Никита Малов.

Основатель и управляющий партнёр
аналитической компании ДОВОДАналитика рынков · OSINT

Факты. Решения.
Развитие бизнеса.

Положение об обработке персональных данных: образец

Положение об обработке персональных данных — локальный документ компании, который описывает, какие данные она собирает, зачем, как долго хранит и кто за них отвечает. Ниже — бланк и заполненный образец для компании, которая обрабатывает данные работников и клиентов.

Бланк в WordWord, 11 КБ Образец в WordWord, 12 КБ Образец в PDFPDF, 67 КБ

Проверка актуальности

Проверьте документ перед подписанием

Законы меняются быстрее, чем бланки в интернете: образцы составляют в разное время, и обновить их все не успевает никто. Чтобы документ работал на вас сегодня, мы настроили ИИ для проверки актуальности: он сам возьмёт этот образец, сверит его с действующей редакцией законов и пришлёт, что поправить.

Образец заполнения

УТВЕРЖДЕНО

Приказом генерального директора ООО «Ромашка»

от 10 ноября 2026 г. № 41

Положение об обработке персональных данных

ООО «Ромашка»

г. Москва

1. Общие положения. 1.1. Настоящее Положение определяет порядок и условия обработки персональных данных в ООО «Ромашка» (далее — Общество) в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». 1.2. Положение обязательно для всех работников Общества, имеющих доступ к персональным данным. 1.3. Ответственным за организацию обработки персональных данных приказом назначен заместитель генерального директора.

2. Цели обработки. 2.1. Общество обрабатывает персональные данные для целей: заключения и исполнения трудовых договоров; ведения бухгалтерского и налогового учёта; исполнения договоров с клиентами и поставщиками; рассмотрения обращений и претензий. 2.2. Перечень обрабатываемых данных, категории субъектов и сроки хранения по каждой цели приведены в приложении № 1 к Положению.

3. Принципы и условия обработки. 3.1. Обработка ведётся на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых целей. 3.2. Общество не обрабатывает данные, избыточные по отношению к заявленным целям. 3.3. Обработка специальных категорий и биометрических данных допускается только при наличии оснований, предусмотренных статьями 10 и 11 Закона № 152-ФЗ.

4. Права субъектов персональных данных. 4.1. Субъект вправе получить сведения об обработке своих данных, потребовать их уточнения, блокирования или уничтожения, если они неполны, устарели, неточны либо незаконно получены. 4.2. Запрос направляется по адресу Общества или на электронную почту, указанную на сайте. Срок ответа — 10 рабочих дней со дня получения запроса.

5. Меры защиты. 5.1. Общество назначает ответственного за организацию обработки, утверждает перечень лиц с доступом к данным и применяет правовые, организационные и технические меры по статье 19 Закона № 152-ФЗ. 5.2. Доступ к информационным системам предоставляется по учётным записям, действия в системах журналируются.

6. Заключительные положения. 6.1. Положение вступает в силу с даты утверждения и действует до замены новым. 6.2. Изменения вносятся приказом руководителя. 6.3. Работники знакомятся с Положением под подпись при приёме на работу.

Руководитель

Генеральный директор ООО «Ромашка»

____________ / П. П. Петров /

Зачем нужно положение об обработке персональных данных

Положение — локальный документ компании, который превращает требования Закона № 152-ФЗ в понятные правила для сотрудников: кто получает данные, куда их записывает, сколько хранит и что делает с ними дальше.

Закон не даёт единой утверждённой формы, но требует, чтобы политика обработки была опубликована, а меры защиты — определены и задокументированы. Положение и есть этот документ: на него ссылаются при проверке Роскомнадзора и при споре с работником или клиентом.

Что включить в положение

  • Общие положения: кто утверждает, на каком законе основано, кто назначен ответственным за обработку.
  • Цели обработки: трудовые отношения, бухгалтерия и налоги, договоры с клиентами и поставщиками, обращения.
  • Перечень данных и категорий субъектов: работники, соискатели, клиенты, контрагенты — по каждой цели отдельно.
  • Правовые основания: Трудовой кодекс, Налоговый кодекс, договоры, согласия субъектов.
  • Условия и сроки хранения, порядок уничтожения по достижении цели.
  • Права субъектов и порядок ответа на их запросы.
  • Меры защиты: ответственный, перечень допущенных лиц, ограничение доступа, журналирование.
  • Порядок ознакомления работников и внесения изменений.

Как составить положение

  1. Назначьте ответственного. Приказом определите, кто отвечает за организацию обработки данных: обычно это заместитель руководителя или руководитель кадровой службы.
  2. Опишите цели. Перечислите, для чего компания собирает данные. Формулировка «для любых целей» не годится: цели должны быть конкретными и заранее определёнными.
  3. Сведите данные в приложение. По каждой цели укажите состав данных, категории людей и срок хранения — так проще отвечать на запросы и убирать лишнее.
  4. Пропишите права и запросы. Опишите, как человек может получить сведения о своих данных и потребовать их исправления, и кто в компании отвечает на такой запрос.
  5. Ознакомьте работников. Соберите подписи об ознакомлении при приёме на работу и после каждого изменения. Опубликуйте политику обработки на сайте.

Частые ошибки

  • Цели описаны общо: «для осуществления деятельности» — проверяющий не увидит связи между целью и составом данных.
  • Нет ответственного за организацию обработки, хотя его назначение обязательно.
  • В приложении нет сроков хранения — данные копятся годами без основания.
  • Положение утвердили, но работников под подпись не ознакомили.
  • Согласие собрали одной строкой в анкете вместе с другими условиями — с 01.09.2025 согласие оформляют отдельно от прочих документов и сведений.

Частые вопросы

Обязательно ли положение об обработке персональных данных?

Да. Оператор обязан опубликовать политику обработки или иным образом обеспечить к ней неограниченный доступ, а если данные собирают через сайт или другую информационную сеть — политику публикуют в этой сети. Внутренние правила обработки закрепляют локальным документом. Без него не видно, кто и на каком основании получает доступ к данным.

Нужно ли согласие работника на обработку его данных?

Для обработки данных, необходимой для исполнения обязанностей работодателя по трудовому законодательству, согласие обычно не требуется. Для каждой другой цели проверьте законное основание; если его нет, получите согласие работника, например для передачи данных третьим лицам или для целей, не связанных с работой.

За сколько дней отвечают на запрос субъекта данных?

На запрос о сведениях об обработке оператор отвечает в течение 10 рабочих дней со дня получения. Этот срок и порядок прописывают в положении.

Нужно ли публиковать положение на сайте?

На сайте публикуют политику обработки персональных данных — документ для посетителей и клиентов. Само положение с приложениями остаётся внутренним документом, но политику удобно сделать его краткой версией.

Как часто обновлять положение?

При изменении процессов: новая система, новые цели, смена ответственного, новый состав данных. Плановый пересмотр раз в год помогает не пропустить такие изменения.

Когда правила есть, а соблюдать их некому

Чтобы данные не утекали через рутину

Положение описывает правила, но сотрудники каждый день копируют данные клиентов в мессенджеры, таблицы и почту. Проверить каждую такую операцию вручную не выходит.

Я настраиваю ИИ-агентов, которые берут на себя повторяющиеся операции с данными: собирают заявки, переносят сведения из писем в CRM и фиксируют, кто и что изменил.

Читать об услуге «ИИ-агенты под задачу компании»

Другие образцы