Персональные данные

Защита персональных данных: что требует закон от оператора

Редактор ФТИ 8 октября 2026 14 мин чтения

Коротко

Какие меры защиты персональных данных обязан принять оператор по ст. 19 закона № 152-ФЗ, как связаны постановление № 1119 и приказ ФСТЭК № 21, что делает малый бизнес сам, нужна ли лицензия ФСТЭК на документы и как разграничить доступ.

Коротко: защита персональных данных по закону — это правовые, организационные и технические меры, которые оператор обязан принять (ч. 1 ст. 19 закона № 152-ФЗ). Их объём зависит от информационной системы: для каждой оператор определяет угрозы, тип угроз и уровень защищённости, а затем меры под этот уровень (ч. 2 ст. 19, постановление Правительства № 1119, приказ ФСТЭК № 21). Освобождения для малого бизнеса в законе нет, но и объём у типичной небольшой системы скромный. Ниже схема целиком, список того, что оператор делает сам, и граница, за которой нужен специалист.

Только документы · типичная система: сайт, CRM, 1С · цену называем до договора

Модель угроз и уровень защищённости — от 12 900 ₽

Узнать цену для моей системы →

Главное о защите персональных данных

Меры обязательны для любого оператора: правовые, организационные и технические (ч. 1 ст. 19). Размер бизнеса исключением не назван.
Путь такой: информационная система → тип угроз → уровень защищённости → меры → документы.
Тип угроз определяет сам оператор (п. 7 Требований, утв. постановлением № 1119), уровень «устанавливается» по условиям п. 9–12, по нашему прочтению, тоже оператором. Уровней четыре.
Состав мер по уровням задаёт приказ ФСТЭК № 21 (ч. 4 ст. 19). Набор адаптируют под вашу систему.
Бумажные носители защищают по постановлению № 687, а не по № 1119.
Документы мы делаем, лицензируемые работы не берём: установку средств защиты и аттестацию выполняет лицензиат.

Что закон называет защитой персональных данных

Оператор при обработке обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие. Защищают данные от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения (ч. 1 ст. 19).

Часть 2 той же статьи перечисляет, чем достигается безопасность. Это список «в частности», то есть не закрытый. В него входят девять пунктов (п. 1–9) и п. 3.1:

определение угроз безопасности данных в информационных системах (п. 1);
организационные и технические меры под уровни защищённости, которые устанавливает Правительство (п. 2);
средства защиты информации, прошедшие оценку соответствия (п. 3), и такие же средства для уничтожения данных (п. 3.1);
оценка эффективности мер до ввода системы в эксплуатацию (п. 4);
учёт машинных носителей (п. 5);
обнаружение несанкционированного доступа и реагирование на компьютерные инциденты (п. 6);
восстановление данных, изменённых или уничтоженных из-за такого доступа (п. 7);
правила доступа к данным, регистрация и учёт всех действий с ними в системе (п. 8);
контроль за принимаемыми мерами и уровнем защищённости (п. 9).

Заметьте формулировку: «необходимые» меры. Слова «необходимые и достаточные» стоят в ст. 18.1, где речь о мерах по выполнению обязанностей закона в целом. Состав мер по статье 18.1 оператор определяет самостоятельно, а защита информационных систем идёт по правилам статьи 19 и подзаконных актов.

Угрозы безопасности закон определяет как совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к данным. Уровень защищённости — комплексный показатель, характеризующий требования, исполнение которых нейтрализует определённые угрозы (ч. 11 ст. 19).

Правовые, организационные, технические меры: что к чему относится

Закон называет три вида мер, но не раскладывает по ним конкретные действия. Раскладка в таблице ниже — наше прочтение, чтобы было проще ориентироваться.

