Документы на обработку персональных данных — это комплект из трёх групп: локальные акты оператора (политика, положение, приказы, перечни), документы взаимодействия с работником и кандидатом (согласия, уведомления, обязательства) и документы учёта (журналы, акты об уничтожении, подтверждения ознакомления). Минимальный рабочий набор для компании с наёмными работниками — 12 документов, обязанность вести их идёт из статьи 18.1 закона 152-ФЗ и статьи 87 ТК РФ. Состав комплекта определяется одним различием: обработка данных работника для исполнения трудового договора идёт без согласия, а проверка кандидата, передача данных третьим лицам, публикация фото и работа со спецкатегориями требуют отдельных письменных согласий по статье 9.
Разберём каждый документ комплекта: кто его утверждает, на какой норме он держится и что в нём проверяет Роскомнадзор. Покажем, какие согласия оформляются отдельными бланками и почему универсальное согласие «на всё» не работает. Отдельно сведём режим персональных данных и режим коммерческой тайны, которые в кадровых службах регулярно смешивают. Порядок подачи уведомления в Роскомнадзор, действующие с 30 мая 2025 года размеры штрафов, стоимость перевода комплекта в электронный вид и ответы на частые вопросы — во второй половине статьи.
Соберите согласие на обработку персональных данных под свою компанию: конструктор подставит цели, перечень данных, срок и оговорку об отзыве по 152-ФЗ и отдаст готовый файл .docx.
Кто считается оператором персональных данных и из чего состоит комплект
Оператор — это лицо, которое организует и осуществляет обработку персональных данных, а также определяет цели и состав обрабатываемых данных. Под это определение попадает любая организация с одним наёмным работником: фамилия, паспорт, СНИЛС, банковские реквизиты и сведения о здоровье в справках — персональные данные. Отдельного решения или лицензии для получения статуса не нужно, он возникает в момент приёма первого сотрудника.
Комплект держится на трёх группах норм. Первая — статья 18.1 152-ФЗ, она перечисляет меры, которые оператор обязан принять самостоятельно. Вторая — глава 14 ТК РФ (статьи 86-90), она задаёт правила обработки данных именно работника и требует ознакомить его с порядком обработки под подпись. Третья — подзаконные акты: постановления Правительства № 1119 и № 687, приказы Роскомнадзора об оценке вреда и о подтверждении уничтожения данных.
Ниже — состав минимального комплекта, который закрывает требования оператора-работодателя без ИСПДн повышенного уровня защищённости.
| Документ | Основание | Как вводится в действие |
|---|---|---|
| Политика в отношении обработки персональных данных | п. 2 ч. 1 ст. 18.1 152-ФЗ | приказ руководителя, публикация на сайте при сборе данных через сайт |
| Положение об обработке и защите персональных данных работников | ст. 87, 88 ТК РФ | ЛНА, ознакомление работников под подпись |
| Приказ о назначении ответственного за организацию обработки | ст. 22.1 152-ФЗ | приказ, данные ответственного уходят в уведомление Роскомнадзора |
| Перечень обрабатываемых персональных данных и целей обработки | ст. 5, ч. 1 ст. 18.1 152-ФЗ | приложение к политике или отдельный приказ |
| Перечень должностей, допущенных к обработке | постановление Правительства РФ от 01.11.2012 № 1119 | приказ, пересматривается при кадровых изменениях |
| Правила внутреннего контроля соответствия обработки | п. 4 ч. 1 ст. 18.1 152-ФЗ | ЛНА плюс график проверок и акты по их результатам |
| Документ об оценке вреда субъектам персональных данных | ч. 5 ст. 18.1 152-ФЗ, приказ Роскомнадзора от 27.10.2022 № 178 | утверждается оператором, действует с 1 марта 2023 года |
| Правила обработки данных без средств автоматизации | постановление Правительства РФ от 15.09.2008 № 687 | ЛНА, нужен всем, кто держит бумажные личные дела |
| Согласие на обработку персональных данных | ч. 4 ст. 9 152-ФЗ | подписывается работником или кандидатом, хранится у оператора |
| Согласие на распространение персональных данных | ст. 10.1 152-ФЗ | только отдельным документом от иных согласий |
| Обязательство о неразглашении персональных данных | ст. 7 152-ФЗ | подписывают работники из перечня допущенных |
| Журналы учёта и акт об уничтожении персональных данных | ч. 7 ст. 21 152-ФЗ, приказ Роскомнадзора от 28.10.2022 № 179 | акт плюс выгрузка из журнала регистрации действий |
Двенадцать позиций — это база. Она вырастает, если компания снимает биометрию для пропускной системы (статья 11), передаёт данные за границу (статья 12) или поручает обработку внешнему бухгалтеру: в последнем случае добавляется договор поручения обработки с обязательным перечнем действий и требованиями к защите по части 3 статьи 6.
