Начало обработки персональных данных для компании наступает с первой анкеты кандидата или первого трудового договора: с этого момента она оператор по 152-ФЗ. До этой даты подаётся уведомление в Роскомнадзор о намерении обрабатывать персональные данные (статья 22), назначается ответственный, утверждается политика и готовятся согласия там, где обработка не опирается на закон или договор. С 1 сентября 2025 года согласие оформляется отдельным документом, а не пунктом анкеты или трудового договора. Порядок действий зависит от основания обработки: данные работника для исполнения трудового договора и сдачи отчётности обрабатываются без согласия, а данные кандидата, публикация фото сотрудника на сайте и передача сведений подрядчику требуют письменного согласия.
Материал помогает собрать минимальный комплект до первого кадрового документа: что указать в уведомлении, какие приказы и ЛНА утвердить, как составить согласие и поручение подрядчику, где проходит граница между персональными данными и коммерческой тайной. Отдельно разобраны кандидаты и сторонние проверки службой безопасности. Штрафы по статье 13.11 КоАП в редакции с 30 мая 2025 года, сценарная таблица оснований обработки, шаблоны документов и ответы на частые вопросы — во второй половине статьи.
Когда компания становится оператором персональных данных
Оператор по пункту 2 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» — это государственный или муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими организует или осуществляет обработку персональных данных и определяет её цели, состав данных и действия с ними. Численность штата, выручка и форма собственности на статус не влияют. ООО с одним работником, который получает зарплату и попадает в ЕФС-1, уже оператор.
Обработкой закон называет любое действие с данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Резюме, которое пришло на корпоративную почту и сохранилось в папке рекрутера, — это уже сбор и хранение. Поэтому точкой старта считается не приказ о приёме, а первый полученный отклик, первая анкета или первая заявка с формы на сайте.
Инвентаризация: что выяснить до старта обработки
Уведомление, политика и согласия пишутся по результатам инвентаризации. Если её пропустить, документы получаются шаблонными и не совпадают с тем, что компания делает на практике. Перед подготовкой документов ответьте на 7 вопросов:
- Чьи данные. Кандидаты, работники, члены их семей (для вычетов и пособий), уволенные, исполнители по договорам ГПХ, клиенты и контрагенты — физические лица, посетители сайта.
- Какие данные. Обычные (ФИО, паспорт, СНИЛС, ИНН, адрес), специальные категории по статье 10 152-ФЗ (сведения о здоровье, судимости), биометрические по статье 11 — например, фотография в пропускной системе, по которой устанавливают личность.
- Зачем. Каждая цель формулируется отдельно: подбор, исполнение трудового договора, бухгалтерский и налоговый учёт, пропускной режим, маркетинг.
- На каком основании. Для каждой цели — закон, договор с субъектом или согласие. От ответа зависит, нужно ли согласие вообще.
- Где хранятся. 1С, КЭДО, облачная CRM, общий диск, бумажные личные дела. Первичная база с данными граждан России должна находиться на территории России (часть 5 статьи 18 152-ФЗ).
- Кто получает доступ. Сотрудники по должностям, бухгалтерия на аутсорсе, банк по зарплатному проекту, подрядчик по проверке кандидатов, провайдер КЭДО.
- Сколько хранить и как уничтожать. Срок хранения по каждой категории документов и порядок уничтожения по его истечении.
Результат оформляется перечнем обрабатываемых данных по целям. Из него напрямую заполняются уведомление в Роскомнадзор, политика и тексты согласий.
Как подготовить компанию к обработке персональных данных: пошаговая инструкция
- Шаг 1. Проведите инвентаризацию: субъекты, категории данных, цели, основания, информационные системы, доступ третьих лиц, сроки хранения.
- Шаг 2. Издайте приказ о назначении ответственного за организацию обработки персональных данных.
- Шаг 3. Утвердите политику обработки персональных данных, положение о порядке обработки и перечень должностей с доступом; проведите оценку вреда по приказу Роскомнадзора № 178.
- Шаг 4. Подайте уведомление о намерении осуществлять обработку персональных данных до даты, указанной в нём как дата начала обработки.
- Шаг 5. Подготовьте отдельные формы согласий: для кандидатов, на передачу третьим лицам, на распространение, на внесение в кадровый резерв.
