Разделы
Word, PDF, ODT и RTF без водяного знака · разовая оплата
Заполняете онлайн — это ≈5 мин, оплата в конце. Посмотреть весь текст до оплаты — в образце.
__________
ИНН __________, ОГРН __________
__________
УТВЕРЖДЕНО
приказом __________
от __________ № __________
__________ ______________
__________
| г. Москва | «24» октября 2026 г. |
1.1. Настоящее Положение является основным локальным актом __________ (ИНН __________, ОГРН __________, адрес: __________; далее — Оператор) по вопросам обработки и защиты персональных данных и определяет единые правила, обязательные для всех подразделений и работников 152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.
1.2. Положение распространяется на обработку персональных данных всех категорий субъектов — работников и кандидатов, клиентов и контрагентов, представителей и посетителей — независимо от того, ведётся обработка с использованием средств автоматизации или без них.
1.3. Особенности обработки данных отдельных категорий субъектов, порядок реализации прав субъектов, порядок уничтожения данных и правила работы с информационными системами устанавливаются отдельными локальными актами Оператора, принимаемыми в развитие настоящего Положения и не противоречащими ему.
1.4. При противоречии между настоящим Положением и иным локальным актом Оператора применяется настоящее Положение до внесения в противоречащий акт изменений.
1.5. Положение является общедоступным для работников Оператора; сведения о политике обработки персональных данных публикуются на сайте __________.
1.6. Требования Положения обязательны и для лиц, выполняющих работы по гражданско-правовым договорам, если по условиям договора им предоставляется доступ к персональным данным.
2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
2.2. Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление и уничтожение.
2.3. Оператор — __________, организующий и осуществляющий обработку персональных данных и определяющий цели и состав обрабатываемых данных.
2.4. Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
2.5. Конфиденциальность персональных данных — обязанность не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта либо иного законного основания 152-ФЗ ст. 7Конфиденциальность персональных данных.
2.6. Блокирование — временное прекращение обработки, кроме хранения; уничтожение — действия, в результате которых восстановить содержание данных становится невозможно 152-ФЗ ст. 21Прекращение обработки и отзыв согласия.
2.7. Ответственный — работник, назначенный приказом руководителя ответственным за организацию обработки персональных данных.
3.1. Обработка персональных данных осуществляется на законной и справедливой основе 152-ФЗ ст. 5Принципы обработки персональных данных.
3.2. Обработка ограничивается достижением конкретных, заранее определённых и законных целей.
3.3. Обработка, несовместимая с целями сбора персональных данных, не допускается.
3.4. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
3.5. Обработке подлежат только те персональные данные, которые отвечают целям их обработки.
3.6. Содержание и объём обрабатываемых данных не должны быть избыточными по отношению к заявленным целям.
3.7. Обрабатываемые данные должны быть точными, достаточными, а при необходимости и актуальными.
3.8. Оператор принимает необходимые меры по удалению или уточнению неполных и неточных данных.
3.9. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором.
3.10. По достижении целей обработки или в случае утраты необходимости в их достижении персональные данные уничтожаются или обезличиваются.
4.1. Оператор ведёт комплект документов, обеспечивающих выполнение обязанностей, предусмотренных законом.
4.2. Состав комплекта поддерживает ответственный 152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.
| Документ | Что он определяет |
|---|---|
| Политика обработки персональных данных | публичный документ, раскрывающий цели, основания и порядок обработки |
| Настоящее Положение | единые правила обработки и защиты данных у Оператора |
| Положения об обработке данных работников и клиентов | особенности обработки по категориям субъектов |
| Приказ о назначении ответственного и приказ о допуске работников | персональная ответственность и перечень допущенных должностей |
| Перечень обрабатываемых данных и целей обработки | состав данных по каждой цели |
| Перечень информационных систем, модель угроз, акт об уровне защищённости | основания выбора мер защиты |
| Регламенты доступа, запросов, обращений, уточнения и блокирования | порядок реализации прав субъектов |
| Инструкции по работе в информационных системах и без автоматизации | правила для работников |
| Инструкция по уничтожению данных и формы актов | порядок и подтверждение уничтожения |
| Журналы учёта носителей, обращений, инцидентов и уничтожения | подтверждение фактического исполнения |
4.3. Перечень действующих локальных актов приведён в приложении к настоящему Положению и актуализируется при принятии, изменении или отмене любого из них.
