Положение о защите персональных данных

1. Что такое Положение о защите персональных данных и зачем оно нужно

Положение о защите персональных данных — это локальный акт оператора, в котором закрепляются внутренние правила обработки и защиты персональных данных. По смыслу ст. 18.1 и 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» оператор обязан принимать локальные акты по вопросам обработки персональных данных, организовывать внутренний контроль и применять правовые, организационные и технические меры защиты. Для работодателя к этому добавляются специальные требования ст. 86–90 Трудового кодекса РФ.

Если говорить без сложных юридических формул, Положение — это рабочая инструкция, которая отвечает на практические вопросы: какие данные можно собирать, для каких целей, кто вправе их видеть, как долго они хранятся, кому могут передаваться и когда подлежат уничтожению. Именно поэтому хороший образец или шаблон полезен только как стартовая основа. Если просто скачать чужой типовой текст и не адаптировать его под реальные процессы, документ будет существовать отдельно от жизни компании и плохо сработает и на проверке, и в споре. Требование закона состоит не в наличии красивого файла, а в наличии реальных мер и локальных актов, которые отражают фактическую обработку данных.

Положение о защите персональных данных должно описывать реальную обработку данных у оператора, а не абстрактный типовой текст «на всякий случай».

2. Кому нужен этот документ в 2026 году

На практике Положение нужно почти каждому, кто обрабатывает персональные данные: работодателю, интернет-магазину, онлайн-школе, салону, медицинской организации, сервису записи, собственнику сайта с формой обратной связи, ИП с клиентской базой, компании с CRM, колл-центром или кадровым учетом. По ст. 18.1 Закона № 152-ФЗ локальные акты по вопросам обработки персональных данных входят в число обязательных мер по обеспечению соблюдения закона, а для работодателя ст. 87 ТК РФ прямо требует установить порядок хранения и использования персональных данных работников.

Особенно это важно в 2026 году, когда формальный подход к защите персональных данных становится все менее безопасным. Если вы собираете заявки с сайта, принимаете сотрудников, ведете клиентскую базу, используете телефонию, передаете сведения в банк, бухгалтерию, курьерскую службу или подрядчику по рассылкам, у вас уже есть практическая необходимость составить внутренний документ. Даже самый удобный конструктор не отменяет обязанности проверить, соответствует ли готовый текст вашей реальной модели обработки данных.

Обычно Положение нужно, если вы:

• принимаете сотрудников или кандидатов;
• собираете обращения с сайта, из мессенджера, по телефону;
• храните анкеты клиентов, пользователей, учеников, пациентов;
• передаете данные подрядчикам или используете облачные сервисы.

3. Чем Положение отличается от политики, согласия и приказа

Частая ошибка — путать Положение с политикой в отношении обработки персональных данных. Политика обычно адресована внешнему кругу лиц: посетителям сайта, клиентам, пользователям. Положение — это внутренний документ, который детально регулирует порядок действий внутри организации или у ИП. Оно описывает процедуры доступа, передачи, хранения, уничтожения, внутреннего контроля, полномочия ответственных лиц и работу с запросами субъектов. Такой подход соответствует логике ст. 18.1 и 19 Закона № 152-ФЗ.

Согласие субъекта персональных данных — это тоже отдельный документ. По ст. 9 Закона № 152-ФЗ согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Оно не заменяет Положение. Приказ о назначении ответственного лица по ст. 22.1 Закона № 152-ФЗ также не заменяет Положение: приказ назначает конкретного человека, а Положение устанавливает сами правила обработки.

Важно отдельно подчеркнуть: Положение о защите персональных данных — это не соглашение между физическими лицами и не договор между юридическими лицами. Это локальный нормативный акт оператора. Поэтому его нельзя писать по логике гражданско-правового договора. Если искать образец и скачать файл «для подписи сторон», легко получить документ, который по форме и содержанию не соответствует теме.

4. На какие нормы нужно опираться, когда вы начинаете составить документ

Базовый нормативный массив — это Закон № 152-ФЗ. Для темы Положения особенно важны ст. 3, 5, 6, 7, 9, 10, 10.1, 11, 12, 14, 15, 18.1, 19, 21, 22 и 22.1. Из них вытекают принципы обработки, основания обработки, правила конфиденциальности, требования к согласию, особенности специальных категорий и биометрии, правила распространения, права субъекта, обязанности оператора, меры защиты, уведомление и назначение ответственного лица.