- Шаг 6. Заключите с подрядчиками, которые получают данные, договоры с поручением на обработку по части 3 статьи 6 152-ФЗ.
- Шаг 7. Ознакомьте работников, допущенных к данным, с политикой и ЛНА под подпись, опубликуйте политику на сайте, если через него собираются данные.
Уведомление Роскомнадзора о намерении обрабатывать персональные данные
Часть 1 статьи 22 152-ФЗ обязывает оператора уведомить Роскомнадзор до начала обработки. С 1 сентября 2022 года Федеральный закон от 14.07.2022 № 266-ФЗ отменил большинство исключений, включая обработку данных в рамках трудовых отношений. Работодатель, который раньше не подавал уведомление, потому что обрабатывал только данные работников, с этой даты обязан его подать.
Когда уведомление можно не подавать
В части 2 статьи 22 остались 3 случая: данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка; данные обрабатываются для устойчивого и безопасного функционирования транспортного комплекса; оператор обрабатывает данные исключительно без использования средств автоматизации. Третье исключение для коммерческой компании почти недостижимо: табель в Excel, зарплата в 1С, резюме в почте — всё это обработка с использованием средств автоматизации. Если хотя бы одна категория данных обрабатывается на компьютере, исключение не работает.
Что указать в уведомлении и как его подать
Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180. В уведомлении среди прочего указываются наименование и адрес оператора, цели обработки, меры по обеспечению безопасности и сведения о криптографических средствах, ответственный за организацию обработки и его контакты, дата начала обработки, срок или условие её прекращения, сведения о трансграничной передаче и место нахождения базы данных. Все эти пункты берутся из результатов инвентаризации, поэтому уведомление готовится после неё, а не до.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Подать уведомление можно на бумаге в территориальное управление Роскомнадзора, в электронном виде с УКЭП или через электронную форму уведомления на Портале персональных данных Роскомнадзора с подтверждением через ЕСИА. Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты поступления уведомления. Обработку начинают после отправки уведомления: закон требует уведомить до начала обработки, а не дождаться внесения в реестр.
Уведомление — не разовый документ. Об изменении сведений оператор сообщает не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли: например, появилась новая цель обработки, база данных переехала к другому провайдеру, сменился ответственный. О прекращении обработки сообщают в течение 10 рабочих дней с даты прекращения. Невыполнение или несвоевременное выполнение обязанности уведомить о намерении обрабатывать данные — это часть 10 статьи 13.11 КоАП, штраф для юридических лиц от 100 000 до 300 000 рублей.
Согласие на обработку персональных данных: когда нужно и как оформить
Согласие — одно из оснований обработки, а не обязательный документ для каждого случая. Часть 1 статьи 6 152-ФЗ допускает обработку без согласия, если она нужна для исполнения обязанностей, возложенных на оператора законом, или для исполнения договора, стороной которого является субъект. Поэтому для оформления приёма, расчёта зарплаты, сдачи ЕФС-1 и отчётности в ФНС согласие работника не берут. Согласие нужно там, где закон или договор основания не дают.
Сценарии из кадровой практики и основания для них сведены в таблицу. Строки с «да» — это случаи, для которых форма согласия готовится до первого контакта с субъектом.
| Ситуация | Нужно ли согласие | Основание |
|---|---|---|
| Оформление приёма, расчёт зарплаты, отчётность в СФР и ФНС | Нет | Часть 1 статьи 6 152-ФЗ: исполнение закона и трудового договора |
| Анкета кандидата, резюме, присланное на почту компании | Да, на период принятия решения о приёме | Разъяснения Роскомнадзора по обработке данных соискателей |
| Резюме, которое кандидат сам разместил в интернете для неограниченного круга лиц, или отклик через кадровое агентство, действующее от имени кандидата по договору | Нет | Разъяснения Роскомнадзора по обработке данных соискателей |
| Хранение данных отклонённого кандидата в кадровом резерве | Да; без него данные уничтожаются в течение 30 дней после отказа | Разъяснения Роскомнадзора по обработке данных соискателей |
| Получение сведений о работнике у третьих лиц | Да, письменное, с предварительным уведомлением работника | Пункт 3 статьи 86 ТК РФ |
| Передача данных работника третьей стороне, кроме случаев, установленных федеральным законом | Да, письменное | Статья 88 ТК РФ |
| ФИО, должность и фото сотрудника на сайте или в соцсетях компании | Да, отдельное согласие на распространение | Статья 10.1 152-ФЗ |
| Проверка кандидата службой безопасности, в том числе сторонней | Да, письменное, до начала проверки | Статьи 6 и 9 152-ФЗ |
Большинство случаев, когда согласие действительно нужно, приходится на подбор и на передачу данных за пределы компании. Если в компании нет найма и данные никому не передаются, кроме СФР и ФНС, набор согласий сводится к согласию на распространение для сотрудников, которых показывают на сайте.
