Памятка работника по защите персональных данных

Одна страница бытовым языком: что можно и чего нельзя делать с персональными данными в повседневной работе, как распознать попытку выманить сведения и кому сообщить, если что-то пошло не так.

Единственный документ комплекта, написанный для работника, а не для проверяющего. Критерий качества у него тоже один: памятку дочитывают до конца — иначе она не выполняет свою работу, сколько бы норм в ней ни было.

Статусрекомендуемый; на практике — основной рабочий документ Основаниеч. 1 ст. 19 152-ФЗ, ст. 21 ТК РФ Публичностьвнутренний, выдаётся каждому работнику Кто утверждаетруководитель приказом Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Комплект по 152-ФЗ состоит из документов, которые работник никогда не прочитает: политика на двенадцать страниц, регламенты, положения, инструкции со ссылками на постановления. Между тем именно от него зависит большая часть реальных инцидентов — он открывает письма, отвечает на звонки, пересылает файлы, оставляет компьютер незаблокированным. Памятка существует, чтобы до этого человека дошло хотя бы главное.

Отсюда её формат: одна страница, бытовой язык, пять-семь правил. Не потому, что работник не способен на большее, а потому, что документ конкурирует за внимание с реальной работой. Памятка на четыре страницы с цитатами из закона проигрывает эту конкуренцию мгновенно и превращается в лист, который подписывают не читая.

Главное правило в ней — не запрет, а обязанность сообщать. Работник, который заметил странное письмо, пропавшую флешку или чужого человека у шкафа с документами, обычно молчит: он не уверен, что это важно, и не хочет создавать проблему. Именно это молчание и съедает те сутки, за которые организация обязана уведомить Роскомнадзор.

Памятка — короткая выжимка. Персональные запреты под подпись живут в обязательстве о неразглашении, а порядок действий при инциденте — в регламенте реагирования.

02 Ответственность

Чем грозит отсутствие

Отдельного штрафа за отсутствие памятки нет. Есть последствие: организация узнаёт об инциденте не от своего работника, а снаружи — от клиента, из новостей или от регулятора. К этому моменту суточный срок уведомления давно прошёл.

ч. 11 ст. 13.11 КоАП РФ — неуведомление об утечке или просрочка

Юридическое лицо1 000 000 – 3 000 000 ₽

Должностное лицо400 000 – 800 000 ₽

Граждане50 000 – 100 000 ₽

Этот штраф складывается со штрафом за саму утечку, а тот считается по числу пострадавших субъектов — от 3–5 млн ₽ на нижней ступени. Разница между организацией, где работник сообщил в тот же день, и организацией, где промолчал, измеряется не только деньгами: в первом случае есть шанс остановить распространение данных.

Работник почти всегда замечает первым. Странное письмо со ссылкой, звонок «из Роскомнадзора» с просьбой прислать документы, пропавшая флешка — всё это видит он, а не администратор.

Молчат не из злого умысла. Человек не уверен, что это важно, боится показаться глупым или получить выговор. Памятка должна прямо снимать этот страх: сообщать нужно даже при сомнении, за сообщение не наказывают.

Фишинг работает на всех. Письмо «проверка Роскомнадзора, предоставьте список работников» открывают и в крупных организациях. Полезнее научить сомневаться в двух-трёх типовых сценариях, чем перечислять запреты.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Памятка по работе с персональными данными

—Инструктаж работника по 152-ФЗ

—Правила работы с ПДн для сотрудников

—Краткая инструкция по защите данных клиентов

—Памятка по информационной безопасности для персонала

—Что нельзя делать с персональными данными

—Листовка для работников по защите ПДн

—Вводный инструктаж по персональным данным

Памятку часто путают с инструкцией пользователя ИСПДн. Разница в адресате: инструкция описывает работу с конкретной системой и пишется для тех, кто в ней работает, памятка — для всех, включая тех, кто персональных данных почти не касается, но может открыть письмо или пустить постороннего в кабинет.

04 Обязательное содержание

Что должно быть в документе

Требований к составу нет — есть требование к результату: правила должны запоминаться. Практика показывает, что рабочий предел — семь пунктов; всё сверх этого не удерживается в памяти и не соблюдается.

Что считается персональными данными. Одно предложение с примерами из своей работы: ФИО и телефон клиента, паспорт в договоре, медсправка в личном деле. Без этого половина работников уверена, что данные — это только паспорт.

