Обработка персональных данных без согласия работника законна: согласие — только одно из оснований части 1 статьи 6 закона 152-ФЗ, и в кадровой работе чаще применяются другие. Работодателю обычно хватает трёх: пункт 2 — исполнение обязанностей, возложенных на оператора законодательством (ТК РФ, налоговый учёт, отчётность в Социальный фонд России, воинский учёт); пункт 5 — исполнение договора, стороной которого является сам субъект, то есть трудового договора; пункт 7 — осуществление законных интересов оператора, если права работника при этом не нарушаются. Главное различие, от которого зависит порядок действий: 152-ФЗ основание даёт, а Трудовой кодекс отдельно требует письменного согласия в двух ситуациях — при получении данных у третьей стороны (статья 86) и при передаче их третьему лицу (статья 88).
Разберём каждое основание по объёму данных, который оно закрывает, и покажем границу, за которой начинается штраф по части 2 статьи 13.11 КоАП: от 300 000 до 700 000 рублей на юридическое лицо. Отдельно собраны случаи, где письменное согласие обязательно всегда, и типовые ошибки кадровой службы, которые Роскомнадзор фиксирует чаще других. Сценарная таблица по ситуациям приёма и проверки, порядок действий при отзыве согласия, стоимость перевода согласий в электронный вид на 2026 год и ответы на частые вопросы — во второй половине статьи.
Согласие — одно из оснований, а не единственное
Часть 1 статьи 6 закона 152-ФЗ перечисляет условия, при которых обработка персональных данных допустима. Согласие субъекта стоит в этом перечне первым пунктом, остальные пункты работают самостоятельно и согласия не требуют: исполнение обязанностей, возложенных на оператора законом, участие в судопроизводстве, исполнение судебного акта, исполнение договора с субъектом, защита жизни и здоровья, законные интересы оператора, журналистская и творческая деятельность, статистические цели с обезличиванием, обязательное раскрытие сведений по закону.
Практическое следствие для кадровой службы: бланк согласия — не универсальный пропуск и не обязательный первый документ при приёме. Он нужен там, где своего основания нет. Если основание есть, согласие ничего не добавляет к законности обработки, а иногда мешает: работник вправе его отозвать, и кадровику приходится объяснять, почему обработка всё равно продолжается.
Обязанность доказывать законность лежит на операторе. По части 3 статьи 9 закона оператор обязан предъявить либо доказательство получения согласия, либо доказательство наличия основания из пунктов 2-11 части 1 статьи 6. На проверке это значит, что «мы обрабатываем по трудовому договору» без документов не работает: нужны политика обработки, перечень целей и состав данных под каждую цель.
Факт: перечень документов при приёме на работу в статье 65 ТК РФ закрытый. Расширить его могут только закон, указ Президента и постановление Правительства — не приказ министерства, не письмо ведомства и не внутренний регламент компании.
Три основания, на которых держится кадровая работа
Из всего перечня статьи 6 работодателю нужны три пункта. Они закрывают разный объём данных, и смешивать их нельзя: при проверке оператор указывает конкретное основание для конкретной цели.
Пункт 2 — обязанности, возложенные законодательством. Сюда попадает всё, что вы обязаны делать независимо от воли работника: вести трудовые книжки и сведения о трудовой деятельности, подавать ЕФС-1 в Социальный фонд России, удерживать и перечислять НДФЛ, вести воинский учёт, оформлять обязательные медосмотры, исполнять требования судебных приставов по исполнительным листам. Согласие здесь не нужно и не имеет смысла: отозвать обязанность работодателя работник не может.
