Обработка персональных данных без использования средств автоматизации — это обработка, при которой использование, уточнение, распространение и уничтожение данных каждого субъекта выполняются при непосредственном участии человека: личные дела, карточки, журналы, бумажные заявления. Правила задаёт постановление Правительства РФ № 687, действие которого продлено до 01.09.2030. Оператор обособляет персональные данные от иной информации, хранит разные категории на отдельных носителях, утверждает места хранения и перечень допущенных лиц, а уничтожение подтверждает актом. Оператор, который обрабатывает данные исключительно вручную, освобождён от уведомления Роскомнадзора. При смешанной обработке уведомление подаётся до её начала.
Статья помогает проверить, действительно ли ваша обработка ручная, какие реквизиты обязательны в бумажном согласии на обработку персональных данных с 01.09.2025 и что закрепить в ЛНА о хранении носителей. Отдельно разобран вопрос о едином журнале учёта всех бумажных документов с персональными данными: обязательной формы такого журнала закон не устанавливает. Пошаговая инструкция, таблица сроков ответа на запросы субъекта, сроки хранения кадровых документов, штрафы по статье 13.11 КоАП РФ и стоимость перехода на КЭДО — во второй половине статьи.
Когда обработка персональных данных считается неавтоматизированной
Пункты 1-2 Положения, утверждённого постановлением Правительства РФ от 15.09.2008 № 687, связывают ручной режим с действиями над данными, а не с местом их хранения. Обработка считается неавтоматизированной, когда использование, уточнение, распространение и уничтожение данных в отношении каждого субъекта выполняются при непосредственном участии человека. Если сведения содержатся в информационной системе или извлечены из неё, это само по себе не переводит обработку в автоматизированную.
Постановлением Правительства РФ от 18.01.2025 № 12 срок действия документа продлён до 01.09.2030, обновлённая редакция применяется с 26.01.2025. Текст постановления Правительства РФ № 687 в формате PDF размещён на сайте территориального органа Росстата. Продление до 2030 года сверяйте по постановлению № 12, если в сохранённом файле его нет.
Бумажный кадровый архив сам по себе не доказывает, что оператор обрабатывает данные исключительно вручную. Режим определяется по всей совокупности процессов: личные дела могут вестись на бумаге, а сведения о тех же работниках в другом процессе обрабатываться программой. Составьте перечень процессов с персональными данными и по каждому отметьте, кто выполняет использование, уточнение, распространение и уничтожение: человек или программа. По этому перечню решается вопрос об уведомлении Роскомнадзора.
Уведомление Роскомнадзора и обязанности оператора персональных данных в ручном режиме
Пункт 8 части 2 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» освобождает от уведомления только оператора, который обрабатывает персональные данные исключительно без использования средств автоматизации. При смешанной обработке действует общее правило части 1 той же статьи: Роскомнадзор уведомляют до начала обработки.
Уведомление формируется и отправляется через форму уведомления об обработке персональных данных на портале Роскомнадзора. Порядок работы с формой Роскомнадзор описал в информации от 26.12.2022. Перед заполнением подготовьте перечень процессов с персональными данными, составленный по критерию пунктов 1-2 Положения № 687.
Таблица сравнивает обязанности оператора при исключительно ручной и при смешанной обработке.
| Обязанность | Исключительно ручная обработка | Смешанная обработка |
|---|---|---|
| Уведомление Роскомнадзора | Не требуется, п. 8 ч. 2 ст. 22 152-ФЗ | До начала обработки, ч. 1 ст. 22 152-ФЗ |
| Штраф за неуведомление, ч. 10 ст. 13.11 КоАП РФ | Не применяется к освобождённому оператору | Юрлица 100 000-300 000 руб. |
| Подтверждение уничтожения, приказ Роскомнадзора № 179 | Акт | Акт и выгрузка из журнала регистрации событий |
| Законное основание обработки, ч. 1 ст. 6 152-ФЗ | Требуется | Требуется |
| Сроки ответа на запросы субъекта, ст. 20-21 152-ФЗ | Действуют | Действуют |
Ручной режим упрощает два пункта: нет уведомления и не нужна выгрузка из журнала регистрации событий. Конфиденциальность по статье 7 152-ФЗ, законное основание и сроки реагирования на обращения работников сохраняются в любом режиме, поэтому проверьте, за кем в компании закреплено рассмотрение запросов субъектов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Основания обработки и согласие на обработку персональных данных на бумаге
Для кадровой обработки самостоятельным основанием служат закон и трудовые отношения: часть 1 статьи 6 152-ФЗ и глава 14 ТК РФ. Согласие нужно там, где у цели обработки нет другого основания из части 1 статьи 6. Статья 88 ТК РФ ограничивает передачу сведений о работнике третьим лицам и допускает к ним только специально уполномоченных лиц в объёме, необходимом для выполнения их функций.
