Положение о персональных данных по требованиям Роскомнадзора

Положение о персональных данных — локальный документ компании, который описывает, какие данные она собирает, зачем, где хранит и кто к ним допущен. Утверждённой формы у Роскомнадзора нет, но проверяют не форму, а соответствие документа реальной работе. Ниже — бланк и образец заполнения.

Бланк в WordWord, 11 КБ Образец в WordWord, 12 КБ Образец в PDFPDF, 69 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

УТВЕРЖДЕНО

Приказом ООО «Ромашка»

от 16 ноября 2026 г. № 41

Положение об обработке персональных данных

в ООО «Ромашка»

16 ноября 2026 г.

1. Общие положения. 1.1. Настоящее Положение определяет порядок обработки персональных данных работников, соискателей, контрагентов и посетителей ООО «Ромашка» и меры по их защите. 1.2. Положение разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

2. Состав персональных данных. 2.1. Общество обрабатывает фамилию, имя, отчество, дату и место рождения, паспортные данные, адрес регистрации, сведения об образовании, о трудовом стаже, ИНН, СНИЛС, номер телефона, адрес электронной почты, реквизиты банковской карты для перечисления заработной платы. 2.2. Общество не обрабатывает специальные категории персональных данных, за исключением сведений о состоянии здоровья в объёме, необходимом для оформления листков нетрудоспособности.

3. Цели обработки. 3.1. Данные обрабатываются для заключения и исполнения трудовых договоров, ведения кадрового и бухгалтерского учёта, исполнения требований налогового и пенсионного законодательства, пропускного режима и исполнения договоров с контрагентами.

4. Правовые основания. 4.1. Обработка ведётся на основании Трудового кодекса Российской Федерации, Налогового кодекса Российской Федерации, Федерального закона от 27.07.2006 № 152-ФЗ, согласий субъектов персональных данных и договоров, стороной которых является субъект.

5. Порядок и условия обработки. 5.1. Обработка ведётся с использованием средств автоматизации и без них. 5.2. Данные хранятся в электронной базе 1С:ЗУП на сервере общества и на бумажных носителях в сейфе отдела кадров и в металлическом шкафу бухгалтерии. 5.3. Доступ к данным предоставляется работникам, чьи должностные обязанности требуют работы с ними, по перечню, утверждённому приказом. 5.4. Срок хранения документов с персональными данными определяется номенклатурой дел общества и требованиями архивного законодательства. 5.5. При достижении целей обработки и истечении сроков хранения данные уничтожаются по акту.

6. Права субъектов персональных данных. 6.1. Субъект вправе получить сведения об обработке своих данных, потребовать их уточнения, блокирования или уничтожения, если они неполны, устарели, неточны или незаконно получены, а также отозвать согласие. 6.2. Запрос направляется по адресу общества или на адрес электронной почты, указанный на сайте. Общество отвечает на запрос в срок, установленный законом.

7. Ответственный за организацию обработки. 7.1. Ответственным за организацию обработки персональных данных приказом назначен заместитель директора. 7.2. Ответственный ведёт учёт обращений субъектов, организует уничтожение данных, проверяет соблюдение настоящего Положения и доводит его до работников под подпись.

8. Заключительные положения. 8.1. Положение вступает в силу с даты утверждения и действует до замены новой редакцией. 8.2. Работники знакомятся с Положением под подпись при приёме на работу. 8.3. Изменения в Положение вносятся приказом директора.

Руководитель

Генеральный директор ООО «Ромашка»

____________ / П. П. Петров /

Что такое положение о персональных данных

Положение о персональных данных — локальный нормативный акт компании, который описывает её работу с данными людей: что именно она собирает, ради чего, на каком основании, где хранит, кто имеет доступ и как уничтожает, когда цель достигнута.

Закон № 152-ФЗ прямо требует от оператора опубликовать документы, определяющие политику обработки персональных данных, и локальными актами установить процедуры. Форму Роскомнадзор не утверждает, поэтому каждая компания составляет положение сама. На практике проверяют не красоту текста, а то, совпадает ли написанное с реальностью: если в положении указан сейф отдела кадров, а трудовые книжки лежат в незапертом шкафу у бухгалтера, это нарушение.

Какие разделы включить

Общие положения: кто оператор, на каком законе основан документ, кого касается.
Состав данных: перечень сведений по каждой группе — работники, соискатели, контрагенты, посетители.
Цели обработки: для каждой группы своя цель, без формулировок «для удобства».
Правовые основания: Трудовой кодекс, Налоговый кодекс, договоры, согласия субъектов.
Порядок и условия обработки: с автоматизацией или без, места хранения бумажных и электронных носителей.
Перечень лиц с доступом к данным и порядок его утверждения приказом.
Сроки хранения и порядок уничтожения данных по достижении цели.
Права субъектов и порядок ответа на их запросы.
Ответственный за организацию обработки персональных данных и его обязанности.
Порядок ознакомления работников и внесения изменений.

