1. Общие положения

• 1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных (далее — ПДн) Оператором — [полное наименование организации, ОГРН, адрес].
• 1.2. Политика разработана во исполнение требований:
• Конституции РФ;
• Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Постановления Правительства РФ от 01.11.2012 № 1119;
• Приказа Роскомнадзора от 19.06.2025 № 140;
• иных нормативных актов в области защиты ПДн.
• 1.3. Политика действует в отношении всех ПДн, которые Оператор получает от субъектов (клиентов, сотрудников, посетителей сайта и т.д.).

2. Основные понятия (приводятся определения согласно ст. 3 152-ФЗ и п. 1.2 Политики Роскомнадзора)

• Персональные данные — любая информация, относящаяся к прямо или косвенно определенному физическому лицу (ФИО, паспортные данные, адрес, телефон, e-mail, IP-адрес, cookie, геолокация и др.).
• Обработка ПДн — любое действие (сбор, запись, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
• Оператор — юридическое или физическое лицо, организующее и (или) осуществляющее обработку ПДн.
• Субъект ПДн — физическое лицо, к которому относятся ПДн.
• Обезличивание ПДн — действия, после которых без дополнительной информации нельзя определить принадлежность ПДн конкретному лицу.
• Автоматизированная обработка — с помощью средств вычислительной техники.
• Блокирование — временное прекращение обработки (кроме случаев необходимости уточнения).
• Уничтожение — действия, после которых восстановить ПДн невозможно.

3. Принципы и условия обработки ПДн

• 3.1. Обработка основывается на принципах:
• законности и справедливости;
• ограничения заранее определенными целями;
• соответствия содержания заявленным целям;
• точности, достаточности и актуальности;
• хранения не дольше, чем требуют цели обработки;
• конфиденциальности.
• 3.2. Обработка допускается только при наличии хотя бы одного из оснований, предусмотренных ч. 1 ст. 6 152-ФЗ, в том числе:
• согласие субъекта (оформленное отдельным документом);
• заключение или исполнение договора, стороной которого является субъект;
• требование федерального закона;
• иные законные основания.
• 3.3. С 1 сентября 2025 года согласие должно быть конкретным, информированным, однозначным и оформленным отдельно от других документов (например, в виде отдельной формы на сайте или отдельного пункта договора с отдельной подписью).

4. Права субъекта ПДн (ст. 14, 18, 20, 21 152-ФЗ)
Субъект вправе:

• получить информацию об обработке своих ПДн (в течение 10 дней);
• требовать уточнения, блокирования или уничтожения ПДн, если они неполные, устаревшие или получены незаконно;
• отозвать согласие на обработку (Оператор обязан прекратить обработку в течение 30 дней, если нет иных законных оснований);
• обжаловать действия Оператора в Роскомнадзор или суд.

5. Организационные и технические меры защиты

• 5.1. Назначено лицо, ответственное за обработку ПДн.
• 5.2. Применяются меры, предусмотренные Постановлением № 1119, включая:
• определение угроз безопасности ПДн;
• применение средств защиты информации (антивирусы, межсетевые экраны, DLP-системы, шифрование по ГОСТ Р 34.10-2021);
• оценку эффективности принимаемых мер;
• контроль доступа, резервное копирование;
• регистрацию и учёт инцидентов;
• обучение сотрудников.
• 5.3. При обработке ПДн без автоматизации (на бумаге) применяются отдельные меры (хранение в сейфах, контроль доступа).

6. Обработка ПДн на сайте и cookie-файлы

• 6.1. При сборе ПДн через сайт Оператор обязан получить активное согласие пользователя (отдельный checkbox, отдельный cookie-баннер). Запрещено использовать предустановленные галочки или подразумеваемое согласие.
• 6.2. Пользователь может в любой момент отозвать согласие на обработку cookie и других ПДн, собранных автоматически (IP-адрес, история посещений и др.).

7. Трансграничная передача ПДн

• 7.1. Оператор уведомляет Роскомнадзор о намерении осуществлять трансграничную передачу ПДн за 30 дней до её начала.
• 7.2. Запрещена передача ПДн в страны, не обеспечивающие адекватную защиту прав субъектов ПДн (перечень определяется Минцифры РФ).
• 7.3. С 1 июля 2025 года при сборе ПДн граждан РФ их запись, систематизация, накопление, хранение и извлечение с использованием баз данных за пределами РФ не допускаются (ч. 5 ст. 18 152-ФЗ).

8. Актуализация, блокирование, удаление и уничтожение ПДн

• 8.1. При подтверждении факта неточности ПДн Оператор уточняет их в течение 7 рабочих дней.
• 8.2. При достижении целей обработки или отзыве согласия ПДн подлежат блокированию, а затем уничтожению (в течение 30 дней, если иное не предусмотрено договором).
• 8.3. Порядок уничтожения (акты, комиссии) регламентируется внутренними документами.

9. Ответственность

• 9.1. Оператор несёт административную, гражданско-правовую и в установленных случаях уголовную ответственность за нарушения законодательства о ПДн.
• 9.2. Штрафы по ст. 13.11 КоАП РФ:
• за обработку без согласия (или с нарушением формы) — для юрлиц от 150 тыс. до 700 тыс. руб.;
• за утечку ПДн от 1 000 субъектов — до 5 млн руб., от 100 000 субъектов — до 15 млн руб.;
• за нарушение локализации — до 6 млн руб. (первичное) и до 18 млн руб. (повторное).

10. Заключительные положения

• 10.1. Политика вступает в силу с даты её утверждения руководителем.
• 10.2. Изменения вносятся при изменении законодательства или внутренних процессов Оператора.
• 10.3. Сотрудники Оператора знакомятся с Политикой под подпись.