Действия при обработке персональных данных которые обязана фиксировать компания

Действия при обработке персональных данных, которые обязана фиксировать компания, прямо следуют из обязанностей оператора по 152-ФЗ и приказу Роскомнадзора № 179. Документами оформляются: уведомление Роскомнадзора до начала обработки, отдельное согласие субъекта в тех случаях, когда обработка идёт по согласию, ознакомление работников с политикой под роспись, ответ на запрос субъекта в течение 10 рабочих дней, сообщение об утечке в течение 24 и 72 часов, акт об уничтожении данных со сроком хранения 3 года. Сами операции со сведениями (сбор, запись, передачу, удаление) фиксирует журнал регистрации событий информационной системы. Порядок зависит от способа обработки: бумажный архив подтверждает уничтожение одним актом, информационная система требует к акту ещё и выгрузку из журнала событий.

Материал поможет работодателю и HR-специалисту собрать комплект документов оператора и найти действия, которые сейчас ничем не подтверждены. Покажем, когда согласие работника не нужно, а когда без него передача данных внешнему провайдеру незаконна, как по шагам оформить уничтожение и что фиксирует система КЭДО, если спор доходит до суда. Сводная таблица «действие — документ — срок» стоит в первом разделе, а штрафы по статье 13.11 КоАП в редакции 2025 года, образцы документов, тарифы и ответы на частые вопросы — во второй половине статьи.

Содержание

Какие действия с персональными данными нужно подтверждать документом

Пункт 3 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» называет обработкой любое действие со сведениями о человеке, с использованием средств автоматизации или без них: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Отдельный бумажный документ на каждую запись в 1С закон не требует. Документ нужен там, где оператор должен доказать основание обработки, соблюдение срока или сам факт действия.

Вводная ниже сводит такие точки фиксации в одну таблицу: какое действие, чем оно подтверждается, на какой норме держится и в какой срок его нужно совершить.

Действие оператора	Чем фиксируется	Норма	Срок
Начало обработки	Уведомление Роскомнадзора	ст. 22 152-ФЗ	до начала обработки
Изменение сведений из уведомления	Информационное письмо в Роскомнадзор	ч. 7 ст. 22 152-ФЗ	не позднее 15-го числа следующего месяца
Прекращение обработки	Уведомление о прекращении	ч. 7 ст. 22 152-ФЗ	10 рабочих дней
Сбор данных по согласию	Отдельное согласие в письменной форме или электронный документ с ЭП	ст. 9 152-ФЗ	до начала обработки
Распространение (публикация) данных	Отдельное согласие на распространение	ст. 10.1 152-ФЗ	до публикации
Передача данных работника третьей стороне	Письменное согласие работника	ст. 88 ТК РФ	до передачи
Допуск работников к обработке	Ознакомление под роспись с политикой и ЛНА	ст. 18.1 152-ФЗ, ст. 86 ТК РФ	до начала работы с данными
Ответ на запрос субъекта	Письменный ответ со сведениями об обработке	ст. 14, 20 152-ФЗ	10 рабочих дней, продление ещё на 5 с мотивированным уведомлением
Уточнение данных по требованию субъекта	Внесение изменений и уведомление субъекта	ч. 2 ст. 21 152-ФЗ	7 рабочих дней
Выявлена неправомерная обработка	Прекращение обработки, при невозможности устранить нарушение — уничтожение	ч. 3 ст. 21 152-ФЗ	3 рабочих дня на прекращение, 10 рабочих дней на уничтожение
Утечка (неправомерная передача)	Два уведомления Роскомнадзора	ч. 3.1 ст. 21 152-ФЗ	24 часа на первичное, 72 часа на результаты расследования
Уничтожение после достижения цели или отзыва согласия	Акт об уничтожении, в информационной системе плюс выгрузка из журнала событий	ч. 4, 5, 7 ст. 21 152-ФЗ, приказ РКН № 179	30 дней на уничтожение, акт хранится 3 года

Большая часть сроков в таблице считается в рабочих днях, а срок уведомления об утечке — в часах, включая выходные. Если в компании нет ответственного, который получает запросы и сообщения об инцидентах в выходной день, 24 часа истекают раньше, чем кто-то откроет письмо. Проверьте по таблице, для каких строк у вас сейчас есть шаблон документа и назначенный исполнитель: пустая строка показывает, какое действие компания не сможет подтвердить при проверке.

