Изменения в правилах обработки персональных данных требуют перенастроить кадровые процессы: с 1 сентября 2025 года согласие оформляют отдельно от других подписываемых документов, с 1 июля 2025 года действуют уточненные требования к российским базам при сборе данных граждан РФ. На 3 октября 2026 года работодателю нужно проверить основания обработки, формы согласий, подрядчиков, доступы и уведомления Роскомнадзора. Обязательный кадровый учет можно вести на предусмотренном законом основании; кадровый резерв и передача внешнему сервису требуют отдельной оценки. При установленном инциденте, нарушающем права людей, первичное уведомление направляют в течение 24 часов, результаты расследования — в течение 72 часов.
Рабочий результат такой проверки — матрица целей и оснований, обновленные документы и настройки систем, которые соответствуют фактическому движению данных. Она помогает отделить обязательный учет от дополнительных проверок кандидата и публикаций о работниках. Во второй половине материала — порядок проверки облачных сервисов, сроки уведомлений и удаления, стоимость КЭДО и контрольные вопросы перед запуском обновленного процесса.
Какие изменения уже нужно учитывать в кадровых процессах
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» регулирует обработку сведений о кандидатах и работниках вместе с главой 14 Трудового кодекса РФ. Поправки меняют разные участки процесса: обновленная форма согласия сама по себе не исправляет передачу в иностранную базу или отсутствие уведомления.
Календарь помогает сопоставить дату изменения с конкретной настройкой кадрового процесса.
| Дата и основание | Что проверить в кадрах |
|---|---|
| 11.12.2024, Закон от 30.11.2024 № 421-ФЗ | Источники компьютерных данных при проверках: статья 272.1 УК РФ касается незаконных действий с информацией, полученной незаконным путем. |
| 30.05.2025, Закон от 30.11.2024 № 420-ФЗ | Уведомление о начале обработки и сообщение об инциденте: ответственность по статье 13.11 КоАП РФ разделена по составам. |
| 01.07.2025, Закон от 28.02.2025 № 23-ФЗ | Операции при сборе данных граждан РФ и фактическое расположение используемых баз. |
| 01.09.2025, Закон от 24.06.2025 № 156-ФЗ | Отдельное оформление согласия по части 1 статьи 9 152-ФЗ. |
| 26.07.2026, Закон от 26.07.2026 № 265-ФЗ | Действующие критерии оценки иностранного государства по статье 12 152-ФЗ при трансграничной передаче. |
Для зарубежной HR-системы проверка должна учитывать действующую редакцию статьи 12. Отложенные до 1 сентября 2027 года положения статьи 2 Закона № 265-ФЗ об информационных системах Москвы не устанавливают общую новую обязанность кадровых служб.
Один владелец процесса должен связать изменения между собой. Кадровая служба определяет документы и цели, юрист проверяет основания и договоры, ИТ-служба подтверждает расположение баз и настройки доступа. Итог проверки фиксируют по каждому процессу, включая действия, которые выполняет подрядчик.
На каком основании обрабатывать данные работника и кандидата
Работодатель, который определяет цели и состав кадровой обработки, выступает оператором персональных данных. Согласие — одно из оснований статьи 6 152-ФЗ. Оно не требуется для каждой операции, необходимой для исполнения обязанностей, возложенных законом.
Матрица позволяет выбрать основание для конкретной цели, не распространяя одно согласие на весь кадровый цикл.
| Сценарий | Основание и граница | Что зафиксировать |
|---|---|---|
| Обязательный кадровый учет и отчетность | Исполнение установленной законом обязанности; только необходимые для нее данные. | Норму, состав сведений и получателя отчетности. |
| Добровольный отклик на вакансию | Возможны действия до заключения договора по инициативе кандидата: пункт 5 части 1 статьи 6. | Инициативу кандидата и пределы подбора на эту вакансию. |
| Кадровый резерв сторонних кандидатов | Отдельная цель; согласие на включение в резерв. | Условия резерва, срок хранения и порядок исключения. |
| Передача кадровому подрядчику | Поручение по статье 6; письменное согласие по статье 88 ТК РФ, если нет законного исключения. | Получателя, операции, договор и основание передачи. |
| Публикация данных для неопределенного круга лиц | Отдельное согласие на распространение по статье 10.1. | Публикуемые сведения, условия и ограничения. |
В рабочую матрицу добавляют перечень данных, операции, систему, страну размещения базы, доступные роли, срок хранения и способ завершения обработки. Для строки без подтвержденного основания сначала меняют процесс или устанавливают допустимое основание, затем запускают обработку.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как разделить подбор на вакансию и кадровый резерв
Отклик на одну вакансию не подтверждает согласия на бессрочное хранение резюме для будущих предложений. Если используется основание преддоговорных действий, сохраняют подтверждение инициативы кандидата и обрабатывают необходимые для подбора сведения. Разъяснение Роскомнадзора о соискателях отдельно предусматривает согласие на период решения о найме; выбранное основание нужно обосновать в кадровом регламенте.
