152-ФЗ делает работодателя оператором персональных данных с момента, когда в компанию попало первое резюме, а не с даты приёма на работу. Основной объём кадровых сведений обрабатывается без согласия: паспортные данные, СНИЛС, сведения о стаже и зарплате нужны для исполнения трудового договора и прямо требуются Трудовым кодексом. Согласие включается там, где цель выходит за рамки трудовых отношений: проверка кандидата по базам, передача данных в страховую по ДМС, публикация фото, хранение резюме после закрытия вакансии. С 1 сентября 2025 года такое согласие оформляется отдельным документом, и пункт внутри трудового договора или анкеты больше не считается согласием.
Разберём, какие основания обработки закрывают кадровые процессы без согласия, какой комплект локальных актов проверяют первым и какие сведения работодателю нельзя собирать даже с согласия работника. Отдельно покажем границу между персональными данными и коммерческой тайной и распределение ответственности между компанией и вендором КЭДО. Во второй половине статьи — сроки в рабочих и календарных днях, чек-лист аудита на один день, сценарная таблица по типам компаний, тарифы на 2026 год и ответы на частые вопросы кадровиков.
Работодатель как оператор персональных данных: с чего начинается проверка
Оператор по статье 3 152-ФЗ — это лицо, которое организует или осуществляет обработку персональных данных и определяет цели обработки. Юридическое лицо становится оператором автоматически, без специального решения: достаточно вести штатное расписание и хранить анкеты кандидатов. Реестр операторов ведёт Роскомнадзор, и на дату публикации в нём числится более 2,6 млн записей.
Уведомление о намерении обрабатывать персональные данные подаётся до начала обработки по статье 22 152-ФЗ. С 1 сентября 2022 года перечень исключений сокращён настолько, что подавать уведомление приходится практически любому работодателю, включая компании, которые обрабатывают данные только своих работников и только на бумаге. Форма уведомления и реестр операторов доступны на портале персональных данных Роскомнадзора: там же гражданин подаёт обращение на оператора, и это самый короткий путь, которым жалоба работника превращается в разбирательство.
Ниже сведены обязанности, которые проверяются в первую очередь, с нормой, подтверждающим документом и размером административного штрафа для юридического лица по статье 13.11 КоАП в редакции, действующей с 30 мая 2025 года.
| Обязанность оператора | Норма | Чем подтверждается | Штраф для юрлица |
|---|---|---|---|
| Уведомить Роскомнадзор до начала обработки | ст. 22 152-ФЗ | поданное уведомление и запись в реестре операторов | 100 000-300 000 руб. |
| Утвердить и опубликовать политику обработки персональных данных | ч. 2 ст. 18.1 152-ФЗ | приказ об утверждении, публикация в открытом доступе | 30 000-60 000 руб. |
| Назначить ответственного за организацию обработки | ст. 22.1 152-ФЗ | приказ о назначении, перечень лиц с доступом к данным | оценивается в составе организационных мер |
| Получить согласие там, где нет другого основания | ст. 6 и ст. 9 152-ФЗ | отдельный документ с подписью субъекта | 300 000-700 000 руб. |
| Уничтожить данные при достижении цели или отзыве согласия | ч. 4 и ч. 5 ст. 21 152-ФЗ | акт об уничтожении и выгрузка из журнала регистрации событий | 50 000-90 000 руб. |
| Сообщить в Роскомнадзор об инциденте с данными | ч. 3.1 ст. 21 152-ФЗ | уведомление в течение 24 часов и в течение 72 часов | 1 000 000-3 000 000 руб. |
Самая дорогая строка таблицы не про технику защиты, а про бумагу: неверно оформленное согласие стоит дороже, чем отсутствие шифрования на рабочем ноутбуке кадровика. Проверьте по реестру операторов, есть ли ваша компания в списке, и сверьте дату подачи уведомления с датой найма первого работника.
