Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

С вступлением в силу Федерального закона от № 266-ФЗ (с ) наличие локального нормативного акта (ЛНА), регламентирующего порядок обработки и защиты персональных данных работников, стало обязательным требованием для каждого работодателя. На актуальность данного документа не снижается, а практика проверок Роскомнадзора и судебная практика требуют тщательного подхода к его составлению.

В данной статье мы подробно разберем структуру, обязательные разделы, порядок утверждения и хранения Положения о защите персональных данных, а также укажем на распространенные ошибки.

Правовая база и обязательность документа

Согласно ст. 22 Федерального закона от № 152-ФЗ «О персональных данных» (в ред. 266-ФЗ), оператор (работодатель) обязан:

Принять локальный нормативный акт, определяющий политику в отношении обработки персональных данных;
Определить в нем категории и перечень обрабатываемых персональных данных для каждой цели обработки;
Установить меры по защите персональных данных;
Ознакомить работников с этим актом под роспись.

Важно: Отсутствие утвержденного Положения влечет административную ответственность по ст. 13.11 КоАП РФ (штрафы для юрлиц до 75 000 руб. за повторное нарушение).

Структура типового Положения о защите персональных данных работников

Хотя закон не устанавливает жесткую форму, на практике (и по рекомендациям Роскомнадзора) документ должен содержать следующие разделы:

Общие положения

Наименование организации (Полное и сокращенное: ООО «» / ИП ).
Ссылка на нормативную базу (152-ФЗ, ТК РФ, 266-ФЗ, приказа ФСТЭК/ФСБ, ГОСТ Р 57580-2017).
Цели принятия акта: обеспечение прав субъектов ПДн, регламентация процессов обработки.
Сфера действия: к кому применяется (работники, стажеры, удаленные сотрудники, бывшие работники).

Основные понятия и определения

Рекомендуется зафиксировать термины: «Персональные данные», «Обработка», «Оператор», «Субъект ПДн», «Информационная система персональных данных (ИСПДн)», «Нарушение безопасности ПДн» и др. Это исключает двоякое толкование при спорах.

Категории и перечень обрабатываемых персональных данных (ОБЯЗАТЕЛЬНЫЙ РАЗДЕЛ ПО 266-ФЗ)

Необходимо составить таблицу или перечень по целям обработки. Пример структуры:

Цель обработки	Категории субъектов	Категории ПДн (перечень)	Правовое основание
Работники, соискатели	ФИО, паспорт (), СНИЛС (), ИНН (), банковские реквизиты (), данные о образовании, трудовой стаж, сведения о семейном положении (для выплат)	Ст. 65 ТК РФ, ст. 6 152-ФЗ, ст. 11 152-ФЗ
Обеспечение охраны труда	Работники	Результаты медосмотров (*), данные о противопоказаниях	Ст. 214 ТК РФ, ст. 10 152-ФЗ (спец. категория)
Контроль за выполнением трудовых обязанностей (видеонаблюдение, DLP)	Работники	Образ на видео (*), логи доступа, перемещения по территории	Ст. 22 ТК РФ, ст. 11 152-ФЗ (заключение договора)

Примечание: Конкретные номера документов (паспорт, СНИЛС) и ФИО в самом Положении не указываются, указываются только категории данных. Реальные данные маскируются (*) в рабочих журналах учета.

Порядок обработки персональных данных

Сбор: только у субъекта (за исключением ст. 6 152-ФЗ), на бумажных/электронных носителях. Запрет сбора избыточных данных.
Запись/Систематизация/Накопление/Хранение: в ИСПДн (1С, СЭД, CRM) и на бумажных носителях (личные дела, заказы).
Использование/Передача: внутри организации (кадры, бухгалтерия, ОТ), третьим лицам (банки, налоговая, фонды) — только по основаниям ст. 6, 10, 11 152-ФЗ. Передача за рубеж, только при выполнении условий ст. 12 152-ФЗ.
Уничтожение/Обезличивание: по истечении сроков хранения или достижении цели.