Согласие на обработку персональных данных: когда оно нужно работодателю и как его оформить

С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных документов, которые подтверждает или подписывает человек: это требование внёс в статью 9 152-ФЗ Федеральный закон от 24.06.2025 № 156-ФЗ. Пункт о согласии внутри трудового договора, анкеты соискателя или оферты больше не работает как самостоятельное согласие. Новые согласия, собранные после этой даты, существуют отдельным документом.

Часть 4 статьи 9 152-ФЗ задаёт обязательный состав письменного согласия:

фамилия, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе;
те же сведения о представителе и реквизиты доверенности, если согласие даёт представитель;
наименование или ФИО и адрес оператора;
цель обработки;
перечень персональных данных, на обработку которых даётся согласие;
наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если обработка ему поручена;
перечень действий с данными и общее описание способов обработки;
срок действия согласия и способ его отзыва;
подпись субъекта.

Согласие в форме электронного документа, подписанного электронной подписью по 63-ФЗ, закон приравнивает к бумажному согласию с собственноручной подписью. Для работника, который уже подписывает кадровые документы в КЭДО, это рабочий вариант: согласие получает дату, подпись и место в архиве без сканов.

Отдельной строкой согласия стоит перечень лиц, которым оператор поручает обработку. При облачном КЭДО, аренде серверов или выпуске подписей сторонним удостоверяющим центром кадровые документы уходят внешним организациям, и эта передача опирается на согласие работника.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Корги указывает на кнопки подписки на каналы Добыто

Внимание: при облачном КЭДО доступ к кадровым документам обычно получает не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр. Передача данных каждому из них должна быть основана на согласии работника.

Мария Ж, соучредитель сервиса КЭДО Добыто: «В кадровых документах лежат чувствительные сведения: о семье, здоровье, доходах. Как только они уходят внешнему провайдеру, появляется третье лицо, и выбор облачной системы превращается ещё и в обязанность собрать согласия и объяснить людям, кому именно передаются их данные. Поэтому спрашивайте вендора прямо: не «хранятся ли данные защищённо», а полный перечень лиц, которые получат к ним доступ. Этот перечень и переносится в согласие.»

Когда согласие работника не требуется

Для кадрового учёта в объёме, который требуют ТК РФ, налоговое и пенсионное законодательство, основанием обработки служат закон и трудовой договор: пункты 2 и 5 части 1 статьи 6 152-ФЗ. Отдельное согласие на заполнение личной карточки, расчёт зарплаты или подачу ЕФС-1 в Социальный фонд России не собирают. Согласие становится обязательным, когда работодатель выходит за этот объём:

передаёт данные работника третьей стороне вне случаев, предусмотренных ТК РФ или федеральным законом (статья 88 ТК РФ);
публикует сведения для неограниченного круга лиц: фото и должность на сайте, поздравления в открытом канале (статья 10.1 152-ФЗ);
поручает обработку другой организации, например провайдеру КЭДО или аутсорсинговой службе безопасности;
обрабатывает данные соискателя, в том числе для проверки перед наймом.

Лишнее согласие тоже создаёт риск. Если согласие собрано на то, что и так разрешено законом, а работник его отзывает, компания получает спор о том, на каком основании она продолжает обработку. В политике обработки для каждой цели указывают своё основание: закон, договор или согласие.

Проверка кандидата — типичная зона, где согласие обязательно и где его чаще всего не хватает. Служба безопасности видит судимости, исполнительные производства, действительность паспорта, но законна такая проверка только при письменном согласии кандидата на обработку его данных.

