---
title: "Приказ Роспотребнадзора от 28.11.2016 N 1172"
number: "1172"
issuer: "Федеральная служба по надзору в сфере защиты прав потребителей и благополучия человека"
issued_on: 2016-11-28
status: действует
canonical: "https://bukva.ai/docs/prikaz-1172-2016-rospotrebnadzor-federalnaya"
---

## Приказ Роспотребнадзора от 28.11.2016 N 1172

# Приказ Роспотребнадзора от 28.11.2016 N 1172

"О внесении изменений в Положение об обработке и защите персональных данных в Роспотребнадзоре, утвержденное приказом Роспотребнадзора от 23.12.2013 N 964"

(Зарегистрировано в Минюсте России 20.12.2016 N 44796)




<a id="p100001"></a>Зарегистрировано в Минюсте России 20 декабря 2016 г. N 44796

---


<a id="p100002"></a>**ФЕДЕРАЛЬНАЯ СЛУЖБА ПО НАДЗОРУ В СФЕРЕ ЗАЩИТЫ**
**ПРАВ ПОТРЕБИТЕЛЕЙ И БЛАГОПОЛУЧИЯ ЧЕЛОВЕКА**

<a id="p100003"></a>**ПРИКАЗ**
от 28 ноября 2016 г. N 1172

<div align="center">

<a id="p100004"></a>**О ВНЕСЕНИИ ИЗМЕНЕНИЙ**<br>
**В ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ**<br>
**В РОСПОТРЕБНАДЗОРЕ, УТВЕРЖДЕННОЕ ПРИКАЗОМ РОСПОТРЕБНАДЗОРА**

</div>

**ОТ 23.12.2013 N 964**

<a id="p100005"></a>Руководствуясь [статьями 18.1](https://bukva.ai/docs/zakon-152-fz-2006/statya-18-1#p100357) и [19](https://bukva.ai/docs/zakon-152-fz-2006/statya-19#p100368) Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2009, N 48, ст. 5716, N 52, ст. 6439; 2010, N 27, ст. 3407, N 31, ст. 4173, N 31, ст. 4196, N 49, ст. 6409; 2011, N 23, ст. 3263, N 31, ст. 4701; 2013, N 14, ст. 1651, N 30, ст. 4038, N 51, ст. 6683; 2014, N 23, ст. 2927, N 30, ст. 4217, N 30, ст. 4243), [Требованиями](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100010) о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. N 17 (зарегистрирован Минюстом России 31.05.2013, регистрационный номер 28608), [Составом и содержанием](https://bukva.ai/docs/prikaz-21-2013-fstek-rossii-federalnaya#p100010) организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденными приказом ФСТЭК России от 18 февраля 2013 г. N 21 (зарегистрирован Минюстом России 14.05.2013, регистрационный номер 28375), приказываю:
1. <a id="p100006"></a>Внести изменения в [Положение](https://bukva.ai/docs/prikaz-964-2013-rospotrebnadzor-federalnaya#p100011) об обработке и защите персональных данных в Роспотребнадзоре, утвержденное приказом Роспотребнадзора от 23.12.2013 N 964 (зарегистрирован в Минюсте России 25.04.2014, регистрационный номер 32122), согласно [приложению](#p100011).
2. <a id="p100007"></a>Контроль за исполнением настоящего приказа возложить на заместителя руководителя Роспотребнадзора Б.П. Кузькина.

<a id="p100008"></a>Руководитель
**А.Ю.ПОПОВА**





<a id="p100009"></a>Приложение

<a id="p100010"></a>Утверждены
приказом Роспотребнадзора
от 28.11.2016 N 1172

<a id="p100011"></a>**ИЗМЕНЕНИЯ**
**В ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ**
**В РОСПОТРЕБНАДЗОРЕ, УТВЕРЖДЕННОЕ ПРИКАЗОМ РОСПОТРЕБНАДЗОРА**
**ОТ 23.12.2013 N 964**

