Локальные акты в отношении обработки персональных данных сводятся для обычного работодателя к конечному списку: политика обработки, положение об обработке и защите данных работников, правила обработки без использования средств автоматизации, приказ об утверждении этих документов, приказ о назначении ответственного за организацию обработки, перечень допущенных к данным лиц, перечень мест хранения носителей, порядок реагирования на запросы субъектов и зафиксированные результаты оценки вреда. Обязанность издать их идет из пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ, а обязанность описать порядок хранения и использования данных работников — из статьи 87 ТК РФ. Публичен из всего комплекта один документ — политика: остальные внутренние, их смотрят при проверке, а не на сайте.
Разберем каждый документ по отдельности: что в нем должно быть, кто утверждает, чем подтверждается ознакомление. Покажем, какие пункты в приказах пропускают чаще всего и почему комплект, скачанный шаблоном, не закрывает проверку. Отдельно — согласия: с 1 сентября 2025 года их нельзя вшивать в трудовой договор или анкету. Размеры штрафов по статье 13.11 КоАП на 2026 год, сценарная таблица по типу компании, порядок утверждения комплекта за семь шагов и стоимость электронного ознакомления с актами — во второй половине статьи.
Обязательный минимум и то, что компания заводит по своему решению
Закон не дает готового списка названий. Пункт 2 части 1 статьи 18.1 152-ФЗ требует издать документы, определяющие политику оператора в отношении обработки персональных данных, локальные акты по вопросам обработки и локальные акты, устанавливающие процедуры предотвращения и выявления нарушений. Как назвать эти документы и сколько их будет — решает оператор. Отсюда и разброс на практике: в одной компании это три документа, в другой двадцать, и оба варианта законны.
Разница между обязательным и добровольным проходит не по названию, а по норме. Если требование прямо названо в 152-ФЗ, постановлении Правительства или приказе Роскомнадзора, документ обязателен по существу, даже если его заголовок вы придумаете сами. Если требование выведено консультантом из общей логики безопасности, документ полезен, но его отсутствие само по себе состава нарушения не образует.
Ниже — перечень, который мы используем как рабочую основу для работодателя с наемным персоналом. В третьей колонке важен не сам факт утверждения, а то, кто это делает: часть документов подписывает руководитель лично как оператор, часть проходит процедуру принятия локального акта по статье 8 ТК РФ.
| Документ | Основание | Кто вводит в действие | Доступность |
|---|---|---|---|
| Политика в отношении обработки персональных данных | п. 2 ч. 1 и ч. 2 ст. 18.1 152-ФЗ | приказ руководителя | публикуется; при сборе данных через интернет — на сайте |
| Положение об обработке и защите персональных данных работников | ст. 87 ТК РФ, п. 2 ч. 1 ст. 18.1 152-ФЗ | приказ руководителя, при наличии профсоюзного органа — с учетом его мнения по ст. 372 ТК РФ | внутренний, под ознакомление всех работников |
| Правила обработки персональных данных без использования средств автоматизации | постановление Правительства РФ от 15.09.2008 № 687 | приказ руководителя | внутренний |
| Приказ о назначении ответственного за организацию обработки персональных данных | п. 1 ч. 1 ст. 18.1 и ст. 22.1 152-ФЗ | руководитель | внутренний |
| Перечень лиц, доступ которых к данным в информационной системе нужен для работы | подп. «в» п. 13 постановления Правительства РФ от 01.11.2012 № 1119 | утверждается руководителем оператора | внутренний |
| Перечень мест хранения материальных носителей и список лиц, обрабатывающих данные вручную | постановление Правительства РФ № 687 | приказ руководителя | внутренний |
| Документ с результатами оценки вреда субъектам персональных данных | п. 5 ч. 1 ст. 18.1 152-ФЗ, приказ Роскомнадзора от 27.10.2022 № 178 | утверждает руководитель по представлению ответственного | внутренний, предъявляется по запросу Роскомнадзора |
| Локальный акт о внутреннем контроле, процедурах предотвращения и выявления нарушений | п. 2 и п. 4 ч. 1 ст. 18.1 152-ФЗ | приказ руководителя | внутренний |
| Порядок уничтожения персональных данных и форма акта об уничтожении | приказ Роскомнадзора от 28.10.2022 № 179 | приказ руководителя | внутренний |
| Приказ об ответственном за обеспечение безопасности данных в информационной системе | требования третьего уровня защищенности по постановлению Правительства РФ № 1119 | руководитель | внутренний |
Из таблицы видно, где чаще всего рвется комплект: три позиции из десяти — это не положения, а перечни и приказы, которые нужно поддерживать в актуальном виде при каждом кадровом изменении. Политику компании обычно пишут один раз и надолго, а перечень допущенных лиц устаревает при первом же переводе бухгалтера в другой отдел.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Закон описывает рамку, а внутри нее оператор сам определяет порядок. Если вы не опишете этот порядок под свои процессы, вы получите чужой типовой порядок из шаблона, и работать по нему придется годами. Поэтому перед тем как утверждать комплект, выпишите свои процессы работы с данными и сверьте, что в положениях описаны именно они.»