Границы законной проверки кандидата по 152-ФЗ: с согласием, без согласия, спорные случаи — Проверки кандидата делятся на три группы: допустимые с согласием, недопустимые без него и спорные, где решение принимают после оценки цели.

Важный нюанс из практики: аутсорсинговая служба безопасности сама является оператором персональных данных с уведомлением в Роскомнадзоре. Согласие кандидата получает заказчик, и проверяющая сторона продолжает работу только после того, как убедилась, что согласие действительно есть. Способ передачи данных (защищённая почта, носитель, другой канал) закрепляют в договоре с исполнителем, а после сдачи отчёта исполнитель через определённый срок удаляет данные, и они остаются только у заказчика.

Согласие на распространение персональных данных

Распространение — раскрытие сведений неопределённому кругу лиц. Для него статья 10.1 152-ФЗ требует согласия, оформленного отдельно от других согласий на обработку. В нём субъект вправе установить запреты: какие данные нельзя публиковать и какие условия действуют для их дальнейшей передачи. Молчание субъекта или пустое поле не считаются согласием на распространение. Если компания размещает на сайте раздел «Команда» или публикует сотрудников в корпоративных соцсетях, проверьте, есть ли у каждого человека из этого раздела отдельное подписанное согласие на распространение.

Образцы согласия, правил обработки и документов для КЭДО

Начните с образца согласия: его структура повторяет перечень части 4 статьи 9 152-ФЗ, а остальные документы закрывают ознакомление работников и перевод согласий в электронный вид.

Документ	Скачать
Согласие на обработку персональных данных (образец, DOCX)	Скачать
Правила обработки персональных данных (образец, PDF)	Скачать
Лист ознакомления с локальными нормативными актами	Скачать
Заявление о согласии на переход на КЭДО	Скачать
Положение о ведении КЭДО	Скачать

Что оформить до начала обработки: уведомление Роскомнадзора, ответственный, политика

С 1 сентября 2022 года, после поправок Федерального закона от 14.07.2022 № 266-ФЗ, работодатель не освобождается от уведомления только потому, что обрабатывает данные в рамках трудовых отношений. Уведомление о намерении осуществлять обработку подаётся в Роскомнадзор до её начала. Если сведения из уведомления меняются, оператор сообщает об этом не позднее 15-го числа месяца, следующего за месяцем изменений, а о прекращении обработки — в течение 10 рабочих дней. Форма, способы подачи через портал персональных данных и разъяснения по заполнению собраны на странице об уведомлении об обработке персональных данных на сайте Роскомнадзора.

Уведомление — только внешняя часть. Часть 1 статьи 18.1 152-ФЗ перечисляет меры, которые оператор принимает внутри компании, и каждая из них оставляет документ:

Приказ о назначении ответственного за организацию обработки персональных данных (обязателен для оператора — юридического лица).
Политика обработки персональных данных и локальные акты: категории данных и субъектов, способы и сроки обработки, порядок уничтожения.
Правовые, организационные и технические меры безопасности по статье 19 152-ФЗ.
Внутренний контроль или аудит соответствия обработки закону, с фиксацией результатов.
Оценка вреда, который может быть причинён субъектам при нарушении закона.
Ознакомление работников, которые непосредственно обрабатывают данные, с законодательством, политикой и локальными актами.

Политику оператор публикует или иным образом обеспечивает к ней неограниченный доступ. Если данные собираются через сайт (форма отклика, заявка), политика размещается на этом сайте. Ознакомление работников дополнительно требует пункт 8 части 1 статьи 86 ТК РФ: работники знакомятся под роспись с документами работодателя, которые устанавливают порядок обработки их персональных данных.

