Перечень обрабатываемых персональных данных: образец заполнения и пустой бланк 2026

1.1. Настоящий перечень определяет категории субъектов персональных данных, состав обрабатываемых данных по каждой категории, цели и правовые основания обработки, сроки и места хранения.

1.2. Перечень является учётным документом оператора и используется при подготовке политики обработки персональных данных, форм согласий, уведомления в уполномоченный орган и при проведении внутреннего контроля.

1.3. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законодательством о персональных данных 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

1.4. Обработка ограничивается достижением конкретных, заранее определённых и законных целей, а содержание и объём обрабатываемых данных соответствуют заявленным целям обработки 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

1.5. Не допускается обработка данных, несовместимая с целями их сбора, и объединение баз данных, созданных для несовместимых между собой целей 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

1.6. Обработка данных допускается только при наличии хотя бы одного из оснований, установленных законом 152-ФЗ ст. 6152-ФЗ ст. 6Условия обработки персональных данных.

1.7. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.

1.8. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом 152-ФЗ ст. 7152-ФЗ ст. 7Конфиденциальность персональных данных.

1.9. Перечень распространяется на обработку данных как с использованием средств автоматизации, так и без их использования, если действия с данными позволяют осуществлять поиск по заданным критериям.

1.10. Все категории обрабатываемых данных отражаются в перечне независимо от носителя: сведения в кадровой программе, в бухгалтерской системе, в облачной таблице и в бумажном личном деле учитываются одинаково.

2.1. Сведения об обрабатываемых персональных данных приведены в таблице.

2.2. Данные, не включённые в перечень, оператором не обрабатываются; их фактический сбор является нарушением установленного порядка и подлежит прекращению до внесения изменений в перечень.

2.3. Перечень охватывает все категории субъектов, чьи данные фактически поступают к оператору, включая тех, с кем оператор не состоит в договорных отношениях.

2.4. Места хранения указываются с точностью до информационной системы или конкретного шкафа и сейфа: Сервер в серверной комнате офиса, запираемые шкафы отдела кадров, сейф бухгалтерии, архив на втором этаже..

3.1. Графа «Категория субъектов» содержит группу людей, объединённых характером отношений с оператором: работники, кандидаты, клиенты, представители контрагентов, посетители, члены семьи работников.

3.2. Графа «Состав персональных данных» содержит конкретные сведения, а не их обобщённое наименование.

3.3. Формулировка «анкетные данные» состав не раскрывает и не допускается.

3.4. Графа «Цель обработки» содержит цель, ради которой данные собраны.

3.5. Формулировки «для работы» и «для уставной деятельности» цели не определяют 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

3.6. Графа «Правовое основание» содержит норму закона, договор или согласие субъекта, на которых основана обработка 152-ФЗ ст. 6152-ФЗ ст. 6Условия обработки персональных данных.

3.7. Графа «Срок хранения» содержит срок, по истечении которого данные подлежат уничтожению, со ссылкой на норму или на достижение цели обработки.

3.8. Графа «Место хранения» содержит информационную систему и физическое место хранения носителей, включая места хранения резервных копий.

3.9. Одна и та же категория субъектов может занимать несколько строк, если данные собраны для разных целей и на разных основаниях: цель и основание должны совпадать построчно.

4.1. Данные работников обрабатываются в объёме, необходимом для оформления трудовых отношений, начисления заработной платы, ведения кадрового учёта и представления обязательной отчётности.

4.2. Все персональные данные работника оператор получает у него самого.

4.3. Если данные могут быть получены только у третьей стороны, работник уведомляется об этом заранее и даёт письменное согласие ТК РФ ст. 86ТК РФ ст. 86Общие требования при обработке данных работника.

4.4. Оператор не вправе получать и обрабатывать сведения о политических, религиозных и иных убеждениях работника, о его частной жизни и о членстве в общественных объединениях ТК РФ ст. 86ТК РФ ст. 86Общие требования при обработке данных работника.

4.5. Данные членов семьи работника обрабатываются только в объёме, необходимом для предоставления гарантий и вычетов, и учитываются в перечне отдельной строкой.

4.6. Данные кандидатов обрабатываются в целях подбора персонала и хранятся 30 дней со дня получения резюме, после чего уничтожаются, если кандидат не принят на работу и не дал согласия на хранение своих данных для будущих вакансий.

