Приказ о допуске работников к обработке ПДн: образец заполнения и пустой бланк 2026

1.1. Утвердить перечень должностей работников, допущенных к обработке персональных данных, с указанием объёма доступа согласно приложению № 1 к настоящему приказу.

1.2. Утвердить матрицу доступа работников к информационным системам персональных данных согласно приложению № 2 к настоящему приказу.

1.3. Ввести перечень и матрицу доступа в действие с 01.10.2026.

1.4. Установить, что доступ к персональным данным предоставляется исключительно работникам, замещающим должности, включённые в перечень.

1.5. Установить, что предоставление доступа к персональным данным лицам, не включённым в перечень, не допускается независимо от их должности и от устного распоряжения руководителя.

1.6. Признать утратившим силу приказ от 15.03.2024 № 9-ПДн со дня введения в действие перечня, утверждённого настоящим приказом.

2.1. Доступ предоставляется в объёме, минимально необходимом для исполнения работником его трудовых обязанностей.

2.2. Объём доступа описывается действиями с данными: просмотр, внесение, изменение, выгрузка, передача, удаление.

2.3. Формулировка «полный доступ» объёма не определяет и не применяется.

2.4. Работник получает доступ только к тем категориям данных, которые указаны в перечне применительно к его должности, и только в тех информационных системах, которые в перечне названы.

2.5. Право выгрузки массивов данных и право экспорта из информационных систем предоставляются отдельно и только тем работникам, которым это необходимо по характеру работы.

2.6. Доступ к специальным категориям персональных данных предоставляется отдельным решением и только работникам, чьи обязанности прямо требуют работы с такими сведениями 152-ФЗ ст. 10152-ФЗ ст. 10Специальные категории персональных данных.

2.7. Руководитель подразделения не получает доступ к данным работников других подразделений на основании одной лишь занимаемой должности.

2.8. Обработка ограничивается достижением конкретных, заранее определённых и законных целей, а объём обрабатываемых данных соответствует этим целям 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

3.1. Предоставлять доступ к информационным системам персональных данных по заявке, форма которой приведена в приложении № 3 к настоящему приказу.

3.2. Заявку подаёт руководитель подразделения, согласовывает ответственный за организацию обработки персональных данных Иванов Иван Иванович, исполняет системный администратор.

3.3. Доступ предоставляется в течение 3 рабочих дней со дня согласования заявки и не ранее подписания работником обязательства о неразглашении.

3.4. Каждому работнику создаётся персональная учётная запись.

3.5. Использование одной учётной записи несколькими работниками не допускается, поскольку делает невозможным установление лица, совершившего действие с данными.

3.6. Пароль является персональным, не подлежит передаче другим работникам и записи в доступном для третьих лиц виде.

3.7. Смена пароля производится не реже одного раза в 90 дней.

3.8. Изменение объёма доступа оформляется в том же порядке, что и его предоставление.

3.9. Устное указание основанием для изменения прав не является.

3.10. Факт предоставления, изменения и прекращения доступа фиксируется системный администратор в журнале учёта доступа с указанием даты и основания.

3.11. Удалённый доступ предоставляется по отдельной заявке с указанием причины и срока, с использованием защищённого канала связи и многофакторной аутентификации.

3.12. Работнику, получившему удалённый доступ, запрещается работать с персональными данными в местах, где содержимое экрана доступно посторонним, и сохранять данные на личных устройствах.

3.13. Временный доступ на период замещения предоставляется на срок, указанный в заявке, и прекращается автоматически по его истечении без дополнительного распоряжения.

4.1. Ознакомить работников, допущенных к обработке персональных данных, с настоящим приказом, с политикой обработки персональных данных и с иными локальными актами оператора по этим вопросам под подпись.

4.2. Получить от каждого допущенного работника подписанное обязательство о неразглашении персональных данных по форме приложения № 4 к настоящему приказу.

4.3. Ознакомление проводится до фактического предоставления доступа к данным.

4.4. Доступ работнику, не подписавшему обязательство, не предоставляется.

4.5. Работники, принимаемые на должности, включённые в перечень, знакомятся с настоящим приказом до подписания трудового договора ТК РФ ст. 68ТК РФ ст. 68Оформление приёма на работу.

4.6. Установить, что лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом 152-ФЗ ст. 7152-ФЗ ст. 7Конфиденциальность персональных данных.

4.7. Обязательство о неразглашении сохраняет силу и после прекращения трудовых отношений в части запрета разглашать ставшие известными персональные данные.

4.8. Работники предупреждаются об ответственности за разглашение персональных данных, ставших им известными в связи с исполнением трудовых обязанностей ТК РФ ст. 90ТК РФ ст. 90Ответственность за нарушение норм о данных работника.

4.9. Листы ознакомления и подписанные обязательства хранятся вместе с настоящим приказом и предъявляются при проверках.

5.1. Ответственному за организацию обработки персональных данных совместно с отделом кадров актуализировать перечень при приёме, переводе и увольнении работников в течение одного рабочего дня.

5.2. При приёме работника на должность, включённую в перечень, доступ предоставляется после ознакомления с локальными актами и подписания обязательства о неразглашении.

5.3. При переводе работника на должность, не предусматривающую работу с персональными данными, права доступа прекращаются в день перевода.

5.4. При увольнении работника учётные записи блокируются в день увольнения до окончания рабочего дня, а выданные материальные носители изымаются по акту.

5.5. Блокировка доступа уволенного работника производится независимо от того, сданы ли им дела: сохранение действующей учётной записи после увольнения является самостоятельным нарушением.

5.6. Пароли к общим и служебным учётным записям, которые были известны уволенному работнику, подлежат смене в день увольнения.

