Документы в области обработки персональных данных для компании-оператора вытекают из статей 18.1, 19, 22 и 22.1 152-ФЗ и статьи 86 ТК РФ. Это политика оператора, локальные акты с целями, сроками и порядком уничтожения, назначение ответственного за организацию обработки, уведомление Роскомнадзора до начала обработки, документы о мерах защиты информационных систем и подтверждение ознакомления работников под подпись. Закрытого перечня с обязательными названиями закон не содержит: состав мер оператор определяет сам, если закон не установил иное. Согласие нужно только там, где обработка на нём основана. Если обработка опирается на трудовой договор или обязанность по закону, оператор доказывает это основание. Если на согласие, оператор оформляет его с 1 сентября 2025 года отдельно от иных документов, которые подписывает субъект.
Материал помогает сверить собственный комплект с нормами. Он показывает, что обязательно для всех, что добавляется при сайте с формами сбора, проверке кандидатов, рекламных рассылках и биометрии, когда уведомление в Роскомнадзор не подаётся и как проверить себя по реестру операторов. Отдельно разобрано, чем коммерческая тайна отличается от защиты персональных данных. Во второй половине статьи — пошаговый порядок подготовки комплекта, сроки уничтожения данных, ответственность по статье 13.11 КоАП РФ в редакции с 30 мая 2025 года и ответы на частые вопросы.
Обязательный минимум документов оператора персональных данных
Компания, которая обрабатывает данные работников, кандидатов или клиентов, выступает оператором персональных данных. На неё распространяется статья 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»; на дату публикации действует редакция от 26.07.2026. Часть 1 статьи обязывает оператора принять необходимые и достаточные меры, а их состав и перечень он определяет самостоятельно, если федеральный закон не установил иное. Закон перечисляет обязанности и не фиксирует названия документов, поэтому первая колонка таблицы описывает содержание документа.
В таблицу собраны позиции, для которых 152-ФЗ и статья 86 ТК РФ (Трудовой кодекс РФ от 30.12.2001 № 197-ФЗ) прямо требуют документа, подписи или подтверждения.
| № | Документ или действие | Норма | Что фиксирует |
|---|---|---|---|
| 1 | Политика оператора в отношении обработки персональных данных | п. 2 ч. 1 и ч. 2 ст. 18.1 152-ФЗ | Подход оператора к обработке; доступна неограниченному кругу лиц вместе со сведениями о мерах защиты |
| 2 | Локальные акты по вопросам обработки | п. 2 ч. 1 ст. 18.1 152-ФЗ | Для каждой цели: категории субъектов и данных, способы, сроки обработки и хранения, порядок уничтожения |
| 3 | ЛНА о процедурах предупреждения и выявления нарушений | п. 2 ч. 1 ст. 18.1 152-ФЗ | Как компания предупреждает, выявляет и устраняет нарушения |
| 4 | Документ о назначении ответственного за организацию обработки | ст. 22.1 152-ФЗ | Кто контролирует соблюдение требований, информирует работников и организует ответы субъектам |
| 5 | Согласия субъектов там, где основание обработки — согласие | ст. 9 152-ФЗ в ред. 156-ФЗ | С 01.09.2025 оформляется отдельно от иных информации и документов; письменное согласие содержит реквизиты ч. 4 ст. 9 |
| 6 | Уведомление Роскомнадзора | ст. 22 152-ФЗ; форма — приказ Роскомнадзора от 28.10.2022 № 180 | Намерение обрабатывать данные; подаётся до начала обработки, отдельно — об изменениях и о прекращении |
| 7 | Подтверждение ознакомления работников | п. 8 ст. 86 ТК РФ; ст. 18.1 152-ФЗ | Подпись работников об ознакомлении с порядком обработки их данных; ознакомление или обучение тех, кто обрабатывает данные |
| 8 | Документы о мерах защиты ИСПДн | ст. 19 152-ФЗ; ПП РФ от 01.11.2012 № 1119; приказ ФСТЭК России от 18.02.2013 № 21 | Актуальные угрозы, уровень защищённости, оценка эффективности мер до ввода системы в эксплуатацию |
| 9 | Подтверждение уничтожения персональных данных | ч. 4 ст. 21 152-ФЗ; приказ Роскомнадзора от 28.10.2022 № 179 | Акт об уничтожении и (или) выгрузка из журнала регистрации событий в ИСПДн |
Строки 1-4 и 7 относятся к любому юридическому лицу с работниками. Уведомление из строки 6 не подаётся только в узких случаях части 2 статьи 22 152-ФЗ. Согласия, документы по информационным системам и акты уничтожения возникают вместе с соответствующим процессом: обработкой на основании согласия, базой данных в учётной программе, достижением цели хранения.