Если оператор — работодатель, обязательно нужно учитывать ст. 86–90 ТК РФ. Эти нормы раскрывают цели обработки персональных данных работника, требования к хранению и использованию, правила передачи данных, права работника и ответственность за нарушения. Для информационных систем персональных данных дополнительно имеют значение Постановление Правительства РФ от 01.11.2012 № 1119, приказ ФСТЭК России от 18.02.2013 № 21 и приказ ФСБ России от 10.07.2014 № 378.

Практический вывод простой: сначала нужно понять, какие именно процессы есть у вас, а уже потом брать шаблон, открывать конструктор или искать, где скачать типовой файл на 2026 год. В противном случае в тексте почти неизбежно появятся либо лишние разделы, либо опасные пробелы.

5. С чего начать на практике: карта процессов вместо абстрактного шаблона

Перед тем как писать сам текст, полезно сделать карту обработки персональных данных. Нужно определить:

• категории субъектов;
• перечни персональных данных;
• цели обработки;
• правовые основания;
• круг лиц с доступом;
• сроки хранения;
• порядок уничтожения;
• передачи третьим лицам.

Этот шаг прямо соответствует ст. 5 Закона № 152-ФЗ, где закреплено, что обработка должна быть ограничена достижением конкретных, заранее определенных и законных целей, а состав данных не должен быть избыточным по отношению к этим целям. Именно поэтому не стоит начинать с поиска “идеального текста”, даже если вы нашли хороший образец или очень удобный конструктор. Сначала нужно увидеть свои реальные процессы: кадровый учет, заявки с сайта, продажи, доставка, сервисное сопровождение, бухгалтерия, реклама, пропускной режим, видеонаблюдение и так далее.

На этом этапе особенно полезен типовой каркас, но только как черновик. Его задача — напомнить, какие блоки проверить, а не заменить анализ. То есть шаблон помогает начать, но не решает задачу автоматически.

6. Какие разделы обязательно включить в Положение

Единой законодательно утвержденной формы нет, но по содержанию Положение должно закрывать вопросы, которые вытекают из ст. 18.1, 19, 21 и 22.1 Закона № 152-ФЗ. На практике рабочий документ обычно включает следующие разделы: общие положения, цели обработки, категории субъектов и состав данных, основания обработки, правила доступа, порядок передачи, сроки хранения, меры защиты, права субъектов, порядок рассмотрения запросов, порядок блокирования, изменения и уничтожения данных, внутренний контроль и ответственность.

Если Положение пишется для работодателя, в нем логично дополнительно выделить специальный блок о персональных данных работников, кандидатов, бывших работников и членов их семей в той части, в которой это действительно необходимо для исполнения трудового законодательства. Это соответствует ст. 86–89 ТК РФ.

Хорошая структура удобна еще и тем, что на ее основе потом легко создать сопутствующие документы: формы согласий, листы ознакомления работников, перечни должностей с доступом, акты об уничтожении, шаблоны ответов субъектам. Поэтому, когда читатель ищет образец, часто разумнее искать не один красивый документ, а целую систему документов.

7. Как правильно описать цели обработки и не сделать текст слишком общим

Одна из самых распространенных ошибок — писать расплывчатые цели вроде «в целях осуществления деятельности организации». По ст. 5 Закона № 152-ФЗ цели должны быть конкретными, заранее определенными и законными. Из текста должно быть видно, какие данные и для чего реально используются. Иначе появляется риск избыточной обработки: оператор собирает больше данных, чем ему действительно нужно.

Правильнее описывать цели отдельно по каждому процессу. Например: для работников — кадровый учет, расчет заработной платы, оформление отпусков и больничных, исполнение обязанностей работодателя. Для клиентов — заключение и исполнение договора, доставка товара, сервисное сопровождение, работа с возвратами и претензиями. Для пользователей сайта — обратная связь, обработка заявки, регистрация личного кабинета, исполнение пользовательского соглашения. Такой подход лучше работает и юридически, и practically.

Если вы хотите составить документ быстро, можно взять типовой шаблон, но обязательно проверить, позволяет ли он привязать перечень данных и основание именно к отдельной цели. Если нет, лучше доработать текст вручную, а не надеяться, что конструктор сделает это сам.

