Положение о персональных данных работников - это внутренний документ компании, который описывает, какие данные о сотрудниках собирают, зачем, кто имеет к ним доступ и как их хранят и уничтожают. В нем обязательно фиксируют перечень обрабатываемых категорий данных, цели и правовые основания обработки, порядок сбора, хранения, передачи и уничтожения, список должностей с доступом к данным и ответственного за организацию всей этой работы, сроки хранения и права работников на доступ к своим данным и на подачу возражений.
На практике положение стоит писать не абстрактно, а под реальные процессы конкретной компании: если есть зарплатный проект с банком, кадровый ЭДО, CRM с данными о сотрудниках или подрядчик по бухгалтерии - все эти получатели данных и основания передачи им информации должны быть перечислены прямо в документе, а не общими словами «третьим лицам по необходимости».
Дальше - организационная часть. Ответственного за организацию обработки персональных данных назначают отдельным приказом, всех сотрудников знакомят с положением под роспись при приеме на работу, бумажные личные дела хранят в запираемом шкафу с ограниченным доступом, а электронные базы - с разграничением прав и паролями по ролям. Отдельно пропишите, что данные не передаются третьим лицам без согласия работника, кроме случаев, прямо предусмотренных законом - например, запросы налоговой или Социального фонда. И пересматривайте положение при каждом заметном изменении процессов: новая CRM, новый сервис зарплатных карт, новый подрядчик по кадровому учету.