Вид мер	Что сюда относим (наше прочтение)	На чём основано
Правовые	Политика и локальные акты, согласия, договоры с теми, кому поручена обработка, ознакомление работников с правилами	ст. 18.1 (ч. 1 п. 2, 6); п. 3 постановления № 1119 — договор с уполномоченным лицом должен обязывать его обеспечить безопасность
Организационные	Режим помещений, сохранность носителей, список лиц с доступом, ответственный за безопасность в системе, учёт носителей	п. 13–14 постановления № 1119; п. 5 ч. 2 ст. 19
Технические	Учётные записи и права, антивирусная защита, регистрация событий, резервные копии, средства защиты информации там, где они нужны для нейтрализации угроз	приказ ФСТЭК № 21 (группы мер); п. 13 «г» постановления № 1119

Подробнее о каждом виде и о перечне документов смотрите в наших статьях: положение о защите персональных данных, комплект документов оператора, регламент реагирования на инциденты.

Кто что устанавливает: закон, Правительство, ФСТЭК

Ответственность между актами разделена по статье 19:

Правительство устанавливает уровни защищённости и требования к защите данных в информационных системах (ч. 3). Это постановление № 1119.
ФСБ и ФСТЭК в пределах своих полномочий устанавливают состав и содержание организационных и технических мер для каждого уровня (ч. 4). Для ФСТЭК это приказ № 21. Он прямо оговаривает, что не рассматривает меры, связанные с шифровальными (криптографическими) средствами (п. 1 приказа).
Государственные органы в пределах полномочий определяют актуальные угрозы для информационных систем своих видов деятельности (ч. 5); ассоциации и союзы операторов вправе определить дополнительные (ч. 6).
Сам оператор определяет тип угроз и выбирает средства защиты в рамках этих актов (п. 4 и 7 постановления № 1119).

Кроме того, ч. 12 ст. 19 обязывает оператора обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак в порядке, который определяет ФСБ. Сам порядок, который определяет ФСБ, в статье мы не разбираем.

Схема: от системы к документам

Шаг	Что делаем	Кто решает	Подробнее
1	Находим информационные системы: 1С, CRM, сайт с базой заявок, облако (п. 10 ст. 3)	Оператор	что такое ИСПДн, перечень ИСПДн
2	Определяем категории данных и число субъектов (п. 5 постановления № 1119)	Оператор	классификация ИСПДн
3	Определяем актуальные угрозы и их тип: 1, 2 или 3 (п. 6–7)	Оператор	модель угроз
4	Устанавливаем уровень защищённости: от 4-го до 1-го (п. 8–12)	Оператор	уровни защищённости
5	Выбираем меры: базовый набор по уровню, адаптация, уточнение, дополнение (п. 9 приказа № 21)	Оператор, при необходимости со специалистом	приказ ФСТЭК № 21
6	Оформляем результат документами (форму закон не задаёт)	Оператор	акт определения уровня
7	Проверяем: оценка эффективности и контроль не реже одного раза в 3 года (п. 6 приказа № 21, п. 17 постановления № 1119)	Оператор сам или с лицензиатом	постановление № 1119

Шаг 4 зависит от шага 3, а шаг 5 от шага 4. Поэтому уровень нельзя «взять у соседа»: он зависит от ваших данных и вашей системы.

Что оператор делает сам, а что требует специалиста

Освобождения от определения угроз для малого бизнеса ни в законе, ни в постановлении № 1119 нет (п. 1 ч. 2 ст. 19; п. 2 и 7 Требований). Но большая часть работы доступна без технической подготовки. Распределение ниже — наша рекомендация по прочтению норм.

Можно сделать самому	Лучше с профильным специалистом
Составить перечень систем, где лежат данные людей	Обосновать тип угроз: решить, актуальны ли угрозы с недокументированными возможностями ПО
Утвердить список лиц с доступом (п. 13 «в» постановления № 1119)	Адаптировать базовый набор мер приказа № 21 под вашу систему и обосновать компенсирующие меры
Назначить ответственного за безопасность в системе (для 3-го уровня и выше, п. 14)	Выбрать и настроить средства защиты информации, когда они нужны
Организовать режим помещений и сохранность носителей	Провести оценку эффективности мер и контроль, если нет своих специалистов
Ознакомить работников с правилами и закрепить договорами обязанность подрядчиков	Решить вопросы 1-го и 2-го уровней защищённости