Согласие на обработку персональных данных: когда обязательно, а когда закон его не требует
Массовое заблуждение кадровых служб состоит в том, что согласие требуется на любое действие с данными работника. Статья 6 152-ФЗ перечисляет шесть с лишним самостоятельных оснований обработки, и согласие — только одно из них. Для приёма на работу, начисления зарплаты, ведения воинского учёта и сдачи ЕФС-1 основанием служит пункт 5 части 1 статьи 6: обработка необходима для исполнения договора, стороной которого является субъект. Плюс прямые требования статей 65 и 86 ТК РФ.
Обратная сторона такой конструкции: избыточное согласие не расширяет права работодателя. Если закон запрещает обрабатывать определённые сведения, подпись работника этот запрет не снимает. И наоборот: там, где основанием служит закон, отзыв согласия не останавливает обработку — вести личное дело и передавать сведения в Социальный фонд России компания продолжит.
| Ситуация | Основание обработки | Нужно отдельное согласие | Чем закрывается |
|---|---|---|---|
| Приём, зарплата, отчётность в СФР и ФНС | п. 5 ч. 1 ст. 6 152-ФЗ, ст. 65 и 86 ТК РФ | Нет | трудовой договор, положение об обработке данных работников |
| Запрос характеристики у прошлого работодателя | ч. 3 ст. 86 ТК РФ | Да | письменное согласие плюс предварительное уведомление о целях и источниках |
| Проверка кандидата подрядчиком по открытым источникам | ч. 3 ст. 6 152-ФЗ, поручение обработки | Да | согласие кандидата и договор поручения с подрядчиком |
| Хранение резюме после закрытия вакансии | иного основания нет | Да | согласие на включение в кадровый резерв с указанным сроком |
| Фото работника на сайте и в соцсетях компании | ст. 10.1 152-ФЗ, распространение данных | Да, отдельное от остальных | согласие на распространение по требованиям Роскомнадзора |
| Передача данных в страховую компанию по ДМС | ст. 88 ТК РФ | Да | письменное согласие и договор со страховщиком |
| Сведения о судимости кандидата | ч. 3 ст. 10 152-ФЗ, ст. 65 ТК РФ | Согласие не даёт права | справка запрашивается только по должностям, для которых её требует закон |
Последняя строка — место, где чаще всего ошибаются даже аккуратные компании. Данные о судимости обрабатываются иными лицами только в случаях и в порядке, определённых федеральными законами, поэтому подпись кандидата под фразой «согласен на проверку судимости» не создаёт основания там, где закон его не дал.
Мария Ж, HR-эксперт с 13-летним стажем: «Проверка кандидата начинается не с запроса в базы, а с подписанного согласия на обработку персональных данных. Подрядчик, который проверяет людей по вашему заказу, вправе начать работу только после того, как убедился, что согласие получено заказчиком, — собственных оснований у него нет. Прежде чем отправлять данные кандидата на проверку, посмотрите, есть ли у вас его подпись и указана ли в согласии именно эта цель.»
Лайфхак: в договоре с аутсорсинговой службой безопасности сразу закрепите способ передачи данных и срок их удаления на стороне подрядчика. Добросовестные исполнители данные кандидатов не хранят: отработали задачу, передали отчёт заказчику и удаляют сведения у себя.
Как оформить согласие на обработку персональных данных: пошаговая инструкция
- Шаг 1. Определите цель. Одна цель — одно согласие: «проверка достоверности сведений при трудоустройстве» и «размещение фотографии на корпоративном сайте» в одном документе не соединяются.
- Шаг 2. Проверьте, нужно ли согласие вообще. Если цель закрывается исполнением трудового договора или прямым требованием ТК РФ, согласие не оформляется, а обработка описывается в положении об обработке персональных данных работников.
- Шаг 3. Соберите обязательные реквизиты по части 4 статьи 9 152-ФЗ: ФИО, адрес и реквизиты документа, удостоверяющего личность субъекта; наименование и адрес оператора; цель; перечень данных; перечень действий с ними; срок действия; порядок отзыва.
- Шаг 4. Оформите документ отдельно от всех остальных. С 1 сентября 2025 года согласие не может быть пунктом трудового договора, анкеты или заявления о приёме.
- Шаг 5. Если данные передаются подрядчику, впишите его в согласие поимённо и подпишите с ним договор поручения обработки с перечнем действий и обязанностью соблюдать конфиденциальность.
- Шаг 6. Зафиксируйте выдачу и возврат: подпись работника, дата, экземпляр на руки. В электронном виде — подписание в системе КЭДО с сохранением журнала действий.
- Шаг 7. Заведите учёт сроков. Когда истекает срок действия согласия, обработка по этому основанию прекращается, а данные уничтожаются или обезличиваются.
Комплект документов оператора: что должно лежать у кадровика
Проверяющий не оценивает уровень защиты по ощущениям. Он смотрит комплект документов и сверяет его с фактическим порядком работы. Минимальный набор для работодателя: политика в отношении обработки персональных данных, положение об обработке персональных данных работников, приказ о назначении ответственного за организацию обработки, перечень лиц, допущенных к обработке, перечень мест хранения, журнал учёта обращений субъектов и обязательства о неразглашении от каждого, кто имеет доступ к кадровым данным.
Слабое место почти всегда одно: документы утверждены, а перечень допущенных лиц не обновлялся два года и включает уволенных сотрудников. Права доступа в 1С:ЗУП при этом остались. По статье 18.1 152-ФЗ работодатель обязан не только принять меры, но и проводить внутренний контроль соответствия обработки закону, а это как раз про сверку списков и прав.
Второй разрыв возникает между политикой и реальностью. Если политика обещает уничтожение резюме через 30 дней после закрытия вакансии, а рекрутеры складывают отклики в отдельную папку на диске, нарушением станет уже не отсутствие документа, а несоответствие ему. Мы в Добыто начинаем внедрение КЭДО со сверки перечня допущенных лиц с фактическими правами доступа в кадровой программе, раньше, чем настраиваем маршруты согласования документов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, судебный эксперт по трудовому праву: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно: суд отдельно смотрит, был ли у работодателя порядок идентификации и закреплён ли он в локальном акте. Если порядок идентификации нигде не описан, спор проигрывается даже при технически исправной подписи. Откройте своё положение и проверьте, есть ли там раздел о том, как вы устанавливаете личность работника при подписании.»
Шаблоны локальных актов и согласий для кадровой службы
Комплект собран под задачи оператора-работодателя, начинать удобнее с формы согласия: она задаёт перечень целей, под которые дальше подгоняются остальные документы.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных | Скачать |
| Анкета кандидата для службы безопасности | Скачать |
| Журнал регистрации требований и отказов | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
Что работодателю нельзя собирать даже с согласия работника
Часть 4 статьи 86 ТК РФ запрещает получать и обрабатывать сведения о политических, религиозных и иных убеждениях, а также о частной жизни работника, кроме случаев, прямо предусмотренных законом. Статья 10 152-ФЗ отдельно закрывает специальные категории: расовая и национальная принадлежность, состояние здоровья, интимная жизнь. Работодателю доступны только заключение по медосмотру и сведения, необходимые для предоставления гарантий, а не диагноз.
Практический критерий — избыточность. Данные соответствуют заявленной цели, и объём не превышает необходимого: этот принцип из статьи 5 152-ФЗ работает в спорах чаще, чем любая техническая норма. Роскомнадзор последовательно признаёт избыточным хранение копий паспорта, если обязанность хранить копию не установлена законом: для кадрового учёта достаточно внести реквизиты в личную карточку и вернуть оригинал работнику.
Типовая анкета кандидата — самый частый источник нарушений. Вопросы о семейном положении, наличии детей, кредитной нагрузке и планах на декрет либо не имеют отношения к трудовой функции, либо задевают частную жизнь. Каждый лишний блок анкеты — это либо избыточная обработка, либо повод для отказа, который по статье 64 ТК РФ придётся обосновывать деловыми качествами.
