Положение об обработке персональных данных — локальный нормативный акт, которым работодатель устанавливает порядок хранения и использования сведений о работниках; обязанность его принять закреплена в статье 87 ТК РФ. Утверждается положение приказом руководителя, работники знакомятся с ним под подпись по части 8 статьи 86 ТК РФ, документ действует с даты, указанной в приказе. Главное различие, от которого зависит весь комплект: политика в отношении обработки персональных данных по части 2 статьи 18.1 152-ФЗ адресована неограниченному кругу лиц и публикуется, а положение об обработке данных работников остаётся внутренним документом и доводится под подпись только до персонала. Два документа, два разных адресата, два разных порядка введения.
Разберём состав обязательного комплекта оператора, структуру положения по разделам и формулировки, из-за которых документ перестаёт работать на проверке. Покажем, в каких случаях согласие работника не требуется вовсе и почему одно согласие сразу на все цели обесценивает комплект. Отдельно разведём режим персональных данных и режим коммерческой тайны: основания, документы и последствия у них разные. Пошаговый порядок утверждения, размеры штрафов по статье 13.11 КоАП после поправок 2024 года, образцы приказа и листа ознакомления, ответы на частые вопросы — во второй половине статьи.
Политика, положение и правила обработки: какой документ вы обязаны утвердить
152-ФЗ не называет ни одного документа «положением об обработке персональных данных». Пункт 2 части 1 статьи 18.1 требует от оператора издать документ, определяющий политику в отношении обработки персональных данных, и локальные акты по вопросам обработки. Название внутреннего акта закон оставляет на усмотрение оператора: «Положение об обработке персональных данных работников», «Правила обработки персональных данных», «Положение о защите персональных данных» — все три варианта законны. Проверяется содержание, а не заголовок.
Требование ТК РФ жёстче и конкретнее. Статья 87 обязывает работодателя установить порядок хранения и использования персональных данных работников локальным нормативным актом. Часть 8 статьи 86 добавляет обязанность ознакомить работников и их представителей с этим документом под подпись. Отсюда практический вывод: публикация политики на сайте обязанность по ТК РФ не закрывает, а лист ознакомления с положением не заменяет публичную политику.
Минимальный комплект оператора-работодателя выглядит так.
| Документ | Основание | Публикуется | Ознакомление работников |
|---|---|---|---|
| Политика в отношении обработки персональных данных | ч. 2 ст. 18.1 152-ФЗ | Да, неограниченный доступ; при сборе данных через сайт — публикация на сайте | Не требуется законом |
| Положение об обработке персональных данных работников | ст. 87 и ч. 8 ст. 86 ТК РФ, п. 2 ч. 1 ст. 18.1 152-ФЗ | Нет | Под подпись, до подписания трудового договора |
| Приказ о назначении ответственного за организацию обработки персональных данных | п. 1 ч. 1 ст. 18.1 152-ФЗ | Нет | Ответственный — под подпись |
| Уведомление об обработке персональных данных в Роскомнадзор | ст. 22 152-ФЗ | Сведения попадают в открытый реестр операторов | Не требуется |
| Перечень обрабатываемых персональных данных и мест их хранения | п. 2 ч. 1 ст. 18.1 152-ФЗ | Нет | Как приложение к положению |
| Согласие на обработку персональных данных | ст. 9 152-ФЗ | Нет | Подписывает сам работник, форма утверждается положением |
Из таблицы видно, где чаще всего рвётся связка: компания публикует политику на сайте, считает обязанность закрытой и не принимает внутренний акт по статье 87 ТК РФ. Инспектор ГИТ спрашивает лист ознакомления, а предъявить нечего.
Формулировка «издать документ, определяющий политику» означает рамку, внутри которой порядок обработки вы описываете сами. Если порядок не описан под ваши процессы, в компании начинает действовать чужой типовой текст из шаблона, и работать по нему придётся годами. В практике Добыто мы сначала выписываем реальные маршруты кадровых документов и только потом садимся за текст положения.
