98-ФЗ о коммерческой тайне (Федеральный закон от 29.07.2004 в редакции от 08.08.2024) защищает сведения только после того, как обладатель принял все пять мер статьи 10. Он должен утвердить перечень, ограничить доступ и контролировать порядок обращения, вести учёт допущенных лиц, закрепить обязанности в трудовых и гражданско-правовых договорах и нанести гриф «Коммерческая тайна» с указанием обладателя. Сведения о численности и составе работников, оплате и условиях труда, долгах по зарплате и нарушениях закона статья 5 засекречивать запрещает. Режим коммерческой тайны и 152-ФЗ о персональных данных служба безопасности соблюдает параллельно. По 98-ФЗ компания сама вводит меры и знакомит работников под расписку. Сведения о кандидате из сторонних источников собирают только после уведомления и письменного согласия по статье 86 ТК РФ, а с 01.09.2025 такое согласие оформляется отдельным документом.
Таблица пяти мер показывает, что проверить по каждой из них при аудите режима. Отдельно разобраны обязанности по 152-ФЗ, которые режим коммерческой тайны не закрывает, цепочка доказательств при раскрытии сведений работником и штрафы по статье 13.11 КоАП РФ. Пошаговая проверка кандидата, шаблоны согласий, стоимость КЭДО на 2026 год и ответы на частые вопросы — во второй половине статьи.
Пять мер статьи 10 98-ФЗ: когда режим коммерческой тайны считается установленным
Пункт 2 статьи 3 98-ФЗ относит к коммерческой тайне сведения любого характера, которые соответствуют трём условиям. Они имеют действительную или потенциальную коммерческую ценность в силу неизвестности третьим лицам. У третьих лиц нет к ним свободного доступа на законном основании. Обладатель ввёл в отношении них режим коммерческой тайны. Ценность сведений служба безопасности оценивает вместе с владельцем информации. Наличие режима она проверяет по документам: часть 2 статьи 10 считает режим установленным только после принятия всех мер из части 1.
Закон действует в редакции от 08.08.2024, последние изменения внесены Федеральным законом № 251-ФЗ. По каждой из пяти мер у обладателя должно быть действие, подтверждённое документом:
| Мера по ч. 1 ст. 10 98-ФЗ | Что делает обладатель | Что проверяет служба безопасности |
|---|---|---|
| 1. Перечень информации | Определяет перечень сведений, составляющих коммерческую тайну | Перечень утверждён, в нём нет сведений из статьи 5 |
| 2. Ограничение доступа | Устанавливает порядок обращения с информацией и контролирует его соблюдение | Порядок обращения установлен, контроль за ним фиксируется |
| 3. Учёт лиц | Учитывает лиц, получивших доступ, и лиц, которым информация предоставлена или передана | Список учтённых лиц совпадает с фактическим доступом и передачей |
| 4. Договорное регулирование | Регулирует использование информации работниками по трудовым договорам и контрагентами по гражданско-правовым договорам | Условия о коммерческой тайне есть и в трудовых договорах, и в договорах с контрагентами |
| 5. Гриф | Наносит на носители или включает в реквизиты документов гриф «Коммерческая тайна» с указанием обладателя | У юрлица указаны полное наименование и место нахождения, у ИП — ФИО и место жительства |
Если хотя бы одна мера не принята, сведения коммерческой тайной не становятся, даже когда положение о ней подписано руководителем. Положение закрывает перечень и порядок обращения. Учёт доступа, договорные условия и гриф подтверждаются отдельными документами.
Мария Ж, юрист со стажем более 20 лет: «Регламенты о том, как передавать, хранить и обрабатывать сведения, имеют смысл, когда их выполняют. Положение, написанное ради папки, порядок обращения с информацией не меняет. Прежде чем утверждать документ, распишите в нём, кто передаёт сведения, по какому каналу и кто проверяет соблюдение порядка.»
Для аудита режима запросите у владельца процесса документ по каждой строке таблицы. Это перечень, порядок обращения с отметками о контроле, записи учёта лиц с доступом, договоры с условиями о коммерческой тайне и образец документа с грифом.
Что нельзя объявить коммерческой тайной: перечень статьи 5 98-ФЗ
Включение сведений в перечень не защищает их, если они попадают под статью 5. Она запрещает устанавливать режим коммерческой тайны, в числе прочего, для сведений:
- содержащихся в учредительных документах и в государственных реестрах;
- о составе имущества государственных и муниципальных организаций и о бюджетных средствах;
- о безопасности и об опасных факторах;
- о численности, составе работников, системе оплаты труда, условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, о наличии свободных рабочих мест;
- о задолженности работодателей по выплате заработной платы и социальным выплатам;
- о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за эти нарушения;
- о перечне лиц, имеющих право действовать без доверенности от имени юридического лица.