4.7. Хранение резюме кандидата, не принятого на работу, без его согласия является обработкой без правового основания и подлежит прекращению.

4.8. Данные бывших работников хранятся в составе документов по личному составу в течение сроков, установленных законодательством об архивном деле 125-ФЗ ст. 22.1125-ФЗ ст. 22.1Сроки хранения документов по личному составу.

4.9. Работники знакомятся с настоящим перечнем в части, касающейся обработки их данных, и с порядком их защиты ТК РФ ст. 87ТК РФ ст. 87Хранение и использование персональных данных.

5.1. Данные клиентов — физических лиц обрабатываются для заключения и исполнения договора, расчётов, доставки, рассмотрения обращений и претензий.

5.2. Обработка данных клиента для исполнения договора, стороной которого он является, не требует отдельного согласия 152-ФЗ ст. 6152-ФЗ ст. 6Условия обработки персональных данных.

5.3. Для рассылок и иных маркетинговых целей согласие обязательно 152-ФЗ ст. 15152-ФЗ ст. 15Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке.

5.4. Данные представителей контрагентов обрабатываются в объёме, необходимом для заключения и исполнения договора и для связи: фамилия имя отчество, должность, служебный телефон и адрес электронной почты, реквизиты доверенности.

5.5. Обработка данных представителя контрагента основывается на законном интересе оператора в исполнении заключённого договора, а сам контрагент уведомляет своих работников о передаче их данных.

5.6. Данные индивидуальных предпринимателей и самозанятых обрабатываются как персональные данные физических лиц, а не как сведения о юридическом лице.

5.7. Данные посетителей обрабатываются в целях обеспечения пропускного режима и безопасности: фамилия имя отчество, реквизиты документа, удостоверяющего личность, время входа и выхода, принимающее подразделение.

5.8. При видеонаблюдении обрабатывается изображение гражданина в зонах: входная группа, торговый зал, коридор и складские помещения.

5.9. Оператор размещает предупреждающие таблички на входе в зону наблюдения и хранит записи ограниченный срок ГК РФ ст. 152.1ГК РФ ст. 152.1Охрана изображения гражданина.

5.10. При записи телефонных разговоров обрабатываются голос и содержание обращения.

5.11. Запись ведётся после уведомления абонента в начале разговора и при наличии возможности отказаться от неё.

5.12. Часть обработки поручена другому лицу: ООО «Бухгалтерский сервис» — расчёт заработной платы, договор поручения от 12.01.2026 № 4. Поручение оформляется договором с перечнем действий с данными, целями обработки и обязанностью соблюдать конфиденциальность и требования к безопасности 152-ФЗ ч. 3 ст. 6152-ФЗ ч. 3 ст. 6Основные понятия, используемые в настоящем Федеральном законе.

8.1. Срок хранения по каждой категории данных указан в таблице перечня и определяется целью обработки, требованиями закона или условиями договора.

8.2. Данные подлежат уничтожению по достижении цели обработки, при утрате необходимости в её достижении, а также при отзыве субъектом согласия, если сохранение данных не требуется законом 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

8.3. Уничтожение производится в течение 30 рабочих дней со дня наступления соответствующего основания, если законом не установлен иной срок.

8.4. Документы по личному составу хранятся в сроки, установленные законодательством об архивном деле, и уничтожению до истечения этих сроков не подлежат 125-ФЗ ст. 22.1125-ФЗ ст. 22.1Сроки хранения документов по личному составу.

8.5. Первичные учётные и налоговые документы, содержащие персональные данные, хранятся в сроки, установленные законодательством о бухгалтерском учёте и о налогах.

8.6. Уничтожение подтверждается актом с указанием категории и объёма уничтоженных данных, способа и даты уничтожения и лиц, проводивших уничтожение.

8.7. Данные на машинных носителях уничтожаются способом, исключающим восстановление.

8.8. Резервные копии уничтожаются наравне с основными данными.

8.9. Истечение срока хранения проверяется при плановой актуализации перечня.

9.1. Оператор осуществляет трансграничную передачу персональных данных в следующие государства: Республика Казахстан, Республика Беларусь.

9.2. До начала трансграничной передачи оператор обязан уведомить уполномоченный орган о намерении осуществлять такую передачу 152-ФЗ ст. 12152-ФЗ ст. 12Трансграничная передача персональных данных.

