Обработка и хранение персональных данных работников подчиняются двум срокам одновременно. 152-ФЗ запрещает держать данные дольше, чем нужно для цели обработки, а архивное законодательство обязывает хранить документы по личному составу 50 лет, если делопроизводство завершено после 1 января 2003 года, и 75 лет для более ранних. По Перечню Росархива № 236 трудовые договоры, личные карточки и личные дела хранятся 50/75 лет, согласие на обработку — 3 года после окончания срока или отзыва, документы кандидата, которого не приняли, — 1 год. Порядок обязанностей определяет способ обработки: при кадровом учёте в 1С или КЭДО работодатель до начала обработки уведомляет Роскомнадзор и держит базы с данными на серверах в России, а при обработке исключительно на бумаге уведомление не подаётся.
Материал показывает, какие данные работодатель вправе собирать по статье 86 ТК РФ, когда с 1 сентября 2025 года нужно отдельное согласие, из каких файлов по приказу Минтруда № 578н состоит электронный кадровый документ и как по приказу Роскомнадзора № 179 подтвердить уничтожение данных. Таблица сроков по Перечню № 236 — в разделе о сроках; пошаговый порядок организации хранения, штрафы по статье 13.11 КоАП, стоимость КЭДО с электронным архивом и ответы на частые вопросы — во второй половине статьи.
Кто оператор персональных данных работников и что он вправе собирать
Работодатель, который получает от работника паспортные данные, СНИЛС, сведения о семье и образовании, становится оператором персональных данных в смысле Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». К нему одновременно применяются 152-ФЗ и глава 14 ТК РФ (статьи 85-90): закон задаёт общие правила обработки, кодекс — специальные требования к данным работника. На исполнителей по договорам ГПХ и самозанятых глава 14 ТК РФ не распространяется, их данные обрабатываются по 152-ФЗ.
Статья 86 ТК РФ требует получать все персональные данные у самого работника. Если сведения можно получить только у третьей стороны, работника заранее уведомляют и берут у него письменное согласие. Сведения о политических взглядах и религиозных убеждениях работодатель получать и обрабатывать не вправе: по статье 10 152-ФЗ это специальные категории данных. Под тем же запретом сведения о членстве в общественных объединениях и профсоюзной деятельности, кроме случаев, прямо предусмотренных ТК РФ или федеральным законом. Поля анкеты, которые выходят за эти границы, удаляют из шаблона до начала приёма.
Отдельное ограничение касается передачи. По статье 88 ТК РФ персональные данные работника не сообщают третьей стороне без его письменного согласия; исключения — предупреждение угрозы жизни и здоровью работника и случаи, установленные ТК РФ или федеральным законом. Третьими лицами в кадровой практике оказываются внешние организации вроде аутсорсинговой службы безопасности и поставщики ИТ-инфраструктуры: облачный провайдер, владелец арендованных серверов, удостоверяющий центр, который выпускает подписи сотрудникам.
Мария Ж, юрист со стажем более 20 лет: «Кадровые документы содержат чувствительные персональные данные: сведения о семье, здоровье, доходах. Как только они уходят к внешнему провайдеру, появляется третье лицо, и передача ему данных должна опираться на согласие работника. Выбор облачной системы означает ещё и обязанность собрать такие согласия и объяснить людям, кому именно передаются их данные. Просите у вендора полный список лиц, которые получат доступ: обычно в нём три организации — сам провайдер, владелец инфраструктуры и удостоверяющий центр.»
Проверка по этому разделу сводится к двум спискам. Первый — перечень полей анкеты и личной карточки с основанием для каждого поля. Второй — перечень организаций, которым уходят данные работников, с отметкой, есть ли на каждую передачу письменное согласие.
Согласие на обработку персональных данных: когда оно нужно и как его оформить
С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от других документов, которые человек подтверждает или подписывает: это требование ввёл Федеральный закон от 24.06.2025 № 156-ФЗ. Пункт о согласии внутри трудового договора, анкеты или заявления о приёме требование не выполняет, нужен самостоятельный документ с собственной подписью работника.
