Обязательно ли создавать комиссию для оценки вреда субъектам персональных данных?

Короткий ответ

Нет, комиссия не является единственным вариантом. По прочитанному порядку оценку потенциального вреда может проводить ответственный за организацию обработки персональных данных либо комиссия, которую образует оператор.

Это выбор исполнителя конкретной оценки, а не отказ от самой обязанности. Если комиссия не создана, оператору всё равно нужно определить, кто проведёт оценку и как будет организована работа. Отсутствие коллегиального состава не объясняет отсутствие результата.

Например, ответственному может понадобиться информация о видах данных, количестве затронутых людей и возможных последствиях нарушения. Если эти сведения находятся у разных подразделений, полезно обеспечить их участие в подготовке материалов. Но участие нескольких сотрудников ещё не обязательно означает, что закон требует оформить постоянную комиссию для каждой организации.

Не следует смешивать эту оценку с расследованием уже произошедшего инцидента. Предмет вопроса – вред, который может быть причинён субъектам при нарушении закона. Конкретная техническая причина утечки и меры её устранения могут потребовать других процедур.

Обязанность оценки предусмотрена пунктом 5 части 1 статьи 18.1 Закона № 152-ФЗ; в источнике также назван приказ Роскомнадзора от 27 октября 2022 года № 178. Ответ основан на открытом фрагменте энциклопедии в редакции октября 2026 года. Он не устанавливает универсальный численный состав комиссии и не предлагает формальную подпись вместо содержательной оценки возможного вреда.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.

Практика по теме

Согласие на обработку данных: отделите его от других документовОтзыв согласия на персональные данные предложили сделать прощеПолитика персональных данных должна быть доступна там, где их собираютВС: оператор обязан контролировать защиту персданныхВС: сбой защиты у подрядчика не освобождает оператораРоскомнадзор пояснил новые уведомления об обработке данных с сентября 2022 годаРоскомнадзор установил требования к подтверждению уничтожения персональных данныхДля оценки вреда от нарушений при обработке данных установили три степениРоскомнадзор утвердил порядок сообщений об утечках данныхРасхождения уведомлений и сайта стали новым индикатором риска по персональным данным

Что ещё полезно знать

Основания обработки по каждой цели

Уведомление Роскомнадзора и фактические процессы

Читать подробную статью на эту тему

Частые вопросы по теме

• Кто оформляет оценку вреда субъектам данных и можно ли подписать акт электронной подписью?
• Как оформить оценку вреда, если у оператора нет случаев, перечисленных в Требованиях?
• Всех ли работников знакомят с политикой обработки и положением о данных персонала?
• Кто определяет форму оценки эффективности мер защиты персональных данных?
• Что означает низкая степень вреда при внештатном ответственном за обработку данных?