Политику обработки данных и положение об обработке данных часто путают или считают одним документом. На деле это два разных документа с разным назначением, и организации нужны оба. Разберёмся, чем они отличаются и что должно быть в положении.
🪤 Находка: политика — наружу, положение — внутрь
Ключевое различие — в аудитории документа.
| Политика обработки ПД | Положение об обработке ПД | |
|---|---|---|
| Для кого | Внешний, для посетителей и клиентов | Внутренний, для сотрудников организации |
| Где | Публикуется на сайте (ст. 18.1 ч. 2) | Не публикуется, действует внутри |
| О чём | Какие данные и зачем оператор обрабатывает | Как именно организована работа с данными внутри |
То есть политика — витрина обязательств перед субъектами, а положение — внутренний регламент: кто имеет доступ, как хранятся и уничтожаются данные, что делают работники. Наличие таких локальных актов требуется организационными мерами статьи 18.1.
Что обычно входит в положение
Закрытого перечня для положения закон не задаёт (как и для политики), состав сложился из рекомендаций Роскомнадзора и практики:
- цели и правовые основания обработки в организации;
- категории субъектов и обрабатываемых данных;
- порядок обработки, хранения и уничтожения данных;
- кто имеет доступ к данным и на каких условиях;
- меры защиты и распределение ответственности;
- порядок реагирования на запросы субъектов и на инциденты;
- обязанности работников при работе с данными.
Как и с политикой, ценность положения не в наличии файла, а в том, что оно описывает реальные процессы. Скачанный шаблон, не отражающий, как ваша организация на самом деле работает с данными, при проверке становится не защитой, а доказательством формального подхода.
Зачем это малому бизнесу
Даже небольшой организации положение нужно как часть обязательного пакета локальных актов по защите данных. Оно связано с назначением ответственного за обработку, с мерами защиты и с обязанностью ознакомить сотрудников с правилами. Вместе с политикой, согласиями и уведомлением в РКН положение образует базовый комплект соответствия 152-ФЗ.
Вопросы про положение об обработке
Чем положение об обработке отличается от политики?
Политика — внешний публичный документ, который размещается на сайте (ст. 18.1 ч. 2) и адресован клиентам. Положение — внутренний локальный акт для сотрудников, описывающий, как организована работа с данными внутри компании. Оно не публикуется.
Обязательно ли иметь положение об обработке?
Да, как часть организационных мер по защите данных (ст. 18.1). Организации нужен комплект локальных актов, и положение об обработке входит в этот минимум наряду с политикой.
Что должно быть в положении?
Цели и основания обработки, категории субъектов и данных, порядок обработки/хранения/уничтожения, доступ к данным, меры защиты, порядок реагирования на запросы и инциденты, обязанности работников. Закрытого перечня в законе нет — состав по рекомендациям РКН.
Можно ли скачать типовое положение?
Формально да, но шаблон, не отражающий реальные процессы организации, при проверке РКН работает против вас. Положение должно описывать, как компания на самом деле обращается с данными.
Продукт по теме
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 18.1 (организационные меры, локальные акты) — consultant.ru
Различие политики (внешний, ст. 18.1 ч. 2) и положения (внутренний ЛНА) сверено с текстом ст. 18.1 на 11.07.2026. Состав положения — рекомендации РКН и практика, не закрытый перечень.