Положение об обработке персональных данных: образец 2026

Положение об обработке персональных данных — это внутренний нормативный документ оператора, который детально регламентирует порядок работы с персональными данными внутри организации. В отличие от публичной политики, которая адресована субъектам данных, положение адресовано сотрудникам компании и описывает конкретные процедуры, права доступа, сроки и ответственность.

Разработать положение обязаны все операторы персональных данных — на основании ст. 18.1 152-ФЗ. Для работодателей это требование дополнительно закреплено в ст. 87 Трудового кодекса РФ. Для ИП без сотрудников, которые обрабатывают данные клиентов или пользователей сайта, основанием является именно ст. 18.1 152-ФЗ — обязанность принять внутренние документы, регулирующие обработку ПД.

Подробнее о работе с ПД сотрудников — в статье Обработка персональных данных сотрудников: требования и документы.

Цена ошибки: штрафы 2026

Прежде чем разбирать структуру документа — несколько цифр, которые объясняют, зачем его делать правильно.

С 30.05.2025 действует обновлённая редакция ст. 13.11 КоАП РФ (420-ФЗ). Штрафы для юридических лиц:

Нарушение	Штраф для юрлица
Неуведомление РКН об инциденте/утечке	1–3 млн руб.
Утечка данных 1–10 тыс. субъектов	3–5 млн руб.
Утечка данных 10–100 тыс. субъектов	5–10 млн руб.
Утечка данных >100 тыс. субъектов	10–15 млн руб.
Утечка специальных категорий ПД — ст. 10 152-ФЗ (ч. 16 ст. 13.11)	10–15 млн руб.
Утечка биометрических данных — ст. 11 152-ФЗ (ч. 17 ст. 13.11)	15–20 млн руб.
Повторная утечка	1–3% годовой выручки
Хранение данных граждан РФ в зарубежных БД (с 01.07.2025)	1–6 млн руб. (ч. 8 ст. 13.11, 23-ФЗ)

Скидка 50% на оплату штрафа по ст. 13.11 исключена для всех составов: 420-ФЗ включил статью в перечень ч. 1.3-3 ст. 32.2 КоАП.

Положение об обработке ПД — это не гарантия от штрафа, но его отсутствие или формальность при проверке означает, что оператор не может подтвердить принятие мер. А это прямое основание для санкций.

Минимальный штраф из этой таблицы — 1–3 млн руб., а пакет документов, включая положение об обработке персональных данных, в ПдПро стоит от 3 980 ₽. Попробовать →

Чем положение отличается от политики

Положение и политику часто путают при формировании пакета документов. Разница принципиальная:

Критерий	Политика обработки ПД	Положение об обработке ПД
Аудитория	Субъекты данных (клиенты, пользователи)	Сотрудники и руководители
Характер	Публичный документ	Внутренний документ
Размещение	На сайте, на стенде	В локальных нормативных актах
Уровень детализации	Общий (цели, права субъектов)	Детальный (процедуры, ответственные, сроки)
Ознакомление	Любой желающий	Под роспись всех сотрудников
Правовое основание	Ч. 2 ст. 18.1 152-ФЗ	Ст. 18.1 152-ФЗ, ст. 87 ТК РФ

Некоторые организации объединяют политику и положение в один документ. Это допустимо, но тогда он должен быть одновременно публичным и содержать все элементы обоих документов. Для организаций с сотрудниками лучше разделять.

Требования именно к политике — в статье Политика обработки персональных данных: как составить.

Правовые основания для разработки положения

Статья 18.1 152-ФЗ — обязывает всех операторов принять внутренние документы, регулирующие обработку ПД: определять категории данных, цели обработки, порядок уничтожения, процедуры предотвращения нарушений. Это основание распространяется на юридических лиц, ИП и физических лиц — операторов персональных данных.

Статья 87 ТК РФ — дополнительно обязывает работодателей установить порядок хранения, использования и защиты персональных данных работников в локальном нормативном акте.

