Как защитить кадровые документы от утечки

Защита кадровых документов от утечки — это набор организационных и технических мер, которые не дают персональным данным сотрудников уйти к посторонним: разграничение доступа, шифрование канала, контроль за тем, кто и когда открывал трудовой договор или приказ. Здесь разберём, что грозит работодателю за утечку в 2026 году по статье 13.11 КоАП, какие меры закрывают риск на уровне процессов и на уровне системы, как настроить роли доступа и на что смотреть IT-специалисту при выборе провайдера. Это часть большого материала про безопасность и персональные данные в КЭДО, где описан весь контур работы с данными сотрудников от согласия до уничтожения.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Откуда утекают кадровые документы: каналы и причины

Кадровая служба держит у себя самый чувствительный массив в компании. Паспорта, СНИЛС, ИНН, адреса, сведения о зарплате, медицинские справки, иногда данные о судимости и кредитной истории кандидатов. По сути это готовая база для мошенников, и утекает она не там, где ждёшь.

Главный канал — не хакер снаружи, а свой человек внутри. Кадровик скачал личные карточки на флешку, чтобы доделать дома. Уволенный сотрудник унёс копию базы. Бухгалтер переслал расчётные листки на личную почту. По наблюдениям специалистов по корпоративной безопасности, инсайдер опаснее внешней атаки: у него уже есть учётка и легальный доступ, он не ломает периметр, а просто выносит то, к чему его допустили.

Второй канал — бумага и почта. Папки с личными делами в открытом шкафу, документы на принтере, сканы трудовых через обычный мессенджер. Когда архив лежит «по-старому», проследить, кто и что копировал, нельзя в принципе.

Третий — сама инфраструктура. Excel-файл с зарплатами на общем диске, к которому имеет доступ половина офиса. Учётная система без разграничения ролей, где любой бухгалтер видит данные всех подразделений. Облако без шифрования.

Мария Ж, HR-эксперт с 13-летним стажем:
«Самый частый затык не в технологиях, а в людях. Линейный кадровик годами сидел на общей папке, и тут ему говорят: теперь у тебя роль, и ты видишь только свой отдел. Сопротивление дикое. Но именно это и есть защита — человек физически не может слить то, к чему у него нет доступа.»

Что грозит работодателю за утечку персональных данных сотрудников в 2026 году

С 30 мая 2025 года штрафы за утечку выросли в разы. До этого оператор отделывался суммами до 700 000 рублей, и для крупной компании это были незначительные деньги. Реформу (Федеральный закон № 420-ФЗ от 30.11.2024) приняли как раз потому, что прежние санкции никого не пугали.

Теперь по статье 13.11 КоАП размеры такие. Утечка данных от 1 000 до 10 000 субъектов — штраф для юрлиц и ИП от 3 до 5 млн рублей. От 10 000 до 100 000 человек — от 5 до 10 млн. Свыше 100 000 — от 10 до 15 млн. За утечку специальных категорий (здоровье, судимость) и биометрии — до 15-20 млн. Простое нарушение правил обработки по части 1 статьи 13.11 для организации — 150 000-300 000 рублей.

Дальше интереснее. За повторную утечку введён оборотный штраф: от 1 до 3% годовой выручки, но не меньше 20 млн и не больше 500 млн рублей. Для среднего бизнеса один такой инцидент закрывает годовую прибыль целиком. И ещё момент про сроки: при утечке компания обязана уведомить Роскомнадзор в течение 24 часов с момента обнаружения, а в течение 72 часов — отчитаться о результатах внутреннего расследования (статья 21 152-ФЗ). Не уведомил — отдельный штраф для юрлиц от 1 до 3 млн.

Сверх административки есть уголовная статья 272.1 УК — за незаконные сбор, передачу и использование персональных данных. И отдельно работает глава 14 Трудового кодекса: статья 90 прямо говорит, что виновные в нарушении норм обработки данных работника несут дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность. Подать уведомление об инциденте и свериться с порядком можно на портале персональных данных Роскомнадзора.

Справедливости ради, суды пока смотрят на обстоятельства. Если компания уведомила регулятора в срок, нарушила впервые и вреда здоровью или имуществу не было, штраф иногда меняют на предупреждение — такие решения в 2026 году уже есть. Но строить защиту в расчёте на снисхождение суда — так себе стратегия.

