Положения об обработке и защите персональных данных оператора - Форум по вопросам информационной безопасности

Добрый день. Необходимо разработать положению об обработке и защите персональных данных, вопрос возник в том что организация является оператором (обрабатывает персональные данные граждан), получается что их необходимо два?

1: "Положение об обработке и защите персональных данных работника", которое включает в себя приложения
- заявление на согласие обработки персональных данных
- обязательство о соблюдении конфиденциальности (для лиц допущенных к обработке персональных данных
работника)
- подписной лист
2: "Положение об обработке и защите персональных данных граждан обратившихся ....", которое включает в себя приложения
- согласие на обработку персональных данных гражданина
- обязательство о неразглашении персональных данных граждан
- заявление о прекращении обработки
- согласие субъекта персональных данных на получение персональных данных от третьих лиц
- уведомление об обработке
- уведомление об уничтожении, изменении, прекращении обработки, устранении нарушений, допущенных при обработке персональных данных
- журнал учета обращений субъектов персональных данных
- акт уничтожения бумажных носителей информации
- подписной лист

Правильно ли я думаю?

Вы зачем-то смешали в кучу много разных документов.
Не знаю является ли ваша организация ГМО или нет, но в любом случае в ПП 211 есть исчерпывающий перечень для ГМО.
И то положение об обработки ПД (иначе политика оператора направленная на предотвращение нарушений при обработке ПД, кратко говоря) - это одни из документов.
И если говорить конкретно про Положение, то не нужно клонировать их. Создается один документ на оператора.
Если говорить по содержанию, то в него можно включить НЕКОТОРЫЕ правила из перечня ПП 211, например:
1. Общие положения
Где вы указываете нормативно-правовую базу, на основании которой разрабатывали положение, обозначаете оператор для которого актуально положение, возможно даете определения основным понятиям, используемые в Положении, цели обработки ПД оператора, субъекты, может еще чего на свое усмотрение - важно понимать, что раздел "Общее" не должен акцентировать внимание на отдельных направлениях обработки ПД.
2. Прописываете порядок обработки ПД, который актуален для любых физических лиц (в независимости от того сотрудники это, клиенты, посетители и т.д.) Далее можно будет ссылаться на эту главу.
3. Далее можно уже акцентировать внимание уже на обработку пд без использования средств автоматизации.
4. С использованием средств автоматизации
5. Работа с обезличенными ПД (если есть)
6. акцентируйте внимание на трудовых отношениях.
7. Акцентируйте внимание на обработке пд в других целях (не трудовых).
Возможно цели настолько разные, что все в один 7 пункт не подойдет по смыслу и и будут 8, 9 и т.п.

Как видите, в документа фактически собраны несколько правил из 211.

Остальные можно в рамках других документов.

А такие документы, как согласие, всякого род заявления, обязательства - это отдельные документы. И вообще лучше все формы выделить в отдельный приказ и утвердить их. Есть варианты заявлений, которые будут вытекать как приложения к другим правилам, например:
форму уведомления об уничтожении, изменении, прекращении обработки, устранении нарушений, допущенных при обработке персональных данных
Можно разработать и утвердить как приложение к "Правилам рассмотрения запросов субъектов персональных данных или их представителей".

В целом, можно добавить следющее - например минздравсоцразвитие выпустило рекомедации по пдн включая приложения с образцами всех доков по ПДн - вам в помощь, ищется поиском элементарно...