Конструктор внутренней политики обработки персональных данных для сотрудников

Внутренняя политика обработки персональных данных для сотрудников — это локальный нормативный акт организации, который устанавливает порядок сбора, хранения, использования и защиты персональных данных работников. Документ обязателен для всех работодателей, обрабатывающих персональные данные сотрудников, и требуется в соответствии с Федеральным законом № 152-ФЗ «О персональных данных». Политика применяется в кадровом делопроизводстве, при ведении трудовых договоров, личных дел, а также при передаче данных третьим лицам (например, в бухгалтерию или страховые компании). Она необходима для выполнения обязанности оператора по обеспечению конфиденциальности и безопасности персональных данных, а также для предотвращения административной ответственности по ст. 13.11 КоАП РФ. Документ нужен с момента начала обработки персональных данных работников и должен быть утверждён руководителем организации.

.. еще

ФЗ-152 «О персональных данных» Роскомнадзор Постановление Правительства РФ № 687 Приказ ФСТЭК № 21 ТК РФ гл. 14 (ст. 86–90)

8 октября 2026 года обновлён

4.6 / 5

Как создать документ

1. Выберите условия

Выберите условия в конструкторе, которые соответствуют вашему случаю

2. Заполните поля

Заполните поля прямо в конструкторе или после скачивания

3. Скачайте документ

Документ доступен для скачивания в удобных форматах DOC и PDF

Образец внутренней политики обработки данных

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ВНУТРЕННЯЯ ДЛЯ СОТРУДНИКОВ

Утверждена приказом ООО 'Пример' от 01.01.2026 № 1

Москва

01.01.2026

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика обработки персональных данных внутренняя для сотрудников (далее — Политика) определяет порядок обработки персональных данных работников и иных лиц в ООО 'Пример' (далее — Работодатель), а также меры по обеспечению безопасности персональных данных при их обработке.

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и иными нормативными правовыми актами Российской Федерации.

1.3. Политика распространяется на всех работников Работодателя, состоящих с ним в трудовых отношениях, а также на кандидатов на замещение вакантных должностей, лиц, ранее состоявших в трудовых отношениях с Работодателем (уволенных работников), и членов семьи работника — в части, необходимой для предоставления предусмотренных законодательством льгот и гарантий.

1.4. В Политике используются следующие основные понятия:

персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
оператор — Работодатель, самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных, а также определяющий цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
субъект персональных данных — работник, кандидат, уволенный работник, член семьи работника, чьи персональные данные обрабатываются Работодателем;
конфиденциальность персональных данных — обязательное для соблюдения Работодателем или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания;
обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.5. Иные понятия, используемые в Политике, применяются в значениях, определённых законодательством Российской Федерации.

2. ПРИНЦИПЫ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Обработка персональных данных осуществляется Работодателем на основе следующих принципов:

законность и справедливость целей и способов обработки персональных данных;
ограничение обработки персональных данных достижением конкретных, заранее определённых и законных целей;
недопустимость обработки персональных данных, несовместимой с целями их сбора;
соответствие содержания и объёма обрабатываемых персональных данных заявленным целям обработки;
точность, достаточность и актуальность персональных данных по отношению к целям обработки;
хранение персональных данных не дольше, чем этого требуют цели их обработки.

2.2. Персональные данные обрабатываются Работодателем исключительно в следующих целях:

оформление трудовых отношений, заключение, изменение и прекращение трудовых договоров, ведение кадрового учёта;
расчёт и выплата заработной платы, иных выплат, удержание налога на доходы физических лиц и страховых взносов;
предоставление работникам предусмотренных законодательством льгот, гарантий и компенсаций;
обеспечение пропускного режима, контроля доступа на территорию и в помещения Работодателя, ведение видеонаблюдения;
обеспечение безопасности работников и сохранности имущества Работодателя;
исполнение обязанностей, возложенных на Работодателя законодательством Российской Федерации, в том числе архивное хранение документов.

2.3. Состав обрабатываемых персональных данных по каждой цели определяется в соответствии с разделом 4 Политики. Обработка персональных данных в целях, не предусмотренных пунктом 2.2 Политики, не допускается.