Мария Ж, судебный эксперт по трудовому праву:
«Оборотный штраф поменял всю математику. Раньше безопасник приходил к гендиру, и тот отмахивался: ну заплатим сто тысяч, переживём. Сейчас одна повторная утечка — это процент от выручки, минимум двадцать миллионов. Внезапно денюжки на нормальную защиту нашлись у всех.»

Нормативная база: что закон требует от работодателя

Защита кадровых данных стоит на трёх опорах. Первая — глава 14 ТК РФ (статьи 85-90). Статья 86 задаёт общие требования: доступ к данным работника только у специально уполномоченных лиц, и каждый получает лишь те сведения, что нужны для его функции. Защита от утраты обеспечивается за счёт работодателя. Статья 87 — о хранении, статья 88 — о передаче (третьим лицам только с письменного согласия, кроме случаев из закона), статья 89 — о правах работника.

Вторая опора — 152-ФЗ «О персональных данных». Работодатель здесь оператор: он уведомляет Роскомнадзор о намерении обрабатывать данные, утверждает политику обработки, получает согласия, обеспечивает меры защиты и проводит оценку их соответствия. Оценку можно сделать самостоятельно (акт оценки соответствия) либо привлечь лицензиата ФСТЭК — тогда это аттестация.

Третья — 63-ФЗ «Об электронной подписи» (та самая «тройка») и статьи 22.1-22.3 ТК про КЭДО. Подпись работает не только как способ согласовать документ, но и как защита от подмены: подписанный файл нельзя незаметно изменить, любое вмешательство ломает подпись. Это и есть контроль целостности.

Образцы документов для защиты персональных данных и КЭДО

Организационные меры защиты кадровых документов от утечки

Технология без регламента не работает. Первое, что нужно, — локальные нормативные акты. Политика обработки персональных данных, положение о защите ПД, положение о КЭДО. В них прописывается, кто оператор, какие данные собираются, на каком основании, кто имеет доступ, сколько они хранятся и как уничтожаются. Без этого пакета любая проверка Роскомнадзора закончится предписанием.

Второе — согласия. На обработку данных, на передачу третьим лицам (в банк для зарплатного проекта, оператору КЭДО, удостоверяющему центру для выпуска подписи), на переход на электронный документооборот. Согласие на КЭДО, кстати, добровольное: отказ работника не повод его увольнять или давить санкциями.

Третье и, по моему опыту, решающее — разграничение доступа по ролям. Это переводит защиту из разряда «доверяем людям» в разряд «система не пустит». Кадровик отдела продаж видит только своих, бухгалтер видит выплаты, но не медицинские справки, доступ к архиву — отдельная роль. И каждый, кто открыл документ, оставляет след.

Четвёртое — режим коммерческой тайны и NDA для тех, кто работает с данными, плюс обучение. Человек должен понимать, почему нельзя кидать сканы паспортов в личный мессенджер, иначе он будет это делать по привычке.

Как закрыть кадровые данные от утечки: пошаговая инструкция

Технические меры: как КЭДО защищает кадровые документы

Когда документ переходит из бумаги в электронный контур, защита перестаёт зависеть от честности отдельного человека и встраивается в систему. Разберём по слоям.

Шифрование канала. Данные между сотрудником и сервером не должны передаваться открытым текстом. Российская практика идёт к ГОСТ TLS — отечественной криптографии на уровне соединения. По этому принципу защищён федеральный портал Госуслуг: криптографический шлюз берёт на себя всю нагрузку по шифрованию. Перехватить трафик с личными данными по дороге не выйдет.

Аутентификация. Логин и пароль — слабое место. Поэтому добавляют второй фактор: одноразовый пароль, push в мобильном приложении, клиентский сертификат на токене. У кадровика, который работает с массивом личных дел, доступ к закрытке (закрытому ключу) подписи должен сидеть на защищённом носителе, а не в файле на рабочем столе.

Разграничение доступа и журналирование. Система знает, кто открыл документ, кто скачал, кто отправил на подпись. Вся цепочка фиксируется с отметками времени. Это и защита от утечки, и доказательная база при проверке ГИТ или в суде.