Мария Ж, специалист по цифровой подписи и КЭДО: «Простая и неквалифицированная подписи становятся равнозначными собственноручной только при соглашении между участниками обмена, а квалифицированная равнозначна в силу закона. Выбирая простую подпись для ознакомления и заявлений, вы одновременно берёте на себя обязанность иметь такое соглашение и локальный акт с правилами определения лица по его подписи. Проверьте оба документа до того, как переводить ознакомление с политикой обработки в электронный вид.»

В Добыто ознакомление с ЛНА идёт по маршруту: документ уходит работнику, статус подписания виден в разделе «Контроль», подписанный лист попадает в электронный архив. Роспись в журнале ознакомления заменяет электронная подпись с датой и временем, которые система фиксирует автоматически.

Доступ и передача данных: как зафиксировать, кто и что делал со сведениями

Журнал регистрации событий информационной системы — единственный документ, который показывает операции с данными по отдельности: кто открыл карточку, кто изменил запись, кто выгрузил файл, когда сведения удалены. Приказ Роскомнадзора от 28.10.2022 № 179 прямо ссылается на такой журнал: при автоматизированной обработке уничтожение подтверждают выгрузкой из него. Если система журнала не ведёт, компании нечем подтвердить и уничтожение, и любое другое действие с данными в ней.

Второй элемент — разграничение доступа по ролям. Статья 19 152-ФЗ требует определить угрозы безопасности и применить организационные и технические меры, в том числе учёт действий с данными в информационной системе. На практике это означает, что специалист по расчёту зарплаты видит свои поля, руководитель подразделения — своих подчинённых, а полный кадровый массив открыт ограниченному кругу лиц, указанному в приказе.

Полезно знать: доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Требование разграничения доступа действует одинаково для бумажного архива и для электронной системы.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал в MAX Канал в Telegram

Раздел документов в системе КЭДО со статусами подписания и маршрутами согласования — В разделе документов видно, на каком шаге маршрута находится каждый приказ, кто согласовал, кто отказал и что уже передано в архив.

Для документов, подписанных в КЭДО, фиксация действий работает как доказательство в споре, причём для обеих сторон. Суд проверяет по кадровому электронному документообороту положение о КЭДО, утверждённый перечень документов и категорий работников, соглашение с работником об использовании УНЭП и ознакомление с положением, порядок и дату выдачи подписи, идентификацию работника при подписании, кто контролировал систему и что она фиксирует, фактическую способность работника пользоваться системой.

Кейс из практики: работодатель внедрил КЭДО по правилам: положение, перечень документов и категорий работников, порядок создания личного кабинета. Работник получил уведомление о переходе и в тот же день дал письменное согласие, а через 2 месяца через систему поступило заявление об увольнении от его имени. Районный суд и апелляция встали на сторону работодателя, кассация отменила акты: в деле не было сведений о том, как проводилась идентификация. При новом рассмотрении работник выиграл. Подпись выдали в день подписания заявления, работник не умел пользоваться системой, за него подписывал другой человек, а сама система зафиксировала, кто выдал подпись и под чьим контролем она находилась.

Мария Ж, судебный эксперт по трудовому праву: «Правильно оформленный КЭДО защищает работодателя, пока спор идёт про документы. Как только суд доходит до того, когда выдали ключ и мог ли человек им пользоваться, положение и перечень уже не работают: суд оценивает фактическую способность, а не подпись в журнале ознакомления. Проверьте у себя три вещи: описан ли в локальном акте порядок идентификации при подписании, фиксирует ли система дату и обстоятельства выдачи подписи, есть ли регламент действий при поступлении заявления об увольнении.»

В практике Добыто мы разводим по времени выдачу подписи и первые кадровые действия с ней и отдельно проверяем, умеет ли человек работать в системе. Журнал выдачи подписи при этом становится таким же документом оператора, как журнал доступа к данным.

