Pdn Assessment

---
name: pdn-assessment
description: >
  Локализация РФ (pia/DPIA → оценка обработки ПДн и вреда субъектам). Готовит
  оценку обработки: правовые основания, необходимость и соразмерность, оценку вреда
  субъектам (п. 5 ч. 1 ст. 18.1 ФЗ-152 + Приказ РКН № 178), указатель на модель угроз/уровень защищённости
  (ПП-1119, ФСТЭК № 21). Используй: «сделай оценку обработки», «нужна ли оценка вреда»,
  «оцени риски для субъектов по этой обработке».
argument-hint: '[описание обработки/системы или путь]'
---

<!--
Независимое ревью другим провайдером (`codex`/OpenAI) выполнено 2026-08-27 — 1 находка применена:
ориентиры Приказа РКН № 178 по биометрии/спецкатегориям/ПДн несовершеннолетних уточнены —
приказ содержит исключения из этих оснований и более узкий случай для несовершеннолетних,
не любая обработка этих категорий автоматически даёт высокую степень вреда.
-->

# /pdn-assessment — оценка обработки ПДн и вреда субъектам

Структурированная оценка обработки по ФЗ-152. **Важно:** в праве РФ нет прямого аналога GDPR-DPIA как обязательной универсальной процедуры; есть **оценка вреда, который может быть причинён субъектам** (**п. 5 ч. 1 ст. 18.1** — одно из обязательных мероприятий оператора; требования — **Приказ Роскомнадзора от 27.10.2022 № 178**, в силе с 01.03.2023) и **модель угроз/определение уровня защищённости** (ПП-1119, приказы ФСТЭК № 21, ФСБ). Скилл готовит правовую часть оценки и указывает на техническую (модель угроз — зона ИБ, не этого скилла).

## Инструкции

1. **Загрузи профиль.** Плейсхолдеры → cold-start. Возьми карту обработок как контекст.
2. **Опиши обработку:** цель, категории ПДн и субъектов, объём/масштаб, источники, получатели, сроки, автоматизация/профилирование, локализация, трансграничность.
3. **Проверь правовую базу:**
   - Основание (ст. 6/9/10/11) — есть и подходит?
   - **Необходимость и соразмерность:** минимизация — не собираем ли избыточное относительно цели (ст. 5 ч. 5)? Цель конкретна и законна (ст. 5)?
   - Уведомление РКН (ст. 22, включая актуализацию по ч. 7), локализация (**ст. 18 ч. 5 в ред. ФЗ от 28.02.2025 № 23-ФЗ, с 01.07.2025: использование баз данных за пределами РФ при сборе ПДн граждан РФ не допускается, кроме случаев п. 2, 3, 4, 8 ч. 1 ст. 6**), трансграничность (ст. 12) — статус.
4. **Оценка вреда субъектам (п. 5 ч. 1 ст. 18.1 + Приказ РКН от 27.10.2022 № 178).**
   - Оценка проводится **по каждой категории субъектов ПДн** *(так устроен приказ по существу, но как буквальное его требование это не подавай — методика оператора)*; по каждой определяется **степень вреда — высокая / средняя / низкая**. Если в рамках одной обработки выявлены разные степени — применяется **высшая**.
   - Ориентиры приказа: к **высокой** степени относятся, в частности, обработка биометрии, спецкатегорий, ПДн несовершеннолетних, **поручение иностранному лицу обработки ПДн граждан РФ** (не любая передача иностранцам — норма именно про поручение) и сбор с использованием баз данных за пределами РФ. **Приказ № 178 не относит к высокой степени вреда любую биометрию и любые спецкатегории/ПДн несовершеннолетних без исключений — в тексте приказа есть исключения из этих оснований, а для несовершеннолетних основание уже: не любая их обработка, а обработка по п. 5 ч. 1 ст. 6 (для заключения/исполнения договора с участием несовершеннолетнего), в ситуациях, не предусмотренных законодательством. Не расширяй эти три позиции до «любые ПДн несовершеннолетних / любая биометрия / любые спецкатегории → высокая степень» без проверки конкретного основания и исключений по тексту приказа** `[сверено 2026-08-27]`; к **средней** — распространение ПДн в сети, обработка в дополнительных целях, продвижение через базы других операторов; к **низкой** — отдельные организационные ситуации. `[полный перечень оснований степеней, включая точный состав исключений, — сверить по тексту приказа]`
   - Результат оформляется **документом**, содержащим: наименование (реквизиты) оператора; даты издания документа и проведения оценки; **ФИО (при наличии) и должности лиц, проводивших оценку**; установленную степень вреда; подпись. *Возможные причины вреда обязательным реквизитом приказа не являются — веди их как рабочую колонку анализа, но не выдавай за требование.* Оценку проводит ответственный за организацию обработки ПДн либо комиссия, образуемая оператором.
   - Внутреннюю шкалу 🔴/🟠/🟡/🟢 используй **только как рабочую приоритизацию мер**, не подменяя ею три степени приказа. Вероятность × тяжесть (дискриминация, финансовые потери, репутация, утрата контроля над данными) — рабочий инструмент, а не результат оценки в смысле приказа.
5. **Меры снижения:** организационные (минимизация, разграничение доступа, обезличивание/псевдонимизация, сроки) и указатель на технические (уровень защищённости по ПП-1119, меры ФСТЭК № 21) — техчасть передать ИБ.
6. **Остаточный риск и вывод:** можно ли начинать/продолжать, при каких условиях, что эскалировать.

## Формат вывода

```markdown
[ШАПКА]

# Оценка обработки ПДн: [название]

## Обработка
[цель, категории, субъекты, масштаб, локализация, трансгранично]

## Правовая база
- Основание: [ст.] — ✅/❌ `[решить]`
- Необходимость/соразмерность (минимизация): [оценка]
- Уведомление РКН / локализация / трансгранично: [статус] `[проверить]`

## Оценка вреда субъектам (п. 5 ч. 1 ст. 18.1 + Приказ РКН № 178)

**Проводил оценку:** [ФИО, должность] · **Дата оценки:** [дата] · **Оператор:** [реквизиты]

| Категория субъектов ПДн | Возможные причины вреда | **Степень вреда (высокая / средняя / низкая)** |
|---|---|---|
| [категория] | [причины] | [степень] |

**Итоговая степень по обработке:** [высшая из выявленных]

*Рабочая приоритизация мер (не результат оценки по приказу):*

| Угроза | Вероятность | Тяжесть | Приоритет меры |
|---|---|---|---|
| [угроза] | | | 🔴/🟠/🟡/🟢 |

## Меры снижения
- Организационные: [...]
- Технические (→ ИБ, ПП-1119 / ФСТЭК № 21): [указатель]

## Вывод
[Начинать / с условиями / нет]. Остаточный риск: [уровень]. Эскалация: [кому].
```

## Проверки перед выдачей
- [ ] Правовая часть отделена от технической (модель угроз — зона ИБ)
- [ ] Проверена минимизация (не собираем избыточное)
- [ ] Оценка вреда привязана к **п. 5 ч. 1 ст. 18.1** и Приказу РКН № 178, не к GDPR-DPIA
- [ ] Степень вреда определена по **каждой категории субъектов** в шкале высокая/средняя/низкая; внутренняя шкала 🔴/🟠/🟡/🟢 не подменяет её
- [ ] В документе есть реквизиты оператора, даты издания и проведения оценки, ФИО и должности проводивших оценку, установленная степень вреда и подпись
- [ ] Спец/био/трансгранично/несовершеннолетние → эскалация по профилю

## Закрой деревом следующих шагов