Контур развёртывания. Облако или on-premise. Пару лет назад все шли в облака за дешевизной. В 2025 году тренд развернулся: запросов на локальную поставку у среднего и крупного бизнеса стало заметно больше, и причина именно в безопасности. Облака под усиленные требования ИБ дорожают, и разница со своей инфраструктурой почти стёрлась. Госорганам — только государственные облака. В сервисе Добыто доступны три варианта поставки: облачная, on-premise и гибридная, под требования службы безопасности заказчика.

Подпись как защита целостности. Документ, подписанный электронной подписью, нельзя поменять задним числом так, чтобы это осталось незаметным. Проверка подписи показывает, цел ли файл и кто его подписал. Для кадровых документов это страховка от подмены и спорных ситуаций.

Подписать документ электронной подписью онлайн

1 Загрузите необходимые файлы:

Перетащите или выберите файл

2 Выберите электронную подпись:

Отправить

Отправить

Нажимая кнопку «Подписать», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Часто слышу: давайте всё в облако, это же дёшево. А потом приходит безопасник заказчика и первым делом спрашивает не про функции, а про шифрование и сертификаты. Облако — не панацея. Иногда дешевле и спокойнее развернуть систему в своём контуре, особенно если у вас крутятся данные про здоровье или финансы сотрудников.»

Лицензии и сертификаты вендора КЭДО: на что смотреть IT-специалисту

Тут начинается зона ответственности IT и безопасника. Деятельность в области информационной безопасности в России лицензируется, и регуляторов два: ФСТЭК и ФСБ. ФСТЭК выдаёт лицензии на техническую защиту конфиденциальной информации и на разработку средств защиты. Любая система, где реализована хотя бы одна функция безопасности (даже банальная проверка пароля), — это уже разработка средств защиты, и вендор обязан иметь лицензию, если продаёт продукт в РФ.

Дальше три разных документа, которые путают. Лицензия разрешает деятельность. Сертификат подтверждает соответствие требованиям для продукта — причём на конкретную версию. ФСТЭК сейчас даёт сертифицировать не только версию, но и сам процесс разработки безопасного ПО, что для софта с частыми релизами разумнее. Аттестат — это уже про конкретный экземпляр системы, развёрнутый у клиента, и это зона ответственности оператора, то есть вашей компании.

Проверять лицензию вендора надо обязательно: регулятор может запретить использование продукта или прекратить деятельность разработчика, и тогда вы остаётесь без системы. По 152-ФЗ оценка соответствия мер защиты обязательна. Госорганам и тем, у кого по закону высокие уровни защищённости, нужны сертифицированные продукты. Остальным стоит привлечь лицензиата ФСТЭК для обследования — он подскажет, что требуется и нужна ли аттестация. Сервис Добыто работает с защищёнными каналами связи и шифрованием данных в соответствии со 152-ФЗ.

Стойкость защиты зависит и от того, чем подписываются документы, поэтому подбор программы для подписания документов ЭЦП — часть общей картины безопасности, а не отдельная тема.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Первое, о чём я прошу клиента, — не верить маркетингу на слово. Просите у кэдошника лицензии ФСТЭК и сертификаты, смотрите, на какую версию они выданы. Бумажечка из коробки, которой пять лет, к актуальному релизу отношения не имеет. Это та проверка, которую безопасник делает за полчаса, а спасает от головняка на годы.»

Хранение и архив электронных кадровых документов без риска утраты

Утечка — это полбеды. Вторая половина — утрата. Документ должен не только не уйти на сторону, но и сохраниться весь срок хранения, а у кадровых документов он доходит до 50 лет. Хранение регулируется 125-ФЗ «Об архивном деле»: статья 13 даёт организации право самостоятельно создавать архив. Правила хранения закреплены приказом Минкультуры № 526, типовые требования к системам хранения — приказом Росархива от 15 июня 2020 года. Этот приказ стоит изучить тем, кто выбирает СЭД или систему хранения.

Есть ещё ГОСТ Р 57762-2017 про долговременную сохранность электронных документов. Он задаёт стратегию: читаемость, интерпретируемость, идентифицируемость, доступность, аутентичность, конвертация, миграция и безопасность. На практике электронный архив должен обеспечивать контроль доступа, регулярную проверку целостности данных, индексирование и быстрый поиск, чтобы любой допущенный сотрудник находил документ и проверял его подлинность за минуты.

