УТВЕРЖДЕНО
приказом ________ ________
от ________ № ________
________
ПОЛОЖЕНИЕ
об обработке и защите персональных данных в ________
1. Общие положения
1.1. Положение определяет политику оператора — ________ — в отношении обработки персональных данных и меры по их защите (ст. 18.1 закона № 152-ФЗ «О персональных данных»). Политика опубликована на сайте ________.
1.2. Ответственный за организацию обработки персональных данных: ________. Организация подала в Роскомнадзор уведомление об обработке персональных данных ________ (ст. 22 закона № 152-ФЗ).
2. Субъекты, цели и основания
| Субъекты | Цели | Основание | Срок хранения |
|---|---|---|---|
| Работники и их родственники | Исполнение трудового договора, налоговый и воинский учёт | ТК РФ, НК РФ, договор | По срокам хранения кадровых документов (до 50/75 лет) |
| Кандидаты на работу | Подбор персонала | Согласие | ________ |
| Клиенты и их представители | Заключение и исполнение договоров | Договор (п. 5 ч. 1 ст. 6 закона № 152-ФЗ) | 5 лет после окончания договора |
| Посетители сайта | ________ | Согласие | ________ |
2.1. Обработка ограничивается достижением заранее определённых целей; не допускается обработка данных, избыточных по отношению к целям (ст. 5 закона № 152-ФЗ). Специальные категории и биометрические данные обрабатываются только в случаях ст. 10, 11 закона.
2.2. Согласие на обработку, если оно требуется, оформляется отдельно от иных документов (ч. 1 ст. 9 закона № 152-ФЗ, с 01.09.2025). Согласие на распространение — отдельным документом (ст. 10.1).
3. Права субъектов
3.1. Ответ на запрос субъекта о его данных предоставляется в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней с уведомлением о причинах (ст. 14, 20 закона № 152-ФЗ). При отзыве согласия обработка прекращается, а данные уничтожаются в течение 30 дней, если нет иных законных оснований.
4. Меры защиты
4.1. Организация применяет правовые, организационные и технические меры (ст. 18.1, 19 закона № 152-ФЗ): определяет угрозы и уровень защищённости информационных систем (постановление Правительства РФ № 1119), ограничивает доступ, ведёт учёт носителей, использует средства защиты информации, обучает работников. Перечень лиц, допущенных к обработке, утверждается приказом.
4.2. При сборе данных граждан РФ их запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории РФ (ч. 5 ст. 18 закона № 152-ФЗ). Трансграничная передача — после уведомления Роскомнадзора (ст. 12).
5. Инциденты
5.1. О неправомерной или случайной передаче (предоставлении, распространении) персональных данных организация уведомляет Роскомнадзор в течение 24 часов (о самом инциденте, его причинах и вреде), а в течение 72 часов — о результатах внутреннего расследования и виновных лицах (ч. 3.1 ст. 21 закона № 152-ФЗ). Организация также взаимодействует с ГосСОПКА.
6. Уничтожение
6.1. По достижении целей обработки или истечении сроков хранения данные уничтожаются в течение 30 дней; уничтожение подтверждается актом и выгрузкой из журнала событий в соответствии с требованиями Роскомнадзора.
7. Ответственность
7.1. Работники, виновные в нарушении правил обработки персональных данных, несут дисциплинарную, материальную, административную и уголовную ответственность. Организация несёт ответственность по ст. 13.11 КоАП РФ, включая повышенные и оборотные штрафы за утечки (с 30.05.2025).
Заключительные положения
Положение вступает в силу с даты утверждения. Работники знакомятся с ним под подпись при приёме на работу до подписания трудового договора, а работающие — до вступления в силу (ст. 22, 68 ТК РФ). Условия, ухудшающие положение работников по сравнению с законодательством и коллективным договором, не применяются (ст. 8 ТК РФ).