Постановление Правительства № 687 — устанавливает особенности обработки ПД без средств автоматизации.

Постановление Правительства № 1119 — определяет уровни защиты информационных систем персональных данных.

Кто утверждает положение

Положение об обработке ПД является локальным нормативным актом организации. Порядок его принятия:

Разрабатывается ответственным за ПД (юристом, кадровиком, ИТ-специалистом) или привлечённым консультантом
При наличии профсоюза — согласовывается с профсоюзом (ст. 372 ТК РФ)
Утверждается приказом руководителя организации
Доводится до сведения всех сотрудников под роспись — до подписания трудового договора или при уже работающих сотрудниках — до введения документа в действие

Для ИП: положение утверждается самим индивидуальным предпринимателем.

Обязательные разделы положения

1. Общие положения

Указывается:

Цель документа
Сфера применения (все структурные подразделения, конкретные должности)
Ссылки на законодательство (152-ФЗ, ТК РФ, ПП № 1119, ПП № 687)
Порядок введения в действие и пересмотра

2. Основные понятия

Глоссарий с определениями всех ключевых терминов: персональные данные, субъект, оператор, обработка, уничтожение, обезличивание и т.д. Важно, чтобы определения соответствовали действующей редакции 152-ФЗ.

3. Состав и категории персональных данных

Подробный перечень всех видов ПД, обрабатываемых в организации, с разбивкой по:

Категориям субъектов (работники, клиенты, контрагенты)
Категориям данных (общие, специальные, биометрические)
Информационным системам, где данные хранятся

4. Цели обработки персональных данных

Для каждой категории субъектов — перечень целей с указанием правового основания:

Работники:
— Оформление трудовых отношений (ТК РФ)
— Расчёт и выплата заработной платы (ТК РФ, НК РФ)
— Ведение воинского учёта (ФЗ «О воинской обязанности»)
— Передача данных в ФНС, СФР (законодательство о налогах и взносах)

Клиенты:
— Исполнение договора (ст. 6 ч. 1 п. 5 152-ФЗ)
— Направление информационных рассылок (ст. 6 ч. 1 п. 1 152-ФЗ, согласие)

5. Принципы обработки персональных данных

Перечисляются принципы из ст. 5 152-ФЗ: законность, справедливость, ограничение целей, минимизация, точность, ограничение хранения, безопасность.

6. Порядок получения персональных данных

Описываются все способы сбора:

При приёме на работу (перечень документов)
Через форму на сайте
По телефону
Из документов, представленных субъектом

Важно с 01.09.2025 (156-ФЗ): согласие на обработку персональных данных должно быть оформлено отдельно от иных документов, которые подписывает субъект. Согласие, встроенное в договор или анкету как пункт, с этой даты не соответствует закону. Соответствующий порядок должен быть закреплён в положении.

7. Порядок хранения персональных данных

Место хранения (физические папки в сейфе, электронные базы, CRM)
Носители: бумажные, электронные
Режим доступа: кто, каким образом, в каком объёме
Разграничение прав доступа

Требование с 01.07.2025 (23-ФЗ): запись, систематизация, накопление и хранение персональных данных граждан РФ с использованием баз данных за пределами России — запрещены (ч. 5 ст. 18 152-ФЗ). Облачные сервисы с зарубежными серверами (Google Sheets, Notion, иностранные CRM) нарушают это требование. Штраф — от 1 до 6 млн руб. (ч. 8 ст. 13.11 КоАП РФ). В положении должен быть прямо прописан запрет использования зарубежных БД для хранения данных граждан РФ.

8. Перечень должностей с доступом к персональным данным

Таблица: должность — категория данных — объём доступа (чтение/редактирование/удаление).

