Цели обработки персональных данных — это то, ради чего оператор собирает сведения о человеке, и часть 2 статьи 5 Федерального закона от 27.07.2006 № 152-ФЗ требует, чтобы они были конкретными, заранее определёнными и законными. Одна цель описывается минимум в четырёх документах: в уведомлении в Роскомнадзор, в политике обработки персональных данных, в положении о персональных данных работников и в тексте согласия. В согласии формулировка всегда уже, чем в политике, и не выходит за перечень целей, который оператор заявил о себе сам. Главное различие, от которого зависит комплект документов: для кадрового учёта и исполнения трудового договора согласие не требуется (пункт 2 части 1 статьи 6 152-ФЗ, статья 86 ТК РФ), а для проверки кандидата службой безопасности, запроса кредитной истории, фотографии на пропуск и передачи данных подрядчику нужно отдельное письменное согласие под каждую цель.
Разберём, какие цели закрыты Трудовым кодексом и согласия не требуют, по каким признакам формулировка считается размытой и как цель определяет срок хранения и дату уничтожения данных. Сценарная таблица готовых формулировок под приём, КЭДО, пропускной режим и проверку кандидата, размеры штрафов по статье 13.11 КоАП, чек-лист проверки документов и стоимость подключения на 2026 год — во второй половине статьи.
Конструктор ниже собирает согласие на обработку персональных данных в формате .docx: вы задаёте цели, перечень данных и срок, а оговорка об отзыве по 152-ФЗ подставляется в текст автоматически.
Что закон понимает под целью обработки персональных данных
Цель — это юридический фильтр, через который проходит каждое действие с данными. Статья 5 152-ФЗ описывает этот фильтр в пяти связанных требованиях. Обработка ограничивается достижением конкретных, заранее определённых и законных целей, и обработка, несовместимая с целями сбора, не допускается (часть 2). Объединять базы данных, которые обрабатываются в несовместимых между собой целях, нельзя (часть 3). Обрабатывать можно только те данные, которые отвечают целям (часть 4). Содержание и объём данных соответствуют заявленным целям, избыточность запрещена (часть 5). Хранить данные дольше, чем этого требуют цели, тоже нельзя (часть 7).
Из этой конструкции следует практическое правило: сначала формулируется цель, потом под неё подбирается перечень данных и срок, а не наоборот. Анкета кандидата на 12 полей, из которых 4 не работают ни на одну заявленную цель, — это нарушение части 5 статьи 5, даже если человек анкету подписал добровольно.
Для работника перечень целей задан отдельно и жёстче общего. Статья 86 ТК РФ разрешает обрабатывать персональные данные работника исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. Шесть позиций, и список закрытый. Маркетинговая рассылка бывшим сотрудникам или передача данных в дружественную компанию под этот перечень не подпадают, и никакая формулировка в положении о персональных данных этого не изменит.
В согласии цель — обязательный реквизит. Часть 4 статьи 9 152-ФЗ перечисляет, что содержит письменное согласие, и цель обработки стоит в этом перечне отдельным пунктом наряду с перечнем данных, наименованием оператора и сроком действия согласия. Часть 1 той же статьи задаёт качество формулировки: согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.
Где именно указывается цель и что там проверяют
Одна и та же цель звучит по-разному в разных документах, и это не дублирование, а разная степень детализации.
| Документ | Норма | Как формулируется цель |
|---|---|---|
| Уведомление в Роскомнадзор | Статья 22 152-ФЗ | Широко, по категориям деятельности оператора: кадровый учёт, исполнение договоров, пропускной режим. Выбирается из предустановленных вариантов формы |
| Политика обработки персональных данных | Часть 2 статьи 18.1 152-ФЗ | Полный перечень целей оператора. Публикуется в открытом доступе, по нему сверяют всё остальное |
| Положение о персональных данных работников | Статьи 86-88 ТК РФ | Цели из статьи 86 ТК РФ, привязанные к конкретным кадровым процессам и подразделениям |
| Согласие субъекта | Части 1 и 4 статьи 9 152-ФЗ | Одна цель или узкая группа целей, под которые нельзя подвести согласие по другому основанию |
| Трудовой договор и ЛНА о КЭДО | Статьи 22.1-22.3 ТК РФ | Цель не описывается заново, а наследуется из положения о персональных данных, но перечень документов и категорий работников указывается точно |
Цель, которой нет в политике, но есть в согласии, — это расхождение, которое видно при первой же сверке документов. Обратная ситуация безопаснее: политика может быть шире фактической обработки, но цель из согласия обязана в ней находиться.