Меры по защите персональных данных (Технические и организационные)

Раздел должен отражать реальные меры, а не быть «для галочки». Ссылаться на отдельные документы (Инструкции, Регламенты), которые являются приложениями к Положению:

Организационные: назначение ответственного за обработку ПДн (ФИО *), приказа о доступе, инструкции по работе с ПДн, режим доступа к помещениям (СКУД), учет носителей, инвентаризация ИСПДн.
Технические (согласно приказа ФСТЭК от № 21): антивирусная защита, контроль целостности, учет событий (логирование), средства криптографической защиты (СКЗИ) при передаче по открытым каналам, бэкапирование, защита от утечки (DLP-системы).
Физические: замки, сейфы для носителей, охрана серверных.

Права и обязанности субъектов ПДн (работников)

Обязательно зафиксировать права ст. 14 152-ФЗ: доступ к своим данным, требование уточнения/блокирования/уничтожения, отзыв согласия (где применимо), обжалование действий оператора в Роскомнадзор/суд.

Ответственность за нарушение режима защиты ПДн

Дисциплинарная (замечание, выговор, увольнение по ст. 192 ТК РФ).
Административная (ст. 13.11, 13.14 КоАП РФ — для должностных лиц и юрлиц).
Уголовная (ст. 137, 272, 273, 274 УК РФ).
Гражданско-правовая (возмещение ущерба и морального вреда ст. 151, 1064 ГК РФ).

Контроль за соблюдением Положения и порядок реагирования на инциденты

Внутренний аудит (ежеквартально/ежегодно).
Порядок уведомления Роскомнадзора об утечке (в течение 24 часов с момента обнаружения, согласно ст. 22.1 152-ФЗ).
Порядок уведомления субъектов ПДн.

Сроки хранения документов с ПДн

Ссылка на Перечень типовых управленческой документации (утв. Росархивом Приказом от № 236, п. 440):

Документы по учету рабочего времени, 50 лет (после 2003 г.) / 75 лет (до 2003 г.).
Положение о защите ПДн, Инструкции, Регламенты, Журналы учета — хранятся ПОСТОЯННО.
Личные дела — 75 лет (до 2003) / 50 лет (после 2003).

Заключительные положения

Дата вступления в силу.
Порядок внесения изменений (только новой редакцией или отдельным приказом).
Распоряжение о размещении на сайте (политика в отношении обработки ПДн — публичная часть) и во внутренней сети/на стенде для ознакомления персонала.

Порядок разработки, согласования и утверждения

Этап 1: Инвентаризация процессов (Аудит)

Перед написанием текста необходимо провести аудит: какие ПДн, где, кем, зачем и как долго обрабатываются. Без этого Положение будет формальным и не пройдет проверку.

Этап 2: Разработка проекта

Проект готовит ответственный за ПДн (часто — кадровик, юрист или ИБ-специалист) совместно с ИТ-отделом (по техническим мерам) и службой безопасности.

Этап 3: Согласование с профсоюзом (если есть)

Согласно ст. 372 ТК РФ и п. 1.1 ст. 22 152-ФЗ, ЛНА, затрагивающие права работников (в т.ч. Положение о ПДн), подлежат принятию с учетом мнения выборного органа первичной профсоюзной организации. Протокол сведения мнения профсоюза прилагается к проекту.

Этап 4: Утверждение приказом (распоряжением) руководителя

Документ вступает в силу с момента подписания приказом директора/гендиректора. На приказе ставится гриф утверждения (в правом верхнем углу): «УТВЕРЖДАЮ Директор ООО «» /Подпись/ Дата».

Этап 5: Ознакомление работников ПОД РОСПИСЬ

Критически важный этап. Каждый работник (в т.ч. уволенные, если актуально) должен подписать лист ознакомления (Журнал ознакомления); Без росписи документ не считается доведенным, что является грубым нарушением.

Этап 6: Публикация Политики в отношении обработки ПДн (Публичная часть)

Отдельно (или как Приложение 1) публикуется на сайте организации «Политика в отношении обработки персональных данных» (требование ст. 18.1 152-ФЗ). Она не должна содержать внутренних реквизитов, паролей, ФИО ответственных (можно указать только должность/контактный телефон приемной *).

