Положение об обработке персональных данных - это локальный нормативный акт компании, который утверждается приказом руководителя и описывает, как в организации собираются, хранят и защищают персональные данные сотрудников, клиентов и других субъектов. Закон не дает жесткого шаблона, но на практике документ должен закрывать конкретные вопросы, а не быть формальной отпиской.
В положении обычно прописывают:
- цели и правовые основания обработки данных;
- перечень обрабатываемых персональных данных по категориям субъектов;
- порядок сбора, хранения, использования и уничтожения данных;
- список должностей, имеющих доступ к ПДн;
- меры защиты - организационные и технические;
- порядок действий при запросе субъекта или при утечке.
После утверждения приказом положение должно быть доведено до сведения всех сотрудников, которые работают с персональными данными, под подпись - это отдельный лист ознакомления или запись в журнале. Без ознакомления документ формально есть, но при проверке не защищает: инспектор спросит, откуда сотрудники знают правила, которые описаны в бумаге, лежащей в сейфе у директора.
Если у компании уже есть политика обработки персональных данных для сайта, положение - это не дубликат, а внутренний документ более широкого охвата: политика адресована посетителям сайта и клиентам, положение регулирует внутренние процессы компании, включая данные сотрудников, которые на сайте вообще не фигурируют. Держать оба документа отдельно правильнее, чем пытаться свести их в один текст.