Какие цели закрыты Трудовым кодексом и согласия не требуют
Пункт 2 части 1 статьи 6 152-ФЗ разрешает обработку без согласия, когда она необходима для достижения целей, предусмотренных законом, и для осуществления возложенных законодательством функций и обязанностей. Работодатель попадает под эту норму по большей части кадровых процессов: ведение трудовых книжек и сведений о трудовой деятельности, воинский учёт, сдача ЕФС-1 в Социальный фонд России, налоговая отчётность, оформление приёма, перевода и увольнения, расчёт заработной платы и пособий.
Из этого следует вывод, который регулярно удивляет: согласие на обработку персональных данных при приёме на работу для базового кадрового учёта не нужно. Собирать его не запрещено, но оно ничего не добавляет и создаёт риск. Работник вправе отозвать согласие в любой момент, и если весь кадровый учёт у вас держится на согласии, а не на норме закона, отзыв превращается в отдельный юридический сюжет. Когда обработка идёт по пункту 2 части 1 статьи 6 152-ФЗ, отзыв согласия на неё не влияет, потому что согласия там и не было.
Факт: спор по кадровому электронному документообороту всегда сопровождается доказыванием четырёх обстоятельств: получено ли согласие работника на КЭДО, ознакомлен ли он с локальным актом, использовал ли он электронную подпись и получил ли электронный документ. Согласие на КЭДО и согласие на обработку персональных данных — разные документы с разными целями, и одно не заменяет другое.
Разграничение оснований влияет на формулировку. Если обработка идёт по закону, в положении о персональных данных пишется не «на основании согласия работника», а ссылка на конкретную обязанность: ведение воинского учёта по 53-ФЗ, представление сведений в Социальный фонд России, исполнение обязанностей налогового агента. Проверяющий сверяет цель с основанием, и связка «цель — основание — перечень данных» должна читаться в одну строку.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, юрист со стажем более 20 лет: «В спорах о кадровых документах сначала доказывается право компании вообще обрабатывать эти данные в заявленном виде, и только потом — правильность конкретного документа. Если первое рассыпается, до второго дело не доходит, каким бы аккуратным ни был журнал подписания. Откройте своё положение о персональных данных и проверьте, есть ли напротив каждой цели ссылка на норму или на согласие: пустая графа — это ваша будущая проблема на проверке.»
Цели, под которые нужно отдельное согласие
Согласие требуется там, где цель выходит за пределы трудовых отношений и обязанностей, возложенных законом. Для работодателя это устойчивый набор ситуаций: проверка кандидата службой безопасности, запрос кредитной истории, публикация фотографии и должности на сайте компании, размещение данных в корпоративном справочнике, передача данных подрядчику или в удостоверяющий центр для выпуска сертификата электронной подписи, участие в оценке персонала, обработка данных родственников работника.
С 1 сентября 2025 года согласие оформляется отдельно от иных документов и информации, которые подписывает субъект персональных данных. Норма введена Федеральным законом от 24.06.2025 № 156-ФЗ в часть 1 статьи 9 152-ФЗ. Пункт в трудовом договоре, галочка в анкете и абзац в конце заявления о приёме больше не работают: согласие становится самостоятельным документом со своим текстом, своей целью и своей подписью.
Отсюда вытекает вопрос, на который большинство компаний отвечают неправильно: сколько согласий собирать. Одно согласие может охватывать несколько целей, если они связаны между собой и человеку понятно, на что он соглашается. Но объединять в одном документе проверку кредитной истории и публикацию фотографии на сайте нельзя: у них разный объём данных, разный срок и разные последствия отказа. Практический ориентир — отдельное согласие на каждую цель, отказ от которой не блокирует остальные. В Добыто мы разводим такие согласия по разным маршрутам подписания: тогда отзыв одного не рушит остальные процессы и виден в журнале отдельной записью.
Внимание: работники, принятые до 31 декабря 2021 года, дают отдельное письменное согласие на переход на КЭДО. Отказ работника от электронного документооборота не основание для увольнения или иных санкций, и согласие на КЭДО не заменяет согласия на обработку персональных данных.
Как сформулировать цель обработки в согласии: пошаговая инструкция
- Шаг 1. Опишите фактическое действие, а не намерение. Не «в целях обеспечения деятельности организации», а «проверка достоверности сведений, указанных кандидатом в анкете, по открытым государственным реестрам».