С 08.08.2024 в статье 5 появились исключения для личных фондов и международных личных фондов. На остальных обладателей перечень распространяется в прежнем объёме.
Сведения о численности работников, системе оплаты и условиях труда нельзя положить в основу дисциплинарного взыскания за раскрытие коммерческой тайны, потому что режима в отношении них нет. По той же причине гриф «Коммерческая тайна» на справке о задолженности по зарплате или на материалах о нарушении закона не делает эти документы охраняемыми.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Когда режим коммерческой тайны не подходит
Режим по 98-ФЗ не даёт защиты в пяти ситуациях:
- сведения входят в перечень статьи 5;
- у третьих лиц есть свободный доступ к сведениям на законном основании, и условие статьи 3 не выполняется;
- коммерческой ценности в силу неизвестности третьим лицам у сведений нет;
- обладатель принял не все пять мер статьи 10;
- задача состоит в законном получении и обработке персональных данных кандидата или работника: режим коммерческой тайны правовым основанием обработки не служит, основания перечислены в части 1 статьи 6 152-ФЗ.
До утверждения сверьте проект перечня с этим списком. Пункт, который попадает под статью 5, из перечня исключается.
Коммерческая тайна и 152-ФЗ: что режим КТ не заменяет при обработке персональных данных
Положение о коммерческой тайне не заменяет обязанности по Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных». Без него не обойтись в части согласия там, где оно требуется, уведомления Роскомнадзора и мер защиты данных. Служба безопасности, которая проверяет кандидатов и работников, выполняет требования обоих законов одновременно. Различия сведены в таблицу:
| Параметр | Коммерческая тайна, 98-ФЗ | Персональные данные, 152-ФЗ |
|---|---|---|
| Когда возникает защита | После принятия всех пяти мер части 1 статьи 10 | Уведомление Роскомнадзора подаётся до начала обработки, кроме случаев части 2 статьи 22 |
| Основание работы со сведениями | Решение обладателя ввести режим | Одно из оснований части 1 статьи 6; согласие — одно из них |
| Документ с работником | Ознакомление под расписку с перечнем и режимом (статья 11) | Согласие, если обработка основана на нём; с 01.09.2025 — отдельно от иных документов (часть 1 статьи 9) |
| Взаимодействие с госорганом | Меры статьи 10 принимает сам обладатель, уведомление органа в их перечень не входит | Роскомнадзор: уведомление о намерении обрабатывать данные, уведомление об утечке в течение 24 и 72 часов (часть 3.1 статьи 21) |
Ни в одной строке требования не совпадают. Соблюдение режима коммерческой тайны не закрывает ни одной обязанности оператора персональных данных.
Если обработка опирается на согласие, по статье 9 оно должно быть свободным, конкретным, информированным, сознательным и однозначным. Наличие согласия или иного основания доказывает оператор. С 01.09.2025 часть 1 статьи 9 в редакции Федерального закона от 24.06.2025 № 156-ФЗ требует оформлять согласие отдельно от иной информации и документов, которые подтверждает или подписывает субъект. Согласие, включённое в анкету кандидата или в текст трудового договора, этому требованию не отвечает.
Объём проверки статья 5 152-ФЗ ограничивает целью. Персональные данные собирают для конкретных, заранее определённых и законных целей, и они не должны быть избыточными. В форме, позволяющей определить субъекта, их хранят не дольше, чем требует цель или установленный законом или договором срок. Перечень проверяемых сведений служба безопасности привязывает к должности и задаче проверки до её начала.
Статья 19 обязывает оператора принимать правовые, организационные и технические меры защиты. Они защищают данные от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения. Анкеты кандидатов, согласия и отчёты службы безопасности подпадают под эти меры наравне с кадровыми документами.
Мария Ж, HR-эксперт с 13-летним стажем: «Внешний исполнитель проверки собранные о кандидате сведения у себя не держит: заключение уходит заказчику, а данные исполнитель удаляет по истечении определённого срока. Всё, что осталось после проверки, хранится у работодателя, и срок хранения определяет он. Пропишите этот срок и в договоре с исполнителем, и в собственном порядке обработки персональных данных.»
В Добыто конструктор согласия формирует файл .docx с целями обработки, сроком и оговоркой об отзыве по 152-ФЗ. Документ подписывается отдельно от анкеты и трудового договора.
