Положение о защите персональных данных работников: образец

УТВЕРЖДЕНО

приказом генерального директора

ООО «Ромашка»

от 13 октября 2026 г. № 44-ОД

ПОЛОЖЕНИЕ О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ

Общество с ограниченной ответственностью «Ромашка» (ИНН 7701234567), г. Москва, ул. Лесная, д. 5

1. Общие положения

1.1. Настоящее Положение устанавливает порядок получения, хранения, использования, передачи и защиты персональных данных работников общества с ограниченной ответственностью «Ромашка» (далее: Работодатель), а также права работников и обязанности Работодателя в этой сфере.

1.2. Положение разработано в соответствии с главой 14 Трудового кодекса Российской Федерации (далее: ТК РФ, статьи 85–90) и Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее: Закон о персональных данных).

1.3. Персональные данные работника это любая информация, относящаяся к прямо или косвенно определённому или определяемому работнику. Обработка персональных данных это любое действие или совокупность действий с данными: сбор, запись, хранение, использование, передача, обезличивание, блокирование, удаление, уничтожение. Работодатель является оператором персональных данных.

1.4. Положение распространяется на всех работников Работодателя, на лиц, с которыми Работодатель ведёт переговоры о приёме на работу и получил их резюме, и на бывших работников в части данных, хранящихся в архиве.

1.5. Работодатель обрабатывает персональные данные по принципам: законности и справедливости; ограничения обработки заранее определёнными законными целями; недопустимости объединения баз данных с несовместимыми целями; соответствия содержания и объёма данных целям обработки; точности и актуальности; хранения не дольше, чем этого требуют цели обработки.

2. Цели обработки, состав данных и основания

2.1. Работодатель обрабатывает персональные данные работников исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

2.2. Цели, состав данных и основания обработки приведены в таблице.

2.3. Работодатель не получает и не обрабатывает специальные категории персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни) и сведения о членстве работника в общественных объединениях и профсоюзной деятельности, кроме случаев, предусмотренных ТК РФ и федеральными законами. Сведения о состоянии здоровья запрашиваются только в объёме, относящемся к вопросу о возможности выполнения трудовой функции.

2.4. Решения, затрагивающие интересы работника, не принимаются исключительно на основании данных, полученных в результате автоматизированной обработки или в электронном виде.

3. Получение персональных данных

3.1. Все персональные данные Работодатель получает от самого работника. Если данные можно получить только у третьей стороны, Работодатель заранее в письменной форме уведомляет об этом работника, сообщает ему о целях, предполагаемых источниках и способах получения данных, о характере данных и о последствиях отказа дать письменное согласие, и получает такое согласие.

3.2. Согласие работника не требуется, если обработка необходима для исполнения обязанностей, возложенных на Работодателя законом (кадровый и бухгалтерский учёт, налоги, воинский учёт). Во всех остальных случаях, например при передаче данных страховой компании для добровольного медицинского страхования, Работодатель получает согласие работника в форме, которая соответствует статье 9 Закона о персональных данных. Согласие оформляется отдельным документом и не включается в текст трудового договора или иных документов, которые подписывает работник.

3.3. Работник вправе отозвать согласие. Обработка прекращается в сроки, установленные Законом о персональных данных (раздел 7 настоящего Положения), кроме случаев, когда Работодатель обязан продолжать обработку по закону.

3.4. Работодатель не вправе требовать от работника сведения, не относящиеся к трудовой функции и целям обработки (например, о частной жизни, политических взглядах).

4. Хранение и использование персональных данных

4.1. Бумажные документы (личные дела, трудовые договоры, приказы по личному составу, личные карточки) хранятся в запираемых шкафах в кабинете службы персонала. Электронные данные хранятся в учётной системе и на защищённом сервере Работодателя с разграничением прав доступа.

4.2. Доступ к персональным данным имеют только специально уполномоченные лица в объёме, необходимом для выполнения их трудовых функций (приложение № 1 к Положению). Остальные работники доступа не имеют.

4.3. Сроки хранения документов с персональными данными определяются законодательством об архивном деле и номенклатурой дел Работодателя. По истечении срока хранения, а также после достижения целей обработки документы и данные уничтожаются, о чём составляется акт.

4.4. Работодатель не хранит персональные данные на личных устройствах работников, в личной почте и в мессенджерах, кроме случаев, когда это прямо разрешено ответственным за организацию обработки персональных данных.

4.5. Порядок хранения и использования персональных данных устанавливается Работодателем с соблюдением требований ТК РФ и иных федеральных законов.

5. Доступ и передача персональных данных

5.1. Работодатель не сообщает персональные данные работника третьей стороне без его письменного согласия, кроме случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ и федеральными законами. Работодатель не сообщает персональные данные в коммерческих целях без письменного согласия работника.

5.2. Работодатель предупреждает лиц, получающих персональные данные работника, что они могут быть использованы лишь в целях, для которых сообщены, и требует подтверждения, что это правило соблюдено. Получатели обязаны соблюдать режим конфиденциальности. Это правило не распространяется на обмен данными в порядке, установленном федеральными законами.

5.3. Передача данных внутри Работодателя осуществляется только по приложению № 1. Работники, получающие доступ, знакомятся с настоящим Положением под подпись.

5.4. Данные передаются представителям работников в порядке, установленном ТК РФ, и только в том объёме, который необходим для выполнения ими своих функций.

5.5. Работодатель не запрашивает информацию о состоянии здоровья работника, кроме сведений, относящихся к возможности выполнения трудовой функции.

