Политика обработки персональных данных — образец 2026
Образец приказа и политики обработки персональных данных по ст. 18.1 152-ФЗ: субъекты, цели, правовые основания, сроки хранения, права субъектов, меры защиты, порядок при утечке. DOCX + PDF.
- 152-ФЗ, ст. 18.1
- 152-ФЗ, ст. 6, 9
- КоАП, ст. 13.11, ч. 3
Коротко. Политика обработки персональных данных — обязательный документ любого оператора по ч. 1 и 2 ст. 18.1 152-ФЗ. Она описывает, чьи данные, зачем и на каком основании обрабатывает организация, сколько их хранит, кому передаёт и как защищает. К политике должен быть неограниченный доступ, а если данные собираются через интернет — её публикуют на сайте. За неопубликованную политику организацию штрафуют по ч. 3 ст. 13.11 КоАП.
Структура документа
- Приказ: утверждение политики, публикация на сайте и выдача по запросу, ознакомление работников, ответственный за актуальность
- Общие положения: назначение политики, на какие процессы распространяется
- Таблица «субъекты — цели — правовые основания — состав данных»: клиенты, посетители сайта, работники, соискатели, контрагенты
- Специальные категории и биометрия: обрабатываются ли и на каком основании
- Порядок и условия обработки: способ, места хранения баз в России, передача третьим лицам, трансграничная передача, сроки хранения, согласие отдельным документом
- Права субъектов и порядок обращения к оператору
- Меры по обеспечению безопасности и действия при утечке (24 и 72 часа)
- Актуализация и контроль; лист ознакомления
Состав всех уровней — на странице комплекта документов по персональным данным.
Зачем нужна политика
Политика — главный открытый документ оператора. По ней Роскомнадзор и сам человек понимают, что происходит с его данными: зачем их собрали, на каком основании, кому передают и когда удалят. При проверке её смотрят одной из первых, а для сайта отсутствие ссылки на политику — самое заметное нарушение: его видно без запроса документов.
Политика должна совпадать с другими документами. Цели и состав данных в ней те же, что в перечне обрабатываемых персональных данных и в уведомлении в Роскомнадзор; согласия, на которые она ссылается, — это отдельные документы (форма согласия клиента).
Что в образце
Приказ. Утверждает политику, поручает опубликовать её на сайте — ссылкой из подвала каждой страницы и со всех страниц, где собираются данные, — ознакомить работников и назначает того, кто следит за её актуальностью. Обычно это ответственный за организацию обработки.
Таблица целей. Главная часть: для каждой категории субъектов — цель, правовое основание по ст. 6 152-ФЗ и состав данных. Клиентам договор служит основанием сам по себе, рассылкам и аналитическим cookie нужно согласие, работникам — Трудовой и Налоговый кодексы.
Условия обработки. Где хранятся базы (при сборе данных граждан России — на территории России), кому данные передаются, есть ли трансграничная передача, сроки хранения по категориям и правило: согласие, когда оно нужно, оформляется отдельно от других документов.
Права субъектов и меры защиты. Как обратиться к оператору, что отзыв согласия не останавливает обработку по договору или закону, какие меры приняты и что при утечке Роскомнадзор уведомляется в течение 24 и 72 часов.
Как заполнить
- Перечислите реальные процессы: продажи, доставка, сайт, кадры, подбор персонала, работа с контрагентами. Лишние строки удалите — политика «на всякий случай» обещает то, чего организация не делает.
- Для каждой строки выберите одно основание. Не ставьте «согласие» там, где обработка нужна для договора: отзыв такого согласия поставит вас в тупик.
- Укажите сроки хранения и реальное место хранения баз — свои помещения или ЦОД хостинг-провайдера в России.
- Удалите курсивные указания и опубликуйте документ отдельной страницей, а не файлом в архиве.
Частые ошибки
- Скачанная чужая политика. В ней чужие цели, сервисы и сроки — расхождение с фактической обработкой само по себе нарушение.
- Политика есть, ссылки на неё у форм нет. Пользователь должен видеть её там, где оставляет данные.
- Нет оснований обработки. Перечень целей без правовых оснований не отвечает требованиям ст. 18.1.
- Политику не обновляют. Новый сервис рассылок, CRM или хостинг меняют передачу и место хранения — правится политика и уведомление в Роскомнадзор.
Частые вопросы
Нужно ли публиковать политику, если у компании нет сайта?
Закон требует обеспечить неограниченный доступ к политике в любом случае: например, держать её в доступном месте в офисе и выдавать по запросу. Обязанность опубликовать политику в интернете возникает, когда данные собираются через интернет — формы, заказы, аналитика на сайте.
Можно ли написать одну политику для сайта и для работников?
Да, политика обработки охватывает все процессы организации, в шаблоне — таблица по категориям субъектов. Для посетителей сайта удобно дополнить её короткой политикой конфиденциальности сайта с правилами cookie и текстами согласий для форм.
Что нельзя писать в публичной политике?
Сведения, облегчающие атаку: названия средств защиты, адреса серверов, схемы сети. Достаточно описать меры в общем виде — назначен ответственный, определён уровень защищённости, разграничен доступ, ведётся резервное копирование.