Обработка персональных данных без использования специальных средств риски для компании

Обработка персональных данных без использования специальных средств — это действия с данными каждого работника или кандидата, которые выполняет человек: бумажные личные дела, анкеты, журналы пропусков, ручная сверка документов. Порядок такой обработки задаёт постановление Правительства РФ № 687, срок его действия продлён до 01.09.2030 без изменения правил. Компания обязана хранить носители с разными целями раздельно, определить места хранения и допущенных работников, проинформировать каждого допущенного о правилах обработки. От уведомления Роскомнадзора освобождает только деятельность исключительно без автоматизации: общее кадровое исключение отменено с 01.09.2022. Если часть операций с данными работников выполняет программа, обработка смешанная: уведомление подаётся до начала обработки, а уничтожение подтверждается актом и выгрузкой из журнала регистрации событий.

Материал помогает определить режим обработки в вашей компании, проверить, когда таблица Excel перестаёт быть ручным инструментом, и закрыть требования к бумажным носителям без избыточных мер. Отдельно показано, как согласие на обработку персональных данных соотносится с другими основаниями по 152-ФЗ и что меняет требование об отдельном документе с 01.09.2025. Таблица штрафов по статье 13.11 КоАП РФ, сроки 24 и 72 часа при утечке, сроки хранения личных дел после увольнения, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.

Что считается обработкой без средств автоматизации и где граница с Excel

Пункт 1 Положения, утверждённого постановлением Правительства РФ от 15.09.2008 № 687, признаёт обработку неавтоматизированной, если использование, уточнение, распространение и уничтожение данных каждого субъекта идут при непосредственном участии человека. Критерий привязан к операциям с данными конкретного работника, кандидата или родственника работника. Место хранения его не определяет: хранение сведений в информационной системе или их извлечение оттуда само по себе автоматизацию не доказывает.

Формат файла режим тоже не определяет. Excel не становится ручным инструментом оттого, что это простая таблица, и не превращается в автоматизированную систему только потому, что открыт на компьютере. Оценивается, какие действия с данными каждого человека выполняет специалист по кадрам, а какие — программа. Когда в компании бумажные личные дела ведут вручную, а часть операций выполняет кадровая программа, процесс смешанный и включает оба режима с требованиями каждого из них.

Постановление № 687 действует в редакции с изменениями от 26.01.2025: постановление Правительства РФ от 18.01.2025 № 12 продлило срок его действия до 01.09.2030 и не изменило сами правила ручной обработки. Требования к носителям, журналам и хранению, которые компания выстроила по постановлению № 687, сохраняют силу на весь этот период.

Для самопроверки составьте перечень всех носителей с персональными данными: личные дела, личные карточки, анкеты, журналы, файлы на общих дисках. Для каждого запишите, кто и какие операции с данными выполняет. Если хотя бы по одному носителю операции выполняет программа, режим вашей компании смешанный.

Уведомление Роскомнадзора при ручной обработке: когда его можно не подавать

Статья 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обязывает оператора уведомить Роскомнадзор до начала обработки. Исключения перечислены в частях 2 и 3 статьи закрытым перечнем. Федеральный закон от 14.07.2022 № 266-ФЗ с 01.09.2022 отменил прежние пункты 1-6 части 2, включая исключение для кадровой обработки.

Для ручной обработки остаётся пункт 8 части 2 статьи 22: уведомление не нужно, если оператор ведёт деятельность по обработке персональных данных исключительно без использования средств автоматизации. Условие относится ко всей деятельности оператора. Бумажные личные дела в сочетании с автоматизированными операциями в кадровой программе исключения не дают, как и любой другой смешанный процесс. Пункты 7 и 9 части 2 касаются других, прямо названных в законе случаев.

Уведомление содержит по каждой цели обработки категории данных и субъектов, правовое основание, перечень действий и способы обработки. Сроки первоначального уведомления, бумажный и электронный способы подачи описаны на странице Роскомнадзора для юридических лиц. Компании, которая до 2022 года опиралась на кадровое исключение и с тех пор автоматизировала часть операций, стоит заново проверить, подпадает ли она под пункт 8.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Требования к компании различаются в зависимости от режима обработки:

Режим определяют по всей деятельности оператора: одна автоматизированная операция переводит компанию из первой строки таблицы во вторую, с уведомлением и требованиями к ИСПДн.