9. Порядок передачи персональных данных

Передача внутри организации (между отделами)
Передача третьим лицам с перечнем получателей
Трансграничная передача
Требования к соглашениям с обработчиками (ст. 6 ч. 3 152-ФЗ)

10. Сроки хранения и порядок уничтожения

Таблица с конкретными сроками для каждой категории документов:

Категория данных	Срок хранения	Основание
Личное дело работника	50 лет	Приказ Росархива № 236
Трудовой договор	50 лет	Приказ Росархива № 236
Согласия субъектов на обработку ПД	До истечения цели + с учётом исковой давности	Ст. 5 ч. 7 152-ФЗ
Данные о заказах	5 лет	Налоговое законодательство

Примечание о сроке хранения согласий. Ст. 5 ч. 7 152-ФЗ устанавливает принцип: данные хранятся не дольше, чем этого требуют цели обработки. Конкретный срок в законе не закреплён — он определяется целью, а также периодом, в течение которого оператор может быть привлечён к ответственности (общий срок исковой давности — 3 года, ст. 196 ГК РФ). На практике принято хранить согласия в течение срока действия + 3 года после его истечения, либо до отзыва согласия субъектом.

Порядок уничтожения:

Бумажные документы: шредирование с составлением акта
Электронные данные: безвозвратное удаление с фиксацией в акте

Акт уничтожения должен содержать реквизиты, установленные Приказом РКН от 28.10.2022 № 179 (ст. 21 ч. 7 152-ФЗ): наименование/ФИО и адрес оператора; при обработке по поручению — данные обработчика; ФИО субъектов (или иные идентификаторы); ФИО и должность лиц, уничтоживших ПД, и их подписи; перечень категорий уничтоженных данных; наименование материального носителя с указанием числа листов (при бумажной обработке) или наименование ИСПДн (при автоматизированной); способ, причину и дату уничтожения. Акт хранится 3 года.

11. Меры по обеспечению безопасности

Организационные:

Режим доступа в помещения с документами
Инструктаж сотрудников
Проведение внутренних проверок

Технические:

Антивирусная защита
Межсетевые экраны
Шифрование при передаче (HTTPS, VPN)
Резервное копирование
Разграничение прав в информационных системах
Логирование действий с ПД

12. Права субъектов персональных данных

Описывается, как сотрудники компании должны реагировать на обращения субъектов:

Кто принимает запросы
По каким каналам
Сроки ответа: 10 рабочих дней с даты получения запроса, с продлением не более чем на 5 рабочих дней по мотивированному уведомлению субъекта (ч. 1 ст. 20 152-ФЗ)
Срок на исправление и уничтожение по подтверждённому обращению субъекта: если данные неполны, неточны или неактуальны — внести изменения в течение 7 рабочих дней со дня представления субъектом подтверждающих сведений; если данные получены незаконно либо не нужны для заявленной цели обработки — уничтожить их в тот же срок, 7 рабочих дней (ч. 3 ст. 20 152-ФЗ)
Форма ответа

13. Ответственность

Указывается ответственность:

Ответственного за организацию обработки ПД
Руководителей структурных подразделений
Рядовых сотрудников с доступом к ПД
Санкции за нарушения (дисциплинарные, административные, уголовные)

14. Порядок реагирования на инциденты

С 01.09.2022 (266-ФЗ) все операторы обязаны уведомлять Роскомнадзор о фактах неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов (ст. 21 ч. 3.1 152-ФЗ, Приказ РКН № 187):

24 часа с момента выявления инцидента — первичное уведомление: описание инцидента, предполагаемые причины, предварительная оценка вреда, принятые меры, контактное лицо
72 часа — дополнительное уведомление: результаты внутреннего расследования, сведения о виновных лицах (при наличии)

Уведомление направляется через портал pd.rkn.gov.ru.

В положении должны быть указаны: кто является ответственным за направление уведомлений; порядок внутреннего расследования; как и в какой срок информируются субъекты данных.

За неуведомление РКН об инциденте — штраф 1–3 млн руб. (ч. 11 ст. 13.11 КоАП РФ).

