Персональные данные

Положение об обработке персональных данных: что включить и как утвердить

Редактор ФТИ 7 октября 2026 8 мин чтения

Коротко

Закон не называет документ положением, но требует локальные акты по вопросам обработки (п. 2 ч. 1 ст. 18.1). Структура положения, образец оглавления, ознакомление работников под роспись и типичные ошибки.

Коротко: «положение об обработке персональных данных» это принятое на практике название локального акта, который закон описывает в п. 2 ч. 1 ст. 18.1 закона № 152-ФЗ. Для оператора-юридического лица в таких актах для каждой цели определяют категории и перечень данных, категории субъектов, способы, сроки обработки и хранения и порядок уничтожения. Положение обычно утверждает руководитель, а работников знакомят с ним под роспись (п. 8 ст. 86 ТК).

Пишем под вашу обработку вместе с политикой, согласиями, перечнями и приказом об ответственном · правки до вашего «принимаю»

Положение об обработке в пакете документов по 152-ФЗ — 9 900 ₽

Собрать пакет →

Главное

Название закон не задаёт. Требуется содержание: что, о ком, зачем, как долго и как уничтожается (п. 2 ч. 1 ст. 18.1).
Положение публиковать не обязательно, закон требует опубликовать политику (ч. 2 ст. 18.1). Положение внутренний документ.
Положение не содержит условий, ограничивающих права субъектов, и обязанностей, которых нет в законодательстве.
Работников знакомят под роспись. Передача данных внутри организации идёт по локальному акту, с которым работник ознакомлен (ст. 88 ТК).
Структура положения наша рекомендация: закон по разделам её не определяет.

Что закон говорит о таком документе

Пункт 2 части 1 статьи 18.1 относит к мерам оператора-юрлица издание документов, определяющих политику, и локальных актов по вопросам обработки. Эти акты определяют для каждой цели обработки категории и перечень обрабатываемых данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения при достижении целей или иных законных основаниях. Отдельно названы акты о процедурах, направленных на предотвращение и выявление нарушений и устранение их последствий.

Закон не говорит, что это должен быть один документ и что он называется «положением». Так принято называть акт, который собирает перечисленное. По запросу Роскомнадзора оператор обязан представить документы и локальные акты и (или) иным образом подтвердить принятие мер (ч. 4 ст. 18.1). Положение это самый понятный способ подтвердить.

Ограничение стоит запомнить: такие акты не могут содержать положения, ограничивающие права субъектов, и возлагать на оператора не предусмотренные законодательством полномочия и обязанности (п. 2 ч. 1 ст. 18.1). Если положение обещает срок ответа 30 дней, а закон говорит 10 рабочих дней с продлением до 5 (ч. 1 ст. 20), документ расходится с законом.

Чем положение отличается от соседних документов

Документ	Для кого	Что в нём	Публикуется
Политика	Для всех, кто смотрит на ваш сайт	Цели, основания, права, общее описание защиты	Да, ч. 2 ст. 18.1 (о политике)
Положение об обработке	Для работников и контроля	Порядок обработки внутри организации: кто, как, где, сколько	Нет, внутренний акт
Положение о защите	Для ответственных и ИТ	Меры безопасности, уровни защищённости (ст. 19, постановление № 1119)	Нет (о положении о защите)
Согласие	Для конкретного человека	Волеизъявление, ст. 9	Нет (о согласии)
Положение о персональных данных работников	Для работников	Раздел положения об обработке или отдельный акт; ТК ст. 86–89	Нет (документы для кадров)

Что включить: структура положения

Структура ниже наша рекомендация. Колонка «Опора» показывает, откуда берётся содержание.

