Образец положения об обработке и защите персональных данных

Что должно быть в документе

• цели, условия и порядок обработки: по каждой цели — категории субъектов, категории данных и правовое основание (статьи 5 и 6 Закона);
• условия обработки специальных категорий и биометрических данных, если они обрабатываются (статьи 10 и 11 Закона);
• передача третьим лицам и поручение обработки с обязанностями обработчика (часть 3 статьи 6 Закона);
• порядок доступа работников и ссылка на утверждённый перечень лиц, допущенных к обработке;
• порядок обработки в информационных системах (постановление Правительства Российской Федерации от 01.11.2012 № 1119, приказ ФСТЭК России от 18.02.2013 № 21) и без средств автоматизации (постановление Правительства Российской Федерации от 15.09.2008 № 687) — в той части, в какой они у вас применяются;
• сроки хранения, локализация баз данных в Российской Федерации (часть 5 статьи 18 Закона) и порядок уничтожения с оформлением акта (приказ Роскомнадзора от 28.10.2022 № 179);
• права субъектов и порядок рассмотрения их запросов (статьи 14, 20, 21 Закона);
• меры по обеспечению безопасности, внутренний контроль и ответственность работников (статьи 18.1 и 19 Закона).

Как оформить

1. Соберите реальный перечень целей обработки, категорий субъектов и состава данных по каждой цели.
2. Определите правовое основание по каждой цели: закон, договор или согласие.
3. Зафиксируйте способ обработки: информационные системы, бумажные носители или и то и другое.
4. Утвердите положение приказом руководителя — обычно одним приказом с политикой, приложением № 2.
5. Ознакомьте под подпись работников, допущенных к обработке, и зафиксируйте это в журнале ознакомления.
6. Пересматривайте документ при изменении процессов обработки или законодательства.

Типовой образец, актуален на 2026 год. Это ориентир — заполните поля в квадратных скобках и адаптируйте под свои процессы. Чтобы собрать документ под ваш профиль, с подстановкой реквизитов и в актуальной редакции, воспользуйтесь сервисом.

Приложение № 2
УТВЕРЖДЕНО
приказом [наименование оператора]
от «___» __________ 20__ г. № ____

ПОЛОЖЕНИЕ
об обработке и защите персональных данных
[наименование оператора, ИНН, ОГРН]

I. Общие положения
1. Настоящее Положение определяет цели, условия и порядок обработки персональных данных у оператора [наименование] (далее — Оператор), меры по обеспечению их безопасности и порядок реализации прав субъектов персональных данных.
2. Обработка осуществляется [с использованием средств автоматизации / без использования таких средств / как с использованием средств автоматизации, так и без них].
3. Положение обязательно для всех работников Оператора, имеющих доступ к персональным данным; такие работники ознакомлены с ним под подпись.

II. Цели, условия и порядок обработки
4. Цель: [конкретная цель]. Категории субъектов: [работники, клиенты, представители контрагентов]. Категории данных: [исчерпывающий перечень]. Правовое основание: [норма закона, договор, согласие].
[Отдельный пункт на каждую реальную цель обработки.]
5. По каждой цели обрабатываются только необходимые и достаточные данные; обработка, несовместимая с целями сбора или избыточная, не допускается (статья 5 Закона).
6. Специальные категории и биометрические персональные данные обрабатываются только в случаях и на условиях статей 10 и 11 Закона.
7. Передача третьим лицам — при наличии основания; поручение обработки оформляется договором по части 3 статьи 6 Закона с обязанностями соблюдать конфиденциальность и обеспечивать безопасность.
8. Доступ работников — в объёме должностных обязанностей; перечень допущенных лиц утверждается отдельным актом.

III. Обработка в информационных системах
9. [Если ведётся:] доступ предоставляется по индивидуальным идентификаторам, обеспечиваются идентификация и аутентификация, разграничение прав, регистрация действий и иные меры по статье 19 Закона, постановлению Правительства Российской Федерации от 01.11.2012 № 1119 и приказу ФСТЭК России от 18.02.2013 № 21 исходя из уровня защищённости.
10. При выявлении несанкционированного доступа принимаются меры по устранению последствий; при неправомерной передаче данных Роскомнадзор уведомляется в сроки статьи 21 Закона.

IV. Обработка без использования средств автоматизации
11. [Если ведётся:] соблюдаются требования постановления Правительства Российской Федерации от 15.09.2008 № 687: раздельное хранение носителей по целям обработки, определённые места хранения, условия, исключающие несанкционированный доступ.

V. Сроки хранения, локализация и уничтожение
12. Данные хранятся не дольше, чем требуют цели обработки, если срок не установлен законом или договором.
13. Базы данных граждан Российской Федерации размещаются на территории Российской Федерации (часть 5 статьи 18 Закона).
14. Уничтожение оформляется актом; при автоматизированной обработке дополнительно формируется выгрузка из журнала регистрации событий. Акт и выгрузка хранятся не менее трёх лет (приказ Роскомнадзора от 28.10.2022 № 179).

VI. Права субъектов и рассмотрение запросов
15. Субъект вправе получать сведения об обработке (статья 14 Закона), требовать уточнения, блокирования или уничтожения данных, отзывать согласие.
16. Ответ на обращение — в срок не более десяти рабочих дней со дня обращения; срок может быть продлён не более чем на пять рабочих дней с уведомлением субъекта.

VII. Меры безопасности и ответственность
17. Оператор назначает ответственного за организацию обработки, принимает правовые, организационные и технические меры (статья 19 Закона) и осуществляет внутренний контроль.
18. Работники, виновные в нарушении требований законодательства и настоящего Положения, несут ответственность в соответствии с законодательством Российской Федерации.

Частые вопросы

Этот документ нужен не сам по себе — посмотрите, что ещё требуется вашей организации: