Кто определяет форму оценки эффективности мер защиты персональных данных?
По приведённому комментарию форму определяет оператор самостоятельно или по соглашению с оценщиком, поскольку установленного бланка ФСТЭК нет.
Короткий ответ
По приведённому комментарию форму оценки эффективности и оформляемых по её результатам документов определяет оператор самостоятельно либо по соглашению с привлечённым оценщиком. Причина – отсутствие установленных актами ФСТЭК форм для такой оценки и её документов.
Это свобода выбора оформления, а не право заменить проверку произвольной справкой. Сама обязанность обеспечивать безопасность и оценивать эффективность мер связана со статьёй 19 закона о персональных данных.
О чём договориться до начала работы
Прежде всего нужно определить объект оценки: какую систему и какие реализованные меры проверяют. Если документ говорит об организации вообще, но фактически проверено одно рабочее место, границы результата останутся неясными.
Полезно заранее согласовать способ фиксации проверок и выводов. Из итогового материала должно быть понятно, что оценивалось, какие действия выполнялись и к какому результату пришли. Это практический смысл документа, независимо от выбранного названия – акт, отчёт или заключение.
При привлечении исполнителя форму можно закрепить в задании или договоре. Это помогает избежать ситуации, когда оператор ожидает подробное описание проверки, а получает только короткое подтверждение без объяснения объёма работы.
Отдельно остаётся вопрос допустимости работ и необходимых лицензий. Отсутствие обязательного бланка не означает отсутствия специальных требований к технической защите или обслуживанию криптографических средств.
Например, стороны вправе выбрать удобную структуру отчёта, но не могут одним соглашением объявить исполнителя уполномоченным на любые лицензируемые действия.
Ответ передаёт положение комментария 2026 года о формах. Для конкретной системы нужно также учитывать её режим и реальные работы, которые выполняются при оценке.
Если нужно применить ответ к Вашей ситуации или документам, Проверить согласия на обработку данных и рекламу: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Что проект ФСТЭК № 169583 предлагал для ИИ, ГосСОПКА и оценки защиты
- Как оформить оценку вреда, если у оператора нет случаев, перечисленных в Требованиях?
- Нужна ли установленная форма приказа о назначении ответственного за данные
- Как проект ФСТЭК 2026 года предлагает адаптировать меры к информационной системе?
- Какие угрозы учитывают в системах персональных данных сферы Минздрава?