Если подрядчик обрабатывает данные по вашему поручению, договор с ним должен предусматривать его обязанность обеспечить безопасность (п. 3 постановления № 1119). Работников, которые обрабатывают данные, знакомят с законодательством о персональных данных, требованиями к защите и локальными актами и (или) обучают (п. 6 ч. 1 ст. 18.1). Закон говорит «ознакомление и (или) обучение», так что формат выбираете вы. Если нужен курс, есть программа повышения квалификации «Защита персональных данных»: 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. На программу принимают с образованием не ниже среднего профессионального. Курс не выдаёт готовых документов и не подаёт уведомление.

Разграничение доступа к персональным данным

Доступ к данным — самая «живая» часть защиты: она касается каждого работника. Закон требует установить правила доступа к данным в информационной системе и обеспечить регистрацию и учёт всех действий с ними (п. 8 ч. 2 ст. 19).

Постановление № 1119 добавляет конкретику по ступеням:

Любой уровень, п. 13 «в»: руководитель оператора утверждает документ с перечнем лиц, доступ которых к данным в системе необходим для служебных (трудовых) обязанностей.
2-й уровень и выше, п. 15 Требований: к содержанию электронного журнала сообщений доступ только у тех работников, которым это нужно для работы.
1-й уровень, п. 16 «а» Требований: автоматическая регистрация изменения полномочий работника по доступу в электронном журнале безопасности.

Приказ ФСТЭК № 21 раскрывает это группой мер «Управление доступом» (УПД). В приложении к приказу для всех четырёх уровней защищённости отмечены, в частности:

УПД.1 — управление учётными записями: заведение, активация, блокирование и уничтожение;
УПД.2 — методы и правила разграничения доступа (дискреционный, мандатный, ролевой или иной) и типы доступа: чтение, запись, выполнение;
УПД.4 — разделение полномочий пользователей, администраторов и лиц, обеспечивающих работу системы;
УПД.5 — назначение минимально необходимых прав и привилегий;
УПД.6 — ограничение неуспешных попыток входа.

Как это выглядит в малой организации (наша рекомендация): личные учётные записи вместо общей, права по должности, при увольнении и переводе доступ закрывают в день приказа, список лиц и права сверяют при каждой смене состава. Матрицу «должность — система — права» и инструкцию пользователя мы разобрали в статье про перечень ИСПДн, инструкцию и матрицу доступа. Что подписывает работник, смотрите в обязательстве о неразглашении, правила работы — в инструкции ответственного. Отдельно о защите на домашних компьютерах: защита ПДн при удалённой работе.

Бумажные носители: постановление № 687

Постановление № 1119 про информационные системы. Если данные обрабатываются без средств автоматизации, действует Положение, утверждённое постановлением № 687. Оно говорит: данные обособляют от иной информации (п. 4), на одном носителе не фиксируют данные несовместимых целей (п. 5), по каждой категории данных должно быть можно определить места хранения и перечень лиц с доступом (п. 13), данные разных целей хранят раздельно (п. 14). Меры сохранности и ответственных за них оператор устанавливает сам (п. 15).

Внимание на границу: обработку нельзя признать автоматизированной только потому, что данные содержатся в информационной системе или извлечены из неё (п. 2 Положения), а неавтоматизированной считается обработка при непосредственном участии человека (п. 1). Распечатали список из 1С — бумага подчиняется постановлению № 687, а сама база в 1С остаётся информационной системой.

Невыполнение условий сохранности носителей при обработке без средств автоматизации, если это повлекло неправомерный или случайный доступ к данным, наказывается по ч. 6 ст. 13.11 КоАП. Для индивидуальных предпринимателей штраф от 20 000 до 40 000 ₽, для юридических лиц от 50 000 до 100 000 ₽. Как вести учёт, читайте в статьях про журнал учёта носителей и про акт уничтожения данных.