Персональные данные и коммерческая тайна: два разных режима фиксации

Персональные данные защищаются по 152-ФЗ независимо от того, поставлен ли на документ гриф. Режим коммерческой тайны по Федеральному закону от 29.07.2004 № 98-ФЗ возникает только после того, как обладатель информации принял меры из части 1 статьи 10: определил перечень информации, установил порядок обращения с ней и контроль за его соблюдением, ведёт учёт лиц, получивших доступ к информации или которым она передана, урегулировал отношения с работниками и контрагентами, наносит гриф «Коммерческая тайна» с указанием обладателя. Работника, которому доступ нужен для работы, знакомят под расписку с перечнем информации (статья 11 98-ФЗ).

Для HR это означает два журнала с разными задачами. Журнал событий в системе показывает операции с персональными данными, а учёт лиц, допущенных к коммерческой тайне, показывает, кто вообще имеет право видеть сведения. Если режим коммерческой тайны в компании не введён, пункт о неразглашении в трудовом договоре не даёт оснований для дисциплинарного взыскания за разглашение.

Требования к КЭДО: аутентификация, шифрованный обмен персональными данными, подписание и хранение — Защита данных в КЭДО держится на четырёх опорах: вход через ЕСИА, шифрованный канал обмена, усиленная подпись и хранение документов.

Уничтожение персональных данных: акт и выгрузка из журнала

После достижения цели обработки или отзыва согласия оператор уничтожает данные в срок не более 30 дней, если иное не предусмотрено договором, законом или соглашением с субъектом (части 4 и 5 статьи 21 152-ФЗ). Если уничтожить данные в этот срок невозможно, их блокируют и уничтожают не позднее чем через 6 месяцев. Подтверждение уничтожения регулирует приказ Роскомнадзора № 179: при обработке без средств автоматизации составляют акт об уничтожении, при автоматизированной обработке — акт и выгрузку из журнала регистрации событий. Оба документа хранятся 3 года с момента уничтожения.

Как оформить уничтожение персональных данных: пошаговая инструкция

Шаг 1. Определите основание: достигнута цель обработки, истёк срок согласия, субъект отозвал согласие или выявлена неправомерная обработка. Зафиксируйте дату, с которой пошёл срок.
Шаг 2. Сверьте данные со сроками архивного хранения. Документы, которые организация обязана хранить по архивному законодательству, уничтожению по 152-ФЗ не подлежат до окончания срока хранения.
Шаг 3. Уничтожьте данные на всех носителях: бумажные копии, файлы в информационной системе, копии в почте и на общих дисках.
Шаг 4. Составьте акт об уничтожении: субъект, категории уничтоженных данных, носитель или информационная система, способ, причина и дата уничтожения, подписи лиц, которые уничтожали данные.
Шаг 5. При автоматизированной обработке сформируйте выгрузку из журнала событий: ФИО субъекта, перечень категорий уничтоженных данных, наименование информационной системы, причина и дата уничтожения.
Шаг 6. Передайте акт и выгрузку на хранение на 3 года и, если уничтожение шло по требованию субъекта, уведомите его о результате.

Шаг 2 чаще всего пропускают. Кадровые документы уничтожать по заявлению бывшего работника нельзя: графики отпусков и табели хранятся 5 лет, трудовые договоры и приказы по личному составу — 50 или 75 лет, штатное расписание и ЛНА — постоянно. В КЭДО действуют те же сроки.

Сроки хранения кадровых документов: 5 лет, 50 или 75 лет и постоянно — Сроки архивного хранения определяют, какие персональные данные работника можно уничтожить после увольнения, а какие остаются в архиве.

Лайфхак: спрашивайте поставщика системы не о том, хранит ли она документы, а о том, выгружает ли комплект целиком в требуемом формате: сам документ, отдельный файл подписи и доверенность, если подписано по ней. При проверке, споре или смене оператора нужны файлы, а не изображение на экране.