С 01.09.2025 часть 1 статьи 9 152-ФЗ в редакции статьи 5 Федерального закона от 24.06.2025 № 156-ФЗ требует оформлять согласие отдельно от иной информации и документов, которые субъект подтверждает или подписывает. Правило распространяется и на бумажное согласие: одного пункта внутри трудового договора недостаточно. Отдельный бланк на каждое действие норма не требует, но цели и перечень данных в согласии должны быть конкретными.
Часть 4 статьи 9 перечисляет реквизиты письменного согласия. Норма использует оборот «в частности», поэтому перечень не закрытый:
- ФИО и адрес субъекта, номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган;
- если согласие даёт представитель, те же данные представителя и реквизиты доверенности или иного документа, подтверждающего полномочия;
- наименование или ФИО и адрес оператора;
- цель обработки;
- перечень персональных данных;
- наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если такое поручение есть;
- перечень действий с данными и общее описание способов обработки;
- срок действия согласия и способ его отзыва, если иное не установлено законом;
- подпись субъекта.
Сведения о состоянии здоровья относятся к специальной категории персональных данных. Часть 1 статьи 10 152-ФЗ запрещает их обработку, кроме установленных исключений, а пункт 2.3 части 2 разрешает её в соответствии с трудовым законодательством. Ручной способ исключения не создаёт и не разрешает собирать любые медицинские сведения.
Копировать паспорт закон безусловно не запрещает, но объём данных не должен быть избыточным по отношению к конкретной цели: это части 2, 4 и 5 статьи 5 152-ФЗ. Подпись работника в согласии избыточный сбор и хранение копий не оправдывает. Перед тем как подшить копию или бланк в дело, сверьте каждое поле с целью, ради которой документ хранится.
Соберите бланк согласия на обработку персональных данных под свои цели
Конструктор Добыто формирует файл DOCX согласия с целями, сроком и оговоркой об отзыве по 152-ФЗ. Распечатанный бланк работник подписывает отдельно от трудового договора и других документов.
Требования Положения № 687 к носителям, формам и журналам
По пунктам 4-5 и 9 Положения № 687 персональные данные обособляются от иной информации. На одном материальном носителе нельзя фиксировать данные с заведомо несовместимыми целями, а для разных категорий персональных данных используются отдельные носители.
Пункт 13 требует определить места хранения материальных носителей для каждой категории персональных данных и перечень лиц, которые обрабатывают данные или имеют к ним доступ. Пункт 14 устанавливает раздельное хранение носителей с разными целями, пункт 15 — обеспечение сохранности и исключение несанкционированного доступа. Состав мер, порядок их принятия и ответственных оператор устанавливает сам, поэтому конкретные места хранения закрепляются в его локальном акте.
Лиц, которые обрабатывают персональные данные вручную, по пункту 6 информируют о факте обработки, категориях данных и применимых правилах, включая ЛНА оператора. Статья 87 ТК РФ оставляет порядок хранения и использования данных работников за работодателем при соблюдении ТК РФ и других федеральных законов. Проверьте, есть ли у вас подтверждение, что каждый допущенный сотрудник проинформирован.
Типовые формы, карточки и реестры
Если оператор использует типовые формы, пункт 7 предъявляет требования к самой форме либо к связанным с ней инструкциям, карточкам, реестрам и журналам. В них указываются:
- цель обработки;
- оператор;
- источник получения данных;
- срок обработки;
- действия с данными и способы обработки.
Форма не должна давать субъекту доступ к данным других субъектов и не должна объединять несовместимые цели. Лист, на котором несколько работников по очереди расписываются и видят сведения друг о друге, этому требованию не отвечает.
Бланки, которые заполняет сам работник, тоже служат материальными носителями: в заявлении на ежегодный оплачиваемый отпуск есть наименование организации, ФИО и должность работника, даты отпуска и подпись.
Журнал однократного пропуска на территорию
Для журналов и книг однократного пропуска пункт 8 требует акта оператора. В нём закрепляются цель ведения, способ фиксации и состав запрашиваемых данных, ответственные и допущенные лица, сроки и порядок пропуска. Копировать информацию из такого журнала не допускается, а данные одного субъекта заносятся не более одного раза за каждый проход.