Чем положение об обработке отличается от положения о защите

На практике в компаниях живут два документа с похожими названиями. Положение об обработке описывает процесс: какие данные, зачем, на каком основании, сколько хранятся, кто и как их уничтожает. Положение о защите описывает меры охраны: как ограничен доступ, какие пароли и шифрование, как ведётся учёт носителей, что делать при утечке.

Небольшой компании достаточно одного документа, где есть оба блока: раздел об обработке и раздел о мерах защиты. Крупной с несколькими системами и отделами удобнее два: тогда при смене сервера или подрядчика правится только положение о защите. Главное — чтобы оба совпадали с фактическим порядком работы и не противоречили друг другу.

Как составить положение

Опишите реальные процессы. Пройдите по отделам и выясните, какие данные сотрудники собирают, где записывают и кому передают. Берите то, что есть, а не то, что должно быть по инструкции.
Сверьте места хранения. Перечислите серверы, облачные сервисы, сейфы и шкафы, где лежат бумаги и файлы. Перечень мест хранения утвердите приказом, чтобы он не расходился с положением.
Назначьте ответственного. Приказом назначьте сотрудника, который отвечает за организацию обработки: ведёт обращения, организует уничтожение, проверяет соблюдение положения.
Утвердите и ознакомьте. Утвердите положение приказом руководителя и ознакомьте под подпись тех, кто работает с данными. Новых сотрудников знакомят при приёме.
Пересматривайте при изменениях. Сменили CRM, облако или подрядчика, который видит данные клиентов, — внесите правку в положение тем же месяцем.

Что проверяет Роскомнадзор

Совпадает ли описанный порядок с фактическим: места хранения, доступ, передача данных третьим лицам.
Есть ли приказ о назначении ответственного за организацию обработки персональных данных.
Подано ли уведомление о намерении обрабатывать персональные данные — до начала обработки.
Есть ли согласия там, где закон требует согласия, и можно ли подтвердить их получение.
Соответствуют ли сроки хранения и порядок уничтожения тому, что записано в положении.
Ознакомлены ли работники с положением и другими локальными актами о данных под подпись.

Уведомление Роскомнадзора

Отдельно от положения компания подаёт в Роскомнадзор уведомление о намерении обрабатывать персональные данные — до того, как обработка началась. После изменений 2024 года обязанность распространяется и на обработку данных работников, соискателей, посетителей и физлиц-контрагентов: прежние исключения для этих категорий отменены.

Уведомление не требуется, в частности, если оператор обрабатывает персональные данные исключительно без средств автоматизации. Другие исключения перечислены в части 2 статьи 22 закона № 152-ФЗ. За неподачу или опоздание с уведомлением предусмотрена административная ответственность, поэтому уведомление и положение готовят вместе: сведения в них должны совпадать.

Частые вопросы

Обязательно ли положение о персональных данных?

Да, если компания обрабатывает персональные данные. Закон № 152-ФЗ требует от оператора издать документы о политике обработки и локальные акты с процедурами. Без положения проверяющему нечего сопоставить с реальной работой компании.

Есть ли утверждённая Роскомнадзором форма положения?

Нет. Роскомнадзор форму не утверждает, компания составляет положение сама. Ориентир — требования закона № 152-ФЗ к содержанию и то, как устроена работа с данными в самой компании.

Нужно ли знакомить работников с положением?

Да, под подпись. Работник должен знать, какие его данные компания собирает, зачем и кому передаёт. Лист ознакомления хранится вместе с положением.

Что будет, если положение расходится с реальностью?

Это нарушение требований к обработке данных: проверяющий фиксирует, что компания не обеспечила заявленный порядок. Штрафы за нарушения в обработке персональных данных с 2024 года выросли, по отдельным составам они измеряются миллионами рублей.

Как часто пересматривать положение?

Постоянного срока нет. Положение пересматривают, когда меняются процессы: новая система учёта, новый подрядчик с доступом к данным, переезд, смена ответственного. Если изменений нет, достаточно проверять документ раз в год.

Можно ли объединить положение об обработке и положение о защите в один документ?

Можно. Небольшой компании удобнее один документ с разделом об обработке и разделом о мерах защиты. Крупной — два отдельных: их проще править по отдельности.

Пока документ живёт отдельно от работы

Когда положение надо переписать под реальность

Положение устаревает тихо: добавили CRM, наняли подрядчика, перевели кадры в облако — а в документе прежние места хранения. На проверке это видно сразу.

Я собираю ИИ-агентов, которые сверяют такие документы с фактическими процессами: находят расхождения в перечнях данных, местах хранения и доступах и готовят список правок.

Читать об услуге «ИИ-агенты под задачу компании»