Требования к тексту согласия с 1 сентября 2025 года
Согласие по части 1 статьи 9 152-ФЗ должно быть конкретным, предметным, информированным, сознательным и однозначным. Формулировка «на любые цели, предусмотренные законодательством» этим требованиям не отвечает. Письменное согласие по части 4 статьи 9 содержит ФИО, адрес, реквизиты документа, удостоверяющего личность субъекта (и его представителя, если подписывает представитель); наименование или ФИО и адрес оператора; цель обработки; перечень данных; наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если оно есть; перечень действий и общее описание способов обработки; срок действия согласия и способ его отзыва; подпись субъекта.
Федеральный закон от 24.06.2025 № 156-ФЗ с 1 сентября 2025 года требует оформлять согласие отдельно от иных информации и документов, которые субъект подтверждает или подписывает. Пункт «даю согласие на обработку» внизу анкеты, трудового договора или заявления о приёме больше не работает. Обработка без письменного согласия в случаях, когда оно обязательно, — часть 2 статьи 13.11 КоАП, штраф для юридических лиц от 300 000 до 700 000 рублей. Согласие в форме электронного документа, подписанного электронной подписью по 63-ФЗ, закон приравнивает к бумажному с собственноручной подписью.
Согласие на распространение, то есть на раскрытие данных неограниченному кругу лиц, по статье 10.1 оформляется отдельно от других согласий. В нём субъект вправе установить запреты и условия: например, разрешить публикацию ФИО и должности, но запретить фотографию.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. В последовательности проверки согласие стоит вторым шагом — сразу после приёма анкеты и до проверки по государственным базам.
Порядок для кандидата выглядит так: анкета, отдельное согласие на обработку, затем проверка, анализ, заключение службы безопасности и решение о найме. Если согласие подписано после того, как анкету уже передали на проверку, обработка в промежутке шла без основания.
Составьте согласие на обработку персональных данных под свои цели
Конструктор Добыто формирует файл .docx согласия с целями обработки, сроком и оговоркой об отзыве по 152-ФЗ. Перед подписанием сверьте цели и перечень данных в готовом тексте с результатами инвентаризации: согласие не должно охватывать больше, чем компания фактически обрабатывает.
Внутренние документы оператора: приказ, политика и положение о персональных данных
Статья 18.1 152-ФЗ перечисляет меры, которые оператор принимает сам, без запроса регулятора: назначает ответственного за организацию обработки, издаёт политику и локальные акты по обработке, предотвращению и выявлению нарушений, применяет меры защиты по статье 19, проводит внутренний контроль, оценивает вред, который может быть причинён субъектам, и знакомит работников с требованиями. ТК РФ добавляет два требования для данных работников: порядок хранения и использования устанавливает работодатель (статья 87), а работники знакомятся с этими документами под роспись (пункт 8 статьи 86).