5.1. Обработка персональных данных осуществляется при наличии хотя бы одного из оснований, предусмотренных законом 152-ФЗ ст. 6Условия обработки персональных данных.
5.2. Обработка на основании согласия субъекта — когда иное основание отсутствует; согласие оформляется отдельно от иных документов и может быть отозвано.
5.3. Обработка для исполнения договора, стороной которого является субъект, а также для заключения договора по его инициативе.
5.4. Обработка для исполнения обязанностей, возложенных на Оператора законом, в том числе налоговым и бухгалтерским законодательством, законодательством о страховых взносах и индивидуальном учёте, о воинском учёте и об охране труда.
5.5. Обработка данных работников в связи с трудовыми отношениями — на основании трудового законодательства и трудового договора ТК РФ ст. 86Общие требования при обработке данных работника.
5.6. Обработка для осуществления прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта.
5.7. Правовое основание фиксируется по каждой цели обработки в перечне обрабатываемых персональных данных.
5.8. Обработка без зафиксированного основания не допускается.
6.1. Оператор обрабатывает данные, необходимые для достижения заявленных целей: идентификационные, контактные, сведения о договорных отношениях, сведения, необходимые для исполнения обязанностей налогового агента и страхователя, а в отношении работников — сведения, предусмотренные трудовым законодательством.
6.2. Конкретный состав данных по каждой цели устанавливается перечнем обрабатываемых персональных данных, утверждаемым приказом руководителя.
6.3. Сведения, не относящиеся к заявленным целям, не запрашиваются и не хранятся.
6.4. Копии документов изготавливаются только в объёме, необходимом для достижения цели.
6.5. Специальные категории персональных данных — о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни — обрабатываются только в случаях, прямо предусмотренных законом 152-ФЗ ст. 10Специальные категории персональных данных.
6.6. Биометрические персональные данные обрабатываются только при наличии письменного согласия субъекта, за исключением случаев, предусмотренных законом 152-ФЗ ст. 11Биометрические персональные данные.
6.7. Данные, разрешённые субъектом для распространения, обрабатываются на основании отдельного согласия, оформленного в установленном порядке 152-ФЗ ст. 10.1Данные, разрешённые субъектом для распространения.
7.1. Работники Оператора, а также лица, состоявшие с Оператором в трудовых отношениях, и члены их семей — в объёме, необходимом для предоставления гарантий и компенсаций.
7.2. Кандидаты на замещение вакантных должностей — в объёме, необходимом для оценки деловых качеств и принятия решения о заключении трудового договора.
7.3. Клиенты и заказчики — физические лица, а также представители клиентов и контрагентов — юридических лиц.
7.4. Контрагенты — физические лица и индивидуальные предприниматели, а также лица, выполняющие работы по гражданско-правовым договорам.
7.5. Посетители сайта __________ и лица, обратившиеся к Оператору по каналам связи, — в объёме, необходимом для ответа на обращение.
7.6. Посетители помещений Оператора — в объёме, необходимом для обеспечения пропускного режима и безопасности.
7.7. Особенности обработки данных работников и клиентов устанавливаются отдельными положениями Оператора.
8.1. Согласие на обработку персональных данных даётся субъектом свободно, своей волей и в своём интересе, является конкретным, предметным, информированным, сознательным и однозначным 152-ФЗ ст. 9Согласие субъекта персональных данных на обработку его персональных данных.
8.2. Согласие оформляется отдельным документом от иных документов и не включается в текст договора, заявления или пользовательского соглашения в виде общей оговорки.
8.3. Согласие содержит сведения, предусмотренные законом, в том числе цель обработки, перечень данных, перечень действий, срок действия и порядок отзыва.
8.4. Согласие на обработку данных для рассылок и продвижения товаров, работ и услуг оформляется отдельно от иных согласий.
8.5. Отказ субъекта дать такое согласие не может влечь отказ в заключении договора 152-ФЗ ст. 15Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке.
8.6. Обязанность доказать наличие согласия лежит на Операторе: согласия хранятся весь срок обработки и в течение срока, необходимого для защиты прав Оператора.
8.7. Субъект вправе отозвать согласие в любое время.