Факт: суды проверяют по КЭДО связку из семи элементов, и положение — только первый из них. Дальше идут утверждённый перечень документов и категорий работников, соглашение с работником об использовании УНЭП, порядок и дата выдачи подписи, идентификация при подписании, фиксация действий в системе и фактическая способность работника ею пользоваться.
Что проверить до того, как садиться за текст положения
Положение описывает то, что в компании уже происходит. Пока не известно, какие данные собираются и где лежат, текст получится декоративным. Аудит перед написанием закрывает шесть вопросов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
- Какие данные собираются. Отдельно по работникам, кандидатам, бывшим работникам, родственникам работников (данные детей для вычетов и пособий), исполнителям по договорам ГПХ. Это разные категории субъектов с разными основаниями обработки.
- С какой целью. Цель формулируется предметно: «ведение кадрового учёта и исполнение трудового договора», а не «обеспечение деятельности организации». Обработка, несовместимая с заявленной целью, образует состав по части 1 статьи 13.11 КоАП.
- На каком основании. Большая часть кадровой обработки идёт без согласия — по пункту 2 части 1 статьи 6 152-ФЗ, то есть для исполнения договора, стороной которого является субъект, и по нормам ТК РФ. Согласие нужно там, где основания в законе нет.
- Где данные хранятся. Шкаф с личными делами, 1С:ЗУП, зарплатный проект банка, сервис подбора, система КЭДО, облачный диск с копиями паспортов. Последний пункт обычно и оказывается проблемой.
- Кому передаются. СФР, ФНС, банк, страховая компания, подрядчик по расчёту зарплаты, провайдер КЭДО. Каждая передача третьему лицу требует поручения на обработку по части 3 статьи 6 152-ФЗ.
- Сколько хранятся. Срок привязывается к цели и к архивным требованиям, а не назначается произвольно. Достижение цели обработки обязывает уничтожить данные по части 4 статьи 21 152-ФЗ.
Результат аудита превращается в два приложения к положению: перечень обрабатываемых данных и перечень мест хранения. Без них документ проверить невозможно, и на практике именно с этих приложений начинается запрос Роскомнадзора.
Отдельная обязанность, которую путают с положением, — уведомление о намерении обрабатывать персональные данные. С 1 сентября 2022 года перечень исключений из статьи 22 152-ФЗ фактически закрыт: обработка данных работников в рамках трудовых отношений больше не освобождает от подачи уведомления. Подаётся оно через портал персональных данных Роскомнадзора, там же публикуется реестр операторов, по которому можно проверить, значится ли ваша компания и какие цели обработки вы когда-то заявили. Расхождение заявленных целей с тем, что написано в положении, — частое основание для запроса.
Мария Ж, юрист со стажем более 20 лет: «Закон описывает рамку, а внутри неё порядок обработки вы определяете сами. Когда компания берёт шаблон положения целиком, она получает чужой порядок работы с данными и потом годами подгоняет под него живые процессы. Выпишите свои маршруты кадровых документов и сверьте с перечнем целей, которые вы указали в уведомлении Роскомнадзору.»
Структура положения об обработке персональных данных: что входит в каждый раздел
Обязательной формы у документа нет, но набор вопросов, на которые он должен отвечать, задан пунктом 2 части 1 статьи 18.1 152-ФЗ, статьями 86-90 ТК РФ и рекомендациями Роскомнадзора по составлению документа, определяющего политику обработки. Ниже — состав, который выдерживает проверку.
