Да, положение о персональных данных работников — внутренний локальный акт, обязательный, если у вас есть сотрудники. Ст. 18.1 152-ФЗ требует от оператора издавать такие документы и знакомить с ними работников.
Откуда эта обязанность
Сразу две нормы создают эту обязанность. Статья 18.1 152-ФЗ обязывает оператора принять меры, достаточные для исполнения закона. Среди них — издать документы (политику и локальные акты), применять организационные меры, осуществлять внутренний контроль соответствия обработки закону, оценивать вред субъектам и, самое важное, ознакомить работников с требованиями.
Статья 19 152-ФЗ дополняет: оператор обязан принимать меры для защиты данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения.
Глава 14 Трудового кодекса (статьи 85–90) устанавливает специальный режим для сведений о сотрудниках поверх общих правил 152-ФЗ. Это означает, что вы обязаны зафиксировать в отдельном документе, как именно вы работаете с данными своих работников, кто имеет к ним доступ, кому и при каких условиях вы их передаёте.
При этом согласие работника на обработку большинства кадровых данных не требуется — обработка идёт на основании ТК РФ и трудового договора. Но уведомление Роскомнадзора об обработке и локальные акты — обязательны. Положение как раз и есть тот самый локальный акт.
Чем отличается от общего положения о защите данных
Общее положение о защите персональных данных касается всех субъектов — клиентов, партнёров, посетителей сайта, заявителей. Оно описывает политику компании в целом.
Положение о персональных данных работников — это прицельный документ именно про сотрудников. В нём вы фиксируете:
- какие данные о работниках вы обрабатываете;
- для каких целей;
- кто имеет к ним доступ;
- кому и при каких условиях вы их передаёте.
Эти два документа не дублируют друг друга. Общее положение — это политика для всех. Положение о работниках — это внутренний регламент для кадровых процессов.
Подробнее о том, что должно быть в общем положении о защите ПДн, читайте в статье положение о защите персональных данных.
Что обычно в нём фиксируют
Закон не устанавливает жёсткую структуру положения о данных работников. Но есть набор тем, которые в таком документе должны быть отражены, чтобы он выполнял свою функцию.
Перечень обрабатываемых данных работника. Вы описываете, какие именно сведения вы собираете: паспортные данные, ИНН, СНИЛС, адрес, данные об образовании и квалификации, сведения о трудовой деятельности. Важно, чтобы перечень соответствовал целям обработки и не включал лишнего.
Цели обработки. Для чего вы собираете данные: заключение и исполнение трудового договора, расчёт зарплаты, учёт рабочего времени, уплата налогов и взносов, ведение кадрового учёта. Каждая цель должна быть обоснована.
Кто имеет доступ. Перечень лиц, которым доступ к данным сотрудников необходим для выполнения служебных обязанностей. Обычно это директор, бухгалтер, кадровик. Доступ должен быть строго ограничен кругом этих лиц, и это фиксируется в документе.
Случаи передачи третьим лицам. Это отдельный и важный раздел. Передача данных работника третьим лицам допускается только с предварительного уведомления и письменного согласия работника — статья 86 ТК РФ. В положении вы описываете, кому и при каких условиях вы можете передавать данные: в налоговую (без согласия, по закону), в банк для зарплатного проекта (с согласия), в страховую компанию (с согласия).
Запрет на обработку специальных категорий. Вы должны чётко указать, что не вправе обрабатывать сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья и интимной жизни, а также данные о членстве в общественных объединениях и профсоюзах, кроме случаев, прямо предусмотренных законом. Это прямое требование статьи 86 ТК РФ.
Ответственные роли. В положении вы назначаете или упоминаете ответственного за организацию обработки данных (статья 22.1) и, если требуется по вашему уровню защищённости, ответственного за обеспечение безопасности в информационной системе (пункт 14 ПП 1119). Это две разные роли с разными функциями.
Важно: это не закрытый перечень из закона, а примерный набор разделов. Ваше положение может быть шире — например, включать порядок уничтожения данных при увольнении или правила работы с электронными носителями.
Как знакомить работников
Знакомить с положением нужно под подпись. Требование статьи 18.1 152-ФЗ: ознакомить работников с требованиями закона к обработке данных. Лучший способ — включить ознакомление с положением в процесс приёма на работу.
При приёме нового сотрудника вы должны:
- показать ему положение о персональных данных работников;
- дать прочитать;
- получить подпись об ознакомлении.
Если вы вносите изменения в положение — знакомите всех действующих сотрудников заново. Это можно сделать через приказ о введении новой редакции и лист ознакомления.
Документ хранится у работодателя в бумажном или электронном виде. Он не публикуется на сайте — это внутренний документ, в отличие от политики обработки, которая обязательна для публикации.
Полную картину обязанностей оператора по 152-ФЗ и ТК РФ можно найти в полном гиде по 152-ФЗ. Для понимания базовых принципов работы с данными сотрудников читайте материал персональные данные сотрудников.
Материал носит справочный характер и не заменяет консультацию юриста по конкретной ситуации.
Вопросы про положение о персональных данных работников
Положение о персональных данных работников нужно публиковать на сайте?
Нет, это внутренний документ. Публиковать на сайте вы обязаны только политику обработки ПДн — это требование части 2 статьи 18.1 152-ФЗ.
Можно ли не делать отдельное положение, а включить раздел о работниках в общее положение о защите данных?
Можно, но не рекомендуется. Специфика трудовых отношений настолько отличается, что смешивать эти документы неудобно и рискованно. Положение о работниках лучше сделать отдельным документом с прямыми ссылками на статьи 86–88 ТК РФ.
Как часто нужно пересматривать и обновлять положение?
Закон не устанавливает периодичности. Обновляйте его, когда меняются процессы обработки данных, появляются новые виды обработки или новые третьи лица, которым вы передаёте данные. Также при изменении законодательства.
Нужно ли знакомить с положением уже работающих сотрудников, если я только сейчас его разработал?
Да, нужно ознакомить всех действующих сотрудников под подпись. Это прямое требование статьи 18.1 152-ФЗ. Организуйте это через приказ о введении документа в действие и лист ознакомления.
Похожие материалы
Источники
- Трудовой кодекс РФ, глава 14 — персональные данные работника — consultant.ru
Норма приведена по тексту ст. 18.1 152-ФЗ и главы 14 ТК РФ, сверено 22.07.2026.