После отказа ориентир разъяснения Роскомнадзора — уничтожение сведений в течение 30 дней. Это не универсальный специальный срок для любого кандидата, прямо записанный в 152-ФЗ: сохраняются случаи другого законного основания и специальные правила. Перевод в резерв оформляют отдельно, с понятными условиями хранения и выхода из него.
Как пересмотреть проверки и запросы рекомендаций
Запрос отзыва у прежнего работодателя предполагает получение сведений от третьего лица. Разъяснение Роскомнадзора связывает такой запрос с согласием кандидата. Подбор по добровольному отклику и сбор рекомендаций нужно разделить в анкете, регламенте и основании обработки.
Бланк на обработку персональных данных проверяют по реальному составу проверки. Если компания получает рекомендации или передает сведения внешнему исполнителю, общая фраза о подборе персонала не объясняет человеку этот маршрут. При проверке источника сведений исключают незаконно полученные базы: статья 272.1 УК РФ не означает автоматической уголовной ответственности за любую кадровую ошибку, но требует оценки источника и обстоятельств работы с информацией.
Как обновить согласия и кадровые документы
После 1 сентября 2025 года новое согласие на обработку персональных данных оформляют отдельно от трудового договора, анкеты и заявления. Самостоятельный документ должен позволять установить, на что именно человек согласился. Ознакомление с положением об обработке данных не подтверждает согласия на дополнительную цель.
Общей обязанности заново подписать все ранее выданные согласия закон не установил. При аудите проверяют, остается ли прежняя цель, соответствует ли фактическая обработка условиям согласия и как оно оформлено. Если действующее основание не подтверждено или новая обработка выходит за согласованные пределы, процесс меняют и при необходимости получают отдельное согласие.
Когда требуется письменная форма, содержание проверяют по части 4 статьи 9 152-ФЗ. Закон предусматривает следующий состав сведений:
- Фамилия, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, дата выдачи и выдавший орган.
- Сведения о представителе, если согласие дает представитель, и документе, подтверждающем полномочия.
- Наименование или фамилия, имя, отчество и адрес оператора, получающего согласие.
- Цель обработки персональных данных.
- Перечень персональных данных, на обработку которых дается согласие.
- Наименование или фамилия, имя, отчество и адрес лица, обрабатывающего данные по поручению оператора, если обработка поручается.
- Перечень действий с данными и общее описание используемых способов обработки.
- Срок действия согласия и способ его отзыва, если иное не установлено федеральным законом.
- Подпись субъекта персональных данных.
Этот перечень относится к обязательному письменному согласию. Он не создает требования собирать паспортные реквизиты у каждого человека для любой обработки. Для каждой формы сначала определяют основание, цель и требуемую законом форму подтверждения.
Подготовьте отдельный проект согласия под свою цель
Конструктор Добыто формирует проект согласия в формате .docx с целью, сроком и условием отзыва. Перед использованием проекта проверяют фактических получателей и данные; автоматически подготовленный текст не подтверждает законность выбранной обработки.
Шаблоны согласий и документов для проверки кандидата
Комплект помогает сверить оформление подбора; первым проверяют согласие на обработку персональных данных, затем связанные с ним проверки и запросы.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных: образец для адаптации | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Положение о проверке кандидатов СБ | Скачать |
| Запрос отзыва прошлому работодателю | Скачать |
Шаблон не является готовым заключением о законности проверки. Из образца исключают операции, которые компания не выполняет, а недостающие условия определяют по своей матрице целей и оснований. Отдельно проверяют согласованность положения о проверке с реальным доступом сотрудников службы безопасности.
Как отделить электронное согласие от подписания кадрового документа
Общее согласие можно оформить электронно, если оператор способен подтвердить его получение и отдельность оформления. Когда федеральный закон требует письменного согласия, равнозначный электронный документ подписывают электронной подписью в установленном законом порядке. Чекбокс в интерфейсе сам по себе не подтверждает соблюдения требований к письменному согласию.