Нужен ли единый журнал учёта бумажных документов с персональными данными
Универсальной обязательной формы журнала учёта всех бумажных персональных данных ни 152-ФЗ, ни Положение № 687 не устанавливают. Специальные требования есть только к журналу посетителей по пункту 8. Пункты 13-15 требуют определить места хранения, допущенных лиц и меры защиты, а способ фиксации оператор выбирает сам и закрепляет в ЛНА.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Шаблоны правил обработки персональных данных, согласия и реестра сотрудников мы публикуем в форматах PDF и DOCX. Реестр сотрудников — сводный список работников: он не заменяет закреплённые в ЛНА места хранения и перечень допущенных лиц.
Шаблоны правил обработки, согласия и реестра для ручного учёта персональных данных
Первым откройте правила обработки персональных данных и сверьте их с пунктами 13-15 Положения № 687, затем подготовьте согласие и реестр.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных (PDF) | Скачать |
| Согласие на обработку персональных данных, бланк (DOCX) | Скачать |
| Реестр сотрудников (DOCX) | Скачать |
Как организовать ручной учёт персональных данных в компании
Что проверить до начала ручного учёта
Перед утверждением ЛНА и раскладкой документов по носителям сверьте исходные условия:
- вся ли обработка в компании выполняется вручную или часть процессов идёт в программе: от этого зависит обязанность уведомить Роскомнадзор;
- назначен ли ответственный за организацию обработки персональных данных;
- есть ли для каждой цели основание из части 1 статьи 6 152-ФЗ или главы 14 ТК РФ, а там, где его нет, отдельное письменное согласие;
- нет ли в делах копий и полей, избыточных для цели хранения;
- обрабатываются ли сведения о здоровье только в пределах, разрешённых трудовым законодательством;
- сверены ли сроки хранения кадровых документов с Перечнем, утверждённым приказом Росархива № 236.
Как вести учёт персональных данных вручную: пошаговая инструкция
- Шаг 1. Составьте перечень категорий персональных данных и целей их обработки. По нему решается, какие сведения нельзя фиксировать на одном носителе.
- Шаг 2. Разнесите данные по материальным носителям: персональные данные обособляются от иной информации, разные категории хранятся на отдельных носителях, несовместимые цели на одном носителе не совмещаются (пункты 4-5 и 9 Положения № 687).
- Шаг 3. Утвердите ЛНА, в котором для каждой категории указаны места хранения носителей и перечень лиц с доступом (пункт 13), порядок раздельного хранения (пункт 14) и меры сохранности (пункт 15).
- Шаг 4. Проинформируйте допущенных сотрудников о факте обработки, категориях данных и правилах, включая ЛНА (пункт 6).
- Шаг 5. Приведите типовые формы, карточки, реестры и журналы к пункту 7: цель, оператор, источник, срок, действия и способы обработки, без доступа субъекта к данным других субъектов.
- Шаг 6. Если на объекте ведётся журнал однократного пропуска, утвердите отдельный акт по пункту 8 с целью, составом данных, ответственными, сроками и порядком пропуска.
- Шаг 7. Закрепите порядок уточнения, блокирования и уничтожения носителей и форму акта уничтожения по требованиям приказа Роскомнадзора № 179.
Блокирование и уничтожение персональных данных на бумажных носителях
Порядок уничтожения части данных по пунктам 9-10 Положения № 687 зависит от носителя. Если носитель не позволяет разделить сведения с несовместимыми целями, его уничтожают или блокируют, предварительно скопировав сведения, которые нужно сохранить. Если позволяет, лишнюю часть удаляют или вымарывают без возможности дальнейшей обработки, а остальные сведения сохраняют.
При достижении цели или отзыве согласия обработку прекращают, а данные уничтожают не позднее 30 дней, если нет основания для дальнейшего хранения (части 4-6 статьи 21 152-ФЗ). Если уничтожить в этот срок невозможно, данные блокируют и уничтожают не позднее 6 месяцев, если законом не установлен иной срок. Безусловной обязанности уничтожить весь кадровый архив норма не создаёт: договорные исключения и законные основания обработки без согласия сохраняются.
Обязательное архивное хранение отзывом согласия не прекращается (часть 5 статьи 21). Срок конкретного документа сверяется с Перечнем, утверждённым приказом Росархива от 20.12.2019 № 236. Трудовые договоры хранятся 50/75 лет (статья 434 Перечня), графики отпусков — 3 года (статья 453), табели и журналы учёта рабочего времени — 5 лет, а при вредных и опасных условиях труда — 50/75 лет (статья 402).