- Шаг 2. Проверьте цель по основанию. Если это обязанность из закона, согласие не нужно и цель уходит в положение о персональных данных со ссылкой на норму. Если основания нет — цель остаётся в согласии.
- Шаг 3. Сверьте цель с политикой обработки. Цели, которой нет в опубликованной политике, в согласии быть не должно.
- Шаг 4. Подберите перечень данных под цель и вычеркните всё, что на неё не работает. Часть 5 статьи 5 152-ФЗ запрещает избыточность, и лишнее поле в анкете — это самостоятельное нарушение.
- Шаг 5. Укажите срок обработки или событие, которым она заканчивается: завершение проверки кандидата, увольнение и истечение срока архивного хранения, отзыв согласия.
- Шаг 6. Добавьте перечень действий с данными (сбор, запись, хранение, использование, передача, удаление) и назовите третьих лиц, которым данные передаются, если такая передача входит в цель.
В практике Добыто на внедрении мы чаще всего переписываем именно шаги 4 и 5: цель сформулирована узко, а перечень данных остался от старого шаблона и тянет за собой поля, которых эта цель не оправдывает.
Образцы согласий и кадровых документов по персональным данным
Комплект собран под разные цели обработки; начните с базового согласия и сверьте с ним формулировки в остальных документах.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
| Анкета кандидата для службы безопасности | Скачать |
| Правила обработки персональных данных | Скачать |
Готовые формулировки целей под кадровые сценарии
Формулировка меняется вместе с основанием и сроком. В таблице собраны сценарии, с которыми работодатель сталкивается чаще всего.
| Сценарий | Формулировка цели | Основание | Когда обработка заканчивается |
|---|---|---|---|
| Приём на работу и кадровый учёт | Оформление трудовых отношений, ведение кадрового учёта, начисление заработной платы, представление отчётности в Социальный фонд России и ФНС | Пункт 2 части 1 статьи 6 152-ФЗ, статья 86 ТК РФ. Согласие не требуется | По истечении срока архивного хранения кадровых документов |
| Проверка кандидата службой безопасности | Проверка достоверности сведений, сообщённых кандидатом, по открытым государственным реестрам и оценка рисков при принятии решения о найме | Письменное согласие по статье 9 152-ФЗ | Завершение проверки и принятие решения по кандидату |
| Выпуск сертификата электронной подписи для КЭДО | Передача данных в удостоверяющий центр для изготовления сертификата ключа проверки электронной подписи и подписания кадровых документов | Письменное согласие, передача третьему лицу по статье 88 ТК РФ | Прекращение действия сертификата и истечение срока хранения подписанных документов |
| Пропускной режим и видеонаблюдение | Контроль доступа на территорию работодателя, обеспечение личной безопасности работников и сохранности имущества | Статья 86 ТК РФ. Для фотографии на пропуске — согласие | Увольнение работника и срок хранения записей, установленный ЛНА |
| Фотография и должность на сайте компании | Размещение сведений о работнике в открытом доступе на корпоративном сайте для представления компании клиентам | Отдельное согласие на распространение персональных данных по статье 10.1 152-ФЗ | Отзыв согласия или увольнение |
| Отклик кандидата, который не вышел на работу | Формирование кадрового резерва и рассмотрение кандидатуры на вакансии работодателя | Письменное согласие с прямо указанным сроком | Истечение срока, указанного в согласии, или его отзыв |
Последняя строка закрывает самый частый пропуск: резюме отклонённых кандидатов хранят годами, не имея под это ни цели, ни срока. Если цель звучит как «рассмотрение кандидатуры на конкретную вакансию», то после закрытия вакансии обработка прекращается, и кадровый резерв нужно выделять отдельной целью с собственным сроком.
Формулировки, которые не проходят проверку
Размытой считается цель, по которой невозможно понять, какие действия с данными она оправдывает. Типовые примеры: «в целях, не противоречащих законодательству», «для любых коммерческих целей», «для обеспечения уставной деятельности», «по усмотрению оператора», «в маркетинговых целях» без указания каналов и содержания рассылки. Их общая черта — отсутствие привязки к конкретной ситуации и допущение расширительного толкования, которое субъект при подписании не мог просчитать.
