Положение об обработке персональных данных

1. Что такое положение и почему его нельзя делать «для галочки»

Положение об обработке персональных данных — это внутренний локальный акт оператора, в котором закрепляется порядок работы с персональными данными: какие сведения собираются, для каких целей, кто имеет доступ, кому данные могут передаваться, сколько они хранятся и как уничтожаются. Документ нужен не только крупным компаниям. Если организация или ИП принимает сотрудников, ведет базу клиентов, оформляет договоры, получает заявки через сайт, использует CRM или онлайн-формы, она уже обрабатывает персональные данные.

Основная обязанность принять локальные акты следует из части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Закон не требует, чтобы документ назывался строго «Положение». Его можно назвать регламентом, порядком или внутренней политикой. Но на практике название «Положение об обработке персональных данных» удобно: оно понятно сотрудникам, проверяющим органам и контрагентам.

Ошибка многих операторов в том, что они пытаются скачать первый попавшийся образец и вставить в него свое название. Такой типовой подход может подойти только как стартовая заготовка. Персональные данные всегда привязаны к реальным процессам: кадровому учету, продажам, доставке, медицинским услугам, обучению, пропускному режиму, видеонаблюдению, рассылкам. Если шаблон не отражает этих процессов, он не доказывает соблюдение закона.

Положение должно описывать не идеальную картинку, а фактический порядок работы с персональными данными у конкретного оператора.

При проверке важно не само наличие документа в папке, а его соответствие реальности. Если в положении написано, что доступ к базе ограничен, а на деле общий пароль знают все сотрудники, документ не поможет. Если указано, что данные уничтожаются после достижения цели, но старые анкеты клиентов годами лежат в открытом шкафу, риск сохраняется. Поэтому правильно составить положение — значит сначала разобраться, где и зачем компания использует персональные данные.

2. Какие нормы закона нужно учитывать

Главный нормативный акт — Федеральный закон № 152-ФЗ. В статье 3 даются основные понятия: персональные данные, оператор, обработка, распространение, предоставление, обезличивание, блокирование, уничтожение. Эти термины можно включить в положение, но не стоит перегружать документ длинными цитатами закона. Лучше дать краткие определения и дальше показать, как они применяются в работе оператора.

Статья 5 Закона № 152-ФЗ устанавливает принципы обработки. Особенно важны законность, конкретность целей, недопустимость избыточных данных и ограничение срока хранения. Статья 6 определяет правовые основания обработки: согласие субъекта, исполнение договора, исполнение закона, осуществление прав и законных интересов оператора и другие основания. Статья 9 регулирует согласие субъекта. Статьи 10 и 11 посвящены специальным категориям и биометрическим персональным данным. Статья 10.1 устанавливает отдельный порядок для персональных данных, разрешенных субъектом для распространения.

Для внутреннего документа особенно важны статьи 18.1, 19, 21, 22 и 22.1 Закона № 152-ФЗ. Статья 18.1 говорит о мерах, которые оператор обязан принять для соблюдения закона, включая назначение ответственного лица и принятие локальных актов. Статья 19 посвящена безопасности данных. Статья 21 — прекращению обработки и уничтожению, а также действиям при неправомерной или случайной передаче данных. Статья 22 регулирует уведомление Роскомнадзора об обработке персональных данных. Статья 22.1 говорит о лице, ответственном за организацию обработки персональных данных.

Для работодателей обязательны статьи 86–90 Трудового кодекса РФ. Они устанавливают правила обработки персональных данных работника, порядок передачи данных третьим лицам и ответственность за нарушения. Нельзя заменить эти нормы одним общим согласием работника: кадровая обработка часто основана не на согласии, а на обязанности работодателя вести учет, платить зарплату, сдавать отчетность и исполнять трудовое законодательство.

Также применяются статья 13.11 КоАП РФ, предусматривающая административную ответственность за нарушения в сфере персональных данных, статья 137 УК РФ о нарушении неприкосновенности частной жизни в особо опасных ситуациях, статьи 150, 151 и 152.2 ГК РФ о защите нематериальных благ, компенсации морального вреда и охране частной жизни гражданина. Для рекламных рассылок нужно учитывать статью 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе».

