Положение о защите персональных данных

   Положение о защите персональных данных — это внутренний локальный нормативный акт организации, устанавливающий порядок обработки, хранения, передачи и уничтожения персональных данных работников, клиентов и иных субъектов, а также определяющий меры по обеспечению их безопасности.

Содержание статьи:

Зачем нужно положение о защите персональных данных?

   Целевая необходимость разработки и внедрения положения о защите персональных данных — дилемма, закономерно встающая перед руководителями многих организаций. Действующее законодательство императивно вменяет оператору в обязанность реализацию комплекса мер, направленных на охрану персональных данных, и означенное положение выступает краеугольным, базовым документом, верифицирующим факт исполнения данной повинности.

   Статья 18.1 Закона № 152-ФЗ постулирует, что оператор обязан предпринимать меры, являющиеся необходимыми и достаточными для гарантированного выполнения предписаний, закреплённых в законе. К означенным мерам, в частности, причисляются: назначение должностного лица, ответственного за организацию обработки персональных данных; утверждение внутренних локальных нормативных актов, регламентирующих процедуры обработки персональных данных; применение правовых, организационных и технических инструментов, обеспечивающих безопасность персональных данных.

   Положение о защите персональных данных реализует следующие функциональные задачи:

• сводит воедино и формализует весь свод правил обращения с персональными данными внутри организационной структуры;
• фиксирует исчерпывающий перечень персональных данных, подлежащих обработке;
• очерчивает правомочия и корреспондирующие им обязанности сотрудников, допущенных к работе с персональными данными;
• регламентирует алгоритмы хранения, передачи и последующего уничтожения персональных данных;
• служит доказательственным фундаментом, подтверждающим факт принятия мер по охране персональных данных в ходе контрольно-надзорных мероприятий, проводимых Роскомнадзором.

   Как демонстрирует судебная практика, отсутствие утверждённого и введённого в действие положения о защите персональных данных образует самодостаточный состав административного правонарушения, влекущего привлечение организации к ответственности по статье 13.11 Кодекса об административных правонарушениях РФ. Судебные инстанции последовательно квалифицируют неимение локальных актов в качестве нарушения императивных требований законодательства о персональных данных.

ИНТЕРЕСНО: Зачем нужно положение о защите персональных данных — вопрос, требующий понимания закона. Более подробно о защите персональных данных мы рассказываем в статье Порядок защиты персональных данных, где разобраны все необходимые меры.

Требования закона к положению о защите персональных данных в организации

   Нормативные предписания, которым должно соответствовать положение о защите персональных данных в организации, фундаментально закреплены в Законе № 152-ФЗ и в корреспондирующих ему подзаконных актах. Исходя из содержания статьи 18.1 означенного закона, данный локальный документ обязан включать в себя строго определённые содержательные элементы.

   Ключевые императивные требования к структуре и наполнению положения:

• чёткая формулировка целей, ради достижения которых осуществляется обработка персональных данных;
• исчерпывающий реестр персональных данных, подлежащих обработке;
• категорирование субъектов, чьи персональные данные вовлекаются в обработку;
• описание применяемых способов обработки и конкретных временных горизонтов хранения персональных данных;
• детально прописанная процедура уничтожения персональных данных по факту достижения заявленных целей их обработки;
• перечень совершаемых с персональными данными операций и действий;
• комплекс мер, направленных на обеспечение безопасности персональных данных.

   Помимо перечисленного, положение обязано имплементировать требования, вытекающие из Постановления Правительства РФ от 15 сентября 2008 года № 687 (касающегося особенностей неавтоматизированной обработки) и Постановления Правительства РФ от 1 ноября 2012 года № 1119 (регламентирующего обработку персональных данных в информационных системах). В прямой зависимости от установленного уровня защищённости конкретной информационной системы положение должно дифференцированно закреплять различные требования к организации оборонных механизмов защиты.

