 14) | Всё из 4-го и назначенный ответственный за обеспечение безопасности данных в информационной системе |
| 2-й (п. 15) | Всё из 3-го и доступ к содержанию электронного журнала сообщений только для работников, которым он нужен для выполнения обязанностей |
| 1-й (п. 16) | Всё из 2-го, автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудников по доступу к данным и структурное подразделение, ответственное за безопасность, либо возложение таких функций на одно из подразделений |

 

Контроль выполнения требований оператор организует и проводит самостоятельно и (или) с привлечением на договорной основе организаций и ИП, имеющих лицензию на деятельность по технической защите конфиденциальной информации; проводится он не реже 1 раза в 3 года (п. 17). ФТИ такой деятельности не ведёт: мы готовим документы.

 

## Структура положения о защите

 

Структура ниже наша рекомендация. Положение связывает нормы закона с вашей системой и конкретными людьми.

 

| Раздел | Что в нём | Опора |
|---|---|---|
| 1. Общие положения | Цель, сфера, связь с положением об обработке | Ст. 19; ч. 1 ст. 18.1 |
| 2. Системы и уровень | Перечень информационных систем, категории данных, уровень защищённости со ссылкой на документ об его определении | П. 5–12 постановления № 1119; [перечень ИСПДн](https://ftex.pro/blog/perechen-ispdn/) |
| 3. Правовые меры | Локальные акты, договоры с обработчиками, обязательства работников | Ч. 3 ст. 6; п. 3 постановления № 1119; [обязательство о неразглашении](https://ftex.pro/blog/obyazatelstvo-o-nerazglashenii-pdn/) |
| 4. Организационные меры | Режим помещений, перечень лиц с доступом, ответственный, инструктаж | П. 13–14 постановления № 1119; [инструкция ответственного](https://ftex.pro/blog/instrukciya-otvetstvennogo-za-obrabotku-pdn/) |
| 5. Носители | Учёт машинных носителей, хранение бумажных носителей | П. 5 ч. 2 ст. 19; п. 13–15 постановления № 687; [журнал учёта носителей](https://ftex.pro/blog/zhurnal-ucheta-nositelej-pdn/) |
| 6. Технические меры | Разграничение доступа, регистрация действий, средства защиты, если они нужны для уровня | П. 8 ч. 2 ст. 19; п. 13 г, п. 4 постановления № 1119 |
| 7. Инциденты | Выявление, уведомление Роскомнадзора, восстановление данных | П. 6, 7 ч. 2 ст. 19; ч. 3.1 ст. 21; [регламент реагирования](https://ftex.pro/blog/reglament-reagirovaniya-na-incidenty-pdn/) |
| 8. Контроль | Внутренний контроль, периодичность проверок мер | П. 9 ч. 2 ст. 19; п. 4 ч. 1 ст. 18.1; п. 17 постановления № 1119 |
| 9. Ответственность и ознакомление | Кто отвечает, как работники знакомятся | П. 6 ч. 1 ст. 18.1; п. 8 ст. 86 ТК |

 

## Образец оглавления и ключевых пунктов

 

Образец, подставьте свои данные. Это не утверждённая форма. Данные вымышленные. Уровень защищённости в образце условный: он определяется для вашей системы, а не берётся из образца.

 ООО «Образец» ПОЛОЖЕНИЕ О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ Утверждено приказом генерального директора от __.__.20__ № __ 2. Системы и уровень защищённости 2.1. Персональные данные обрабатываются в информационных системах, указанных в перечне (приложение 1). 2.2. Уровень защищённости для каждой системы определён документом от __.__.20__ в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119. 4. Организационные меры 4.1. Помещения, в которых размещены системы, запираются. Доступ посторонних лиц без сопровождения не допускается. 4.2. Перечень лиц, доступ которых к данным необходим для выполнения трудовых обязанностей, утверждается приказом руководителя. 4.3. Ответственный за организацию обработки персональных данных ведёт контроль выполнения Положения. 5. Носители 5.1. Машинные носители персональных данных учитываются в журнале учёта. 5.2. Бумажные носители с данными, цели обработки которых различны, хранятся раздельно. 7. Инциденты 7.1. Работник, обнаруживший неправомерную или случайную передачу данных, немедленно сообщает ответственному. 7.2. При инциденте, повлекшем нарушение прав субъектов, оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления, о результатах внутреннего расследования в течение 72 часов (ч. 3.1 ст. 21). 8. Контроль 8.1. Внутренний контроль выполнения мер проводится ответственным не реже одного раза в год. Контроль требований к защите в информационных системах проводится не реже одного раза в три года. 