Локальные акты оператора: политика, положение, приказы и перечни
Политика в отношении обработки персональных данных — единственный документ комплекта, который закон обязывает раскрывать вовне. Часть 2 статьи 18.1 требует опубликовать её в сети, если сбор данных идёт через сайт: форма отклика на вакансию, обратная связь и подписка на рассылку подпадают под это правило. Компания без сайта политику всё равно принимает, но обеспечивает к ней неограниченный доступ иным способом, например размещает у стенда отдела кадров.
Положение об обработке и защите персональных данных работников закрывает другую норму — статью 87 ТК РФ, где порядок хранения и использования данных работников устанавливает сам работодатель. Часть 8 статьи 86 добавляет обязанность ознакомить работников и их представителей с этим документом под подпись. Лист ознакомления — то, что инспектор просит первым, потому что подтвердить факт ознакомления без него нечем.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Оценка вреда — самый молодой документ комплекта и самый пропускаемый. Требования утверждены приказом Роскомнадзора от 27.10.2022 № 178, они действуют с 1 марта 2023 года до 1 марта 2029 года и распространяются на всех операторов, включая индивидуальных предпринимателей и самозанятых с наёмным персоналом. Оценка делается по каждой категории субъектов, оформляется отдельным документом и пересматривается при изменении состава обрабатываемых данных. На проектах внедрения в Добыто именно этот документ чаще остальных оказывается отсутствующим, при том что политика и положение у компании обычно есть.
Факт: при споре о кадровых электронных документах суд последовательно проверяет четыре обстоятельства: получено ли согласие работника, ознакомлен ли он с локальным актом, использовал ли электронную подпись и получил ли документ. Если первое звено рассыпается, аккуратность журнала подписания уже не помогает.
Что проверить до того, как собирать комплект
Сборка вслепую даёт документы, которые противоречат фактическим процессам. До первого приказа проверьте шесть вещей:
- Какие данные вы фактически собираете. Выгрузите поля из кадровой программы и сверьте с анкетой кандидата: лишние поля либо удаляются, либо получают цель обработки.
- Есть ли спецкатегории. Сведения о здоровье из медосмотров, справки об инвалидности и данные о судимости обрабатываются по особым правилам статьи 10.
- Кто имеет доступ к данным. Учтите не только кадровую службу и бухгалтерию, но и руководителей подразделений, службу безопасности и системного администратора.
- Куда данные уходят наружу. Аутсорсинг расчёта зарплаты, ДМС, банк зарплатного проекта, провайдер обучения — каждый получатель требует основания передачи.
- Через какие каналы идёт сбор. Сайт, мессенджер рекрутера, бумажная анкета на входе — у каждого канала своя точка получения согласия.
- Подано ли уведомление в Роскомнадзор и совпадают ли сведения в нём с фактическими целями и составом данных.
Согласия: когда нужны, когда не нужны и чем различаются
Распространённое заблуждение кадровых служб — брать согласие у каждого работника на всё сразу. Пункт 5 части 1 статьи 6 152-ФЗ разрешает обработку без согласия, если она необходима для исполнения договора, стороной которого является субъект. Приём на работу, начисление зарплаты, оформление отпуска, передача сведений в Социальный фонд России и ФНС — обработка в силу закона и договора, отдельное согласие для неё не требуется. Требуется оно там, где работодатель выходит за пределы трудовых отношений.