Вторая группа проблем — формулировки, которые противоречат фактической обработке. Цель заявлена как «кадровый учёт», а данные уходят в аналитическую систему подрядчика. Это уже не размытость, а обработка, несовместимая с целями сбора, прямо запрещённая частью 2 статьи 5 152-ФЗ.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как цель определяет срок хранения и дату уничтожения
Срок не назначается произвольно: он выводится из цели. Часть 7 статьи 5 152-ФЗ разрешает хранить данные не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или договором. При достижении цели оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней (часть 4 статьи 21 152-ФЗ). При отзыве согласия действует тот же 30-дневный срок с даты получения отзыва (часть 5 статьи 21). Если уничтожить данные в этот срок невозможно, оператор блокирует их и обеспечивает уничтожение в срок не более шести месяцев.
С кадровыми документами срок задан не целью, а архивным законодательством, и здесь цель уступает специальной норме. Организация вправе самостоятельно создавать архив и организовывать хранение документов (пункт 2 статьи 13 Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»), а сроки берутся из типовых перечней. Правила организации хранения, комплектования, учёта и использования документов утверждены приказом Минкультуры России № 526, и по ним электронные документы хранятся на обособленных материальных носителях. Для стратегии долговременной сохранности применяется ГОСТ Р 57762-2017 с требованиями к читаемости, идентифицируемости, доступности, аутентичности, конвертации, миграции и безопасности.
Полезно знать: в Трудовом кодексе закреплена обязанность хранить кадровые документы, но не порядок хранения. Порядок и сроки берутся из архивного законодательства и типовых перечней, а не из положения о персональных данных.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Переход на электронные документы не означает, что бумага не понадобится никогда: суд вправе истребовать подлинник, если только он способен подтвердить обстоятельство дела, а при сомнениях в подлинности назначается экспертиза. Планируя отказ от бумажного архива, посмотрите, какие документы у вас существуют только в электронном виде и чем вы подтвердите их подлинность. То же самое сделайте с согласиями: они живут дольше, чем сам процесс, ради которого собирались.»
Персональные данные и коммерческая тайна: почему режимы не смешивают
Распространённая конструкция в корпоративных документах: сведения о работниках объявляются коммерческой тайной, и на этом защита считается построенной. Режимы разные, и один другой не замещает.
Статья 5 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» прямо запрещает устанавливать режим коммерческой тайны в отношении сведений о численности и составе работников, о системе оплаты труда, об условиях труда, включая охрану труда, о показателях производственного травматизма и профессиональной заболеваемости, о наличии свободных рабочих мест. То есть именно тот массив, который компании чаще всего пытаются закрыть, под коммерческую тайну не подпадает.
Защита персональных данных работника строится по другой конструкции. Порядок передачи данных третьим лицам установлен статьёй 88 ТК РФ: работодатель не сообщает данные третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо для предупреждения угрозы жизни и здоровью, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами. Режим коммерческой тайны при этом применяется к сведениям о технологиях, клиентах, себестоимости и внутренних разработках, и вводится по своим правилам: перечень сведений, гриф, учёт лиц, получивших доступ, и обязательство о неразглашении.
Практический вывод простой: два перечня оформляются раздельно. Перечень целей обработки персональных данных живёт в политике и положении о персональных данных, перечень сведений, составляющих коммерческую тайну, — в отдельном положении о коммерческой тайне. Их пересечение в одном документе усложняет доказывание по обоим направлениям.
Ошибки в описании целей и во что они обходятся
Штрафы по статье 13.11 КоАП РФ выросли с 30 мая 2025 года, а с 1 января 2026 года дела по этой статье рассматривают мировые судьи. Суммы ниже относятся к тем составам, которые напрямую завязаны на формулировку цели.
| Нарушение | Должностное лицо | Организация |
|---|---|---|
| Обработка в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора (часть 1) | 50 000-100 000 ₽ | 150 000-300 000 ₽ |
| Обработка без согласия в письменной форме, когда оно обязательно (часть 2) | 100 000-300 000 ₽ | 300 000-700 000 ₽ |
| Неопубликованная политика обработки персональных данных (часть 3) | 6 000-12 000 ₽ | 30 000-60 000 ₽ |
| Неподача уведомления об обработке персональных данных (часть 10) | 30 000-50 000 ₽ | 100 000-300 000 ₽ |
Цена ошибки не исчерпывается штрафом. Согласие с размытой целью не работает как доказательство: при споре с работником или кандидатом оператор не может подтвердить, на что именно человек соглашался. Дальше идут расходы на переоформление комплекта по всей численности, повторный сбор подписей и остановка процессов, в которых эти данные использовались.
