Закон прямо называет оценку вреда одной из мер оператора (п. 5 ч. 1 ст. 18.1 152-ФЗ): вред нужно оценить и соотнести с принимаемыми мерами. Оценку проводят для каждой цели обработки и информационной системы, при изменении состава данных, после инцидента. Результат помогает расставить приоритеты защиты: для специальных категорий данных и массовых баз вред выше, чем для контактов работников.

• Составить перечень нарушений закона, возможных у оператора: неправомерный доступ, утечка, обработка без основания, недостоверные данные, неисполнение прав субъекта.
• Определить для каждого нарушения степень вреда по шкале и критериям, которые заданы требованиями уполномоченного органа.
• Сопоставить вред с принимаемыми мерами: какие меры снижают вероятность и последствия нарушения и чего не хватает.
• Оформить результаты актом оценки вреда, подписанным комиссией, и утвердить его.
• Пересматривать оценку при изменении целей, состава данных и систем, а также после инцидентов.

Акт оценки вреда по каждой цели обработки или системе: перечень нарушений, степень вреда и сопоставление с мерами; приказ о комиссии; при необходимости – план усиления мер.

Комиссия оператора: ответственный за организацию обработки ПДн, юрист, представители владельцев процессов и ИБ. Консультант помогает с методикой и формулировками, но оценку принимает оператор, и подписывают ее его уполномоченные лица.

• Применение именно установленных уполномоченным органом критериев и шкалы, а не собственной произвольной методики.
• Конкретность: нарушения и последствия описаны для вашей организации, а не общими фразами.
• Связка с мерами: в акте видно, какие меры снижают вред и достаточны ли они.
• Подписание акта лицами, которые отвечают за обработку, и порядок хранения акта.
• Контроль качества: оценка не копирует чужой акт и учитывает разные цели обработки.