Мария Ж, юрист со стажем более 20 лет: «Единого закрытого перечня документов с обязательными названиями в 152-ФЗ нет. Статья 18.1 привязывает локальные акты к целям обработки: для каждой цели нужны категории субъектов и данных, способы, сроки и порядок уничтожения. Начните с перечня целей, а документы стройте под него.»
Образцы согласий и правил обработки персональных данных для компании
Комплект закрывает согласия и внутренние правила обработки; первым откройте бланк согласия на обработку персональных данных и сверьте цели в нём со своими процессами.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных (бланк, DOCX) | Скачать |
| Согласие на проверку службой безопасности (бланк, DOCX) | Скачать |
| Правила обработки персональных данных (PDF) | Скачать |
Какие документы добавляются к минимуму в зависимости от процессов компании
Каждый новый канал сбора данных подключает свою норму 152-ФЗ или ТК РФ, и требования складываются. Компания с сайтом, рекламной рассылкой и проверкой кандидатов закрывает три строки таблицы одновременно.
| Ситуация | Что добавить к минимуму | Норма |
|---|---|---|
| Данные собираются через сайт: заявки, регистрации, отклики | Политика и сведения о мерах защиты на сайте, в том числе на страницах сбора данных | ч. 2 ст. 18.1 152-ФЗ |
| Обработка исключительно без средств автоматизации | Уведомление Роскомнадзора не подаётся, остальные позиции минимума сохраняются | ч. 2 ст. 22 152-ФЗ |
| Данные работника получают от третьего лица | Предварительное уведомление работника и его письменное согласие | п. 3 ст. 86 ТК РФ |
| Кандидата проверяет служба безопасности | Подписанное кандидатом согласие до начала проверки | 152-ФЗ |
| Данные, разрешённые субъектом для распространения | Отдельное согласие на распространение | ч. 1 ст. 10.1 152-ФЗ |
| Продвижение товаров и услуг прямыми контактами: звонки, рассылки | Предварительное согласие субъекта | ч. 1 ст. 15 152-ФЗ |
| Специальные категории персональных данных, биометрия | Условия обработки по отдельным статьям закона | ст. 10 и 11 152-ФЗ |
Требование строки распространяется на компанию целиком, даже если процесс есть только в одном подразделении: оператор — юридическое лицо. Проверка своего набора начинается с инвентаризации каналов: какие данные, от кого и каким способом поступают в компанию.
Политика обработки персональных данных, ЛНА и ответственный
Пункт 2 части 1 статьи 18.1 152-ФЗ требует от юридического лица два вида документов: определяющие политику оператора и локальные акты по вопросам обработки. В локальных актах для каждой цели указывают категории субъектов и персональных данных, способы и сроки обработки и хранения, порядок уничтожения. Тот же пункт требует ЛНА с процедурами, которые предупреждают, выявляют и устраняют нарушения. Названия «положение», «правила» или «регламент» закон не предписывает: требования статьи относятся к содержанию документа.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Политика и сведения о реализуемых мерах защиты должны быть доступны неограниченному кругу лиц (часть 2 статьи 18.1). Компания, которая собирает данные через интернет, размещает оба документа на сайте, включая страницы, где пользователь вводит свои данные. Самопроверка сводится к обходу сайта: у каждой формы заявки, отклика или регистрации политика должна открываться с той же страницы.