Лайфхак: сначала выпишите все кадровые процессы, где появляются персональные данные, и только потом садитесь писать положения. Тогда в акте окажется ваш порядок, а не порядок из типового файла.
Положение о коммерческой тайне не заменяет акты по персональным данным
Режим коммерческой тайны и режим конфиденциальности персональных данных — два разных правовых механизма, и путать их дорого. Коммерческая тайна вводится по Федеральному закону от 29.07.2004 № 98-ФЗ: перечень сведений, ограничение доступа, гриф на носителях, учет допущенных лиц, обязательства работников. Персональные данные защищаются по 152-ФЗ и главе 14 ТК РФ независимо от того, есть ли в компании режим коммерческой тайны.
Прямое ограничение: по статье 5 98-ФЗ сведения о численности и составе работников, системе оплаты труда, условиях труда, производственном травматизме и наличии свободных рабочих мест коммерческую тайну составлять не могут. То есть закрыть кадровый массив одним положением о коммерческой тайне не получится — часть сведений под этот режим не подпадает, а требования статьи 18.1 152-ФЗ остаются неисполненными. Проверьте у себя: если в компании есть положение о коммерческой тайне и нет политики обработки персональных данных, комплект собран не по той норме.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Политика обработки данных: единственный документ комплекта, который читают снаружи
Часть 2 статьи 18.1 152-ФЗ обязывает оператора опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите. Для оператора, который собирает данные через интернет, требование жестче: политика публикуется в сети. Отдельный состав по части 3 статьи 13.11 КоАП — от 30 000 до 60 000 рублей на юридическое лицо — возникает именно за необеспеченный доступ, а не за качество текста.
Содержание политики собирается из целей обработки, категорий субъектов и данных, правовых оснований, способов обработки, порядка передачи третьим лицам, сроков обработки и хранения, порядка реализации прав субъекта. Слабое место почти всех опубликованных политик — цели. Они пишутся общей формулой вида «исполнение требований законодательства», после чего перечень фактически обрабатываемых данных перестает соответствовать заявленной цели. Тот же перечень целей попадает в уведомление о намерении осуществлять обработку, и расхождение между сайтом и реестром видно проверяющему без выезда.
Сверить формулировки проще всего по форме, которую заполняет оператор: электронная форма уведомления об обработке персональных данных на портале персональных данных Роскомнадзора показывает, в каких графах ведомство ждет цели, категории данных и правовые основания. Изменения в ранее поданные сведения подаются не позднее 15-го числа месяца, следующего за месяцем, в котором эти изменения произошли.