Мария Ж, юрист со стажем более 20 лет: «В кадровом документообороте требования к подписи работодателя и работника различаются. Один документ может быть подписан сторонами разными видами подписи. Перед настройкой маршрута проверьте допустимый вид подписи для каждой стороны и конкретного документа.»
В интерфейсе Добыто.Подпись показаны выбор файла и электронной подписи, а также подтверждение согласия. При настройке кадрового процесса отдельно проверяют, какой текст согласия предъявлен человеку и каким действием он подтвержден. Изображение интерфейса не заменяет эту проверку.
Как перенастроить обработку персональных данных: пошаговая инструкция
- Шаг 1. Соберите фактические маршруты. Для кандидатов, работников и бывших работников зафиксируйте цели, перечни сведений, операции, системы и получателей. Проверьте кадровые папки и сервисы, а также передачи подрядчикам. В перечне должны остаться реально выполняемые операции.
- Шаг 2. Определите основания и сроки. Для каждой цели укажите применимую норму или условия согласия. Разделите обязательную отчетность, подбор, резерв и публикацию. Установите, какие данные остаются на законном хранении, а какие должны быть уничтожены после завершения цели.
- Шаг 3. Согласуйте документы. Обновите положение об обработке данных, политику, перечень допущенных лиц, договоры с обработчиками и необходимые согласия. Сопоставьте их с уведомлением Роскомнадзора. Условия документа должны описывать тот же процесс, который настроен в системе.
- Шаг 4. Измените настройки. Проверьте расположение баз, роли и журналы доступа, маршруты передачи, сроки хранения и механизм уничтожения. Выдайте доступ только к сведениям, необходимым для функции сотрудника. Отдельно проверьте возможности выгрузки архива и исполнения требований субъекта.
- Шаг 5. Подтвердите результат. Проверьте получение и хранение отдельного согласия, работу ограничений доступа, обработку отказа кандидату и отзыва согласия. Зафиксируйте ответственных за обращения и инциденты. Сохраните подтверждения настройки и исполнения, а не только утвержденные формы.
Что проверить в КЭДО, облачных сервисах и договорах подрядчиков
Договор с кадровым подрядчиком сам по себе не разрешает передачу ему сведений работника. Статья 88 ТК РФ требует письменного согласия, кроме предусмотренных законом исключений. Обязательная отчетность уполномоченному органу и передача аутсорсеру имеют разные основания; условия отчетности не распространяются автоматически на внешнюю кадровую службу.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Для обработки по поручению применяют часть 3 статьи 6 152-ФЗ. В договоре определяют данные, операции и цели, конфиденциальность, требования безопасности и обязанность исполнителя сообщать оператору об инциденте. Перед субъектом за действия такого обработчика отвечает оператор. Поэтому работодателю нужны проверяемые условия работы, включая доступы и прекращение обработки.
Мария Ж, соучредитель сервиса КЭДО Добыто: «При выборе сервиса я советую запросить полный список лиц, которые получат доступ к кадровым данным. В цепочке могут участвовать провайдер, владелец инфраструктуры и удостоверяющий центр. Получите этот перечень до подключения и сопоставьте его с условиями передачи данных.»
Важный нюанс из практики: При массовой регистрации работников через интеграцию данные передает работодатель. Когда человек регистрируется в сервисе самостоятельно, маршрут предоставления сведений может отличаться. В регламенте нужно установить, кто и какие данные фактически передает, а затем определить роли участников и основания каждого действия.
Электронный архив и интеграция с 1С входят в тариф «Бизнес» сервиса Добыто. При использовании таких функций проверяют состав передаваемых сведений и права участников. Наличие функции архива не подтверждает соблюдение всех требований 152-ФЗ в настройках конкретного работодателя.
Факт: На внутреннем сервере кадровые документы также можно хранить в зашифрованном виде, предоставляя доступ обладателям ключа к документу. Такой вариант требует проверки реального разграничения доступа.
Когда российской основной базы недостаточно
С 1 июля 2025 года при сборе данных граждан РФ запрещено выполнять запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз за пределами РФ, кроме установленных законом исключений. Подтверждение расположения основного сервера не отвечает на вопрос, где проходят остальные операции.
Для зарубежного облачного HR-сервиса проверяют резервные копии, фактические операции и удаленный доступ. Само наличие зарубежного доступа требует анализа передачи и маршрута; оно не позволяет автоматически считать всю обработку разрешенной или запрещенной. По статье 12 трансграничную передачу оценивают отдельно и до ее начала направляют самостоятельное уведомление Роскомнадзору. Уведомление оператора по статье 22 его не заменяет.