Факт: заключение службы безопасности по кандидату носит рекомендательный характер, а решение принимает нанимающий руководитель. Отказ по итогам проверки оформляется мотивированно и по деловым качествам: ссылка на «непрохождение СБ» в письменном ответе соискателю не работает.
Персональные данные и коммерческая тайна: где проходит граница
Два режима конфиденциальности регулярно смешивают. Персональные данные защищаются 152-ФЗ и главой 14 ТК РФ, коммерческая тайна — Федеральным законом от 29.07.2004 № 98-ФЗ. Ввести режим коммерческой тайны в отношении персональных данных работников нельзя: это разные объекты с разными основаниями защиты и разными последствиями нарушения.
Статья 5 98-ФЗ прямо перечисляет сведения, которые не могут составлять коммерческую тайну. Для кадровика значимы пять позиций: численность и состав работников, система оплаты труда, условия труда и охрана труда, показатели производственного травматизма, наличие вакансий и задолженность по заработной плате. Компании часто закрывают грифом штатное расписание целиком — и получают недействительный режим в той части, где закон запрещает секретность.
Зарплата конкретного работника при этом остаётся под защитой, но как персональные данные, а не как коммерческая тайна. Отсюда практический вывод: раскрытие бухгалтером сведений о доходе коллеги квалифицируется по 152-ФЗ и главе 14 ТК РФ, а не по 98-ФЗ. По подпункту «в» пункта 6 части 1 статьи 81 ТК РФ работник может быть уволен за разглашение охраняемой законом тайны, ставшей известной в связи с исполнением трудовых обязанностей, включая разглашение персональных данных другого работника. Статья 90 ТК РФ добавляет к этому дисциплинарную, материальную, административную, гражданско-правовую и уголовную ответственность.
Чтобы увольнение по этому основанию устояло в суде, нужны три условия: сведения отнесены к охраняемой тайне локальным актом или законом, работник ознакомлен с перечнем и режимом под подпись, доступ предоставлен в связи с исполнением обязанностей. Проверьте, есть ли подпись конкретного человека на обязательстве о неразглашении: без неё связка распадается на первом же заседании.
КЭДО, облачные сервисы и поручение обработки: кто за что отвечает
Передача кадровых данных в информационную систему провайдера — это поручение обработки по части 3 статьи 6 152-ФЗ. Поручение оформляется договором, в котором указаны перечень действий, цели обработки, обязанность соблюдать конфиденциальность и требования к безопасности по статье 19. Ответственность распределяется асимметрично: перед работником отвечает работодатель как оператор, а провайдер отвечает перед работодателем. Формулировка «данные утекли у вендора» позицию компании в споре с работником не улучшает.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Оценка соответствия требованиям 152-ФЗ обязательна, но проводится двумя способами. Первый — самостоятельно, результат оформляется актом оценки соответствия требованиям. Второй — привлечь лицензиата ФСТЭК, который проведёт процедуры и выдаст либо замечания, либо аттестат соответствия. Выбор зависит от того, какие нормативные требования распространяются на конкретную организацию и её информационную систему.
У вендора КЭДО стоит проверить лицензии: деятельность в области информационной безопасности лицензируется, и любая система, в которой реализована хотя бы одна защитная функция вроде проверки пароля, относится к разработке средств защиты информации. Сертификат выдаётся на конкретную версию продукта, поэтому уточняйте, на какую именно версию он получен, — либо вендор сертифицирует процесс безопасной разработки целиком. В сервисе Добыто ПЭП и УНЭП для сотрудников выпускаются в рамках тарифа, а обмен данными с личным кабинетом работника идёт по защищённому каналу.
Когда аттестация информационной системы избыточна
Сертифицированные средства защиты обязательны для государственных организаций и для операторов, которым закон предписывает высокие уровни защищённости. Компании среднего размера, обрабатывающей данные своих работников и кандидатов, чаще достаточно самостоятельной оценки соответствия с оформлением акта. Но и при таком сценарии полезно привлечь лицензиата ФСТЭК хотя бы для того, чтобы подтвердить: аттестация вам не нужна, а самостоятельная оценка выполнена правильно. Взгляд со стороны выявляет недостатки, которые внутри организации не видны.
Внимание: статья 22.2 ТК РФ требует письменного согласия каждого работника на взаимодействие через КЭДО. Без такого согласия использовать электронные документы и электронную подпись в отношениях с этим работником нельзя, а ведение КЭДО может быть признано незаконным при споре или проверке.
Мария Ж, соучредитель сервиса КЭДО Добыто: «В спорах по электронным кадровым документам порядок доказывания жёсткий: сначала компания подтверждает своё право вообще вести документы электронно, и только потом — что конкретный документ подписан работником. Если первое рассыпается, до второго дело не доходит, каким бы аккуратным ни был журнал подписания. Проверьте, лежат ли у вас согласия на КЭДО по каждому работнику, а не только приказ о введении и положение.»
Хранение, уничтожение и запросы работников: сроки, которые считают в днях
Сроки в 152-ФЗ короткие, и большинство из них считается не в месяцах, а в днях. Запрос субъекта персональных данных о составе его данных и порядке обработки рассматривается в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней с уведомлением заявителя. При выявлении неправомерной обработки оператор обязан прекратить её в срок не более 3 рабочих дней с даты выявления, а если правомерность обеспечить невозможно — уничтожить данные в срок не более 10 рабочих дней.
Достижение цели обработки и отзыв согласия дают по 30 дней: за этот срок данные уничтожаются, если иное не предусмотрено договором или законом. Факт уничтожения при автоматизированной обработке подтверждается актом и выгрузкой из журнала регистрации событий в информационной системе — требования утверждены приказом Роскомнадзора от 28.10.2022 № 179. Акт без выгрузки закрывает вопрос только для бумажных носителей.
С кадровыми документами действует встречное правило. Личные дела и другие документы по личному составу хранятся 50 лет для созданных после 2003 года и 75 лет для более ранних — по перечню, утверждённому приказом Росархива от 20.12.2019 № 236. Согласия на обработку персональных данных хранятся 3 года после истечения срока действия или отзыва. Отзыв согласия не отменяет архивных сроков: обработка в целях, установленных законом, продолжается.
В практике Добыто журнал учёта обращений субъектов персональных данных чаще всего заводят уже после первого письменного запроса работника. Между тем именно журнал показывает проверяющему, что 10-дневный срок соблюдается системно, а не в отдельном эпизоде.
Мария Ж, юрист со стажем более 20 лет: «Журнал действий в системе не выборочный: он показывает и то, что работает против работодателя, — дату выдачи ключа, вход под чужой учётной записью, отсутствие активности работника при формально подписанном документе. Смотреть выгрузку нужно до того, как начался спор, а не после. Мы делаем такую сверку перед проверками и при увольнениях, на которых ожидаем конфликт.»
Утечка персональных данных: 24 часа, 72 часа и цена ошибки
С 30 мая 2025 года режим ответственности за утечки изменился принципиально. Об инциденте оператор уведомляет Роскомнадзор дважды: в течение 24 часов — о самом факте, в течение 72 часов — о результатах внутреннего расследования и о лицах, виновных в инциденте. Пропуск любого из этих уведомлений — отдельный состав со штрафом 1-3 млн рублей для юридического лица.
Сама утечка тарифицируется по числу пострадавших: 3-5 млн рублей при утечке данных от 1 000 до 10 000 субъектов, до 10 млн рублей при 10 000-100 000 субъектов и 10-15 млн рублей при количестве свыше 100 000. Повторная утечка переводит компанию в режим оборотного штрафа: от 1 до 3 % совокупного размера годовой выручки, но не менее 20 млн и не более 500 млн рублей. Дополнительно действует статья 272.1 УК РФ об ответственности за незаконное использование и передачу компьютерной информации, содержащей персональные данные.