Согласия работников: что изменилось с 1 сентября 2025 года
Федеральный закон от 24.06.2025 № 156-ФЗ дополнил часть 1 статьи 9 152-ФЗ: согласие на обработку персональных данных оформляется отдельно от иных сведений и документов, которые субъект подтверждает или подписывает. С 1 сентября 2025 года согласие внутри трудового договора, анкеты соискателя или заявления перестало быть согласием. Последствие считается по части 2 статьи 13.11 КоАП: обработка без согласия в письменной форме — от 300 000 до 700 000 рублей на юридическое лицо. Согласия, собранные до 1 сентября 2025 года, переоформлять не нужно: норма обратной силы не имеет.
Второе, что регулярно упускают: для обработки данных работника в рамках трудовых отношений отдельное согласие требуется не всегда, потому что основанием служит трудовой договор и требования ТК РФ. Отдельное согласие нужно там, где обработка выходит за границы исполнения договора: проверка кандидата по внешним источникам, публикация фотографии и должности на сайте, передача данных в сторонний сервис, обработка специальных категорий данных. Согласие на распространение данных — вообще самостоятельный документ со своими требованиями к содержанию, установленными приказом Роскомнадзора от 24.02.2021 № 18.
В практике Добыто в комплектах чаще не хватает не политики, а отдельного согласия на передачу данных оператору системы, через которую компания подписывает кадровые документы. Политику пишут, приказы издают, а третье лицо в цепочке обработки остается неоформленным.
Полезно знать: при облачном сервисе доступ к кадровым данным получает обычно не одна компания, а три — сам провайдер, владелец инфраструктуры и удостоверяющий центр. Спрашивайте у вендора список лиц, а не формулировку «данные хранятся защищенно».
Соберите согласие под свои цели и срок
Важный нюанс из практики: когда компания выбирает систему для кадровых документов, первым критерием аудитория ставит хранение персональных данных на своих серверах, а интеграцию с государственным сервисом подписи — далеко позади. Распределение отражает не важность критериев, а то, какие проблемы компания уже успела пережить: за хранение данных отвечает конкретный человек и по нему бывают проверки, а объем работы по выдаче ключей на сотню сотрудников на этапе выбора еще не виден.
Мария Ж, юрист со стажем более 20 лет: «Кадровые документы — это персональные данные, причем чувствительные: там сведения о семье, здоровье, доходах. Как только они уходят к внешнему провайдеру, появляется третье лицо, и передача ему данных должна быть основана на согласии работника. Попросите вендора перечислить всех, кто получит доступ к массиву, и сверьте этот список с текстом своего согласия.»
Приказы и перечни: кто назначен, кто допущен, где лежат носители
Ответственный за организацию обработки персональных данных назначается по пункту 1 части 1 статьи 18.1 и статье 22.1 152-ФЗ. Он подчиняется непосредственно руководителю оператора и отвечает за осуществление внутреннего контроля, доведение до работников требований закона и организацию приема обращений субъектов. Совмещение этой роли с ролью ответственного за обеспечение безопасности данных в информационной системе законом не запрещено, но это две разные функции: первая организационная, вторая техническая.
Перечень лиц, доступ которых к данным в информационной системе необходим для выполнения трудовых обязанностей, утверждается руководителем оператора по подпункту «в» пункта 13 постановления Правительства РФ № 1119. Для обработки без автоматизации постановление № 687 требует определить места хранения материальных носителей и установить перечень лиц, которые обрабатывают данные либо имеют к ним доступ. Два документа часто сливают в один, и после этого невозможно ответить на вопрос инспектора, кто именно имеет доступ к бумажным личным делам в сейфе.
Мария Ж, руководитель HR-отдела: «Требование разграничения доступа работает и в архиве, и в информационной системе одинаково. Доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Откройте свой перечень допущенных лиц и проверьте, у скольких сотрудников там стоит доступ ко всем документам вместо доступа к своему участку.»
Приказ об утверждении локального нормативного акта выполняет отдельную работу: он фиксирует дату введения в действие и дату, с которой действует редакция. Без этой даты невозможно доказать, что на момент спорного события в компании действовала именно та редакция положения, которую вы предъявляете. То же относится к листу ознакомления: он доказывает не качество текста, а факт и дату доведения документа до работника.