Назначение ответственного за организацию обработки персональных данных
Юридическое лицо обязано назначить лицо, ответственное за организацию обработки персональных данных (статья 22.1 152-ФЗ). Ответственный подотчётен исполнительному органу компании, контролирует соблюдение требований закона, доводит их до работников и организует приём и обработку обращений субъектов. В документе о назначении перечислите эти функции: так границы полномочий видны и ответственному, и работникам.
Полезно знать: закон требует назначить ответственного, но конкретное название документа о назначении не предписывает. Приказ — практический способ зафиксировать назначение.
Отдельная обязанность работодателя — ознакомить работников под подпись с документами, которые устанавливают порядок обработки их персональных данных, а также с их правами и обязанностями в этой области (пункт 8 статьи 86 ТК РФ). Та же статья разрешает доступ к данным работников только специально уполномоченным лицам. Работников, которые сами обрабатывают персональные данные, знакомят с документами оператора или обучают по статье 18.1 152-ФЗ. Это вторая, более узкая группа, и её состав стоит определить отдельно.
При КЭДО подпись об ознакомлении работник ставит электронной подписью. В Добыто ПЭП и УНЭП выпускаются сотрудникам бесплатно на всех тарифах, поэтому ознакомление с политикой и ЛНА по персональным данным идёт тем же маршрутом, что и ознакомление с остальными кадровыми документами.
Согласие на обработку персональных данных: когда оно нужно и как его оформить
Согласие — одно из оснований обработки, и не каждая кадровая операция на нём держится. Пункты 2 и 5 части 1 статьи 6 152-ФЗ допускают обработку без согласия, если она необходима для исполнения обязанности, возложенной на оператора законом, или для исполнения договора, стороной которого выступает субъект. Работодатель при этом связан целями из пункта 1 статьи 86 ТК РФ. По части 3 статьи 9 оператор обязан доказать наличие согласия либо иного законного основания, поэтому основание по каждой цели прописывают в локальном акте.
Мария Ж, руководитель HR-отдела: «Согласие не заменяет правовое основание. Если работодатель ведёт кадровый учёт по требованию закона и исполняет трудовой договор, ему нужно уметь доказать именно это основание, а согласие собирают там, где обработка действительно на нём держится. Пройдитесь по целям обработки и напротив каждой укажите: закон, договор с субъектом или согласие.»
С 1 сентября 2025 года часть 1 статьи 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ требует оформлять согласие отдельно от иных информации и документов, которые субъект подтверждает или подписывает. Согласие, встроенное в анкету, трудовой договор или пользовательское соглашение, этому требованию не отвечает. Норма регулирует форму: там, где обработка основана на согласии, оно становится отдельным документом, но обязательным основанием каждой обработки не становится.
Письменная форма согласия обязательна, когда её требует федеральный закон, и такое согласие содержит реквизиты из части 4 статьи 9 152-ФЗ. Бланк согласия из комплекта образцов оформлен отдельным документом. При адаптации сверьте его с перечнем реквизитов этой части и с целями из своего локального акта.
Согласие кандидата на проверку службой безопасности
Проверка кандидата идёт по этапам: анкета, согласие на обработку персональных данных, проверка по государственным базам, анализ и сопоставление сведений, заключение службы безопасности, решение о найме. Направления проверки охватывают паспорт и личность, судимости, кредитную историю, исполнительные производства, аффилированность и прошлых работодателей. Поэтому согласие кандидата оформляют до первого запроса в любую из баз.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна.
Важный нюанс из практики: в шаблонах Добыто согласие на обработку персональных данных и согласие на проверку службой безопасности — два отдельных документа. У каждой цели остаётся собственное подписанное основание, и требование части 1 статьи 9 об отдельном оформлении выполняется на уровне структуры комплекта.