3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Правовыми основаниями обработки персональных данных Работодателем являются:

Трудовой кодекс Российской Федерации и иные нормативные правовые акты, содержащие нормы трудового права, — в части обработки персональных данных, необходимой для исполнения трудового договора и ведения кадрового учёта;
Налоговый кодекс Российской Федерации и законодательство о страховых взносах — в части обработки персональных данных, необходимой для расчёта и уплаты налогов и страховых взносов;
законодательство об архивном деле — в части хранения документов, содержащих персональные данные;
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — в части общих требований к обработке персональных данных;
согласие субъекта персональных данных — в случаях, когда обработка персональных данных не может быть осуществлена на иных правовых основаниях.

3.2. Обработка персональных данных работников в целях, указанных в пункте 2.2 Политики, осуществляется Работодателем без получения согласия субъекта персональных данных, если обработка необходима для исполнения трудового договора и (или) исполнения возложенных на Работодателя законодательством обязанностей.

3.3. Согласие субъекта персональных данных требуется в следующих случаях:

обработка специальных категорий персональных данных, касающихся состояния здоровья, — за исключением случаев, когда обработка осуществляется в соответствии с трудовым законодательством и законодательством об обязательных видах страхования;
обработка биометрических персональных данных — за исключением случаев, когда обработка осуществляется в связи с осуществлением правосудия и исполнением судебных актов;
передача персональных данных третьим лицам в случаях, не предусмотренных законодательством Российской Федерации;
обработка персональных данных в целях, не связанных с исполнением трудового договора.

3.4. Порядок получения и отзыва согласия на обработку персональных данных установлен разделом 5 Политики.

4. КАТЕГОРИИ СУБЪЕКТОВ И СОСТАВ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Работодатель обрабатывает персональные данные следующих категорий субъектов персональных данных:

кандидаты на замещение вакантных должностей;
работники, состоящие в трудовых отношениях с Работодателем;
уволенные работники;
члены семьи работника — в объёме, необходимом для предоставления предусмотренных законодательством льгот и гарантий.

4.2. В отношении кандидатов на замещение вакантных должностей обрабатываются следующие персональные данные: фамилия, имя, отчество; контактные данные (телефон, адрес электронной почты); сведения об образовании; сведения о трудовой деятельности и опыте работы; иные сведения, добровольно предоставленные кандидатом.

4.3. В отношении работников обрабатываются следующие персональные данные: фамилия, имя, отчество; дата и место рождения; паспортные данные; адрес регистрации и фактического проживания; контактные данные; идентификационный номер налогоплательщика; страховой номер индивидуального лицевого счёта; сведения об образовании; сведения о трудовой деятельности; сведения о семейном положении и составе семьи; сведения о воинском учёте; реквизиты банковского счёта для перечисления заработной платы; сведения о доходах и удержаниях.

4.4. В отношении уволенных работников обрабатываются персональные данные, необходимые для исполнения требований законодательства об архивном деле, пенсионного и налогового законодательства, а также для рассмотрения возможных споров.

4.5. Работодатель обрабатывает специальные категории персональных данных — сведения о состоянии здоровья работников — в объёме, необходимом для предоставления предусмотренных законодательством льгот, гарантий и компенсаций, оформления листков нетрудоспособности, проведения обязательных медицинских осмотров и диспансеризации.

4.6. Работодатель обрабатывает биометрические персональные данные — изображение работника, получаемое с использованием систем видеонаблюдения и систем контроля доступа, — в объёме, необходимом для обеспечения пропускного режима и безопасности.

4.7. Обработка персональных данных, не предусмотренных настоящим разделом, допускается только при наличии соответствующего правового основания и, при необходимости, согласия субъекта персональных данных.

5. ПОРЯДОК ПОЛУЧЕНИЯ СОГЛАСИЯ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Согласие на обработку персональных данных оформляется в письменной форме в случаях, предусмотренных пунктом 3.3 Политики, а также в иных случаях, когда этого требует законодательство Российской Федерации.

