Политика в отношении обработки персональных данных: порядок утверждения

27 июля 2026

Мы начали рассматривать, что такое политика в отношении обработки персональных данных (далее – Политика).

В предыдущей стать е нами были рассмотрены общие вопросы: понятие, обязательность политики в отношении обработки персональных данных, структура и обязательные условия Политики.
Давайте теперь рассмотрим порядок утверждения политики обработки персональных данных.

Сразу отметим, что действующее законодательство не определяет конкретного механизма утверждения Политики, поэтому мы приведем примерный алгоритм действий, которого может придерживаться оператор персональных данных.

Шаг 1. Определите ответственных лиц за разработку политики в отношении обработки персональных данных

Назначьте ответственное лицо / лиц (или подразделение), которые будут ответственны за организацию обработки персональных данных в организации.

Рекомендуем создать комиссию по разработке Политики. В состав комиссии целесообразно включить сотрудников разных служб: например, юристов, сотрудников кадровой службы, IT-специалистов и/или сотрудников службы безопасности, а председателем комиссии назначить ответственного за организацию обработки персональных данных.

Такой подход позволит сделать Политику действительно актуальным и рабочим документом по защите персональных данных.
Определить состав комиссии возможно приказом.

Шаг 2. Проанализируйте бизнес-процессы, действующие у оператора персональных данных

Здесь важно определить:

в каких случаях оператору необходимо обрабатывать персональные данные субъектов персональных данных (например, при приеме на работу, оформлении договора с клиентом/контрагентом, при оказании поддержки пользователям, при ведении воинского учета и т.д.).
Для каких целей такая обработка персональных данных необходима.

Чётко сформулируйте цели обработки для каждого случая. Цель должна быть конкретной и законной.

Персональные данные каких субъектов обрабатываются.

Определите категории лиц, чьи персональные данные вы обрабатываете. Это могут быть: работники, кандидаты в приеме на работу, клиенты, контрагенты, посетители, подписчики, родственники сотрудников и т.д.

какие персональные данные обрабатываются оператором, в каком объеме.

Для каждой категории субъектов определите, какие именно сведения вы обрабатываете. Например, для сотрудника — ФИО, дата рождения, паспортные данные, ИНН, сведения об образовании.

На основании анализа бизнес-процессов возможно составить карту обработки персональных данных, которая будет служить приложением к Политике.

		 Советы по анализу бизнес-процессов

 1. Не ограничивайтесь документами.

		 Оцените реальные процессы, которые есть в организации: как на самом деле обрабатываются персональные данные? Для этого целесообразно провести опрос работников разных ведомств организации, чтобы узнать все нюансы процессов;

		 2. Сразу определите, какие потенциальные риски обработки персональных данных возможны.

		 Например, определите, передаются ли персональные данные третьим лицам, в каких случаях есть риск несанкционированного доступа к персональным данным и т.д.;

		 3. Проанализируйте, действительно ли обрабатываемые персональные данные соответствуют целям обработки, нет ли признаков избыточной обработки персональных данных.

Шаг 3. На основании карты обработки персональных данных разработайте проект политики в отношении обработки персональных данных

Составьте Политику в соответствии с Рекомендациями Роскомнадзора от 31.07.2017 по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Подробнее о содержании и структуре Политики вы можете ознакомиться в нашей статье.

Шаг 4. Согласование проекта политики в отношении обработки персональных данных

Данный этап позволит учесть интересы всех лиц, принимавших участие в составлении Политики, и еще раз подтвердить согласие ответственных лиц с редакцией Политики.

Если Политика будет разрабатываться одним должностным лицом, а не группой специалистов, то рекомендуем Политику направить на согласование:

юридической службе. Юристы проверят на соответствие Политики действующему законодательству, корректность используемых формулировок (особенно про цели обработки, сроки, передачу третьим лицам);
кадровой службе. Если обрабатываются персональные данные работников, кандидатов в приеме на работу, то сотрудники кадровой службы смогут оценить актуальность описанных в Политике положений;
IT-специалистам и/или сотрудникам службы безопасности. Специалисты оценят, как в Политике отражаются технические меры защиты персональных данных, соответствуют ли они фактическим обстоятельствам и не создают ли описанные в Политике процессы риски;
административно-хозяйственной службе. Данная структура будет актуальна, если в Политике затрагиваются вопросы учёта и хранения бумажных документов, шредирования, журналов регистрации и т.п.;
в другие структурные подразделения, которые обрабатывают персональные данные.

После получения всех необходимых виз передавайте документ на утверждение руководителю организации или иному уполномоченному лицу.

Важно

1. Политику в отношении обработки персональных данных не нужно направлять на согласование в профсоюз (при его наличии).
2. Политику не нужно направлять на согласование в Роскомнадзор.

Шаг 5. Утверждение политики в отношении обработки персональных данных

Политику утверждает руководитель организации (директор, генеральный директор), индивидуальный предприниматель (если Политика утверждается в ИП) или иное уполномоченное лицо.

Возможны следующие способы утверждения Политики:

1. путем указания грифа утверждения на самом документе.
Порядок указания грифа утверждения (п. 5.16 ГОСТ Р 7.0.97-2025):

размещается в правом верхнем углу первого листа документа,
строки реквизита выравниваются по левому краю или центрируются относительно самой длинной строки,
гриф утверждения содержит в себе:
- слово «УТВЕРЖДАЮ»,
- наименование должности лица, утверждающего документ, его подписи, инициалов, фамилии,
- дату утверждения.

2. путем издания документа об утверждении (распоряжения или приказа).
В документе целесообразно указать:

наименование документа, который подлежит утверждению,
дату, с которой документ вводится в действие,
возможно назначить сразу ответственного за контроль исполнения положений Политики,
прописать, какие действия необходимо предпринять для размещения Политики в открытом доступе (например, разместить на сайте, на стенде, ознакомить работников с документом и т.д.),
установить сроки, в течение которых Политика должна быть размещена в свободном доступе,
др. условия.

Шаг 6. Обеспечить свободный доступ к политике в отношении обработки персональных данных

Политика в отношении обработки персональных данных должна быть в неограниченном доступе (часть 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

Это означает, что любое лицо должно иметь возможность ознакомиться с таким документом.
Опубликуйте Политику на своем сайте, разместите на информационном стенде или в доступных местах — предпримите все возможные способы по обеспечению свободного доступа к Политике.

Шаг 7. Поддерживайте актуальную редакцию Политики

Периодически проводите аудит Политики обработки персональных данных на предмет соответствия Политики действующему законодательству и внутренним процессам компании.

Важно

Напомним, что данный документ должен быть актуальным и полностью соответствовать фактическим условиям у оператора персональных данных. Периодически анализируя и обновляя Политику, вы сможете снизить риски возникновения вопросов со стороны Роскомнадзора.

Если у вас возникают сложности при утверждении политики в области персональных данных или появилась необходимость проверить актуальность вашей Политики, специалисты компании «Митрофанова и партнеры» всегда готовы оперативно подключиться к решению текущих задач: ответить на возникшие вопросы, а также провести аудит ваших документов.

Свяжитесь с нами!

Чтобы получить анкету для подготовки индивидуального предложения:

- написать на почту i.krotov@mitrofanova.ru

- позвонить по тел. +7(916) 416-49-60

Проконсультироваться