Уведомление Роскомнадзора об обработке персональных данных: срок и исключения
По части 1 статьи 22 152-ФЗ оператор уведомляет Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. Форму уведомления об обработке, об изменении сведений и о прекращении обработки утвердил приказ Роскомнадзора от 28.10.2022 № 180. Когда у компании появляются новые цели или категории данных, сведения обновляют уведомлением об изменениях по той же форме.
Подать уведомление в электронном виде и проверить, есть ли компания в реестре, можно через сервис уведомлений и реестр операторов на Портале персональных данных Роскомнадзора. Сверка записи в реестре с фактическими процессами показывает, не устарели ли указанные цели и перечень данных.
Исключения из обязанности уведомлять перечислены в части 2 статьи 22 и сформулированы узко:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
- обработка исключительно без средств автоматизации;
- обработка в государственных информационных системах в целях защиты безопасности государства и общественного порядка;
- обработка, предусмотренная законодательством о транспортной безопасности.
Если хотя бы часть данных ведётся в учётной программе, CRM или электронных таблицах, первое исключение к компании не относится: слово «исключительно» снимает его при любом использовании средств автоматизации.
Защита ИСПДн, сроки хранения и уничтожение персональных данных
Информационную систему персональных данных (ИСПДн) оператор защищает правовыми, организационными и техническими мерами (часть 1 статьи 19 152-ФЗ). Пункты 1 и 4 части 2 той же статьи требуют определить угрозы безопасности данных при обработке в системе и оценить эффективность мер до ввода системы в эксплуатацию. Уровни защищённости и требования к ИСПДн устанавливает постановление Правительства РФ от 01.11.2012 № 1119, состав мер — приказ ФСТЭК России от 18.02.2013 № 21.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Статья 19 требует определить актуальные угрозы, но документа с обязательным названием «модель угроз» для любой компании закон не называет. Требования к системе привязаны к актуальным угрозам и уровню защищённости по постановлению № 1119, поэтому объём работы зависит от конкретной системы. Зафиксируйте, какие угрозы вы признали актуальными и как оценили эффективность мер до запуска: такой документ подтверждает выполнение обязанности.»
Важный нюанс из практики: платформа Добыто соответствует требованиям Федерального закона № 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ, а в тарифе «Бизнес» документы хранятся в электронном архиве. Подключение КЭДО не переносит на сервис обязанности оператора: политику, ЛНА, назначение ответственного и уведомление Роскомнадзора работодатель оформляет от своего имени.
Сроки хранения и подтверждение уничтожения
Факт: единого срока хранения для всех персональных данных закон не устанавливает. Данные хранятся не дольше, чем требуют цели обработки, если иной срок не установлен федеральным законом или договором (часть 7 статьи 5 152-ФЗ).
После достижения цели оператор прекращает обработку и уничтожает данные в срок не более 30 дней, если у него нет законного основания продолжать хранение (часть 4 статьи 21 152-ФЗ). Сроки по кадровым документам дополнительно сверяют с архивными правилами и специальными обязанностями работодателя, поэтому в ЛНА срок хранения указывают отдельно по каждой цели.
Уничтожение подтверждают по приказу Роскомнадзора от 28.10.2022 № 179: актом об уничтожении и (или) выгрузкой из журнала регистрации событий в ИСПДн в случаях, предусмотренных приказом. Форму акта утверждают заранее, вместе с ЛНА, чтобы первое уничтожение уложилось в 30-дневный срок.