Соберите согласие на обработку персональных данных отдельным документом
Проверка кандидата службой безопасности: статья 86 ТК РФ и согласие
Пункт 3 статьи 86 ТК РФ требует получать все персональные данные работника у него самого. Если данные можно получить только у третьей стороны, работника уведомляют заранее и получают от него письменное согласие. Работодатель сообщает цели, предполагаемые источники и способы получения, характер данных и последствия отказа дать согласие. Запрос характеристики у прошлых работодателей и сбор сведений из сторонних источников относятся к получению данных у третьей стороны. Без уведомления и согласия такая проверка проводится с нарушением статьи 86.
В типовой проверке кандидата служба безопасности смотрит:
- судимость и административные правонарушения;
- задолженности по налогам и кредитам, проблемы с банками, нахождение в стоп-листах банков;
- исполнительные производства в ФССП;
- розыск по сведениям МВД;
- действительность паспорта и водительского удостоверения;
- аффилированность кандидата и его родственников с другими бизнесами.
Набор подбирают под задачу работодателя. Если компанию интересует сохранность выданного имущества при материальной ответственности, в отчёт идут судимость, финансовые и налоговые задолженности. Сведения, которые к этой задаче не относятся, в отчёт не включают.
Исходные данные для проверки кандидат передаёт работодателю вместе с согласием на обработку: ФИО, дату рождения, ИНН и паспортные данные. В Добыто согласие на проверку службой безопасности вынесено в отдельный шаблон и в анкету кандидата не встраивается. Так соблюдается требование об отдельном согласии, которое действует с 01.09.2025.
Внешний подрядчик по проверке: что подтвердить до передачи анкеты
Компании без собственной службы безопасности передают проверку на аутсорсинг. Внутренняя служба безопасности работает по ЛНА компании. Внешний исполнитель работает по договору с заказчиком, и для него проверка кандидата представляет собой обработку персональных данных со всеми обязанностями оператора.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Подрядчик, который проверяет кандидатов, должен быть оператором персональных данных с поданным в Роскомнадзор уведомлением. Согласие кандидата получает заказчик, а подрядчик приступает к работе, когда убедился, что согласие есть. Запросите у исполнителя подтверждение статуса оператора и передавайте ему анкету вместе с подписанным согласием.»
Онлайн-этап, собеседование и заключение службы безопасности
Важный нюанс из практики: проверка идёт в два этапа. Первый этап проходит онлайн и без участия кандидата: он заранее подписывает документ, разрешающий проверку, а служба безопасности работает с переданными данными. Второй этап выборочный. Если онлайн-проверка оставила спорные моменты, кандидата приглашают на собеседование со службой безопасности и уточняют их лично.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: автоматизированные отчёты по физлицам дают совпадения по однофамильцам. Ошибка в одной букве фамилии или совпавшая дата подтягивают чужие сведения. В одном из отчётов человеку приписали штрафы на 100 000 рублей, которые на деле принадлежали его полным тёзкам по всей России.
Сведения из автоматического отчёта сверяют вручную с данными, которые передал кандидат, и только после этого включают в заключение. Заключение службы безопасности носит рекомендательный характер: в нём перечислены найденные сведения и стоп-факторы. Решение о найме принимает нанимающий руководитель. Косвенные признаки, вроде участия кандидата в публичных тематических чатах, служба безопасности передаёт с оговоркой, что утверждать что-либо на их основании нельзя.
Как провести проверку кандидата без нарушения 152-ФЗ и статьи 86 ТК РФ: пошаговая инструкция
- Шаг 1. Определите цель проверки и перечень сведений под должность. По статье 5 152-ФЗ цель конкретная и заранее определённая, данные не избыточны.
- Шаг 2. Уведомите кандидата до начала проверки. Сообщите цели, предполагаемые источники и способы получения сведений, их характер и последствия отказа дать согласие (пункт 3 статьи 86 ТК РФ).
- Шаг 3. Получите письменное согласие отдельным документом, без включения в анкету или договор (часть 1 статьи 9 152-ФЗ, с 01.09.2025).
- Шаг 4. Если проверку ведёт подрядчик, подтвердите его статус оператора персональных данных и закрепите в договоре канал передачи анкеты.
- Шаг 5. Проведите проверку в пределах согласованного перечня. Сверьте совпадения из автоматических отчётов с данными кандидата.
- Шаг 6. Передайте заключение нанимающему руководителю как рекомендацию: решение о найме принимает он.