Сроки 24 и 72 часа взяты из ч. 3.1 ст. 21, трёх лет из п. 17 постановления № 1119, остальные периоды (например, раз в год) мы предлагаем как практику. Подробнее об инциденте: [утечка персональных данных: 24 часа](https://ftex.pro/blog/utechka-personalnyh-dannyh-24-chasa/).

 

## Что публиковать и чего положение не заменяет

 

Оператор обязан опубликовать или иным образом обеспечить доступ к сведениям о реализуемых требованиях к защите данных (ч. 2 ст. 18.1). Что именно писать, закон не уточняет. По нашему прочтению, достаточно общего описания мер без технических деталей, которые раскрывают устройство системы. Положение и модель угроз целиком публиковать не нужно. Эти же сведения, по нашему прочтению, должны совпадать с уведомлением (п. 7, 11 ч. 3 ст. 22): расхождения между уведомлением и сайтом считаются индикатором риска (приказ Минцифры № 720).

 

- **Определение угроз и уровня** отдельный документ. Положение на него ссылается.
- **Средства защиты и аттестация** положением не создаются. Выбор средств защиты осуществляется в соответствии с актами ФСБ и ФСТЭК (п. 4 постановления № 1119).
- **Положение об обработке** другой документ: порядок обработки, а не защиты. См. [положение об обработке персональных данных](https://ftex.pro/blog/polozhenie-ob-obrabotke-personalnyh-dannyh/).
- **Без средств автоматизации** действует постановление № 687, а не № 1119: раздельное хранение носителей, места хранения и перечень лиц.

 

## Как мы помогаем

 

ФТИ — учебный центр, персональные данные мы ведём для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России. Аттестацию, установку и настройку средств защиты мы не оказываем.

 

- **[Модель угроз и уровень защищённости — от 12 900 ₽](https://ftex.pro/model-ugroz-pdn/)** для типичной системы: сайт, CRM, 1С. Описание системы, тип угроз и уровень по постановлению № 1119, модель угроз по методике ФСТЭК 2021 года, перечень мер, соответствующих уровню. Только документы. Цену называем до договора.
- **[Документы по 152-ФЗ — 9 900 ₽:](https://ftex.pro/dokumenty-po-152-fz/)** политика, согласия, локальные акты под вашу ситуацию (в описании пакета: положение об обработке, приказ об ответственном, перечни, инструкции, журналы). Нужно ли отдельное положение о защите, решаем на разборе; состав называем до оплаты.
- **Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽:** [уведомление в Роскомнадзор](https://ftex.pro/uvedomlenie-v-roskomnadzor/), документы и документы для сайта. Все [услуги ФТИ](https://ftex.pro/uslugi/) на одной странице.

 

Ответственному за безопасность подойдёт курс [«Защита персональных данных»](https://ftex.pro/kursy/zashchita-personalnyh-dannyh/): повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. Закон требует ознакомления и (или) обучения (п. 6 ч. 1 ст. 18.1), а не обязательно этого курса. Курс не выдаёт готовых документов. Общая картина документов в [обзоре документов по персональным данным](https://ftex.pro/blog/dokumenty-po-personalnym-dannym/), по политике в [обзоре о политике обработки](https://ftex.pro/blog/politika-obrabotki-personalnyh-dannyh/).

 

Звонок 20–30 минут, состав и цену называем до оплаты · консультация бесплатная

 

Сколько документов вам нужно по защите данных?