   Положение должно отличаться предельной конкретикой и не содержать размытых, аморфных формулировок. К примеру, вместо абстрактного указания «персональные данные работников» надлежит скрупулёзно перечислять конкретные категории: фамилия, имя, отчество, дата рождения, адресные сведения, страховой номер индивидуального лицевого счёта (СНИЛС), идентификационный номер налогоплательщика (ИНН) и тому подобное. Подобная детализация позволяет минимизировать риск возникновения разногласий с контролирующим органом — Роскомнадзором — и существенно облегчает доказывание факта принятия исчерпывающих мер защиты.

ИНТЕРЕСНО: Требования закона к положению о защите персональных данных в организации — важный аспект. В статье Порядок отзыва согласия на обработку персональных данных мы разобрали все обязательные элементы.

Для кого обязательно разрабатывать положение о защите персональных данных?

   Круг субъектов, для которых разработка положения о защите персональных данных носит облигаторный характер, — это вопрос, вызывающий оправданную озабоченность у значительного числа предпринимателей. Федеральный закон № 152-ФЗ вменяет всем без исключения операторам персональных данных обязанность по имплементации защитных мер, однако объём и глубина предъявляемых требований напрямую коррелируют с масштабом и спецификой осуществляемой деятельности.

   Исходя из предписаний статьи 22.1 Закона № 152-ФЗ, направление уведомления об обработке персональных данных в надзорный орган — Роскомнадзор — не требуется в следующих случаях:

• обработка персональных данных осуществляется исключительно в фарватере трудового законодательства;
• персональные данные обрабатываются в контексте заключения и последующего исполнения договора, стороной которого выступает сам субъект персональных данных;
• обработка ведётся для достижения статистических либо иных научно-исследовательских целей (при непременном условии предварительного обезличивания таких данных);
• обработка производится без задействования средств автоматизации (исключительно на материальных, бумажных носителях).

   Вместе с тем наличие утверждённого и действующего положения о защите персональных данных является императивным для абсолютно всех организаций вне зависимости от того, подавалось ли ими уведомление в Роскомнадзор или нет. Даже в ситуациях, когда направление означенного уведомления не требуется, оператор не освобождается от юридической повинности предпринять исчерпывающие меры, направленные на обеспечение сохранности и неприкосновенности персональных данных.

   Категории организаций, для которых разработка положения обязательна:

• все организации, имеющие штатных работников (обработка персональных данных в рамках трудовых отношений);
• организации, работающие с клиентами (обработка персональных данных в рамках договоров);
• государственные и муниципальные органы;
• организации, использующие информационные системы персональных данных.

   Рекомендуется разработать положение любой организации, даже если она не уведомляла Роскомнадзор. Это позволит избежать штрафов и подтвердить принятие мер при проверке.

ИНТЕРЕСНО: Для кого обязательно разрабатывать положение о защите персональных данных — вопрос, требующий профессионального подхода. В статье Гражданский адвокат мы разобрали все категории операторов.

Как составить положение по персональным данным?

   Алгоритм составления положения о персональных данных — это задача, требующая методичного, структурированного подхода. Несмотря на то что законодатель не закрепил жёстко регламентированной, императивной структуры данного документа, устоявшаяся правоприменительная и корпоративная практика выработала оптимальный, сбалансированный набор разделов, которые целесообразно включить в означенный локальный акт.

   Рекомендованная архитектура положения выглядит следующим образом:

1. Фиксируются цели принятия документа, приводятся отсылки к нормативно-правовой базе, расшифровывается применяемый терминологический аппарат, очерчивается круг субъектов, на которых распространяется юрисдикция данного положения.
2. Реестр персональных данных — приводится конкретизированный, исчерпывающий перечень информации, подлежащей правовой охране (дифференцированно для работников, клиентской базы, контрагентов).
3. Целевой блок обработки — детально прописывается, ради достижения каких именно целей осуществляется процессинг персональных данных (регулирование трудовых правоотношений, исполнение договорных обязательств и тому подобное).
4. Правомочия субъектов персональных данных — регламентируется процедура реализации носителями данных принадлежащих им прав (доступ к сведениям, их актуализация, отзыв ранее данного согласия на обработку).
5. Процедурный порядок сбора, обработки и хранения — закрепляются правила оперирования персональными данными, а также предельные календарные сроки их хранения.
6. Передача третьим лицам и уничтожение — описывается механизм легитимной передачи данных вовне, а также детальный регламент их аннигиляции по факту достижения заявленных целей обработки.
7. Защитный инструментарий — перечисляются внедрённые организационные и технические меры охраны, фиксируется назначение ответственного должностного лица.
8. Ответственность — очерчиваются возможные виды юридической ответственности (дисциплинарная, материальная, административная) за допущенные нарушения установленных правил.