Считать цену ошибки только по штрафу неверно. Компания на 300 сотрудников, у которой согласия оформлены пунктом в трудовом договоре, при проверке получает 300 000-700 000 рублей по части 2 статьи 13.11 КоАП, а следом — необходимость переподписать 300 отдельных документов и приостановить обработку по тем целям, где основание отпало. Кадровая служба на неделю выпадает из текущих задач, а отдел подбора теряет базу откликов, если она хранилась без действующего согласия.
Аудит за один день: чек-лист и сценарии по типам компаний
Проверку соответствия удобно проводить не по закону подряд, а по точкам, где чаще всего расходятся документы и практика. Порядок действий для кадровой службы:
- Найдите запись компании в реестре операторов Роскомнадзора и сверьте указанные в уведомлении цели с фактическими.
- Откройте политику обработки персональных данных и проверьте, опубликована ли она в открытом доступе и совпадает ли редакция на сайте с утверждённой приказом.
- Проверьте, оформлено ли согласие отдельным документом для всех работников, принятых после 1 сентября 2025 года.
- Сверьте перечень лиц, допущенных к обработке, с фактическими правами доступа в кадровой программе и уберите уволенных.
- Проверьте по каждой цели из политики, есть ли под ней основание: закон, договор или согласие.
- Посмотрите, где физически хранятся резюме и отклики и есть ли срок их уничтожения.
- Проверьте наличие договоров поручения обработки со всеми подрядчиками: провайдер КЭДО, аутсорсинг расчёта зарплаты, служба безопасности, страховая компания.
- Убедитесь, что заведён журнал учёта обращений субъектов и назначен ответственный за ответы в 10-дневный срок.
Дальше приоритеты зависят от того, как устроена компания. Универсальный набор мер обычно приводит либо к избыточным расходам, либо к пропуску критичного требования.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Компания до 25 человек, кадровые документы на бумаге | уведомление в Роскомнадзор, политика, согласия под нетрудовые цели, сейф и перечень допущенных лиц | аттестация системы, сертифицированные средства защиты |
| Средний бизнес с облачным КЭДО | договор поручения с провайдером, согласия на КЭДО по статье 22.2 ТК РФ, разграничение ролей и прав | собственная модель угроз повышенного уровня |
| Массовый подбор, десятки откликов в неделю | срок хранения резюме, согласие на кадровый резерв, регламент уничтожения откликов | детальная проработка процедур архивного хранения |
| Используются зарубежные сервисы почты или подбора | уведомление о трансграничной передаче до её начала, перечень получателей | внутренние регламенты по бумажному архиву |
| Часть исполнителей — самозанятые и подрядчики по ГПХ | отдельные основания обработки: нормы главы 14 ТК РФ о данных работника на исполнителей не распространяются | кадровые формы Т-2 и личные дела на исполнителей |
Строка про самозанятых закрывает частую ошибку: компании переносят на исполнителей по гражданско-правовому договору формулировки согласий, написанные под трудовые отношения, и получают документ, в котором цели не соответствуют фактической обработке.
Полезно знать: первые дни работы человека в системе КЭДО — зона повышенного риска. Суды прямо рассматривают первичное использование системы как обстоятельство, при котором ошибочное действие вероятно, поэтому значимые операции в этот период стоит подтверждать вне системы.
Стоимость перехода на КЭДО и защиты кадровых данных: тарифы на 2026 год
Цена складывается из численности подключённых сотрудников, набора видов электронной подписи и того, нужна ли интеграция с учётной системой. Данные приведены по странице тарифов на дату публикации.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | годовой период |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | выпуск в сервисе |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | 1 день |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9 %, API | по запросу | рассчитывается индивидуально |
Итоговая сумма зависит от численности и выбранного набора функций: электронный архив, кастомные шаблоны и приоритетная поддержка входят в тариф «Бизнес», выделенный сервер и персональный менеджер — в «Корпорацию». Состав каждого тарифа и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных, а УКЭП при необходимости выпускается через партнёров-удостоверяющих центров.