Утечка данных и цена незафиксированного действия

При неправомерной передаче персональных данных оператор направляет в Роскомнадзор два уведомления (часть 3.1 статьи 21 152-ФЗ). В течение 24 часов — о самом инциденте, его предполагаемых причинах, вреде для субъектов, принятых мерах и контактном лице. В течение 72 часов — о результатах внутреннего расследования и о лицах, чьи действия стали причиной инцидента, если их удалось установить. Без журнала событий расследование за 72 часа провести нечем: список затронутых субъектов и путь утечки восстанавливают именно по нему.

С 30 мая 2025 года действуют штрафы в редакции Федерального закона от 30.11.2024 № 420-ФЗ о внесении изменений в КоАП РФ. Для работодателя-юрлица значимы составы, связанные с отсутствием документа или пропуском срока:

Нарушение	Часть ст. 13.11 КоАП	Штраф для юрлица
Обработка в случаях, не предусмотренных законом, или несовместимая с целями сбора	ч. 1	150 000-300 000 руб.
Обработка без письменного согласия, когда оно обязательно	ч. 2	300 000-700 000 руб.
Невыполнение в срок требования субъекта об уточнении, блокировании или уничтожении	ч. 5	50 000-90 000 руб.
Неуведомление или несвоевременное уведомление о намерении обрабатывать данные	ч. 10	100 000-300 000 руб.
Неуведомление Роскомнадзора об утечке	ч. 11	1-3 млн руб.
Утечка данных 1 000-10 000 субъектов или 10 000-100 000 идентификаторов	ч. 12	3-5 млн руб.

Для компании на 200-300 человек реальный риск — части 2, 10 и 11. Утечка кадрового массива такого размера не дотягивает до порога части 12, а вот отсутствие согласия на передачу данных провайдеру или неподанное уведомление об утечке стоят дороже годовой подписки на любую систему учёта. При повторной утечке закон вводит оборотный штраф от 1 до 3% годовой выручки, но не более 500 млн руб.

Чек-лист: какие действия с данными компания уже может подтвердить

Проверку удобно проводить по тем же вопросам, которые задаст инспектор или суд: есть ли документ и можно ли его предъявить в срок. Отметьте пункты, по которым у вас есть готовый документ или настроенная функция системы:

уведомление в Роскомнадзор подано, сведения в нём совпадают с фактическими целями и составом данных;
приказ о назначении ответственного за организацию обработки персональных данных подписан;
политика обработки опубликована, работники, которые обрабатывают данные, ознакомлены с ней под роспись или электронной подписью;
для каждой цели обработки указано основание: закон, договор или согласие;
согласия, собранные после 1 сентября 2025 года, оформлены отдельными документами;
у каждого сотрудника, чьи данные опубликованы на сайте, есть отдельное согласие на распространение;
все организации, получающие доступ к данным (провайдер, владелец инфраструктуры, удостоверяющий центр), перечислены в согласиях;
доступ к кадровому массиву разграничен по ролям, журнал событий в системе ведётся;
есть шаблоны ответа на запрос субъекта и уведомления об утечке, а ответственный доступен в выходные дни;
есть шаблон акта об уничтожении, система формирует выгрузку из журнала, акты хранятся 3 года;
система фиксирует дату и обстоятельства выдачи электронной подписи работнику.

В практике Добыто перечень организаций, которые получат доступ к кадровым документам, мы разбираем с клиентом до подключения, чтобы он сразу попал в текст согласия работников и не требовал повторного сбора подписей.

Стоимость КЭДО с электронным архивом: тарифы Добыто на 2026 год

Цена зависит от численности сотрудников, нужных видов электронной подписи и требований к хранению данных.

Услуга	Стоимость	Сроки
Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка	от 30 ₽ за сотрудника / мес	подключение за 5 минут
Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив, интеграция с 1С	от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год	подключение за 5 минут
Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции, персональный менеджер	по запросу	по запросу
Выпуск ПЭП и УНЭП для сотрудников	бесплатно на всех тарифах	входит в тариф
УКЭП для сотрудников через партнёров — удостоверяющие центры	по запросу	по запросу
Модуль интеграции с 1С:ЗУП	входит в тариф «Бизнес»	установка и настройка за один день

Для оператора персональных данных выбор тарифа определяется не только численностью. Если политика компании требует хранить кадровые документы на выделенной инфраструктуре, подходит «Корпорация», а электронный архив и УКЭП для работодателя появляются начиная с тарифа «Бизнес». Актуальные условия, состав функций и порядок перехода между тарифами — на странице тарифов Добыто КЭДО, при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.