Минимальный комплект ЛНА и основания для каждого документа:
| Документ | Основание | Что фиксирует |
|---|---|---|
| Приказ о назначении ответственного за организацию обработки | Статьи 18.1 и 22.1 152-ФЗ | Кто ведёт внутренний контроль, доводит требования до работников, принимает обращения субъектов |
| Политика обработки персональных данных | Части 1 и 2 статьи 18.1 152-ФЗ | Цели, категории субъектов и данных, основания, реализуемые требования к защите; публикуется в открытом доступе |
| Положение об обработке и защите персональных данных работников | Статьи 86-88 ТК РФ, статья 18.1 152-ФЗ | Порядок получения, хранения, использования и передачи данных; знакомят под роспись |
| Акт оценки вреда субъектам | Статья 18.1 152-ФЗ, приказ Роскомнадзора от 27.10.2022 № 178 | Степень вреда при нарушении 152-ФЗ, от которой зависят меры защиты |
| Порядок уничтожения и форма акта об уничтожении | Статья 21 152-ФЗ, приказ Роскомнадзора от 28.10.2022 № 179 | Сроки и способ уничтожения, состав подтверждающих документов |
| Формы согласий | Статьи 9 и 10.1 152-ФЗ | Отдельные тексты под каждую цель, для которой нужно согласие |
Политику компания, которая собирает данные через сайт, публикует на его страницах. Неопубликованная политика — часть 3 статьи 13.11 КоАП, штраф для юридических лиц от 30 000 до 60 000 рублей. Если на сайте есть форма обратной связи или отклика на вакансию, политика публикуется до её запуска.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, юрист со стажем более 20 лет: «Регламенты по персональным данным имеет смысл принимать, только если их действительно выполняют: положение, написанное для папки, от нарушения не защищает. В документе должны быть ответы на три практических вопроса — как данные передают, как хранят и как обрабатывают. Проверьте свой ЛНА: если по нему нельзя понять, по какому каналу анкета уходит в бухгалтерию или к подрядчику, его нужно дописать.»
Если кадровые документы переводятся в электронный вид, к комплекту добавляется положение о КЭДО по статье 22.1 ТК РФ: в нём описывается информационная система, в которой хранятся и подписываются документы с персональными данными работников. В сервисе Добыто шаблоны положения о ведении КЭДО и согласия на обработку персональных данных выложены в открытом доступе вместе с формой согласия на проверку службой безопасности.
Шаблоны согласий и ЛНА для старта обработки персональных данных
Начните с общего согласия на обработку: из него видно, какие реквизиты требует часть 4 статьи 9 152-ФЗ, а остальные документы адаптируются под ваши цели.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Согласие кандидата на проверку службой безопасности | Скачать |
| Положение о ведении КЭДО | Скачать |
Кандидаты и подрядчики: передача персональных данных по поручению
Когда данные уходят подрядчику, который обрабатывает их в интересах компании, — кадровому агентству, бухгалтерии на аутсорсе, службе безопасности на аутсорсинге, провайдеру КЭДО, — оператором остаётся компания. Часть 3 статьи 6 152-ФЗ разрешает поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, и только на основании договора. В поручении указываются перечень данных, перечень действий и цели обработки, обязанность подрядчика соблюдать конфиденциальность и обеспечивать безопасность данных по статье 19. Ответственность перед субъектом за действия подрядчика несёт оператор, подрядчик отвечает перед оператором (часть 5 статьи 6).
Проверка кандидатов сторонней службой безопасности — тоже обработка по поручению: подрядчик получает от работодателя ФИО, дату рождения, ИНН и паспортные данные кандидата, то есть ровно те сведения, которые кандидат предоставил вместе с согласием.
Важный нюанс из практики: у внешней службы безопасности, как правило, нет собственного контакта с кандидатом: основные персональные данные ей передаёт заказчик, а заказчику — сам кандидат вместе с согласием на обработку. Других личных данных кандидата в этой цепочке нет. Поэтому согласие кандидата должно прямо называть подрядчика или указывать, что данные передаются лицу, которое обрабатывает их по поручению оператора, — это реквизит из части 4 статьи 9 152-ФЗ.
Полезно знать: подрядчики по проверке кандидатов работают как операторы персональных данных с уведомлением в Роскомнадзор. Добросовестный исполнитель продолжает проверку, только убедившись, что согласие кандидата у заказчика действительно есть.
Статус подрядчика проверяется до подписания договора: наименование или ИНН ищут в реестре операторов персональных данных на портале Роскомнадзора. Если исполнителя в реестре нет, а обрабатывает он данные с использованием средств автоматизации, — это вопрос к нему до передачи первой анкеты.
