152 ФЗ о персональных данных с мая 2025 по сентябрь 2026 года изменился в пяти точках, и все они касаются работодателя как оператора кадровых данных. С 30 мая 2025 года действуют штрафы по 420-ФЗ: от 100 000 до 300 000 рублей за неподачу уведомления в Роскомнадзор, от 3 до 20 млн рублей за утечку, а за повторную утечку — 1-3% годовой выручки. С 1 июля 2025 года данные граждан РФ при сборе нельзя записывать и хранить в зарубежных базах, с 1 сентября 2025 года согласие на обработку оформляется отдельным документом, а с 26 июля 2026 года 265-ФЗ изменил правила трансграничной передачи. Согласия, подписанные до 1 сентября 2025 года, переоформлять не требуется, а согласия новых работников и кандидатов собираются уже по новым правилам.
Ниже — хронология поправок с номерами законов, таблица штрафов по статье 13.11 КоАП РФ и порядок, в котором стоит перепроверить согласия, уведомление и хранение кадровых документов. Отдельно разбираем, какие обязанности появляются у компании при переходе на КЭДО в облаке и какие распространённые тезисы о «новых требованиях 2026 года» не подтверждаются. Сценарная таблица для разных схем кадрового учёта, образцы согласий, стоимость защищённого хранения и ответы на частые вопросы — во второй половине статьи.
Хронология изменений 152-ФЗ с мая 2025 по сентябрь 2026 года
Поправки вступали в силу поэтапно, и часть из них принята задолго до даты действия: 420-ФЗ подписан 30 ноября 2024 года, а штрафы по нему применяются с 30 мая 2025 года. Для кадровой службы значение имеет дата вступления в силу, поэтому таблица построена по ней.
| Дата вступления в силу | Акт | Что изменилось | Что проверить работодателю |
|---|---|---|---|
| 30 мая 2025 | Федеральный закон от 30.11.2024 № 420-ФЗ | Новые составы и размеры штрафов в статье 13.11 КоАП РФ: за неуведомление Роскомнадзора, за неуведомление об утечке, за утечку по числу субъектов, оборотный штраф за повторную утечку | Подано ли уведомление о намерении обрабатывать персональные данные, есть ли порядок реагирования на инцидент |
| 1 июля 2025 | Федеральный закон № 23-ФЗ | При сборе персональных данных граждан РФ, в том числе через интернет, запрещены запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз за пределами России, кроме случаев из закона | Где физически находятся базы: кадровая система, формы откликов, анкеты кандидатов |
| 1 сентября 2025 | Федеральный закон от 24.06.2025 № 156-ФЗ, изменение части 1 статьи 9 152-ФЗ | Согласие на обработку оформляется отдельно от иных сведений и документов, которые субъект подтверждает или подписывает | Нет ли согласия внутри трудового договора, анкеты, заявления о приёме |
| 1 сентября 2025 | Постановление Правительства РФ № 1154, статья 13.1 152-ФЗ | Требования, методы и правила обезличивания; обезличенные данные передаются в ГИС Минцифры только по требованию | Кто в компании примет требование и выполнит обезличивание по утверждённым методам |
| 26 июля 2026 | Федеральный закон № 265-ФЗ, изменение статьи 12 152-ФЗ | Роскомнадзор формирует перечень стран с адекватной защитой по соответствию их регулирования принципам Конвенции Совета Европы, а не по факту участия в Конвенции | Передаются ли кадровые данные за рубеж: материнской компании, зарубежному подрядчику, облачному сервису |
Три изменения из пяти работодатель чувствует сразу: отдельное согласие меняет пакет документов при приёме, локализация проверяется при выборе любой HR-системы, а штрафы по 420-ФЗ делают неподанное уведомление в Роскомнадзор ощутимым риском. Обезличивание и 265-ФЗ затрагивают в основном компании, которые получают требования Минцифры или передают данные за границу.
Отдельно о тезисах, которые встречаются в обзорах, но не подтверждаются. Новых требований к формату электронных кадровых документов с 1 марта 2026 года нет: состав документа по приказу Минтруда № 578н действует с 1 марта 2023 года. Поправок к обязанности назначить ответственного за организацию обработки персональных данных по статье 22.1 152-ФЗ за этот период тоже не принималось. Если консультант ссылается на «новые правила 2026 года» в этих частях, попросите номер акта и дату.
