Инвентаризация ПДн: как провести в компании 2026
Я — Олег Петухов, руковожу юридической компанией «ЛЕГАС». За 25 лет практики сотни клиентов спрашивали меня: «Как провести инвентаризацию ПДн?». Многие думают, что это сложная бюрократия. На деле — это чёткий алгоритм, который защитит компанию от штрафов и утечек. В этой статье — пошаговая инструкция и готовые шаблоны.
Зачем нужна инвентаризация ПДн?
Инвентаризация персональных данных — обязательный процесс для компаний, обрабатывающих ПДн (ст. 18.1 152 ФЗ). Она нужна, чтобы:
• понять, какие ПДн есть в компании и где они хранятся;
• выявить избыточные данные (которые можно удалить);
• определить уровни защиты для разных категорий ПДн;
• подготовиться к проверкам Роскомнадзора и ФСТЭК;
• снизить риск утечек и штрафов.
Мой совет: проводите инвентаризацию минимум раз в год или при изменении бизнес процессов (новый отдел, новая CRM система).
Шаг 1. Создайте комиссию
1. Издайте приказ руководителя о создании комиссии (укажите состав, сроки работы).
2. Включите в комиссию: юриста, ИТ специалиста, ответственного за обработку ПДн.
3. Назначьте председателя комиссии.
Шаг 2. Составьте перечень систем и носителей
1. Выявите все места хранения ПДн:
o базы данных (CRM, ERP, 1С);
o облачные сервисы (Google Drive, Яндекс Диск);
o бумажные носители (личные дела, анкеты);
o почта, мессенджеры.
2. Занесите данные в таблицу:
Система/носитель Тип ПДн Количество записей Ответственный
CRM система ФИО, телефоны, email 5 000 Менеджер отдела продаж
Шаг 3. Классифицируйте ПДн
Разделите данные по категориям:
• общедоступные (ФИО, должность);
• специальные (здоровье, убеждения);
• биометрические (фото, отпечатки пальцев);
• иные.
Типичная ошибка: не учитывают данные в резервных копиях или старых файлах. Проверяйте всё!
Шаг 4. Определите цели обработки и сроки хранения
Для каждой категории ПДн укажите:
• цель обработки (трудовой договор, маркетинг);
• срок хранения (по закону или ЛНА);
• основание (согласие, договор).
Шаг 5. Проверьте соответствие требованиям
Сверьте фактическую обработку с политикой обработки ПДн и согласиями. Выявите:
• избыточные данные;
• устаревшие согласия;
• нарушения сроков хранения.
Шаг 6. Оформите результаты
1. Составьте акт инвентаризации (образец ниже).
2. Приложите чек лист проверки.
3. Утвердите документ у руководителя.
4. Храните акт 3 года (требование для проверок).
Образец акта инвентаризации ПДн:
Акт инвентаризации персональных данных
Дата: 15.04.2026
Комиссия в составе: [ФИО членов комиссии]
Провела инвентаризацию ПДн в компании [Название].
Выявлено:
• ПДн в CRM системе: 5 000 записей (соответствует целям обработки);
• Бумажные анкеты: 200 шт. (срок хранения истёк — рекомендовано уничтожить).
Подписи: [подписи членов комиссии]
Что будет, если не проводить инвентаризацию?
Роскомнадзор может:
• выдать предписание об устранении нарушений (ст. 18.1 152 ФЗ);
• наложить штраф (ст. 13.11 КоАП РФ):
для должностных лиц — от 10 000 до 20 000 ₽;
для юрлиц — от 60 000 до 100 000 ₽.
• инициировать внеплановую проверку всей системы защиты информации;
• приостановить обработку ПДн до устранения нарушений.
Реальный случай: в 2025 году компания получила штраф 80 000 ₽ за отсутствие инвентаризации — утечка произошла из за избыточных данных в старой CRM, которые никто не удалил.
Заключение
Инвентаризация ПДн — не бюрократия, а реальный инструмент защиты бизнеса. За 25 лет я убедился: компании, которые проводят её регулярно, реже сталкиваются с утечками и легче проходят проверки.
Чтобы всё прошло гладко:
• создайте комиссию и утвердите приказ;
• составьте полный перечень систем и носителей;
• классифицируйте ПДн по категориям;
• проверьте соответствие целям обработки и срокам хранения;
• оформите акт инвентаризации и храните его 3 года;
• проводите инвентаризацию минимум раз в год или при изменениях в бизнес процессах.
Начните сегодня — защитите компанию от штрафов и утечек!
Скачайте чек лист «5 шагов инвентаризации ПДн» (2026)
Поделитесь статьёй с коллегой, которому это пригодится
Подпишитесь на legascom.ru — разбираем сложное просто