Спрашивали — отвечаем

В соответствии со ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) к обязанностям оператора персональных данных в числе прочего отнесено издание документа, определяющего политику оператора в отношении обработки персональных данных, что позволяет обеспечить реализацию принципов законности, конфиденциальности и безопасности информации. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к указанному документу и к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей сети.

То есть политика оператора в отношении обработки персональных данных — это документ, в котором раскрываются концептуальные основы, принципы обеспечения безопасности персональных данных субъектов на уровне конкретного хозяйствующего субъекта.

Положение о работе с персональными данными — это локальный нормативный акт, который также обязательно должен быть в организации (ст. 87 ТК РФ, п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ). В нем подробно прописываются организационные и технические правила и процедуры обработки персональных данных (сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), обезличивания, блокирования, удаления, уничтожения персональных данных). Соответственно, все эти процедуры (действия, процессы) должны быть детально регламентированы в положении. Данный локальный акт утверждается руководителем организации и доводится до сведения всех работников персонально под подпись.