8. Основания обработки: когда нужно согласие, а когда нет

Писать в Положении, что все персональные данные обрабатываются только на основании согласия, неправильно. По ст. 6 Закона № 152-ФЗ согласие — только одно из оснований. Обработка может быть допустима, если она необходима для исполнения договора с субъектом, для исполнения обязанностей оператора, установленных законом, для защиты жизни и здоровья, для осуществления правосудия и в других случаях, прямо названных в законе.

Согласие особенно важно там, где иного законного основания нет. Прежде всего это касается прямого маркетинга. По ст. 15 Закона № 152-ФЗ обработка персональных данных в целях продвижения товаров, работ, услуг путем прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия субъекта, а если оператор не докажет наличие такого согласия, обработка считается осуществляемой без него.

Отдельный случай — ст. 10.1 Закона № 152-ФЗ. Согласие на обработку персональных данных, разрешенных субъектом для распространения, должно оформляться отдельно от иных согласий. Более того, молчание или бездействие субъекта ни при каких обстоятельствах не считается таким согласием. Поэтому блок о публикации данных на сайте, в соцсетях, на странице сотрудников или партнеров нельзя писать поверхностно.

9. Особенности для работодателя: персональные данные работников и кандидатов

Если Положение готовится работодателем, нужно учитывать специальные требования главы 14 ТК РФ. По ст. 86 ТК РФ обработка персональных данных работника допускается исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. По ст. 87 ТК РФ порядок хранения и использования персональных данных работников устанавливается работодателем с соблюдением требований закона. По ст. 88 регулируется передача данных, по ст. 89 — права работника, а по ст. 90 — ответственность за нарушение соответствующих норм.

Для практики это означает, что в кадровом Положении нужно отдельно описать, какие данные собираются у работников и кандидатов, кто и в каком объеме имеет доступ к таким сведениям, каким адресатам они передаются, как обеспечивается конфиденциальность и каким образом работник может получить доступ к своим данным или потребовать их уточнения.

Особенно важное правило закреплено в п. 8 ст. 86 ТК РФ: работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных, а также с их правами и обязанностями в этой области. Поэтому недостаточно просто создать документ и сохранить его в папке. Его нужно реально ввести в оборот.

10. Передача данных третьим лицам, подрядчикам и в сервисы

По ст. 7 Закона № 152-ФЗ лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом. Поэтому в Положении необходимо указать, кому именно и в каких случаях оператор может передавать данные: банкам, бухгалтерии на аутсорсе, страховщику, службе доставки, оператору связи, CRM-сервису, колл-центру, хостинг-провайдеру и другим лицам, участвующим в исполнении законных целей обработки.

Если обработка поручается третьему лицу, одного упоминания в Положении мало: нужен и договорный контур. Но само Положение должно описывать общий принцип такой передачи, круг получателей и правила контроля. Для работодателя похожая логика дополнительно следует из ст. 88 ТК РФ о передаче персональных данных работника.

На практике именно здесь чаще всего видно, насколько полезен или бесполезен найденный в сети типовой текст. Если в документе нет ни слова про подрядчиков, а данные фактически уходят в облачные сервисы, у вас уже есть разрыв между текстом и реальной обработкой. Поэтому любой образец нужно перепроверять по своей ИТ-схеме и по своим контрагентам.

11. Сроки хранения, запросы субъекта и уничтожение данных

По ст. 5 Закона № 152-ФЗ персональные данные не должны храниться дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом, договором или иным правовым основанием. Это означает, что в Положении не стоит ограничиваться фразой «данные хранятся до достижения целей обработки». Лучше описывать сроки по категориям документов и процессов.

По ст. 14 Закона № 152-ФЗ субъект персональных данных имеет право получить сведения о своих данных, а оператор обязан предоставить информацию о наличии таких данных и дать возможность ознакомления с ними при обращении или в течение 10 рабочих дней с даты получения запроса. Этот срок может быть продлен, но не более чем на 5 рабочих дней при направлении мотивированного уведомления. Именно здесь в предыдущем тексте было неточное место: срок не 30 календарных дней, а 10 рабочих дней с возможностью продления на 5 рабочих дней.