Выводы
Работа кадровой службы с персональными данными держится на одном вопросе: какое основание закрывает каждую цель обработки. Трудовые процессы обеспечены законом и договором, всё остальное требует отдельного согласия, оформленного самостоятельным документом. Сроки короткие и считаются в днях, комплект документов оператора проверяется первым, а самые дорогие последствия наступают не за слабую технику, а за неправильно оформленную бумагу и за молчание после инцидента.
В практике Добыто перевод кадрового документооборота в электронный вид обычно начинается именно с ревизии оснований обработки и согласий: без этого журнал подписания в системе теряет доказательную ценность. Мы закладываем пилотную группу перед раскаткой на всю компанию и разводим во времени выдачу подписей и первые кадровые действия с ними, чтобы у работодателя не возникало спорных совпадений дат.
Частые вопросы кадровиков о 152-ФЗ
Нужно ли переоформлять согласия работников, принятых до 1 сентября 2025 года?
Требование об оформлении согласия отдельным документом применяется к согласиям, которые даются после 1 сентября 2025 года. Переподписывать придётся те согласия, которые продолжают служить основанием обработки и при этом вшиты в трудовой договор или анкету: например, на проверку сведений, на передачу данных в страховую по ДМС, на публикацию фото. Обработка, основанная на законе и трудовом договоре, переоформления не требует вовсе, поскольку согласие для неё не нужно.
Нужно ли подавать уведомление в Роскомнадзор, если данные обрабатываются только на бумаге?
Да. Обязанность уведомить о намерении обрабатывать персональные данные по статье 22 152-ФЗ не зависит от способа обработки: картотека личных дел в шкафу так же образует обработку, как и база в 1С. Штраф за невыполнение или несвоевременное выполнение этой обязанности — 100 000-300 000 рублей для юридического лица.
Кто отвечает перед работником, если данные утекли из облачного сервиса КЭДО?
Перед работником отвечает работодатель как оператор, а провайдер отвечает перед работодателем по договору поручения обработки. Поэтому в договоре с провайдером фиксируются перечень действий с данными, требования к безопасности по статье 19 152-ФЗ и порядок уведомления оператора об инциденте, чтобы работодатель успел подать в Роскомнадзор сведения в течение 24 часов.
Можно ли отнести размер зарплаты работника к коммерческой тайне?
Систему оплаты труда засекретить нельзя: она входит в перечень статьи 5 98-ФЗ, где также названы численность и состав работников, условия и охрана труда, показатели травматизма, наличие вакансий и задолженность по зарплате. Сведения о доходе конкретного работника защищаются как персональные данные, и их раскрытие квалифицируется по 152-ФЗ и главе 14 ТК РФ.
Что грозит лично специалисту по кадрам за нарушение правил работы с данными?
Статья 90 ТК РФ устанавливает дисциплинарную, материальную, административную, гражданско-правовую и уголовную ответственность. Разглашение персональных данных другого работника, ставших известными в связи с исполнением трудовых обязанностей, даёт основание для увольнения по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ. За незаконное использование и передачу компьютерной информации с персональными данными предусмотрена статья 272.1 УК РФ.
Обязателен ли отдельный ответственный за обработку персональных данных в маленькой компании?
Ответственный за организацию обработки назначается по статье 22.1 152-ФЗ независимо от численности. Отдельная штатная единица при этом не требуется: обязанности возлагаются приказом на действующего сотрудника, чаще всего на руководителя кадровой службы. Приказ и подпись назначенного лица — первое, что запрашивают при проверке вместе с политикой.
Что делать, если работник запросил перечень своих персональных данных?
Ответ готовится в течение 10 рабочих дней с даты обращения, срок продлевается не более чем на 5 рабочих дней с уведомлением заявителя о причинах. В ответе указываются подтверждение факта обработки, правовые основания и цели, обрабатываемые данные и источник их получения, сроки обработки и хранения, сведения о лицах, которым данные передавались. Обращение и ответ регистрируются в журнале учёта обращений.