5.2. Согласие на обработку персональных данных должно содержать:

фамилию, имя, отчество, адрес субъекта персональных данных, реквизиты основного документа, удостоверяющего его личность;
наименование и адрес Работодателя, получающего согласие;
цель обработки персональных данных;
перечень персональных данных, на обработку которых даётся согласие;
перечень действий с персональными данными, на совершение которых даётся согласие, общее описание используемых способов обработки;
срок, в течение которого действует согласие, а также способ его отзыва;
подпись субъекта персональных данных и дату подписания.

5.3. Согласие на обработку персональных данных оформляется в случаях, предусмотренных пунктом 3.3 Политики. Согласие на обработку специальных категорий и биометрических персональных данных оформляется отдельно от иных согласий.

5.4. Субъект персональных данных вправе в любое время отозвать своё согласие на обработку персональных данных путём подачи Работодателю письменного заявления.

5.5. При отзыве согласия Работодатель прекращает обработку персональных данных и уничтожает их в порядке, установленном разделом 6 Политики, за исключением случаев, когда обработка персональных данных может быть продолжена на иных правовых основаниях, предусмотренных пунктом 3.1 Политики.

5.6. Отзыв согласия на обработку персональных данных не является основанием для прекращения трудовых отношений и не освобождает работника от исполнения обязанностей, предусмотренных трудовым законодательством.

6. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Обработка персональных данных осуществляется Работодателем как с использованием средств автоматизации, так и без использования таких средств.

6.2. Персональные данные хранятся в кадровых документах, а также в информационных системах персональных данных, используемых Работодателем для ведения кадрового учёта, расчёта заработной платы и обеспечения пропускного режима.

6.3. Сроки обработки и хранения персональных данных определяются целями их обработки и требованиями законодательства Российской Федерации. Персональные данные хранятся не дольше, чем этого требуют цели их обработки, если иной срок не установлен законодательством.

6.4. Персональные данные подлежат уничтожению по достижении целей обработки, при отзыве согласия субъекта персональных данных, а также по истечении сроков хранения, установленных законодательством. Уничтожение персональных данных оформляется актом.

6.5. Передача персональных данных третьим лицам осуществляется в объёме, необходимом для достижения целей обработки, и только в случаях, предусмотренных законодательством Российской Федерации, либо при наличии согласия субъекта персональных данных. Персональные данные могут передаваться в налоговые органы, Фонд пенсионного и социального страхования Российской Федерации, кредитные организации, медицинские учреждения и иные лица в предусмотренных законом случаях.

6.6. Передача персональных данных третьим лицам оформляется с соблюдением требований конфиденциальности и безопасности. Лица, получающие персональные данные, обязаны соблюдать режим конфиденциальности.

6.7. Трансграничная передача персональных данных осуществляется только при соблюдении требований законодательства Российской Федерации о персональных данных и при наличии надлежащего правового основания.

7. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Работодатель принимает правовые, организационные и технические меры для обеспечения безопасности персональных данных при их обработке.

7.2. К организационным мерам относятся:

назначение ответственного за организацию обработки персональных данных;
разграничение прав доступа работников к персональным данным в соответствии с их должностными обязанностями;
учёт носителей персональных данных и контроль их использования;
ознакомление работников с Политикой и локальными актами по вопросам обработки персональных данных;
обучение работников правилам обработки и защиты персональных данных;
порядок реагирования на инциденты, связанные с нарушением безопасности персональных данных.

7.3. К техническим мерам относятся:

парольная защита и шифрование персональных данных при их передаче и хранении;
антивирусная защита и обновление программного обеспечения;
резервное копирование персональных данных;
логирование доступа к персональным данным;
ограничение доступа к информационным системам персональных данных.

7.4. Работодатель проводит оценку вреда, который может быть причинён субъектам персональных данных в случае нарушения законодательства о персональных данных, и учитывает её результаты при выборе мер по обеспечению безопасности.

7.5. Работники, имеющие доступ к персональным данным, обязаны соблюдать конфиденциальность персональных данных и не разглашать их третьим лицам без надлежащего основания.

8. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПОРЯДОК ИХ РЕАЛИЗАЦИИ

8.1. Субъект персональных данных имеет право:

получать информацию, касающуюся обработки его персональных данных;
требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отозвать согласие на обработку персональных данных;
обжаловать действия или бездействие Работодателя в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

8.2. Для реализации своих прав субъект персональных данных подаёт Работодателю письменный запрос. Запрос должен содержать сведения, позволяющие идентифицировать субъекта персональных данных, и подпись заявителя.

8.3. Работодатель рассматривает запрос субъекта персональных данных и предоставляет ответ в течение тридцати дней с даты получения запроса, если иной срок не установлен законодательством Российской Федерации.

8.4. Работник обязан сообщать Работодателю достоверные персональные данные и своевременно уведомлять об их изменении.

8.5. Запросы субъектов персональных данных направляются по адресу: г. Москва, ул. Примерная, д. 1, офис 1, либо на адрес электронной почты: info@example.ru. Ответственный за организацию обработки персональных данных: Начальник отдела кадров, Иванов Иван Иванович.

9. ОТВЕТСТВЕННОСТЬ И ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

9.1. Работники, виновные в нарушении требований Политики, несут дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность в порядке, установленном законодательством Российской Федерации.

9.2. Работодатель несёт ответственность за нарушение требований законодательства о персональных данных в порядке, установленном законодательством Российской Федерации.

9.3. Ознакомление работников с Политикой осуществляется под подпись. Лист ознакомления хранится у Работодателя.

9.4. Изменения и дополнения в Политику вносятся приказом Работодателя. Изменённая Политика доводится до сведения работников в порядке, установленном пунктом 9.3 Политики.

9.5. Политика действует до её отмены или замены новой редакцией. Политика размещается в месте, доступном для ознакомления работников, а также на официальном сайте Работодателя при его наличии. Работодатель обеспечивает неограниченный доступ к Политике в соответствии с законодательством Российской Федерации о персональных данных.

9.6. Ответственным за организацию обработки персональных данных является Начальник отдела кадров Иванов Иван Иванович. Контактные данные для обращений по вопросам обработки персональных данных: г. Москва, ул. Примерная, д. 1, офис 1, info@example.ru.

Демонстрационный вариант документа не является универсальным и не соответствует каждому конкретному сценарию.
Воспользуйтесь конструктором для составления документа.

Ответьте на несколько вопросов и получите документ под вашу ситуацию

Выберите условия и нажмите «Создать документ»

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ВНУТРЕННЯЯ ДЛЯ СОТРУДНИКОВ

Утверждена приказом от №

ОБЩИЕ ПОЛОЖЕНИЯ

На какие категории субъектов распространяется Политика?

Какой нормативный каркас указан в Политике?

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика обработки персональных данных внутренняя для сотрудников (далее — Политика) определяет порядок обработки персональных данных работников и иных лиц в (далее — Работодатель), а также меры по обеспечению безопасности персональных данных при их обработке.

1.4. В Политике используются следующие основные понятия:

персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
оператор — Работодатель, самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных, а также определяющий цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
субъект персональных данных — работник, кандидат, уволенный работник, член семьи работника, чьи персональные данные обрабатываются Работодателем;
конфиденциальность персональных данных — обязательное для соблюдения Работодателем или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания;
обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

В документе

Оператор обязан определить сферу применения политики, используемые понятия и нормативную базу, чтобы документ однозначно применялся к работникам и иным субъектам (ст. 18.1 ФЗ-152, гл. 14 ТК РФ). Без общих положений невозможно установить, на кого и в каких ситуациях распространяется политика.

Раздел

Раздел должен закреплять: цели и сферу действия политики; круг субъектов (работники, кандидаты, уволенные сотрудники); перечень нормативных актов, в соответствии с которыми она разработана (ФЗ-152, гл. 14 ТК РФ, Постановление Правительства РФ № 687, Приказ ФСТЭК № 21); основные понятия (персональные данные, обработка, оператор, субъект ПДн, конфиденциальность, обезличивание, уничтожение и др.).