| Раздел положения | Что в нём должно быть | Норма |
|---|---|---|
| Общие положения | Термины по статье 3 152-ФЗ, круг субъектов, на кого распространяется акт, дата введения в действие | ст. 3 152-ФЗ |
| Цели и правовые основания обработки | Каждая цель отдельной строкой с указанием основания: норма ТК РФ, исполнение трудового договора или согласие | ст. 5, ст. 6 152-ФЗ |
| Перечень обрабатываемых данных | Состав данных по каждой категории субъектов; специальные категории и биометрия выделяются отдельно | ст. 10, ст. 11 152-ФЗ, ст. 86 ТК РФ |
| Порядок получения данных | Получение данных у самого работника; случаи получения у третьих лиц и порядок предварительного уведомления работника | п. 3 ч. 1 ст. 86 ТК РФ |
| Хранение и доступ | Места хранения бумажных и электронных данных, перечень должностей с доступом, порядок предоставления доступа | ст. 87 ТК РФ, ч. 5 ст. 18 152-ФЗ |
| Передача третьим лицам | Кому и на каком основании передаются данные, требование о поручении на обработку, запрет сообщать данные в коммерческих целях без согласия | ст. 88 ТК РФ, ч. 3 ст. 6 152-ФЗ |
| Права субъекта и порядок ответа на обращения | Порядок доступа работника к своим данным, срок рассмотрения обращения, порядок уточнения и уничтожения | ст. 14, ст. 20, ст. 21 152-ФЗ, ст. 89 ТК РФ |
| Меры защиты и внутренний контроль | Организационные и технические меры, периодичность внутреннего контроля, порядок действий при инциденте | ч. 1 ст. 18.1, ст. 19, ч. 3.1 ст. 21 152-ФЗ |
| Ответственность и приложения | Ответственность работников, формы согласия, обязательства о неразглашении, журнала учёта обращений | ст. 90 ТК РФ |
Три раздела из девяти на практике пишутся формально и потом не работают: перечень должностей с доступом, порядок ответа на обращения и порядок действий при инциденте. Часть 3.1 статьи 21 152-ФЗ отводит на уведомление Роскомнадзора об инциденте 24 часа с момента его выявления и ещё 72 часа на результаты внутреннего расследования. Если в положении не назначено, кто и по какому каналу подаёт уведомление, срок в сутки компания пропускает почти гарантированно.
Отдельная строка — место хранения электронных данных. Часть 5 статьи 18 152-ФЗ требует, чтобы базы данных граждан России располагались на территории РФ. Когда кадровые документы живут в электронном архиве системы КЭДО, в перечне мест хранения указывается и этот архив, и основание передачи данных оператору системы.
Важный нюанс из практики: перечень должностей с доступом пишут по подразделениям («работники отдела кадров», «работники бухгалтерии»), а Роскомнадзор и ГИТ читают его буквально — по должностям штатного расписания. Расхождение между формулировкой в положении и фактическими правами доступа в 1С:ЗУП или в системе КЭДО означает, что доступ предоставлен лицам, не указанным в локальном акте.
Согласие на обработку персональных данных: когда оно нужно и что в нём обязательно
Согласие работника требуется не на всю кадровую обработку, а только там, где нет другого основания. Оформление приёма, ведение табеля, расчёт зарплаты, передача сведений в СФР и ФНС, воинский учёт идут без согласия: основание — исполнение трудового договора и прямые требования закона. Согласие нужно для обработки, выходящей за эти рамки: публикация фотографии работника на сайте, передача данных в негосударственный пенсионный фонд, оформление добровольного медицинского страхования, проверка кандидата службой безопасности, размещение сведений о работнике в корпоративных рассылках и поздравлениях.
Часть 4 статьи 9 152-ФЗ перечисляет обязательные реквизиты письменного согласия: ФИО, адрес и реквизиты документа, удостоверяющего личность субъекта; сведения об операторе; цель обработки; перечень данных; перечень действий с данными и описание способов обработки; срок действия согласия и порядок его отзыва; подпись субъекта. Если обработку по поручению ведёт другое лицо, в согласии указываются его наименование и адрес.