3. Судебная практика: что реально проверяют суды

Судебная практика по персональным данным не сводится к вопросу «есть ли положение». Суды обычно смотрят шире: была ли законная цель обработки, получено ли согласие там, где оно нужно, не были ли данные избыточными, была ли публикация или передача третьим лицам, мог ли гражданин понять, как используются его сведения.

В качестве общей судебной базы можно учитывать Постановление Пленума Верховного Суда РФ от 24.02.2005 № 3. Оно касается защиты чести, достоинства и деловой репутации, но в нем также раскрываются подходы к распространению сведений о частной жизни. Для персональных данных это важно, потому что незаконная публикация сведений о человеке часто затрагивает не только Закон № 152-ФЗ, но и право на неприкосновенность частной жизни.

Также имеет значение Постановление Пленума Верховного Суда РФ от 23.06.2015 № 25, где рассматриваются общие положения ГК РФ, в том числе способы защиты гражданских прав и нематериальных благ. При спорах о незаконном распространении данных, компенсации морального вреда и защите частной жизни суды могут опираться на эти общие подходы вместе со специальными нормами Закона № 152-ФЗ.

По административным делам суды часто поддерживают привлечение к ответственности по статье 13.11 КоАП РФ, если оператор не может подтвердить конкретное согласие, не опубликовал политику обработки персональных данных на сайте, собирал лишние сведения или не выполнил обязанности по уведомлению Роскомнадзора. В арбитражной практике также встречаются споры, где значение имеют формулировки согласия: слишком широкие цели вроде «для любых действий оператора» оцениваются как рискованные.

Суду обычно важен не красивый шаблон, а доказательства: согласия, локальные акты, журналы доступа, приказы, уведомления, порядок уничтожения и реальные меры защиты.

Поэтому в статье и в самом положении лучше не ссылаться на несуществующие «универсальные» решения. Надежнее указать проверяемые акты: Закон № 152-ФЗ, ТК РФ, КоАП РФ, ГК РФ, Закон о рекламе и названные постановления Пленума Верховного Суда РФ. Если нужен документ для конкретного бизнеса, судебную практику желательно дополнительно проверить по свежим делам за последний год, потому что подходы Роскомнадзора и судов по отдельным составам статьи 13.11 КоАП РФ регулярно уточняются.

4. Кому нужно положение: компании, ИП и отдельные ситуации между физическими лицами

Положение нужно оператору персональных данных. По статье 3 Закона № 152-ФЗ оператором может быть государственный орган, муниципальный орган, юридическое лицо или физическое лицо, которое организует обработку персональных данных и определяет ее цели. Поэтому обязанность касается не только ООО или АО, но и индивидуального предпринимателя, самозанятого в некоторых рабочих ситуациях, частной клиники, образовательного проекта, агентства недвижимости, интернет-магазина, кадрового агентства.

Если обработка идет только для личных или семейных нужд, Закон № 152-ФЗ обычно не применяется. Например, переписка с другом, личная телефонная книга или список гостей на семейный праздник не требуют положения. Но отношения между физическими лицами могут выйти за пределы личной сферы. Если гражданин сдает квартиру, оказывает услуги, ведет платный курс, собирает заявки через онлайн-форму или системно хранит данные клиентов, он может фактически стать оператором.

В отношениях между юридическими лицами персональные данные тоже есть. Сведения о самом обществе — ОГРН, ИНН, адрес компании — не являются персональными данными. Но ФИО директора, телефон менеджера, рабочая почта сотрудника, паспортные данные представителя по доверенности относятся к конкретному человеку. Поэтому договор между юридическими лицами часто сопровождается обработкой персональных данных представителей сторон.

Для работодателя положение почти всегда обязательно на практике, потому что персональные данные работников обрабатываются постоянно. Работодатель хранит трудовые договоры, копии документов, сведения о зарплате, отпусках, больничных, налоговых вычетах, воинском учете. Здесь важно учитывать не только Закон № 152-ФЗ, но и статьи 86–90 ТК РФ.

Положение особенно необходимо, если оператор принимает заявки через сайт или мессенджеры; ведет CRM, клиентскую базу или программу лояльности; оформляет работников и кандидатов; делает рекламные или информационные рассылки; использует видеонаблюдение, пропускной режим, запись звонков.

Если компания хочет создать систему документов с нуля, положение лучше готовить вместе с политикой для сайта, формами согласия, приказом о назначении ответственного лица и перечнем лиц, имеющих доступ к данным. Один документ редко закрывает всю задачу.

