Положение о защите персональных данных работников — образец
Положение о защите персональных данных описывает, какие данные работников, клиентов и контрагентов вы обрабатываете, кто имеет доступ, где хранит и как защищает. Заполните шаги, и конструктор соберёт готовый PDF. Что понадобится для заполнения
- оператор: номер приказа, руководитель, email для обращений;
- цели и состав данных;
- кто имеет доступ, ответственный;
- как обрабатываются данные и где хранятся;
- сроки хранения и меры защиты.
Ответственного назначают приказом о назначении ответственного за обработку персональных данных. Для сайта нужна политика конфиденциальности и согласие на обработку. Разбор полей формы есть в инструкции под формой.
Образец документа — пример заполнения
Фрагмент готового документа. Все данные вымышлены и показаны для примера.
УТВЕРЖДЕНО
приказом № [номер приказа] от 15 сентября 2026 года
Сидоров Алексей Петрович Кузнецова Елена Андреевна
ПОЛОЖЕНИЕ О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
Иванов Иван Иванович
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящее Положение определяет порядок получения, обработки, хранения, передачи и защиты персональных данных у Иванов Иван Иванович, дата рождения: 12.03.1985, место рождения: г. Москва, адрес регистрации: г. Москва, ул. Ленина, д. 10, кв. 25, паспорт: 45 12 345678, выдан: 18.06.2015, кем выдан: ГУ МВД России по г. Москве, код подразделения: 770-045, именуемый(ая) в дальнейшем «Оператор» (далее — «Оператор»).
1.2. Положение разработано в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации (глава 14), Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными нормативными актами.
1.3. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Обработка персональных данных — любое действие (операция) с ними, включая сбор, запись, хранение, уточнение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.
1.4. Положение обязательно для всех работников Оператора, имеющих доступ к персональным данным.
2. СУБЪЕКТЫ ДАННЫХ, ЦЕЛИ И СОСТАВ ДАННЫХ
2.1. Оператор обрабатывает персональные данные следующих категорий субъектов:
- работников и лиц, с которыми оформляются трудовые отношения;
2.2. Цели обработки: ведение кадрового и бухгалтерского учёта, исполнение трудового законодательства, расчёт и выплата заработной платы, налоговая и статистическая отчётность, [иные цели обработки].
2.3. Состав персональных данных работников: фамилия, имя, отчество; дата и место рождения; паспортные данные; адрес регистрации и проживания; контактные данные; сведения об образовании, квалификации, трудовом стаже; сведения о воинском учёте; ИНН, СНИЛС; сведения о семейном положении и составе семьи в объёме, необходимом для предоставления гарантий и льгот; реквизиты банковского счёта для перечисления заработной платы.
2.4. Состав данных иных субъектов: ФИО, телефон, адрес электронной почты, адрес доставки.
2.5. Оператор не собирает данные о политических, религиозных и иных убеждениях и частной жизни субъектов, за исключением случаев, прямо предусмотренных законом.
3. ПОЛУЧЕНИЕ И ОБРАБОТКА ДАННЫХ
3.1. Персональные данные работника Оператор получает от него самого. Если данные можно получить только у третьей стороны, работник уведомляется об этом заранее и даёт письменное согласие.
3.2. Обработка осуществляется на принципах законности, ограничения обработки заранее определёнными целями, соответствия объёма данных целям, точности и достаточности, хранения не дольше, чем требуют цели.
… Остальные разделы, реквизиты и подписи — в готовом документе.
О документе: условия и пояснения
Когда нужно положение
Оператор обязан принимать меры, обеспечивающие выполнение закона о персональных данных, в том числе издавать документы, определяющие политику обработки и локальные акты по вопросам обработки (ст. 18.1 закона № 152-ФЗ). Для работодателей порядок обработки данных работников установлен главой 14 ТК РФ (ст. 85–90). Положение фиксирует, какие данные собираются, кто к ним допускается, где и сколько хранятся и как защищены. Конкретные требования к защите зависят от типа данных и системы, проверьте их по актуальным подзаконным актам.
Как заполнить ключевые поля
| Поле формы | Что выбрать или указать | На что обратить внимание |
|---|---|---|
| Номер приказа | Порядковый | Положение утверждают приказом |
| Руководитель | Должность и ФИО | Утверждает положение |
| Email для обращений | Адрес | Куда писать субъектам |
| Иные цели обработки | Например, обучение работников | Дополняют типовые |
| Состав данных кандидатов, клиентов, контрагентов | Перечень | Только реально обрабатываемое |
| Кто имеет доступ | Должности | Только те, кому нужно |
| Ответственный | ФИО или должность | Назначается приказом |
| Как обрабатываются данные | Бумага, электронно, смешанно | Определяет меры защиты |
| Где хранятся документы | Сейф, сервер, облако | Укажите конкретно |
| Сроки хранения | По видам данных | Не дольше, чем нужно для целей |
| Меры защиты | Пароли, ограничение доступа | Перечень мер |
| Дополнительные положения | Свободный текст | Необязательно |
Что сделать после утверждения
Типичные ошибки
Часто задаваемые вопросы
Да. Работодатель, независимо от размера, является оператором персональных данных и должен соблюдать закон. Положение — основной документ, подтверждающий, что правила установлены.
Политика — публичный документ для всех, кто взаимодействует с оператором. Положение — внутренний акт: он описывает порядок работы с данными внутри организации. Обычно нужны оба.
Для данных, которые обрабатываются на основании закона в связи с трудовыми отношениями, отдельное согласие не всегда нужно, но для передачи данных третьим лицам, размещения фото и иных случаев согласие оформляют отдельно. Проверьте перечень операций у своей организации.
Руководитель организации приказом. Работников знакомят под подпись, а положение хранят в кадровой документации.
Для кадровых документов сроки определяет законодательство об архивном деле и перечни документов; для резюме кандидатов обычно устанавливают короткий срок после отказа или до отзыва согласия. Укажите срок, который реально соблюдаете.
Немедленно зафиксировать инцидент, принять меры по устранению, уведомить Роскомнадзор в порядке и сроки, которые установлены законом, и при необходимости уведомить пострадавших. В положении стоит описать, кто и как это делает.
Нет, это внутренний документ. На сайте размещают политику обработки персональных данных. Но работники должны иметь к положению свободный доступ.