1. <a id="p100012"></a>В [главе VII](https://bukva.ai/docs/prikaz-964-2013-rospotrebnadzor-federalnaya#p100114) "Порядок обработки персональных данных субъектов персональных данных в информационных системах":
<a id="p100013"></a>1.1. [Пункт 7.1](https://bukva.ai/docs/prikaz-964-2013-rospotrebnadzor-federalnaya#p100115) изложить в следующей редакции:
<a id="p100014"></a>"7.1. Обработка персональных данных в информационных системах осуществляется после реализации организационных и технических мер по обеспечению безопасности персональных данных, определенных с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.
<a id="p100015"></a>Обеспечение безопасности при обработке персональных данных, содержащихся в информационных системах органов и подведомственных организаций осуществляется в соответствии с [постановлением](https://bukva.ai/docs/postanovlenie-1119-2012) Правительства Российской Федерации от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" <1>, [Требованиями](https://bukva.ai/docs/prikaz-17-2013-fstek-rossii-federalnaya#p100010) о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. N 17 <2>, [Составом и содержанием](https://bukva.ai/docs/prikaz-21-2013-fstek-rossii-federalnaya#p100010) организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденными приказом ФСТЭК России от 18 февраля 2013 г. N 21 <3>.";

<a id="p100016"></a>

---

<a id="p100017"></a><1> Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257.
<a id="p100018"></a><2> Зарегистрирован Минюстом России 31.05.2013, регистрационный номер 28608.
<a id="p100019"></a><3> Зарегистрирован Минюстом России 14.05.2013, регистрационный номер 28375.

<a id="p100020"></a>1.2. [Дополнить](https://bukva.ai/docs/prikaz-964-2013-rospotrebnadzor-federalnaya#p100114) пунктами 7.5 - 7.9 следующего содержания:
<a id="p100021"></a>"7.5. Меры по обеспечению безопасности персональных данных принимаются для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
<a id="p100022"></a>7.6. В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:
<a id="p100023"></a>идентификация и аутентификация субъектов доступа и объектов доступа;
<a id="p100024"></a>управление доступом субъектов доступа к объектам доступа;
<a id="p100025"></a>ограничение программной среды;
<a id="p100026"></a>защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные;
<a id="p100027"></a>регистрация событий безопасности;
<a id="p100028"></a>антивирусная защита;
<a id="p100029"></a>обнаружение (предотвращение) вторжений;
<a id="p100030"></a>контроль (анализ) защищенности персональных данных;
<a id="p100031"></a>обеспечение целостности информационной системы и персональных данных;
<a id="p100032"></a>обеспечение доступности персональных данных;
<a id="p100033"></a>защита среды виртуализации;
<a id="p100034"></a>защита технических средств;
<a id="p100035"></a>защита информационной системы, ее средств, систем связи и передачи данных;
<a id="p100036"></a>выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных, и реагирование на них;
<a id="p100037"></a>управление конфигурацией информационной системы и системы защиты персональных данных.
<a id="p100038"></a>7.7. Согласно [пункту 6](https://bukva.ai/docs/postanovlenie-1119-2012#p100020) Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.
<a id="p100039"></a>Угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.
<a id="p100040"></a>Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.
<a id="p100041"></a>Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.
<a id="p100042"></a>Определение типа угроз безопасности персональных данных, актуальных для информационной системы, производится с учетом оценки возможного вреда, проведенной во исполнение [пункта 5 части 1 статьи 18.1](https://bukva.ai/docs/zakon-152-fz-2006/statya-1#p100363) Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" <4>.

<a id="p100043"></a>

---

<a id="p100044"></a><4> Собрание законодательства Российской Федерации, 2006, N 31, ст. 3451; 2009, N 48, ст. 5716, N 52, ст. 6439; 2010, N 27, ст. 3407, N 31, ст. 4173, N 31, ст. 4196, N 49, ст. 6409; 2011, N 23, ст. 3263, N 31, ст. 4701; 2013, N 14, ст. 1651, N 30, ст. 4038, N 51, ст. 6683; 2014, N 23, ст. 2927, N 30, ст. 4217, N 30, ст. 4243.