Не пересылать в личные каналы. Личная почта, мессенджеры, облачные диски, фотографии документов на телефон — самый массовый способ утечки и самый привычный для людей.

Блокировать экран и убирать документы. Уходя от компьютера — блокировка, в конце дня — бумаги в шкаф, распечатки не забывать у принтера.

Работать под своей учётной записью. Пароль не передавать, чужой сессией не пользоваться, даже если «так быстрее и все так делают».

Проверять, кому передаёшь данные. Звонки и письма с просьбой прислать сведения проверяются перезвоном по известному номеру. Роскомнадзор не запрашивает списки работников письмом со ссылкой.

Не выносить и не хранить дома. Носители, распечатки, выгрузки «поработать на выходных» — только по согласованию и по правилам организации.

Сообщать при любом сомнении. Кому именно — фамилия, телефон, мессенджер — и прямая фраза, что за сообщение о происшествии не наказывают. Это самый важный пункт памятки.

Подпись об ознакомлении. Отрывной лист или ведомость: памятка выдаётся при приёме на работу вместе с остальным пакетом.

05 Правовая база

Требования законодательства

ч. 1 ст. 19 152-ФЗмеры по защите данных, включая организационные

приказ ФСТЭК № 21информирование и обучение персонала как мера защиты

ст. 21 ТК РФобязанность работника соблюдать локальные нормативные акты

ч. 3.1 ст. 21 152-ФЗуведомление РКН в 24 часа с момента обнаружения

ст. 7 152-ФЗконфиденциальность персональных данных

ч. 11 ст. 13.11 КоАПнеуведомление об утечке или просрочка

Отдельного требования «выдать памятку» в законе нет: обязанность сформулирована шире — принять меры и обеспечить конфиденциальность. Но организационные меры без информирования людей не существуют, и при разборе инцидента первым делом смотрят, знал ли работник, как нужно было поступить. Памятка с подписью отвечает на этот вопрос за секунду.

06 Связи в комплекте

Как связан с другими документами

Памятка — верхушка человеческого контура: короткая выжимка того, что подробно описано в соседних документах.

Обязательство — те же правила под подпись. Обязательство о неразглашении даёт юридическую силу, памятка — запоминаемость. Выдаются вместе при приёме.

Должностные обязанности — что входит в работу. Изменения в должностные обязанности закрепляют обязанность соблюдать правила и сообщать об инцидентах.

Обучение — как правила не забываются. Приказ об обучении задаёт повторение: памятка, выданная один раз три года назад, не работает.

Реагирование — что происходит после сигнала. Регламент реагирования описывает, что делают ответственные, когда работник сообщил о происшествии.

Техника и носители — подробности. Инструкция по технике и инструкция по носителям раскрывают то, что в памятке умещается в две строки.

07 Актуализация

Когда обновлять документ

Памятку переиздают редко, но каждое изменение способа работы делает часть правил бесполезной, а часть — недостающей.

Переход на удалённую работу

Добавляются правила про домашнюю сеть, чужие компьютеры, экран, видимый домашним, и запрет печатать документы дома.

Новые каналы общения с клиентами

Подключили мессенджер, чат на сайте, телеграм-бот — работники начинают пересылать данные там, и это надо либо разрешить с правилами, либо запретить.

Новая волна мошеннических схем

Появились звонки «из Роскомнадзора» или письма о проверках — в памятку добавляется конкретный сценарий: люди узнают то, что уже видели.

Инцидент в организации

Лучший источник правок: реальный случай, описанный одной строкой, работает сильнее любой теории.

Изменилось законодательство

Рост штрафов и появление суточного срока уведомления — повод переиздать памятку и заново раздать её под подпись.

Плановый пересмотр

Раз в год вместе с обучением: заодно проверяется, что новые работники памятку получили, а не только те, кто был при внедрении.

08 Проверка

Что спросит проверяющий

Памятку проверяют не по тексту, а по людям: задают рядовому работнику два-три бытовых вопроса.

Что вы делаете, если попросили прислать список клиентов. Ответ показывает, есть ли у человека правило проверки или он действует по обстановке.

Кому сообщите, если потеряли флешку. Проверяется не название должности, а то, что человек вообще знает адресата и понимает, что сообщать надо.