Шаблоны локальных актов и согласий по персональным данным
Комплект ниже закрывает базовый набор из таблицы; начните с правил обработки, они задают структуру остальных документов.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Журнал регистрации требований и отказов | Скачать |
| Согласие на проверку службой безопасности | Скачать |
Что добавляется к комплекту, когда кадровые данные уходят в электронную систему
Перевод кадровых документов в электронный вид не отменяет ни одного акта из базового перечня и добавляет к нему свои. Положение о ведении кадрового электронного документооборота и приказ о его введении опираются на статьи 22.1-22.3 ТК РФ, введенные Федеральным законом от 22.11.2021 № 377-ФЗ. Внутри этого положения оказывается блок, который напрямую относится к персональным данным: порядок идентификации работника при подписании, перечень документов и категорий работников, порядок создания личного кабинета, правила доступа к архиву.
Судебная практика по кадровому электронному документообороту показывает, где именно ломается конструкция. В споре об увольнении через систему у работодателя было и положение о документообороте, и утвержденный перечень документов, и согласие работника. Суд первой инстанции ему отказал, апелляция жалобу отклонила, кассация акты отменила и указала: в материалах нет сведений о порядке идентификации. При новом рассмотрении работник выиграл. Перевесили три обстоятельства: подпись выдали в день подписания заявления об увольнении, фактически подписывал другой человек, и все это зафиксировала собственная система работодателя.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, судебный эксперт по трудовому праву: «Установить, что заявление сформировано в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Если в вашем локальном акте порядок идентификации не описан, спор вы проиграете при технически исправной подписи.»
Внимание: разводите во времени выдачу подписи работнику и первые кадровые действия с ней. Совпадение даты выдачи подписи и даты заявления об увольнении суд читает как обстоятельство не в пользу работодателя, даже когда положение о документообороте и перечень документов оформлены правильно.
В Добыто на старте проекта мы просим показать не политику, а комплект целиком: приказ об утверждении с датой редакции, лист ознакомления, перечень допущенных лиц и текст согласия на передачу данных оператору системы. Расхождения обнаруживаются в этих четырех документах, а не в политике.
Как утвердить комплект локальных актов по персональным данным
Порядок ниже рассчитан на компанию, которая собирает комплект впервые или переписывает устаревший. Последовательность шагов менять не стоит: оценка вреда и реестр обработки дают материал для текста положений, а не наоборот. В практике Добыто описание порядка идентификации работника мы выносим в положении отдельным разделом, а не строкой в общем перечне правил: именно этот раздел запрашивают и проверяющий, и суд.
Как утвердить локальные акты по персональным данным: пошаговая инструкция
- Шаг 1. Составьте реестр обработки: какие данные, о ком, из каких источников поступают, для каких целей обрабатываются, кому передаются, сколько хранятся и когда уничтожаются. Без этой таблицы положения будут переписаны из шаблона.
- Шаг 2. Разделите обработку по основаниям: где достаточно трудового договора и требований ТК РФ, где нужно отдельное согласие по статье 9 152-ФЗ, а где обработка не имеет основания и должна быть прекращена.
- Шаг 3. Проведите оценку вреда по приказу Роскомнадзора от 27.10.2022 № 178 и оформите результат отдельным документом. Приказ предусматривает три степени вреда — низкую, среднюю и высокую.
- Шаг 4. Напишите политику и внутренние положения под свои процессы, назначьте приказом ответственного за организацию обработки и утвердите перечни допущенных лиц и мест хранения носителей.
- Шаг 5. Введите документы в действие приказом с датой редакции. Если в компании есть выборный орган первичной профсоюзной организации, соблюдите порядок учета его мнения по статье 372 ТК РФ.
- Шаг 6. Опубликуйте политику, а при сборе данных через интернет разместите ее на сайте. Ознакомьте с комплектом работников, которые непосредственно обрабатывают данные, и проведите их обучение по пункту 6 части 1 статьи 18.1 152-ФЗ; остальных ознакомьте с положением о персональных данных работников по статье 68 ТК РФ.