Риски если отсутствует

Отсутствие общих положений затрудняет однозначное толкование политики и её применение к конкретным ситуациям.

ПРИНЦИПЫ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Какой набор целей обработки персональных данных закреплён?

Как сформулировано правило о недопустимости иных целей?

2. ПРИНЦИПЫ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Обработка персональных данных осуществляется Работодателем на основе следующих принципов:

законность и справедливость целей и способов обработки персональных данных;
ограничение обработки персональных данных достижением конкретных, заранее определённых и законных целей;
недопустимость обработки персональных данных, несовместимой с целями их сбора;
соответствие содержания и объёма обрабатываемых персональных данных заявленным целям обработки;
точность, достаточность и актуальность персональных данных по отношению к целям обработки;
хранение персональных данных не дольше, чем этого требуют цели их обработки.

2.2. Персональные данные обрабатываются Работодателем исключительно в следующих целях:

оформление трудовых отношений, заключение, изменение и прекращение трудовых договоров, ведение кадрового учёта;
расчёт и выплата заработной платы, иных выплат, удержание налога на доходы физических лиц и страховых взносов;
предоставление работникам предусмотренных законодательством льгот, гарантий и компенсаций;
обеспечение пропускного режима, контроля доступа на территорию и в помещения Работодателя, ведение видеонаблюдения;
обеспечение безопасности работников и сохранности имущества Работодателя;
исполнение обязанностей, возложенных на Работодателя законодательством Российской Федерации, в том числе архивное хранение документов.

В документе

Обработка персональных данных допускается только для конкретных, заранее заявленных целей и в соответствии с принципами законности, целевого ограничения и достаточности (ст. 5 ФЗ-152). Раздел фиксирует эти принципы и исчерпывающий перечень целей, что исключает обработку «на всякий случай».

Раздел

Раздел должен перечислять принципы обработки (законность, целевое ограничение, соответствие целей, точность и достаточность данных, хранение не дольше необходимого) и конкретные цели обработки ПДн работников: кадровый учёт, оформление трудовых отношений, расчёт зарплаты и налогов, предоставление льгот и гарантий, пропускной режим и видеонаблюдение, обеспечение безопасности, архивное хранение; а также соответствие каждой цели составу обрабатываемых данных.

Риски если отсутствует

Нарушение принципа целевого ограничения и риск предписаний Роскомнадзора.

ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

В каких случаях требуется согласие субъекта?

Как определяется приоритет правовых оснований?

3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Правовыми основаниями обработки персональных данных Работодателем являются:

Трудовой кодекс Российской Федерации и иные нормативные правовые акты, содержащие нормы трудового права, — в части обработки персональных данных, необходимой для исполнения трудового договора и ведения кадрового учёта;
Налоговый кодекс Российской Федерации и законодательство о страховых взносах — в части обработки персональных данных, необходимой для расчёта и уплаты налогов и страховых взносов;
законодательство об архивном деле — в части хранения документов, содержащих персональные данные;
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — в части общих требований к обработке персональных данных;
согласие субъекта персональных данных — в случаях, когда обработка персональных данных не может быть осуществлена на иных правовых основаниях.

3.3. Согласие субъекта персональных данных требуется в следующих случаях:

обработка специальных категорий персональных данных, касающихся состояния здоровья, — за исключением случаев, когда обработка осуществляется в соответствии с трудовым законодательством и законодательством об обязательных видах страхования;
обработка биометрических персональных данных — за исключением случаев, когда обработка осуществляется в связи с осуществлением правосудия и исполнением судебных актов;
передача персональных данных третьим лицам в случаях, не предусмотренных законодательством Российской Федерации;
обработка персональных данных в целях, не связанных с исполнением трудового договора.

3.4. Порядок получения и отзыва согласия на обработку персональных данных установлен разделом 5 Политики.

В документе

Обработка персональных данных должна иметь правовое основание; для работников таким основанием выступает исполнение трудового договора и требования федеральных законов (ст. 6 ФЗ-152, ст. 86 ТК РФ). Раздел разграничивает обработку без согласия и случаи, когда согласие обязательно.