Отдельное согласие нужно только для обработки сверх исполнения трудового договора и обязанностей работодателя по трудовому, налоговому и пенсионному законодательству: такая базовая обработка идёт на основании пунктов 2 и 5 части 1 статьи 6 152-ФЗ. Согласие требуется для передачи данных третьей стороне по статье 88 ТК РФ, хранения кадровых документов у внешнего провайдера, получения сведений о работнике у третьих лиц, проверки кандидата службой безопасности. Подписанное согласие становится документом с собственным сроком хранения: 3 года после окончания срока действия или отзыва, если закон или договор не устанавливают иное (статья 441 Перечня Росархива № 236).
Важный нюанс из практики: аутсорсинговая служба безопасности, которой работодатель передаёт данные кандидата, сама является оператором персональных данных с уведомлением в Роскомнадзоре. Данные она получает от заказчика вместе с согласием кандидата, а после передачи отчёта через определённый срок удаляет их у себя. Отчёт, согласие и анкета остаются только у работодателя, и сроки их хранения определяет он: документы лиц, не принятых на работу, хранятся 1 год, не прошедших конкурсный отбор — 3 года (статья 438 Перечня № 236).
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: без подписанного кандидатом согласия проверка его персональных данных службой безопасности неправомерна. Правило одинаково для внутренней службы и для внешнего подрядчика.
По части 4 статьи 9 152-ФЗ письменное согласие содержит цель обработки, перечень данных, действия с ними, срок действия и способ отзыва. Формулировка «для целей трудовых отношений» не показывает работнику, на какую именно передачу он соглашается, поэтому цели перечисляют конкретно. В Добыто конструктор согласия формирует документ в формате DOCX с перечнем целей, сроком обработки и оговоркой об отзыве по 152-ФЗ.
Составьте согласие на обработку персональных данных под свои цели
Образцы согласий и правил обработки персональных данных
Комплект закрывает оформление оснований обработки: начните с типового согласия работника, затем сверьте с ним собственные правила обработки.
| Документ | Скачать |
|---|---|
| Согласие работника на обработку персональных данных (DOCX) | Скачать |
| Согласие кандидата на проверку службой безопасности (DOCX) | Скачать |
| Правила обработки персональных данных (PDF) | Скачать |
Сроки хранения кадровых документов и персональных данных работников
Статья 5 152-ФЗ разрешает хранить персональные данные не дольше, чем этого требуют цели обработки, если срок не установлен федеральным законом или договором; после достижения цели данные уничтожают или обезличивают. Для кадровых документов срок установлен законом. По статье 22.1 Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации» документы по личному составу хранятся 75 лет, если делопроизводство по ним завершено до 1 января 2003 года, и 50 лет, если после этой даты, если Перечень не устанавливает для конкретного вида документа иной срок. Пока срок не истёк, личное дело уволенного работника хранится на основании закона, и согласие для этого не нужно.
Сроки по видам документов задаёт Перечень типовых управленческих архивных документов, утверждённый приказом Росархива от 20.12.2019 № 236. Инструкция Росархива по его применению фиксирует, что срок не зависит от носителя: электронный документ и сведения в базе данных не хранятся меньше, чем бумажный аналог. Ниже — сроки для документов, которые чаще всего содержат данные работников и кандидатов.