Мария Ж, HR-эксперт с 13-летним стажем: «Перед тем как отправлять кандидатов на внешнюю проверку, работодателю нужно убедиться в двух вещах: исполнитель состоит в перечне операторов Роскомнадзора, а у компании на руках подписанное согласие кандидата на обработку. Это базовые требования к любой службе безопасности, внутренней или внешней. Внутренняя служба дополнительно работает по локальным нормативным актам компании, поэтому её порядок проверки стоит закрепить в положении о персональных данных.»
Данные кандидата после отказа и кадровый резерв
Согласие кандидата Роскомнадзор связывает с периодом принятия решения о приёме. Если в найме отказано, представленные кандидатом сведения уничтожаются в течение 30 дней. Сохранить резюме можно, только если кандидат дал согласие на включение в кадровый резерв: тогда компания сообщает ему порядок ведения резерва и исключения из него и ограничивает срок нахождения в резерве. Эти сроки прописываются в положении о персональных данных и в тексте согласия, иначе рекрутеру не на что опереться, когда через полгода нужно решить, удалять ли папку с откликами.
Важный нюанс из практики: автоматизированные сервисы проверки физических лиц выдают совпадения по однофамильцам и по записям с ошибкой в одной букве фамилии или в дате. Статья 5 152-ФЗ требует, чтобы обрабатываемые данные были точными и достаточными. Прежде чем принимать решение по кандидату на основании такого отчёта, сверьте найденные сведения хотя бы по дате рождения и паспортным данным, а при сомнениях уточните их у самого кандидата.
Защита, хранение и уничтожение: что настроить до первой записи в базе
Первичная база с данными граждан России должна находиться в России: часть 5 статьи 18 152-ФЗ требует, чтобы запись, систематизация, накопление, хранение, уточнение и извлечение данных при сборе шли с использованием баз данных на территории страны. Облачная CRM, зарубежный сервис анкетирования или таблица в иностранном облаке, куда рекрутер вносит отклики, нарушают это требование с первой записи. Если данные планируется передавать за рубеж, с 1 марта 2023 года о намерении осуществлять трансграничную передачу Роскомнадзор уведомляют отдельно и до её начала (статья 12).
Меры защиты подбираются по статье 19 152-ФЗ и требованиям к защите данных в информационных системах, утверждённым постановлением Правительства РФ от 01.11.2012 № 1119. Для кадровой системы это как минимум разграничение доступа по перечню должностей, учёт тех, кому доступ предоставлен, и журнал действий в системе: без журнала невозможно подтвердить уничтожение данных по приказу Роскомнадзора № 179.
Лайфхак: способ передачи данных подрядчику — защищённая почта, носитель или другой канал — согласуют при заключении договора, исходя из того, что заказчик считает безопасным. Зафиксированный в договоре канал исключает пересылку анкет через личные мессенджеры сотрудников.
В КЭДО к этим мерам добавляются требования к самой системе: аутентификация работников, обмен данными по защищённому каналу, подписание документов электронной подписью и хранение подписанных файлов. Платформа Добыто КЭДО построена под требования 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ, а на тарифе «Корпорация» развёртывается на выделенном сервере — это вариант для компаний, у которых требования к размещению данных строже типовых.
Уничтожение данных и подтверждающие документы
Приказ Роскомнадзора от 28.10.2022 № 179 определяет, чем подтверждается уничтожение. Если данные обрабатывались без средств автоматизации, достаточно акта об уничтожении. Если с использованием средств автоматизации — нужны акт и выгрузка из журнала регистрации событий в информационной системе. Акты и выгрузки хранятся 3 года. Форму акта и порядок уничтожения утверждают до старта обработки: первый отказ кандидату запускает 30-дневный срок уже через несколько недель после начала найма.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Подрядчику по проверке кандидатов нет смысла держать данные у себя после того, как он выполнил задачу и передал результат заказчику: по истечении определённого срока их удаляют, и сведения остаются только на стороне работодателя. Этот срок и порядок удаления стоит прописать в поручении на обработку. Тогда при проверке Роскомнадзора компания может показать, где данные находились на каждом этапе и когда они были уничтожены у исполнителя.»