   При конструировании текста положения критически важно принимать во внимание отраслевую и функциональную специфику деятельности конкретной организации. К примеру, для компаний, оперирующих биометрическими персональными данными, требуется внедрение дополнительных, усиленных эшелонов защиты. Для учреждений, взаимодействующих с несовершеннолетними, — особый, усложнённый порядок получения юридически значимого согласия на обработку.

   Положение подлежит обязательному утверждению единоличным исполнительным органом организации — её руководителем — и вводится в действие специально издаваемым приказом. С содержанием утверждённого положения должны быть персонально, под роспись ознакомлены абсолютно все сотрудники, чьи должностные функции сопряжены с доступом к массивам персональных данных.

ИНТЕРЕСНО: Как составить положение по персональным данным — процесс, требующий юридической точности. В статье Образец согласия на обработку персональных данных мы привели примеры формулировок.

Хранение, передача и уничтожение персональных данных по положению

   Процедуры хранения, передачи и последующего уничтожения персональных данных в рамках утверждённого положения относятся к числу краеугольных, сущностных аспектов, которые надлежит скрупулёзнейшим образом прописать в тексте документа. Федеральный закон № 152-ФЗ формулирует дифференцированные нормативные требования применительно к каждой из перечисленных стадий жизненного цикла данных.

   Регламентация хранения персональных данных:

• консервация данных осуществляется исключительно в форме, допускающей однозначную идентификацию субъекта-носителя, и не должна превышать временной промежуток, объективно необходимый для реализации задекларированных целей обработки;
• конкретные сроки хранения устанавливаются в строгом соответствии с действующим отраслевым законодательством (к примеру, кадровая документация подлежит сохранению на протяжении пятидесяти лет, бухгалтерская — в течение пяти лет);
• при физическом хранении сведений на бумажных носителях должны быть созданы условия, полностью исключающие возможность несанкционированного проникновения посторонних лиц;
• при электронном формате хранения в обязательном порядке задействуются сертифицированные средства криптографической и технической защиты информационных массивов.

   Регламентация передачи персональных данных:

• трансляция данных третьим лицам допустима исключительно при наличии надлежаще оформленного согласия субъекта персональных данных (изъятия из данного правила могут быть обусловлены лишь прямыми предписаниями закона);
• в процессе передачи должна быть гарантирована всесторонняя защита от рисков неправомерного, несанкционированного доступа;
• предоставление сведений государственным органам и ведомствам осуществляется в процессуальном порядке, строго установленном действующим законодательством.

Регламентация уничтожения персональных данных:

• аннигиляция данных производится либо по факту достижения изначально заявленных целей обработки, либо по прямому требованию субъекта-носителя;
• процедура уничтожения должна обеспечивать абсолютную невозможность последующего восстановления либо реконструкции уничтоженной информации;
• каждый факт уничтожения в обязательном порядке фиксируется специально составляемым актом.

   Положение должно недвусмысленно и исчерпывающе определять: кто именно из числа должностных лиц организации несёт персональную ответственность за каждый из этапов — хранение, передачу и уничтожение; какой порядок документарного оформления сопровождает данные операции; и какие конкретные защитные меры применяются для обеспечения должного уровня безопасности на всех стадиях обработки.

ИНТЕРЕСНО: Хранение, передача и уничтожение персональных данных по положению — важные этапы. В статье Образец заявления об отзыве согласия на обработку персональных данных мы разобрали порядок действий.