При исключительно неавтоматизированной обработке уничтожение подтверждает акт по Требованиям, утверждённым приказом Роскомнадзора от 28.10.2022 № 179. Приказ действует с 01.03.2023 до 01.03.2029. В акт включаются:
- наименование или ФИО и адрес оператора;
- наименование или ФИО и адрес лица, обрабатывавшего данные по поручению, если поручение было;
- ФИО субъектов или иная информация, относящаяся к определённому или определяемому физическому лицу;
- ФИО и должности лиц, уничтоживших данные, и их подписи;
- категории уничтоженных данных;
- наименование носителя и количество листов;
- способ, причина и дата уничтожения.
Сроки реагирования на обращения и требования субъекта по статьям 20-21 152-ФЗ одинаковы для бумажного и электронного архива.
| Ситуация | Срок | Норма 152-ФЗ |
|---|---|---|
| Запрос о наличии данных и доступе к ним | 10 рабочих дней, продление не более чем на 5 рабочих дней с мотивированным уведомлением | ч. 1 ст. 20 |
| Подтверждено, что данные неточные, неполные или неактуальные | Исправить за 7 рабочих дней | ч. 3 ст. 20 |
| Данные получены незаконно или не нужны для заявленной цели | Уничтожить за 7 рабочих дней с предоставления подтверждений | ч. 3 ст. 20 |
| Обращение или запрос, требующие проверки | Блокирование на период проверки | ч. 1 ст. 21 |
| Выявлена неправомерная обработка | Прекратить не позднее 3 рабочих дней с выявления | ч. 3 ст. 21 |
| Неправомерную обработку невозможно сделать правомерной | Уничтожить не позднее 10 рабочих дней с выявления | ч. 3 ст. 21 |
| Требование субъекта прекратить обработку | 10 рабочих дней, продление до 5 рабочих дней с мотивированным уведомлением; исключения по пп. 2-11 ч. 1 ст. 6 | ч. 5.1 ст. 21 |
| Цель достигнута или согласие отозвано, оснований хранить нет | Уничтожить не позднее 30 дней; если невозможно — блокировать и уничтожить не позднее 6 месяцев | чч. 4-6 ст. 21 |
Кратчайший срок в таблице — 3 рабочих дня на прекращение неправомерной обработки. Чтобы уложиться в него с бумажным архивом, места хранения носителей каждой категории фиксируйте в ЛНА заранее.
Ошибки ручного учёта персональных данных и их цена
Ошибка 1. Считать обработку исключительно ручной при наличии электронного контура. Мотив — бумажный архив создаёт впечатление, что освобождение по пункту 8 части 2 статьи 22 152-ФЗ действует. Если обязанность уведомить была, за неуведомление по части 10 статьи 13.11 КоАП РФ в редакции Федерального закона от 30.11.2024 № 420-ФЗ предусмотрены штрафы: для граждан 5 000-10 000 руб., для должностных лиц 30 000-50 000 руб., для юридических лиц 100 000-300 000 руб. Индивидуальные предприниматели по примечанию 1 к статье 13.11 отвечают как юридические лица.
Ошибка 2. Оставить согласие пунктом трудового договора. Так делают, чтобы не заводить отдельный бланк. С 01.09.2025 согласие оформляется отдельно от других подписываемых документов. Если согласие обязательно, обработка без письменного согласия подпадает под часть 2 статьи 13.11 КоАП РФ: граждане 10 000-15 000 руб., должностные лица 100 000-300 000 руб., юридические лица 300 000-700 000 руб. Для повторного нарушения часть 2.1 устанавливает другие суммы: граждане 15 000-30 000 руб., должностные лица 300 000-500 000 руб., ИП 500 000-1 000 000 руб., юридические лица 1 000 000-1 500 000 руб. Когда кадровая обработка опирается на закон и трудовые отношения, отсутствие согласия само по себе нарушением не становится.
Ошибка 3. Хранить копии всех документов работника про запас. Мотив — копия кажется страховкой на случай проверки. Каждая лишняя копия добавляет носитель, который придётся найти, уточнить, заблокировать или уничтожить в сроки статей 20-21 152-ФЗ, а избыточный объём противоречит статье 5 закона.
Ошибка 4. Складывать разные категории данных на один носитель. Мотив — одна папка на работника проще в ведении. Пункт 9 Положения № 687 требует отдельных материальных носителей для разных категорий, поэтому при частичном уничтожении такой носитель придётся копировать и уничтожать целиком по пункту 9.
