ФЗ 152 о персональных данных с изменениями что перепроверить компании

ФЗ 152 о персональных данных с изменениями 2025-2026 годов требует от компании сверить цели обработки и их правовые основания, тексты согласий, политику и ЛНА, запись в реестре Роскомнадзора, поручения подрядчикам и фактические системы, где данные собираются и хранятся. С 01.07.2025 первичный сбор данных граждан РФ ведётся только в российские базы, кроме прямо названных в законе исключений. С 01.09.2025 согласие оформляется отдельно от других подписываемых документов, а с 26.07.2026 уведомление о трансграничной передаче содержит дату оценки защиты у получателя. Порядок проверки зависит от основания: обработка для исполнения ТК РФ и трудового договора опирается на закон и договор. Согласие нужно там, где такого основания нет, например при публикации данных работника или получении сведений о нём у третьей стороны.

Материал построен как рабочий аудит: для каждого изменения указаны документ, экран или запись в реестре и признак несоответствия. Покажем, как отличить старое согласие, которое можно оставить, от формы, которую придётся переделать, и где проходит граница между локализацией сбора и последующей передачей данных за рубеж. Во второй половине статьи собраны таблица сроков ответа субъекту, уничтожения и сообщения об инцидентах, пошаговый порядок повторного аудита, штрафы по статье 13.11 КоАП РФ и ответы о кредитном отчёте, судимости и копии паспорта.

Какие изменения 152-ФЗ уже действуют и что из-за них перепроверить

С 30.05.2025 по 26.07.2026 вступили в силу поправки, которые затрагивают уведомление Роскомнадзора, место сбора данных, форму согласия и трансграничную передачу. У каждой поправки есть документ или процесс, где она проявляется, и признак, по которому видно, что документ устарел.

В 265-ФЗ есть и дата 01.09.2027, но она относится к информационным системам публичных органов и организаций Москвы на технологической платформе. Поправки к статье 12 действуют с 26.07.2026, и оснований переносить московскую дату на обычного работодателя нет.

Для первого прохода нужны четыре источника: выписка из реестра операторов, действующая форма согласия, схема HR-систем со страной размещения баз и список иностранных получателей данных. Если какой-либо из них расходится с таблицей, аудит начинают с соответствующего раздела.

Как сопоставить цели обработки, основания и кадровые документы

Оператор персональных данных сам определяет цели обработки и состав данных, и подключение внешнего сервиса эту роль у компании не забирает. Статья 5 152-ФЗ требует конкретных законных целей и объёма данных, соразмерного цели. Статья 6 требует правового основания для каждого процесса. Согласие входит в число оснований, но для исполнения закона и трудового договора оно не единственное. Закон не обязывает получать от работника отдельное согласие на каждую кадровую операцию. Согласие «на всё» при этом не делает законным сбор данных, которые не нужны ни одной цели.

Статьи 86 и 88 ТК РФ привязывают обработку данных работника к целям, связанным с трудовыми отношениями и исполнением закона. Если сведения о работнике можно получить только у третьей стороны, работодатель заранее уведомляет об этом работника и получает его письменное согласие.

Для типовых кадровых процессов основание и проверочный документ распределяются так:

Бывает, что в колонке основания у процесса стоит только общее согласие, хотя для этого процесса есть закон или специальный режим. Такой документ пересобирают вокруг правильного основания: иначе согласие формально есть, а условия специального закона не соблюдены.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Политика и ЛНА проверяются по статье 18.1 152-ФЗ. Для каждой цели в них указываются категории и перечень данных, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения при достижении цели или при ином основании. Процедуры предотвращения и выявления нарушений и устранения их последствий закрепляются отдельными ЛНА. Документ с единственным названием «Политика» закон не требует, и состав можно распределить по нескольким актам. Ни один из них не может ограничивать права субъектов или возлагать на оператора обязанности, которых нет в законе. Политику и сведения о мерах защиты компания публикует в интернете, в том числе на страницах, где собирает данные.

Подпись в листе ознакомления подтверждает, что работник знает порядок обработки своих данных, свои права и обязанности. Согласием на какую-либо цель такая подпись не является. По пункту 8 статьи 86 ТК РФ под роспись знакомят всех работников и их представителей. Тех, кто сам обрабатывает данные, дополнительно знакомят с требованиями и обучают по статье 18.1 152-ФЗ. Составьте перечень целей в формате матрицы и сверьте его с текстом политики. Цель, которая есть на практике, но отсутствует в политике, исправляется первой.

Проверка кандидатов: где сбор данных становится избыточным

Типовая схема службы безопасности перечисляет шесть направлений: паспорт и личность, судимости, кредитная история, исполнительные производства, аффилированность и прошлые работодатели. Права проверять каждого кандидата по всем пунктам этот перечень не даёт. Сведения о судимости работодатель обрабатывает только в случаях и порядке, установленных федеральным законом. Кредитный отчёт бюро кредитных историй выдаёт по специальному согласию, оформленному по 218-ФЗ. Общее согласие на обработку персональных данных не заменяет ни одно из этих условий. Набор проверок для должности ограничивается тем, что соразмерно её обязанностям.

Как документировать проверку кандидата

Если проверка опирается на согласие кандидата, его получают до начала проверки отдельным документом: с 01.09.2025 встраивать согласие в анкету нельзя. В согласии указываются цели проверки и перечень данных, которые будет запрашивать служба безопасности. Заключение с оценкой рисков для нанимающего руководителя готовится в пределах этих целей.

Откройте анкету кандидата. Если текст согласия напечатан в ней же, эта форма первой уходит на переделку.

Как перепроверить согласие на обработку персональных данных

Согласия, полученные до 01.09.2025, переходные положения 156-ФЗ массово переоформлять не обязывают. Каждую старую форму оценивают отдельно: конкретны ли цели и перечень данных, можно ли доказать факт получения, соответствовал ли текст требованиям на дату подписания. Если та же форма продолжает выдаваться новым работникам и кандидатам, её проверяют уже по новой редакции части 1 статьи 9.

С 01.09.2025 согласие оформляется отдельно от иной информации и документов, которые субъект подписывает или подтверждает. Норма требует отдельного оформления и доказуемости получения, но конкретный дизайн формы не задаёт. На практике отдельность обеспечивают так: согласие вынесено за пределы оферты, договора и политики, отметка о согласии заранее не проставлена, факт отдельного волеизъявления сохраняется в журнале системы. Это способ исполнения нормы, и буквально закон этих элементов не перечисляет.

Согласие на распространение данных по статье 10.1 152-ФЗ оформляется отдельно и от общего согласия. По каждой категории данных субъект явно разрешает распространение или устанавливает запреты, а молчание согласием не считается. Состав такого согласия определён приказом Роскомнадзора от 24.02.2021 № 18. В нём указываются сведения о субъекте и операторе, информационный ресурс, цель, категории и перечень данных, условия и запреты. Если такого документа нет, у публикации данных работника на сайте компании нет основания.

Когда письменная форма согласия обязательна и что в ней указать

Письменное согласие обязательно в случаях, прямо предусмотренных федеральным законом. Пример: получение сведений о работнике у третьей стороны по статье 86 ТК РФ. В таких случаях часть 4 статьи 9 152-ФЗ требует всех реквизитов:

1. фамилия, имя, отчество и адрес субъекта, номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган;
2. если согласие даёт представитель, те же сведения о нём и реквизиты доверенности или иного документа, подтверждающего полномочия;
3. наименование или фамилия, имя, отчество и адрес оператора;
4. цель обработки;
5. перечень персональных данных, на обработку которых даётся согласие;
6. наименование или фамилия, имя, отчество и адрес лица, которое обрабатывает данные по поручению оператора, если обработка ему поручена;
7. перечень действий с данными и общее описание способов обработки;
8. срок действия согласия и способ его отзыва, если иное не установлено федеральным законом;
9. подпись субъекта.

Электронный документ, подписанный электронной подписью в соответствии с федеральным законом, равнозначен письменному согласию. В остальных случаях согласие даётся в любой форме, которая позволяет подтвердить факт его получения, а доказывать получение обязан оператор. Там, где письменная форма не обязательна, закон не требует переносить в согласие паспортные реквизиты.

Для обновления бланка в Добыто есть конструктор: он формирует файл .docx согласия с целями, сроком и оговоркой об отзыве по 152-ФЗ. Цели, основания, получателей и необходимость письменной формы конструктор за компанию не определяет. Их сверяют с реальным процессом до того, как бланк на обработку персональных данных уйдёт работникам или кандидатам.

Соберите согласие на обработку персональных данных под свой процесс

Образцы правил обработки, согласия на обработку персональных данных и листа ознакомления с ЛНА

Комплект покрывает три разных документа аудита, и начинать стоит с правил обработки: от них зависят цели, которые затем переносятся в согласие.

Шаблоны служат основой для адаптации и не подтверждают актуальность документа. Правила обработки размещены в 2023 году, до поправок 2025-2026 годов. Текст согласия на соответствие новой редакции части 1 статьи 9 не проверялся. Перед использованием сверьте оба документа с таблицей изменений и матрицей оснований.