Ответственность за отсутствие положения о защите персональных данных

   Юридическая ответственность за неимение в организации утверждённого положения о защите персональных данных наступает согласно предписаниям Кодекса Российской Федерации об административных правонарушениях. Отсутствие означенного локального нормативного акта квалифицируется как прямое нарушение императивных требований статьи 18.1 Закона № 152-ФЗ.

   Дифференциация видов ответственности выглядит следующим образом:

• Дисциплинарная ответственность — спектр санкций охватывает замечание, выговор либо расторжение трудового договора (применяется к сотрудникам, в чьи функциональные обязанности входила разработка соответствующего положения).
• Административная ответственность — реализуется в рамках статьи 13.11 КоАП РФ. Денежные взыскания варьируются: для должностных лиц — в диапазоне от десяти тысяч до двадцати тысяч рублей; для юридических лиц — от тридцати тысяч до пятидесяти тысяч рублей.
• Уголовная ответственность — квалифицируется по статье 183 УК РФ (неправомерные получение и разглашение информации, образующей коммерческую, налоговую либо банковскую тайну) и наступает в тех случаях, когда именно отсутствие положения создало благоприятную почву для противоправного распространения персональных данных.

   Как демонстрирует правоприменительная практика, сам по себе факт отсутствия положения о защите персональных данных образует автономное, самодостаточное основание для привлечения к административной ответственности. Судебные инстанции последовательно констатируют, что наличие означенного документа — это не факультативная опция, а обязательное, непременное условие соблюдения законодательных требований.

   Следует особо подчеркнуть, что деликтная ответственность наступает не только в ситуации тотального отсутствия положения, но и при его содержательном несоответствии нормативным предписаниям. Если локальный документ разработан с пороками и нарушениями, не отражающими всей полноты законодательных требований, данное обстоятельство также формирует полноценный состав правонарушения, влекущий наложение административного штрафа.

ИНТЕРЕСНО: Ответственность за отсутствие положения о защите персональных данных — серьезный риск. В статье Что будет за разглашение персональных данных мы разобрали примеры из практики.

Штрафы Роскомнадзора за нарушения в сфере персональных данных

   Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций осуществляет контроль за соблюдением требований Закона № 152-ФЗ.

   Виды нарушений и размеры штрафов (по статье 13.11 КоАП РФ):

• обработка персональных данных без согласия субъекта — до 15 000 рублей для должностных лиц, до 75 000 рублей для юридических лиц;
• неисполнение обязанности по уведомлению Роскомнадзора — до 5 000 рублей для должностных лиц, до 20 000 рублей для юридических лиц;
• необеспечение защиты персональных данных при их обработке — до 5 000 рублей для должностных лиц, до 20 000 рублей для юридических лиц (за отсутствие положения — до 20 000 рублей);
• отказ в предоставлении информации субъекту — до 10 000 рублей для должностных лиц, до 30 000 рублей для юридических лиц;
• повторное нарушение — до 50 000 рублей для должностных лиц, до 100 000 рублей для юридических лиц.

   При проверке Роскомнадзор оценивает наличие положения о защите персональных данных, соблюдение порядка обработки, наличие согласий субъектов, выполнение требований к защите информации.

   В 2025-2026 годах введены повышенные штрафы за нарушения в сфере биометрических персональных данных — до 200 000 рублей для юридических лиц. Также ужесточена ответственность за утечки персональных данных.

ИНТЕРЕСНО: Штрафы Роскомнадзора за нарушения в сфере персональных данных могут быть существенными. В статье Что будет за распространение номера телефона без согласия мы разобрали размеры штрафов.

Как правильно утвердить и ввести в действие положение о защите персональных данных?

   Каким образом корректно утвердить и имплементировать в деятельность организации положение о защите персональных данных — дилемма, закономерно встающая перед руководством после завершения стадии разработки означенного документа. Процедура легитимизации и ввода в действие обладает рядом присущих ей специфических особенностей.