Когда ручной учёт перестаёт подходить
Как только кадровые документы подписываются электронной подписью и хранятся в электронном архиве, у оператора появляется автоматизированная обработка. Освобождение от уведомления Роскомнадзора по пункту 8 части 2 статьи 22 на смешанную обработку не распространяется, а уничтожение подтверждается актом и выгрузкой из журнала регистрации событий. Схема ниже сравнивает бумажный кадровый учёт и КЭДО при одинаковой численности по шести параметрам: скорость подписания, доставка документов удалённому работнику, хранение, поиск документа, затраты и риск при проверке трудовой инспекции.
В КЭДО Добыто электронные подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, УКЭП выдают партнёрские удостоверяющие центры, а модуль для 1С:ЗУП устанавливается и настраивается за один день. Срок модуля не равен сроку всего перехода: до начала электронной обработки оператор подаёт уведомление в Роскомнадзор по части 1 статьи 22 152-ФЗ.
Стоимость перехода с бумажного кадрового учёта на КЭДО
Стоимость ведения бумажного журнала и правового аудита на странице тарифов не указана; цены ниже относятся к КЭДО и зависят от численности сотрудников и нужного вида подписи.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП подписи, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | не указан |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, приоритетная поддержка, электронный архив | от 50 ₽ за сотрудника / мес; минимальная оплата 50 сотрудников за 30 000 ₽ в год | не указан |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | По запросу | не указан |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | не указан |
| УКЭП для сотрудников | через партнёров-удостоверяющих центров | не указан |
| Готовый модуль для 1С:ЗУП | в составе интеграции с 1С тарифа «Бизнес» | установка и настройка за один день |
Расчёт идёт за сотрудника в месяц, а при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду. Состав пакетов и условия подключения описаны на странице тарифов Добыто КЭДО. Сроки внедрения по тарифам на странице не приведены, указан только срок установки модуля для 1С:ЗУП.
Выводы
Ручной режим определяется тем, кто выполняет действия с данными каждого работника, и проверяется по всем процессам оператора. Освобождение от уведомления Роскомнадзора действует, только если оператор работает исключительно без средств автоматизации; законное основание, отдельное согласие там, где оно нужно, и сроки ответа на запросы сохраняются в любом режиме. Учёт держится на ЛНА с местами хранения, перечнем допущенных лиц и раздельными носителями, а уничтожение оформляется актом по приказу № 179.
Добыто переводит кадровые документы в КЭДО с электронным архивом и выпуском ПЭП и УНЭП для сотрудников, а шаблоны правил и согласия закрывают ту часть учёта, что остаётся на бумаге.
Ответы на частые вопросы о ручной обработке персональных данных
Относятся ли сведения о зарплате работника к коммерческой тайне?
Коммерческая тайна и персональные данные — разные правовые режимы. Пункт 5 статьи 5 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» запрещает относить к коммерческой тайне сведения о численности и составе работников, системе оплаты и условиях труда. Индивидуальные сведения конкретного работника остаются персональными данными и защищаются по статье 7 152-ФЗ: раскрывать их третьим лицам без согласия можно только в случаях, предусмотренных федеральным законом.
Нужен ли ответственный за обработку персональных данных, если в компании несколько сотрудников и все документы бумажные?
Да, если оператор — юридическое лицо. Часть 1 статьи 22.1 152-ФЗ обязывает назначить ответственного за организацию обработки персональных данных и не содержит исключений ни по малой численности, ни по ручному способу обработки.
Как исправить неверные сведения в бумажной анкете или карточке работника?
По пункту 12 Положения № 687 уточнение вносят на том же материальном носителе. Если это невозможно, изменения фиксируют на нём же или создают новый носитель с уточнёнными данными. Когда неточность подтверждена субъектом, исправление по части 3 статьи 20 152-ФЗ укладывается в 7 рабочих дней.
Сколько хранить акт об уничтожении персональных данных?
Документы, подтверждающие уничтожение, по требованиям приказа Роскомнадзора от 28.10.2022 № 179 хранятся 3 года. При исключительно ручной обработке это акт, при смешанной обработке хранятся и акт, и выгрузка из журнала регистрации событий.
Что делать с анкетой кандидата, которому отказали в приёме?
Если цель обработки достигнута и оснований для дальнейшего хранения нет, по частям 4-6 статьи 21 152-ФЗ обработку прекращают, а данные уничтожают не позднее 30 дней. Если уничтожить в этот срок невозможно, анкету блокируют и уничтожают не позднее 6 месяцев. При исключительно ручной обработке уничтожение бумажной анкеты подтверждается актом по приказу № 179.