Утечка: сроки уведомления и штрафы
При неправомерной или случайной передаче данных оператор по части 3.1 статьи 21 152-ФЗ уведомляет Роскомнадзор дважды: в течение 24 часов — об инциденте, его причинах, предполагаемом вреде и принятых мерах, в течение 72 часов — о результатах внутреннего расследования. Сообщение направляется через раздел «Инциденты» Портала персональных данных. Порядок действий при утечке и назначенный ответственный за уведомление должны быть определены до инцидента: 24 часа отсчитываются с момента выявления, а не с момента, когда в компании нашли того, кто знает процедуру.
С 30 мая 2025 года статья 13.11 КоАП действует в новой редакции. Штрафы для юридических лиц по нарушениям, которые возникают на старте обработки:
| Нарушение | Статья 13.11 КоАП | Штраф для юрлица |
|---|---|---|
| Обработка в случаях, не предусмотренных законодательством | Часть 1 | 150 000-300 000 руб. |
| Обработка без письменного согласия, когда оно обязательно | Часть 2 | 300 000-700 000 руб. |
| Политика не опубликована, к ней не обеспечен доступ | Часть 3 | 30 000-60 000 руб. |
| Не подано или подано с опозданием уведомление о намерении обрабатывать данные | Часть 10 | 100 000-300 000 руб. |
| Не подано или подано с опозданием уведомление об утечке | Часть 11 | 1 000 000-3 000 000 руб. |
| Утечка данных от 1 000 до 10 000 субъектов | Часть 12 | 3 000 000-5 000 000 руб. |
| Повторная утечка | Часть 15 | 1-3% совокупной годовой выручки, от 20 до 500 млн руб. |
Штрафы за документальные нарушения на старте — неподанное уведомление, неопубликованная политика, отсутствие согласия — в сумме достигают 1 060 000 рублей по верхним границам. Два из трёх пробелов видны снаружи без запроса документов: отсутствие компании в реестре операторов и отсутствие политики на сайте. Для утечек размер штрафа зависит от числа субъектов, а при повторном нарушении привязан к выручке.
Персональные данные и коммерческая тайна: два разных режима
Персональные данные защищены 152-ФЗ в силу закона: статья 7 обязывает оператора и всех, кто получил к ним доступ, не раскрывать и не распространять их без согласия субъекта, если иное не предусмотрено федеральным законом. Никаких дополнительных действий для появления этой обязанности не нужно. Коммерческая тайна по Федеральному закону от 29.07.2004 № 98-ФЗ «О коммерческой тайне» возникает, только если обладатель информации сам ввёл режим. Статья 10 98-ФЗ называет обязательные меры: определить перечень информации, составляющей коммерческую тайну; ограничить доступ установлением порядка обращения с ней и контролем; вести учёт лиц, получивших доступ; урегулировать отношения с работниками трудовыми договорами, а с контрагентами — гражданско-правовыми; нанести на материальные носители гриф «Коммерческая тайна» с указанием обладателя.
Для компании на старте это означает два разных набора документов. Положение о персональных данных, приказ об ответственном и согласия нужны всегда, как только начата обработка. Перечень сведений, составляющих коммерческую тайну, положение о режиме и ознакомление работников с ними под подпись нужны, только если компания хочет защищать клиентскую базу, методики, условия договоров и другие сведения, имеющие коммерческую ценность. Без введённого режима работника, унёсшего такие сведения, привлечь за разглашение коммерческой тайны не получится.
Последствия для работника при этом совпадают. Подпункт «в» пункта 6 части 1 статьи 81 ТК РФ позволяет уволить за разглашение охраняемой законом тайны — государственной, коммерческой, служебной и иной, — ставшей известной работнику в связи с исполнением трудовых обязанностей, в том числе за разглашение персональных данных другого работника. Поэтому обязательство о неразглашении удобно составлять единым документом с двумя разделами: для персональных данных — ссылка на положение о персональных данных, для коммерческой тайны — ссылка на утверждённый перечень.