   Алгоритм утверждения положения выстраивается по следующей пошаговой траектории:

• Подготовка изначального проекта положения (осуществляется штатным юристом организации либо специально уполномоченным на то должностным лицом).
• Стадия визирования — согласование разработанного проекта с заинтересованными структурными подразделениями (правовой департамент, кадровая служба, IT-подразделение).
• Финальное утверждение документа единоличным исполнительным органом организации (генеральным директором либо иным лицом, наделённым соответствующей дискрецией).
• Издание отдельного приказа, санкционирующего утверждение положения и вводящего его в практическое действие.
• Персональное ознакомление всех сотрудников с содержанием утверждённого положения под роспись.

   В тексте приказа об утверждении положения надлежит в обязательном порядке зафиксировать следующие позиции:

• календарную дату утверждения самого положения и дату, с которой оно начинает действовать;
• прямое поручение компетентным сотрудникам обеспечить ознакомление трудового коллектива с вводимым документом;
• назначение конкретного должностного лица, ответственного за организацию процессинга персональных данных (если таковое не было определено ранее);
• указание на субъекта, которому вменяется контроль за неукоснительным исполнением данного приказа.

   Факт ознакомления сотрудников с положением должен быть неопровержимо верифицирован посредством проставления ими собственноручной подписи. Для этих целей оптимально использовать лист ознакомления, в котором каждый работник фиксирует дату и оставляет личную подпись. Отсутствие документально подтверждённого ознакомления само по себе образует самостоятельный состав нарушения, влекущий за собой применение мер юридической ответственности.

ИНТЕРЕСНО: Как правильно утвердить и ввести в действие положение о защите персональных данных — важный этап. В статье Адвокат по гражданским делам мы разобрали процедуру.

Адвокат по персональным данным в Екатеринбурге

   Разработка положения о защите персональных данных — сложная задача, требующая знаний в области законодательства о персональных данных, трудового и административного права. Ошибки при составлении могут привести к штрафам Роскомнадзора и привлечению к ответственности.

   Адвокатское бюро «Кацайлиди и партнёры» предлагает полный спектр услуг по защите персональных данных в Екатеринбурге и Свердловской области:

• Первичная консультация  — Бесплатно
• Составление приказа об утверждении положения — от 4 000 руб.
• Разработка согласия на обработку персональных данных — от 4 000 руб.
• Разработка политики обработки персональных данных — от 6 000 руб.
• Правовой анализ деятельности компании на предмет обработки персональных данных — от 6 000 руб.
• Разработка индивидуального положения о защите персональных данных — от 12 000 руб.
• Разработка уведомления об обработке персональных данных для Роскомнадзора — от 5 000 руб.
• Подготовка ответа на запрос Роскомнадзора — от 7 000 руб.
• Подготовка документов для уведомления Роскомнадзора о начале обработки — от 6 000 руб.
• Разработка порядка уничтожения персональных данных — от 5 000 руб.
• Составление дополнительного соглашения о конфиденциальности для сотрудников — от 5 000 руб.
• Представительство при проверках Роскомнадзора (выезд) — от 15 000 руб.
• Обжалование предписаний и решений Роскомнадзора — от 12 000 руб.
• Составление административного иска об оспаривании решения Роскомнадзора — от 14 000 руб.
• Представление интересов в суде по спорам с Роскомнадзором (заседание) — от 20 000 руб.
• Абонемент на всю первую инстанцию — от 45 000 руб.
• Сопровождение исполнительного производства — от 10 000 руб.
• Ведение дела со сложными обстоятельствами  — от 40 000 руб.

   Наши адвокаты специализируются на защите персональных данных и имеют многолетний опыт разработки локальных нормативных актов для компаний различных отраслей. Мы работаем с организациями всех форм собственности, помогаем внедрить эффективную систему защиты персональных данных и консультируем по вопросам ответственности за нарушения.

ИНТЕРЕСНО: Правильный выбор адвоката по персональным данным — залог надежной защиты. В статье Услуги адвокатов по гражданским делам мы рассказали о критериях выбора специалиста.

Частые вопросы юристу о положении о защите персональных данных

Допустимо ли загрузить типовой шаблон Положения о защите персональных данных из глобальной сети?