- Шаг 7. После достижения цели прекратите обработку и уничтожьте данные не позднее 30 дней, если иной срок не установлен законом или договором (часть 4 статьи 21 152-ФЗ).
Шаблоны согласия на проверку и правил обработки персональных данных
Комплект закрывает документальную часть проверки кандидата. Первым откройте бланк согласия на проверку службой безопасности: кандидат подписывает его до начала проверки.
| Документ | Скачать |
|---|---|
| Согласие на проверку службой безопасности (DOCX) | Скачать |
| Правила обработки персональных данных (PDF) | Скачать |
Допуск работника к коммерческой тайне и доказательства нарушения
Статья 11 98-ФЗ возлагает на работодателя две обязанности. Он знакомит работника под расписку с перечнем информации, составляющей коммерческую тайну, и с установленным режимом, включая меры ответственности за его нарушение. Он также создаёт работнику условия для соблюдения режима. Расписка становится первым документом, на который работодатель опирается в споре о раскрытии.
В сервисе Добыто ознакомление с положением о коммерческой тайне и перечнем сведений проходит в КЭДО. Факт ознакомления фиксируется электронной подписью работника, а подписанный документ хранится в электронном архиве.
Раскрытие сведений работником может повлечь дисциплинарную ответственность и взыскание убытков (пункт 3 части 3 статьи 11, статья 14 98-ФЗ). Для этого нужны доказанная вина и связь раскрытия с трудовыми обязанностями. Убытки взыскиваются в доказанном размере и автоматически не возникают. Служба безопасности собирает доказательства по цепочке:
- утверждённый перечень, в который входят раскрытые сведения;
- расписка работника об ознакомлении с перечнем и режимом;
- запись учёта о том, что работник получил доступ к этим сведениям;
- гриф «Коммерческая тайна» на носителе или в реквизитах документа;
- зафиксированный факт передачи или раскрытия сведений.
Важный нюанс из практики: внутренняя служба безопасности действует по внутренним регламентам и ЛНА компании. Её полномочия при проверках и расследованиях ограничены тем, что закреплено в этих актах.
С контрагентами отношения по использованию информации регулируются гражданско-правовыми договорами (пункт 4 части 1 статьи 10). Обязанности работника по трудовому договору на исполнителя по ГПХ не переносятся, поэтому условия о коммерческой тайне для него прописывают в самом договоре.
Лайфхак: способ передачи сведений подрядчику — защищённую почту, носитель или мессенджер — согласуйте при заключении договора. Канал выбирает заказчик по своим требованиям к безопасности, исполнитель подстраивается под него.
Сколько стоит ошибка в режиме КТ и при работе с персональными данными
Если хотя бы одна из пяти мер статьи 10 не принята, режим не считается установленным. Тогда привлечь работника к ответственности по 98-ФЗ за раскрытие таких сведений нельзя, потому что они не охраняются как коммерческая тайна. Расходы на расследование при этом уже понесены.
Ошибки по персональным данным оцениваются по статье 13.11 КоАП РФ, новые составы которой введены Федеральным законом от 30.11.2024 № 420-ФЗ. За неподанное или несвоевременно поданное уведомление о намерении обрабатывать персональные данные юридическое лицо платит штраф от 100 000 до 300 000 рублей (часть 10). За неуведомление Роскомнадзора об утечке штраф составляет от 1 000 000 до 3 000 000 рублей (часть 11). Размер зависит от состава нарушения.
При неправомерной или случайной передаче персональных данных, повлёкшей нарушение прав субъектов, оператор уведомляет Роскомнадзор дважды. В течение 24 часов он сообщает об инциденте и исходных сведениях, в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 152-ФЗ). Сроки считаются в часах, поэтому порядок реагирования, ответственных и шаблон уведомления утверждают до инцидента.
Чек-лист службы безопасности перед проверкой и введением режима КТ
Прежде чем ссылаться на режим коммерческой тайны или запускать проверку кандидата, сверьте:
- перечень сведений утверждён и не содержит пунктов из статьи 5 98-ФЗ;
- порядок обращения со сведениями установлен, контроль за ним фиксируется;
- учёт лиц с доступом и лиц, которым сведения переданы, ведётся;
- в трудовых договорах и договорах ГПХ есть условия об использовании информации;
- на документах стоит гриф с реквизитами обладателя;
- работники ознакомлены с перечнем и режимом под расписку;
- для проверки определены цель и перечень сведений под должность;
- кандидат уведомлён по пункту 3 статьи 86 ТК РФ и подписал согласие отдельным документом;
- уведомление в Роскомнадзор подано или исключение по части 2 статьи 22 подтверждено;
- у подрядчика подтверждён статус оператора, канал передачи закреплён в договоре;
- порядок реагирования на утечку со сроками 24 и 72 часа утверждён;
- срок уничтожения данных после достижения цели определён.