Согласие на обработку персональных данных: отдельный документ с 1 сентября 2025 года
Часть 1 статьи 9 152-ФЗ в редакции 156-ФЗ требует, чтобы согласие было оформлено отдельно от иных сведений и документов, которые субъект подтверждает или подписывает. Для кадровой практики это означает, что пункт «Работник согласен на обработку персональных данных» в тексте трудового договора, анкеты кандидата или заявления о приёме с 1 сентября 2025 года согласием в смысле закона не считается. Работник подписывает самостоятельный документ, где указаны цели, перечень данных, действия с ними, срок и порядок отзыва.
Новое правило распространяется на согласия, оформленные с 1 сентября 2025 года. Согласия, подписанные раньше в составе других документов, закон не обязывает пересобирать. Нюанс в том, что любое новое согласие — при изменении целей обработки, при передаче данных новому получателю, при переводе на КЭДО — собирается уже отдельным документом.
Согласие в форме электронного документа, подписанного электронной подписью, равнозначно письменному, поэтому переход на отдельный документ не требует бумажного оборота. Для ПЭП и УНЭП нужно соглашение между участниками электронного взаимодействия: без него равнозначности собственноручной подписи нет, и согласие, подписанное такой подписью, в споре не защитит работодателя.
Важный нюанс из практики: при выборе облачного решения для КЭДО у работодателя появляется ещё одна обязанность — собрать со всеми сотрудниками согласия на передачу их данных третьим лицам и объяснить людям, кому именно данные передаются. Кадровые документы уходят провайдеру облака, при стороннем удостоверяющем центре — ещё и тому, кто выпускает подписи, при аренде серверов — владельцу серверов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Когда согласие работника нужно, а когда обработка идёт по закону
Кадровые данные, которые работодатель обрабатывает во исполнение трудового договора и Трудового кодекса РФ, не всегда требуют согласия: основанием служит сам закон. Согласие становится обязательным там, где обработка выходит за эти рамки. Статья 88 ТК РФ запрещает сообщать персональные данные работника третьей стороне без его письменного согласия, кроме случаев, прямо установленных законом. Отсюда типовые ситуации, где без отдельного согласия не обойтись: передача данных провайдеру КЭДО и удостоверяющему центру, публикация сведений о работнике на сайте или в корпоративных материалах, проверка кандидата службой безопасности.
Публикация сведений о работниках — ситуация, в которой споры доходят до суда. 16 января 2026 года Одинцовский городской суд взыскал в пользу работницы 15 000 рублей компенсации морального вреда за то, что работодатель разместил на своём сайте её фотографию, ФИО и должность, не доказав наличие согласия или иного законного основания. Сумма невелика, но дело показывает распределение бремени доказывания: наличие согласия подтверждает оператор, а не работник. Для размещения сведений о сотрудниках в открытом доступе оформляется согласие на распространение по статье 10.1 152-ФЗ: это отдельный документ, не совпадающий с согласием на обработку.
Соберите согласие на обработку персональных данных по новым правилам
Конструктор согласия в Добыто формирует файл .docx с целями обработки, сроком действия и оговоркой об отзыве по 152-ФЗ. Документ получается самостоятельным, поэтому требование об отдельном оформлении выполняется без правки трудового договора или анкеты.
Согласие кандидата на проверку службой безопасности
Проверка соискателя — отдельная цель обработки, и под неё нужно своё согласие. Анкета кандидата, где в конце стоит строка о согласии на проверку, после 1 сентября 2025 года требованию части 1 статьи 9 152-ФЗ не отвечает: подпись под анкетой подтверждает сведения анкеты, а согласие должно быть оформлено отдельно. Проверка начинается только после того, как кандидат подписал согласие, затем служба безопасности сверяет подлинность документов и смотрит открытые базы: банк исполнительных производств ФССП, ЕФРСБ, реестр дисквалифицированных лиц.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Письменное согласие по 152-ФЗ — первый этап проверки, до сверки документов и открытых баз ФССП, ЕФРСБ и реестра дисквалифицированных лиц.