Если поставщик не раскрывает расположение баз и участников обработки, подтвердить применимость сервиса к выбранному процессу нельзя. Такой вариант нельзя запускать с кадровыми данными до устранения неопределенности. Для иностранного получателя дополнительно проверяют действующие критерии адекватной защиты и ограничения передачи, включая поправки 2026 года.
Как обновить уведомление Роскомнадзора и порядок действий при инциденте
Уведомление о намерении обрабатывать данные направляют до начала обработки по статье 22 152-ФЗ, если не применяется законное исключение. Компания проверяет наличие записи и соответствие заявленных сведений фактическим кадровым процессам. Добавление новой цели или смена системы требует оценки необходимости обновления уведомления в установленном порядке.
Для подготовки сведений об операторе используется официальная форма уведомления Роскомнадзора. Она помогает проверить состав информации до подачи; заполнение формы не подменяет установления оснований обработки и мер защиты.
Инструкция на инцидент должна определять, кто получает сообщение от кадровой службы, устанавливает обстоятельства, взаимодействует с подрядчиком и подает уведомления. При неправомерной или случайной передаче либо доступе, повлекших нарушение прав субъектов, часть 3.1 статьи 21 требует первичного уведомления в течение 24 часов и сообщения о результатах внутреннего расследования в течение 72 часов. Оба срока отсчитываются от установления факта инцидента; ожидание завершения расследования не переносит начало отсчета.
Как оценить стоимость нарушения уведомительных обязанностей
Для коммерческого юридического лица неподача или просрочка уведомления о намерении обрабатывать данные означает штраф от 100 000 до 300 000 рублей по части 10 статьи 13.11 КоАП РФ. Несообщение об инциденте, повлекшем нарушение прав субъектов, предусматривает от 1 000 000 до 3 000 000 рублей по части 11 той же статьи. Эти составы действуют с 30 мая 2025 года и оцениваются отдельно от ответственности за саму утечку.
Размер санкции зависит от состава нарушения и обстоятельств. В кадровом процессе ответственный за инциденты должен быть назначен заранее, а его взаимодействие с обработчиком — согласовано в договоре. Проверка завершается подтверждением, что сообщение из кадровой службы поступит уполномоченному лицу без ожидания планового согласования документов.
Как перенастроить доступ, хранение и уничтожение кадровых данных
Статья 88 ТК РФ ограничивает внутренний доступ специально уполномоченными лицами и сведениями, необходимыми для их функций. В положении об обработке данных и системе должны совпадать роли. Режим коммерческой тайны и обязательство о неразглашении не создают самостоятельного основания для обработки персональных данных.
Мария Ж, руководитель HR-отдела: «При выборе системы я проверяю, есть ли разграничение доступа по ролям и журнал обращений. Общий доступ кадровой службы ко всему массиву документов не соответствует ограничению доступа по функциям. Проверьте, какие документы реально видит каждый допущенный сотрудник.»
После увольнения отделяют активную обработку от обязательного хранения кадровых и архивных документов. Сроки конкретных документов проверяют по архивному законодательству и Перечню, утвержденному приказом Росархива от 20.12.2019 № 236. Единый срок удаления всего личного дела применять нельзя; для организации хранения и использования архивных документов действует специальное регулирование.
При достижении цели или отзыве согласия статья 21 152-ФЗ предусматривает прекращение обработки и уничтожение в срок до 30 дней, если нет основания для дальнейшего законного хранения. Требование субъекта прекратить обработку рассматривают в предусмотренном этой статьей порядке со сроком до 10 рабочих дней и законными исключениями. Регламент должен различать эти обращения, а также обязательное архивное хранение.
При автоматизированной обработке уничтожение подтверждают актом и выгрузкой из журнала регистрации событий по приказу Роскомнадзора от 28.10.2022 № 179. Подтверждающие документы хранят 3 года. Одного изменения статуса кандидата в системе для подтверждения уничтожения недостаточно.
Важный нюанс из практики: Для работы с кадровым электронным документом вне системы нужен выгружаемый комплект: документ, файл подписи и доверенность, если документ подписан по ней. Проверка выгрузки помогает установить, какие файлы работодатель получит для хранения и дальнейшего использования.
Лайфхак: До заключения договора с сервисом выясняют, что произойдет с архивом при расторжении и в каком виде будут возвращены документы. Этот вопрос проверяют отдельно от доступности документов на экране.