| Документ | Срок хранения | Основание |
|---|---|---|
| Трудовые договоры | 50/75 лет | ст. 435 Перечня № 236 |
| Личные карточки работников, включая Т-2 | 50/75 лет | ст. 444 Перечня № 236 |
| Личные дела руководителей и работников (состав определяет ЛНА, кроме специальных категорий) | 50/75 лет | ст. 445 Перечня № 236 |
| Согласие на обработку персональных данных | 3 года после окончания срока действия или отзыва | ст. 441 Перечня № 236 |
| Положения и инструкции об обработке персональных данных | постоянно по месту утверждения; 3 года после замены — в других организациях | ст. 440 Перечня № 236 |
| Графики отпусков | 3 года | ст. 453 Перечня № 236 |
| Документы лиц, не принятых на работу | 1 год | ст. 438 (б) Перечня № 236 |
| Документы лиц, не прошедших конкурсный отбор | 3 года | ст. 438 (а) Перечня № 236 |
| Персональные данные, для которых срок не установлен законом или договором | до достижения цели; уничтожение в течение 30 дней | ст. 5, ч. 4 ст. 21 152-ФЗ |
Граница между 50 и 75 годами проходит по дате завершения делопроизводства: личное дело, закрытое в 2004 году, хранится 50 лет, даже если работника приняли в 1995-м. Полный текст раздела 8 Перечня с примечаниями к каждой статье опубликован на официальном сайте Росархива, и номенклатуру дел сверяют именно с ним. Отдельной общей статьи для всех журналов учёта доступа к персональным данным в Перечне нет, их срок определяют по виду документа.
Уничтожение персональных данных: 30 дней и акт по приказу № 179
Когда цель обработки достигнута, оператор уничтожает данные в течение 30 дней, если договор или федеральный закон не предусматривает иное либо обработка не может законно продолжаться на другом основании (часть 4 статьи 21 152-ФЗ). После отзыва согласия действует тот же 30-дневный срок, но только если сохранять данные больше не требуется и иного законного основания нет (часть 5 статьи 21). Требование работника прекратить обработку исполняют за 10 рабочих дней с продлением не более чем на 5 рабочих дней при мотивированном уведомлении (часть 5.1 статьи 21).
Факт уничтожения документируют по приказу Роскомнадзора от 28.10.2022 № 179, который действует с 1 марта 2023 года по 1 марта 2029 года. При обработке без средств автоматизации составляют акт об уничтожении, при автоматизированной — акт и выгрузку из журнала регистрации событий в информационной системе персональных данных. Для КЭДО и 1С из этого следует требование к системе: она ведёт журнал событий и отдаёт из него выгрузку, иначе уничтожение в электронном архиве подтвердить нечем.
Где хранить данные работников: локализация, облако и доступ к кадровому массиву
С 1 июля 2025 года часть 5 статьи 18 152-ФЗ в редакции Федерального закона от 28.02.2025 № 23-ФЗ запрещает при сборе данных граждан России записывать, систематизировать, накапливать, хранить, уточнять и извлекать их с использованием баз данных за пределами России, кроме случаев, прямо названных в законе. Для работодателя с КЭДО или облачным кадровым сервисом вопрос сводится к месту размещения серверов — самого вендора и всех подрядчиков, через инфраструктуру которых проходят кадровые документы.
Трансграничная передача регулируется отдельно. С 26 июля 2026 года Федеральный закон № 265-ФЗ изменил критерии, по которым государства попадают в перечень стран с адекватной защитой персональных данных, и привязал оценку в том числе к мерам защиты по Конвенции Совета Европы. Эти нормы касаются передачи данных за рубеж; требование вести базы данных граждан России на её территории они не отменяют.
Важный нюанс из практики: когда HR-специалистов на профильном вебинаре спросили о критериях выбора системы КЭДО, самым популярным ответом стало хранение персональных данных только на своих серверах, следом шли гибкость системы, стоимость и интерфейс. Интеграция с государственным сервисом электронной подписи набрала заметно меньше голосов. За хранение данных в компании отвечает конкретный человек, и по этому вопросу проходят проверки, поэтому его ставят выше остальных.
Собственный сервер требование о разграничении доступа не закрывает. Разработчики КЭДО предлагают шифрование, при котором трудовой договор открывается только ключом специалиста по кадрам и самого работника, а на сервере документы лежат в зашифрованном виде.
