«У нас есть положение о ПД, зачем еще и политика?»
Вопрос резонный. Закон не требует оформлять отдельно политику и положение, но логичнее принимать два документа. И все-таки политика оператора в отношении обработки персональных данных (ПД) и положение об обработке ПД — это разные документы. Сведем основные различия в таблицу.
Критерий | Политика оператора в отношении обработки ПД | Положение об обработке ПД |
Характер документа | Внешний документ, который оператор обязан опубликовать или обеспечить к нему неограниченный доступ иным способом (ч. 2 ст. 18.1 закона о ПД). | Локальный нормативный акт оператора, т.е. ее внутренний документ (что следует из п. 2 ч. 1 ст. 18.1 закона о ПД). |
Требования к содержанию | Не установлены нормативно, оператор вправе сам определить содержание (см. письмо РКН от 19.10.2021 № 08-71063). | Установлены п. 2 ч. 1 ст. 18.1 закона о ПД.
|
Требования к порядку принятия | Не установлены. Как правило, утверждает руководитель организации без каких-либо дополнительных согласований. | Проект положения, которое определяет в т.ч. порядок хранения и использования ПД работников, может потребовать согласования с профсоюзом (при его наличии, ст. 8, 87, 372 ТК). |
Требования к ознакомлению работников | Должны быть ознакомлены только те работники, которые непосредственно осуществляют обработку ПД (п. 6 ч. 1 ст. 18.1 закона о ПД). | С положением, которое определяет в т.ч. порядок хранения и использования ПД работников, должны быть ознакомлены они все, под подпись (ст. 22, 68, 86, 87 ТК). |
Что рекомендует РКН
Несмотря на то, что нормативно не установлены никакие требования к содержанию политики, есть рекомендации РКН. Ниже представлена пошаговая инструкция по ее разработке на основе этого документа.
Шаг 1: Подготовительный этап
1. Определение целей:
уточнить цели сбора и использования ПД;
обеспечить соответствие этих целей законодательству РФ (в частности, закону о ПД);
проверить, что обработка ПД не противоречит целям, указанным в учредительных документах компании.
2. Создание рабочей группы:
назначить ответственных лиц, например, юрист, HR-специалист, IT-отдел, представитель службы безопасности;
включить в группу сотрудника, ответственного за соблюдение требований законодательства о ПД.
Шаг 2: Сбор информации о ПД
1. Категории субъектов ПД.
Определите, какие категории физических лиц затрагиваются:
работники и бывшие работники;
кандидаты на должности;
клиенты (физические лица);
представители контрагентов;
иные категории (если применимо).
2. Перечень обрабатываемых ПД.
Для каждой категории субъектов определите, какие именно данные собираются:
Ф.И.О., дата рождения, паспортные данные, ИНН, СНИЛС, адрес, контактные данные и т.д.;
биометрические данные (при наличии) — например, отпечатки пальцев для системы контроля доступа;
специальные категории данных (например, информация о здоровье, расовой принадлежности и т.д.) — должны быть указаны отдельно.
Шаг 3: Оп
Дата публикации: 16.06.2025, 11:23
Комментарии
1Индивидуальные предприниматели не обязаны иметь политику в отношении обработки персональных данных, такая обязанность есть только для юридических лиц (см. подпункт 2 п. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ (ред. от 24.06.2025) «О персональных данных»).