Часть 4 статьи 9 задаёт обязательные реквизиты письменного согласия: фамилия, имя, отчество и реквизиты документа, удостоверяющего личность субъекта; наименование и адрес оператора; цель обработки; перечень персональных данных; перечень действий с ними; срок действия согласия; порядок его отзыва; подпись. Согласие без срока и без порядка отзыва формально не соответствует требованиям, и это одна из типовых претензий при проверке.
| Ситуация | Нужно ли отдельное согласие | Основание |
|---|---|---|
| Оформление приёма, отпуска, отчётность в СФР и ФНС | нет, обработка идёт для исполнения трудового договора | п. 5 ч. 1 ст. 6 152-ФЗ |
| Проверка кандидата службой безопасности по открытым базам | да, письменное согласие до начала проверки | ч. 4 ст. 9 152-ФЗ |
| Запрос кредитной истории кандидата | да, отдельное согласие с указанием цели | ч. 4 ст. 9 152-ФЗ, правила бюро кредитных историй |
| Фото сотрудника на сайте компании или доске почёта | да, согласие на распространение отдельным документом | ст. 10.1 152-ФЗ |
| Передача данных в страховую по ДМС или провайдеру обучения | да, согласие на передачу с указанием получателя | ст. 88 ТК РФ, ч. 3 ст. 6 152-ФЗ |
| Биометрия для пропускной системы | да, письменное согласие, отказ не влечёт последствий для работника | ст. 11 152-ФЗ |
| Выпуск сертификата электронной подписи для работника | да, согласие для удостоверяющего центра | ч. 4 ст. 9 152-ФЗ, 63-ФЗ |
Строки таблицы разделены по получателю и по цели не случайно: согласие действует ровно в тех границах, которые в нём описаны. Согласие на проверку службой безопасности не покрывает публикацию фото, а согласие на ДМС не покрывает передачу данных в банк.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Согласие берётся до первого запроса по базам, а не задним числом при оформлении приёма.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Универсальное согласие на все случаи жизни разваливается в первом же споре: субъект оспаривает конкретное действие, а в документе нет ни этого действия, ни получателя данных. Мы делим комплект по целям — отдельный бланк на проверку кандидата, отдельный на распространение, отдельный на передачу внешнему провайдеру. Проверьте свои бланки на четыре реквизита: цель, перечень данных, срок и порядок отзыва.»
Как собрать комплект документов по персональным данным: пошаговая инструкция
Как собрать комплект за 8 шагов
- Шаг 1. Проведите инвентаризацию: выпишите категории субъектов (работники, кандидаты, бывшие работники, члены семьи для льгот), состав данных по каждой категории и цели обработки.
- Шаг 2. Издайте приказ о назначении ответственного за организацию обработки персональных данных по статье 22.1 и закрепите за ним доступ к комплекту.
- Шаг 3. Утвердите политику и положение об обработке данных работников, сверив перечень данных с результатом первого шага.
- Шаг 4. Оформите оценку вреда по приказу Роскомнадзора № 178 и правила внутреннего контроля с графиком проверок.
- Шаг 5. Подготовьте бланки согласий отдельно под каждую цель и включите их в маршрут оформления: кандидат подписывает согласие до проверки, работник — при приёме.
- Шаг 6. Соберите обязательства о неразглашении с работников из перечня допущенных к обработке и проведите ознакомление с положением под подпись.
- Шаг 7. Подайте уведомление в Роскомнадзор, если оно ещё не подано, и сверьте указанные в нём цели с утверждённым перечнем.
- Шаг 8. Заведите журналы учёта обращений субъектов, передач данных третьим лицам и уничтожения, назначьте ответственного за их ведение.
Шаги 5 и 6 в бумажном виде занимают больше всего календарного времени: подписи собираются в темпе выхода людей в офис. В практике Добыто эти два шага чаще всего и тормозят проект, поэтому мы закладываем пилотную группу из одного подразделения перед раскаткой на всю компанию.
Шаблоны согласий, положений и правил обработки данных
Готовые бланки комплекта в формате DOCX и PDF — начните с правил обработки персональных данных, они задают рамку для остальных документов.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
Уведомление Роскомнадзора об обработке персональных данных
Уведомление подаётся до начала обработки. Исключение для работодателей, которые обрабатывают данные только своих работников, не действует: компания с одним сотрудником обязана уведомить регулятор наравне с маркетплейсом. По части 3 статьи 22 в уведомлении указываются наименование и адрес оператора, цель обработки, категории данных и субъектов, правовое основание, перечень действий, описание мер защиты, сведения об ответственном лице, дата начала обработки, срок или условие прекращения, сведения о трансграничной передаче и место нахождения базы данных.
Подать документ можно тремя способами, и все они описаны на форме уведомления об обработке персональных данных на портале Роскомнадзора: через авторизацию в ЕСИА, с подписанием усиленной квалифицированной подписью или на бумаге в территориальный орган. После обработки сведения попадают в реестр операторов, там же их проверяют контрагенты и кандидаты.