Мария Ж, специалист по цифровой подписи и КЭДО: «Требование разграничения доступа, которое действует для архива, работает и в системе КЭДО. Доступ всей кадровой службы целиком ко всему кадровому массиву — типовая ситуация и типовое нарушение. Настройте роли так, чтобы специалист видел только те дела, с которыми работает, и проверьте, ведёт ли система журнал обращений к документам.»
Лайфхак: до подписания договора с вендором КЭДО получите письменные ответы: где физически хранятся данные и кто входит в полный перечень лиц с доступом, есть ли роли и журнал обращений, выгружается ли комплект документа целиком и в каком виде отдаётся архив при расторжении договора.
Тариф «Корпорация» в Добыто включает выделенный сервер, SLA 99.9% и API для собственных интеграций: этот вариант рассчитан на компании, которым нужна отдельная инфраструктура под кадровые данные.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Электронный архив кадровых документов: состав, формат и требования к хранению
Переход на КЭДО добровольный: по статье 22.1 ТК РФ работодатель выбирает собственную информационную систему или платформу «Работа в России». Независимо от выбора, по статье 22.3 ТК РФ сохранность электронных документов в сроки, установленные законодательством об архивном деле, обеспечивает сам работодатель. Вендор или платформа хранят файлы технически, а ответственность за то, что личное дело уволенного работника будет доступно через 50 лет, остаётся на компании.
Состав электронного кадрового документа с 1 марта 2023 года определяет приказ Минтруда России от 20.09.2022 № 578н: файл документа в формате PDF/A-1A, приложения при наличии, файлы электронной подписи, машиночитаемая доверенность, если документ подписан по ней, и описание в формате XML. Официальные разъяснения о порядке электронного взаимодействия работника и работодателя собраны на странице Минтруда об электронном кадровом документообороте.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Форматы кадровых электронных документов задаёт Минтруд, сроки и правила хранения — Росархив. В комплект входят сам документ, отдельный файл подписи и доверенность, если документ подписан по ней. Поэтому вендору я задаю конкретный вопрос: выгружает ли система комплект целиком в требуемом формате. При проверке, при споре или при смене оператора понадобятся файлы, а не изображение документа на экране.»
Полезно знать: машиночитаемая доверенность — обязательная часть кадрового документа, подписанного по доверенности, и хранится в его комплекте. Если кадровые документы подписывает уполномоченный работник, при его увольнении первой отзывают доверенность.
Организацию самого архива регулирует Росархив. Статья 13 125-ФЗ разрешает организации создать архив самостоятельно: в конце каждого календарного года подразделения формируют дела по утверждённой номенклатуре и передают их на хранение. Правила, утверждённые приказом Росархива от 31.07.2023 № 77, допускают хранение электронных архивных документов в системе хранения электронных документов (СХЭД) и/или на физически обособленных носителях, требуют сохранять метаданные, разграничивать доступ и передавать документы по защищённым каналам или на физических носителях. Какие функции должна поддерживать такая система, описывают типовые функциональные требования к СЭД и СХЭД, утверждённые приказом Росархива от 15 июня 2020 года.
ГОСТ Р 57762-2017 «Обеспечение долговременной сохранности электронных документов» относит к стратегии сохранности восемь элементов: читаемость, интерпретируемость, идентифицируемость, доступность, аутентичность, конвертацию, миграцию и безопасность. Для поиска и восстановления документов архиву нужны пять настроек: структура архива, правила индексирования, система поиска, контроль доступа и регулярная проверка целостности данных.
С 21 сентября по 15 декабря 2026 года идёт эксперимент, утверждённый приказом Минтруда России от 17.09.2026 № 423: электронные кадровые документы подписывают усиленной неквалифицированной электронной подписью через многофункциональный сервис обмена информацией. В Добыто электронный архив входит в тариф «Бизнес», а платформа работает по требованиям Федерального закона от 22.11.2021 № 377-ФЗ об электронном кадровом документообороте, статей 22.1-22.3 ТК РФ и 152-ФЗ.