Раздел

Раздел должен указывать основания обработки: ТК РФ (исполнение трудового договора), ФЗ-152, иные федеральные законы (НК РФ, ФЗ о страховых взносах, ФЗ об архивном деле и др.), согласие субъекта ПДн; а также разграничивать обработку без согласия (в рамках трудовых отношений) и обработку, требующую согласия (например, биометрические данные, передача третьим лицам в отдельных случаях).

Риски если отсутствует

Обработка ПДн без правового основания влечёт административную ответственность и иски о компенсации морального вреда.

КАТЕГОРИИ СУБЪЕКТОВ И СОСТАВ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

Какой состав данных кандидатов обрабатывается?

Какой состав данных работников обрабатывается?

Обрабатываются ли специальные категории персональных данных?

Обрабатываются ли биометрические персональные данные?

4. КАТЕГОРИИ СУБЪЕКТОВ И СОСТАВ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Работодатель обрабатывает персональные данные следующих категорий субъектов персональных данных:

кандидаты на замещение вакантных должностей;
работники, состоящие в трудовых отношениях с Работодателем;
уволенные работники;
члены семьи работника — в объёме, необходимом для предоставления предусмотренных законодательством льгот и гарантий.

В документе

Оператор обязан обрабатывать только те данные, которые соответствуют целям и относятся к определённым категориям субъектов; для специальных и биометрических данных установлены повышенные требования (ст. 5, 10, 11 ФЗ-152). Раздел фиксирует исчерпывающий состав данных и категории субъектов.

Раздел

Раздел должен определять категории субъектов (кандидаты, работники, уволенные работники, члены семьи работника при предоставлении льгот) и состав ПДн по каждой категории: ФИО, паспортные данные, СНИЛС, ИНН, адрес, сведения об образовании и трудовой деятельности, о состоянии здоровья (специальная категория), биометрические данные (при пропускном режиме), данные о доходах; с указанием на специальные и биометрические ПДн.

Риски если отсутствует

Обработка данных, не предусмотренных политикой, создаёт риск нарушения принципа соответствия целям обработки.

ПОРЯДОК ПОЛУЧЕНИЯ СОГЛАСИЯ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

В какой форме оформляется согласие на обработку персональных данных?

Оформляются ли отдельные согласия на специальные категории и биометрию?

Каковы последствия отзыва согласия?

5. ПОРЯДОК ПОЛУЧЕНИЯ СОГЛАСИЯ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.2. Согласие на обработку персональных данных должно содержать:

фамилию, имя, отчество, адрес субъекта персональных данных, реквизиты основного документа, удостоверяющего его личность;
наименование и адрес Работодателя, получающего согласие;
цель обработки персональных данных;
перечень персональных данных, на обработку которых даётся согласие;
перечень действий с персональными данными, на совершение которых даётся согласие, общее описание используемых способов обработки;
срок, в течение которого действует согласие, а также способ его отзыва;
подпись субъекта персональных данных и дату подписания.

В документе

Согласие субъекта — самостоятельное правовое основание обработки, и закон предъявляет требования к его содержанию и форме (ст. 9 ФЗ-152). Раздел устанавливает порядок получения и отзыва согласия, что снижает риск обработки без надлежащего основания.

Раздел

Раздел должен описывать: случаи, когда требуется письменное согласие; требования к содержанию согласия (перечень данных, цели, перечень действий, срок, порядок отзыва); порядок получения согласия при приёме на работу; порядок отзыва согласия и его последствия; особенности согласия на обработку специальных категорий и биометрических ПДн.

Риски если отсутствует

Обработка ПДн без надлежащего согласия влечёт штрафы и иски о компенсации морального вреда.

ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Как определяются сроки хранения персональных данных?

Кому передаются персональные данные третьим лицам?

Осуществляется ли трансграничная передача персональных данных?

В каких информационных системах обрабатываются персональные данные?

6. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

В документе

Оператор обязан регламентировать порядок и условия обработки, хранения, уничтожения и передачи данных, обеспечивая конфиденциальность и соблюдение сроков (ст. 5, 7 ФЗ-152, Постановление Правительства РФ № 687). Без такого регламента невозможно доказать соблюдение закона при проверках.