5. Чем положение отличается от политики, согласия и уведомления Роскомнадзора

Положение, политика, согласие и уведомление Роскомнадзора — разные документы. Их часто путают, из-за чего у оператора появляется формальный набор бумаг, но без нормальной логики.

Положение — внутренний документ. Оно нужно сотрудникам и руководству, чтобы понимать правила работы с данными. Политика обработки персональных данных — публичный документ, который размещается на сайте или иным способом доводится до субъектов. Статья 18.1 Закона № 152-ФЗ обязывает оператора обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, если оператор собирает данные, в том числе через интернет.

Согласие — это отдельное волеизъявление субъекта. Его требования установлены статьей 9 Закона № 152-ФЗ. Для распространения данных действует статья 10.1, и такое согласие должно оформляться отдельно от других согласий. Нельзя незаметно включить разрешение на публикацию фотографии, отзыва или ФИО клиента в общий текст договора.

Уведомление Роскомнадзора — это сообщение оператора регулятору по статье 22 Закона № 152-ФЗ. Сейчас для большинства операторов действует правило предварительного уведомления до начала обработки, если нет специального исключения. Содержание положения должно совпадать с тем, что оператор указывает в уведомлении: цели, категории субъектов, категории данных, правовые основания, меры защиты, сведения о трансграничной передаче.

Проще различать документы так: положение — внутренние правила для оператора; политика — публичное объяснение для субъектов; согласие — разрешение конкретного человека на определенную обработку; уведомление Роскомнадзора — информация для регулятора; поручение обработки — условия для подрядчика, который обрабатывает данные по заданию оператора.

Если скачать шаблон политики и назвать его положением, документ будет неполным. Он может объяснять права субъекта, но не ответит на внутренние вопросы: кто отвечает за базу, кто удаляет сведения, где хранятся бумажные анкеты, как ограничивается доступ и что делать при утечке.

6. Как определить цели обработки и не собрать лишнего

Цели обработки — основа положения. Статья 5 Закона № 152-ФЗ требует, чтобы обработка была ограничена достижением конкретных, заранее определенных и законных целей. Нельзя писать только «для осуществления деятельности оператора». Такая цель слишком широкая и плохо объясняет, зачем собираются конкретные сведения.

Хорошая цель должна быть понятной. Например: заключение и исполнение договора с клиентом, доставка товара, ведение кадрового учета, начисление зарплаты, рассмотрение обращений, направление ответа на заявку, проведение мероприятия, обеспечение пропускного режима, выполнение требований налогового законодательства. Для каждой цели нужно понимать, какие данные действительно нужны.

Пример: интернет-магазину для доставки обычно нужны ФИО, телефон, адрес доставки и состав заказа. Паспортные данные ему нужны не всегда. Онлайн-школе могут быть нужны ФИО, телефон, email, сведения об оплате и результатах обучения. Работодателю нужны паспортные данные, СНИЛС, ИНН, сведения об образовании, воинском учете и банковские реквизиты, но эти данные нельзя автоматически использовать для рекламных целей.

Практически удобно составить таблицу, даже если она не попадет в финальный текст полностью: цель обработки, категория субъектов, состав персональных данных, правовое основание, срок хранения. Такая таблица помогает увидеть избыточность. Если в анкете есть поле «семейное положение», нужно понять, для чего оно требуется. Если в форме обратной связи есть дата рождения, нужно объяснить цель. Если сервис просит фото паспорта, нужно проверить, есть ли законное основание и нельзя ли обойтись без этого.

Чем меньше лишних данных собирает оператор, тем проще ему соблюдать закон и защищаться при споре.

Типовой образец часто содержит длинные перечни данных «на всякий случай». Лучше не копировать их полностью. Если компания не обрабатывает биометрию, сведения о здоровье, политических взглядах или религиозных убеждениях, не нужно включать эти категории в основной рабочий список. Иначе оператор сам создает впечатление, что ведет более рискованную обработку, чем есть на самом деле.

7. Какие разделы включить в положение

Закон не утверждает единую обязательную форму положения. Поэтому документ можно составить в свободной структуре, но он должен закрывать требования статей 18.1 и 19 Закона № 152-ФЗ и быть связан с реальными процессами оператора. Шаблон или конструктор могут помочь со структурой, но содержание нужно адаптировать.