Что сверить в уведомлении Роскомнадзора и договорах с подрядчиках

По общему правилу статьи 22 152-ФЗ оператор уведомляет Роскомнадзор до начала обработки. Уведомление информирует ведомство и разрешением на обработку не является. В реестровых сведениях для каждой цели указываются категории данных и субъектов, правовое основание, перечень действий и способы обработки. Поэтому новая цель, например проверка кандидатов или публикация данных на сайте, должна появиться и в реестре.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Свою запись компания находит в реестре операторов, осуществляющих обработку персональных данных, на портале Роскомнадзора. Цели из записи сравнивают с матрицей процессов: расхождение означает, что сведения устарели.

Изменения сведений подаются не позднее 15-го числа месяца, следующего за месяцем, в котором они произошли. О прекращении обработки оператор сообщает в течение 10 рабочих дней с даты прекращения (часть 7 статьи 22). Для изменений используется информационное письмо о внесении изменений в сведения об операторе. Формы утверждены приказом Роскомнадзора от 28.10.2022 № 180.

Если подрядчик обрабатывает данные по поручению, договор с ним по части 3 статьи 6 152-ФЗ содержит:

• перечень персональных данных;
• перечень действий с ними;
• цели обработки;
• обязанность соблюдать конфиденциальность;
• требования к защите данных;
• обязанность выполнять статьи 18.1 и 19 152-ФЗ;
• обязанность уведомить оператора об инциденте по части 3.1 статьи 21.

При выборе КЭДО, в том числе Добыто, компания остаётся оператором: она определяет цели и состав данных, ведёт запись в реестре и доказывает получение согласий. Договор с сервисом проверяется по тому же перечню условий поручения. Если согласие требует письменной формы, сведения об обработчике указываются в нём по пункту 6 части 4 статьи 9. Возьмите договоры со всеми подрядчиками, у которых есть доступ к кадровым данным, и отметьте, каких условий из перечня не хватает.

Как проверить локализацию и трансграничную передачу

С 01.07.2025 при сборе данных граждан РФ запрещены запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами РФ, кроме случаев, прямо перечисленных в законе (часть 5 статьи 18 в редакции 23-ФЗ). Требование касается первичного сбора: база, в которую попадает отклик кандидата или анкета нового работника, должна находиться в России.

Минцифры в письме от 12.05.2025 № П25-44929 разъяснило, что локализация сбора и последующая передача уже собранных в России данных за рубеж регулируются разными нормами. Передачу регулирует статья 12. Письмо остаётся разъяснением ведомства, отдельной нормой оно не является, но позволяет разложить проверку на два самостоятельных вопроса.

Для проверки нужна карта фактических систем. В ней указывают, где данные собираются (сайт, формы откликов, анкеты), где хранятся (HR-система, учётная система, облачное хранилище) и кому передаются (подрядчики, иностранные получатели). Для каждой системы фиксируется страна размещения базы.

Трансграничная передача целиком не запрещена. До её начала оператор направляет в Роскомнадзор отдельное уведомление: страны, категории субъектов и данных, сведения о мерах защиты у получателя, которые оператор получает заранее. С 26.07.2026 в уведомлении указывается дата оценки этих мер. В страну из перечня государств с адекватной защитой передача возможна после уведомления. В страну вне перечня передавать данные нельзя до истечения сроков, установленных частью 9 статьи 12, кроме случаев защиты жизненно важных интересов субъекта.

Если в карте есть хотя бы один зарубежный сервис, проверьте по нему две вещи. Первая: не он ли принимает данные при первичном сборе. Вторая: подано ли уведомление о трансграничной передаче с датой оценки защиты.

Какие кадровые документы перепроверить при КЭДО

Согласие на КЭДО по статье 22.2 ТК РФ, введённой Федеральным законом от 22.11.2021 № 377-ФЗ, касается способа обмена документами, а обработку персональных данных оно не охватывает. По общему правилу работник даёт письменное согласие на переход. Его отсутствие не является основанием для отказа в приёме или увольнения, и с таким работником документооборот остаётся бумажным.

Согласие на КЭДО не требуется от работников, принятых после 31.12.2021, если на 31.12.2021 у них не было трудового стажа. Нужны оба условия одновременно: работник, принятый в 2022 году с прежним стажем, даёт согласие по общему правилу. Норма касается работников по трудовому договору. На исполнителей по договорам ГПХ она не распространяется.