Образцы согласий и правил обработки персональных данных
Комплект закрывает оба кадровых сценария из этого раздела; начните с отдельного согласия на обработку персональных данных работника.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных (DOCX) | Скачать |
| Согласие кандидата на проверку службой безопасности (DOCX) | Скачать |
| Правила обработки персональных данных (PDF, редакция 2023 года — сверьте с поправками 2025-2026 годов) | Скачать |
Штрафы за нарушение 152-ФЗ после 420-ФЗ: суммы для компаний и ИП
До 30 мая 2025 года утечка персональных данных как самостоятельный состав в КоАП РФ не выделялась. 420-ФЗ перестроил статью 13.11 КоАП РФ: размер санкции теперь зависит от числа пострадавших субъектов, категории данных и повторности. Ниже — размеры для коммерческих организаций и ИП.
| Нарушение | Штраф для организаций и ИП |
|---|---|
| Неподача уведомления о намерении обрабатывать персональные данные (часть 10 статьи 13.11 КоАП РФ) | 100 000 — 300 000 руб. |
| Неуведомление Роскомнадзора об утечке | 1 — 3 млн руб. |
| Утечка данных не менее 1 000 физлиц или не менее 10 000 идентификаторов | 3 — 5 млн руб. |
| Утечка данных не менее 10 000 физлиц или не менее 100 000 идентификаторов | 5 — 10 млн руб. |
| Утечка данных более 100 000 физлиц или более 1 млн идентификаторов | 10 — 15 млн руб. |
| Утечка специальных категорий данных | 10 — 15 млн руб. |
| Утечка биометрических данных | 15 — 20 млн руб. |
| Повторная утечка любой категории | 1 — 3% годовой выручки, по общему правилу не менее 20 млн или 25 млн руб. и не более 500 млн руб. |
Порог в 1 000 человек для кадровой базы достижим и в компании средней численности, если в базе хранятся данные уволенных работников и кандидатов из архива откликов. Обязанность уведомить Роскомнадзор об инциденте от числа пострадавших не зависит, и штраф за неуведомление — от 1 млн рублей. Для повторной утечки КоАП РФ при наличии ряда условий допускает менее суровую санкцию, чем оборотный штраф.
Цена ошибки для небольшого работодателя обычно складывается не из штрафа за утечку, а из неподанного уведомления: 100 000 — 300 000 рублей за документ, который подаётся через портал Роскомнадзора. Сверьте, есть ли ваша компания в реестре операторов, до того, как это сделает инспектор.
Оператор персональных данных: уведомление Роскомнадзора, ответственный, разграничение доступа
Работодатель, который ведёт кадровый учёт, — оператор персональных данных. Статья 22 152-ФЗ обязывает подать в Роскомнадзор уведомление о намерении обрабатывать персональные данные до начала обработки, кроме случаев, прямо перечисленных в законе. Сама обязанность за прошедший год не менялась, изменилась цена её неисполнения: с 30 мая 2025 года неподача или просрочка уведомления наказывается по части 10 статьи 13.11 КоАП РФ штрафом до 300 000 рублей для организации.
Уведомление фиксирует состояние обработки на дату подачи. Если после перехода на КЭДО данные стали храниться у провайдера, появились новые цели или передача за рубеж, оператор сообщает Роскомнадзору об изменении сведений: реестр должен соответствовать фактической обработке. Обязанность назначить ответственного за организацию обработки персональных данных по статье 22.1 152-ФЗ действует в прежнем виде, поправок к ней в этот период не было.
Мария Ж, юрист со стажем более 20 лет: «Хранение персональных данных — вопрос, за который в компании отвечает конкретный человек и по которому приходят проверки. Поэтому при выборе кадровой системы специалисты по кадрам ставят место хранения данных выше интеграций: это риск, который они уже видели. Назначая ответственного, сразу дайте ему перечень систем, где лежат кадровые данные, и список лиц с доступом к каждой.»
Факт: доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение требования о разграничении доступа. Оно одинаково применяется к электронному архиву и к рабочей системе КЭДО.