Образец структуры положения

УТВЕРЖДЕНО
Приказом [Наименование организации]
№ ___ от «__» _______ 2026 г.
Генеральный директор _____________ /ФИО/

ПОЛОЖЕНИЕ
об обработке и защите персональных данных
[Наименование организации]

1. ОБЩИЕ ПОЛОЖЕНИЯ
   1.1. Цель и область применения
   1.2. Нормативная база (152-ФЗ, ТК РФ, ПП № 1119, ПП № 687)
   1.3. Порядок пересмотра

2. ОСНОВНЫЕ ПОНЯТИЯ И ОПРЕДЕЛЕНИЯ

3. СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ
   3.1. Персональные данные работников
   3.2. Персональные данные клиентов
   3.3. Специальные категории персональных данных

4. ЦЕЛИ И ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ

5. ПРИНЦИПЫ ОБРАБОТКИ (ст. 5 152-ФЗ)

6. ПОРЯДОК СБОРА ПЕРСОНАЛЬНЫХ ДАННЫХ
   6.1. Порядок получения согласия (требования 156-ФЗ с 01.09.2025)

7. ПОРЯДОК ХРАНЕНИЯ
   7.1. Хранение на бумажных носителях
   7.2. Хранение в электронном виде
   7.3. Разграничение прав доступа
   7.4. Требования к локализации (запрет зарубежных БД, 23-ФЗ с 01.07.2025)

8. ПЕРЕЧЕНЬ ДОЛЖНОСТЕЙ С ПРАВОМ ДОСТУПА

9. ПОРЯДОК ПЕРЕДАЧИ ТРЕТЬИМ ЛИЦАМ

10. СРОКИ ХРАНЕНИЯ И ПОРЯДОК УНИЧТОЖЕНИЯ
    10.1. Сроки хранения
    10.2. Процедура уничтожения
    10.3. Документирование уничтожения (акт по Приказу РКН № 179)

11. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ
    11.1. Организационные меры
    11.2. Технические меры

12. ПРАВА СУБЪЕКТОВ И ПОРЯДОК РЕАГИРОВАНИЯ

13. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ТРЕБОВАНИЙ

14. ПОРЯДОК РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ
    (уведомление РКН: 24ч + 72ч, Приказ РКН № 187)

Приложения:
— Перечень обрабатываемых персональных данных
— Перечень должностей с доступом к ПД
— Форма акта уничтожения ПД (реквизиты по Приказу РКН № 179)
— Форма журнала обращений субъектов

Когда пересматривать положение

Положение подлежит обязательному пересмотру при:

Изменении требований законодательства
Появлении новых категорий ПД или субъектов
Внедрении новых информационных систем
Изменении организационной структуры
Результатах внутреннего аудита, выявившего несоответствия

Рекомендуемая периодичность плановой актуализации — не реже одного раза в год.

Актуальные изменения, которые должны быть отражены в положении в 2025–2026 году:

23-ФЗ (с 01.07.2025) — запрет хранения данных граждан РФ в зарубежных базах данных; штраф 1–6 млн руб.
156-ФЗ (с 01.09.2025) — согласие на обработку ПД оформляется отдельным документом, а не пунктом в договоре или анкете
420-ФЗ (с 30.05.2025) — новые размеры штрафов по ст. 13.11 КоАП РФ, включая оборотные санкции за повторные утечки

Частые ошибки при разработке положения

1. Не разграничены должности по доступу

«Доступ к ПД имеют все сотрудники» — нарушение принципа минимизации (ст. 5 ч. 5 152-ФЗ: объём обрабатываемых ПД не должен быть избыточным по отношению к заявленным целям) и требования ст. 88 ТК РФ. При проверке — основание для предписания и штрафа.