8.8. Отзыв согласия прекращает обработку, основанную исключительно на согласии; при наличии иного правового основания обработка в этой части продолжается с извещением субъекта.
8.9. При отсутствии иных оснований обработки данные уничтожаются в срок, не превышающий тридцати дней со дня поступления отзыва 152-ФЗ ст. 21Прекращение обработки и отзыв согласия.
9.1. Персональные данные Оператор получает непосредственно у субъекта.
9.2. Получение данных у третьих лиц допускается при наличии согласия субъекта или иного основания, предусмотренного законом ТК РФ ст. 86Общие требования при обработке данных работника.
9.3. При сборе данных Оператор предоставляет субъекту сведения, предусмотренные законом: наименование и адрес Оператора, цель обработки, правовое основание, предполагаемые пользователи данных и права субъекта 152-ФЗ ст. 18Обязанности оператора при сборе персональных данных.
9.4. При сборе персональных данных, в том числе через сайт, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации 152-ФЗ ч. 5 ст. 18.
9.5. Работник вносит в информационные системы достоверные сведения и своевременно отражает в них изменения, сообщённые субъектом.
9.6. Доступ к персональным данным предоставляется по принципу минимально необходимого — только работникам, чьи должности включены в перечень должностей, допущенных к обработке, и только к тем данным, которые нужны для исполнения обязанностей.
9.7. Работники, допущенные к обработке, подписывают обязательство о неразглашении и знакомятся с локальными актами Оператора под подпись 152-ФЗ ст. 7Конфиденциальность персональных данных.
10.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законом, договором или локальными актами Оператора 152-ФЗ ст. 5Принципы обработки персональных данных.
10.2. Бумажные носители хранятся в запираемых шкафах и сейфах в помещениях с ограниченным доступом; данные в информационных системах хранятся в базах данных, размещённых на территории Российской Федерации.
10.3. Сроки хранения кадровых, бухгалтерских и налоговых документов определяются законодательством и перечнем типовых управленческих архивных документов Приказ Росархива 236 —Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения.
| Категория данных | Срок хранения |
|---|---|
| Данные работников в составе кадровых документов | по срокам, установленным законодательством об архивном деле |
| Данные клиентов по исполненному договору | срок исковой давности и сроки, установленные налоговым законодательством |
| Данные кандидатов, не принятых на работу | не более срока, указанного в согласии кандидата |
| Данные, обрабатываемые на основании согласия | срок действия согласия либо до его отзыва |
| Согласия субъектов и обязательства о неразглашении | весь срок обработки и срок защиты прав Оператора |
10.4. Конкретные сроки по каждой цели фиксируются в перечне обрабатываемых персональных данных.
11.1. Персональные данные подлежат уничтожению при достижении целей обработки, отзыве согласия при отсутствии иных оснований, истечении срока хранения и выявлении неправомерной обработки, которую невозможно устранить 152-ФЗ ст. 21Прекращение обработки и отзыв согласия.
11.2. Срок уничтожения не превышает тридцати дней со дня наступления соответствующего обстоятельства, если иной срок не установлен законом или договором.
11.3. Если уничтожение в установленный срок невозможно, данные блокируются и уничтожаются в срок не более шести месяцев со дня, когда уничтожение стало возможным.
11.4. Порядок и способы уничтожения по видам носителей, состав комиссии и форма акта установлены инструкцией по уничтожению персональных данных.
11.5. Вместо уничтожения данные могут быть обезличены, если обезличивание исключает возможность определить их принадлежность конкретному субъекту без использования дополнительной информации.
11.6. Факт уничтожения подтверждается актом; сведения об уничтожении вносятся в журнал.
12.1. Субъект имеет право на получение сведений об обработке его персональных данных в объёме, предусмотренном законом 152-ФЗ ст. 14Право субъекта персональных данных на доступ к его персональным данным.
12.2. Субъект имеет право требовать уточнения своих персональных данных, их блокирования или уничтожения, если данные неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели обработки.
12.3. Субъект имеет право отозвать согласие на обработку и требовать прекращения обработки в целях продвижения товаров, работ и услуг.
12.4. Субъект имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда, а также на обжалование действий Оператора в уполномоченный орган или в суд 152-ФЗ ст. 17Право на обжалование действий оператора.
12.5. Запросы субъектов рассматриваются в течение __________ рабочих дней в порядке, установленном регламентами Оператора об обеспечении доступа субъекта к его данным и об обработке запросов субъектов.