Нужна ли лицензия ФСТЭК на документы по защите ПДн

Лицензируется «техническая защита конфиденциальной информации» (постановление № 79). Перечень лицензируемых видов закрытый, в п. 4 Положения о лицензировании шесть групп:

контроль защищённости от утечки по техническим каналам;
контроль защищённости от несанкционированного доступа и модификации в средствах и системах информатизации;
мониторинг информационной безопасности;
аттестационные испытания и аттестация;
проектирование в защищённом исполнении;
установка, монтаж, наладка, испытания и ремонт средств защиты информации.

Подготовка документов, в которых описаны система, тип угроз, уровень защищённости и перечень мер, в этом перечне не названа. По нашему прочтению, лицензия на такие документы не нужна. Прямого разъяснения именно об этом мы не нашли, поэтому сразу оговорим границы: если в работу входит проверка защищённости самих систем, установка и настройка средств защиты, проектирование системы защиты в защищённом исполнении, аттестация или мониторинг, это лицензируемые работы (п. 4 Положения, постановление № 79).

Постановление № 1119 прямо допускает, что контроль выполнения требований проводит оператор самостоятельно и (или) с привлечением лицензированных организаций (п. 17). Приказ № 21 говорит о лицензиатах так: «могут привлекаться» (п. 2), а оценку эффективности оператор проводит самостоятельно или с их помощью, не реже одного раза в 3 года (п. 6).

Что будет, если ничего не делать: коротко и без паники

Отдельной статьи о том, что «не определили уровень защищённости», в ст. 13.11 КоАП мы не нашли. Нарушение требований о защите информации, установленных федеральными законами и принятыми в соответствии с ними актами, может подпасть под ч. 6 ст. 13.12 КоАП (для юрлиц 50–100 тыс. ₽); как её применяют к операторам ПДн, мы не проверяли. В любом случае это не значит, что можно ничего не делать. Вот где вопрос возникает на практике:

Оператор обязан по запросу Роскомнадзора представить документы и иным образом подтвердить принятие мер (ч. 4 ст. 18.1).
Сведения о реализуемых требованиях к защите публикуют вместе с политикой (ч. 2 ст. 18.1). За неопубликованные сведения предусмотрена ответственность по ч. 3 ст. 13.11 КоАП.
Утечка наказывается по ч. 12–14 ст. 13.11 КоАП (ступени от 1 000 субъектов или 10 000 идентификаторов), для специальных категорий и биометрии действуют ч. 16 и 17 без такого порога, за повтор ч. 15 и 18; подробно в статьях о штрафах за персональные данные и об утечке: 24 и 72 часа.
О проверках, которые могут задавать такие вопросы: проверка Роскомнадзора.

Срок давности привлечения к ответственности по делам о нарушении законодательства о персональных данных — один год (ч. 1 ст. 4.5 КоАП). Лучшая защита от вопросов — документ, из которого видно, как вы определили уровень и какие меры приняли.

Карта раздела: что читать дальше

Смежные разделы: согласие на обработку, политика обработки, ответственный за обработку, данные работников, что такое персональные данные.

Как мы помогаем

Мы готовим документы: определяем тип угроз и уровень защищённости по постановлению № 1119 и описываем перечень мер, соответствующих уровню. В работе используем методику ФСТЭК 2021 года (её текст в этой статье мы не разбирали). Цена от 12 900 ₽ для типичной системы: сайт, CRM, 1С. Цену называем до договора и фиксируем.

В цену входит:

описание системы: какие информационные системы, какие данные, где хранятся и кто имеет доступ;
тип угроз и уровень защищённости, оформленные документом;
модель угроз по методике ФСТЭК 2021 года: актуальные угрозы и нарушители для вашей системы;
перечень мер защиты, соответствующих уровню, без внедрения: внедрять можно силами вашего ИТ.

Граница услуги. Только документы. Проектирование и внедрение средств защиты мы не берём. Аттестацию, установку и настройку средств защиты, мониторинг и контроль защищённости не продаём: на них нужна лицензия ФСТЭК. Критическую информационную инфраструктуру, государственные информационные системы и системы с криптографией не берём. Если вашей ситуации нужен лицензиат, скажем об этом до договора.

