Является ли обязательным локальный нормативный акт по защите персональных данных
Коротко
Да, для работодателя локальный нормативный акт по обработке и защите персональных данных обязателен. Любой работодатель — оператор персональных данных, и вопросы обработки и защиты этих данных он закрывает документом, а не трудовым договором с отдельным сотрудником. Освобождение микропредприятий от части локальных актов на этот документ не распространяется: Государственная инспекция труда прямо называет положение об обработке и защите персональных данных работников среди тех, что нужны и микропредприятию.
Почему акт нельзя заменить трудовым договором
Работодатель-микропредприятие вправе отказаться полностью или частично от локальных нормативных актов и заключать трудовые договоры по типовой форме, утверждённой постановлением Правительства от 27.08.2016 № 858. Это право, а не обязанность. Акт всё равно нужен, когда закон относит вопрос к обязательному урегулированию, а трудовым договором его не закрыть.
Обработка и защита персональных данных — как раз такой вопрос. Статус оператора есть у каждого работодателя, независимо от размера и вида деятельности. Согласие конкретного работника регулирует работу с его данными, но не заменяет общий порядок: кто отвечает, где хранятся данные, кому и на каком основании передаются, как уничтожаются.
Для микропредприятия Госинспекция труда в числе нужных документов называет именно положение об обработке и защите персональных данных работников — наряду с актами по охране труда и другими документами по специфике деятельности.
Что прописать в положении
- Цели и правовые основания обработки: кадровый учёт, расчёт зарплаты, пропуска, связь с работником.
- Состав данных и категории субъектов: работники, соискатели, родственники по льготам, контрагенты-физлица.
- Кто обрабатывает и кто отвечает: руководитель, кадры, бухгалтерия, ИТ; назначение ответственного за организацию обработки.
- Где хранятся данные: информационные системы, бумажные дела, сроки хранения и порядок уничтожения.
- Передача третьим лицам: банк по зарплатному проекту, бухгалтерская программа, кадровый оператор — с основанием и объёмом.
- Меры защиты: пароли и права доступа, учёт носителей, резервные копии, порядок реакции на утечку.
- Права работника и порядок его обращения: доступ к своим данным, исправление, отзыв согласия.
Чем положение отличается от согласия
Согласие работника — документ по конкретному человеку: он разрешает обработку его данных под названные цели. Положение — общий документ компании: оно задаёт правила для всех и не выдаёт разрешение за работника. Один документ другого не отменяет, они работают вместе.
Отдельный вопрос — когда согласие вообще нужно. С 01.09.2025 согласие оформляют отдельно от иных сведений и документов, которые человек подписывает или подтверждает, включая трудовой договор (статьи 6 и 9 закона № 152-ФЗ). Согласие требуется, когда у оператора нет другого законного основания обработки.
Частые вопросы
Микропредприятие может не принимать это положение?
Нет. Отказ от локальных актов по типовой форме трудового договора не отменяет статус оператора персональных данных. Госинспекция труда называет положение об обработке и защите персональных данных работников среди документов, нужных и микропредприятию.
Что будет за отсутствие акта?
Нарушение требований трудового законодательства влечёт ответственность по статье 5.27 КоАП РФ — на это прямо указывает Государственная инспекция труда. Конкретный размер штрафа смотрите в действующей редакции статьи: он зависит от того, кто нарушил — должностное лицо, предприниматель или организация, и от повторности.
Достаточно ли одного согласия работника на обработку данных?
Нет. Согласие закрывает обработку данных конкретного человека, но не задаёт общий порядок в компании: ответственного, места хранения, передачу третьим лицам, уничтожение. Для этого и нужен локальный акт.
Нужно ли знакомить работников с положением под подпись?
Порядок ознакомления пропишите в самом положении и в трудовых договорах. Лист ознакомления с подписями работников — простой способ доказать, что правила до них довели.
Как часто пересматривать положение?
Привяжите пересмотр к изменениям: новые информационные системы, новые цели обработки, смена ответственного, передача данных новому подрядчику. Дату редакции ставьте на самом документе, чтобы было видно, какая версия действует.
Проверка актуальности
Проверьте ответ на сегодняшний день
Нормы меняются каждый год, а ответы в интернете за ними не успевают. Чтобы вы опирались на действующий закон, мы настроили ИИ для проверки актуальности: он сверит эту справку с действующей редакцией законов и подскажет, что изменилось.
Бот проверки запускаем в ближайшие дни.
Порядок в документах начинается с порядка в данных
Соберу ИИ-агента, который разбирает заявки и документы
Когда правила обработки данных описаны, рутину с ними можно передать программе: агент разбирает входящие заявки, сверяет документы и раскладывает их по местам без ручного переноса.
Собираю агента под одну задачу, подключаю к CRM, 1С, почте и мессенджерам и проверяю на сотне настоящих случаев из вашей работы. Это для компаний, где одна и та же операция повторяется сотни раз в месяц.