Политика обработки персональных данных и положение о защите персональных данных — одно и то же?

Коротко

Нет, это два разных документа. Политика обработки персональных данных — публичный документ, в котором оператор рассказывает, какие данные собирает, зачем, на каком основании и кому передаёт. Положение о защите персональных данных — внутренний документ, где описано, как в компании устроена защита: кто отвечает, какие меры приняты, как хранят и уничтожают данные. Закон 152-ФЗ предусматривает меры по защите данных, документы о политике обработки и локальные акты для оператора — юридического лица. Требования к отдельному документу с названием «Положение о защите персональных данных» в нём нет.

Чем политика отличается от положения

Политика отвечает на вопрос «что происходит с данными». Её читает человек, который оставляет номер телефона на сайте, подписывает согласие или приходит устраиваться на работу. Она лежит на сайте в открытом доступе — этого требует часть 2 статьи 18.1 Закона 152-ФЗ: оператор публикует документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите.

Положение отвечает на вопрос «как защищены данные». Это внутренний регламент для сотрудников: кто отвечает за обработку, какие системы используются, как ограничен доступ, как реагируют на утечку. Его не публикуют на сайте — им руководствуются те, кто непосредственно работает с данными.

Политика и положение о персональных данных: в чём отличие

	Политика обработки	Положение о защите
Кому адресован	Субъектам данных: клиентам, работникам, посетителям сайта	Сотрудникам и руководителям оператора
Где размещают	На сайте в открытом доступе	Внутри компании, по требованию — в надзорный орган
Что описывает	Какие данные, цели, основания, сроки, права субъекта	Меры защиты, ответственных, порядок доступа и уничтожения
Норма 152-ФЗ	Ч. 2 ст. 18.1 — опубликовать	Ст. 18.1 и ст. 19 — принять меры и документировать их
Кто подписывает	Руководитель оператора	Руководитель оператора или уполномоченное лицо

Что писать в политике

Политика перечисляет: категории данных (имя, телефон, адрес, паспорт, данные о здоровье), цели (доставка, связь, трудоустройство), правовые основания (согласие, договор, закон), сроки хранения, порядок отзыва согласия и обращения субъекта. Если данные передают третьим лицам — курьерам, подрядчикам, в облако, — это тоже указывают.

Политика не заменяет согласие на обработку. Согласие — отдельный документ, который человек подписывает или подтверждает действием; с 1 сентября 2025 года его оформляют отдельно от других документов, включая трудовой договор (статьи 6 и 9 Закона 152-ФЗ).

Что писать в положении

Положение фиксирует организационную сторону: назначают ответственного за организацию обработки персональных данных, утверждают перечень должностей с доступом, порядок допуска в помещения, правила работы с бумажными носителями и обезличенными данными, порядок уничтожения и блокирования.

В положении перечисляют меры защиты по статье 19 Закона 152-ФЗ: правовые, организационные, технические. Это может быть ограничение доступа, шифрование, резервное копирование, журналирование действий, обучение сотрудников. Конкретный набор зависит от характера данных и угроз — его определяет сам оператор.

Частые вопросы

Можно ли объединить политику и положение в один документ?

Закон не запрещает объединить их в одном файле, но назначение у частей разное: публичная часть должна быть доступна субъектам, внутренняя — сотрудникам. На практике удобнее два документа: политику выкладывают на сайт, положение хранят внутри.

Обязательно ли публиковать политику на сайте?

Да, если оператор собирает данные через сайт. Часть 2 статьи 18.1 Закона 152-ФЗ обязывает опубликовать документ, определяющий политику обработки, и сведения о реализуемых требованиях к защите. У Роскомнадзора есть отдельные разъяснения о размещении.

Кто утверждает оба документа?

Руководитель оператора — директор ООО, ИП или глава администрации. Внутренним приказом он же назначает ответственного за обработку персональных данных.

Нужно ли знакомить работников с положением под подпись?

Да, если положение устанавливает правила, обязательные для работников: доступ к данным, работа с носителями, порядок уничтожения. Факт ознакомления фиксируют в листе ознакомления или трудовом договоре.

Проверка актуальности

Проверьте ответ на сегодняшний день

Нормы меняются каждый год, а ответы в интернете за ними не успевают. Чтобы вы опирались на действующий закон, мы настроили ИИ для проверки актуальности: он сверит эту справку с действующей редакцией законов и подскажет, что изменилось.

ИИ берёт на себя рутину с данными

Соберу ИИ-агента, который разбирает заявки и документы

Пока вы разбираетесь с политикой и положением, входящие заявки и документы копятся. ИИ-агент может сам отвечать клиенту, разбирать заявку или сверять документы по заданным правилам.

Собираю агента под одну задачу, подключаю к CRM, 1С, почте и мессенджерам, проверяю на сотне реальных случаев. Вы платите за работающего агента, а не за презентацию.

Читать об услуге «ИИ-агенты под задачу компании»