Как оформить оценку вреда, если у оператора нет случаев, перечисленных в Требованиях?
Эксперты предлагают зафиксировать отсутствие названных случаев в акте оценки, не определяя степень вреда; позиция сформулирована как рекомендация.
Короткий ответ
Готовое решение предлагает отразить в акте оценки вреда, что в деятельности оператора отсутствуют случаи, названные в соответствующих Требованиях, и не определять степень вреда. Авторы выражают это как свою позицию, а не как дословное универсальное исключение из нормы.
Общая обязанность оценивать возможный вред субъектам связана со статьёй 18.1 закона о персональных данных.
Почему важно зафиксировать результат
Отсутствие подходящего случая и отсутствие проведённой работы – разные обстоятельства. Если оператор проверил свою деятельность и не обнаружил перечисленных ситуаций, акт позволяет показать именно этот результат.
Например, незаполненная графа «степень вреда» без пояснения не показывает, проводилось ли сопоставление вообще. Содержательная запись объясняет, что предусмотренные случаи проверены и не установлены.
При этом не следует произвольно выбирать ближайшую степень только ради заполнения формы. Такая запись может создать неверное описание процесса и риска, которого в указанном виде нет.
Не нужно делать и обратный вывод: отсутствие перечисленного случая не означает, что никакой вред невозможен. Продолжают иметь значение состав данных, реальные операции, круг доступа и меры защиты.
Практически полезно связать результат с описанием фактической деятельности и тем, что именно проверялось. Если процессы меняются, прежнее заключение нельзя автоматически считать бессрочно верным.
В открытом фрагменте точные реквизиты упомянутых Требований не раскрыты. Поэтому ответ не дополняет их по предположению и не обещает, что любой орган примет такую запись без оценки обстоятельств.
Он передаёт рекомендацию 2026 года о документировании отрицательного результата, сохраняя её экспертный характер.
Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Кто определяет форму оценки эффективности мер защиты персональных данных?
- Обязательно ли создавать комиссию для оценки вреда субъектам персональных данных?
- Кто оформляет оценку вреда субъектам данных и можно ли подписать акт электронной подписью?
- Что означает низкая степень вреда при внештатном ответственном за обработку данных?
- Может ли директор временно выполнять обязанности специалиста по данным?