Кейс из практики: спор об увольнении работника, подавшего заявление через систему КЭДО, прошёл четыре инстанции. Локальный акт о КЭДО у работодателя был, перечень документов утверждён, согласие работника получено. Кассация акты отменила, потому что в материалах не оказалось сведений о порядке идентификации работника при подписании. При новом рассмотрении работник выиграл: подпись выдали ему в день подачи заявления, фактически подписывал другой человек, и это зафиксировала собственная система работодателя. Формальный комплект документов без описанной процедуры не спас.
Когда пересматривать формулировки целей не нужно
Переписывать документы имеет смысл не всегда. Если обработка идёт только по основаниям из закона, согласий вы не собираете, данные не передаёте третьим лицам и обрабатываете их без средств автоматизации, комплект ограничивается положением о персональных данных и журналом ознакомления. Индивидуальный предприниматель без работников, который обрабатывает данные клиентов исключительно для исполнения заключённого с ними договора, тоже не обязан перекраивать формулировки: цель у него одна, и она совпадает с предметом договора.
Отдельный случай — компании, которые уже привели документы в соответствие после 1 сентября 2025 года и оформили согласия отдельными документами. Здесь достаточно сверки на актуальность: изменился ли перечень целей, появились ли новые подрядчики, не разошлась ли фактическая обработка с политикой.
Чек-лист проверки документов перед проверкой Роскомнадзора
Сверку удобно делать от документа с самой широкой формулировкой к самой узкой. В уведомлении оператора цели выбираются из предустановленного перечня, и посмотреть актуальный состав полей можно в форме уведомления об обработке персональных данных на портале персональных данных Роскомнадзора: там же видно, какие категории субъектов и правовые основания предлагает выбрать регулятор.
- Уведомление подано и актуально. Цели в реестре совпадают с тем, что компания делает фактически, а не с тем, что подавали при регистрации несколько лет назад.
- Политика обработки опубликована. Перечень целей в политике включает все цели из всех собираемых согласий.
- Каждая цель привязана к основанию. Напротив цели стоит либо норма закона, либо реквизиты согласия. Пустых граф нет.
- Согласия оформлены отдельными документами. Формулировок внутри трудового договора, анкеты или заявления о приёме не осталось.
- Перечень данных соответствует цели. Каждое поле анкеты и каждый реквизит в личной карточке работают хотя бы на одну заявленную цель.
- Срок обработки указан. Для каждой цели определено событие, которым обработка заканчивается.
- Передача третьим лицам описана. Подрядчики, удостоверяющие центры и провайдеры названы, поручения на обработку оформлены.
- Ответственный за организацию обработки назначен приказом, и в приказе перечислены те же цели, что в политике.
Важный нюанс из практики: сверку удобно делать до проверки, а не после её назначения. В практике Добыто мы проводим такую сверку перед проверками и перед увольнениями, на которых ожидаем конфликт: расхождение между политикой и фактической обработкой обнаруживается за пару часов, а исправляется неделями.
Мария Ж, HR-эксперт с 13-летним стажем: «Установить, что человек подписал согласие, для победы в споре недостаточно: отдельно смотрят, был ли у работодателя описанный порядок и зафиксирован ли он. Если в локальном акте не описано, кто и на каком этапе собирает согласие и как проверяется личность подписанта, спор вы проиграете даже при технически исправном документе. Проверьте по своему положению, есть ли в нём этот порядок, и сверьте его с тем, как процесс идёт на самом деле.»
Стоимость КЭДО и работы с кадровыми согласиями
Стоимость зависит от численности подключённых сотрудников, набора видов электронной подписи и необходимости интеграции с учётной системой. Электронные подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение от 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение от 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | при подключении |
| УКЭП через партнёров-удостоверяющих центров | рассчитывается индивидуально | по регламенту центра |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
| Кастомные шаблоны документов | входит в тариф «Бизнес» | рассчитывается индивидуально |
Итоговая сумма складывается из численности и выбранного набора функций: кастомные шаблоны, интеграция с 1С и электронный архив входят в тариф «Бизнес», а выделенный сервер и персональный менеджер — в «Корпорацию». Актуальный состав тарифов и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО; при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Платформа соответствует требованиям Федерального закона № 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и 152-ФЗ о персональных данных, поэтому маршрут подписания согласий настраивается там же, где идёт остальной кадровый документооборот.