По ст. 21 Закона № 152-ФЗ при выявлении неправомерной обработки оператор обязан прекратить такую обработку в срок, не превышающий 3 рабочих дней. Если обеспечить правомерность невозможно, персональные данные подлежат уничтожению в срок, не превышающий 10 рабочих дней с даты выявления неправомерной обработки. Эти механизмы должны быть отражены в Положении так, чтобы было понятно, кто именно принимает решение, кто оформляет документы и как подтверждается уничтожение.

Обычно полезно закрепить:

• кто принимает запросы субъектов;
• кто проверяет основания обработки;
• кто готовит ответ;
• кто инициирует блокирование, исправление или уничтожение данных.

Самая слабая часть многих положений — не раздел о целях, а раздел о сроках хранения и порядке уничтожения персональных данных.

12. Какие меры защиты нужно описать в самом документе

Ст. 19 Закона № 152-ФЗ обязывает оператора применять необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий. Для информационных систем эти меры конкретизируются Постановлением Правительства РФ № 1119, приказом ФСТЭК России № 21 и приказом ФСБ России № 378 при использовании средств криптографической защиты информации.

В Положении не нужно переписывать все технические нормы из этих актов, но необходимо описать базовую модель защиты. Обычно туда включают разграничение прав доступа, парольную защиту, порядок хранения бумажных документов, резервное копирование, антивирусную защиту, внутренний контроль, обучение персонала и регламент реагирования на инциденты. Так документ становится рабочим, а не декларативным.

Если читатель хочет быстро составить текст на 2026 год, соблазн велик просто скачать шаблон с двумя фразами о защите данных. Но такой вариант обычно слабый. Раздел о защите должен быть связан с реальными системами и внутренними процессами, иначе он выглядит как пустая формальность.

13. Что показывает судебная практика РФ и можно ли просто скачать типовой текст

Судебная практика показывает общий подход: формального наличия документов недостаточно, если фактическая обработка им не соответствует. Для оценки нематериальных последствий нарушений важен общий ориентир из Постановления Пленума Верховного Суда РФ от 15.11.2022 № 33 «О практике применения судами норм о компенсации морального вреда». Суд должен устанавливать, какие именно действия или бездействие привели к нарушению личных неимущественных прав, имеется ли причинная связь и какие меры принимал причинитель вреда. Этот акт не посвящен исключительно персональным данным, но он применим как общий ориентир для споров, где нарушение правил обработки затрагивает частную жизнь и иные нематериальные блага.

Для темы персональных данных показательно Определение Судебной коллегии по гражданским делам Верховного Суда РФ от 18.02.2025 № 5-КГ24-144-К2. Верховный Суд указал, что при рассмотрении дела о навязчивых рекламных звонках нельзя формально игнорировать доводы гражданина о незаконном использовании контактных данных и вмешательстве в частную жизнь. Для автора Положения практический вывод прямой: если у бизнеса есть обзвон, рассылки, прямые коммуникации или лидогенерация, разделы о согласии, продвижении услуг и прекращении обработки по требованию субъекта должны быть прописаны особенно аккуратно.

Отсюда и ответ на популярный вопрос: можно ли просто скачать образец, открыть конструктор, взять типовой шаблон и использовать его без изменений. Технически — да. Юридически безопасно — нет. Образец, шаблон, конструктор и типовой текст полезны только как стартовая заготовка. Итоговый документ нужно адаптировать под свои цели обработки, свои категории субъектов, свои сроки хранения, своих подрядчиков, свои меры защиты и свои процедуры ответа на запросы. Именно так и нужно создать рабочее Положение на 2026 год.

Признаки того, что найденный текст вам не подходит:

• в нем описаны процессы, которых у вас нет;
• отсутствуют реальные подрядчики и ИТ-сервисы;
• все основания обработки сведены только к согласию;
• не описаны сроки хранения и уничтожения;
• нет правил ответа субъекту;
• нет порядка доступа работников к данным.

Итоговый вывод такой. Положение о защите персональных данных — это не формальный файл “для папки”, а рабочий регламент, который помогает соблюдать Закон № 152-ФЗ ежедневно. Поэтому разумнее сначала взять образец, затем вручную проверить шаблон, при необходимости доработать через конструктор, а уже после этого утверждать документ. Тогда текст будет не просто удобен, чтобы его скачать и распечатать, а действительно полезен для работы.