Платформа Добыто заявлена как соответствующая требованиям 152-ФЗ, 377-ФЗ и статей 22.1-22.3 ТК РФ. Уведомление в Роскомнадзор, приказ о назначении ответственного и ЛНА об обработке персональных данных при этом остаются обязанностями работодателя как оператора: кадровая система их не подаёт и не утверждает за него.
Как привести обработку кадровых персональных данных в соответствие с поправками: пошаговая инструкция
- Шаг 1. Составьте перечень документов, в которых работники и кандидаты дают согласие: трудовой договор, анкета, заявление о приёме, форма отклика на сайте. Отметьте те, где согласие встроено в текст другого документа и оформлено после 1 сентября 2025 года.
- Шаг 2. Вынесите согласие в самостоятельный документ с целями, перечнем данных, действиями с ними, сроком и порядком отзыва. Для проверки кандидата службой безопасности и для публикации сведений на сайте оформите отдельные согласия под каждую цель.
- Шаг 3. Перечислите всех третьих лиц, получающих кадровые данные: провайдера КЭДО, владельца инфраструктуры, удостоверяющий центр, бухгалтерский аутсорсинг. Проверьте, что в согласии на передачу названы именно они.
- Шаг 4. Проверьте, где физически находятся базы, в которые данные записываются при сборе. Для баз за пределами России обработка при сборе запрещена с 1 июля 2025 года, кроме исключений из закона.
- Шаг 5. Сверьте сведения в реестре операторов Роскомнадзора с фактической обработкой. Если уведомления нет — подайте его, если сведения устарели — сообщите об изменениях.
- Шаг 6. Утвердите порядок действий при утечке: кто фиксирует инцидент, кто направляет уведомление в Роскомнадзор и в какие сроки. Назначьте ответственного, если приказа нет.
Локализация баз и трансграничная передача: 23-ФЗ и 265-ФЗ
С 1 июля 2025 года часть 5 статьи 18 152-ФЗ в редакции 23-ФЗ запрещает при сборе персональных данных граждан РФ, в том числе через интернет, запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз, находящихся за пределами России. Запрет привязан к моменту сбора: анкета кандидата, форма отклика, карточка работника должны сначала попадать в российскую базу. Для HR-службы это вопрос к каждому сервису, где работники или соискатели вводят свои данные, включая сервисы тестирования и опросов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Трансграничная передача — следующий этап, её регулирует статья 12 152-ФЗ. С 26 июля 2026 года 265-ФЗ изменил критерий, по которому Роскомнадзор формирует перечень стран с адекватной защитой прав субъектов: теперь оценивается соответствие регулирования и применяемых мер принципам Конвенции Совета Европы, а не сам факт участия страны в Конвенции. Компаниям, которые передают кадровые данные материнской организации или зарубежному подрядчику, стоит перепроверить статус страны получателя по актуальному перечню.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Ответ вендора «данные хранятся защищённо» ничего не говорит о локализации и третьих лицах. Задавайте прямой вопрос: где физически хранятся данные и кто именно получит к ним доступ, списком. Обычно в этом списке не одна компания, а три: провайдер, владелец инфраструктуры и удостоверяющий центр.»
Для компаний, которым нужен контроль над местом хранения, в тарифе «Корпорация» Добыто предусмотрен выделенный сервер. Это сокращает перечень получателей данных, но не отменяет согласий работников на передачу данных тем, кто остаётся в цепочке.
Обезличивание и ГИС Минцифры: когда оператор передаёт данные
С 1 сентября 2025 года действуют статья 13.1 152-ФЗ и постановление Правительства РФ № 1154, которое устанавливает требования, методы и правила обезличивания. Распространённое опасение, что оператор должен сам выгрузить весь массив в государственную информационную систему, не подтверждается: обезличивание и передача в ГИС Минцифры выполняются только после получения соответствующего требования.
Работодателю достаточно заранее определить, кто примет такое требование и какими методами из постановления № 1154 будут обезличены данные. Обезличивание по собственной методике, не сверенной с постановлением, оставляет оператору риск доказывать её соответствие требованиям.