Описание системы, уровень по № 1119, модель угроз и перечень мер · без внедрения · цена до договора

Определим тип угроз и уровень защищённости — от 12 900 ₽

Узнать цену для моей системы →

Внутренние документы (положение об обработке, приказ об ответственном, перечни, инструкции, журналы по вашей ситуации) входят в документы по 152-ФЗ за 9 900 ₽; нужно ли отдельное положение о защите, решаем на разборе: состав называем до оплаты, правки до вашего «принимаю». Чтобы документы оставались актуальными при смене программ и хостинга, есть сопровождение по персональным данным: 1 990 ₽ в месяц или 19 900 ₽ в год. Весь набор услуг, включая пакет «Старт» за 14 900 ₽ вместо 18 700 ₽, собран на странице услуги ФТИ.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Что входит в защиту персональных данных?

Правовые, организационные и технические меры, которые оператор обязан принимать (ч. 1 ст. 19 закона № 152-ФЗ). Среди них определение угроз, меры под установленный уровень защищённости, учёт носителей, правила доступа, регистрация действий с данными и контроль мер (ч. 2 ст. 19). Конкретный состав зависит от уровня защищённости вашей информационной системы.

Обязан ли малый бизнес определять угрозы и уровень защищённости?

Освобождения для малого бизнеса мы в законе не нашли: обязанность определить угрозы стоит в п. 1 ч. 2 ст. 19, а требования постановления № 1119 относятся к информационным системам любого оператора. Меняется только объём: у типичной небольшой системы документ компактный.

Кто определяет уровень защищённости?

Оператор. Тип угроз определяет он с учётом оценки возможного вреда (п. 7 постановления № 1119), уровень устанавливается по условиям п. 8–12. Закон не требует специальной формы документа, оформление актом — практика.

Сколько уровней защищённости и какой у обычной небольшой системы?

Четыре (п. 8 постановления № 1119). Для системы с иными категориями данных (не специальными и не биометрическими), угрозами 3-го типа и менее чем 100 000 субъектов, не являющихся работниками оператора, п. 12 называет 4-й уровень. Но тип угроз определяет оператор, поэтому проверяйте свою систему.

Нужна ли лицензия ФСТЭК на документы по защите ПДн?

По нашему прочтению, нет: в п. 4 Положения о лицензировании (постановление № 79) документы об определении угроз и уровня защищённости не названы. Прямого разъяснения мы не нашли. Лицензируются контроль защищённости, мониторинг, аттестация, проектирование в защищённом исполнении, установка и наладка средств защиты. Эти работы мы не берём.

Чем постановление № 1119 отличается от приказа ФСТЭК № 21?

Постановление Правительства устанавливает уровни защищённости и требования для каждого из них (ч. 3 ст. 19). Приказ ФСТЭК устанавливает состав и содержание мер по уровням (ч. 4 ст. 19). Сначала определяют уровень по постановлению, затем выбирают меры по приказу.

Как защищать бумажные документы с персональными данными?

По постановлению № 687: обособлять данные от иной информации, не фиксировать на одном носителе данные несовместимых целей, определить места хранения и перечень лиц с доступом по каждой категории данных, хранить носители разных целей раздельно. Меры сохранности оператор устанавливает сам.

Что нужно сделать, чтобы разграничить доступ к данным?

Утвердить документ с перечнем лиц, которым доступ необходим для работы (п. 13 «в» постановления № 1119), завести личные учётные записи и назначить права по должности. Приказ ФСТЭК № 21 в группе УПД называет управление учётными записями, правила разграничения и минимально необходимые права. Всё это для малой организации — практика на основании этих норм.

Берёте ли вы установку и настройку средств защиты?

Нет. Мы делаем только документы: описание системы, тип угроз и уровень защищённости, модель угроз и перечень мер. Внедрять меры можно силами вашего ИТ или у лицензиата. Модель угроз и уровень защищённости: от 12 900 ₽ для типичной системы, цену называем до договора.