Положение о защите персональных, секретных и конфиденциальных сведений

Положение о защите сведений ограниченного доступа — внутренний документ компании. В нём перечисляют, какие данные считаются персональными, какие — коммерческой тайной, какие — государственной тайной, кто и на каком основании получает к ним доступ. Ниже — образец заполнения и бланк для своей компании.

Бланк в WordWord, 11 КБ Образец в WordWord, 13 КБ Образец в PDFPDF, 77 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

УТВЕРЖДАЮ

Генеральный директор ООО «Ромашка»

П. П. Петров

«16» ноября 2026 г.

Положение о защите персональных, секретных и конфиденциальных сведений

в ООО «Ромашка»

г. Москва

1. Общие положения. 1.1. Настоящее Положение определяет порядок отнесения сведений к персональным данным, информации, составляющей коммерческую тайну, и сведениям, отнесённым в установленном порядке к государственной тайне, а также порядок доступа к ним, хранения и защиты. 1.2. Положение обязательно для всех работников ООО «Ромашка», а также для лиц, выполняющих работы по гражданско-правовым договорам, если договором предусмотрен доступ к защищаемым сведениям.

2. Персональные данные. 2.1. К персональным данным относятся любые сведения, относящиеся к прямо или косвенно определённому или определяемому физическому лицу: фамилия, имя, отчество, дата и место рождения, адрес, паспортные данные, ИНН, СНИЛС, сведения о трудовой деятельности, заработной плате, состоянии здоровья, семейном положении. 2.2. Обработка персональных данных ведётся в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Согласие на обработку оформляется отдельно от иных документов, которые работник подписывает, — это требование части 1 статьи 9 Закона № 152-ФЗ действует с 1 сентября 2025 года.

3. Сведения, составляющие коммерческую тайну. 3.1. К коммерческой тайне относятся сведения о применяемых технологиях, методах управления, условиях и ценах договоров, клиентской базе, структуре затрат, результатах маркетинговых исследований, программном обеспечении собственной разработки. 3.2. Режим коммерческой тайны считается установленным, если выполнены меры, предусмотренные статьёй 10 Федерального закона от 29.07.2004 № 98-ФЗ: определён перечень сведений, ограничен доступ к ним, установлен учёт лиц, получивших доступ, урегулированы отношения по использованию сведений с работниками и контрагентами и нанесён на материальные носители гриф «Коммерческая тайна» с указанием обладателя.

4. Сведения, отнесённые к государственной тайне. 4.1. Сведения, отнесённые к государственной тайне, в ООО «Ромашка» не обрабатываются. Если по характеру работ компании потребуется доступ к таким сведениям, он оформляется по Закону РФ от 21.07.1993 № 5485-1 «О государственной тайне»: допуск оформляют только те работники, которым сведения нужны для выполнения должностных обязанностей, с оформлением допуска по установленной форме.

5. Порядок доступа. 5.1. Доступ к персональным данным и коммерческой тайне предоставляется работникам по должностям согласно приложению 1 к настоящему Положению. 5.2. Каждый работник, получивший доступ, даёт письменное обязательство о неразглашении. 5.3. Передача сведений третьим лицам допускается только по решению генерального директора и при наличии законного основания: согласия субъекта персональных данных, договора или требования органа власти.

6. Хранение и защита. 6.1. Документы, содержащие персональные данные и коммерческую тайну, хранятся в запираемых шкафах, в электронном виде — с ограничением прав доступа и парольной защитой. 6.2. Учёт носителей ведётся в журнале, который хранится у лица, ответственного за защиту сведений. 6.3. Сроки хранения документов определяются номенклатурой дел компании с учётом сроков, установленных приказом Росархива от 20.12.2019 № 236.

7. Действия при утечке. 7.1. Работник, обнаруживший утрату носителя, разглашение или иной инцидент с защищаемыми сведениями, немедленно сообщает лицу, ответственному за защиту сведений. 7.2. Комиссия проводит проверку, устанавливает причину и виновных лиц, готовит меры по устранению последствий. 7.3. Об инциденте с персональными данными уведомляют Роскомнадзор в сроки, установленные частью 3.1 статьи 21 Закона № 152-ФЗ.

8. Ответственность. 8.1. Работники, виновные в разглашении защищаемых сведений, несут дисциплинарную, материальную, административную и уголовную ответственность в соответствии с законодательством Российской Федерации.

Ответственный за защиту сведений

Начальник отдела информационной безопасности

____________ / И. И. Иванов /

Согласовано

Юрисконсульт

____________ / С. С. Сидоров /

Зачем компании положение о защите сведений

Положение о защите сведений ограниченного доступа собирает в одном документе правила работы с тремя видами информации: персональными данными работников и клиентов, коммерческой тайной и сведениями, отнесёнными к государственной тайне.

Без такого документа режим коммерческой тайны не считается установленным: статья 10 Федерального закона от 29.07.2004 № 98-ФЗ требует определить перечень охраняемых сведений и ограничить к ним доступ. Для персональных данных положение закрывает часть обязанностей оператора по статье 18.1 Закона № 152-ФЗ: опубликовать политику и локальные акты по обработке.

Государственная тайна в обычной коммерческой компании не встречается. Раздел о ней нужен, если компания выполняет работы по договору с организацией, у которой есть допуск, и получает сведения с грифом.