12.6. Порядок реализации прав, адреса и способы направления запросов публикуются на сайте __________ и сообщаются субъекту при сборе данных.
13.1. Ответственный за организацию обработки персональных данных назначается приказом руководителя и подчиняется непосредственно ему 152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.
13.2. Ответственным является __________ __________.
13.3. Ответственный организует внутренний контроль соблюдения требований законодательства и локальных актов, доводит до работников их положения и организует приём и обработку обращений и запросов субъектов.
13.4. Ответственный вправе запрашивать у подразделений сведения о составе обрабатываемых данных, целях и способах обработки и получать их в течение трёх рабочих дней, а также требовать прекращения обработки, осуществляемой без правового основания.
13.5. Ответственный участвует в согласовании договоров, предусматривающих передачу персональных данных, и локальных актов, затрагивающих обработку данных.
13.6. Ответственный ежегодно представляет руководителю отчёт о состоянии обработки и защиты персональных данных, о результатах внутреннего контроля и о выявленных нарушениях.
13.7. На период отсутствия ответственного его обязанности возлагаются на другого работника приказом руководителя.
14.1. Назначить ответственного за организацию обработки персональных данных и издать локальные акты по вопросам обработки и защиты данных 152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.
14.2. Применять правовые, организационные и технические меры, необходимые и достаточные для обеспечения безопасности персональных данных.
14.3. Осуществлять внутренний контроль соответствия обработки требованиям законодательства и локальным актам, а также оценку вреда, который может быть причинён субъектам.
14.4. Ознакомить работников, непосредственно осуществляющих обработку, с положениями законодательства и локальными актами Оператора под подпись и обучать их правилам обработки.
14.5. Опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику обработки персональных данных, и к сведениям о реализуемых требованиях к защите данных.
14.6. Уведомить уполномоченный орган о намерении осуществлять обработку персональных данных и сообщать об изменении ранее направленных сведений 152-ФЗ ст. 22Уведомление об обработке персональных данных.
14.7. Уведомлять уполномоченный орган об инцидентах в установленные сроки и исполнять требования субъектов и предписания уполномоченного органа.
15.1. Внутренний контроль соответствия обработки персональных данных требованиям законодательства проводится не реже одного раза в год, а также при существенном изменении процессов обработки 152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.
15.2. При контроле проверяются: актуальность локальных актов и перечней, наличие правовых оснований по каждой цели, соответствие фактического состава данных заявленному, соблюдение сроков хранения и уничтожения, полнота ведения журналов, наличие подписей об ознакомлении, состояние мер защиты.
15.3. Результаты контроля оформляются актом с указанием выявленных несоответствий, сроков и ответственных за их устранение.
15.4. Акт утверждает руководитель.
15.5. Оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения требований закона, проводится и пересматривается не реже одного раза в год и оформляется отдельным документом.
15.6. Выявленные несоответствия устраняются в сроки, указанные в акте; сведения об устранении включаются в годовой отчёт ответственного.
15.7. Материалы внутреннего контроля хранятся не менее трёх лет и предъявляются по требованию уполномоченного органа.
16.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий 152-ФЗ ст. 19Меры по обеспечению безопасности данных.
16.2. Организационные меры включают: назначение ответственного, утверждение перечня должностей, допущенных к обработке, разграничение доступа, ознакомление работников под подпись, режим доступа в помещения, где обрабатываются данные, учёт машинных носителей.
16.3. Технические меры определяются исходя из установленного уровня защищённости информационных систем и утверждённой модели угроз и включают идентификацию и аутентификацию, управление доступом, регистрацию событий безопасности, антивирусную защиту и контроль целостности Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн.
16.4. Уровень защищённости персональных данных определяется актом Оператора исходя из категории обрабатываемых данных, типа актуальных угроз и количества субъектов ПП РФ 1119 —Требования к защите ПДн в информационных системах.
16.5. Оценка эффективности принимаемых мер проводится не реже одного раза в три года, а также после существенного изменения информационных систем.
16.6. Порядок применения средств защиты информации и правила работы пользователей в информационных системах устанавливаются отдельными инструкциями Оператора.