Выводы

Фиксировать нужно не каждую операцию с данными отдельным приказом, а те действия, по которым закон требует доказательства: основание обработки, уведомление регулятора, допуск и ознакомление работников, ответ субъекту, сообщение об инциденте и уничтожение. Бумажная обработка закрывается актами и росписями, электронная требует журнала событий, разграничения доступа и фиксации выдачи подписи. Отдельное согласие с 1 сентября 2025 года и штрафы в редакции 2025 года делают пробелы в этих документах дорогими именно для работодателя.

Добыто ведёт кадровые документы с маршрутами согласования, статусами подписания и электронным архивом, поэтому ознакомление с политикой, согласия и кадровые приказы получают подпись, дату и место хранения в одной системе. Комплект документов оператора мы помогаем выстроить при подключении, начиная с перечня лиц, которые получат доступ к данным.

Частые вопросы о фиксации обработки персональных данных

Что делать, если работник отозвал согласие на обработку персональных данных?

Оператор прекращает обработку, основанную на этом согласии, и уничтожает данные в срок не более 30 дней с даты поступления отзыва (часть 5 статьи 21 152-ФЗ). Обработку, которая идёт по закону или по трудовому договору, отзыв не останавливает: часть 2 статьи 9 152-ФЗ позволяет продолжить её при наличии оснований из пунктов 2-11 части 1 статьи 6. Отзыв регистрируют, а работнику сообщают, какие данные уничтожены, а какие продолжают обрабатываться и на каком основании.

Кто платит штраф за нарушения: компания или ответственный за обработку данных?

Статья 13.11 КоАП предусматривает отдельные санкции для юридического лица и для должностного лица. По части 1 штраф для должностного лица составляет 50 000-100 000 руб., для юрлица 150 000-300 000 руб., и оба штрафа могут быть наложены по одному нарушению. Должностным лицом в таком деле обычно выступает сотрудник, назначенный приказом ответственным за организацию обработки, поэтому в приказе фиксируют его полномочия и зону ответственности.

Отвечает ли работодатель за утечку у провайдера, которому поручил обработку?

Да. По части 5 статьи 6 152-ФЗ ответственность перед субъектом за действия лица, обрабатывающего данные по поручению, несёт оператор, а само это лицо отвечает перед оператором. В поручении (договоре с провайдером) закрепляют перечень действий с данными, цели обработки и обязанность исполнителя соблюдать конфиденциальность и меры безопасности по статье 19, а также порядок, в котором провайдер сообщает оператору об инциденте, чтобы тот успел уложиться в 24 часа.

В какой срок отвечать на запрос Роскомнадзора?

Часть 4 статьи 20 152-ФЗ даёт оператору 10 рабочих дней с даты получения запроса. Срок продлевается не более чем на 5 рабочих дней, если оператор направит в Роскомнадзор мотивированное уведомление с причинами продления. Ответ, дату его отправки и приложенные документы сохраняют: при повторной проверке это единственное подтверждение, что запрос исполнен в срок.

Можно ли хранить резюме кандидата, которому отказали в приёме?

После отказа цель обработки, ради которой кандидат передал данные, считается достигнутой, и по части 4 статьи 21 152-ФЗ данные уничтожают в срок не более 30 дней. Чтобы оставить резюме в кадровом резерве, нужно отдельное согласие кандидата с этой целью и сроком хранения. Без него данные уничтожают и составляют акт, а при хранении в информационной системе прикладывают выгрузку из журнала событий.