Кто должен принимать остаточный риск обработки персональных данных после внедрения защитных мер?

По экспертной методике остаточный риск повторно оценивают и принимают решением владельца риска. Участие подрядчика не освобождает оператора.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2026-04-08

Короткий ответ

По методике RPPA от 8 апреля 2026 года остаточный риск принимает владелец риска в пределах предоставленных ему полномочий. До этого результат повторно оценивают с учётом уже внедрённых мер.

Нельзя считать вопрос решённым только потому, что специалист по данным составил отчёт, закупки выбрали подрядчика, а ИТ включили защитную настройку. Эти участники выполняют разные части работы.

Что должно содержать решение

Нужно понимать, какой риск остался, почему компания считает выбранные меры достаточными и кто уполномочен согласовать дальнейшую работу. Если остаются невыполненные действия, полезно определить исполнителей, сроки и условия пересмотра решения.

Принятие риска внутри компании не разрешает нарушать обязательные требования. Договорное возмещение потерь или страхование также не отменяют обязанности оператора перед людьми. Общие правила организации и безопасности обработки закреплены в Законе № 152-ФЗ.

Распределение обязанностей стоит сопоставить с результатами проверки процессов. Тогда решение будет относиться к понятной обработке и конкретным мерам, а не к абстрактной фразе «риски приняты». Пересмотр потребуется при существенном изменении процесса или обнаружении обстоятельств, на которых прежний вывод не основывался.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.