Сведения не статичны. При смене наименования, адреса, ответственного лица или целей обработки подаётся информационное письмо об изменениях — не позднее 15-го числа месяца, следующего за месяцем, в котором изменения произошли. Отдельно от уведомления о начале обработки подаётся уведомление о намерении осуществлять трансграничную передачу данных по части 4 статьи 12, оно требуется до первой такой передачи.
Если в компании произошёл инцидент с данными, срок реакции жёсткий: первичное уведомление в Роскомнадзор направляется в течение 24 часов с момента обнаружения, сведения о результатах внутреннего расследования — в течение 72 часов. Это уже не документ комплекта, а регламент, который стоит прописать в правилах внутреннего контроля заранее, потому что за сутки составить его с нуля не получается.
Коммерческая тайна и персональные данные: два режима, которые смешивают
Соглашение о неразглашении не заменяет согласие на обработку данных, и наоборот. Режим коммерческой тайны вводится по закону 98-ФЗ и считается установленным только после выполнения полного набора мер из части 1 статьи 10: определён перечень сведений, ограничен доступ, ведётся учёт лиц, получивших доступ, отношения с работниками урегулированы трудовыми договорами, а на материальные носители нанесён гриф «Коммерческая тайна» с указанием обладателя. Пропуск любой меры означает, что режим не введён, и взыскать ущерб за разглашение не получится.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Статья 11 98-ФЗ добавляет к этому обязанность ознакомить работника под расписку с перечнем сведений, с режимом и мерами ответственности. Статья 5 задаёт ограничение сверху: к коммерческой тайне нельзя отнести сведения о численности и составе работников, системе оплаты труда, условиях труда и задолженности по заработной плате. Попытка закрыть эти сведения грифом даёт недействительный режим по соответствующим пунктам.
Персональные данные работников защищаются другим механизмом — конфиденциальностью по статье 7 152-ФЗ, которая запрещает раскрывать и распространять данные без согласия субъекта. Практический вывод для комплекта: обязательство о неразглашении персональных данных и обязательство о неразглашении коммерческой тайны — два разных документа с разными основаниями и разной ответственностью. Объединять их в один бланк можно, но тогда в тексте должны быть обе нормы и оба перечня.
Электронный комплект: КЭДО, подписи и хранение
Перевод комплекта в электронный вид идёт по статьям 22.1-22.3 ТК РФ, введённым законом 377-ФЗ. Порядок такой же, как для остальных кадровых документов: принимается локальный акт о введении КЭДО, работники уведомляются, от принятых до 31 декабря 2021 года берётся письменное согласие на взаимодействие в электронном виде. Отказ работника от КЭДО не является основанием для санкций и не отменяет обязанность работодателя оформлять его документы.
Мария Ж, HR-эксперт с 13-летним стажем: «Согласие на КЭДО и согласие на обработку персональных данных постоянно путают, хотя они закрывают разные нормы: первое — статью 22.2 ТК РФ, второе — статью 9 закона 152-ФЗ. У работников, для которых эта работа первая или которые приняты после 31 декабря 2021 года, согласие на КЭДО не берётся, достаточно уведомления. Сверьте по дате приёма, кому из вашего штата нужно именно согласие.»
Виды подписи для комплекта распределяются по документам. Работодатель подписывает кадровые документы усиленной квалифицированной подписью, работник в системе работодателя — усиленной неквалифицированной, которая выпускается внутри сервиса. Согласия и ознакомления с ЛНА работник может подписывать простой электронной подписью, если это допускается статьёй 22.3 и закреплено соглашением сторон. Виды подписи не взаимозаменяемы: ошибка здесь обесценивает документ как доказательство. В сервисе Добыто согласия заводятся отдельными типами документов со своими маршрутами и шаблонами, поэтому бланк под каждую цель не растворяется в общем потоке кадровых файлов.
Полезно знать: при подписании через Госключ тело документа передаётся в приложение через портал госуслуг. Для кадровых документов с персональными данными это отдельный вопрос к службе информационной безопасности, который лучше закрыть на этапе выбора схемы подписания.
Кейс из практики: в 2025 году часть заказчиков среднего и крупного бизнеса перешла с облачного развёртывания систем КЭДО на локальное. Причина — требования собственной службы информационной безопасности к месту хранения персональных данных работников. На встречах по выбору системы специалисты по информационной безопасности теперь появляются первыми и задают вопросы раньше, чем бизнес-заказчик формулирует функциональные требования.