Стоимость КЭДО для работы с согласиями и кадровыми документами
Стоимость КЭДО, в котором подписываются согласия, ЛНА и кадровые документы с персональными данными работников, зависит от численности штата и набора функций: видов подписи, интеграции с 1С, электронного архива, требований к размещению данных. Цены приведены на сентябрь 2026 года.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес; минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | — |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль для 1С:ЗУП с автоматической синхронизацией документов | входит в тариф «Бизнес» | установка и настройка за 1 день |
Для компании до 25 человек хватает тарифа «Старт»; при большем штате или необходимости подписывать документы УКЭП и хранить их в электронном архиве расчёт идёт по тарифу «Бизнес» с минимальной оплатой за 50 сотрудников. Состав тарифов и условия перехода между ними опубликованы на странице тарифов Добыто КЭДО: при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Компания становится оператором с первого полученного резюме или первой анкеты, поэтому уведомление в Роскомнадзор, приказ об ответственном, политика и положение о персональных данных готовятся до этой точки, а не после первой проверки. Согласие нужно не везде: для исполнения трудового договора и отчётности достаточно закона, а подбор, передача данных подрядчикам и публикация сведений о сотрудниках требуют отдельного письменного документа. Подрядчик, которому передаются данные, работает по поручению, и отвечает за него перед субъектом компания. Коммерческая тайна защищается только введённым режимом, персональные данные — законом с первого дня.
Добыто закрывает ту часть подготовки, которая связана с кадровыми документами: согласия, ЛНА и документы по личному составу подписываются электронной подписью и хранятся в системе, построенной под требования 152-ФЗ и статей 22.1-22.3 ТК РФ.
Частые вопросы о начале обработки персональных данных
Нужно ли уведомлять Роскомнадзор, если данные сотрудников ведутся только в Excel и 1С?
Да. Исключение части 2 статьи 22 152-ФЗ касается только операторов, которые обрабатывают данные исключительно без использования средств автоматизации. Excel, 1С и электронная почта — это средства автоматизации. Особенности неавтоматизированной обработки описаны в Положении, утверждённом постановлением Правительства РФ от 15.09.2008 № 687: это работа с данными при непосредственном участии человека на бумажных носителях. Если хотя бы часть данных обрабатывается на компьютере, уведомление подаётся.
Должен ли ИП без работников подавать уведомление?
Оператором по пункту 2 статьи 3 152-ФЗ может быть и физическое лицо, включая индивидуального предпринимателя. Если ИП собирает данные клиентов — ФИО, телефоны, адреса доставки — и хранит их в CRM, таблице или мессенджере, он обрабатывает персональные данные с использованием средств автоматизации и подаёт уведомление на общих основаниях. Отсутствие работников на обязанность не влияет: исключения для малого бизнеса в статье 22 нет.
Что делать, если работник отозвал согласие на обработку персональных данных?
Отзыв прекращает обработку только по тем целям, для которых согласие было единственным основанием. Данные, нужные для исполнения трудового договора, расчёта зарплаты и сдачи отчётности, работодатель продолжает обрабатывать на основании закона (часть 2 статьи 9 152-ФЗ). По остальным целям, например публикации фото на сайте, обработка прекращается, а данные уничтожаются в срок, не превышающий 30 дней с даты поступления отзыва (часть 5 статьи 21), если иное не предусмотрено договором или федеральным законом.
Нужно ли согласие работника на передачу сведений в СФР, ФНС и военкомат?
Нет. Статья 88 ТК РФ запрещает передавать данные работника третьей стороне без его письменного согласия, кроме случаев, установленных ТК РФ или иными федеральными законами. Передача сведений в СФР, налоговую отчётность в ФНС и сведения для воинского учёта — обязанности работодателя по закону, для них согласие не берётся. Если передача федеральным законом не предусмотрена, например сведения нужны партнёру для корпоративного мероприятия, письменное согласие работника берётся отдельным документом до передачи.
В какой срок отвечать на запрос работника о его персональных данных?
Оператор предоставляет сведения в течение 10 рабочих дней с даты получения запроса. Срок можно продлить не более чем на 5 рабочих дней, направив субъекту мотивированное уведомление с причинами продления. Ответственный за организацию обработки, назначенный приказом, как раз и организует приём таких запросов, поэтому канал для них — почта, форма, журнал обращений — определяется до начала обработки.
Можно ли включить сведения о работниках в перечень коммерческой тайны?
Частично нельзя. Статья 5 98-ФЗ запрещает относить к коммерческой тайне сведения о численности и составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости, о наличии свободных рабочих мест. Персональные данные конкретных работников защищены 152-ФЗ независимо от режима коммерческой тайны, и включение их в перечень не меняет правил обработки, согласий и сроков хранения.
