Положение об обработке персональных данных - это внутренний документ компании, который описывает, какие данные собираются, с какой целью, кто в организации за это отвечает, как долго данные хранятся и какими мерами защищаются. Его утверждает руководитель, а сотрудников знакомят с документом под подпись. Формально это локальный нормативный акт, обязательный почти для любого оператора персональных данных.
Готовый шаблон из интернета подойдет только как основа для структуры, не больше. Проверяющий сразу видит, если положение переписано под копирку: в нем упоминаются данные, которых компания не собирает, или, наоборот, нет описания реальных процессов - например, работы с CRM или передачи данных курьерской службе. Документ должен отражать именно то, что происходит в конкретной компании.
В положении обычно фиксируют: перечень обрабатываемых категорий данных, цели обработки, состав операций - сбор, хранение, передачу, уничтожение, сроки хранения по каждой категории, ответственного за организацию обработки, порядок действий при запросе субъекта данных или при утечке.
Само по себе положение не заменяет остальные документы - согласия на обработку, политику конфиденциальности для сайта, уведомление в Роскомнадзор. Это разные бумаги с разными задачами, и работают они только вместе, как единый комплект.