Внимание: проверка кандидата по открытым источникам без подписанного согласия на обработку персональных данных неправомерна. Аутсорсинговые службы безопасности начинают работу только после того, как заказчик подтвердит наличие такого согласия, а сам заказчик к этому моменту должен значиться в реестре операторов Роскомнадзора.
Типовая ошибка — одно согласие на все цели сразу, подписанное в день приёма. Такое согласие не является конкретным и информированным, а отзыв работником одного пункта обрушивает всю конструкцию: непонятно, какие именно действия прекращаются. Рабочий вариант — базовое согласие на кадровую обработку и отдельные согласия под каждую дополнительную цель, каждое со своим сроком. Согласие на распространение данных, то есть на открытие доступа неограниченному кругу лиц, по статье 10.1 152-ФЗ оформляется только отдельным документом и в общее согласие включаться не может.
Соберите согласие на обработку персональных данных под свою цель
Отзыв согласия работник подаёт в произвольной письменной форме. По части 2 статьи 9 152-ФЗ обработка после отзыва продолжается только при наличии другого основания из частей 2-11 статьи 6: кадровые данные, которые компания обязана хранить по архивным требованиям, после отзыва не уничтожаются. Этот сценарий описывается в положении заранее, иначе кадровая служба будет решать вопрос в момент конфликта.
Мария Ж, HR-эксперт с 13-летним стажем: «Согласие, подписанное в день приёма пачкой вместе с остальными документами, работник почти никогда не читает, и на споре это видно сразу. Мы разносим базовое согласие на кадровую обработку и согласия под отдельные цели по разным датам и разным документам. Проверьте у себя: если все подписи в комплекте стоят одним числом, при отзыве одного согласия вы не сможете объяснить, какая именно обработка прекращается.»
Образцы документов для комплекта по персональным данным
Комплект собирается снизу вверх: сначала текст правил обработки, затем приказ об утверждении и лист ознакомления.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
Как утвердить положение и ознакомить работников
Утверждение положения об обработке персональных данных идёт по общему порядку принятия локального нормативного акта: приказ руководителя, учёт мнения представительного органа работников при его наличии по статье 372 ТК РФ, ознакомление под подпись. Дата начала действия указывается в приказе, а не в самом положении, иначе при следующей редакции документа возникнет расхождение дат.
Как утвердить положение об обработке персональных данных: пошаговая инструкция
- Шаг 1. Проведите аудит и подготовьте два приложения: перечень обрабатываемых данных по категориям субъектов и перечень мест их хранения с указанием ответственных подразделений.
- Шаг 2. Назначьте приказом ответственного за организацию обработки персональных данных по пункту 1 части 1 статьи 18.1 152-ФЗ. Это отдельный приказ, а не пункт в положении: ответственный подчиняется непосредственно руководителю и вправе запрашивать сведения у любого подразделения.
- Шаг 3. Составьте текст положения по разделам из таблицы выше, сверив перечень целей с теми, что заявлены в уведомлении Роскомнадзору.
- Шаг 4. Направьте проект в выборный орган первичной профсоюзной организации, если он в компании создан, и получите мотивированное мнение по статье 372 ТК РФ. При отсутствии такого органа шаг пропускается, но в приказе это фиксируется.
- Шаг 5. Издайте приказ об утверждении: укажите дату введения в действие, утратившую силу прежнюю редакцию, ответственного за ознакомление и срок ознакомления работников.
- Шаг 6. Ознакомьте работников под подпись по части 8 статьи 86 ТК РФ. Лист ознакомления оформляется как приложение к положению с графами «должность», «ФИО», «дата», «подпись», а не как запись в журнале в свободной форме.
- Шаг 7. Встройте ознакомление в процедуру приёма: по статье 68 ТК РФ работник знакомится с локальными актами до подписания трудового договора. Ознакомление задним числом после выхода на работу обесценивает подпись.
