Положение об обработке персональных данных работников: структура и чек-лист
Положение о персональных данных не должно быть перечнем общих запретов. Оно связывает конкретные кадровые цели с составом сведений, правовыми основаниями, операциями, сроками хранения, доступами и мерами защиты. Практический каркас документа помогает не собирать лишнее и доказать управляемость обработки.
- Что регулирует положение
- Рекомендуемая структура
- Начните с карты целей, а не со списка документов
- Когда согласие не является универсальным решением
- Матрица доступа вместо общего разрешения
- Бумага тоже является обработкой
- Передача и подрядчики
- Сроки хранения и уничтожение
- Инциденты и обращения работников
- Чек-лист готовности положения
- Официальные источники
- Вопросы и ответы
Что регулирует положение
Работодатель является оператором персональных данных и обрабатывает сведения о кандидатах, работниках, бывших сотрудниках и иногда их родственниках. Один локальный акт не заменяет весь комплект документов, но задаёт общую модель: зачем компания получает данные, какие именно сведения нужны, на каком основании выполняются операции, кто имеет доступ и когда данные удаляются или уничтожаются.
Для кадровой информации одновременно учитывают Федеральный закон № 152-ФЗ, главу 14 ТК РФ, требования к неавтоматизированной обработке, архивные сроки и специальные нормы для отдельных сведений. Положение нельзя строить вокруг универсального согласия «на всё»: значительная часть кадровой обработки необходима для исполнения закона и трудового договора, а согласие используют только там, где для него есть самостоятельная цель и оно действительно добровольно.
Рекомендуемая структура
- Общие положения. Оператор, область действия, термины и связанные документы.
- Категории субъектов. Кандидаты, работники, бывшие работники, родственники и представители.
- Цели обработки. Отдельные, конкретные и законные цели без формулы «любые цели компании».
- Состав данных. Минимальный набор для каждой цели.
- Правовые основания. Закон, договор или отдельное согласие — по каждой операции.
- Способы и операции. Сбор, запись, систематизация, хранение, уточнение, использование, передача, блокирование, удаление и уничтожение.
- Получение и проверка. Источники сведений и порядок обновления.
- Доступ и передача. Роли, получатели, поручение обработчикам и трансграничная передача при наличии.
- Сроки. Хранение, прекращение цели, блокирование и уничтожение.
- Права субъектов. Запрос доступа, уточнение, обжалование и отзыв согласия.
- Меры защиты. Организационные и технические меры, инциденты и контроль.
- Ответственность и актуализация. Владельцы процесса, проверки и пересмотр.
Начните с карты целей, а не со списка документов
| Цель | Примеры необходимых данных | Типичное основание |
|---|---|---|
| Заключение и исполнение трудового договора | ФИО, контакты, образование, квалификация, трудовая функция | ТК РФ и договор |
| Расчёт выплат и обязательная отчётность | ИНН, СНИЛС, банковские реквизиты, начисления | Законодательная обязанность оператора |
| Воинский учёт | Сведения, прямо предусмотренные правилами учёта | Обязанность работодателя по закону |
| Добровольная публикация профиля | Фотография, биография, профессиональные достижения | Отдельное согласие, если нет иного основания |
| ДМС для родственника | Ограниченный набор сведений родственника | Условия программы и надлежащее основание |
Для каждой строки проверьте принцип минимизации: нельзя собирать сведения «на всякий случай». Если цель изменилась, оцените новое основание и уведомление субъекта до повторного использования.
Когда согласие не является универсальным решением
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года согласие на обработку персональных данных оформляют отдельно от иных информации и документов, которые подтверждает или подписывает субъект. Не прячьте его в трудовой договор, анкету или пакет правил.
Если обработка необходима для исполнения обязанностей работодателя, опирайтесь на соответствующее основание, а не требуйте согласие под угрозой отказа в работе. Отзыв согласия не отменяет операции, которые закон разрешает продолжать на ином основании, но прекращает использование, зависящее только от этого согласия.
Форму согласия на конкретную операцию удобно проверять по отдельному материалу про согласие на обработку персональных данных.
Матрица доступа вместо общего разрешения
Фраза «доступ имеют уполномоченные работники» недостаточна. Составьте матрицу по ролям и системам: кадровик видит личное дело, бухгалтер — реквизиты для расчёта, руководитель — только сведения, необходимые для управления, служба безопасности — строго определённый набор по законной цели. Доступ предоставляется по заявке, регулярно пересматривается и закрывается при переводе или увольнении.
Минимальная запись в матрице
«Роль: специалист по расчёту зарплаты. Система: зарплатный модуль. Данные: идентификаторы, начисления, удержания и платёжные реквизиты. Операции: просмотр, ввод, уточнение, выгрузка утверждённого реестра. Основание доступа: должностные обязанности. Владелец согласования: главный бухгалтер».
Общие папки, пересылка личных документов в мессенджер и бессрочные выгрузки на рабочий стол разрушают модель доступа, даже если положение написано хорошо.
Бумага тоже является обработкой
Постановление Правительства РФ № 687 регулирует неавтоматизированную обработку. Документы с персональными данными должны быть обособлены от иной информации, если их цели несовместимы; для разных целей может потребоваться раздельное хранение. Работникам, которые обрабатывают такие сведения, сообщают состав данных, особенности и правила работы с ними.