Пункт 5 — исполнение договора, стороной которого является субъект. Трудовой договор подпадает под эту норму. Основание закрывает данные, без которых договор не исполняется: ФИО, паспортные данные, СНИЛС, ИНН по инициативе работника, должность, размер оплаты, реквизиты счёта для перечисления зарплаты, табельный учёт. Ключевое ограничение — объём. Как только состав данных выходит за пределы необходимого для исполнения договора, основание перестаёт работать.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Пункт 7 — законные интересы оператора. Самое спорное основание и единственное с встроенным условием: обработка допустима, «если при этом не нарушаются права и свободы субъекта персональных данных». На нём держатся пропускной режим, видеонаблюдение в производственных помещениях, служебные телефонные справочники, учёт выданных материальных ценностей. Условие не формальное: работников нужно проинформировать, объём данных ограничить целью, а саму цель зафиксировать в локальном нормативном акте.
| Основание | Что закрывает | Где заканчивается |
|---|---|---|
| Пункт 2 части 1 статьи 6: обязанности по закону | Трудовая книжка и сведения о трудовой деятельности, ЕФС-1, НДФЛ, воинский учёт, медосмотры, исполнительные производства | На данных, которые ни один закон от работодателя не требует |
| Пункт 5: исполнение трудового договора | ФИО, паспорт, СНИЛС, должность, оплата, банковские реквизиты, учёт рабочего времени | На данных, без которых договор исполняется: хобби, соцсети, фотография для сайта |
| Пункт 7: законные интересы оператора | Пропускной режим, видеонаблюдение, внутренние справочники, учёт имущества | Там, где нарушаются права работника или отсутствует информирование и ЛНА |
| Пункт 6: защита жизни и здоровья | Передача данных при несчастном случае, вызов скорой помощи, эвакуация | Действует, только если получить согласие невозможно |
| Пункты 3 и 3.1: судопроизводство и исполнение актов | Подготовка позиции по трудовому спору, ответ на запрос суда и пристава | На данных, не относящихся к предмету спора или исполнительного документа |
Из таблицы следует рабочий приём: сначала формулируется цель обработки, потом под неё подбирается основание, и только после этого определяется состав данных. Обратный порядок — собрать данные, а потом искать, чем их прикрыть — и даёт большинство нарушений.
Где 152-ФЗ разрешает, а Трудовой кодекс требует согласия
Самая частая ошибка юриста, который пришёл в кадры из другой отрасли: он проверяет основание по статье 6 закона 152-ФЗ, находит его и останавливается. Для работников этого мало. Глава 14 ТК РФ содержит специальные нормы, которые действуют параллельно и добавляют требование письменного согласия там, где закон о персональных данных его не требует.
Статья 86 ТК РФ: все персональные данные работника работодатель получает у него самого. Если данные можно получить только у третьей стороны, работник уведомляется об этом заранее, и от него берётся письменное согласие. Работодатель обязан сообщить цели, предполагаемые источники и способы получения данных, характер сведений и последствия отказа дать согласие. Отсюда следует, что запрос характеристики у прошлого работодателя, обращение в бюро кредитных историй и проверка кандидата силами внешнего подрядчика требуют отдельного письменного согласия независимо от того, что вы нашли в статье 6.
Статья 88 ТК РФ: работодатель не сообщает персональные данные работника третьей стороне без письменного согласия, кроме случаев предупреждения угрозы жизни и здоровью и других случаев, прямо предусмотренных ТК РФ или федеральными законами. Передача данных в Социальный фонд России, налоговую и военкомат — как раз «другие случаи по федеральным законам», согласия не требуют. Передача в коммерческий банк для зарплатного проекта, в страховую компанию по добровольному медицинскому страхованию, в облачный сервис — не требуют только тогда, когда для них нашлось самостоятельное законное основание.
Мария Ж, судебный эксперт по трудовому праву: «Типовая ситуация выглядит так: служба безопасности просит кандидата принести справку о доходах с прошлого места работы или характеристику. Законного основания у такого требования нет, перечень статьи 65 ТК РФ закрытый. Кандидат вправе отказать, и отказать ему в приёме на работу по этой причине нельзя. Если сведения о прошлом месте работы вам действительно нужны, берите письменное согласие по статье 86 и запрашивайте их сами.»