Оптимальная структура положения включает 12 основных блоков. В первом разделе указываются общие положения, правовая база и основные термины. Во втором — категории субъектов: работники, кандидаты, клиенты, пользователи сайта, представители контрагентов, участники мероприятий. В третьем — цели обработки. В четвертом — состав персональных данных по каждой категории субъектов. В пятом — правовые основания обработки.

Далее стоит описать порядок сбора, записи, систематизации, накопления, хранения, уточнения, использования, передачи, блокирования, удаления и уничтожения данных. Эти действия прямо относятся к понятию обработки по статье 3 Закона № 152-ФЗ. Не обязательно переписывать весь закон, но нужно показать, какие действия оператор реально совершает.

Отдельными разделами лучше закрепить права субъектов, обязанности оператора, обязанности работников, меры защиты, порядок доступа, порядок передачи третьим лицам, сроки хранения, порядок уничтожения, действия при утечке и внутренний контроль. В конце можно указать ответственность работников и порядок изменения положения.

В документе желательно предусмотреть приложения. Например, перечень информационных систем, список должностей с доступом, форму акта уничтожения, форму запроса субъекта, форму журнала учета запросов. Не всегда нужно включать все приложения сразу, но для организации с большим количеством данных они полезны.

Короткий список обязательных практических вопросов, на которые должно отвечать положение: какие данные и у кого собираются; зачем они собираются; кто имеет доступ; кому данные передаются; когда и как данные уничтожаются.

Если на эти вопросы положение не отвечает, его сложно назвать рабочим. Даже если текст выглядит солидно и занимает много страниц, он останется формальным.

8. Согласие: когда требуется, а когда нет

Согласие субъекта персональных данных регулируется статьей 9 Закона № 152-ФЗ. Оно должно быть конкретным, предметным, информированным, сознательным и однозначным. В некоторых случаях согласие обязательно должно быть письменным или оформленным в форме электронного документа, например при обработке специальных категорий данных в ситуациях, где нет другого основания.

Но согласие не нужно превращать в универсальную «затычку». Статья 6 Закона № 152-ФЗ предусматривает и другие основания обработки. Работодатель обрабатывает многие данные работника не потому, что работник согласился, а потому что это требуется для исполнения трудового, налогового, пенсионного и бухгалтерского законодательства. Если сотрудник отзовет согласие, работодатель все равно обязан хранить кадровые документы в установленные сроки.

Для клиентов часть обработки может быть связана с исполнением договора. Например, если человек заказал товар, оператор вправе использовать необходимые данные для доставки и оплаты. Но рекламная рассылка — это отдельная цель. Для нее нужно отдельное согласие с учетом статьи 18 Закона о рекламе. Нельзя считать, что покупка товара автоматически означает согласие на рекламные сообщения.

В положении нужно указать, в каких случаях оператор получает согласие; где и как оно хранится; кто отвечает за учет согласий; как субъект может отозвать согласие; что происходит после отзыва.

Для персональных данных, разрешенных субъектом для распространения, действует статья 10.1 Закона № 152-ФЗ. Это важно для публикации отзывов с ФИО, фотографий клиентов, карточек сотрудников на сайте, списков участников мероприятия, видео с человеком в рекламных материалах. Такое согласие должно быть отдельным и давать субъекту возможность определить условия и запреты на распространение.

Если используется онлайн-форма, согласие должно быть видно до отправки данных. Нежелательно прятать его внизу страницы мелким шрифтом. Лучше использовать отдельный чекбокс, который пользователь сам отмечает, и рядом разместить понятный текст согласия или ссылку на него. Заранее проставленная галочка может вызвать вопросы.

9. Передача третьим лицам, подрядчики и трансграничная передача

Положение должно описывать, кому оператор может передавать персональные данные. Передача бывает разной. Иногда третье лицо становится самостоятельным оператором, например банк, налоговый орган, Социальный фонд России, суд или курьерская служба в рамках своих обязанностей. Иногда третье лицо действует по поручению оператора: хостинг-провайдер, облачная CRM, сервис email-рассылок, бухгалтерский аутсорсер, колл-центр.

Если обработка поручается другому лицу, статья 6 Закона № 152-ФЗ требует закрепить поручение оператора. В нем должны быть указаны перечень действий с данными, цели обработки, обязанность соблюдать конфиденциальность, требования к защите персональных данных и обязанность предоставлять документы, подтверждающие выполнение мер защиты. На практике это может быть отдельное соглашение или раздел в основном договоре.

