- Положение о защите ПД — внутренний документ компании, регулирующий порядок обработки и защиты данных
- Документ обязателен для операторов персональных данных и проверяется Роскомнадзором
- Положение отличается от политики конфиденциальности: оно предназначено для сотрудников, а не для клиентов
- В документе должны быть описаны меры защиты, роли сотрудников, сроки хранения и порядок уничтожения ПД
- Положение необходимо регулярно актуализировать при изменении процессов обработки данных
Что такое положение о защите персональных данных
Положение о защите персональных данных (также «Положение об обработке и защите ПД») — внутренний нормативный документ организации, регулирующий порядок обработки и защиты ПД.
В отличие от политики конфиденциальности, которая публикуется на сайте и адресована субъектам ПД, положение — рабочий документ для сотрудников компании.
Обязанность принять документы, определяющие политику в отношении обработки ПД, установлена статьёй 18.1 ФЗ-152. Положение о защите ПД — один из ключевых таких документов.
Чем отличается положение от политики конфиденциальности
| Характеристика | Положение о защите ПД | Политика конфиденциальности | |---|---|---| | Аудитория | Сотрудники, руководство | Клиенты, пользователи сайта | | Публикация | Внутренний документ | Публикуется на сайте | | Содержание | Меры защиты, процедуры, роли | Цели, категории, права субъектов | | Кто утверждает | Руководитель компании | Руководитель компании | | Обязательность | Обязателен по ФЗ-152 | Обязателен по ФЗ-152 |
Обязательное содержание положения
Статья 18.1 ФЗ-152 и методические рекомендации РКН определяют минимальный состав положения:
Раздел 1. Общие положения
- Цели и задачи документа
- Область применения
- Нормативная база (ФЗ-152, НК РФ, ТК РФ и пр.)
- Термины и определения
Раздел 2. Категории обрабатываемых ПД
- Перечень категорий субъектов (клиенты, сотрудники, партнёры)
- Перечень категорий данных по каждой группе субъектов
- Цели обработки для каждой категории
- Правовые основания обработки (согласие, договор, закон)
Раздел 3. Организационные меры защиты
- Назначение ответственного за организацию обработки ПД
- Порядок проведения инструктажа сотрудников
- Процедура предоставления доступа к ПД
- Порядок обработки запросов субъектов ПД
- Процедура при выявлении инцидентов
Раздел 4. Технические меры защиты
- Применяемые средства защиты информации
- Требования к паролям и аутентификации
- Порядок резервного копирования
- Требования к антивирусной защите
- Шифрование при передаче и хранении
Раздел 5. Обработка по поручению (при наличии)
- Порядок привлечения обработчиков (подрядчиков)
- Требования к договорам поручения
- Ответственность обработчиков
Раздел 6. Сроки хранения и уничтожение
- Матрица сроков хранения по категориям
- Порядок уничтожения ПД
- Форма акта об уничтожении
Раздел 7. Ответственность
- Ответственность сотрудников за нарушение положения
- Дисциплинарные меры
- Ссылки на административную и уголовную ответственность
Порядок введения в действие
- Разработка проекта положения (юрист или специалист по ПД)
- Согласование с ответственным за ПД, HR, IT
- Утверждение руководителем (приказ)
- Ознакомление сотрудников под роспись
- Хранение в оригинале + электронная версия в корпоративной системе
Сотрудники, имеющие доступ к ПД, обязаны быть ознакомлены с положением под роспись. Это требование статьи 87 ТК РФ и статьи 18.1 ФЗ-152.
Типичные ошибки при проверках
| Ошибка | Чем опасна | |---|---| | Использование шаблона без адаптации | Документ не соответствует реальным процессам компании | | Нет описания технических мер защиты | Претензии РКН и ИБ-аудита | | Сотрудники не ознакомлены под роспись | Нарушение требований ТК РФ и ФЗ-152 | | Не описаны сроки хранения | Данные могут храниться бессрочно | | Положение не обновлялось несколько лет | Документ считается неактуальным |
Если в положении указаны меры защиты, которых фактически нет, инспектор РКН квалифицирует это как несоответствие реальной практике обработки данных.
Обновление положения
Положение нужно актуализировать при:
- Изменении состава обрабатываемых ПД
- Изменении целей обработки
- Изменении применяемых технических средств
- Изменении структуры компании (подразделения, ответственные)
- Выходе новых нормативных актов
Рекомендованная периодичность плановой проверки — раз в год.
- Положение разработано и утверждено приказом руководителяобязательно
- Все сотрудники с доступом к ПД ознакомлены под росписьобязательно
- Положение содержит матрицу сроков хранения и процедуру уничтожения
- Технические меры защиты описаны и соответствуют реальным мерам
- Положение актуализировано (не старше 1–2 лет)
- Есть версия для ознакомления в корпоративной системе