Разница между двумя режимами доходит до конкретных документов. По 152-ФЗ форма согласия свободная, письменная форма обязательна только для случаев из части 4 статьи 9. По ТК РФ согласие на получение данных у третьей стороны и на их передачу требуется именно письменное. В КЭДО это закрывается подписанием электронного документа, но сам документ должен быть.
Как определить, нужно ли согласие: пошаговая инструкция
- Шаг 1. Сформулируйте цель обработки одной фразой без союза «и»: выплата заработной платы, ведение воинского учёта, пропускной режим. Две цели в одной формулировке — признак того, что оснований тоже два.
- Шаг 2. Проверьте, есть ли прямая обязанность по закону. Если норма ТК РФ, НК РФ или закона о воинской обязанности предписывает вам это делать, работает пункт 2 части 1 статьи 6, согласие не нужно.
- Шаг 3. Если обязанности нет, проверьте, исполняется ли без этих данных трудовой договор. Если нет — работает пункт 5. Если договор исполняется и без них, основание отсутствует.
- Шаг 4. Проверьте по главе 14 ТК РФ: данные берутся у третьей стороны или передаются третьей стороне? Если да, письменное согласие нужно даже при наличии основания по статье 6.
- Шаг 5. Проверьте категорию данных. Сведения о здоровье, биометрия и распространение данных неограниченному кругу лиц идут по отдельным правилам статей 10, 11 и 10.1 закона.
- Шаг 6. Зафиксируйте результат: цель, основание, состав данных, срок хранения и способ уничтожения вносятся в политику обработки и в приказ об утверждении перечня обрабатываемых данных.
- Шаг 7. Проверьте, подано ли уведомление об обработке. С 30 мая 2025 года прежние исключения из части 2 статьи 22 закона не действуют, и работодатель подаёт уведомление до начала обработки.
Образцы согласий и локальных актов по обработке данных
Комплект собран под разные основания обработки: начните с базового согласия, а дальше добавляйте только те документы, для которых у вас нет самостоятельного основания по статье 6.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
| Согласие на проверку кредитной истории | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
Случаи, когда письменное согласие обязательно всегда
Четыре зоны, где ссылка на трудовой договор или на обязанность по закону не спасает.
Специальные категории данных. Сведения о состоянии здоровья, национальности, политических взглядах, религиозных убеждениях, судимости обрабатываются по статье 10 закона. Исключение для работодателя есть: пункт 2.3 части 2 статьи 10 допускает обработку в соответствии с трудовым законодательством, законодательством о государственной социальной помощи и пенсионным законодательством. Поэтому заключение по итогам обязательного медосмотра с выводом «годен» вы обрабатываете без согласия, а диагноз, который работник принёс по своей инициативе, в личном деле хранить не должны.
Биометрия. Статья 11 закона требует письменного согласия на обработку биометрических персональных данных, за исключением случаев, прямо названных в законе: оборона, безопасность, противодействие терроризму, транспортная безопасность, правосудие, исполнительное производство. Система контроля доступа по отпечатку пальца или по распознаванию лица в обычной коммерческой компании в этот перечень не входит — без согласия каждого работника она незаконна. Отказ работника от биометрии не может быть основанием для отказа в приёме на работу: в этом случае у него должен остаться альтернативный способ прохода.
Распространение данных. Публикация фотографии, должности и контактов работника на сайте компании, в соцсетях или на доске почёта — это распространение, и оно идёт по статье 10.1 закона с отдельным согласием по форме, установленной Роскомнадзором. Согласие на обработку такое разрешение не заменяет, молчание работника согласием не считается.