КЭДО и персональные данные работников после поправок
Перевод кадровых документов в электронный вид меняет не состав персональных данных, а круг лиц, которые получают к ним доступ. В облачной КЭДО документы хранятся у провайдера, подписи выпускает удостоверяющий центр, серверы может сдавать в аренду третья компания. Каждый из них — третья сторона в смысле статьи 88 ТК РФ, и с 1 сентября 2025 года согласие работника на передачу данных им оформляется отдельным документом.
В Добыто электронные подписи ПЭП и УНЭП для сотрудников выпускаются на всех тарифах, а УКЭП — через партнёров, удостоверяющие центры. Для работников с УКЭП удостоверяющий центр-партнёр входит в перечень получателей данных, и это отражается в согласии на передачу.
Полезно знать: трудовой договор можно хранить в зашифрованном виде так, что доступ к нему есть только у сотрудника отдела кадров и самого работника, в том числе на внутреннем сервере компании.
Требования к составу электронного кадрового документа за прошедший год не менялись. Единые требования по приказу № 578н действуют с 1 марта 2023 года: основная часть в PDF/A-1A, описание в XML, приложения, а при подписании усиленной подписью — файлы подписей и машиночитаемая доверенность, если документ подписан по ней. Официальное разъяснение о составе электронных кадровых документов на сайте Минтруда пригодится, чтобы сверить выгрузку вашей системы с требованиями.
Мария Ж, специалист по цифровой подписи и КЭДО: «Спрашивайте у вендора не о том, хранит ли система документы, а о том, выгружает ли она комплект целиком в требуемом формате: сам документ, отдельный файл подписи и доверенность, если подписано по ней. При проверке, при споре или при смене оператора понадобятся файлы, а не изображение на экране. Проверьте выгрузку на одном документе до того, как переводить на систему всю компанию.»
Важный нюанс из практики: до подписания договора с провайдером КЭДО уточните, что происходит с архивом при расторжении договора и в каком виде отдаются документы, есть ли разграничение доступа по ролям и журнал обращений. Эти ответы определяют, сможет ли компания подтвердить законность обработки через несколько лет после смены системы.
Когда облачная КЭДО не подходит без дополнительных мер
Облачное решение не подходит работодателю, который не готов собрать с каждого работника отдельное согласие на передачу данных провайдеру и удостоверяющему центру: без такого согласия документы этого работника передавать третьей стороне нельзя. Второй случай — сбор данных кандидатов и работников через сервис, база которого находится за пределами России: с 1 июля 2025 года такая схема при сборе запрещена. В обоих случаях варианты — другой провайдер, выделенный сервер или ведение документов части работников вне облака.
Что проверить работодателю в зависимости от схемы кадрового учёта
Набор поправок один, но критичные пункты у компаний с бумажным учётом, облачной КЭДО и зарубежной материнской компанией разные.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Бумажный кадровый учёт | Отдельное согласие для принятых с 1 сентября 2025 года, уведомление в Роскомнадзор | 265-ФЗ, если данные за рубеж не передаются |
| Облачная КЭДО | Согласия на передачу провайдеру, владельцу инфраструктуры и удостоверяющему центру; место хранения баз; актуальность уведомления | Формат документов, если выгрузка уже проверена |
| КЭДО на своём или выделенном сервере | Разграничение доступа по ролям, журнал обращений | Перечень третьих лиц короче, но не пуст, если подписи выпускает внешний удостоверяющий центр |
| Отклики и анкеты кандидатов через онлайн-формы | Локализация базы при сборе с 1 июля 2025 года, отдельное согласие кандидата | Обезличивание до получения требования |
| Фото и должности сотрудников на сайте компании | Согласие на распространение по статье 10.1 152-ФЗ | Штрафы за утечку |
| Передача кадровых данных материнской компании за рубежом | Статус страны по перечню Роскомнадзора после 265-ФЗ, сведения о трансграничной передаче в уведомлении | Формат электронных документов |
Общий пункт для всех строк — отдельное согласие для всех, кто подписывает его с 1 сентября 2025 года. Остальное зависит от того, куда уходят данные после сбора.
