Можно ли использовать одну неизменную методику оценки риска для всех процессов с персональными данными?

Единый понятный подход полезен, но факторы и масштаб оценки адаптируют к реальной обработке. Универсальный калькулятор не заменяет описание процесса.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2026-04-08

Короткий ответ

Можно использовать общий понятный подход, но нельзя механически применять неизменный набор факторов ко всем процессам. В методике RPPA от 8 апреля 2026 года оценку предлагают адаптировать к реальной обработке.

Сначала нужно описать, что происходит с данными. Только затем выбирать факторы риска и масштаб анализа: отдельный сайт, конкретную операцию или более широкий маркетинговый процесс.

Почему одной таблицы бывает мало

Разные процессы отличаются составом данных, числом людей, получателями и последствиями ошибки. Одинаковая численная оценка может скрывать разные ситуации, если участники по-разному понимают исходные вопросы.

Методика должна позволять объяснить результат: какие сведения использовались, почему выбран этот уровень и что изменится после защитных мер. Повторная оценка имеет смысл, когда её можно сопоставить с первоначальной, сохранив понятные основания выводов.

Статья 18.1 Закона № 152-ФЗ устанавливает обязанности по организации обработки, но рассматриваемая экспертная таблица не является утверждённой законом формой.

Практически работу стоит начать с проверки сайта и процессов. Это даст фактическую основу для оценки и поможет увидеть, какие вопросы действительно относятся к конкретной обработке.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.