На практике определите шкафы и помещения, перечень ключей, журналы выдачи, правила копирования, доставки и уничтожения. Нельзя оставлять паспорта и заявления в доступных лотках или использовать оборот черновиков с персональными данными.
Передача и подрядчики
Для каждого внешнего получателя укажите цель и основание: банк, СФР, ФНС, страховщик, оператор кадровой системы, архив или учебная организация. Если подрядчик обрабатывает данные по поручению компании, договор должен содержать предусмотренные законом требования к перечню данных, операциям, целям, конфиденциальности, безопасности и подтверждению мер.
Разделяйте обязательную передачу государственному органу и коммерческое использование. Перед отправкой за рубеж отдельно оценивают правила трансграничной передачи и уведомительные обязанности. В положении лучше дать принцип и ссылку на реестр получателей, который можно обновлять без переписывания всего документа.
Сроки хранения и уничтожение
Фраза «храним до отзыва согласия» не подходит ко всему кадровому архиву. Срок определяется целью, законом, договором и архивными требованиями. Создайте таблицу категорий: активное личное дело, отчётность, документы по выплатам, резюме кандидатов, копии документов, записи контроля доступа. Для каждой категории укажите событие начала срока, продолжительность, систему и способ уничтожения.
Когда цель достигнута или основание прекращено, данные удаляют или уничтожают в установленные сроки, если закон не требует дальнейшего хранения. Уничтожение должно быть фактическим: удалить рабочую запись, резервные копии по принятому циклу, временные выгрузки и бумажные дубликаты; результат подтвердить актом или журналом по принятой процедуре.
Инциденты и обращения работников
Работник должен знать, куда направить запрос об обработке, уточнении или незаконном использовании. Внутри компании назначьте ответственных за регистрацию, проверку личности заявителя, поиск данных во всех системах, подготовку ответа и устранение нарушения.
Для инцидента определите единый канал, первичную фиксацию времени и состава данных, ограничение утечки, сохранение доказательств, оценку уведомительных обязанностей и корректирующие меры. Работники не должны самостоятельно скрывать ошибочно отправленное письмо или договариваться с получателем без регистрации события.
Чек-лист готовности положения
- цели разделены и не сформулированы чрезмерно широко;
- для каждой цели указан минимальный состав данных;
- основание не подменяется универсальным согласием;
- согласия оформляются отдельно от других документов;
- категории субъектов и получателей перечислены;
- есть матрица доступа и процедура его отзыва;
- бумажные документы включены в модель защиты;
- подрядчики оформлены поручениями с обязательными условиями;
- сроки хранения связаны с категориями и событиями;
- описано подтверждаемое уничтожение;
- работает процедура обращений и инцидентов;
- положение совпадает с уведомлением оператора и фактическими системами.
Официальные источники
Базовые принципы, основания и обязанности оператора закреплены в Федеральном законе № 152-ФЗ. Требования к бумажной и иной неавтоматизированной обработке установлены постановлением Правительства РФ № 687. Требование об отдельном оформлении согласия действует с 1 сентября 2025 года по Федеральному закону № 156-ФЗ.
Выстройте законную обработку данных работников и контроль реальных рисков.
Курс «Защита персональных данных: минимизируем риски» помогает систематизировать основания, документы и меры защиты. В числе преподавателей — Евгения Конюхова.
Рабочее положение отражает реальный путь данных — от получения до уничтожения. Его качество проверяется не объёмом текста, а тем, можно ли по нему объяснить каждую цель, доступ, передачу и срок.
Вопросы и ответы
- Обязательно ли брать согласие у работника на всю кадровую обработку?
Нет. Многие операции выполняются на основании закона и трудового договора. Согласие используют для конкретных целей, где нет иного надлежащего основания; оно должно быть добровольным и с 1 сентября 2025 года оформляется отдельно.
- Можно ли хранить копию паспорта в личном деле?
Нужно доказать конкретную цель, основание и необходимый срок хранения копии. Если для кадрового действия достаточно сверить документ и записать обязательные сведения, постоянное хранение полной копии может нарушать принцип минимизации.
- Нужно ли включать бумажные документы в положение?
Да. Неавтоматизированная обработка также регулируется законом и постановлением № 687. Следует описать раздельное хранение, доступ, выдачу, копирование и уничтожение бумажных носителей.
- Достаточно ли утвердить положение один раз?
Нет. Его пересматривают при изменении целей, систем, подрядчиков, состава данных и законодательства, а также после инцидентов и проверок. Документ должен совпадать с фактической обработкой.
- Как утвердить положение и ознакомить работников?
Порядок хранения и использования данных устанавливает работодатель с соблюдением ТК РФ и других законов. Документ утверждает уполномоченное лицо в принятом у работодателя порядке; работников и их представителей знакомят под роспись с документами о порядке обработки персональных данных и их правах и обязанностях. После содержательного изменения положение и листы ознакомления актуализируют.
- Какие сроки действуют при утечке персональных данных?
Если неправомерная или случайная передача данных повлекла нарушение прав субъектов, оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента, а результаты внутреннего расследования направляет в течение 72 часов. В положении нужно заранее закрепить канал эскалации, ответственных и фиксацию времени обнаружения.