ПДн ПакетПоложение об обработке и защите персональных данных: образец 2026 и что в нём должно быть
Положение, политика и «положение о защите данных работников»
Под разными названиями ищут один и тот же документ: положение о персональных данных, об обработке, о защите, о работе с персональными данными, о порядке обработки и хранении, положение о персональных данных работников. Закон не задаёт ни название, ни форму: он требует, чтобы в локальном акте было определённое содержание. Утверждённого бланка нет.
| Политика обработки | Положение | |
|---|---|---|
| Для кого | для посетителей и клиентов | для вас, работников и проверяющих |
| Где находится | на сайте, в подвале и у форм | у вас, вместе с приказом |
| Что внутри | какие данные и зачем собираете, права человека, контакты | сроки хранения и уничтожение, доступ, меры защиты, запросы, утечки, контроль |
| Норма | ч. 2 ст. 18.1 152-ФЗ | п. 2 ч. 1 ст. 18.1 152-ФЗ, ст. 87 ТК РФ |
Отдельное положение о защите персональных данных работников делать не обязательно. Один документ закрывает и клиентов, и работников, если кадровый учёт записан в нём отдельной целью со своими данными и сроками.
Кому положение обязательно
- ООО и другим юридическим лицам: всегда. Закон прямо требует издать локальные акты, которые для каждой цели обработки определяют данные, людей, способы, сроки хранения и порядок уничтожения (п. 2 ч. 1 ст. 18.1 152-ФЗ).
- ИП с работниками: как работодатель ИП устанавливает порядок хранения и использования персональных данных работников (ст. 87 ТК РФ) и знакомит с ним под подпись (п. 8 ст. 86 ТК РФ).
- ИП без работников и самозанятым: не обязательно. Но положение коротко показывает принятые меры, если Роскомнадзор запросит документы (ч. 4 ст. 18.1 152-ФЗ).
Что ещё обязательно именно вам, кроме положения: внутренние документы по 152-ФЗ.
Что должно быть в положении
- Общие положения: кто оператор, на кого документ распространяется, как он связан с политикой.
- Цели обработки. Главный раздел. Для каждой цели: чьи данные, какие именно, правовое основание, действия и способы обработки, срок хранения и порядок уничтожения.
- Доступ: кто работает с данными, когда доступ даётся и когда прекращается, обязанность не разглашать.
- Меры безопасности: уровень защищённости и тип угроз по постановлению № 1119, пароли, резервные копии, хранение бумаг, базы данных на территории России.
- Запросы людей и Роскомнадзора: куда пишут и в какие сроки вы отвечаете (10 рабочих дней).
- Инциденты и утечки: уведомление Роскомнадзора за 24 и 72 часа.
- Уничтожение: когда и как удаляете данные, акт об уничтожении по приказу Роскомнадзора № 179.
- Внутренний контроль: раз в год и при изменениях сверяете обработку с документами и записью в реестре.
- Ответственность работников, если они есть.
Цели, данные и основания в положении должны совпадать с политикой на сайте и с записью в реестре операторов Роскомнадзора. Расхождение между тремя документами это первое, что видно при проверке. Например, если на сайте стоит счётчик, цель «анализ посещаемости» должна быть везде: что нужно для Яндекс Метрики по 152-ФЗ.
Что войдёт в ваше положение
Образец положения: фрагмент
Так выглядит начало положения, которое собирает наш сервис. Пример на условное ООО «Ромашка» с сайтом и формой заявки: в вашем документе будут ваши реквизиты, цели и сервисы.
Приложение № 1
УТВЕРЖДЕНО
приказом ООО «Ромашка» от 5 октября 2026 г. № ____
Положение об обработке и защите персональных данных
1. Общие положения
1.1. Оператор: Общество с ограниченной ответственностью «Ромашка» (ООО «Ромашка»); ИНН 7700000000; ОГРН 1027700000000; адрес: 101000, г. Москва, ул. Примерная, д. 1. Положение определяет порядок обработки и защиты персональных данных Оператором: для каждой цели обработки категории и перечень персональных данных, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения, а также процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации в сфере персональных данных (п. 2 ч. 1 ст. 18.1 Закона).
1.3. Положение обязательно для всех работников Оператора, допущенных к обработке персональных данных. Работник знакомится с ним под подпись до начала работы с персональными данными.
2. Цели обработки, персональные данные, сроки и уничтожение
2.1. Обработка обращений и заявок, обратная связь
Категории субъектов: посетители сайта romashka.example, направившие обращение или заявку.
Категории и перечень персональных данных: имя; адрес электронной почты; номер телефона; текст обращения.
Правовое основание: согласие Субъекта (п. 1 ч. 1 ст. 6 Закона).
Действия и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение; смешанная; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.
Сроки обработки и хранения: 1 год с даты последнего обращения или до отзыва согласия, если он поступит раньше.
Порядок уничтожения: удаление из информационных систем, почты и резервных копий в течение 30 дней после истечения срока или отзыва согласия, с составлением акта об уничтожении.
Дальше в документе: остальные цели, 3. Доступ к персональным данным, 4. Меры по обеспечению безопасности, 5. Запросы субъектов и Роскомнадзора, 6. Инциденты и утечки, 7. Уничтожение персональных данных, 8. Внутренний контроль, 9. Ответственность.