При аудите КЭДО разведите по разным документам ЛНА о КЭДО и подтверждение ознакомления с ним, уведомление работников о переходе, согласие на КЭДО, согласие на обработку персональных данных там, где оно служит основанием, и данные для выпуска электронной подписи. У каждого документа своя цель, и общий бланк с одной подписью их не заменяет. Вид подписи (ПЭП, УНЭП или УКЭП) закрепляется в ЛНА для конкретных документов. Виды подписи не взаимозаменяемы.

В Добыто ПЭП и УНЭП для сотрудников выпускаются в рамках тарифа. Для выпуска подписи нужны данные работника, и эту цель компания-оператор описывает в своей политике и ЛНА. Сверьте список документов КЭДО с перечнем целей в политике: выпуск подписи должен быть в нём отдельной строкой.

Как сверить сроки хранения, уничтожения и реагирования на инциденты

Сроки 152-ФЗ различаются по типу события, и для каждого нужен назначенный ответственный и шаблон ответа.

Отзыв согласия обязательного хранения не отменяет: если документ хранится на основании закона, согласие для этого не нужно, и оснований уничтожать документ по отзыву нет. Документы по личному составу по статье 22.1 Федерального закона от 22.10.2004 № 125-ФЗ хранятся 75 лет, если закончены делопроизводством до 01.01.2003. После этой даты срок составляет 50 лет, если специальный перечень не устанавливает иной. На прочие кадровые сведения эти сроки автоматически не распространяются: их хранение определяется целью, указанной в политике.

Уничтожение подтверждается актом. При автоматизированной обработке к акту добавляется выгрузка из журнала регистрации событий в информационной системе (приказ Роскомнадзора от 28.10.2022 № 179). Срок 24 часа действует для инцидента, при котором данные неправомерно или случайно переданы, предоставлены, распространены или к ним получен доступ, и это повлекло нарушение прав субъектов. Не каждый технический сбой подпадает под такое определение, поэтому в регламенте нужен порядок квалификации события.

Как провести повторный аудит документов по 152-ФЗ: пошаговая инструкция

1. Шаг 1. Проведите инвентаризацию: перечень целей обработки, категорий данных и субъектов, систем, где данные собираются, хранятся и откуда передаются.
2. Шаг 2. Для каждой цели определите основание по статье 6 152-ФЗ, ТК РФ или специальному закону. Цель без основания исключите либо оформите для неё согласие.
3. Шаг 3. Проверьте формы и интерфейсы: согласие отделено от анкеты, договора и политики; при обязательной письменной форме в нём есть все 9 реквизитов части 4 статьи 9; согласие на распространение оформлено отдельно.
4. Шаг 4. Сверьте ЛНА и ознакомление: состав по статье 18.1 для каждой цели, опубликованная политика, листы ознакомления по пункту 8 статьи 86 ТК РФ.
5. Шаг 5. Проверьте реестр, поручения и передачи: запись в реестре Роскомнадзора совпадает с целями, договоры с обработчиками содержат условия части 3 статьи 6, для зарубежных получателей подано уведомление с датой оценки защиты.
6. Шаг 6. Проверьте сроки и свидетельства: регламенты ответов на запросы, уничтожения и инцидентов, акты уничтожения и выгрузки журналов.

Это практический порядок работы. Единой процедуры повторного аудита закон не утверждает, и шаги адаптируют под структуру компании.

Какие ошибки в документах создают финансовый риск

Нет уведомления о намерении обрабатывать данные. Обработку ведут давно и считают, что кадровые данные уведомления не требуют. С 30.05.2025 за неуведомление Роскомнадзора юридическому лицу по части 10 статьи 13.11 КоАП РФ грозит штраф от 100 000 до 300 000 руб.

Обязательное письменное согласие получено без всех реквизитов или не получено. Компания использует одну короткую форму для всех случаев, включая запрос сведений о работнике у третьих лиц. По части 2 статьи 13.11 КоАП РФ в редакции Федерального закона от 12.12.2023 № 589-ФЗ штраф для юридического лица составляет от 300 000 до 700 000 руб. Состав касается случаев, когда письменное согласие обязательно по закону, или нарушения его обязательного содержания. Любая обработка без согласия под эту часть автоматически не подпадает: если основание дают закон или трудовой договор, согласие не требуется.

Нет регламента инцидента. Инцидент разбирают как внутреннюю техническую задачу, и срок 24 часа истекает. По части 11 статьи 13.11 КоАП РФ, действующей с 30.05.2025, за несообщение или несвоевременное сообщение в Роскомнадзор об установленной неправомерной или случайной передаче, предоставлении, распространении данных или доступе к ним, нарушившем права субъектов, штраф для юридического лица составляет от 1 000 000 до 3 000 000 руб. Это ответственность именно за порядок уведомления, отдельная от ответственности за саму утечку.