Как сохранить проверяемость электронной подписи на весь срок хранения
Сертификат ключа подписи действует ограниченное время, а личное дело хранится 50 лет. Архивное хранение подписи строится в четыре шага: документ подписывают при действующем сертификате, к подписи добавляют метку времени, при смене криптоалгоритмов поверх старой подписи формируют усовершенствованную и после этого передают документ в архив с сохранением проверяемости. Поддержку метки времени и усовершенствованного формата подписи уточняют у вендора отдельно от формата выгрузки.
Обязанности оператора: уведомление Роскомнадзора, запросы работников, утечки
Уведомление о намерении обрабатывать персональные данные подают в Роскомнадзор до начала обработки (статья 22 152-ФЗ). Исключение для обработки в рамках трудовых отношений утратило силу с 1 сентября 2022 года по Федеральному закону от 14.07.2022 № 266-ФЗ. Без уведомления работают, если данные обрабатываются исключительно без средств автоматизации или подпадают под другие оставшиеся исключения статьи 22; кадровый учёт в 1С или КЭДО под них не подходит. Форма уведомления заполняется на портале персональных данных Роскомнадзора.
Поданное уведомление поддерживают в актуальном виде: об изменении сведений сообщают не позднее 15-го числа месяца, следующего за месяцем изменений, о прекращении обработки — в течение 10 рабочих дней с даты прекращения (часть 7 статьи 22). Переход с бумажных личных дел на КЭДО, смена вендора или новый подрядчик с доступом к данным могут изменить сведения уведомления, например о месте нахождения базы данных.
Работник по статье 89 ТК РФ вправе бесплатно получить полную информацию о своих данных и их обработке, ознакомиться с ними и получить копии записей. На запрос отвечают в течение 10 рабочих дней, срок продлевается не более чем на 5 рабочих дней с мотивированным уведомлением (статьи 14 и 20 152-ФЗ).
При утечке у оператора два срока по части 3.1 статьи 21 152-ФЗ. За 24 часа Роскомнадзору сообщают об инциденте, предполагаемых причинах и вреде, принятых мерах и контактном лице. За 72 часа — о результатах внутреннего расследования и, если они установлены, о лицах, чьи действия вызвали инцидент.
Как организовать хранение персональных данных работников: пошаговая инструкция
- Шаг 1. Составьте перечень персональных данных: какие сведения собираются в анкете, личной карточке и личном деле, где они хранятся (бумага, 1С, КЭДО) и кому передаются. Удалите поля, которые статья 86 ТК РФ запрещает получать.
- Шаг 2. Разделите основания: обработка для исполнения трудового договора и обязанностей по закону и обработка, для которой нужно согласие. Согласия оформите отдельными документами с конкретными целями и сроком.
- Шаг 3. Утвердите ЛНА о порядке обработки и защиты персональных данных, определите в нём состав личного дела и ознакомьте работников под подпись.
- Шаг 4. Подайте уведомление в Роскомнадзор до начала автоматизированной обработки; об изменениях сообщайте не позднее 15-го числа следующего месяца.
- Шаг 5. Убедитесь, что базы данных размещены в России, и получите от вендора список всех лиц с доступом к кадровым документам.
- Шаг 6. Настройте в КЭДО и 1С разграничение доступа по ролям и журнал регистрации событий.
- Шаг 7. Утвердите номенклатуру дел со сроками по Перечню № 236 и проверьте, что система выгружает комплект документа по приказу № 578н.
- Шаг 8. Раз в год отбирайте документы и данные с истёкшим сроком и уничтожайте их с актом, а при автоматизированной обработке — с выгрузкой из журнала событий по приказу № 179.
