Образец политики обработки персональных данных

Что должно быть в документе

• общие положения: назначение документа, основные понятия, права и обязанности оператора и субъекта;
• цели обработки — конкретные, заранее определённые и законные, без избыточных данных;
• правовые основания — перечень законов под вашу деятельность, договоров и согласий (сам 152-ФЗ основанием не является);
• объём и категории обрабатываемых данных и категории субъектов (работники, клиенты, представители контрагентов; отдельно — специальные категории и биометрия);
• порядок и условия обработки: перечень действий, способы и сроки, передача третьим лицам и поручение, трансграничная передача, конфиденциальность (статья 7), меры защиты (часть 2 статьи 18.1 и часть 1 статьи 19), локализация баз данных в РФ (часть 5 статьи 18), условия прекращения обработки;
• актуализация, удаление и уничтожение данных, а также порядок ответов на запросы субъектов.

Как оформить

1. Определите, какие данные, чьи и для каких целей вы реально обрабатываете.
2. Зафиксируйте правовые основания по каждой цели (договор, согласие, закон).
3. Опишите состав данных, действия с ними, сроки и меры защиты.
4. Утвердите политику приказом и опубликуйте её на сайте с рабочей ссылкой.
5. Поддерживайте документ в актуальном состоянии при изменении процессов.

Типовой образец, актуален на 2026 год. Это ориентир — заполните поля в квадратных скобках и адаптируйте под свои процессы. Чтобы собрать документ под ваш профиль, с подстановкой реквизитов и в актуальной редакции, воспользуйтесь сервисом.

УТВЕРЖДАЮ
[должность руководителя]
[наименование оператора]
____________ / [ФИО] /
«___» __________ 20__ г.

ПОЛИТИКА
в отношении обработки персональных данных

1. Общие положения
1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных [наименование оператора, ИНН/ОГРН, адрес] (далее — Оператор).
1.2. Политика применяется ко всем персональным данным, которые Оператор получает от [работников, соискателей, клиентов, представителей контрагентов, посетителей сайта — оставить применимое].
1.3. Ответственный за организацию обработки персональных данных: [должность, контакты для обращений].

2. Цели, категории субъектов и состав данных
2.1. Цель: [конкретная цель, например исполнение трудовых договоров]. Субъекты: [категория]. Данные: [исчерпывающий перечень]. Правовое основание: [конкретная норма закона, договор или согласие]. Срок обработки и хранения: [срок/условие].
2.2. Цель: [следующая цель]. Субъекты: [...]. Данные: [...]. Правовое основание: [...]. Срок: [...].
[Добавьте отдельный пункт для каждой реальной цели. Не объединяйте несовместимые цели.]

3. Порядок и условия обработки
3.1. Оператор совершает с персональными данными следующие действия: [сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, блокирование, удаление, уничтожение — оставить применимое].
3.2. Обработка ведётся [с использованием средств автоматизации / без использования средств автоматизации / смешанным способом].
3.3. Передача третьим лицам осуществляется [перечень получателей и оснований]. Обработка по поручению передаётся [наименование обработчика, условия поручения].
3.4. Трансграничная передача [не осуществляется / осуществляется в страны ... после выполнения требований закона]. Базы данных граждан РФ при сборе через интернет находятся по адресу: [РФ, местонахождение ЦОД/провайдера].

4. Защита персональных данных
4.1. Оператор принимает необходимые правовые, организационные и технические меры, включая назначение ответственного, принятие локальных актов, разграничение доступа, учёт носителей, резервное копирование, регистрацию событий безопасности и контроль принятых мер.
4.2. Работники допускаются к данным только в объёме должностных обязанностей и ознакомляются с требованиями конфиденциальности.

5. Права субъектов и обращения
5.1. Субъект вправе получать сведения об обработке, требовать уточнения, блокирования или уничтожения данных и отозвать согласие в случаях, предусмотренных законом.
5.2. Обращения принимаются по адресу: [почтовый адрес] и [электронная почта]. Запрос должен содержать сведения, позволяющие идентифицировать заявителя и его отношения с Оператором.

6. Прекращение обработки и уничтожение
6.1. Обработка прекращается при достижении цели, истечении срока хранения, утрате правового основания или по законному требованию субъекта.
6.2. Данные уничтожаются либо обезличиваются в установленные законом сроки. Уничтожение подтверждается актом, а для автоматизированной обработки — также выгрузкой из журнала регистрации событий.

7. Заключительные положения
7.1. Политика размещается в неограниченном доступе по адресу [URL]. Оператор пересматривает её при изменении процессов обработки или законодательства.
7.2. Актуальная редакция действует с даты утверждения.

Частые вопросы

Этот документ нужен не сам по себе — посмотрите, что ещё требуется вашей организации: