Инструкция по обработке персональных данных для сотрудников: структура и образец

Инструкция по обработке персональных данных - это не пересказ закона 152-ФЗ, а рабочий документ для конкретного сотрудника: что ему можно делать с данными, кому их передавать нельзя и что делать, если данные пропали или ушли не туда. Без такого документа сотрудник действует по своему усмотрению, а при проверке или утечке компании нечем показать, что процесс был выстроен заранее, а не придуман задним числом.

Путаница чаще всего в другом: в компании уже есть политика обработки персональных данных и положение, и кажется, что отдельная инструкция для сотрудников дублирует эти бумаги. На деле у документов разные адресаты. Политику и положение читает Роскомнадзор, проверяющий или посетитель сайта - это документы уровня организации. Инструкция написана для одного человека на его рабочем месте и отвечает не на вопрос «зачем компания обрабатывает данные», а на вопрос «что мне делать в понедельник утра, если позвонил бывший клиент и потребовал удалить его номер из базы».

Готового образца, который подошел бы любой компании без изменений, не существует: слишком разными бывают системы, роли и процессы даже в похожих на первый взгляд бизнесах. А вот структура и разделы, из которых строится документ, общие - их и разберем ниже вместе с примерами для конкретных должностей.

Возьмем на конкретных примерах. В клинике администратор ресепшн ежедневно записывает пациентов, видит полисы и результаты анализов - его инструкция будет совсем не похожа на инструкцию бухгалтера той же клиники, который эти данные вообще не открывает. В школе классный руководитель работает с данными детей и их родителей, и для него важнее всего правила передачи данных другим ведомствам и хранения бумажных журналов. Каждый раз структура одна и та же, а содержание разное - и как раз в этом разница между рабочей инструкцией и скачанным из интернета шаблоном.

Инструкция и положение об обработке персональных данных: в чем разница

Положение об обработке персональных данных - основной локальный акт компании. В нем перечислены цели обработки, категории данных, сроки хранения и общие принципы, а утверждает его руководитель. Это документ уровня организации: он один и тот же для кадровика и для программиста, потому что описывает систему в целом, а не действия конкретного человека. Как выглядит такой документ и что в нем обязательно, разбирали отдельно в материале про положение об обработке персональных данных.

Инструкция - следующий уровень детализации. Она пишется не для организации, а для роли: администратора информационной системы, кадровика, оператора колл-центра. В инструкции нет отсылок к целям обработки в целом, зато есть конкретные шаги: куда обращаться при запросе клиента, как передать документы бухгалтеру, что делать, если ноутбук с базой пропал из офиса. Положение отвечает на вопрос, зачем компания обрабатывает данные. Инструкция - на вопрос, что делает конкретный сотрудник в конкретной ситуации.

Есть еще политика обработки персональных данных - публичный документ для сайта, который читают посетители. Три документа не конкурируют между собой: политика смотрит наружу, положение задает правила внутри компании, а инструкция доводит эти правила до одного рабочего места и одной должности.

На практике при проверке Роскомнадзор чаще спрашивает положение и приказ об ответственном, а не инструкции сотрудников. Но если в компании произошла утечка и дело дошло до суда, именно инструкция показывает, была ли вина конкретного человека или организация вообще не создала условия для правильной работы с данными. Отсутствие документа суды и проверяющие трактуют не в пользу оператора: раз инструкции нет, значит, сотрудника никто не учил, что делать.

Кому в компании нужна своя инструкция

Универсальной инструкции на всех сотрудников не бывает: у кадровика и у менеджера по продажам разный доступ к данным и разные риски при ошибке. Отдельную инструкцию имеет смысл писать для роли, если сотрудник работает с персональными данными регулярно, а не от случая к случаю. Учтите и рядового пользователя ИСПДн - того, кто просто вносит данные в CRM или учетную программу, не администрируя ее: требования к нему мягче, чем к администратору, но документ у него тоже должен быть.

Встречается и обратная ошибка: организация пишет одну инструкцию на двадцать страниц для всех сразу, надеясь, что каждый найдет в ней свой раздел. На практике такой документ никто не читает целиком, а нужный кусок человек ищет дольше, чем требуется, чтобы просто спросить коллегу. Короткая инструкция под конкретную роль работает лучше длинного универсального текста.

Роль	С какими данными работает	Что обязательно включить в инструкцию
Администратор информационной системы (ИСПДн)	Базы данных компании, права доступа, резервные копии	Порядок предоставления и отзыва доступа, работа с паролями, действия при инциденте
Пользователь ИСПДн (менеджер, оператор базы)	Записи в CRM и учетных программах в рамках своей должности	Что можно вносить и менять, запрет на выгрузку данных за пределы системы
Кадровик	Личные дела, копии документов, зарплатные ведомости	Хранение бумажных носителей, порядок при увольнении сотрудника, передача данных в бухгалтерию
Оператор колл-центра, менеджер по продажам	Номера телефонов, имена клиентов, история обращений	Что можно фиксировать в CRM, запрет на передачу третьим лицам, работа с записью звонков
Бухгалтер	Банковские реквизиты, ИНН, зарплатные данные	Передача данных в налоговую и банк, срок хранения после увольнения сотрудника
Администратор сайта, специалист поддержки	Обращения пользователей, email, IP-адреса	Прием обращений субъектов персональных данных, сроки ответа, передача ответственному

Если в штате пять человек и у каждого своя зона ответственности, пять отдельных файлов не нужны - можно сделать одну инструкцию с разделами по ролям. Смысл не в количестве документов, а в том, чтобы у каждого сотрудника было четко написано, что касается именно его должности, а не всей компании сразу.

Что обязательно включить в инструкцию

Содержание инструкции зависит от роли, но есть разделы, без которых документ либо бракуют при проверке, либо он просто не работает на практике.

Доступ к персональным данным

Инструкция называет, к каким базам, папкам и системам у сотрудника есть доступ и на каком основании: должность, приказ, служебная записка. Отдельно - что происходит при смене должности или отпуске: доступ передается временно исполняющему обязанности или блокируется до возвращения. Без этого пункта через пару лет в компании накапливаются учетные записи уволенных сотрудников, которые никто не закрыл. Хорошая практика - раз в квартал сверять список тех, у кого есть доступ, со списком фактически работающих сотрудников: расхождения находятся быстрее, чем кажется.

Прием обращений субъектов персональных данных

Сотрудник, который первым получает обращение клиента, посетителя сайта или бывшего работника, должен знать три вещи: как выглядит такое обращение, кому его передать внутри компании и что нельзя делать самому - не отвечать наугад, не удалять данные без согласования с ответственным. Сроки ответа на разные виды обращений закон считает по-разному, и разбор с точными цифрами есть в статье запрос субъекта персональных данных: ответ и сроки. В инструкции достаточно сослаться на эти сроки и назвать ответственного, а не пересказывать их заново. В интернет-магазине такое обращение чаще всего приходит на почту поддержки или через форму на сайте, и сотрудник поддержки должен переслать его ответственному в тот же день, а не откладывать до конца недели.

Передача и пересылка данных

Раздел описывает, кому и как можно передавать данные: контрагенту по договору поручения, курьеру, в бухгалтерию, в другой отдел. Отдельно стоит прописать запрет на личные каналы - пересылку баз в личный мессенджер или на личную почту, даже «чтобы доделать дома». Такие пересылки - частая причина утечек, потому что данные оказываются на устройстве, которое компания не контролирует. Отдельно стоит оговорить рабочие мессенджеры: если компания официально ведет чаты с клиентами, в инструкции нужно указать, какие данные там обсуждать нельзя вовсе - например, полные реквизиты карты или паспортные данные.

Работа с носителями

Отдельный раздел - бумажные и электронные носители: флешки, распечатанные анкеты, копии паспортов в личном деле. Правило простое и часто нарушается: копировать документ можно только тогда, когда это разрешено или необходимо для конкретной цели, а не про запас на всякий случай. Как эта норма применяется на практике и что по хранению копий паспортов говорят Роскомнадзор и суды, разбирали в статье копии паспортов сотрудников в личных делах. Инструкция кадровика должна прямо запрещать хранить лишние копии и называть срок, после которого их уничтожают. То же касается флешек и внешних дисков: если сотруднику нужно перенести файл с базой, лучше использовать защищенный паролем архив и не оставлять флешку в порту рабочего компьютера, когда он отходит от стола.

Действия при инциденте

Если сотрудник заметил, что письмо с базой ушло не тому адресату, ноутбук пропал или папка с документами оставлена в переговорной для посетителей, порядок один: сообщить ответственному немедленно, а не пытаться исправить ситуацию самостоятельно и не удалять следы. Чем быстрее компания узнает об инциденте, тем больше шансов уложиться в срок, который закон отводит на уведомление Роскомнадзора. Полезно заранее прописать, у кого есть номер телефона ответственного и как с ним связаться в нерабочее время - утечки не подстраиваются под график работы офиса.

Порядок при увольнении

В день увольнения сотрудника доступ к базам и системам закрывают, а не оставляют на всякий случай до конца месяца. Носители - служебный телефон, флешки, распечатки - возвращают под подпись. Если сотрудник вел незакрытые обращения субъектов или переписку с проверяющими, дела передают преемнику по акту, а не оставляют висеть в почтовом ящике, к которому больше никто не имеет доступа. Если увольнение происходит по инициативе компании и есть риск конфликта, доступ имеет смысл заблокировать до того, как сотруднику сообщат о решении, а не после - иначе возрастает соблазн скопировать базу клиентов напоследок.

Пример: инструкция администратора ИСПДн

Показательный случай - интернет-магазин с базой из нескольких тысяч клиентов и одним администратором, который отвечает за сайт, CRM и резервные копии. Инструкция для такой должности обычно строится вокруг доступа и восстановления после сбоя.

1. Список систем, к которым есть доступ: админка сайта, CRM, почтовый сервер, облачное хранилище с резервными копиями.
2. Порядок смены паролей: не реже раза в квартал и обязательно при увольнении любого сотрудника с доступом к этим системам.
3. Правила резервного копирования: где хранятся копии, кто имеет к ним доступ, шифруются ли они.
4. Порядок действий при взломе или сбое: кого уведомить в первый час, что фиксировать, кому нельзя сообщать до завершения разбора.
5. Запрет на использование рабочих баз данных для тестов на личных устройствах или в облачных сервисах, не согласованных с компанией.
6. Порядок передачи дел, если администратор уходит в отпуск или увольняется: кто временно получает права и когда их закрывают обратно.

Без такой инструкции роль администратора часто держится на устной договоренности: «спроси у Пети, он знает пароли». Как только Петя увольняется в конфликте или просто уходит в отпуск на две недели, а пароли меняет только он, компания на время теряет управление собственной системой. Прописанный порядок снимает эту зависимость от одного человека.

Если резервные копии или основная база хранятся не на собственном сервере, а в облаке, в инструкции отдельно прописывают, кто отвечает за настройки доступа у провайдера и на основании какого документа с ним оформлены отношения. Как выбрать провайдера и оформить поручение на обработку, разбирали в статье облачное хранение персональных данных.

Пример: инструкция кадровика

У кадровика больше всего точек риска: личные дела, копии паспортов, медицинские справки, зарплатные ведомости. Инструкция для этой роли обычно строже по формулировкам, чем для остальных сотрудников.

• Какие документы можно копировать при приеме на работу, а какие достаточно посмотреть и вернуть.
• Где физически хранятся личные дела: закрывающийся шкаф, отдельный кабинет, запрет оставлять папки на столе при уходе на обед.
• Кто, кроме кадровика, имеет право смотреть личное дело - обычно это руководитель и бухгалтер, и то не полностью.
• Что делать с личным делом после увольнения: сроки хранения, передача в архив, уничтожение по истечении срока.
• Порядок ответа на запросы бывших сотрудников - справка о доходах, копия трудовой книжки - и кто визирует такие ответы.

Отдельная сложность - самозанятые и подрядчики, чьи данные тоже проходят через кадровика или бухгалтерию, хотя трудового договора с ними нет. Инструкция должна отдельно называть, что с их данными работают по тем же правилам, что и с данными штатных сотрудников, а не по остаточному принципу.

Отдельный пункт - что делать с личными делами кандидатов, которые не прошли собеседование. Их резюме и анкеты часто оседают в почте или в общей папке отдела кадров без всякого срока хранения, хотя формально согласие на обработку такие люди тоже давали не бессрочно. Инструкция должна называть, через сколько месяцев после отказа такие данные удаляют, а не хранить их годами на всякий случай.

Ознакомление под подпись и приказ об ответственном

Инструкция без подписи сотрудника юридически ничего не доказывает: при проверке нужно показать, что человек ознакомлен, а не просто что документ существует в папке на сервере. Стандартный вариант - лист ознакомления с датой и подписью, приложенный к инструкции, либо отдельная строка в трудовом договоре или допсоглашении с отсылкой к локальным актам компании.

Инструкция обычно утверждается тем же приказом, которым назначают ответственного за организацию обработки персональных данных, или отдельным приказом со ссылкой на первый. Связь должна быть видна из текста: инструкция администратора ИСПДн ссылается на приказ о назначении ответственного и указывает, кому подчиняется и кому докладывает администратор при инциденте. Без этой связки на проверке возникает вопрос, кто вообще утвердил документ и на каком основании.

На практике лист ознакомления - самая частая недостача при подготовке к проверке. Инструкция может быть написана грамотно и лежать в нужной папке, но если под ней нет подписи конкретного сотрудника с датой, проверяющий вправе считать, что человека с документом не знакомили вовсе. Восстановить подписи задним числом рискованно: даты сверяют с журналом приема на работу и приказами, и расхождение видно сразу.

Типичная ошибка: инструкция как пересказ закона

Самая частая проблема - инструкция, переписанная из статей 152-ФЗ почти дословно, с общими формулировками про принципы обработки и права субъектов. Сотрудник, который ее читает, не понимает, что делать в конкретной ситуации, а проверяющий видит, что документ существует только для галочки.

Отличить рабочую инструкцию от формальной просто: в ней должны быть конкретные действия - сообщить, передать, заблокировать, уничтожить - а не общие фразы о принципах обработки без единого глагола о том, что делать руками. Хороший тест - дать инструкцию новому сотруднику без объяснений и посмотреть, поймет ли он, что делать при обращении клиента с требованием удалить данные. Если нет, документ нужно переписывать.

Разница видна на примере одной фразы. Формальный вариант: «работник обязан обеспечивать конфиденциальность персональных данных, ставших ему известными в связи с исполнением трудовых обязанностей». Рабочий вариант: «не пересылай базу клиентов на личную почту, не обсуждай данные клиентов в общих чатах, при любом подозрении на утечку в течение часа сообщи Ивановой А. П. по телефону из карточки на стенде». Второй вариант длиннее, но именно по нему сотрудник может действовать, а по первому - только кивнуть при подписании.

Когда пересматривать инструкцию

Инструкцию обновляют не по календарю, а по событию: сменился состав используемых систем, появилась новая должность с доступом к данным, изменился порядок хранения резервных копий, вступили в силу новые требования закона. Например, после того как согласие на обработку персональных данных стало оформляться отдельным документом, а не пунктом внутри других бумаг, инструкциям, где упоминался старый порядок оформления согласия, потребовалась правка.

Разумная практика - проверять актуальность инструкций раз в год вместе с положением и политикой, даже если явных поводов для изменений не было. Планового ежегодного пересмотра достаточно для большинства компаний среднего размера.

Проверять стоит не только текст, но и то, совпадает ли он с реальностью. Нередко в инструкции написано, что резервные копии хранятся на сервере в офисе, а компания уже полгода как перешла на облако, и документ просто забыли поправить. При проверке такое расхождение выглядит хуже, чем отсутствие деталей вообще - оно показывает, что документ существует отдельно от реальных процессов.

Что делать: порядок внедрения

Если инструкций в компании еще нет, порядок действий такой.

1. Определить роли, которые регулярно работают с персональными данными - обычно это 3-6 должностей даже в небольшой компании.
2. Для каждой роли выписать, к каким данным есть доступ и какие ситуации с ними связаны: запросы клиентов, передача третьим лицам, увольнение, инцидент.
3. Составить инструкцию по разделам из этой статьи, без пересказа закона и с конкретными действиями.
4. Утвердить инструкцию приказом, желательно вместе с приказом о назначении ответственного за обработку.
5. Ознакомить сотрудников под подпись и хранить листы ознакомления вместе с личными делами.
6. Внести дату следующей плановой сверки в календарь ответственного, чтобы пересмотр не зависел от того, вспомнит кто-то об этом сам или нет.

Отдельно стоит решить, кто в компании будет поддерживать эти документы дальше. Одноразовое написание инструкции ничего не стоит, если через год ее некому актуализировать под новую CRM или новую должность. Проще всего закрепить эту обязанность за тем же ответственным, который отвечает за положение и политику - тогда все локальные акты меняются согласованно, а не разъезжаются по разным версиям.

Для индивидуальных предпринимателей соблазн пропустить этот шаг особенно велик - кажется, что раз в штате два-три человека, формальности можно отложить. На практике проверяющие и суды не делают скидку на размер бизнеса, а суммы штрафов для ИП способны быть болезненными и без учета оборотных санкций - подробный разбор сумм и типичных нарушений есть в статье штрафы для ИП за нарушение 152-ФЗ.

Если нужно составить или обновить инструкции и положение под свою компанию, а не подгонять чужой шаблон под свои процессы, можно обратиться на 152fzpro.ru - там готовят документы и вносят точечные правки под конкретный бизнес.