Электронное ознакомление: какая подпись подходит для положения
Статья 22.3 ТК РФ допускает ознакомление с локальными нормативными актами в электронном виде, и для подписи работника здесь достаточно ПЭП. Требование УКЭП действует для узкого перечня документов — трудового договора, договора о материальной ответственности, ученического договора, приказа о дисциплинарном взыскании и уведомления об изменении условий труда, где работник подписывает УНЭП или УКЭП. Положение об обработке персональных данных в этот перечень не входит.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Условие, которое теряют чаще всего: равнозначность ПЭП и УНЭП собственноручной подписи возникает не сама по себе, а из соглашения между участниками электронного взаимодействия. УКЭП равнозначна собственноручной в силу закона, для остальных видов подписи нужен подписанный документ об их использовании. Без соглашения лист электронного ознакомления в споре не работает.
Кейс из практики: спор об увольнении через систему КЭДО прошёл четыре инстанции. Работодатель разработал положение, утвердил перечень документов и категорий работников, принял порядок создания личного кабинета, получил письменное согласие работника за день до перехода на КЭДО. Первая инстанция и апелляция встали на его сторону. Кассационный суд акты отменил: в материалах не оказалось сведений о порядке идентификации работника при подписании. При новом рассмотрении работник выиграл — подпись выдали ему в день подписания заявления об увольнении, а фактически в системе за него работал другой человек, и это зафиксировала система самого работодателя.
Мария Ж, судебный эксперт по трудовому праву: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Откройте своё положение и проверьте, описан ли в нём порядок идентификации при подписании: если нет, спор вы проиграете при технически исправной подписи.»
Полезно знать: распечатка электронного документа остаётся копией, а не оригиналом. Чтобы лист электронного ознакомления что-то значил на бумаге, его заверяет оператор электронного документооборота, удостоверяющий центр, нотариус либо сама организация с отметкой о верности копии.
Персональные данные и коммерческая тайна: два режима, которые путают
Сведения о работниках регулярно вписывают в положение о коммерческой тайне и считают вопрос закрытым. Режимы разные по всем параметрам. Персональные данные защищает 152-ФЗ и глава 14 ТК РФ, обязанность возникает у оператора автоматически с началом обработки. Коммерческая тайна по 98-ФЗ возникает только после того, как компания ввела режим: утвердила перечень сведений, ограничила доступ, организовала учёт лиц с доступом, нанесла гриф на носители и включила условие о неразглашении в трудовые договоры. Пропущен хотя бы один элемент — режима нет, и защищать нечего.
Практическое следствие для кадровой службы: обязательство работника о неразглашении персональных данных коллег и обязательство о неразглашении коммерческой тайны — два разных документа с разными основаниями. Первое опирается на статью 90 ТК РФ, второе — на 98-ФЗ. Увольнение по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ возможно за разглашение и охраняемой законом тайны, и персональных данных другого работника, но доказывать придётся разные обстоятельства: в первом случае — введённый режим тайны, во втором — что работник получил доступ к данным в связи с исполнением трудовых обязанностей и был ознакомлен с положением.
В положении об обработке персональных данных это разводится одной формулировкой в разделе об ответственности: сведения о работниках относятся к конфиденциальной информации, режим которой установлен настоящим положением, а не режимом коммерческой тайны. Мы в Добыто просим клиентов сверять этот пункт с положением о коммерческой тайне, потому что два акта, написанные в разное время разными людьми, обычно противоречат друг другу в перечне защищаемых сведений.
Сколько стоит отсутствие положения: штрафы по статье 13.11 КоАП
Ответственность за нарушения в сфере персональных данных пересобрана законом от 30.11.2024 № 420-ФЗ, новые размеры санкций применяются с 30 мая 2025 года. Отдельные составы появились там, где раньше их не было: неуведомление Роскомнадзора о намерении обрабатывать данные и утечка с оборотным штрафом за повтор.
