Проведение внутреннего аудита по защите персональных данных опирается на ряд нормативных актов и рекомендаций. Ключевые требования закреплены в Федеральном законе от 27.07.2006 № 152-ФЗ, а периодичность проверок — в постановлении Правительства РФ от 01.11.2012 № 1119. Для оценки соответствия можно использовать форму проверочного листа Роскомнадзора.

ГОСТ Р 53647.6-2012 определяет аудит как систематический, независимый и документированный процесс, что задаёт методологическую основу проверки. Методические рекомендации Минздравасоцразвития содержат практические шаблоны документов и пошаговые инструкции, включая разработку приказа и отчёта.

При планировании аудита важно учитывать актуальные изменения законодательства:
* требование оформлять согласие на обработку персональных данных как отдельный документ (с 01.09.2025, ФЗ № 156-ФЗ);
* новые положения для операторов, использующих облачные сервисы и серверы (с 01.03.2026, ФЗ № 126-ФЗ);
* ужесточённые требования к модели угроз (учёт удалённого доступа, мобильных рабочих мест и т.?д.).

Основные этапы аудита:
1. Издание приказа о проведении проверки с указанием сроков, состава комиссии и ответственного лица. В комиссию включают ИТ-специалистов, сотрудников кадровой и юридической служб.
2. Инвентаризация процессов обработки данных во всех подразделениях (кадры, бухгалтерия, маркетинг и т.?д.) и проверка документов: политики обработки, согласий субъектов, уведомления Роскомнадзора, договоров с подрядчиками.
3. Оценка соответствия требованиям закона с использованием проверочного листа Роскомнадзора и анализ:
* целостности системы защиты;
* контроля передачи данных третьим лицам;
* безопасности сайта организации;
* актуальности модели угроз.
4. Оформление отчёта с описанием выявленных несоответствий, мер по их устранению, сроков и ответственных исполнителей. Отчёт должен включать:
* структуру обработки данных для каждой информационной системы персональных данных (ИСПДн);
* перечень обрабатываемых данных и объектов защиты;
* список сотрудников, участвующих в обработке;
* анализ угроз и мер защиты.

Итоговый ответ

Для проведения внутреннего аудита по защите персональных данных:
1. Издайте приказ о проверке (сроки, комиссия, ответственный).
2. Проведите инвентаризацию процессов и проверку документов (политика, согласия, договоры и т.?д.).
3. Оцените соответствие требованиям 152-ФЗ и актуальным нормам (согласия, облачные сервисы, модель угроз), используя проверочный лист Роскомнадзора.
4. Составьте отчёт с перечнем несоответствий и планом их устранения (меры, сроки, ответственные).

Критичные факты для уточнения:
* структура и количество ИСПДн в организации;
* актуальные угрозы безопасности данных;
* наличие и содержание локальных актов по защите данных;
* особенности обработки данных (в т.?ч. передача третьим лицам, использование облачных сервисов).

Ссылки

• ст. 1 и иные положения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
• постановление Правительства РФ от 01.11.2012 № 1119;
• приказ Роскомнадзора от 24.12.2021 № 253 (ред. от 10.01.2023);
• письмо Министерства цифрового развития, связи и массовых коммуникаций РФ от 28.08.2020 № ЛБ-С-074-24059;
• ГОСТ Р 53647.6-2012 «Менеджмент непрерывности бизнеса. Требования к системе менеджмента персональной информации для обеспечения защиты данных» (утв. приказом Федерального агентства по техническому регулированию и метрологии от 29.11.2012 № 1421-ст);
• Методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости (утв. Министерством здравоохранения и социального развития РФ 23.12.2009);
• Федеральный закон от 24.06.2025 № 156-ФЗ;
• Федеральный закон № 126-ФЗ «О связи» (в ред. с 01.03.2026).