Есть ли подписи об ознакомлении. Особенно у принятых недавно: разрыв здесь тот же, что и с обязательствами.

Актуален ли текст. Памятка без единого слова про мессенджеры и удалённую работу выдаёт документ, не пересматривавшийся годами.

Доступна ли она под рукой. Спрашивают, где её можно посмотреть: папка в кадрах хуже, чем лист на рабочем месте или страница во внутренней сети.

Совпадает ли с реальной практикой. Если памятка запрещает мессенджеры, а вся работа с клиентами идёт в них, это заметят за пять минут.

09 Разбор эксперта

Разбор эксперта

Памятка — единственный документ комплекта, качество которого измеряется не полнотой, а тем, дочитали ли её до конца. Мы регулярно видим «краткие» памятки на четыре страницы с цитатами из постановлений: такой документ подписывают не глядя, и он не меняет ничего. Работающий формат — одна страница, семь пунктов, каждый начинается с глагола и описывает действие, а не норму. Если из памятки нельзя выкинуть ни одного пункта без потери смысла, значит, она нужного размера.

Второе, что мы советуем ставить первым пунктом и выделять, — обязанность сообщать, снабжённая обещанием, что за сообщение не наказывают. Это звучит мягко, но работает жёстко: главная причина просроченных уведомлений в Роскомнадзор не техническая, а человеческая — работник заметил, засомневался и промолчал. Один раз наказав человека за принесённую плохую новость, организация закрывает себе канал раннего оповещения на годы вперёд, и никакой мониторинг это не компенсирует.

И третье — про язык. Замените «неправомерная передача персональных данных третьим лицам» на «не пересылайте фото паспорта клиента в личный чат, даже коллеге». Люди не соотносят юридические формулировки со своими ежедневными действиями: они искренне не считают пересылку скана в мессенджер «передачей третьим лицам». Хорошая памятка написана примерами из их работы, и мы всегда просим клиента дать нам два-три реальных сюжета — с ними документ становится вдвое короче и втрое понятнее.

Что мы советуем при подготовке комплекта

Держите памятку в пределах одной страницы и семи пунктов — всё остальное не запоминается. Первым пунктом ставьте «сообщи при любом сомнении» с именем и телефоном адресата и прямым обещанием, что за сообщение не наказывают. Пишите примерами из работы людей, а не формулировками закона. И выдавайте её при приёме на работу в одном пакете с обязательством, а не отдельной рассылкой.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Обязательна ли памятка по закону?

Прямого требования нет: закон говорит о мерах и о конфиденциальности. Но организационные меры без информирования работников не работают, а при разборе инцидента первым делом выясняют, знал ли человек, как нужно было поступить.

Чем памятка отличается от обязательства о неразглашении?

Обязательство — юридический документ с подписью, он даёт основание спросить с работника. Памятка — рабочий инструмент, который должен запомниться. Они не заменяют друг друга и выдаются вместе.

Какой объём считается нормальным?

Одна страница, пять-семь пунктов. Практика простая: если документ не помещается на лист, который можно положить на рабочий стол, его не будут читать.

Нужно ли выдавать памятку тем, кто не работает с данными?

Да, короткий вариант. Уборщик, водитель или охранник не обрабатывают данные, но могут пустить постороннего, найти оставленные документы или получить мошеннический звонок.

Как добиться, чтобы её действительно прочитали?

Выдавать при приёме на работу вместе с договором, разбирать один-два реальных случая на обучении и держать на виду — на рабочем месте или во внутренней сети, а не в папке у кадровика.

Нужна ли подпись об ознакомлении?

Желательна: она подтверждает информирование и обходится в одну строку в ведомости. Юридическую нагрузку при этом несёт обязательство, а не памятка.

Как часто её пересматривать?

Раз в год вместе с обучением и внепланово — после инцидентов, изменения способа работы или появления новых мошеннических схем. Свежий пример из практики делает памятку живой лучше любой правки формулировок.

Связанные документы

Типовая форма обязательства о неразглашении персональных данныхСогласия и уведомления Приказ о проведении периодического обучения работников по защите ПДнПриказы Регламент реагирования на инциденты информационной безопасностиИнструкции и регламенты

Все документы комплекта

Памятка работника по защите ПДн — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66