Хранение электронного комплекта подчиняется тем же правилам, что и бумажный архив. Требования закона 125-ФЗ об архивном деле и правил организации хранения, утверждённых приказом Минкультуры № 526, переносятся на электронные документы. Уничтожение персональных данных подтверждается по приказу Роскомнадзора от 28.10.2022 № 179: оформляется акт об уничтожении и прикладывается выгрузка из журнала регистрации действий с данными. Просто удалить файл из папки недостаточно.
Мария Ж, юрист со стажем более 20 лет: «Хранение — самая зарегулированная часть работы с документами, и электронный формат её не упрощает: требования к бумажному хранению переносятся на электронное почти без изменений. Система должна обеспечивать читаемость, идентифицируемость и аутентичность документа через годы, а не просто держать файл. Проверьте по своему архиву, сможете ли вы через пять лет доказать, кто и когда подписал согласие.»
Ошибки при сборе комплекта и цена ошибки в 2026 году
Пять ошибок дают большую часть замечаний при проверках. Первая — согласие внутри трудового договора: документ по части 4 статьи 9 должен допускать отзыв, а отозвать часть договора работник не может. Вторая — отсутствие листа ознакомления с положением об обработке данных, при том что само положение утверждено. Третья — перечень допущенных к обработке, который не обновлялся после кадровых перестановок, из-за чего доступ к данным имеют лица вне перечня. Четвёртая — политика, опубликованная на сайте, но не совпадающая с реальными целями из уведомления в Роскомнадзор. Пятая — отсутствие процедуры уничтожения: согласия уволенных работников хранятся бессрочно без основания.
Цена ошибки выросла: редакция статьи 13.11 КоАП РФ, действующая с 30 мая 2025 года, увеличила суммы в разы и ввела оборотные штрафы за утечки.
| Нарушение | Штраф для юридического лица |
|---|---|
| Обработка в случаях, не предусмотренных законом (ч. 1 ст. 13.11) | от 150 000 до 300 000 ₽, повторно от 300 000 до 500 000 ₽ |
| Обработка без согласия в письменной форме, когда оно обязательно (ч. 2) | от 300 000 до 700 000 ₽ |
| Отсутствие опубликованной политики обработки данных (ч. 3) | от 30 000 до 60 000 ₽ |
| Неподача уведомления о начале обработки (ч. 10) | от 100 000 до 300 000 ₽ |
| Неуведомление об утечке персональных данных (ч. 11) | от 1 000 000 до 3 000 000 ₽ |
| Утечка данных от 1 000 до 10 000 субъектов | от 3 000 000 до 5 000 000 ₽ |
| Утечка данных более 100 000 субъектов | от 10 000 000 до 15 000 000 ₽ |
| Повторная крупная утечка (оборотный штраф) | от 1% до 3% годовой выручки, от 20 до 500 млн ₽ |
Для компании на 300 человек отсутствие двух документов — политики и уведомления — складывается в 130 000-360 000 рублей по двум составам сразу, и это без учёта предписания об устранении нарушения, по которому комплект придётся не только дописать, но и заново провести через ознакомление работников.
Когда комплект можно не раздувать
Полный набор из 12 документов нужен не всем и не сразу. Индивидуальному предпринимателю без наёмных работников комплект оператора-работодателя не требуется вовсе, обязанности возникают с приёмом первого человека. Компания без сайта и без форм сбора данных в сети не публикует политику в интернете, ей достаточно обеспечить к ней доступ иным способом. Если кадровый учёт полностью передан на аутсорсинг, часть документов ведёт обработчик, но ответственность перед субъектом остаётся на компании: вместо дублирования комплекта нужен корректный договор поручения по части 3 статьи 6 с перечнем действий и требованиями к защите. Правила обработки без средств автоматизации не нужны тем, у кого нет ни одного бумажного носителя с данными, а такие компании встречаются редко.
Важный нюанс из практики: журнал действий в системе показывает не только то, что помогает работодателю. Он фиксирует дату выдачи ключа подписи, вход под чужой учётной записью и отсутствие активности работника при формально подписанном документе. Мы сверяем журнал подписания заранее: перед проверкой и перед увольнениями, на которых ожидается конфликт.