Согласие на обработку персональных данных и другие основания для кадровых данных

Статья 6 152-ФЗ называет согласие одним из оснований обработки. Самостоятельным основанием служат также исполнение обязанностей, которые закон возлагает на оператора, исполнение договора с субъектом и законные интересы оператора или третьих лиц при условии, что права и свободы субъекта не нарушаются (пункт 7 части 1 статьи 6). Цели кадровой обработки перечислены в пункте 1 статьи 86 Трудового кодекса РФ: соблюдение законов, содействие в трудоустройстве, обучении и продвижении, обеспечение безопасности работников, контроль работы и сохранность имущества.

Статья 86 ТК РФ не разрешает собирать данные сверх цели: принципы соответствия цели и необходимости действуют для каждого документа. Статьи 87-90 ТК РФ регулируют хранение и использование данных, их передачу, права работника и ответственность; статья 88 ограничивает передачу данных и доступ к ним.

Письменное согласие требуется в случаях, предусмотренных федеральным законом, а не для любой кадровой операции. С 01.09.2025 часть 1 статьи 9 152-ФЗ требует оформлять согласие отдельно от иной информации и документов, которые субъект подтверждает или подписывает. В бумажном документообороте согласие поэтому оформляют отдельным документом, без встраивания в трудовой договор, анкету или заявление о приёме. Оператор обязан доказать наличие согласия или другого основания обработки, и подписанный экземпляр хранят так, чтобы его можно было предъявить при проверке.

Часть 4 статьи 9 152-ФЗ называет 9 обязательных реквизитов письменного согласия:

1. Фамилия, имя, отчество и адрес субъекта, номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган.
2. Те же сведения о представителе субъекта и реквизиты документа о его полномочиях, если согласие даёт представитель.
3. Наименование или фамилия, имя, отчество и адрес оператора.
4. Цель обработки.
5. Перечень персональных данных, на обработку которых даётся согласие.
6. Наименование или фамилия, имя, отчество и адрес лица, которое обрабатывает данные по поручению оператора, если обработка поручена или будет поручена.
7. Перечень действий с данными и общее описание используемых способов обработки.
8. Срок действия согласия и способ его отзыва, если иное не установлено федеральным законом.
9. Подпись субъекта.

Перед подписанием сверьте цель в согласии с целью в правилах обработки и проверьте, что перечень данных не шире того, что нужен для этой цели.

Соберите согласие на обработку персональных данных под цели вашей компании

Конструктор Добыто формирует файл .docx согласия с целями, сроком и оговоркой об отзыве по 152-ФЗ. Юридическое соответствие за оператора он не проверяет: перечень данных, сведения об обработчике по поручению и подпись субъекта сверьте с девятью реквизитами выше и распечатайте согласие отдельным документом.

Шаблоны правил обработки и согласия на обработку персональных данных

Начните с шаблона согласия и сверьте его с реквизитами части 4 статьи 9, затем проверьте шаблон правил обработки на соответствие поправкам 152-ФЗ, действующим с 2025 года.

Требования постановления № 687 к бумажным носителям и журналам

При ручной обработке персональные данные обособляют от иной информации. Положение запрещает фиксировать на одном материальном носителе данные, цели обработки которых заведомо несовместимы, а для разных категорий данных требует отдельных носителей. Правила обработки, которые утверждает оператор, учитывают требования Положения.

Работники оператора и лица, привлечённые по договору, которые обрабатывают данные вручную, должны быть проинформированы о факте обработки, категориях данных, правилах и особенностях такой обработки (пункт 6 Положения). Требование распространяется на подрядчиков: внешний кадровый учёт или архивное хранение по договору не выводят исполнителя из перечня допущенных лиц.

Типовые формы — анкеты, журналы, карточки — содержат цель обработки, наименование и адрес оператора, сведения о субъекте и его адрес, источник получения данных, сроки обработки, перечень действий и общее описание способов. Если согласие требуется, в форме предусмотрено поле для него. Форму составляют так, чтобы каждый субъект мог ознакомиться со своими данными без нарушения прав других, и не объединяют в ней поля для заведомо несовместимых целей.

Для журналов, реестров и книг однократного пропуска на территорию оператор утверждает акт. В нём определены необходимость ведения журнала, цель, способ фиксации и состав сведений, лица с доступом и ответственные, сроки обработки и порядок пропуска без проверки подлинности сообщённых сведений. Копировать записи журнала запрещено, а данные каждого субъекта вносятся не более одного раза за каждый пропуск.