Штрафы по статье 13.11 КоАП за нарушения при обработке данных работников
Штрафы по статье 13.11 КоАП РФ выросли по Федеральному закону от 30.11.2024 № 420-ФЗ, основные изменения действуют с 30 мая 2025 года. Суммы для юридических лиц по составам, которые встречаются в кадровой работе:
| Нарушение | Часть ст. 13.11 КоАП | Штраф для юрлица |
|---|---|---|
| Обработка без законного основания или несовместимая с целями сбора | ч. 1 | 150 000-300 000 руб. |
| Обработка без письменного согласия, когда оно обязательно | ч. 2 | 300 000-700 000 руб. |
| Неуведомление Роскомнадзора о намерении обрабатывать данные | ч. 10 | 100 000-300 000 руб. |
| Утечка данных 1 000-10 000 субъектов и/или 10 000-100 000 идентификаторов | ч. 12 | 3-5 млн руб. |
| Утечка данных 10 000-100 000 субъектов и/или 100 000-1 млн идентификаторов | ч. 13 | 5-10 млн руб. |
| Утечка данных более 100 000 субъектов и/или более 1 млн идентификаторов | ч. 14 | 10-15 млн руб. |
| Повторная утечка | ч. 15-16 | 1-3% выручки, не менее 20 млн и не более 500 млн руб. |
Штраф за утечку зависит от числа затронутых людей и идентификаторов, поэтому для компании с несколькими тысячами работников даже первая утечка кадрового массива попадает в диапазон от 3 млн рублей. Прямые риски кадровой службы связаны с частями 1, 2 и 10: согласие, включённое в текст трудового договора после 1 сентября 2025 года, при обработке, для которой согласие обязательно, оставляет компанию без отдельного письменного согласия — это 300 000-700 000 рублей, а неподанное уведомление — 100 000-300 000 рублей.
Когда электронный архив и КЭДО не закрывают задачу хранения
Электронный архив хранит документы, но не исправляет ошибки в их оформлении и не охватывает всех, с кем работает компания. Ограничения, которые стоит проверить до перевода архива в электронный вид:
- Исполнители по ГПХ и самозанятые. Статьи 22.1-22.3 ТК РФ к ним не применяются: договоры с ними подписываются по гражданскому законодательству, а персональные данные обрабатываются по 152-ФЗ без специальных правил главы 14 ТК РФ.
- Работники, не давшие согласия на КЭДО. Статья 22.2 ТК РФ позволяет работнику отказаться от электронного взаимодействия; это право не распространяется на принятых после 31 декабря 2021 года, у которых на эту дату не было трудового стажа. По отказавшимся бумажные личные дела и бумажный архив ведутся параллельно.
- Документы на ПЭП или УНЭП без соглашения. Равнозначность собственноручной подписи для них возникает только при соглашении между участниками обмена; трудовой договор со стороны работодателя неквалифицированной подписью не подписывается.
- Обработка только на бумаге. Компания без средств автоматизации не подаёт уведомление в Роскомнадзор; переход на КЭДО это исключение снимает, и уведомление подаётся до начала электронной обработки.
Мария Ж, судебный эксперт по трудовому праву: «Различие между видами подписи касается основания равнозначности. Квалифицированная подпись равнозначна собственноручной в силу закона, для простой и неквалифицированной нужно соглашение между участниками обмена, и в спорах документы чаще всего оспаривают именно здесь. Выбирая простую подпись для заявлений, вы берёте на себя обязанность иметь соглашение и локальный акт с правилами определения лица по его подписи.»
В Добыто ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, УКЭП можно получить через партнёров — удостоверяющие центры.
Стоимость КЭДО с электронным архивом кадровых документов
Цена зависит от численности сотрудников, нужных видов подписи и того, входят ли в тариф электронный архив и интеграция с 1С.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив, приоритетная поддержка | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ | в год |
| Тариф «Корпорация»: всё из «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| Модуль интеграции с 1С:ЗУП | в составе тарифа «Бизнес» | установка и настройка за 1 день |
Электронный архив и интеграция с 1С:ЗУП входят в тариф «Бизнес», документы между системами синхронизируются автоматически. Состав тарифов и условия перехода между ними опубликованы на странице тарифов Добыто КЭДО; при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Срок жизни данных работника задают сразу два правила: 152-ФЗ ограничивает хранение целью обработки, а 125-ФЗ и Перечень Росархива № 236 устанавливают 50 или 75 лет для документов по личному составу, 3 года после отзыва для согласий и 1 год для документов непринятых кандидатов. Электронный архив подчиняется тем же срокам, что и бумажный, и добавляет собственные условия: серверы в России, комплект файлов по приказу № 578н, роли доступа, журнал событий для подтверждения уничтожения и уведомление Роскомнадзора до начала обработки.