 

[Получить разбор →](https://ftex.pro/dokumenty-po-152-fz/)

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Федеральный закон № 152-ФЗ, статья 19 — меры по обеспечению безопасности персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, публикация сведений о защите](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Федеральный закон № 152-ФЗ, статья 3 — основные понятия, информационная система персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Федеральный закон № 152-ФЗ, статья 21 — устранение нарушений, уведомление об инциденте](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите персональных данных в информационных системах, уровни защищённости](https://base.garant.ru/70252506/)
- [Постановление Правительства РФ от 15.09.2008 № 687 — особенности обработки персональных данных без использования средств автоматизации](https://base.garant.ru/193875/)
- [Приказ Минцифры России от 17.08.2023 № 720 — индикатор риска: расхождения между уведомлением и сайтом](https://base.garant.ru/407936625/)

## Частые вопросы

### Обязательно ли положение о защите персональных данных?

Документ с таким названием закон не требует. Закон требует принимать правовые, организационные и технические меры защиты (ч. 1 ст. 19 закона № 152-ФЗ) и выполнять требования постановления № 1119 для информационных систем. Положение это практика: оно собирает меры в один акт, чтобы подтвердить их по запросу Роскомнадзора (ч. 4 ст. 18.1).

### Чем положение о защите отличается от положения об обработке?

Положение об обработке описывает, какие данные, зачем, как долго и как уничтожаются (п. 2 ч. 1 ст. 18.1). Положение о защите описывает меры безопасности: помещения, носители, доступ, инциденты, контроль (ст. 19, постановление № 1119).

### Сколько уровней защищённости персональных данных?

Четыре (п. 8 постановления № 1119). Уровень зависит от типа актуальных угроз, категорий данных и числа субъектов, не являющихся работниками оператора, с порогом 100 000 (п. 9–12). Уровень определяет оператор.

### Какой уровень защищённости у малого бизнеса?

Зависит от системы. Для типичной малой системы, где обрабатываются иные категории данных, угрозы 3-го типа и менее 100 000 субъектов, это 4-й уровень (п. 12 б постановления № 1119). Если обрабатываются данные о здоровье или актуальны угрозы 2-го типа, уровень может быть выше. Определить его нужно для вашей системы.

### Нужен ли ответственный за безопасность персональных данных в информационной системе?

Назначить должностное лицо, ответственное за обеспечение безопасности данных в системе, требуется для 3-го, 2-го и 1-го уровней защищённости (п. 14–16 постановления № 1119). Для 4-го такого требования нет. Ответственного за организацию обработки назначает юрлицо по ст. 22.1 независимо от уровня.

### Что публиковать на сайте из документов о защите?

Сведения о реализуемых требованиях к защите персональных данных (ч. 2 ст. 18.1). Закон не уточняет объём. По нашему прочтению, достаточно общего описания мер. Положение о защите и модель угроз целиком публиковать не нужно.

### Нужна ли лицензия, чтобы подготовить положение о защите?

Прямого разъяснения именно по положению о защите мы не нашли. По нашему прочтению, это внутренний акт оператора. Лицензия на деятельность по технической защите конфиденциальной информации упоминается в п. 17 постановления № 1119 для организаций, которых оператор привлекает к контролю выполнения требований. ФТИ такой деятельности не ведёт: мы готовим документы.

### Как часто нужно проверять выполнение мер защиты?

Для информационных систем контроль выполнения требований проводится не реже 1 раза в 3 года в сроки, определяемые оператором (п. 17 постановления № 1119). Внутренний контроль и (или) аудит названы в п. 4 ч. 1 ст. 18.1 без срока. Ежегодную проверку мы предлагаем как практику.

### Что делать с бумажными документами с персональными данными?

Для обработки без использования средств автоматизации действует постановление № 687: обособление данных, раздельное хранение носителей разных целей, определение мест хранения и перечня лиц с доступом (п. 4–5, 13–15).

### Сколько стоит определить уровень защищённости и подготовить документы в ФТИ?

Модель угроз и уровень защищённости для типичной малой системы (сайт, CRM, 1С) от 12 900 ₽, только документы, цену называем до договора. Пакет документов по 152-ФЗ стоит 9 900 ₽. Аттестацию, установку и настройку средств защиты мы не оказываем.