Передача данных внешнему обработчику. Облачная система КЭДО, внешняя бухгалтерия, аутсорсинг проверки кандидатов, удостоверяющий центр, выпускающий сертификаты подписи, — всё это третьи лица по смыслу статьи 88 ТК РФ. При подключении Добыто мы закладываем пилотную группу и на ней проверяем формулировку согласия на передачу: если в тексте перечислены не все получатели доступа, ошибка обнаруживается на пилотной группе, а не после сбора подписей по всему штату.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Вопрос, который стоит задать вендору прямо: перечислите всех, кто получит доступ к данным. Не «данные хранятся защищённо», а список лиц. Обычно там не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр. Каждого из них вы называете работнику в согласии на передачу данных третьим лицам, иначе согласие не покрывает то, что происходит фактически.»
Внимание: доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Разграничение доступа по ролям и журнал обращений к документам проверяются наравне с наличием согласий.
Типовые ситуации кадровика: нужно согласие или нет
Таблица собрана по ситуациям, которые чаще всего вызывают спор внутри компании между кадровой службой, юристом и службой безопасности.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Ситуация | Согласие | Основание или условие |
|---|---|---|
| Сведения о приёме в составе ЕФС-1 в Социальный фонд России | Не нужно | Обязанность по закону, пункт 2 части 1 статьи 6 |
| Перечисление зарплаты на счёт в банке работодателя | Не нужно | Исполнение трудового договора, пункт 5; реквизиты указывает сам работник |
| Запрос характеристики у прежнего работодателя | Нужно письменное | Получение данных у третьей стороны, статья 86 ТК РФ |
| Проверка кандидата внешним подрядчиком | Нужно письменное | Передача третьему лицу, статья 88 ТК РФ; подрядчик тоже оператор |
| Заключение медосмотра с выводом о годности | Не нужно | Пункт 2.3 части 2 статьи 10, обработка по трудовому законодательству |
| Фотография работника на сайте компании | Нужно отдельное | Согласие на распространение по статье 10.1 по форме Роскомнадзора |
| Проход по отпечатку пальца или распознаванию лица | Нужно письменное | Статья 11; нужен альтернативный способ прохода для отказавшихся |
| Видеонаблюдение в производственном помещении | Не нужно при условии | Пункт 7: цель в ЛНА, информирование работников, зоны отдыха не снимаются |
| Передача документов в облачный сервис КЭДО | Нужно письменное | Передача третьим лицам с перечислением всех получателей доступа |
Ни одна строка таблицы не отменяет обязанности описать цель и состав данных в политике обработки. Строка «не нужно» означает «не нужно согласие», а не «не нужны документы».
Мария Ж, HR-эксперт с 13-летним стажем: «ИНН при приёме требовать нельзя: налоговая не может отказать в приёме отчётности из-за его отсутствия в сведениях о получателях доходов. Свидетельства о рождении детей — тоже не документ для приёма, работник приносит их сам ради налогового вычета и гарантий. Место таких документов в бухгалтерии под конкретную цель, а не в личном деле «на всякий случай».»
Что происходит, когда работник отзывает согласие
Отзыв согласия не останавливает обработку автоматически. По части 2 статьи 9 закона при отзыве оператор вправе продолжить обработку без согласия при наличии любого из оснований пунктов 2-11 части 1 статьи 6. Работодатель, который правильно разложил цели по основаниям, отвечает на отзыв спокойно: расчёт зарплаты, кадровый учёт и отчётность продолжаются, потому что держатся не на согласии.
Прекращать придётся то, что было основано именно на согласии: рассылку корпоративных поздравлений, публикацию фотографии на сайте, передачу данных подрядчику по проверке, участие в добровольном медицинском страховании. Срок реакции — 30 дней с даты поступления отзыва, если соглашением с работником не установлено иное. Ответ на письменный запрос работника о его данных даётся в течение 10 рабочих дней, срок продлевается не более чем на 5 рабочих дней с мотивированным уведомлением.
В практике Добыто мы разводим согласия по отдельным документам именно из-за отзыва. Когда согласие на обработку, согласие на распространение и согласие на передачу подрядчику — три разных подписанных документа, отзыв одного из них не ломает остальные процессы. Когда это один документ на всё, отзыв останавливает сразу всё, и кадровой службе приходится собирать подписи заново.