Раздел

Раздел должен определять: способы обработки (с использованием средств автоматизации и без); места хранения (кадровые документы, информационные системы); сроки обработки и хранения по категориям данных и целям; порядок уничтожения ПДн по достижении целей или отзыве согласия; порядок передачи ПДн третьим лицам (ФНС, СФР, банк, медицинские учреждения) и её оформление; запрет на трансграничную передачу без соблюдения требований закона.

Риски если отсутствует

Отсутствие регламентации порядка обработки создаёт риск утечек и нарушений сроков хранения.

МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Какой состав мер по обеспечению безопасности закреплён?

Как регулируется реагирование на инциденты?

Как организовано разграничение доступа к персональным данным?

7. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.2. К организационным мерам относятся:

назначение ответственного за организацию обработки персональных данных;
разграничение прав доступа работников к персональным данным в соответствии с их должностными обязанностями;
учёт носителей персональных данных и контроль их использования;
ознакомление работников с Политикой и локальными актами по вопросам обработки персональных данных;
обучение работников правилам обработки и защиты персональных данных;
порядок реагирования на инциденты, связанные с нарушением безопасности персональных данных.

7.3. К техническим мерам относятся:

парольная защита и шифрование персональных данных при их передаче и хранении;
антивирусная защита и обновление программного обеспечения;
резервное копирование персональных данных;
логирование доступа к персональным данным;
ограничение доступа к информационным системам персональных данных.

В документе

Оператор обязан принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа и утечек (ст. 19 ФЗ-152, Приказ ФСТЭК № 21). Раздел закрепляет конкретный комплекс таких мер.

Раздел

Раздел должен перечислять меры: назначение ответственного за организацию обработки ПДн; разграничение прав доступа; учёт носителей; шифрование и парольную защиту; антивирусную защиту; резервное копирование; логирование доступа; обучение работников; порядок реагирования на инциденты; оценку вреда субъектам ПДн.

Риски если отсутствует

Отсутствие мер по обеспечению безопасности повышает риск утечек и ответственности по ст. 13.11 КоАП РФ.

ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПОРЯДОК ИХ РЕАЛИЗАЦИИ

Какой срок ответа на запрос субъекта персональных данных?

Какие каналы подачи запросов субъектов предусмотрены?

Какой объём прав субъекта закреплён?

8. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПОРЯДОК ИХ РЕАЛИЗАЦИИ

8.1. Субъект персональных данных имеет право:

получать информацию, касающуюся обработки его персональных данных;
требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отозвать согласие на обработку персональных данных;
обжаловать действия или бездействие Работодателя в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

8.5. Запросы субъектов персональных данных направляются по адресу: , либо на адрес электронной почты: . Ответственный за организацию обработки персональных данных: , .

В документе

Работник как субъект персональных данных имеет право на доступ к своим данным, их уточнение, блокирование и уничтожение, а также на обжалование действий работодателя (ст. 14 ФЗ-152, ст. 89 ТК РФ). Раздел обеспечивает реализацию этих прав и снижает риск жалоб и споров.

Раздел

Раздел должен закреплять права работника (доступ к своим данным, уточнение, блокирование, уничтожение, отзыв согласия, обжалование), порядок обращения работника к работодателю (письменный запрос), сроки рассмотрения (30 дней) и порядок предоставления ответа, а также обязанности работника сообщать достоверные данные и своевременно их обновлять.

Риски если отсутствует

Нарушение прав субъектов ПДн влечёт жалобы в Роскомнадзор и судебные споры.

ОТВЕТСТВЕННОСТЬ И ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

Как обеспечивается доступность Политики?

Как назначается ответственный за организацию обработки персональных данных?

Как вносятся изменения в Политику?

9. ОТВЕТСТВЕННОСТЬ И ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

9.6. Ответственным за организацию обработки персональных данных является . Контактные данные для обращений по вопросам обработки персональных данных: , .