<a id="p100045"></a>7.8. В соответствии с [пунктом 11 статьи 19](https://bukva.ai/docs/zakon-152-fz-2006/statya-19#p100391) Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" под уровнем защищенности персональных данных понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.
<a id="p100046"></a>При обработке персональных данных в информационных системах устанавливаются 4 уровня защищенности персональных данных.
<a id="p100047"></a>7.8.1. Необходимость обеспечения 1-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:
<a id="p100048"></a>а) для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает либо специальные категории персональных данных, либо биометрические персональные данные, либо иные категории персональных данных;
<a id="p100049"></a>б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.
<a id="p100050"></a>7.8.2. Необходимость обеспечения 2-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:
<a id="p100051"></a>а) для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает общедоступные персональные данные;
<a id="p100052"></a>б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;
<a id="p100053"></a>в) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает биометрические персональные данные;
<a id="p100054"></a>г) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;
<a id="p100055"></a>д) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;
<a id="p100056"></a>е) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.
<a id="p100057"></a>7.8.3. Необходимость обеспечения 3-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:
<a id="p100058"></a>а) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные сотрудников оператора или общедоступные персональные данные менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;
<a id="p100059"></a>б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;
<a id="p100060"></a>в) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;
<a id="p100061"></a>г) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает биометрические персональные данные;
<a id="p100062"></a>д) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.
<a id="p100063"></a>7.8.4. Необходимость обеспечения 4-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:
<a id="p100064"></a>а) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает общедоступные персональные данные;

<div align="center">

<a id="p100065"></a>б) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.<br>
<a id="p100066"></a>7.9. Состав и содержание мер по обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных, приведены в [приложении](https://bukva.ai/docs/prikaz-21-2013-fstek-rossii-federalnaya#p100081) к Составу и содержанию организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденными приказом ФСТЭК России от 18 февраля 2013 г. N 21 <5>.";

</div>


<a id="p100067"></a>

---

<div align="center">

<a id="p100068"></a><5> Зарегистрирован Минюстом России 14.05.2013, регистрационный номер 28375.

</div>


2. <a id="p100069"></a>[Дополнить](https://bukva.ai/docs/prikaz-964-2013-rospotrebnadzor-federalnaya#p100011) главой XI следующего содержания:

<a id="p100070"></a>"XI. Правила осуществления внутреннего контроля
соответствия обработки персональных данных требованиям
к защите персональных данных

<a id="p100071"></a>11.1. Целью осуществления внутреннего контроля соответствия обработки персональных данных в органах и подведомственных организациях требованиям к защите персональных данных (далее - внутренний контроль) является соблюдение в органах и подведомственных организациях законодательства Российской Федерации в области персональных данных, в том числе требований к защите персональных данных.

#### <a id="p100072"></a>11.2 Внутренний контроль подразделяется на плановый и внеплановый.

<a id="p100073"></a>11.3. Внутренний контроль осуществляется лицом, ответственным за организацию обработки персональных данных, либо комиссией, образуемой приказом органа или подведомственной организации, в состав которой входят: лицо, ответственное за организацию обработки персональных данных; лица, уполномоченные на обработку персональных данных.
<a id="p100074"></a>11.4. Плановый внутренний контроль проводится на основании плана, утвержденного руководителем органа или подведомственной организации.
<a id="p100075"></a>Периодичность планового внутреннего контроля - не реже одного раза в год.
<a id="p100076"></a>Срок проведения планового внутреннего контроля составляет не менее 10 рабочих дней.
<a id="p100077"></a>11.5. Внеплановый внутренний контроль проводится по решению лица, ответственного за организацию обработки персональных данных:
<a id="p100078"></a>на основании поступившего в орган или подведомственную организацию в письменной форме или в форме электронного документа заявления субъекта персональных данных о нарушении законодательства в области персональных данных, а также устного обращения;
<a id="p100079"></a>в связи с проведением в органе или подведомственной организации государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.
<a id="p100080"></a>Внеплановый внутренний контроль может проводиться на основании решения руководителя органа или подведомственной организации.
<a id="p100081"></a>11.6. Внеплановый внутренний контроль должен быть завершен не позднее чем через месяц со дня принятия решения о его проведении.

#### <a id="p100082"></a>11.7 Результаты внутреннего контроля оформляются в виде справки.

<a id="p100083"></a>11.8. При выявлении в ходе внутреннего контроля нарушений в справке отражается перечень мероприятий по устранению выявленных нарушений и сроки их устранения.
<a id="p100084"></a>11.9. О результатах внутреннего контроля и мерах, необходимых для устранения выявленных нарушений, руководителю органа или подведомственной организации докладывает лицо, ответственное за организацию обработки персональных данных.
<a id="p100085"></a>11.10. В отношении персональных данных, ставших известными лицу, ответственному за организацию обработки персональных данных, или членам комиссии в ходе проведения внутреннего контроля, соблюдается конфиденциальность и обеспечивается безопасность при их обработке.".



<a id="p100086"></a>

---