6. Защита персональных данных

6.1. Защита персональных данных от неправомерного использования или утраты обеспечивается Работодателем за счёт его средств в порядке, установленном ТК РФ и федеральными законами.

6.2. Работодатель принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения. К ним относятся: определение угроз безопасности данных; разграничение прав доступа в учётной системе, личные пароли и двухфакторная аутентификация; антивирусная защита; учёт машинных носителей; резервное копирование; регистрация действий с данными; обнаружение фактов несанкционированного доступа и реагирование на них.

6.3. Бумажные носители хранятся в запираемых шкафах, ключи находятся у ответственного за организацию обработки персональных данных и у руководителя службы персонала. Рабочие места работников, имеющих доступ к данным, оборудованы так, чтобы посторонние не могли видеть документы и экраны.

6.4. При неправомерной или случайной передаче, распространении или доступе к персональным данным, которые нарушили права работников, Работодатель с момента выявления инцидента в течение 24 часов уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о произошедшем, его предполагаемых причинах, предполагаемом вреде и принятых мерах и сообщает сведения о лице, уполномоченном на взаимодействие с Роскомнадзором, а в течение 72 часов сообщает о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при наличии).

6.5. Работодатель оценивает возможный вред работникам в случае нарушения закона и сопоставляет его с принимаемыми мерами защиты. Результаты оформляются актом.

7. Права работников и порядок рассмотрения обращений

7.1. Работник имеет право на: полную информацию о своих персональных данных и их обработке; свободный бесплатный доступ к своим персональным данным, включая получение копий записей, содержащих его данные, кроме случаев, предусмотренных федеральным законом; определение представителей для защиты своих данных; доступ к медицинской документации с помощью медицинского работника по своему выбору; требование исключить или исправить неверные, неполные или обработанные с нарушением закона данные, а при отказе заявить в письменной форме о своём несогласии с обоснованием; требование известить всех лиц, которым ранее сообщили неверные или неполные данные; обжалование в суд любых неправомерных действий или бездействия Работодателя.

7.2. Обращения работников принимаются в письменной форме или в форме электронного документа, подписанного электронной подписью, ответственным за организацию обработки персональных данных. Обращение должно содержать номер основного документа, удостоверяющего личность, сведения о дате его выдачи и выдавшем органе, сведения, подтверждающие участие работника в отношениях с Работодателем, и подпись.

7.3. Работодатель предоставляет сведения об обработке персональных данных работника в течение 10 рабочих дней со дня получения обращения. Срок может быть продлён не более чем на 5 рабочих дней, если Работодатель направит работнику мотивированное уведомление с причинами продления.

7.4. Если подтверждён факт неточности данных, Работодатель уточняет их в течение семи рабочих дней со дня представления работником подтверждающих сведений. Если выявлена неправомерная обработка, Работодатель прекращает её в срок не более трёх рабочих дней с даты выявления, а если обеспечить правомерность невозможно, уничтожает данные в срок не более десяти рабочих дней с той же даты.

7.5. При отзыве согласия и при достижении цели обработки Работодатель прекращает обработку и уничтожает данные в течение 30 дней, если иное не предусмотрено законом или договором.

8. Лицо, ответственное за организацию обработки персональных данных

8.1. Приказом генерального директора назначается лицо, ответственное за организацию обработки персональных данных (далее: Ответственный). На дату утверждения Положения Ответственным назначена руководитель службы персонала Иванова Мария Сергеевна.

8.2. Ответственный получает указания непосредственно от генерального директора и подотчётен ему.

8.3. Ответственный: осуществляет внутренний контроль за соблюдением Работодателем и его работниками законодательства о персональных данных, в том числе требований к защите; доводит до сведения работников положения законодательства, локальных актов и требования к защите данных; организует приём и обработку обращений работников и контролирует их.

8.4. Работодатель предоставляет Ответственному информацию, необходимую для исполнения обязанностей.

9. Внутренний контроль, обучение, документы

9.1. Не реже одного раза в год Ответственный проверяет, соответствует ли обработка персональных данных закону, настоящему Положению и политике обработки персональных данных, и докладывает генеральному директору письменно.

9.2. Работники, которые непосредственно обрабатывают персональные данные, знакомятся с законодательством о персональных данных, требованиями к защите, политикой обработки и локальными актами, проходят инструктаж при допуске к работе и далее не реже одного раза в год.

9.3. Политика Работодателя в отношении обработки персональных данных размещена на сайте Работодателя на страницах, где собираются персональные данные, и доступна без ограничений. Работодатель предоставляет документы, предусмотренные статьёй 18.1 Закона о персональных данных, по запросу уполномоченного органа.

9.4. Работодатель уведомил уполномоченный орган по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных до её начала, сообщает об изменении сведений не позднее 15-го числа месяца, следующего за месяцем, в котором они изменились, и о прекращении обработки в течение десяти рабочих дней с даты прекращения.

10. Ответственность

10.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут дисциплинарную и материальную ответственность в порядке, установленном ТК РФ и иными федеральными законами, а также гражданско-правовую, административную и уголовную ответственность в порядке, установленном федеральными законами.

11. Заключительные положения

11.1. Положение вступает в силу со дня утверждения. Работники и их представители знакомятся с Положением под подпись при приёме на работу и в связи с его утверждением. Изменения вносятся приказом генерального директора.

Приложение № 1. Перечень должностей, имеющих доступ к персональным данным работников

Генеральный директор ____________ / П.П. Петров /

С Положением ознакомлен(а): ____________ / ____________ / «___» __________ 20__ г.