В положении нельзя писать, что оператор передает данные «любым третьим лицам по своему усмотрению». Такая фраза удобна, но юридически слабая. Лучше указать категории получателей: банки, платежные сервисы, службы доставки, операторы связи, хостинг-провайдеры, сервисы технической поддержки, государственные органы в случаях, предусмотренных законом.

Отдельно нужно проверить трансграничную передачу по статье 12 Закона № 152-ФЗ. Она возникает, когда данные передаются на территорию иностранного государства, иностранному органу, иностранному физическому или юридическому лицу. Зарубежный сервис рассылок, иностранный хостинг или облачная аналитика могут создавать такую передачу. Перед ее началом оператор должен выполнить требования статьи 12, включая уведомление Роскомнадзора в предусмотренном порядке.

Также нужно помнить о локализации. Часть 5 статьи 18 Закона № 152-ФЗ требует при сборе персональных данных, в том числе через интернет, обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории России, кроме предусмотренных законом случаев.

Если оператор работает только с российскими сервисами, это можно указать. Но перед такой формулировкой нужно проверить сайт, CRM, аналитику, виджеты, формы обратной связи и платежные инструменты. Иногда трансграничная передача появляется незаметно из-за одного подключенного онлайн-сервиса.

10. Сроки хранения, блокирование и уничтожение данных

Сроки хранения должны быть не абстрактными, а привязанными к целям и законам. Статья 5 Закона № 152-ФЗ требует хранить персональные данные не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом, договором или согласием субъекта. Статья 21 регулирует прекращение обработки и уничтожение данных.

Для работников сроки часто зависят от трудового и архивного законодательства. Кадровые документы не удаляются сразу после увольнения. Для бухгалтерских документов применяются правила бухгалтерского и налогового учета. Для договоров с клиентами нужно учитывать срок исполнения договора и период, когда возможны претензии. Для рассылки данные могут храниться до отзыва согласия или прекращения цели рассылки.

В положении можно установить разные сроки по категориям: кадровые данные — в течение трудовых отношений и установленных сроков хранения документов; данные кандидатов — до закрытия вакансии или до окончания срока согласия; данные клиентов — в течение срока договора и периода защиты прав оператора; данные для рассылки — до отзыва согласия или отказа от рассылки; данные обращений — до завершения рассмотрения и разумного срока на случай спора.

После достижения цели обработки оператор должен прекратить обработку или обеспечить уничтожение данных, если нет другого законного основания для хранения. Уничтожение нужно подтверждать. Для бумажных документов это может быть акт уничтожения, измельчение, передача специализированной организации. Для электронных данных — удаление из информационной системы, удаление резервных копий по регламенту, блокирование доступа до полного удаления.

Блокирование данных применяется, если есть спор, выявлена неточность или обработка временно должна быть остановлена. В положении стоит описать, кто принимает решение о блокировании, как фиксируется запрос субъекта и в какой срок данные уточняются или уничтожаются.

Частая проблема — старые копии. База клиентов может лежать в Excel у бывшего менеджера, в личной почте, в мессенджере или на флешке. Если положение запрещает такие копии, но контроль не ведется, правило останется бумажным. Поэтому вместе с положением нужно ввести понятный порядок: где разрешено хранить данные, кто отвечает за выгрузки и как удаляются рабочие копии.

11. Безопасность, доступ и действия при утечке

Меры безопасности должны соответствовать статье 19 Закона № 152-ФЗ. Оператор обязан защищать персональные данные от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий. В положении достаточно описать основные организационные и технические меры, а детальные настройки можно вынести во внутренние инструкции.

Обычно указываются такие меры: назначение ответственного лица, ограничение доступа по должностям, использование паролей, антивирусная защита, резервное копирование, хранение бумажных документов в закрытых шкафах, учет носителей, инструктаж сотрудников, запрет передачи паролей, контроль увольнения сотрудников и отключение их доступов.

Доступ лучше описывать не общими словами, а через должности или подразделения. Например, кадровик имеет доступ к данным работников, бухгалтер — к сведениям для начислений и отчетности, менеджер — к данным клиентов в пределах заказов, системный администратор — к техническому доступу без права использовать сведения в личных целях. Чем точнее разграничение, тем легче показать соблюдение закона.