Отдельная боль — срок жизни подписи. УКЭП действует ограниченное время, и чтобы документ в архиве остался юридически значимым через десять лет, подпись «ухаживают» — продлевают метками времени. Если это не заложено в систему, через несколько лет вы получите архив документов, подлинность которых уже не докажешь. В сервисе Добыто документы после исполнения уходят в электронный архив с доступом только по роли, а выгрузить архив с файлами подписей можно в любой момент.

Мария Ж, юрист со стажем более 20 лет:
«Видела кейс в федеральном медцентре — данные сотрудников и пациентов, бюджетное учреждение, всё под контролем регуляторов. Там вопрос хранения и доступа стоял острее, чем у коммерции. Когда массив переехал в электронный архив с ролями, выяснилось, что половина «потерянных» документов просто лежала в чьём-то столе. По-старому это было бы не найти.»

Стоимость защиты кадровых документов в КЭДО Добыто

Стоимость зависит от численности штата, выбранного тарифа и набора подключаемых функций — вида подписи, интеграции с учётной системой, варианта развёртывания. Функции безопасности (шифрование, роли, архив) входят в тарифы, а не докупаются отдельными модулями.

Для крупного бизнеса с усиленными требованиями к безопасности подходит тариф с выделенным сервером и SLA, для среднего — вариант с УКЭП и электронным архивом. Итоговая сумма складывается из численности и набора функций — актуальные тарифы сервиса Добыто помогут рассчитать стоимость под вашу структуру точнее.

Ошибки, из-за которых кадровые данные утекают

Первая ошибка — экономия на разграничении доступа. Компания ставит КЭДО, но даёт всем кадровикам доступ ко всему штату, потому что «так проще настроить». Цена ошибки — один обиженный сотрудник выгружает весь массив и уносит конкуренту. При штате в несколько тысяч это уже утечка из категории «свыше 100 000 субъектов» по совокупности, и штраф измеряется десятками миллионов.

Вторая — хранение по-старому параллельно с электронным контуром. Документы вроде бы в системе, но кадровик по привычке держит копии в Excel на общем диске «на всякий случай». Этот файл и утекает. Результат — дыра, которую защита КЭДО не закрывает, потому что данные лежат снаружи.

Третья — выбор вендора без проверки лицензий и сертификатов. Берут систему подешевле, по красивой презентации. Через год регулятор находит, что у разработчика нет лицензии ФСТЭК, и использование продукта под вопросом. Цена — стоимость повторного внедрения плюс простой и риск штрафа за необеспечение мер защиты.

Четвёртая — игнорирование регламента реагирования. Утечка случилась, а в компании никто не знает, что на уведомление Роскомнадзора есть 24 часа. Пропустили срок — получили отдельный штраф от 1 до 3 млн поверх штрафа за саму утечку.

Выводы: защита кадровых документов от утечки

Защита кадровых данных стоит на двух уровнях одновременно. Юридический — глава 14 ТК, 152-ФЗ, 63-ФЗ, пакет ЛНА и согласий, плюс понимание санкций: с 30 мая 2025 года утечка обходится юрлицу от 3 до 15 млн рублей, а повторная — в оборотный штраф от 1 до 3% выручки, минимум 20 млн. При инциденте на уведомление Роскомнадзора отводится 24 часа, на отчёт о расследовании — 72.

Технический уровень закрывает то, что регламент описать может, а проконтролировать — нет: шифрование канала по ГОСТ, двухфакторная аутентификация, разграничение доступа по ролям, журналирование каждого действия, подписание электронной подписью для контроля целостности и архивное хранение на весь срок до 50 лет. Отдельно — проверка лицензий ФСТЭК и сертификатов у вендора. Большинство утечек идёт не от хакеров, а от своих людей и от бумаги без контроля, поэтому перевод документооборота в защищённую систему с ролями и журналом снимает риск, который в деньгах теперь измеряется десятками миллионов. Начинать стоит с инвентаризации того, где данные лежат сейчас, и с матрицы доступа.

Часто задаваемые вопросы