- Шаг 7. Сверьте цели и категории данных в поданном уведомлении с текстом утвержденной политики. Изменения подайте не позднее 15-го числа месяца, следующего за месяцем, в котором они произошли.
Что проверить до того, как садиться за текст
Пять позиций, из-за которых комплект переписывают второй раз:
- Есть ли у компании информационная система персональных данных и какой уровень защищенности для нее определен по постановлению Правительства РФ № 1119.
- Обрабатываются ли данные без средств автоматизации — бумажные личные дела, журналы, картотеки. Если да, правила по постановлению № 687 обязательны.
- Кому данные передаются: банк по зарплатному проекту, оператор кадровой системы, удостоверяющий центр, подрядчик по проверке кандидатов, медицинская организация по медосмотрам.
- Сколько работников начали трудовую деятельность до 1 января 2022 года: они могут отказаться от перехода на электронный документооборот, и для них порядок ознакомления с актами остается бумажным.
- Сохранились ли согласия и листы ознакомления за прошлые периоды и в каком виде. Согласия хранятся 3 года со дня истечения срока действия или отзыва по пункту 441 Перечня, утвержденного приказом Росархива от 20.12.2019 № 236.
Мария Ж, HR-эксперт с 13-летним стажем: «Оценивается не подпись работника в листе ознакомления, а фактическая способность работать в системе. Когда за работника документы подписывает кто-то другой, потому что сам он не разобрался, работодатель теряет всю доказательственную конструкцию. Мы закладываем пилотную группу перед раскаткой на всю компанию именно поэтому.»
Когда расширенный комплект не нужен
Двадцать документов нужны не всем. Объем комплекта задается тремя параметрами: есть ли работники, есть ли информационная система и есть ли обработка вне трудовых отношений. Индивидуальный предприниматель без работников, который не собирает данные через сайт и не проверяет кандидатов, обходится минимумом и не обязан заводить положение о персональных данных работников: субъектов этой категории у него нет.
Отдельные согласия избыточны там, где обработка прямо нужна для исполнения трудового договора и прав, предусмотренных ТК РФ. Собирать согласие на внесение сведений в трудовой договор, приказ о приеме или ЕФС-1 не требуется, и лишнее согласие в этом случае создает не защиту, а повод для вопросов: зачем оператор запросил согласие, если основание другое, и что он будет делать после отзыва такого согласия. Правила обработки без средств автоматизации не нужны компании, у которой не осталось ни одного бумажного носителя с данными, но в реальности такой компании почти не бывает: трудовые книжки и журналы инструктажей по-прежнему ведутся на бумаге.
Ниже — сценарная таблица: что критично для разных типов компаний, а что откладывается без риска.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Предприниматель без работников, сайт без форм | политика, уведомление в Роскомнадзор, порядок уничтожения данных | положение о данных работников, перечень допущенных лиц |
| Компания до 100 человек, кадры в учетной системе, архив на бумаге | положение о данных работников, правила обработки без автоматизации, перечень мест хранения, приказ об ответственном | регламенты для распределенных подразделений |
| Компания перешла на электронные кадровые документы | порядок идентификации работника, согласие на передачу данных оператору системы, перечень доступа к архиву | детальные инструкции по бумажным картотекам |
| Кандидатов проверяют своя служба безопасности или подрядчик | отдельное согласие на проверку, положение о проверке, поручение обработки подрядчику | уровень защищенности информационной системы |
| Есть обособленные подразделения и формы обратной связи на сайте | политика на сайте, согласие в формах отдельным действием, порядок ответа на запросы субъектов | внутренние инструкции по отдельным рабочим местам |
Таблица отвечает на вопрос, с чего начинать: критичные документы для вашего сценария утверждаются первыми, вторичные дописываются позже без риска получить постановление о штрафе за их отсутствие.