9.3. Передача в государства, не обеспечивающие адекватной защиты прав субъектов, допускается при наличии оснований, прямо предусмотренных законом, и после получения сведений от принимающей стороны о принимаемых ею мерах защиты.

9.4. Использование иностранных сервисов рассылок, аналитики, облачного хранения и видеоконференций является трансграничной передачей, даже если оператор не передаёт данные вручную.

9.5. Первичный сбор персональных данных граждан Российской Федерации осуществляется с использованием баз данных, находящихся на территории Российской Федерации.

9.6. При прекращении трансграничной передачи оператор направляет уведомление об изменении сведений, ранее сообщённых уполномоченному органу 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

10.1. Ведение перечня обеспечивает ответственный за организацию обработки персональных данных.

10.2. Изменения вносятся в перечень в течение 10 рабочих дней со дня изменения состава обрабатываемых данных, целей обработки, правовых оснований, сроков или мест хранения.

10.3. Плановая актуализация перечня проводится не реже одного раза в год независимо от наличия изменений.

10.4. Результат актуализации оформляется отметкой о проверке даже при отсутствии изменений.

10.5. Руководители подразделений сообщают ответственному за ведение перечня о начале сбора новых данных, о новых формах и анкетах и о подключении новых сервисов до фактического начала обработки.

10.6. Начало обработки новой категории данных без внесения изменений в перечень не допускается.

10.7. Изменённая редакция перечня утверждается приказом руководителя оператора.

10.8. Редакция, утратившая силу, хранится вместе с приказом об утверждении новой редакции.

10.9. Каждое изменение фиксируется в листе учёта изменений с указанием основания и существа изменения.

10.10. Ответственный за организацию обработки персональных данных осуществляет внутренний контроль соответствия фактически обрабатываемых данных настоящему перечню 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

12.1. Перечень хранится у ответственного за его ведение в бумажном и электронном виде и предъявляется по требованию уполномоченного органа.

12.2. Доступ к перечню предоставляется руководителю оператора, ответственному за организацию обработки персональных данных, руководителям подразделений и лицам, проводящим внутренний контроль.

12.3. Работники, допущенные к обработке персональных данных, знакомятся с касающейся их частью перечня под подпись.

12.4. Утратившие силу редакции перечня хранятся не менее пяти лет: по ним устанавливается, какой состав данных обрабатывался на дату спорного события.

12.5. Лица, виновные в нарушении требований законодательства о персональных данных, несут ответственность в порядке, установленном законодательством 152-ФЗ ст. 24152-ФЗ ст. 24Ответственность за нарушение закона о ПДн.

12.6. Обработка данных, не соответствующая целям сбора, и сбор избыточных данных влекут административную ответственность оператора и его должностных лиц КоАП РФ ст. 13.11КоАП РФ ст. 13.11Нарушение законодательства о персональных данных.

12.7. Неисполнение работником установленных настоящим перечнем обязанностей является нарушением трудовых обязанностей и основанием для дисциплинарного взыскания ТК РФ ст. 192ТК РФ ст. 192Дисциплинарные взыскания.

12.8. Перечень вводится в действие со дня утверждения и действует до утверждения новой редакции.

12.9. генеральный директор ООО «Ромашка» ______________________ Иванов С. П.

Ревизия проводится при каждой актуализации перечня. По каждой строке проверяется, достижима ли цель обработки без этих данных: если достижима, данные избыточны и подлежат исключению и уничтожению.

Оператор: ООО «Ромашка», ИНН 7701234567. Дата ревизии: ____________

Выявленные избыточные данные исключаются из перечня, а уже собранные уничтожаются с составлением акта.

Ревизию провёл: ответственный за организацию обработки персональных данных ______________________ Утверждаю: генеральный директор ______________________ Иванов С. П.

В приложение включаются и неочевидные носители: облачные таблицы, сервисы рассылок, мессенджеры, используемые для передачи данных, резервные копии, бумажные журналы на посту охраны.

Места хранения носителей оператора: Сервер в серверной комнате офиса, запираемые шкафы отдела кадров, сейф бухгалтерии, архив на втором этаже..

В листе фиксируется каждое изменение перечня.

Запись вносит ответственный за организацию обработки персональных данных в день утверждения изменённой редакции перечня.

Одновременно проверяется, требуется ли изменение политики обработки персональных данных, форм согласий и уведомления в уполномоченный орган.