Перед завершением настройки проверяют, кому доступны документы после смены роли или увольнения, как обрабатываются обращения субъекта и чем подтверждается уничтожение. Ответы должны соответствовать фактическим возможностям системы и условиям договора с обработчиком.
Стоимость КЭДО при перенастройке кадровой обработки данных
Бюджет КЭДО зависит от численности и состава функций. Тарифы кадрового документооборота не устанавливают стоимость отдельного юридического аудита обработки персональных данных или всех необходимых изменений ИТ-инфраструктуры.
| Тариф или составляющая | Стоимость | Сроки |
|---|---|---|
| «Старт»: до 25 сотрудников | от 30 ₽ за сотрудника / мес | Не указаны |
| «Бизнес»: интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес | Не указаны |
| «Корпорация»: выделенный сервер, API и кастомные интеграции | По запросу | Не указаны |
| Выпуск ПЭП и УНЭП для сотрудников на всех тарифах | Бесплатно | Не указаны |
У тарифа «Бизнес» минимальная оплата — 50 сотрудников за 30 000 ₽ в год; условия и набор функций уточняют на странице тарифов КЭДО Добыто. ПЭП означает простую электронную подпись, УНЭП — усиленную неквалифицированную электронную подпись; доступность подписи в тарифе не определяет допустимость ее использования для конкретного документа.
Готовый модуль для 1С:ЗУП устанавливается и настраивается за один день. Этот срок не относится к полному аудиту персональных данных, обновлению согласий и договоров: общий срок такой перенастройки в тарифах не указан. Для планирования работ отдельно фиксируют объем организационных и технических изменений.
Выводы
Результат перенастройки — согласованность правового основания, кадровых документов и фактического движения данных. Для обязательного учета, дополнительных проверок, резерва и внешних передач устанавливают свои границы. Обновленный процесс должен позволять подтвердить получение согласия, ограничение доступа, исполнение обращений и своевременное сообщение об инциденте.
Добыто предоставляет КЭДО с электронными подписями и кадровыми шаблонами. Эти инструменты используются в процессе, который работодатель выстраивает с учетом своих целей обработки, состава данных и участников обмена.
Частые вопросы
Фотография сотрудника в личном деле считается биометрическими данными?
Фотография не становится биометрией автоматически. По статье 11 152-ФЗ оценивают, характеризуют ли сведения физиологические или биологические особенности и использует ли оператор их для установления личности. Для системы распознавания лиц и обычного хранения фотографии нужно отдельно установить назначение обработки и применимые требования.
Можно ли объявить сведения об оплате труда коммерческой тайной?
Пункт 5 статьи 5 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» исключает из этого режима сведения о численности, составе работников, системе оплаты труда, условиях труда и свободных вакансиях. При этом индивидуальные сведения о конкретном работнике могут оставаться персональными данными. Запрет устанавливать коммерческую тайну для системы оплаты не дает права свободно распространять персональные сведения.
Сведения о здоровье можно включить в обычное кадровое согласие?
Сведения о здоровье относятся к специальным категориям по статье 10 152-ФЗ. Для них проверяют специальные основания и исключения, предусмотренные этой статьей; наличие общего согласия само по себе не решает вопрос. Перечень сведений и доступ к ним должны соответствовать конкретной законной цели, без автоматического включения в общую кадровую анкету.
Положение о данных работников можно применять к самозанятым и исполнителям по ГПХ?
Глава 14 ТК РФ регулирует данные работников в трудовых отношениях. Для самозанятого или исполнителя по гражданско-правовому договору (ГПХ) основания обработки устанавливают по 152-ФЗ и соответствующему договору, без автоматического переноса трудовых правил. Удобство единой информационной системы не меняет статус участника отношений.
После настройки КЭДО можно перевести в него все кадровые документы?
Порядок статей 22.1-22.3 ТК РФ не распространяется на трудовые книжки, электронные сведения о трудовой деятельности, приказ об увольнении и документы об инструктажах по охране труда. Для дистанционного взаимодействия дополнительно учитывают специальные нормы о дистанционной работе. Согласие на обработку персональных данных и согласие на переход на КЭДО имеют разные предметы; одна форма не подтверждает оба волеизъявления.
Что делать, если уничтожить данные в установленный срок технически невозможно?
Статья 21 152-ФЗ предусматривает блокирование данных при невозможности своевременного уничтожения и их уничтожение не позднее 6 месяцев, если иной срок не установлен федеральным законом. Это не общий дополнительный срок хранения любых резюме. В процедуре нужно зафиксировать невозможность уничтожения, блокирование и последующее исполнение обязанности.