Сколько стоит незакрытый комплект: штрафы по статье 13.11 КоАП
Новые размеры штрафов действуют с 30 мая 2025 года. Считать цену ошибки нужно не по одному составу: отсутствие комплекта обычно дает несколько нарушений сразу — нет согласия, нет доступа к политике, не подано уведомление. Составы самостоятельные, и наказания складываются.
| Часть ст. 13.11 КоАП | Нарушение | Штраф на юридическое лицо |
|---|---|---|
| ч. 1 | обработка в случаях, не предусмотренных законодательством | 150 000 — 300 000 руб. |
| ч. 1.1 | повторное нарушение части 1 | 300 000 — 500 000 руб. |
| ч. 2 | обработка без согласия в письменной форме | 300 000 — 700 000 руб. |
| ч. 3 | политика не опубликована или доступ к ней не обеспечен | 30 000 — 60 000 руб. |
| ч. 4 | субъекту не предоставлена информация о его данных | 40 000 — 80 000 руб. |
| ч. 5 | не выполнено требование об уточнении, блокировании или уничтожении данных | 50 000 — 90 000 руб. |
| ч. 6 | нарушены условия сохранности носителей при обработке без автоматизации | 50 000 — 100 000 руб. |
| ч. 10 | не подано уведомление о намерении осуществлять обработку | 100 000 — 300 000 руб. |
| ч. 11 | не сообщили в Роскомнадзор об инциденте в течение 24 часов | 1 000 000 — 3 000 000 руб. |
| ч. 12 — ч. 14 | утечка данных, размер зависит от числа субъектов | от 3 000 000 до 15 000 000 руб. |
| ч. 15 | повторная утечка | 1 — 3% годовой выручки, не менее 20 000 000 и не более 500 000 000 руб. |
Отдельно считаются сроки, которые начинают течь без уведомления от проверяющего. Ответ на запрос субъекта — 10 рабочих дней с даты обращения, с возможностью продления не более чем на 5 рабочих дней. Уточнение данных по требованию субъекта — 7 рабочих дней. Уничтожение при достижении цели обработки или отзыве согласия — не более 30 дней. По инциденту действует связка 24 и 72 часа по части 3.1 статьи 21 152-ФЗ: сначала сообщение о факте и предполагаемых причинах, затем результаты внутреннего расследования. Если в локальном акте эти сроки не расписаны по ответственным, компания узнает о них в момент, когда уже опоздала.
Кейс из практики: в разобранном выше споре об увольнении через электронную систему у работодателя был полный набор формальных документов, спор прошел четыре этапа рассмотрения и закончился решением в пользу работника. Прямые потери — восстановление на работе, средний заработок за время вынужденного прогула и судебные расходы — возникли не из-за отсутствия положения, а из-за того, что в положении не был описан порядок идентификации подписанта.
Стоимость перехода на электронное ознакомление с локальными актами
Стоимость зависит от численности сотрудников и от того, нужны ли интеграция с учетной системой и электронный архив. Электронные подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 руб. за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения численности, ПЭП, УНЭП и УКЭП | от 50 руб. за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 руб. в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | выпуск при подключении |
| УКЭП для сотрудников | через партнеров-удостоверяющих центров | по регламенту центра |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности, набора функций и потребности в электронном архиве: на тарифе «Старт» ограничение по численности жесткое, на тарифе «Бизнес» действует минимальный годовой платеж. Актуальные условия и состав каждого пакета опубликованы на странице тарифов ДОБЫТО КЭДО.
Отдельная статья расходов при переходе — не сама система, а описание порядка в локальных актах и сбор согласий. Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных, но текст положений под ваши процессы все равно придется написать.
Выводы
Комплект локальных актов по персональным данным строится не из названий, а из норм: статья 18.1 152-ФЗ, статья 87 ТК РФ, постановления Правительства № 687 и № 1119, приказы Роскомнадзора № 178 и № 179. Публичен из всего набора один документ — политика, остальные работают внутри и подтверждаются приказом с датой редакции и листом ознакомления. Главные разрывы обнаруживаются не в текстах положений, а в перечнях допущенных лиц, порядке идентификации подписанта и отдельном согласии на передачу данных внешнему оператору. С 1 сентября 2025 года согласие внутри договора или анкеты согласием не считается.