Отдельно нужно описать действия при инциденте. После изменений в законодательстве оператор обязан реагировать на неправомерную или случайную передачу персональных данных, повлекшую нарушение прав субъектов. В статье 21 Закона № 152-ФЗ закреплены обязанности по уведомлению Роскомнадзора: первоначальное уведомление направляется в установленный законом короткий срок, а затем сообщаются результаты внутреннего расследования. В рабочем документе стоит указать, кто фиксирует инцидент, кто проводит проверку, кто направляет уведомление и какие меры принимаются.

Примеры инцидентов: письмо с персональными данными ушло не тому адресату, сотрудник потерял ноутбук, бывший работник сохранил клиентскую базу, в CRM открыт лишний доступ, на сайте стали видны чужие заявки. Для каждого случая важны быстрые действия: ограничить доступ, зафиксировать обстоятельства, определить круг затронутых данных, сообщить ответственному лицу и принять меры.

Утечка персональных данных — это не только техническая проблема. Это юридический инцидент, который нужно фиксировать и разбирать документально.

Если компания использует конструктор для подготовки положения, раздел о безопасности особенно важно доработать вручную. Универсальный текст часто обещает меры, которых у оператора нет. Лучше написать меньше, но так, чтобы это действительно выполнялось.

12. Как пользоваться образцом, шаблоном и онлайн-конструктором без ошибок

Готовый образец может быть полезен, но только как основа. Он помогает не забыть разделы, выдержать структуру и быстрее составить первый вариант. Но ни один шаблон не знает, какие именно данные собирает конкретная организация, какие сервисы она использует, кому передает сведения и какие сроки хранения применяются. Поэтому скачать документ и сразу утвердить его приказом — плохая идея.

Онлайн конструктор удобен для малого бизнеса, когда нужно быстро создать комплект документов. Но после заполнения формы нужно внимательно прочитать результат. Часто конструктор вставляет типовой перечень данных, универсальные цели, общие меры защиты и стандартные фразы о передаче третьим лицам. Их нужно привести к реальности. Если оператор не обрабатывает биометрию, не ведет трансграничную передачу или не собирает данные детей, не нужно оставлять эти разделы без необходимости.

Перед утверждением положения стоит пройти короткую проверку: совпадают ли цели обработки с фактической работой; нет ли лишних данных в формах и анкетах; указаны ли правовые основания по статье 6 Закона № 152-ФЗ; описаны ли сроки хранения и порядок уничтожения; учтены ли сайт, cookies, CRM, рассылки и подрядчики.

После проверки положение утверждается приказом руководителя. Сотрудников, которые работают с персональными данными, нужно ознакомить с документом. Для этого можно использовать лист ознакомления, электронную систему кадрового документооборота или иной подтверждаемый способ. Если положение меняется, работников нужно ознакомить с новой редакцией.

Итоговая система документов обычно включает не только положение. Нужны политика обработки персональных данных для сайта, формы согласий, приказ о назначении ответственного, перечень лиц с доступом, договоры или поручения с обработчиками, порядок рассмотрения запросов субъектов, формы актов уничтожения. Для сайта также может понадобиться отдельное уведомление о cookies или раздел в политике, если используются cookie-файлы и аналитика.

Административная ответственность по статье 13.11 КоАП РФ показывает, что нарушения в сфере персональных данных давно перестали быть редкостью. Проверяются не только крупные компании. Малый бизнес, сайты с формами заявок, работодатели, школы, клиники, маркетинговые проекты и интернет-магазины тоже попадают в зону риска.

Правильно составленное положение помогает снизить эти риски. Оно показывает, что оператор понимает состав данных, цели обработки, основания, сроки хранения, порядок доступа и меры защиты. Но положение работает только вместе с реальными действиями: ограничением доступа, нормальными согласиями, актуальной политикой на сайте, уведомлением Роскомнадзора, контролем подрядчиков и регулярным обновлением документов.

Если нужно составить положение с нуля, лучше начать не с текста, а с инвентаризации данных. Сначала определить, какие персональные данные есть у оператора, затем убрать лишнее, после этого выбрать правовые основания и только потом создавать документ. В такой логике и образец, и шаблон, и онлайн конструктор становятся полезными инструментами, а не источником формальной бумаги.