Раздел	Что в нём	Опора
1. Общие положения	Цель документа, сфера применения, термины	Ст. 3
2. Принципы	Законность, конкретные цели, не избыточные данные, точность	Ст. 5
3. Цели, субъекты и данные	Таблица: цель, категории субъектов, состав данных, основание, срок	П. 2 ч. 1 ст. 18.1; ч. 5 ст. 5
4. Основания и согласие	Когда нужно согласие и как оно оформляется	Ст. 6, 9
5. Способы обработки	Автоматизированная и без средств автоматизации, места хранения носителей	Постановление № 687
6. Хранение и сроки	Срок по цели; не дольше, чем требуют цели	Ч. 7 ст. 5
7. Передача и поручение	Доступ работников, передача внутри организации, обработчики	Ст. 7; ч. 3 ст. 6; ст. 88 ТК
8. Обращения субъектов	Кто принимает, сроки ответа	Ст. 14, 20
9. Уничтожение и блокирование	Основания, сроки, акт	Ст. 21; приказ Роскомнадзора № 179
10. Нарушения и инциденты	Как выявляют, кого уведомляют	П. 2 ч. 1 ст. 18.1; ч. 3.1 ст. 21
11. Ответственные и контроль	Ответственный, внутренний контроль	Ст. 22.1; п. 4 ч. 1 ст. 18.1
12. Заключительные	Утверждение, изменение, ознакомление	П. 6 ч. 1 ст. 18.1; п. 8 ст. 86 ТК

Перечень данных по целям удобнее вынести в приложение: как составить перечень персональных данных. Порядок обращений и ответов: правила рассмотрения запросов субъектов. Акт уничтожения: как оформить акт уничтожения.

Образец оглавления и ключевых пунктов

Образец, подставьте свои данные. Это не утверждённая форма: закон формы положения не устанавливает. Данные вымышленные.

ООО «Образец»
ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
Утверждено приказом генерального директора от __.__.20__ № __

1. Общие положения
1.1. Положение определяет порядок обработки персональных данных в ООО «Образец» (далее — Оператор) и принято на основании Федерального закона от 27.07.2006 № 152-ФЗ.
1.2. Положение обязательно для работников, допущенных к персональным данным.

3. Цели, субъекты и данные
3.1. Оператор обрабатывает данные только для целей, указанных в приложении 1. Для каждой цели в приложении определены категории субъектов, состав данных, основание обработки, способы и срок хранения.
3.2. Объединение баз данных, обработка которых осуществляется в несовместимых целях, не допускается.

6. Хранение и сроки
6.1. Данные хранятся не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором.
6.2. Бумажные носители хранятся в запираемых шкафах. Перечень лиц с доступом утверждается приказом.

8. Обращения субъектов
8.1. Обращения принимает ответственный за организацию обработки персональных данных.
8.2. Ответ на запрос о наличии данных даётся в течение десяти рабочих дней; при мотивированном уведомлении срок может быть продлён не более чем на пять рабочих дней.

9. Уничтожение
9.1. Уничтожение данных при достижении цели оформляется актом об уничтожении по требованиям Роскомнадзора. Акт и, при автоматизированной обработке, выгрузка из журнала хранятся 3 года с момента уничтожения (приказ РКН № 179).

12. Заключительные положения
12.1. Работники знакомятся с Положением под роспись. Лист ознакомления хранится у ответственного.
12.2. Изменения вносятся приказом генерального директора; прежние редакции хранятся в архиве.

Часть пунктов опирается на текст закона: срок ответа 10 рабочих дней и продление до 5 (ч. 1 ст. 20), срок хранения акта 3 года (приказ № 179), не дольше целей (ч. 7 ст. 5). Остальное нужно привести к вашей практике. Если положение обещает больше, чем вы делаете, оно становится источником претензий.

Как утвердить и ознакомить работников

Закон не определяет, кто и как утверждает локальный акт. Обычно положение вводят приказом руководителя. Для работников есть конкретная норма: они и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки данных, а также со своими правами и обязанностями (п. 8 ст. 86 ТК). Передачу данных внутри организации ТК тоже связывает с локальным актом, с которым работник должен быть ознакомлен под роспись (ст. 88). Лист ознакомления закон не описывает, форму выбираете вы. Пошагово: как утвердить документы по персональным данным. Сам комплект разобран в обзоре документов по персональным данным.

Как мы помогаем

ФТИ — учебный центр, персональные данные мы ведём для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России.

