Положение об обработке персональных данных

Публичная политика обработки ПДн и внутреннее положение решают разные задачи, хотя их часто путают.

Политика (ст. 18.1 152-ФЗ) - адресована субъектам персональных данных: клиентам, посетителям сайта, соискателям. Публикуется в открытом доступе, описывает подход компании к обработке данных в общих чертах, понятных внешнему читателю.

Положение - адресовано сотрудникам компании, действует внутри организации. Организует сам процесс обработки: кто из персонала имеет доступ к данным, в каком порядке и с какой ответственностью за нарушение.

Часть 2 статьи 19 152-ФЗ обязывает оператора принимать правовые, организационные и технические меры для защиты персональных данных, а разработка локальных актов, регламентирующих доступ и порядок работы с данными, - одна из типовых организационных мер, которую операторы применяют для выполнения этой обязанности.

Без внутреннего положения сотрудники компании фактически работают с персональными данными по устным договорённостям, что затрудняет контроль доступа и создаёт риск утечки или неправомерной обработки, за которую в итоге отвечает оператор как юридическое лицо.

Структура документа обычно включает следующие разделы.

Документ утверждается руководителем организации и доводится до сведения работников, чья деятельность связана с обработкой персональных данных, под подпись.

Ключевая практическая часть положения — разграничение доступа: кто из сотрудников какие данные видит и что с ними может делать. Принцип, из которого стоит исходить, — доступ предоставляется в объёме, необходимом для выполнения конкретных трудовых обязанностей, а не по умолчанию всем сотрудникам компании.

Например, бухгалтерия работает с персональными данными сотрудников для расчёта зарплаты и налогов, отдел продаж — с данными клиентов в рамках заключения и исполнения договоров, HR — с персональными данными соискателей и работников по кадровым основаниям. Пересечение этих массивов данных стоит минимизировать: сотруднику отдела продаж не нужен доступ к персональным данным других работников компании, а бухгалтеру — к полной базе клиентов.

Положение фиксирует эту логику в виде перечня должностей с указанием, к каким категориям данных и в каком объёме у каждой должности есть доступ. На практике этот перечень поддерживают актуальным вместе с кадровыми изменениями — при приёме, переводе или увольнении сотрудника доступ пересматривают.

Помимо разграничения доступа, положение описывает саму процедуру обработки: как данные поступают в компанию, где хранятся, кто отвечает за их актуальность, как происходит передача между подразделениями и как данные в итоге уничтожаются по истечении срока обработки.

Отдельного внимания в положении заслуживает обработка данных по поручению оператора — если компания передаёт часть функций обработки подрядчикам: бухгалтерским фирмам, IT-провайдерам, сервисам рассылок. Часть 3 ст. 6 152-ФЗ требует, чтобы такая передача оформлялась поручением с указанием перечня действий, целей обработки и обязанности подрядчика соблюдать конфиденциальность и меры безопасности данных.

Положение также фиксирует, кто в компании отвечает за организацию обработки персональных данных в целом — эта роль закрепляется отдельным приказом о назначении ответственного по ст. 22.1 152-ФЗ, а положение описывает его полномочия и обязанности по контролю за соблюдением документа другими сотрудниками.

Положение как локальный нормативный акт становится частью трудовых отношений с сотрудником: несоблюдение установленного им порядка обработки персональных данных может рассматриваться как нарушение трудовой дисциплины со всеми вытекающими последствиями по трудовому законодательству, вплоть до дисциплинарной ответственности.

Для того чтобы положение реально работало, а не оставалось формальным документом, стоит предусмотреть периодическую проверку его соблюдения — например, силами ответственного за организацию обработки ПДн — и обучение сотрудников, чья работа связана с персональными данными, базовым правилам обращения с ними.

Положение стоит пересматривать при существенных изменениях в структуре компании, появлении новых информационных систем для хранения данных или изменении законодательства о персональных данных, чтобы документ продолжал отражать реальную практику, а не устаревшую схему работы.