Добыто ведёт кадровые документы работодателя в электронном архиве по требованиям статей 22.1-22.3 ТК РФ и 152-ФЗ, а подписи сотрудников выпускаются в рамках тарифа, поэтому подписание и хранение идут в одной системе.
Частые вопросы
Можно ли включить персональные данные работников в режим коммерческой тайны?
Режим коммерческой тайны по Федеральному закону от 29.07.2004 № 98-ФЗ «О коммерческой тайне» вводит сам обладатель информации, утверждая перечень сведений локальным актом. Конфиденциальность персональных данных обязательна в силу статьи 7 152-ФЗ независимо от такого режима, и включение кадровых данных в перечень коммерческой тайны не снимает обязанностей оператора: согласий, уведомления Роскомнадзора, сроков хранения и уничтожения. Статья 5 98-ФЗ при этом запрещает относить к коммерческой тайне сведения о численности и составе работников, системе оплаты труда, условиях труда и наличии свободных рабочих мест.
Работник отозвал согласие: нужно ли уничтожать его личное дело?
Нет, если документы хранятся на ином законном основании. Часть 5 статьи 21 152-ФЗ требует уничтожить данные в течение 30 дней после отзыва, только когда сохранять их больше не нужно и других оснований нет. Трудовой договор, личная карточка и личное дело хранятся 50/75 лет по архивному законодательству, а сам отозванный документ о согласии — ещё 3 года после отзыва по статье 441 Перечня № 236. Уничтожению подлежат данные, которые обрабатывались только на основании согласия.
Можно ли оставить резюме кандидата, которому отказали, для будущих вакансий?
Перечень № 236 устанавливает для документов лиц, не принятых на работу, срок хранения 1 год (статья 438). Использовать резюме для подбора на другие вакансии — отдельная цель обработки, а статья 5 152-ФЗ требует, чтобы данные обрабатывались в пределах заявленных целей. Для такой цели берут согласие кандидата с указанием цели и срока хранения, без него данные после достижения исходной цели уничтожают в течение 30 дней по части 4 статьи 21.
Что происходит с кадровым архивом при ликвидации компании?
При ликвидации негосударственной организации документы по личному составу передаются в государственный или муниципальный архив; передачу организуют ликвидационная комиссия, ликвидатор или конкурсный управляющий (часть 10 статьи 23 125-ФЗ). До этого момента сохранность электронных документов по статье 22.3 ТК РФ обеспечивает работодатель, поэтому в договоре с вендором КЭДО заранее фиксируют, в каком виде и в какой срок отдаётся архив.
Нужно ли знакомить работников с положением об обработке персональных данных?
Да. Пункт 8 части 1 статьи 86 ТК РФ требует знакомить работников и их представителей под роспись с документами работодателя, которые устанавливают порядок обработки персональных данных, а также с их правами в этой области. Утверждённое положение об обработке персональных данных хранится постоянно по месту утверждения (статья 440 Перечня № 236), листы ознакомления хранятся вместе с ним или в личных делах по номенклатуре.
Нужно ли новое согласие работников при смене вендора КЭДО?
Если новый вендор, владелец его серверов или удостоверяющий центр получают доступ к кадровым документам, они становятся третьими лицами по статье 88 ТК РФ, и передача им данных требует письменного согласия работника. Согласие, где назван прежний провайдер, такую передачу не охватывает. Одновременно проверяют, изменились ли сведения в уведомлении Роскомнадзора, и сообщают об изменениях не позднее 15-го числа следующего месяца.