Стоимость КЭДО Добыто для работы с кадровыми персональными данными
Цена зависит от численности работников, нужных видов подписи и требований к месту хранения данных.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | помесячно |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | в год |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входят в тариф |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль для 1С:ЗУП с автоматической синхронизацией документов | в составе тарифа «Бизнес» | установка и настройка за один день |
Итог складывается из числа сотрудников и того, нужен ли выделенный сервер: он сокращает круг третьих лиц, которым передаются кадровые данные. Актуальные условия и переход между тарифами описаны на странице тарифов КЭДО Добыто; при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Выводы
За прошедший год 152-ФЗ изменил для работодателя три практические вещи: как оформляется согласие, где можно хранить данные при сборе и во что обходится неподанное уведомление или утечка. Поправки об обезличивании и о трансграничной передаче касаются меньшего круга компаний, но требуют назначенного исполнителя заранее. Самые частые разрывы возникают там, где данные работников уходят третьим лицам без отдельного согласия.
Добыто ведёт кадровый электронный документооборот с учётом этих требований: согласия подписываются отдельными документами, подписи для сотрудников выпускаются в рамках тарифа, а для компаний с повышенными требованиями к месту хранения доступен выделенный сервер.
Частые вопросы об изменениях закона о персональных данных
Можно ли закрыть кадровые сведения режимом коммерческой тайны вместо мер по 152-ФЗ?
Нет. Статья 5 Федерального закона № 98-ФЗ «О коммерческой тайне» запрещает устанавливать режим коммерческой тайны для сведений о численности и составе работников, системе оплаты и условиях труда, производственном травматизме и свободных рабочих местах. Персональные данные конкретного работника защищаются по 152-ФЗ как самостоятельный режим, и положение о коммерческой тайне не заменяет согласия, уведомления Роскомнадзора и мер защиты.
Грозит ли уголовная ответственность за незаконную выгрузку базы с персональными данными?
Да. Статья 272.1 УК РФ, введённая 421-ФЗ и действующая с 11 декабря 2024 года, наказывает незаконный оборот компьютерной информации с персональными данными, полученной незаконным путём: штраф до 300 000 рублей или лишение свободы до 4 лет. Если речь о специальных категориях данных или биометрии — штраф до 700 000 рублей или до 5 лет лишения свободы. Ответственность несёт физическое лицо, в том числе работник, который вынес базу.
В какие сроки уведомлять Роскомнадзор об утечке кадровых данных?
Часть 3.1 статьи 21 152-ФЗ требует направить первичное уведомление в течение 24 часов с момента выявления инцидента и сообщить результаты внутреннего расследования в течение 72 часов. Пропуск этих сроков с 30 мая 2025 года наказывается штрафом от 1 до 3 млн рублей для организации, независимо от числа пострадавших.
Равнозначно ли письменному согласие, подписанное в КЭДО простой электронной подписью?
Согласие в форме электронного документа, подписанного электронной подписью, равнозначно согласию на бумаге с собственноручной подписью. Для ПЭП и УНЭП равнозначность возникает только при соглашении между участниками электронного взаимодействия и ЛНА с правилами определения лица по его подписи. УКЭП равнозначна собственноручной подписи в силу закона и такого соглашения не требует.
Нужно ли новое согласие при смене провайдера КЭДО или удостоверяющего центра?
Да, если в действующем согласии на передачу данных третьим лицам названы прежние получатели. Новый провайдер или удостоверяющий центр — новая третья сторона по статье 88 ТК РФ, и согласие на передачу ему после 1 сентября 2025 года оформляется отдельным документом. Одновременно проверьте, не нужно ли сообщить Роскомнадзору об изменении сведений в уведомлении, например о месте нахождения баз.
Распространяются ли новые требования к согласию на исполнителей по ГПХ и самозанятых?
Требование об отдельном оформлении согласия из части 1 статьи 9 152-ФЗ действует для любого субъекта персональных данных, включая исполнителей по договору ГПХ. Статья 88 ТК РФ к ним не применяется: основанием обработки данных исполнителя обычно служит сам договор, стороной которого он является, а согласие нужно для целей, выходящих за исполнение договора, например для публикации сведений о нём.