Допустимо, однако исключительно в ознакомительных, справочных целях. Скачанный унифицированный шаблон подлежит обязательной, глубинной адаптации с учётом уникальной специфики деятельности вашей организации. В заимствованную форму необходимо инкорпорировать конкретизированный реестр обрабатываемых персональных данных, чётко очертить категории субъектов-носителей, установить адекватные сроки хранения и отразить прочие индивидуальные особенности вашего документооборота. Механическое, бездумное использование неадаптированного шаблона с высокой долей вероятности приведёт к тому, что надзорный орган — Роскомнадзор — квалифицирует такое положение как не соответствующее императивным требованиям закона.

С какой периодичностью надлежит актуализировать Положение о защите персональных данных?

Обновление положения должно производиться при наступлении следующих триггерных событий: корректировка нормативно-правовой базы, модификация перечня обрабатываемых персональных данных, реструктуризация самой организации либо трансформация применяемых способов обработки. В качестве превентивной меры рекомендуется осуществлять ревизию актуальности документа с периодичностью не реже одного раза в календарный год, а также незамедлительно при каждом изменении законодательного ландшафта.

Обязательно ли визировать Положение подписью каждого сотрудника?

Да, законодательство императивно предписывает персональное ознакомление работников с принимаемыми в организации локальными актами, регламентирующими вопросы обработки персональных данных, исключительно под роспись. Факт такого ознакомления должен быть объективно верифицирован посредством проставления сотрудником собственноручной подписи либо в специально оформленном листе ознакомления, либо непосредственно в тексте трудового договора. Игнорирование данной процедуры образует самостоятельный состав правонарушения, влекущий применение мер юридической ответственности.

Нагрянула проверка соблюдения законодательства о персональных данных: какова оптимальная линия поведения?

При проведении контрольно-надзорных мероприятий со стороны Роскомнадзора надлежит: обеспечить незамедлительное и полное предоставление всего массива запрашиваемой документации, включая само положение о защите персональных данных, оформленные согласия субъектов, распорядительные приказы; гарантировать проверяющим беспрепятственный доступ к эксплуатируемым информационным системам; обеспечить физическое присутствие уполномоченных представителей организации в ходе осуществления проверки. Настоятельно рекомендуется заблаговременно привлечь квалифицированного адвоката для профессионального сопровождения всего процесса проверочных мероприятий.

Целесообразно ли привлекать юриста к разработке Положения о персональных данных?

Законодательство не вменяет в обязанность непременное участие профессионального правоведа, однако конструирование данного документа представляет собой нетривиальную, интеллектуально ёмкую задачу, требующую досконального владения нормативной материей о персональных данных. Опытный юрист окажет неоценимую помощь в корректном определении реестра подлежащих защите данных, в установлении обоснованных сроков их хранения, в подборе адекватных мер защиты и, как следствие, позволит избежать досадных просчётов, чреватых внушительными административными штрафами.

Правомерно ли зафиксировать в положении тезис о том, что персональные данные обрабатываются без получения согласия субъекта?

В ряде законодательно очерченных случаев — да. К примеру, при осуществлении обработки персональных данных в контексте трудовых правоотношений либо для целей надлежащего исполнения договорных обязательств получение отдельного согласия не требуется. Однако в тексте положения должно быть кристально ясно, недвусмысленно артикулировано, на каком именно правовом фундаменте базируется безсогласительная обработка, с приведением конкретных отсылок к корреспондирующим нормам действующего законодательства.

ИНТЕРЕСНО: На все эти вопросы мы дали развернутые ответы в видеоформате. Дополнительную информацию вы найдете в статье Имущественные споры, где наши адвокаты отвечают на самые частые вопросы.

Отзыв о консультации с нашим адвокатом.

Доверитель — Перминова Елена Рудольфовна:

Список литературы

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 18.1, 22.1).
• Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
• Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 № 195-ФЗ (ст. 13.11).
• Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ.
• Материалы судебной практики по спорам о нарушении законодательства о персональных данных (обзоры Верховного Суда РФ).