Сверьте три точки: запись в реестре, формы с обязательной письменной формой и регламент инцидента с назначенным ответственным. Отсутствие любой из них подпадает под одну из перечисленных частей статьи 13.11.

Стоимость КЭДО для работы с кадровыми документами

Стоимость КЭДО зависит от тарифа и числа сотрудников в системе. Это цена инструмента кадрового обмена документами. Аудит по 152-ФЗ, юридическое заключение и гарантия соответствия документов компании в неё не входят. Цены указаны на 05.10.2026.

Итоговая сумма складывается из числа сотрудников и выбранного тарифа. На тарифе «Бизнес» минимальная оплата рассчитана на 50 сотрудников. Тариф можно сменить в любое время, и при повышении разница пересчитывается пропорционально оставшемуся периоду. Состав и условия каждого тарифа указаны на странице тарифов КЭДО Добыто.

Сроки подключения на странице тарифов не публикуются и уточняются при подключении. Подключение КЭДО не меняет цели, основания и запись компании в реестре Роскомнадзора, поэтому бюджет на правовую проверку документов закладывается отдельно.

Выводы

Повторный аудит по 152-ФЗ идёт от целей и оснований к бланкам. Согласие нужно там, где закона или договора недостаточно, и с 01.09.2025 его оформляют отдельно от других документов. Старые согласия оценивают по одному, без обязательного массового переоформления. После этого сверяют запись в реестре Роскомнадзора, поручения обработчикам, место первичного сбора, уведомления о трансграничной передаче и регламенты сроков.

Добыто закрывает кадровый обмен документами и их подписание. Правовую проверку целей, оснований и реестровых сведений компания-оператор проводит сама или с юристом, а сервис в этой схеме проверяется как исполнитель по договору поручения.

Частые вопросы о проверке документов по 152-ФЗ

Можно ли запросить кредитный отчёт кандидата по общему согласию на обработку данных?

Нет. По статье 6 Федерального закона от 30.12.2004 № 218-ФЗ бюро кредитных историй выдаёт кредитный отчёт пользователю при наличии согласия субъекта, оформленного по правилам 218-ФЗ и договора с бюро. В таком согласии указываются цель, дата и пользователь кредитной истории. Общее согласие на обработку персональных данных это специальное согласие не заменяет, а кредитный отчёт не относится к общедоступным проверкам.

Когда работодатель вправе требовать справку о судимости?

По статье 65 ТК РФ справка о судимости предъявляется при поступлении на работу, к которой по ТК РФ или иному федеральному закону не допускаются лица с судимостью или уголовным преследованием. Частный работодатель обрабатывает такие сведения только в случаях и порядке, предусмотренных федеральным законом (части 3-4 статьи 10 152-ФЗ). Общее согласие кандидата не даёт права проверять судимость для любой должности. Сначала проверяют, установлено ли ограничение для конкретной позиции.

Нужно ли хранить копию паспорта работника в личном деле?

Статья 65 ТК РФ требует предъявить паспорт при приёме, но не обязывает автоматически снимать с него копию и хранить её. Статьи 5 и 6 152-ФЗ требуют для копии цели, основания и соразмерности объёма данных, и общее согласие эти требования не отменяет. Прямого универсального запрета на копии закон не содержит. Если копия нужна для конкретной цели, цель, срок хранения и порядок уничтожения описывают в ЛНА.

Как коммерческая тайна соотносится с персональными данными работников?

Режим коммерческой тайны по Федеральному закону от 29.07.2004 № 98-ФЗ возникает только после принятия мер, перечисленных в части 1 статьи 10. По статье 5 к тайне нельзя отнести численность и состав работников, систему оплаты и условия труда, производственный травматизм, наличие вакансий и задолженность по зарплате. Это отдельный режим, а персональные данные работников защищаются по 152-ФЗ. Запрет засекречивать перечисленные сведения не делает индивидуальные данные работников свободными для публикации.

Обязан ли работодатель передавать обезличенные данные по требованию государства?

С 01.09.2025 действует статья 13.1 152-ФЗ в редакции Федерального закона от 08.08.2024 № 233-ФЗ, а правила утверждены постановлением Правительства РФ от 01.08.2025 № 1154. Оператор предоставляет обезличенные данные по требованию Минцифры в предусмотренных случаях. Обязанность возникает у оператора, получившего требование, а не у каждого работодателя автоматически. Требования и методы обезличивания установлены приказом Роскомнадзора от 19.06.2025 № 140, опубликованным 01.08.2025. Обязанности регулярно обезличивать весь массив кадровых данных этот приказ не создаёт.