Стоимость КЭДО для подписания согласий и ознакомления с режимом коммерческой тайны
Стоимость зависит от численности сотрудников, нужных видов подписи и потребности в интеграции с 1С и электронном архиве.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив, приоритетная поддержка | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
| Модуль для 1С:ЗУП | в составе тарифа «Бизнес» | установка и настройка за один день |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
Для тарифа «Бизнес» действует минимальная оплата 50 сотрудников за 30 000 ₽ в год. При повышении тарифа разница пересчитывается пропорционально оставшемуся периоду. Цены в таблице приведены на дату публикации по странице тарифов Добыто КЭДО, где опубликован актуальный состав каждого тарифа.
Выводы
Сведения охраняются как коммерческая тайна, когда обладатель выполнил все пять мер статьи 10 и не внёс в перечень того, что закрывать запрещает статья 5. Работа службы безопасности с данными кандидатов и работников подчиняется 152-ФЗ и статье 86 ТК РФ независимо от этого режима. Для неё нужны основание обработки, уведомление и письменное согласие при сборе сведений у третьих лиц, отдельный документ согласия и срок уничтожения после достижения цели. Ответственность работника за раскрытие держится на цепочке из перечня, расписки, учёта доступа и грифа.
Добыто ведёт документальную часть этих процессов в КЭДО. Ознакомление с режимом коммерческой тайны и согласия на обработку персональных данных подписываются электронной подписью и хранятся в электронном архиве вместе с остальными кадровыми документами.
Частые вопросы о коммерческой тайне и персональных данных в работе службы безопасности
Может ли служба безопасности запросить сведения о кандидате у прошлого работодателя?
Запрос характеристики у прошлого работодателя означает получение персональных данных у третьей стороны. По пункту 3 статьи 86 ТК РФ кандидата заранее уведомляют и получают его письменное согласие с указанием целей, источников, способов получения сведений и последствий отказа. Общей базы результатов проверок не существует: каждая компания проверяет своих кандидатов и хранит сведения у себя. Служба безопасности прошлого работодателя такие сведения, как правило, не раскрывает.
Нужно ли уведомлять Роскомнадзор, если персональные данные обрабатывает только внутренняя служба безопасности?
Уведомление подаётся до начала обработки, если деятельность оператора не попадает под исключения части 2 статьи 22 152-ФЗ. Исключения проверяют по фактическому виду обработки. Внутренний характер проверок или кадровый статус данных сами по себе от уведомления не освобождают.
Что делать, если работник потребовал прекратить обработку его персональных данных?
По требованию субъекта о прекращении обработки оператор прекращает её не позднее 10 рабочих дней (статья 21 152-ФЗ). Исключение составляют случаи, когда закон разрешает продолжить обработку без согласия. Тогда работодатель опирается на другое основание из части 1 статьи 6, в том числе на исполнение закона или договора, стороной которого является работник, и готов это основание доказать.
Можно ли допустить работника к коммерческой тайне, если это не входит в его трудовые обязанности?
Можно, но только с согласия работника (часть 2 статьи 11 98-ФЗ). Допуск оформляют так же, как для остальных. Работника знакомят под расписку с перечнем сведений и режимом, включая меры ответственности, а в учёт лиц, получивших доступ, вносят запись по пункту 3 части 1 статьи 10.
Кто отвечает за организацию обработки персональных данных, если проверки ведёт служба безопасности?
Оператор назначает лицо, ответственное за организацию обработки персональных данных (статья 22.1 152-ФЗ). Внутренняя служба безопасности обрабатывает данные кандидатов от имени работодателя как оператора, поэтому её процедуры входят в общий порядок обработки. Если проверку выполняет подрядчик, он сам оператор персональных данных с собственным уведомлением в Роскомнадзор.
Какие изменения 152-ФЗ действуют на 30.10.2026?
На 30.10.2026 применяется редакция 152-ФЗ от 26.07.2026. Федеральный закон № 265-ФЗ изменил часть 2 статьи 12 о трансграничной передаче. Государства теперь включают в перечень стран с адекватной защитой, если их регулирование и применяемые меры соответствуют Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. Изменение касается службы безопасности, если анкеты или отчёты передаются за рубеж. Поправки, которые вступают в силу 01.03.2027, на эту дату ещё не действуют.