| Нарушение | Норма | Штраф на юридическое лицо |
|---|---|---|
| Обработка в случаях, не предусмотренных законом, либо несовместимая с заявленными целями | ч. 1 ст. 13.11 КоАП | 60 000 — 100 000 руб. |
| Обработка без письменного согласия, когда оно обязательно, или с согласием без обязательных реквизитов | ч. 2 ст. 13.11 КоАП | 300 000 — 700 000 руб.; повторно 1 000 000 — 1 500 000 руб. |
| Неопубликование политики обработки или необеспечение доступа к ней | ч. 3 ст. 13.11 КоАП | 60 000 — 100 000 руб. |
| Неподача уведомления о намерении обрабатывать персональные данные | ч. 12 ст. 13.11 КоАП | 100 000 — 300 000 руб. |
| Утечка данных от 1 000 до 10 000 субъектов | ч. 13 ст. 13.11 КоАП | 3 000 000 — 5 000 000 руб. |
| Повторная утечка персональных данных | ч. 14 ст. 13.11 КоАП | 1-3% годовой выручки, но не менее 20 000 000 и не более 500 000 000 руб. |
| Неуведомление Роскомнадзора об инциденте с персональными данными | ч. 15 ст. 13.11 КоАП | 1 000 000 — 3 000 000 руб. |
Разрыв между первыми тремя строками и последними тремя показывает, куда сместился риск: сам по себе неутверждённый локальный акт стоит десятки тысяч рублей, а его отсутствие в момент утечки превращается в миллионы, потому что оператор не может показать ни мер защиты, ни порядка реагирования. С 11 декабря 2024 года действует и статья 272.1 УК РФ — за незаконные сбор, передачу и использование персональных данных предусмотрено наказание вплоть до лишения свободы.
К административному штрафу добавляется трудовая часть. Работник, чьи данные обработаны без основания, вправе требовать компенсации морального вреда по статье 237 ТК РФ, а проверка ГИТ по его жалобе даёт отдельный состав по части 1 статьи 5.27 КоАП за нарушение трудового законодательства. Одно обращение в Роструд по факту передачи данных без согласия обычно запускает обе проверки сразу.
Когда отдельное положение можно не писать
Микропредприятие вправе по статье 309.2 ТК РФ отказаться от локальных нормативных актов, содержащих нормы трудового права, и перенести их условия в типовую форму трудового договора. На обязанность оператора это не влияет: пункт 2 части 1 статьи 18.1 152-ФЗ требует локальных актов по вопросам обработки от всех операторов независимо от численности. Отказ от положения означает, что порядок обработки придётся полностью изложить в договоре с каждым работником, и при первом же изменении процесса понадобится дополнительное соглашение с каждым.
Второй случай — группа компаний с единым центром кадрового администрирования. Общее положение, утверждённое головной организацией, для дочерних юридических лиц не действует: оператором является каждое юрлицо, и приказ об утверждении издаёт руководитель каждого из них. Текст при этом может быть идентичным, а вот перечень мест хранения и ответственный — свои.
Стоимость перевода кадровых документов и ознакомления в электронный вид
Утверждение положения денег не стоит, расходы появляются на ознакомлении и хранении: чем больше штат и чем он территориально разбросаннее, тем дороже обходится сбор подписей на бумаге. Тарифы сервиса КЭДО Добыто считаются от численности сотрудников.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 руб. за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 руб. за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 руб. в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по согласованию |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | при подключении |
| Получение УКЭП | через партнёров-удостоверяющих центров | по регламенту УЦ |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | один день на установку и настройку |
Итоговая сумма зависит от численности, выбранного набора видов подписи и необходимости интеграции с учётной системой. Актуальные условия по каждому тарифу и состав включённых функций опубликованы на странице тарифов ДОБЫТО КЭДО; переход между тарифами возможен в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных, поэтому электронный архив ознакомлений вносится в перечень мест хранения как штатное решение, а не как исключение, которое придётся обосновывать перед проверяющим.