Выводы
Цель обработки персональных данных задаёт всё остальное: перечень данных, основание, срок и момент уничтожения. Для большей части кадровых процессов согласие не нужно, потому что обработка идёт по закону и по закрытому перечню целей из статьи 86 ТК РФ. Согласие остаётся там, где цель выходит за рамки трудовых отношений, и с 1 сентября 2025 года оформляется отдельным документом под каждую такую цель. Размытые формулировки не защищают оператора, а лишают его доказательств и подводят под составы части 1 и части 2 статьи 13.11 КоАП РФ.
В сервисе Добыто мы выстраиваем кадровый электронный документооборот вместе с комплектом по персональным данным: положение, согласия под каждую цель, маршруты подписания и журналы, по которым потом восстанавливается вся история обработки. Это тот случай, когда документы и процесс удобнее собирать одновременно, а не сверять их друг с другом постфактум.
Частые вопросы о целях обработки персональных данных
Можно ли указать в согласии одну общую цель для всех процессов компании?
Нет. Часть 1 статьи 9 152-ФЗ требует, чтобы согласие было конкретным и предметным, а часть 2 статьи 5 запрещает обработку, несовместимую с целями сбора. Общая формулировка вида «в целях обеспечения деятельности организации» не позволяет определить, какие действия она оправдывает, и не работает как доказательство в споре. Объединять несколько целей в одном согласии допустимо, только если они связаны и отказ от одной делает бессмысленными остальные.
Нужно ли переоформлять согласия, собранные до 1 сентября 2025 года?
Требование об оформлении согласия отдельным документом введено Федеральным законом от 24.06.2025 № 156-ФЗ и применяется к согласиям, которые оформляются после этой даты. Практический ориентир для ранее собранных документов — переоформлять их при первом же изменении целей, перечня данных или состава подрядчиков. Если согласие было вшито в трудовой договор, а цель с тех пор не менялась, безопаснее собрать новое отдельное согласие, чем доказывать применимость старого.
Как сформулировать цель, если данные передаются подрядчику на обработку?
В цели указывается конечное назначение обработки, а сама передача описывается отдельно: наименование лица, которому поручена обработка, и перечень поручаемых действий. Основание передачи для работника — статья 88 ТК РФ, которая запрещает сообщать данные третьей стороне без письменного согласия, кроме случаев, прямо предусмотренных федеральными законами. Поручение на обработку оформляется договором, в котором дублируются цель и перечень действий из согласия.
Что писать в цели, если срок обработки заранее неизвестен?
Вместо даты указывается событие, при наступлении которого обработка прекращается: закрытие вакансии, завершение проверки, прекращение действия сертификата электронной подписи, увольнение и истечение срока архивного хранения. Формулировка «бессрочно» противоречит части 7 статьи 5 152-ФЗ. После достижения цели данные уничтожаются в срок не более 30 дней, а если это технически невозможно, блокируются с уничтожением в течение шести месяцев.
Обязан ли работодатель подавать уведомление в Роскомнадзор, если обрабатывает только данные своих работников?
Да, за исключением случая, когда обработка ведётся без средств автоматизации. Уведомление носит регистрационный, а не разрешительный характер: регулятор не выдаёт разрешение, а вносит оператора в реестр. Цели в уведомлении выбираются из предустановленного перечня и должны соответствовать учредительным документам и фактической деятельности. Неподача уведомления образует состав части 10 статьи 13.11 КоАП РФ со штрафом на организацию от 100 000 до 300 000 рублей.
Можно ли закрыть данные о зарплате работников режимом коммерческой тайны?
Сведения о системе оплаты труда, численности и составе работников, условиях труда и наличии свободных рабочих мест не могут составлять коммерческую тайну по статье 5 Федерального закона от 29.07.2004 № 98-ФЗ. Конкретный размер вознаграждения отдельного работника защищается как персональные данные по главе 14 ТК РФ и 152-ФЗ, а не режимом коммерческой тайны. Смешение двух режимов в одном положении ослабляет доказывание по обоим.
Что делать, если работник отозвал согласие на обработку персональных данных?
Сначала проверяется, на какой цели держалась обработка. Если данные обрабатывались по пункту 2 части 1 статьи 6 152-ФЗ, то есть для исполнения обязанностей, возложенных законом, отзыв согласия эту обработку не прекращает: согласия там не требовалось. Если основанием было именно согласие, обработка прекращается, а данные уничтожаются в срок не более 30 дней с даты получения отзыва по части 5 статьи 21 152-ФЗ.