Полезно знать: при выборе системы КЭДО кадровики чаще всего голосуют за хранение персональных данных на своих серверах, гибкость, стоимость и интерфейс. Интеграция с сервисом государственных подписей набирает меньше голосов, хотя именно она снимает работу по выдаче и отзыву ключей.
Цена ошибки: сколько стоит обработка без основания
Часть 1 статьи 13.11 КоАП — обработка в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора: для должностных лиц от 50 000 до 100 000 рублей, для юридических лиц от 150 000 до 300 000 рублей. Часть 2 — обработка без письменного согласия там, где оно обязательно, либо с нарушением требований к составу сведений в согласии: должностные лица от 100 000 до 300 000 рублей, юридические лица от 300 000 до 700 000 рублей.
Отдельный состав добавился за неподачу уведомления об обработке: должностные лица от 30 000 до 50 000 рублей, организации и предприниматели от 100 000 до 300 000 рублей. С 30 мая 2025 года освобождения, которыми раньше пользовались работодатели, не действуют, поэтому компании, обрабатывающие только данные своих работников, тоже подают уведомление. Форму и порядок заполнения удобно сверять на портале персональных данных Роскомнадзора, где выложена действующая форма уведомления об обработке.
Штраф — не единственная часть счёта. Предписание требует привести документы в порядок в установленный срок, а это пересбор согласий по всему штату. В компании на 500 человек повторный сбор подписей на бумаге занимает несколько недель и упирается не в юриста, а в логистику: отпуска, командировки, вахта, филиалы. В сервисе Добыто такой пересбор идёт через личные кабинеты и закрывается за один-два дня, потому что подписание не требует очной явки.
Когда переход на работу без согласий не подходит
Минимизация согласий хороша не для всех. Если ваша модель обработки завязана на маркетинг персонала, публичные рейтинги сотрудников, передачу данных в группу компаний или обработку на зарубежной инфраструктуре, ни одно основание статьи 6 эти цели не закрывает — согласие остаётся обязательным, и убирать его нельзя.
Второе ограничение — холдинговые структуры. Передача данных работника в управляющую компанию или в общий центр обслуживания требует основания, и «мы одна группа» таким основанием не является: юридические лица разные, значит это передача третьей стороне по статье 88 ТК РФ.
Третье — кандидаты. До заключения трудового договора пункт 5 части 1 статьи 6 не работает в полном объёме: договора ещё нет. Резюме, присланное самим кандидатом, вы обрабатываете для рассмотрения его обращения, а хранение резюме в базе после отказа и любые проверки по внешним источникам требуют согласия.
Мария Ж, юрист со стажем более 20 лет: «Компании, которые проверяют кандидатов через внешнего подрядчика, часто забывают, что подрядчик — самостоятельный оператор персональных данных со своим уведомлением в Роскомнадзоре. Работодатель получает согласие кандидата, подрядчик работает уже на его основании. Проверьте перед заключением договора две вещи: есть ли подрядчик в реестре операторов и в какой срок он уничтожает переданные ему данные после сдачи отчёта.»
Стоимость перевода согласий и кадровых документов в электронный вид
Стоимость зависит от численности штата и набора функций: базовое подписание, интеграция с учётной системой или выделенный контур.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | годовой период |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за один день |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по мере подключения |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
Итоговая сумма считается от численности штата и выбранного набора функций, а для крупных компаний зависит ещё и от требований к размещению данных. Актуальные условия по каждому тарифу и состав включённых опций собраны на странице тарифов ДОБЫТО КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных, поэтому согласия, локальные акты и сами кадровые документы подписываются в одном контуре и хранятся вместе с файлами подписей.