Мы в Добыто ежедневно разбираем эти комплекты вместе с кадровыми службами: переводим ознакомление с локальными актами в электронный вид, закладываем пилотную группу перед раскаткой на всю компанию и следим, чтобы порядок из положения совпадал с тем, что фактически делает система.
Частые вопросы
Нужно ли переоформлять согласия, собранные до 1 сентября 2025 года
Нет. Требование оформлять согласие отдельно от иных документов внесено в часть 1 статьи 9 152-ФЗ Федеральным законом от 24.06.2025 № 156-ФЗ и обратной силы не имеет. Ранее полученные согласия действуют до истечения указанного в них срока или до отзыва. Переоформлять их нужно в другом случае: если изменились цели обработки, перечень данных или состав третьих лиц, которым данные передаются.
Нужны ли локальные акты по персональным данным для самозанятых и исполнителей по договорам ГПХ
Требования 152-ФЗ применяются: исполнитель по гражданско-правовому договору такой же субъект персональных данных, как работник. А вот положение об обработке данных работников на него не распространяется, потому что глава 14 ТК РФ регулирует отношения с работниками. Практически это означает отдельный блок в политике и отдельную форму согласия: основанием для обработки будет договор с исполнителем, а не трудовой договор.
Можно ли ознакомить работников с политикой обработки данных в электронном виде
Да. Ознакомление с локальными нормативными актами — один из процессов, где работнику достаточно простой электронной подписи: вход в учетную запись кадровой системы или на портал государственных услуг, без криптографии. Со стороны работодателя, как правило, используется усиленная квалифицированная подпись. Условие — порядок подписания и идентификации должен быть описан в локальном акте о кадровом электронном документообороте.
В какой срок надо ответить работнику, который запросил свои персональные данные
10 рабочих дней с даты получения запроса. Срок может быть продлен не более чем на 5 рабочих дней с уведомлением субъекта о причинах продления. Отдельно действует срок 7 рабочих дней на уточнение данных по требованию субъекта, если он подтвердил их неполноту или неточность. Факт обращения и результат удобно фиксировать в журнале регистрации требований и отказов — он же подтверждает исполнение обязанности при проверке.
Что делать при утечке данных работников
Действует связка из двух уведомлений по части 3.1 статьи 21 152-ФЗ: в течение 24 часов в Роскомнадзор направляется сообщение о факте инцидента, предполагаемой причине, предполагаемом вреде и принятых мерах, в течение 72 часов — результаты внутреннего расследования и сведения о лицах, действия которых стали причиной. Пропуск первого срока — самостоятельный состав с штрафом от 1 000 000 до 3 000 000 рублей на юридическое лицо. Порядок реагирования и ответственные должны быть заранее записаны в локальном акте.
Нужно ли учитывать мнение профсоюза при утверждении положения о персональных данных
Если в компании есть выборный орган первичной профсоюзной организации, порядок учета мнения по статье 372 ТК РФ соблюдается при принятии локальных нормативных актов в случаях, предусмотренных ТК РФ, коллективным договором или соглашениями. Положение об обработке и защите данных работников принимается как локальный акт по статье 8 ТК РФ, поэтому вопрос проверяют по коллективному договору. Приказы, которыми оператор назначает ответственного и утверждает перечни допущенных лиц, через эту процедуру не проходят: это распорядительные документы оператора, а не локальные акты о труде.
Обязательно ли уничтожать персональные данные уволенного работника
Данные уничтожаются при достижении цели обработки или отзыве согласия — в срок не более 30 дней, если иное не предусмотрено договором или законом. Для кадровых документов иное предусмотрено: сроки хранения задает перечень Росархива, и по приказам по личному составу и трудовым договорам они измеряются десятилетиями. Уничтожение подтверждается актом, а при автоматизированной обработке — актом и выгрузкой из журнала регистрации событий информационной системы по приказу Роскомнадзора от 28.10.2022 № 179.