Персональные данные и коммерческая тайна: почему режимы не совмещаются автоматически
Режим коммерческой тайны вводит обладатель информации мерами из статьи 10 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне». В числе этих мер закон называет учёт лиц, получивших доступ к информации, составляющей коммерческую тайну, и нанесение на носители и документы грифа «Коммерческая тайна» с указанием обладателя. Без этих мер режим коммерческой тайны не установлен.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Включение сведений о работниках и клиентах в перечень коммерческой тайны не переводит их в другой режим автоматически. Для коммерческой тайны нужны меры по статье 10 98-ФЗ, а персональные данные регулируются 152-ФЗ по своему основанию, и один комплект документов не закрывает требования другого. Если ссылаетесь на коммерческую тайну, проверьте, ведётся ли учёт допущенных лиц и стоит ли гриф на документах.»
Как собрать комплект документов по персональным данным с нуля
Последовательность выстроена так, чтобы локальные акты опирались на перечень целей, а уведомление ушло в Роскомнадзор до начала обработки. Если какого-то процесса из сценарной таблицы у компании нет, соответствующий шаг сокращается.
Как подготовить обязательный минимум документов по персональным данным: пошаговая инструкция
- Шаг 1. Составьте перечень целей обработки: кадровый учёт, расчёт заработной платы, подбор персонала, работа с клиентами, рассылки. Для каждой цели запишите категории субъектов и данных, способы обработки, сроки обработки и хранения. Это заготовка локального акта по пункту 2 части 1 статьи 18.1 152-ФЗ.
- Шаг 2. Напротив каждой цели укажите основание по статье 6 152-ФЗ: обязанность по закону, договор с субъектом или согласие. Для целей с основанием «согласие» подготовьте отдельные бланки с реквизитами части 4 статьи 9.
- Шаг 3. Назначьте ответственного за организацию обработки по статье 22.1 152-ФЗ и оформите назначение документом с перечнем его функций.
- Шаг 4. Утвердите политику оператора, локальные акты по целям и ЛНА о процедурах предупреждения, выявления и устранения нарушений. Политику и сведения о мерах защиты опубликуйте на сайте, включая каждую страницу сбора данных.
- Шаг 5. До начала обработки подайте уведомление в Роскомнадзор по форме приказа от 28.10.2022 № 180, если компания не подпадает под исключения части 2 статьи 22.
- Шаг 6. Для каждой информационной системы с персональными данными определите актуальные угрозы и уровень защищённости по постановлению № 1119, оцените эффективность мер до ввода системы в эксплуатацию.
- Шаг 7. Ознакомьте всех работников под подпись с документами о порядке обработки их данных. Работников, которые обрабатывают данные, ознакомьте с документами оператора или обучите. Определите круг лиц, допущенных к данным работников.
- Шаг 8. Утвердите форму акта уничтожения по приказу Роскомнадзора № 179 и порядок, по которому данные уничтожаются не позднее 30 дней после достижения цели.
Ошибки в документах по персональным данным и штрафы по статье 13.11 КоАП РФ
С 30 мая 2025 года действуют изменения, которые Федеральный закон от 30.11.2024 № 420-ФЗ внёс в статью 13.11 КоАП РФ: появились новые составы, санкции повышены. Размеры по основным составам приведены в разъяснении прокуратуры о новых штрафах за нарушения в сфере персональных данных, опубликованном 02.06.2025.
- Уведомление не подано до начала обработки. Мотив — уведомление воспринимают как формальность, которую можно подать позже. Цена — штраф для юридического лица от 100 000 до 300 000 рублей.
- Политика размещена только на отдельной странице сайта. Мотив — одного документа на сайте кажется достаточно. Часть 2 статьи 18.1 требует размещения и на страницах сбора данных; штраф для юридического лица за нарушение требований к публикации политики — от 30 000 до 60 000 рублей.
- Согласие встроено в анкету или трудовой договор. Мотив — меньше документов на подпись. С 01.09.2025 такое согласие не отвечает части 1 статьи 9 152-ФЗ, и обработку, основанную на согласии, оператор не докажет по части 3 статьи 9; бланки придётся переоформлять отдельно.
- Данные хранятся без срока. Мотив — желание сохранить сведения на случай будущих вопросов. Хранение после достижения цели без законного основания противоречит части 7 статьи 5 152-ФЗ.