5.7. Отдел кадров сообщает системный администратор об увольнении и переводе работника в день издания соответствующего приказа.

5.8. При изменении наименования должности или структуры подразделений перечень приводится в соответствие в течение пяти рабочих дней.

5.9. Доступ работников сторонних организаций предоставляется только при наличии договора поручения обработки персональных данных: ООО «Бухгалтерский сервис», договор поручения обработки от 12.01.2026 № 4. Объём доступа не может превышать объём поручения 152-ФЗ ч. 3 ст. 6152-ФЗ ч. 3 ст. 6Основные понятия, используемые в настоящем Федеральном законе.

5.10. При прекращении договора поручения доступ работников сторонней организации прекращается в день прекращения договора, а переданные им носители возвращаются или уничтожаются.

6.1. Проводить сверку фактических прав доступа в информационных системах с утверждённым перечнем и матрицей доступа ежеквартально.

6.2. При сверке проверяется отсутствие действующих учётных записей уволенных и переведённых работников, а также отсутствие прав, не предусмотренных матрицей доступа.

6.3. При сверке проверяется наличие обязательств о неразглашении у всех работников, имеющих действующий доступ.

6.4. Выявленные несоответствия устраняются в день их обнаружения, а сведения о них включаются в материалы внутреннего контроля обработки персональных данных 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

6.5. Результаты сверки оформляются справкой, которая подписывается системный администратор и ответственным за организацию обработки персональных данных.

6.6. Учётные записи, не используемые более трёх месяцев, блокируются до выяснения необходимости их сохранения.

6.7. Ответственному за организацию обработки персональных данных в срок до 01.12.2026 привести фактические права доступа в соответствие с утверждённой матрицей доступа.

7.1. Работник обязан немедленно сообщить ответственному за организацию обработки персональных данных о ставших ему известными фактах утраты носителя, разглашения данных или неправомерного доступа к ним.

7.2. При компрометации учётных данных работника доступ блокируется немедленно, пароль изменяется, а обстоятельства компрометации фиксируются в журнале учёта инцидентов.

7.3. При выявлении факта неправомерной передачи персональных данных оператор уведомляет уполномоченный орган в порядке и в сроки, установленные законом 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.

7.4. По каждому инциденту проводится внеплановая проверка соблюдения порядка доступа и устанавливается, соответствовали ли фактические права доступа утверждённой матрице.

7.5. Неправомерный доступ к охраняемой законом компьютерной информации, повлёкший её копирование или уничтожение, влечёт уголовную ответственность УК РФ ст. 272УК РФ ст. 272Неправомерный доступ к компьютерной информации.

7.6. Сокрытие работником факта утраты носителя или разглашения данных рассматривается как самостоятельное нарушение трудовых обязанностей.

10.1. Приказ вступает в силу со дня подписания, если в нём прямо не указана иная дата введения в действие.

10.2. Приказ регистрируется в журнале регистрации приказов по основной деятельности и хранится вместе с приложениями.

10.3. Приказ, листы ознакомления и обязательства о неразглашении хранятся в сроки, установленные для документов по вопросам защиты персональных данных, но не менее пяти лет со дня утраты приказом силы 125-ФЗ ст. 17125-ФЗ ст. 17Обязанности государственных органов, органов местного самоуправления, организаций и граждан, занимающихся предпринимательской деятельностью без образования юридического лица, по обеспечению сохранности архивных документов.

10.4. Приложения к приказу являются его неотъемлемой частью.

Перечень утверждён приказом ООО «Ромашка» от 15.09.2026 № 23-ПДн и введён в действие с 01.10.2026.

Доступ предоставляется работнику, замещающему указанную должность, после ознакомления с локальными актами оператора и подписания обязательства о неразглашении.

Изменения в перечень вносятся при приёме, переводе и увольнении работников в течение одного рабочего дня.

Матрица показывает, какие действия с какими данными разрешены каждой должности.

Условные обозначения: «+» — действие разрешено, «−» — запрещено.

Права доступа в информационных системах настраиваются системный администратор строго по настоящей матрице.

Сверка фактических прав с матрицей проводится ежеквартально, результат оформляется справкой.

Заявка подаётся руководителем подразделения до предоставления работнику доступа к персональным данным и хранится вместе с приказом.

Оператор: ООО «Ромашка», ИНН 7701234567.

Вид заявки: предоставление доступа / изменение объёма доступа / отзыв доступа (нужное подчеркнуть).

Обязательство о неразглашении подписано работником: да / нет (нужное подчеркнуть).

Работники ООО «Ромашка», допущенные к обработке персональных данных на основании приказа от 15.09.2026 № 23-ПДн и подписавшие настоящее обязательство в листе ниже, принимают на себя следующие обязательства.

Обрабатывать персональные данные только в объёме и в целях, необходимых для исполнения своих трудовых обязанностей, и только в тех системах, которые указаны в перечне применительно к должности работника.

Не разглашать и не передавать третьим лицам ставшие им известными персональные данные, в том числе после прекращения трудовых отношений с оператором.

Не создавать копии документов и файлов с персональными данными вне утверждённых мест хранения и не использовать для их хранения и передачи личные устройства, почтовые ящики и мессенджеры.

Не передавать никому свои пароль и учётную запись и не оставлять рабочее место с открытым доступом к информационной системе.

Немедленно сообщать ответственному за организацию обработки персональных данных об утрате носителя, о неправомерном доступе к данным и о компрометации своего пароля.

Работникам разъяснено, что за нарушение требований законодательства о персональных данных предусмотрена дисциплинарная, материальная, административная и уголовная ответственность.

Подписанные обязательства и лист ознакомления хранятся вместе с приказом у ответственного за организацию обработки персональных данных.