Выводы
Работодатель обрабатывает большую часть данных работников без согласия: обязанности по закону, исполнение трудового договора и законные интересы оператора закрывают кадровый учёт, отчётность, расчёты и пропускной режим. Согласие остаётся там, где своего основания нет: получение данных у третьей стороны, передача третьим лицам, биометрия, распространение и обработка спецкатегорий за пределами трудового законодательства. Разложить цели по основаниям выгоднее, чем собирать одно универсальное согласие: отзыв такого согласия не останавливает кадровую работу, а состав документов выдерживает проверку.
Мы в Добыто помогаем компаниям разложить обработку по целям и перевести согласия, политику и локальные акты в электронный вид так, чтобы при запросе Роскомнадзора или ГИТ комплект выгружался целиком — документ, файл подписи и журнал обращений.
Частые вопросы
Нужно ли согласие на обработку данных самозанятого исполнителя по договору ГПХ
Нормы главы 14 ТК РФ на исполнителей по гражданско-правовому договору не распространяются: они не работники. Обработка данных, необходимых для заключения и исполнения договора возмездного оказания услуг, идёт по пункту 5 части 1 статьи 6 закона 152-ФЗ, а передача сведений в налоговую по выплатам — по пункту 2. Отдельное согласие понадобится для проверки исполнителя по внешним источникам и для хранения его данных после завершения договора сверх срока, установленного для отчётности.
Можно ли хранить копии паспорта и других документов в личном деле
Роскомнадзор последовательно считает избыточным хранение копий, когда цель достигается внесением реквизитов в кадровые документы. Паспортные данные нужны для оформления трудового договора и отчётности, а сама копия для этого не требуется. Если компания настаивает на копиях, основание по статье 6 под эту цель отсутствует, и потребуется отдельное согласие с указанием цели и срока хранения.
Требуется ли согласие работника на передачу данных в бюро кредитных историй или в банк
Запрос кредитной истории идёт по закону о кредитных историях и требует отдельного письменного согласия субъекта: это ещё и получение данных у третьей стороны по статье 86 ТК РФ. Передача реквизитов в банк, через который компания выплачивает зарплату, согласия не требует, поскольку счёт работник указывает сам, а перечисление — исполнение трудового договора.
Что делать, если работник отказывается подписывать согласие
Сначала проверьте, нужно ли оно вообще. Если у обработки есть основание из пунктов 2-11 части 1 статьи 6, отказ ничего не меняет: обработка продолжается. Если основание — только согласие, отказ означает, что соответствующая обработка не ведётся. Отказ в приёме на работу по этой причине неправомерен, а понуждение подписать согласие под угрозой отказа Роскомнадзор квалифицирует как получение согласия с пороком добровольности.
Сколько хранить согласие после увольнения
Срок обработки заканчивается достижением цели. Согласие хранится столько, сколько хранится документ, законность обработки которого оно подтверждает, и не меньше срока, установленного для соответствующей кадровой документации. Отдельно фиксируйте порядок уничтожения: по требованиям к подтверждению уничтожения оператор оформляет акт, а при автоматизированной обработке — выгрузку из журнала. Без акта доказать факт уничтожения на проверке нечем.
Нужно ли переоформлять согласия при переходе на электронный кадровый документооборот
Переход на КЭДО сам по себе не отменяет ранее полученные согласия, если цели и состав данных не изменились. Переоформление требуется, когда появляется новый получатель данных: облачный провайдер, оператор инфраструктуры или удостоверяющий центр. В согласии перечисляются все, кому данные передаются, поэтому старая формулировка «третьим лицам» фактического состава получателей не покрывает.
Обязательно ли уведомлять Роскомнадзор компании из двух человек
Да. С 30 мая 2025 года прежние исключения из части 2 статьи 22 закона 152-ФЗ не применяются, и обязанность подать уведомление до начала обработки распространяется на всех операторов независимо от численности, включая индивидуальных предпринимателей с наёмными работниками. За неподачу предусмотрен штраф: должностным лицам от 30 000 до 50 000 рублей, организациям и предпринимателям от 100 000 до 300 000 рублей.