Все четыре ошибки выявляются до проверки: достаточно сверить запись в реестре операторов, обойти страницы сбора на сайте, открыть действующий бланк согласия и графу сроков в ЛНА.
Стоимость КЭДО для ознакомления работников с документами по персональным данным
Стоимость подключения зависит от тарифа и численности сотрудников; электронные подписи для сотрудников входят в тариф. Цены указаны на дату публикации, октябрь 2026 года.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
Итоговая сумма определяется числом сотрудников и набором функций: УКЭП, интеграция с 1С и электронный архив входят в тариф «Бизнес». Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду; актуальные условия опубликованы на странице тарифов КЭДО Добыто.
Выводы
Обязательный минимум по персональным данным определяется обязанностями оператора. В него входят политика и ЛНА с целями и сроками, назначенный ответственный, уведомление Роскомнадзора до начала обработки, ознакомление работников под подпись, меры защиты информационных систем и подтверждённое уничтожение. Согласие оформляется отдельным документом только для целей, где обработка на нём основана, а сайт, проверка кандидатов, рассылки и биометрия добавляют к набору свои требования. Коммерческая тайна вводится отдельными мерами и защиту персональных данных не подменяет.
В практике Добыто ознакомление с политикой и ЛНА по персональным данным, согласия и остальные кадровые документы подписываются в одном КЭДО электронными подписями сотрудников, а шаблоны согласий построены как отдельные бланки под каждую цель.
Частые вопросы о документах по персональным данным
Нужно ли уведомлять Роскомнадзор, если компания обрабатывает только данные своих работников?
Да, если данные обрабатываются с использованием средств автоматизации. Действующая редакция части 2 статьи 22 152-ФЗ не содержит исключения для обработки только данных работников или только в рамках договорных отношений. Компании, которые не подавали уведомление со ссылкой на прежние исключения, сверяют свою запись в реестре операторов Роскомнадзора. При её отсутствии они подают уведомление по форме приказа от 28.10.2022 № 180.
Что делать, если работник отозвал согласие на обработку персональных данных?
Отзыв затрагивает только ту обработку, которая основана на согласии. Если иного законного основания нет, данные по этой цели уничтожают в срок не более 30 дней по статье 21 152-ФЗ и оформляют подтверждение по приказу Роскомнадзора № 179. Обработка, необходимая для исполнения обязанности работодателя по закону или трудового договора, продолжается на основании пунктов 2 и 5 части 1 статьи 6 152-ФЗ.
Меняет ли Федеральный закон № 265-ФЗ 2026 года комплект документов оператора?
Федеральный закон от 26.07.2026 № 265-ФЗ изменил правила определения государств, которые обеспечивают адекватную защиту прав субъектов при трансграничной передаче персональных данных. Новый обязательный документ для всех операторов он не ввёл. Компании, которые передают данные за рубеж, проверяют статус государства-получателя по правилам в новой редакции.
Можно ли хранить базы данных работников и клиентов в зарубежной учётной системе?
С 1 июля 2025 года действует часть 5 статьи 18 152-ФЗ в редакции Федерального закона от 23.05.2025 № 121-ФЗ. При сборе персональных данных граждан РФ запись, систематизацию, накопление, хранение, уточнение и извлечение выполняют с использованием баз данных на территории РФ, кроме исключений, предусмотренных законом. Зарубежная система допустима только в той части, где эти операции идут через российские базы данных или подпадают под одно из исключений.
Сколько хранить персональные данные уволенного работника?
Единого срока закон не устанавливает. Кадровые документы хранятся в сроки, которые задают архивные правила и специальные обязанности работодателя. Прочие сведения хранятся не дольше, чем требуют цели обработки (часть 7 статьи 5 152-ФЗ). Поэтому в локальном акте сроки по уволенным работникам расписывают по целям: отдельно для кадровых документов и отдельно для сведений, собранных для других целей.