Документы по 152-ФЗ — 9 900 ₽. Разбираем, какие данные вы собираете, зачем, где храните и у кого доступ. Пишем политику, согласия и локальные акты под вашу ситуацию: в описании пакета положение об обработке, приказ об ответственном, перечни, инструкции, журналы. Правки включены, пока вы не напишете «принимаю». Подскажем, как ознакомить работников под подпись.
Пакет «Старт» — 14 900 ₽ вместо 18 700 ₽: уведомление в Роскомнадзор, документы по 152-ФЗ и документы для сайта. Все услуги ФТИ на одной странице.
Сопровождение — 1 990 ₽ в месяц: обновляем положение и другие акты при изменении закона, сайта и систем.

Состав пакета называем после разбора, до оплаты · консультация бесплатная

Положение, которое совпадает с вашей реальной работой

Получить разбор →

Частые ошибки

Положение скачано целиком, в нём чужие цели, чужие системы и чужие должности.
Нет перечня данных по целям, хотя закон требует определить их для каждой цели (п. 2 ч. 1 ст. 18.1).
Сроки ответа обещаны длиннее закона, например месяц вместо десяти рабочих дней.
Согласие вшито в положение или в трудовой договор. Оно оформляется отдельно (ч. 1 ст. 9).
Работники не ознакомлены под роспись. Для работников это прямая норма ТК (п. 8 ст. 86).

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Обязательно ли положение об обработке персональных данных?

Название «положение» закон не использует. Для оператора-юрлица закон требует издать локальные акты по вопросам обработки с определённым содержанием (п. 2 ч. 1 ст. 18.1 закона № 152-ФЗ). Положение это обычная форма такого акта. Для ИП эта норма не названа: по нашему прочтению, короткий документ о целях и данных полезен и ИП.

Чем положение об обработке отличается от политики?

Политику публикуют: она рассказывает людям, как вы обрабатываете данные (ч. 2 ст. 18.1). Положение внутренний акт: порядок работы с данными для работников и для подтверждения мер по запросу Роскомнадзора (ч. 4 ст. 18.1).

Что нужно указать в положении об обработке?

Для каждой цели: категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения (п. 2 ч. 1 ст. 18.1). Остальные разделы, например обращения субъектов и инциденты, это наша рекомендация.

Нужно ли знакомить работников с положением под роспись?

Да, по работникам. Они должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных (п. 8 ст. 86 ТК). Передача данных внутри организации идёт по акту, с которым работник ознакомлен под роспись (ст. 88 ТК).

Кто утверждает положение об обработке персональных данных?

Закон не называет утверждающего. Обычно это руководитель оператора, приказом. Лист ознакомления и форму приказа закон не задаёт, это практика.

Нужно ли публиковать положение на сайте?

Нет. Публикуют документ, определяющий политику, и сведения о реализуемых требованиях к защите (ч. 2 ст. 18.1). Положение внутренний акт. Если политика ссылается на него, пересказывайте в политике суть, а не копируйте положение целиком.

Можно ли использовать готовое положение из интернета?

Закон не запрещает. Но положение должно описывать вашу обработку: ваши цели, данные, сроки, системы. Чужой текст с чужими должностями и сроками ответа создаёт противоречия, которые видны при запросе документов.

Какие сроки ответа на обращения указать в положении?

Сроки закона: сообщить сведения или дать мотивированный отказ в течение 10 рабочих дней, при мотивированном уведомлении срок можно продлить не более чем на 5 рабочих дней (ч. 1, 2 ст. 20). Длиннее обещать нельзя: такой пункт расходится с законом.

Входит ли положение об обработке в пакет документов ФТИ и сколько он стоит?

В описании пакета документов по 152-ФЗ за 9 900 ₽ названы положение об обработке, приказ об ответственном, перечни, инструкции и журналы по вашей ситуации. Состав называем после разбора, до оплаты. Правки включены, пока вы не напишете «принимаю».

Что делать, если положение устарело?

Привести к реальной обработке: пересмотреть цели, данные, системы, сроки. Закон срока пересмотра не задаёт. Как обновлять документы, разобрано в статье об обновлении политики; сопровождение ФТИ стоит 1 990 ₽ в месяц.