Выводы
Обязанностей у работодателя две, и закрываются они разными документами: публичная политика по 152-ФЗ адресована клиентам и посетителям сайта, внутреннее положение по статье 87 ТК РФ — работникам, под подпись и до подписания трудового договора. Текст положения пишется по итогам аудита данных, а не наоборот, иначе перечни мест хранения и должностей с доступом разойдутся с фактическими правами в учётных системах. Согласие требуется не на всю кадровую обработку, а только там, где нет основания в законе, и дробится по целям. Санкции после поправок 2024 года сместились в сторону утечек, где отсутствие описанных мер и порядка реагирования стоит миллионы.
Мы в Добыто ведём этот комплект как часть внедрения КЭДО: положение, приказ об утверждении, соглашение об использовании подписи и лист ознакомления собираются в одном контуре, а сам факт доведения документа до каждого работника фиксируется системой с датой и видом подписи.
Частые вопросы
Нужно ли переутверждать положение при смене руководителя или юридического адреса?
Смена руководителя переутверждения не требует: локальный акт принят организацией, а не конкретным директором. Смена адреса или наименования требует внесения изменений, поскольку сведения об операторе входят в текст положения и в форму согласия. Порядок тот же: приказ о внесении изменений, повторное ознакомление работников под подпись, обновление сведений в реестре операторов Роскомнадзора по части 7 статьи 22 152-ФЗ — на это отводится 15 рабочих дней с даты изменения.
Можно ли объединить политику и положение об обработке в один документ?
Формально запрета нет, на практике объединение создаёт проблему. Политика публикуется в открытом доступе, а положение содержит перечень должностей с доступом к данным, места хранения и описание организационных мер защиты. Публикуя такой объединённый документ, компания раскрывает собственную схему защиты. Рабочая схема — короткая публичная политика со ссылкой на то, что детальный порядок установлен внутренним локальным актом.
Что делать с данными кандидатов, которых не взяли на работу?
Цель обработки достигнута в момент отказа, и по части 4 статьи 21 152-ФЗ данные подлежат уничтожению в срок, не превышающий 30 дней. Хранить резюме в кадровом резерве можно только при отдельном согласии кандидата на эту цель с указанным сроком. Хранение анкет отклонённых кандидатов «на всякий случай» — самая массовая обработка без основания, которую находят при проверке.
Сколько хранить подписанные согласия на обработку персональных данных?
Согласия хранятся 3 года после истечения срока их действия или после отзыва — по перечню типовых управленческих архивных документов, утверждённому приказом Росархива от 20.12.2019 № 236. Уничтожать согласие вместе с увольнением работника нельзя: именно им подтверждается законность обработки за прошлые периоды.
Нужно ли согласие на передачу данных работника в банк по зарплатному проекту?
Отдельное согласие не требуется, если выплата зарплаты на счёт предусмотрена трудовым договором или коллективным договором: основание — исполнение договора по пункту 2 части 1 статьи 6 152-ФЗ и статья 136 ТК РФ. Согласие понадобится, если банк дополнительно оформляет работнику продукты, не связанные с выплатой зарплаты, — это уже другая цель с другим оператором.
Кого назначать ответственным за организацию обработки персональных данных?
Закон должность не называет, требование одно: ответственный подчиняется непосредственно руководителю оператора и получает от него указания по обработке. На практике это руководитель кадровой службы или юрист — тот, кто видит все потоки данных, а не системный администратор, который отвечает за техническую защиту. Технические меры закрываются отдельно, ответственный за организацию обработки и ответственный за безопасность в информационных системах могут быть разными людьми.
Обязан ли индивидуальный предприниматель с работниками принимать положение?
Да. Оператором по статье 3 152-ФЗ признаётся в том числе физическое лицо, организующее обработку, а глава 14 ТК РФ распространяется на всех работодателей. Уведомление в Роскомнадзор ИП с работниками подаёт на общих основаниях, а перечень обязательных документов отличается от корпоративного только объёмом: приказ подписывает сам предприниматель.