2. Нет процедуры уничтожения или акт не соответствует приказу РКН № 179

Написано «данные уничтожаются» — но не указано как, кем, с каким документированием. Либо используется произвольная форма акта, в которой отсутствуют обязательные реквизиты (адрес оператора, ФИО уничтожившего, наименование носителя или ИСПДн и др.). Акт уничтожения, не соответствующий Приказу РКН № 179, не является надлежащим подтверждением уничтожения ПД.

3. Сотрудники не ознакомлены под роспись

Документ создан, но листы ознакомления не собраны — при проверке доказать выполнение требования невозможно.

4. Данные хранятся в зарубежных сервисах

В документе написано про российские системы, а реально все данные — в Google Sheets, Notion или иной облачной системе с серверами за рубежом. С 01.07.2025 это прямое нарушение ч. 5 ст. 18 152-ФЗ (23-ФЗ) с штрафом 1–6 млн руб.

5. Нет раздела об инцидентах или не указаны сроки уведомления

С 01.09.2022 (266-ФЗ) уведомление Роскомнадзора об утечках обязательно. Без прописанной процедуры в положении сотрудники не знают, что делать при инциденте. Просрочка уведомления или его отсутствие — штраф 1–3 млн руб.

6. Согласия встроены в договоры (с 01.09.2025)

После вступления в силу 156-ФЗ согласие на обработку ПД, оформленное как пункт договора, трудового соглашения или анкеты, не соответствует закону. Необходим отдельный документ.

Частые вопросы

Нужно ли положение об обработке персональных данных ИП без сотрудников? Да. Обязанность разработать положение вытекает из ст. 18.1 152-ФЗ и распространяется на всех операторов ПД, включая ИП без сотрудников, которые обрабатывают данные клиентов или пользователей сайта. Ст. 87 ТК РФ добавляет требование только для работодателей — но для ИП без штата основанием остаётся именно 152-ФЗ.

Можно ли использовать типовой шаблон положения из интернета? Формально документ появится, но при проверке инспектор сверяет содержание с реальной обработкой в компании. Типовое положение не отражает конкретные категории данных, информационные системы, сроки хранения и должности с доступом — это те же риски, что и при полном отсутствии документа.

Чем положение отличается от согласия на обработку персональных данных? Это разные документы с разным адресатом. Согласие подписывает субъект персональных данных — оно подтверждает его волю на обработку. Положение — внутренний документ оператора, который описывает, как компания организует обработку и защиту ПД сотрудников и клиентов. Один документ не заменяет другой.

Что будет, если положение есть, но сотрудники не ознакомлены под роспись? При проверке оператор не сможет подтвердить, что довёл процедуры обработки ПД до сотрудников. Формально документ есть, но требование считается невыполненным — это основание для предписания и штрафа наравне с отсутствием положения.

Сформировать положение автоматически

Разработка положения об обработке ПД вручную — это минимум 3–4 часа работы юриста и риск пропустить актуальные требования. ПдПро генерирует Положение об обработке персональных данных и остальной пакет документов по 152-ФЗ за ~10 минут.

Как это работает:

Вы отвечаете на ~30 вопросов о своём бизнесе (тип организации, виды данных, способы обработки, наличие сотрудников)
Система определяет нужный набор документов и адаптирует их под ваш профиль
Получаете готовые DOCX-файлы — загружайте, подписывайте, вводите в действие

Все шаблоны учитывают актуальные требования 2026 года: 23-ФЗ, 156-ФЗ, обновлённые штрафы по 420-ФЗ, Приказы РКН № 179 и № 187.

Положение — один из обязательных документов; полный список — в статье Перечень документов по 152-ФЗ: полный список для бизнеса.

Сформировать пакет документов →

Тариф «Полгода» — 3 980 ₽, тариф «На 2 года» — 8 980 ₽ (все обновления в течение срока включены). Для сравнения: консультация юриста по 152-ФЗ — от 5 000 ₽, а разработка пакета документов сторонним юристом — от 30 000 ₽.