В документе

Оператор обязан ознакомить работников с политикой и обеспечить её исполнение; нарушение требований влечёт дисциплинарную и иную ответственность (ст. 18.1 ФЗ-152, ст. 86, 90 ТК РФ). Раздел делает политику исполнимым документом.

Раздел

Раздел должен устанавливать ответственность работников и работодателя за нарушение политики; порядок ознакомления работников под подпись; порядок внесения изменений и дополнений; срок действия политики; порядок опубликования или обеспечения неограниченного доступа к политике.

Риски если отсутствует

Отсутствие порядка ознакомления и ответственности снижает исполнимость политики.

На основе ваших данных система автоматически сформирует корректный и готовый к использованию документ.

Все политики обработки данных

Частые вопросы

Что такое внутренняя политика обработки персональных данных сотрудников?

Это локальный нормативный акт организации, который устанавливает порядок сбора, хранения, использования и защиты персональных данных работников. Он обязателен для всех компаний, обрабатывающих данные сотрудников.

Для чего нужна такая политика?

Она требуется по закону (ст. 18.1 ФЗ-152) и позволяет организации законно обрабатывать персональные данные работников, а также защищает от штрафов за нарушение законодательства о персональных данных.

Какие разделы обязательно должны быть в политике?

Обязательны: общие положения (цели и сроки хранения), принципы обработки, права и обязанности сторон, меры безопасности, порядок передачи третьим лицам, ответственность и заключительные положения.

Чем внутренняя политика для сотрудников отличается от политики для клиентов или сайта?

Внутренняя политика регулирует обработку данных работников в рамках трудовых отношений, а политика для клиентов — обработку данных пользователей сайта или покупателей. У них разные правовые основания и перечни данных.

Нужно ли заверять политику у нотариуса или регистрировать в госорганах?

Нет, политика утверждается руководителем организации (приказом или грифом на документе) и не требует нотариального заверения или регистрации в Роскомнадзоре.

Обязательно ли ставить печать организации на политике?

Нет, печать не обязательна, если организация отказалась от её использования (ст. 2 ФЗ-82). Однако если устав требует печати, её лучше поставить.

Нужно ли получать письменное согласие сотрудника на обработку его данных, если есть политика?

В большинстве случаев нет, так как обработка данных в рамках трудовых отношений осуществляется на основании закона (ТК РФ и ФЗ-152). Однако для биометрических данных (например, отпечатков пальцев) требуется отдельное письменное согласие.

Кто должен подписывать политику?

Политика утверждается руководителем организации (директором) или уполномоченным лицом. Подпись ставится на грифе утверждения или в отдельном приказе.

Как правильно ознакомить сотрудников с политикой?

Работники должны быть ознакомлены под подпись — в личном деле, в журнале ознакомления или через корпоративную систему с электронной подписью. Без этого политика не считается доведённой до сведения.

Как долго нужно хранить персональные данные сотрудников после увольнения?

Стандартный срок — 75 лет для архивного хранения в соответствии с законодательством. Для данных, не подлежащих архивному хранению, срок может быть сокращён до 5 лет.

Какие типичные ошибки допускают при составлении политики?

Частые ошибки: отсутствие раздела о мерах защиты, неопределённые сроки хранения, отсутствие порядка передачи данных третьим лицам и неправильное оформление утверждения документа.

Что будет, если не утвердить политику обработки данных?

Отсутствие политики является самостоятельным административным правонарушением по ст. 13.11 КоАП РФ, за которое предусмотрен штраф до 100 000 рублей для организации.

Можно ли изменить политику после её утверждения?

Да, изменения вносятся приказом руководителя. Политика может пересматриваться по мере необходимости (например, при изменении законодательства) или ежегодно.

Собираем ваш документ

Конструктор обновит документ под ваши ответы. После чего вы сможете проверить, заполнить и скачать его в нужном формате.

Думаю

вы в очереди

Документ обновляется (~1 мин). Можно продолжить настройку, мы сообщим, когда всё будет готово.

Готово!

Документ обновлён с учётом ваших параметров.

Не получилось обновить

Что-то пошло не так. Обновите страницу и попробуйте ещё раз — обычно это помогает.