Какие сведения к какому виду относятся

Персональные данные — любые сведения о человеке, по которым его можно определить: паспорт, адрес, ИНН, СНИЛС, зарплата, состояние здоровья, состав семьи. Регулирует Закон № 152-ФЗ.
Коммерческая тайна — сведения, которые дают компании преимущество перед конкурентами: технологии, цены договоров, клиентская база, структура затрат. Регулирует Закон № 98-ФЗ.
Государственная тайна — сведения в области обороны, экономики, внешней политики, разведки и оперативно-розыскной деятельности, перечисленные в статье 5 Закона РФ от 21.07.1993 № 5485-1. Доступ оформляют только через допуск.
Служебная тайна — сведения из документов с пометкой «для служебного пользования», которые орган власти передал компании. Отдельного закона о ней нет, режим задаёт передавший орган.
Иные виды тайн: банковская, налоговая, врачебная, адвокатская — охраняются профильными законами и в положение компании включаются отдельным разделом, если компания получает такие сведения.

Как составить положение

Перечислите виды сведений. По каждому виду — свой раздел: персональные данные, коммерческая тайна, государственная тайна. В каждом разделе — что именно охраняется.
Определите, кто получает доступ. Приложением к положению закрепите должности, которым нужны те или иные сведения. Чем уже круг, тем проще доказать вину при утечке.
Назначьте ответственного. Приказом назначьте работника, который ведёт учёт носителей, журнал доступа и реагирует на инциденты.
Опишите хранение. Укажите, где хранятся бумажные и электронные документы, кто имеет права доступа в системе, как ведётся журнал учёта носителей.
Пропишите действия при утечке. Кто сообщает, кому, в какой срок, кто проводит проверку и как оформляют итоги.
Ознакомьте работников. Каждый работник, получающий доступ, подписывает обязательство о неразглашении. Без подписи взыскать ущерб сложно.

Частые ошибки

Перечень сведений не определён, а гриф «Коммерческая тайна» на документах уже стоит: режим не установлен, и защитить информацию в суде не получится.
Согласие на обработку персональных данных включено в текст трудового договора или анкеты. С 1 сентября 2025 года согласие оформляют отдельным документом — часть 1 статьи 9 Закона № 152-ФЗ.
Положение подписано директором, но работники с ним не ознакомлены: обязанность хранить тайну у них не возникла.
Не назначен ответственный за защиту сведений — при инциденте никто не отвечает за сроки уведомления Роскомнадзора.
В положении смешаны персональные данные и коммерческая тайна: у них разные законы, разные сроки хранения и разные последствия утечки.
Раздел о государственной тайне списан с чужого документа под другую организацию: допуск оформляют только по Закону № 5485-1, а не по внутреннему акту.

Частые вопросы

Чем персональные данные отличаются от конфиденциальных сведений?

Персональные данные — сведения о конкретном человеке, их защищает Закон № 152-ФЗ. Конфиденциальными называют любые сведения ограниченного доступа, включая коммерческую тайну; для них отдельного федерального закона нет, режим задаёт обладатель информации и договор с ним. В положении эти виды лучше вести отдельными разделами.

Обязательно ли включать раздел о государственной тайне?

Только если компания получает такие сведения. В обычной коммерческой организации их не бывает, и раздел ограничивается фразой, что сведения такого рода не обрабатываются. Если компания выполняет работы по договору с допуском, допуск работников оформляют по Закону РФ от 21.07.1993 № 5485-1, а не по внутреннему положению.

Нужно ли отдельное согласие на обработку персональных данных?

Да. С 1 сентября 2025 года согласие оформляют отдельно от иных документов, которые работник подписывает или подтверждает, включая трудовой договор, — это часть 1 статьи 9 Закона № 152-ФЗ. Согласие не требуется, если у компании есть другое законное основание обработки, например исполнение трудового договора.

Какой гриф ставить на документах с коммерческой тайной?

На материальные носители наносят гриф «Коммерческая тайна» с указанием полного наименования компании и её адреса — статья 10 Закона № 98-ФЗ. Без этого гриф не считается проставленным, и режим коммерческой тайны не действует.

Что делать, если персональные данные утекли?

Оператор уведомляет Роскомнадзор об инциденте в сроки, установленные частью 3.1 статьи 21 Закона № 152-ФЗ, и проводит внутреннюю проверку. В положении заранее прописывают, кто готовит уведомление и кто отвечает за устранение последствий.

Сколько хранить положение и журналы доступа?

Сроки устанавливает номенклатура дел компании с учётом приказа Росархива от 20.12.2019 № 236. Положение как локальный акт хранят постоянно, журналы учёта доступа — по перечню типовых архивных документов.

Когда доступ к данным нужно контролировать

Чтобы данные не уходили из компании

Положение задаёт правила, но работает оно только тогда, когда доступ к данным кто-то проверяет в ежедневной работе: кто из сотрудников что видит, какие файлы уходят наружу, что попадает в нейросеть.

Я настраиваю ИИ-агентов, которые отвечают клиентам и разбирают заявки по вашим правилам: агент работает только с теми данными, которые ему разрешены, и не передаёт их за пределы вашей системы.

Читать об услуге «ИИ-агенты под задачу компании»