Состав обязательного пакета документов по ПДн (Чек-лист на 2026 год)

Получение Положения — это только вершина айсберга. При проверке потребуют весь пакет:

Приказ об утверждении Положения о защите ПДн.
Положение о защите ПДн (внутренний, полный).
Политика в отношении обработки ПДн (публичная, для сайта).
Приказ о назначении ответственного за обработку ПДн (ФИО *).
Приказ о доступе к ПДн (матрица доступа: кто/какие категории/какие действия).
Инструкция по защите ПДн при обработке в ИСПДн (техническая, для админов/пользователей).
Инструкция по защите ПДн на бумажных носителях (для кадров/архива/секретарей).
Регламент учета носителей ПДн (журналы выдачи/возврата флешек, дисков, распечаток).
Журнал ознакомления работников с Положением и Инструкциями (под роспись).
Журнал учета инцидентов (нарушений) безопасности ПДн.
Акт категорирования объекта ИСПДн (1-4 класс по приказам ФСТЭК 17/21) или уведомление об отсутствии необходимости категорирования.
Уведомление Роскомнадзора об обработке ПДн (если не исключено ст. 22 152-ФЗ), с 2022 г. подача в электронном виде через ГИС «Уведомления».
Договоры с операторами/подрядчиками (аутсорсинг кадров, 1С в облаке, колл-центры) с условиями ст. 28 152-ФЗ.

Типичные ошибки при составлении Образца (на что смотрит Роскомнадзор)

Копирование «шаблона из интернета» без адаптации. В документе остаются чужые наименования систем, должности, которых нет в штате, меры защиты, которых нет физически (например, написано «DLP-система установлена», а её нет).
Отсутствие привязки к целям обработки. Перечень ПДн дан «в общем» (ФИО, паспорт), а не разбит по целям (кадровый учет, зарплата, охрана труда, контроль доступа), что прямо противоречит 266-ФЗ.
Игнорирование биометрии и спец. категорий. Если делаете фото для пропусков, распознавание лица для доступа или собираете мед. справки — это особые режимы (ст. 10, 11 152-ФЗ), требующие отдельного описания мер защиты и оснований.
Нет приказа о доступе (Матрицы доступа). Положение пишет «доступ разграничен», но нет приказа с таблицей: «Иванов И.И. — чтение/запись в карточке сотрудника», «Петров П.П. — только чтение ФИО/табельного номера».
Сроки хранения не соответствуют Приказу Росархива № 236. Пишут «хранить 3 года» для личных дел — грубое нарушение архивного дела.
Политика на сайте не соответствует реальному Положению. На сайте написано «не передаем третьим лицам», а в Положении и договорах, передача в банк, 1С-фреш, страховую компанию.
Отсутствие процедуры уведомления об утечке. Нет регламента действий за 24 часа.

Пример оформления заголовочной части документа

УТВЕРЖДАЮ
Генеральный директор
ООО «»
_____________ /  * *
«___» _____________ 202_ г.

ПОЛОЖЕНИЕ
об обработке и защите персональных данных работников
ООО «»

г. , 202_ г.

ОБЩИЕ ПОЛОЖЕНИЯ
Настоящее Положение разработано в соответствии с:
 ⎼ Федеральным законом от № 152-ФЗ «О персональных данных»;
 ⎻ Трудовым кодексом РФ;
 ⎻ Федеральным законом от № 266-ФЗ;
 ⎻ Приказом ФСТЭК России от № 21 «Об утверждении Состава и параметров мер по обеспечению безопасности персональных данных...»;
 ⎼ Приказом Росархива от № 236.
Настоящее Положение является локальным нормативным актом ООО «*» и обязательно для исполнения всеми работниками организации, обрабатывающими персональные данные...

На подход «сделал для галочки» не работает. Роскомнадзор проводит как плановые, так и внеплановые проверки (часто по жалобам работников или утечкам в СМИ/даркнете).

Ключевые рекомендации:

Начинайте с аудита потоков ПДн (Data Mapping).
Пишите Положение под реальные бизнес-процессы, а не под закон.
Обязательно разработайте Приложения-Инструкции (технические и организационные) — они являются неотъемлемой частью ЛНА.
Проводите обучение персонала (инструктажи) с фиксацией в журналах — это подтверждает «организационные меры».
Регулярно (раз в год или при изменении процессов/закона) пересматривайте и актуализируете документ.

Грамотно составленный и, главное, работающий локальный нормативный акт — это не только защита от штрафов, но и фундамент информационной безопасности организации и доверия сотрудников.

Данная статья носит информационный характер и не является правовой консультацией. Для подготовки документов с учетом специфики вашей организации рекомендуется обратиться к специалистам по защите персональных данных или юристам профильного направления. Контактные данные специалистов: тел. , e-mail: @*.ru