Стоимость перевода комплекта по персональным данным в электронный вид
Стоимость зависит от численности подключаемых сотрудников, набора нужных видов подписи и требований к интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | рассчитывается индивидуально |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны | от 50 ₽ за сотрудника в месяц | рассчитывается индивидуально |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф, выпускаются бесплатно | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за 1 день |
| Электронный архив документов | входит в тариф «Бизнес» | рассчитывается индивидуально |
Итоговая сумма складывается из численности подключённых сотрудников и выбранного набора функций: электронный архив, кастомные шаблоны и интеграция с 1С доступны начиная с тарифа «Бизнес». Действующие условия по каждому тарифу и состав включённых функций опубликованы на странице тарифов сервиса КЭДО Добыто.
УКЭП для руководителя и кадровой службы в тариф не входит и оформляется через удостоверяющие центры. ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, поэтому массовое подписание согласий и ознакомлений с ЛНА дополнительных расходов на подписи не даёт.
Выводы
Комплект по персональным данным собирается из двенадцати базовых документов и держится на статье 18.1 152-ФЗ, главе 14 ТК РФ и подзаконных актах Роскомнадзора. Состав определяется целями обработки: для исполнения трудового договора согласие не нужно, для проверки кандидата, передачи данных наружу и публикации фото нужны отдельные бланки с собственными реквизитами. Уведомление в Роскомнадзор подаёт любой работодатель, даже с одним сотрудником, а сведения в нём поддерживаются в актуальном состоянии. Штрафы по статье 13.11 КоАП РФ в редакции с 30 мая 2025 года делают экономию на комплекте дороже его сборки.
Мы в Добыто ведём кадровые документы, согласия и ознакомления в одном контуре с маршрутами подписания и электронным архивом, поэтому сбор подписей под согласиями перестаёт зависеть от того, когда сотрудник появится в офисе. Сверка журнала подписания перед проверкой занимает минуты, а не дни поиска бумажных листов ознакомления.
Частые вопросы
Нужно ли согласие, если кандидат сам прислал резюме на почту рекрутера
Для рассмотрения отклика по конкретной вакансии отдельное согласие не требуется: кандидат направил данные сам и с понятной целью. Как только резюме сохраняется в базе кандидатов и используется после закрытия вакансии, цель меняется, и на такое хранение нужно письменное согласие с указанием срока. Практический критерий простой: если через полгода вы планируете написать этому человеку по другой позиции, согласие должно быть получено заранее.
Сколько хранить подписанные согласия и когда их уничтожать
Согласие хранится в течение срока, указанного в нём самом, а после достижения цели обработки или отзыва данные подлежат уничтожению. Факт уничтожения подтверждается по приказу Роскомнадзора от 28.10.2022 № 179: составляется акт и прикладывается выгрузка из журнала регистрации действий с персональными данными. Сроки хранения кадровых документов, в которых те же данные фигурируют, устанавливаются архивным законодательством и могут быть существенно длиннее срока действия согласия.
Можно ли включить согласие на обработку данных прямо в трудовой договор
Технически такой пункт встречается, но он не даёт работающего согласия. По части 4 статьи 9 152-ФЗ согласие должно содержать порядок отзыва, а отозвать отдельный пункт договора работник в одностороннем порядке не может. При споре такое согласие оценивается как полученное с пороком формы. Отдельный бланк на каждую цель снимает вопрос.
Нужно ли новое согласие, если компания сменила наименование или адрес
Наименование и адрес оператора входят в обязательные реквизиты согласия, поэтому при их изменении бланки переоформляются на будущие подписания. Уже полученные согласия не аннулируются автоматически, но сведения в реестре операторов обновляются: информационное письмо в Роскомнадзор подаётся не позднее 15-го числа месяца, следующего за месяцем изменений. При реорганизации с переходом прав и обязанностей вопрос решается отдельно, в зависимости от её формы.
Кто отвечает за комплект, если кадровый учёт передан на аутсорсинг
Ответственность перед субъектом персональных данных остаётся на компании, которая определяет цели обработки. Аутсорсер работает как обработчик по поручению: по части 3 статьи 6 152-ФЗ с ним заключается договор, где указаны перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите данных. Комплект локальных актов при этом остаётся на компании.
Обязана ли компания без сайта публиковать политику обработки данных
Публикация в сети требуется, если сбор данных идёт через сайт. Компания без сайта политику принимает в общем порядке и обеспечивает к ней неограниченный доступ иным способом: размещает на информационном стенде, выдаёт по запросу, включает в комплект для ознакомления при приёме. Отсутствие самого документа при этом образует состав по части 3 статьи 13.11 КоАП РФ независимо от наличия сайта.