17.1. Инцидентом признаётся неправомерная или случайная передача персональных данных, повлёкшая нарушение прав субъектов, а также неправомерный доступ к данным, их уничтожение, изменение или блокирование.
17.2. Работник, обнаруживший признаки инцидента, немедленно сообщает об этом ответственному и не совершает действий, уничтожающих следы события.
17.3. Оператор уведомляет уполномоченный орган о факте инцидента в течение двадцати четырёх часов с момента его выявления и о результатах внутреннего расследования — в течение семидесяти двух часов 152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.
17.4. Внутреннее расследование устанавливает причины инцидента, объём и категории затронутых данных, число субъектов, лиц, действия которых привели к инциденту, и принятые меры Приказ РКН 276 от 25.07.2024Форма и порядок уведомления об инциденте.
17.5. Оператор принимает меры к прекращению утечки и устранению последствий, уведомляет затронутых субъектов, если этого требует закон или если инцидент создаёт риск причинения им вреда.
17.6. Сведения об инцидентах фиксируются в журнале учёта инцидентов; по результатам расследования пересматриваются модель угроз и применяемые меры защиты.
18.1. Работники, виновные в нарушении настоящего Положения и иных локальных актов Оператора по вопросам обработки персональных данных, привлекаются к дисциплинарной ответственности ТК РФ ст. 192Дисциплинарные взыскания.
18.2. Разглашение персональных данных другого работника или иного субъекта, ставших известными в связи с исполнением трудовых обязанностей, является основанием для расторжения трудового договора по инициативе работодателя ТК РФ ст. 90Ответственность за нарушение норм о данных работника.
18.3. Ущерб, причинённый Оператору нарушением настоящего Положения, возмещается работником в порядке и пределах, установленных трудовым законодательством ТК РФ ст. 238Материальная ответственность работника за ущерб.
18.4. Нарушение установленного порядка обработки персональных данных влечёт административную ответственность КоАП РФ ст. 13.11Нарушение законодательства о персональных данных, а незаконное собирание или распространение сведений о частной жизни лица — уголовную УК РФ ст. 137Нарушение неприкосновенности частной жизни.
18.5. Оператор несёт перед субъектом персональных данных гражданско-правовую ответственность и возмещает убытки и моральный вред, причинённые нарушением его прав, независимо от привлечения виновных работников к ответственности 152-ФЗ ст. 24Ответственность за нарушение закона о ПДн.
19.1. Положение утверждается приказом руководителя Оператора, вступает в силу со дня утверждения и действует до его отмены или замены новой редакцией ТК РФ ст. 8Локальные нормативные акты.
19.2. Работники знакомятся с Положением под подпись: принимаемые на работу — до подписания трудового договора ТК РФ ст. 68Оформление приёма на работу, работающие на день утверждения — в течение десяти рабочих дней со дня утверждения.
19.3. Положение пересматривается не реже одного раза в __________ г., а также при изменении законодательства, состава обрабатываемых данных, целей обработки, информационных систем или структуры Оператора.
19.4. Изменения вносятся приказом руководителя; работники знакомятся с новой редакцией под подпись в течение десяти рабочих дней со дня её утверждения.
19.5. Контроль за соблюдением Положения возлагается на ответственного за организацию обработки персональных данных.
19.6. Локальные акты Оператора, принятые до утверждения настоящего Положения, применяются в части, ему не противоречащей, и приводятся в соответствие с ним в течение трёх месяцев.
20.1. Ответственный за организацию обработки персональных данных:
20.2. __________ ______________
20.3. __________
20.4. Руководитель:
20.5. __________ ______________
20.6. __________
Перечень ведёт __________ и актуализирует его при принятии, изменении или отмене любого из актов.
| № | Наименование документа | Реквизиты приказа об утверждении | Дата последнего пересмотра |
Перечень утверждается вместе с Положением и хранится у ответственного за организацию обработки персональных данных.
С Положением об обработке и защите персональных данных, утверждённым приказом от __________ № __________, ознакомлены, права и обязанности разъяснены:
| № | Фамилия, имя, отчество | Должность | Дата | Подпись |
|---|---|---|---|---|
Лист ознакомления хранится вместе с Положением у ответственного за организацию обработки персональных данных.
Ответы и заполненные поля вернутся к исходным
Положение об обработке и защите персональных данных·24 частей
Сохраним документ в вашем кабинете
Формат файла