06.03.2026
Пакет документов по работе с персональными данными, который должен быть в организации в соответствии с действующим законодательством (чек-лист)
Законодательство не устанавливает перечень таких документов, указывается только информация, которая должна быть в них зафиксирована. В сети Интернет можно найти перечни разного объема и наполнения, число документов в которых различно и может составлять до 50-ти документов.Подготавливаемый организациями на практике разумный и достаточный пакет документов составляет примерно 10-15 документов. Это число может отличаться в ту, или иную сторону в зависимости от конкретных условий, в которых работает организация, а также от числа видов субъектов персональных данных, с которыми работает организация.
Мы проработали этот вопрос. Например, смогли объединить некоторые тексты (предполагаемые документы) близкого характера в один документ, а подготовку некоторых документов «на всякий случай» не считаем обязательным (например, форма заявления на отзыв согласия – такого отзыва может вообще никогда не произойти, а если потребуется – форма отзыва будет создана когда потребуется, кроме того, такой отзыв может быть написан в свободной форме, т.к. главное в нем - явно выраженное желание субъекта персональных данных).
Соответственно, по нашему мнению, в организации в целях соответствия требованиям законодательства о персональных данных должен быть разработан и утвержден следующий пакет документов.
1. Приказ об утверждении принятых организацией документов (в том числе локальных нормативных актов) для работы с персональными данными.
Один приказ, который сразу утвердит все нужные документы (какие-то, возможно, в новой редакции); назначит лицо, ответственное за организацию обработки персональных данных (такое лицо должно быть обязательно, и обязательно – не более одного человека); возложит на ответственного определенные обязанности; обяжет работников ознакомиться под роспись со всеми нужными документами.
2. Положение об обработке и защите персональных данных.
Основной документ (в соответствии с п. 2 ч. 1 ст. 18.1 Закона о персональных данных), максимально наполненный всей необходимой информацией.
3. Политика в отношении обработки персональных данных.
Обязательна к распространению. Вам нужно опубликовать или иным образом обеспечить неограниченный доступ к Вашей политике обработки персональных данных. Обычно публикуется на сайте организации. При отсутствии сайта распространением можно считать размещение документа, например, на информационном стенде в офисе, рядом со входом, для ознакомления всех желающих путем свободного доступа.
4. Инструкция пользователей персональных данных.
Для всех работников, имеющих доступ к персональным данным. Значительно упрощенный и сокращенный вариант Положения об обработке и защите персональных данных – предметная памятка для работников с конкретными правилами.
Законодательством такая Инструкция не предусмотрена, однако с практической точки зрения – очень удобный документ, находящийся непосредственно в отделах, под рукой у работников.
5. Перечень должностей и работников, имеющих право доступа к персональным данным в пределах, необходимых для выполнения своих трудовых обязанностей.
Иначе говоря – кто из работников с какими персональными данными вправе/обязан работать.
6. Форма обязательства о неразглашении персональных данных.
Подписывают все работники, имеющие доступ к персональным данным.
7. Согласие на обработку персональных данных.
Для каждой категории субъекта персональных данных (например, для работника, для соискателя, для контрагента) – свое отдельное согласие. Таких согласий может быть несколько – по числу видов субъектов персональных данных, с которыми работает организация.
8. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
Нужно во многих случаях, например, если укажете имя работника на сайте организации, или в типографском рекламном буклете организации, или даже на доске почета в самой организации.
9. Согласие на передачу персональных данных третьей стороне.
Например, для целевого оформления пропусков, для медицинского страхования.
10. Инструкция ответственного за организацию обработки персональных данных.
По своей сути документ аналогичен Инструкции пользователей персональных данных, только касается лица, ответственного за организацию обработки персональных данных.
11. Акт оценки возможного вреда субъектам персональных данных.
Документ по заданным Росреестром параметрам. Исходит от лица, ответственного за организацию обработки персональных данных.
В зависимости от конкретных обстоятельств работы Вашей организации, перечень документов может быть дополнен.
Основная информация, необходимая для начала работы по подготовке документов – это перечень категорий субъектов персональных данных, с которыми работает организация, например:
- работники, бывшие работники;
- соискатели для приема на работу;
- члены семей работников;
- работники и представители контрагентов - юридических лиц и индивидуальных предпринимателей, контрагенты - физические лица, а также физические лица, персональные данные которых переданы контрагентами;
- пользователи, посетители Вашего сайта – физические лица, имеющее доступ к Вашему сайту;
- учащиеся, студенты – если такие проходят у вас практику.
В дальнейшем, в зависимости от конкретных ситуаций или условий работы, может возникнуть потребность в дополнительных документах, отражающих частные моменты, или в корректировке уже существующих документов. А может и не возникнуть.