Целиком положение с вашими данными можно посмотреть бесплатно: собрать положение на свой ИНН. Скачать его в Word вместе с приказом, перечнем лиц и актом оценки вреда можно после оплаты пакета.
Как утвердить и ввести в действие
- Утвердите приказом. Тем же приказом обычно назначают ответственного за организацию обработки и утверждают перечень лиц с доступом. У ИП это приказ или решение самого предпринимателя.
- Ознакомьте работников под подпись до того, как они начнут работать с данными (п. 6 ч. 1 ст. 18.1 152-ФЗ, п. 8 ст. 86 ТК РФ). Удобнее всего один лист ознакомления на все документы.
- Храните вместе с остальными документами: приказом, перечнем лиц, актом оценки вреда. На бумаге или сканами.
- Обновляйте при изменениях. Новая цель, сервис, рассылка или первый работник: утверждаете новую редакцию и проверяете, не нужно ли внести изменения в уведомление Роскомнадзора.
Приказ об утверждении положения: формулировка
Отдельный приказ на одно положение не нужен, достаточно пункта в приказе об организации обработки персональных данных. В нашем пакете он звучит так:
Утвердить: Политику обработки персональных данных; Положение об обработке и защите персональных данных (приложение № 1); Перечень лиц, доступ которых к персональным данным необходим для выполнения ими служебных (трудовых) обязанностей (приложение № 2); форму листа ознакомления (приложение № 3).
Датируйте положение днём, когда его утвердили. Если данные обрабатываются давно, а документа не было, задним числом его оформлять не нужно: позднее оформление лучше подделки даты.
Частые ошибки
- Чужой образец без правок. В поиске первыми идут положения школ и заводов. В них чужие цели, сроки и должности: такой документ не описывает вашу обработку.
- Только про работников. Положение из кадрового справочника не упоминает клиентов и заявки с сайта. Для сайта с формой нужны свои цели.
- Нет сроков хранения и порядка уничтожения по каждой цели. Это прямое требование п. 2 ч. 1 ст. 18.1.
- Расходится с политикой и записью в реестре: в положении одни цели, на сайте другие, в уведомлении третьи.
- Работники не ознакомлены или подписей нет.
- Положение выложили на сайт вместо политики. Посетителю нужна политика, внутренние сроки и меры защиты публиковать незачем.
Положение на ваш ИНН за несколько минут: цели, данные и сроки подставятся по ответам о сайте, вместе с приказом, перечнем лиц, листом ознакомления и актом оценки вреда. Плюс политика, согласие и уведомление.
Посмотреть свои документы бесплатноЧастые вопросы
Положение и политика обработки персональных данных это одно и то же?
Нет. Политика публичная: её размещают на сайте, чтобы посетители знали, что вы делаете с их данными (ч. 2 ст. 18.1 152-ФЗ). Положение внутреннее: в нём порядок работы для вас и работников, сроки хранения, доступ, действия при запросе и утечке. Его не публикуют.
Обязательно ли положение для ИП?
По 152-ФЗ локальные акты обязаны издавать юридические лица (п. 2 ч. 1 ст. 18.1). Но если у ИП есть работники, порядок хранения и использования их персональных данных он устанавливает как работодатель (ст. 87 ТК РФ) и знакомит с ним работников под подпись (п. 8 ст. 86 ТК РФ). ИП без работников и самозанятым положение не обязательно, но им удобно показать принятые меры по запросу Роскомнадзора.
Нужно ли отдельное положение о персональных данных работников?
Не обязательно. Закон не задаёт ни название, ни число документов. Можно вести один документ, если в нём есть отдельная цель «кадровый и бухгалтерский учёт» с данными работников, сроками хранения и правилами доступа. Отдельное положение о работниках делают крупные компании с кадровой службой.
Как утвердить положение?
Приказом руководителя, у ИП приказом или решением самого предпринимателя. В приказе указывают дату, с которой положение действует, и ответственного. Работников знакомят с положением под подпись до того, как они начинают работать с данными.
Нужно ли размещать положение на сайте или подавать в Роскомнадзор?
Нет. На сайте публикуют политику, в Роскомнадзор подают уведомление. Положение хранят у себя и показывают по запросу: Роскомнадзор вправе запросить документы о принятых мерах (ч. 4 ст. 18.1), ответить нужно в течение 10 рабочих дней (ч. 4 ст. 20).
Как внести изменения в положение?
Новой редакцией, которую утверждают приказом, и повторным ознакомлением работников. Менять нужно, когда появляются новые цели обработки, сервисы, категории данных или меняются сроки хранения. Проверьте заодно политику на сайте и запись в реестре Роскомнадзора: цели в них должны совпадать.
Есть ли штраф за отсутствие положения?
Отдельного штрафа именно за отсутствие положения в КоАП нет. Обычно Роскомнадзор требует устранить нарушение в срок. Штраф грозит, если требование не выполнено или если нарушение обнаружилось вместе с другим, например при утечке.
Страница: pdnpaket.ru/guide/polozhenie. ПДн Пакет готовит политику, согласие и сведения для уведомления в Роскомнадзор по вашему ИНН.