Положение об обработке персональных данных работников: что включить + образец 2026
Положение об обработке персональных данных работников — обязательный внутренний документ работодателя: он описывает, как в организации собирают, используют, хранят, передают и уничтожают данные сотрудников и кто имеет к ним доступ. Его требуют гл. 14 Трудового кодекса и ст. 18.1 152-ФЗ, с ним знакомят каждого работника под подпись, и именно его в первую очередь запрашивает Роскомнадзор при проверке. Ниже — что включить в Положение по разделам, как ввести его в действие и готовый образец, который можно скачать и адаптировать.
Содержание
Что это за документ и обязателен ли он
Положение об обработке персональных данных работников (его также называют «Положением о защите персональных данных работников» или «Положением о работе с персональными данными работников») — это локальный нормативный акт (ЛНА). Он устанавливает в организации единый порядок: как собирают, используют, хранят, передают и уничтожают персональные данные сотрудников, кто и на каком основании имеет к ним доступ, какими мерами данные защищают и какие права есть у работника. По сути это главный внутренний документ работодателя по персональным данным, на который опираются все кадровые процессы.
Положение обязательно для любого работодателя — и организации, и ИП с наёмными работниками. Обязанность установить порядок хранения и использования персональных данных работников прямо закреплена в ст. 87 ТК РФ, требование знакомить работников с этим порядком под подпись — в ст. 86 и 88 ТК РФ, а для 152-ФЗ Положение входит в состав документов, определяющих политику оператора в отношении обработки данных (ст. 18.1). Разрабатывает документ сам работодатель (обычно кадровая или юридическая служба), утверждает руководитель приказом.
Отсутствие Положения — или его формальное наличие без ознакомления работников — это нарушение, которое Роскомнадзор фиксирует при проверке в первую очередь. Поэтому компании и ИП берут за основу готовый образец положения о персональных данных работников и адаптируют его под свою организацию: прописывают реальные цели обработки, состав данных, перечень допущенных сотрудников и сроки хранения.
Что включить в Положение — разделы
Жёсткой формы нет, но проверяющие ждут, что документ закрывает все этапы обработки. Рабочая структура:
Общие положенияНазначение документа, нормативная база (152-ФЗ, гл. 14 ТК), на кого распространяется.
Понятия и состав данныхЧто относится к ПДн работника, категории субъектов (работники, кандидаты, бывшие работники, члены семьи), спецкатегории (здоровье).
Цели и правовые основанияДля чего обрабатывают (кадры, зарплата, отчётность) и на каком основании — трудовые отношения и закон; где требуется согласие.
Порядок обработки и доступаКак получают, используют и передают данные; кто допущен к обработке; обязательство о неразглашении для допущенных лиц.
Хранение и уничтожениеГде и сколько хранятся данные (сроки по Перечню Росархива), порядок уничтожения ненужного.
Права работника и меры защитыПрава субъекта (доступ, уточнение, обжалование), организационные и технические меры защиты, ответственность за нарушение.
Проверьте внешнюю часть комплаенса
Положение закрывает внутренние процессы, но Роскомнадзор смотрит и на сайт. Сканер ScanBase проверит, есть ли публичная политика, реквизиты оператора и запись в реестре РКН. Бесплатно, меньше минуты.
Как ввести Положение в действие
Руководитель издаёт приказ об утверждении Положения. Этим же или отдельным приказом назначается ответственный за организацию обработки персональных данных.
Каждого работника знакомят с Положением под подпись (ст. 88 ТК) — в листе ознакомления или в самом документе. Новых сотрудников знакомят при приёме, до начала работы.
Обязательство о неразглашении с допущенных к данным сотрудников, согласия на обработку сверх обязательных целей, уведомление в Роскомнадзор. Так пакет будет полным.
Частые ошибки
Положение есть, но работников с ним не ознакомили
Документ без листа ознакомления под подпись не выполняет свою функцию. Знакомьте каждого работника и фиксируйте подпись и дату.
Скачали чужое Положение и не адаптировали
Шаблон — только основа. Укажите реальные цели, состав данных, кто допущен и как хранятся данные именно в вашей организации, иначе документ противоречит фактам.
Положение подменяет публичную Политику на сайте
Это разные документы. Нужны оба: внутреннее Положение о работниках и публичная Политика обработки ПДн (ст. 18.1) на сайте.
По теме
Частые вопросы
Да. Обязанность установить порядок обработки и ознакомить с ним работников следует из ст. 86–88 ТК РФ, а принятие документов о политике обработки — из ст. 18.1 152-ФЗ. Отсутствие документа — нарушение, которое видно при проверке.
Положение — внутренний документ о работниках, с ним знакомят сотрудников под подпись. Политика (ст. 18.1) — публичный документ для всех субъектов, её размещают на сайте. Нужны оба; один не заменяет другой.
Общие положения и нормативную базу, понятия и состав данных, цели и правовые основания, порядок обработки и доступа, обязательство о неразглашении, хранение и уничтожение, права работника, меры защиты и ответственность.
Утвердить приказом руководителя, назначить ответственного за обработку, ознакомить работников под подпись (новых — при приёме), собрать сопутствующие документы (обязательство о неразглашении, согласия, уведомление в РКН).
Да, как основу — скачайте образец выше. Но обязательно адаптируйте под свою организацию: реальные цели, состав данных, допущенные лица и сроки хранения. Шаблон, противоречащий фактам, не защитит при проверке.