Уточнение данных на бумаге идёт через обновление или изменение записи на том же носителе, а если это технически невозможно — через фиксацию на новом носителе. Чтобы уничтожить или заблокировать часть данных, сохраняемые сведения сначала копируют, затем уничтожают или блокируют носитель. Если носитель позволяет, ненужную часть удаляют или вымарывают с сохранением обработки остальных данных. Те же правила действуют, когда на одном листе соседствуют персональные данные и иная информация.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

По каждой категории данных оператор определяет места хранения материальных носителей и перечень допущенных лиц. Носители для разных целей хранят раздельно, меры сохранности, порядок их применения и ответственных устанавливает оператор. Статьи 18.1, 19 и 22.1 152-ФЗ добавляют назначение ответственного за организацию обработки, политику и локальные акты, внутренний контроль и обучение допущенных работников. Покупать конкретное специальное ПО для любой ручной обработки эти нормы не обязывают: состав мер зависит от способа обработки и наличия ИСПДн.

Как привести ручную обработку в соответствие с постановлением № 687: пошаговая инструкция

1. Шаг 1. Проведите инвентаризацию носителей с персональными данными и определите режим: исключительно ручной или смешанный.
2. Шаг 2. Разделите данные по целям и категориям: данные с несовместимыми целями и данные разных категорий переносите на отдельные носители.
3. Шаг 3. Утвердите места хранения по каждой категории, перечень допущенных лиц, меры сохранности и ответственных; назначьте ответственного за организацию обработки.
4. Шаг 4. Проинформируйте каждого допущенного работника и исполнителя по договору о факте обработки, категориях данных и правилах обработки.
5. Шаг 5. Приведите анкеты, карточки и журналы в соответствие с пунктом 7 Положения и утвердите акт о ведении журнала пропусков.
6. Шаг 6. Закрепите порядок уточнения, блокирования и уничтожения данных на бумаге, включая вымарывание, и форму акта об уничтожении.
7. Шаг 7. По итогам шага 1 решите вопрос с уведомлением Роскомнадзора: при смешанном режиме его подают до начала обработки.

Штрафы по статье 13.11 КоАП РФ за нарушения при обработке персональных данных

Санкции для юридических лиц в действующей на дату публикации редакции статьи 13.11 КоАП РФ разделены по составам. Части 1 и 2 изменены федеральными законами от 30.11.2024 № 420-ФЗ и от 12.12.2023 № 589-ФЗ, составы о неподанных уведомлениях и утечках действуют с 30.05.2025.

Для ручной обработки закон выделяет отдельный состав, часть 6, и он наступает только при последствиях в виде доступа к данным. Квалификация и размер санкции зависят от обстоятельств конкретного дела, повторность определяется по примечаниям к статье.

Во что обходится ошибка в определении режима

Компания, которая считает обработку ручной из-за бумажных личных дел и не подаёт уведомление, хотя часть операций выполняет программа, нарушает статью 22 152-ФЗ. Для юрлица это санкция по части 10 от 100 000 до 300 000 рублей. Если в той же компании согласие, обязательное в письменной форме, включено в трудовой договор вместо отдельного документа, отдельно возникает риск по части 2.

Передача данных подрядчику ответственность с оператора не снимает. Постановлением Верховного Суда РФ от 21.01.2026 № 5-АД25-119-К2 оставлен в силе штраф Минтруду по делу об утечке 1 400 строк данных сотрудников и их родственников: передача базы подрядчику не освободила оператора от ответственности за отсутствие надлежащих мер защиты и контроля за подрядчиком. Дело касалось базы данных, а не бумажного архива. Для ручного процесса из него следует практическое действие: включите исполнителей с доступом к личным делам в перечень допущенных лиц и проинформируйте их по пункту 6 Положения № 687.

Утечка кадровых документов: уведомление Роскомнадзора за 24 и 72 часа

Часть 3.1 статьи 21 152-ФЗ обязывает оператора, который выявил неправомерную или случайную передачу, предоставление, распространение или доступ к персональным данным, повлёкшие нарушение прав субъектов, уведомить Роскомнадзор в течение 24 часов. Результаты внутреннего расследования направляются в течение 72 часов. Оба срока отсчитываются с момента выявления инцидента.

Порядок взаимодействия с ведомством установлен приказом Роскомнадзора от 14.11.2022 № 187. Уведомление подают через электронную форму Роскомнадзора, бумажное представление закон тоже предусматривает. Действующая редакция нормы опубликована в тексте 152-ФЗ на сайте Минтруда России.

Для бумажных носителей моментом выявления служит обнаружение пропажи личного дела или передачи документов постороннему лицу. Чтобы уложиться в 24 часа, в правилах обработки закрепляют, кто фиксирует время выявления, кто готовит уведомление и кто проводит расследование. Неподанное или несвоевременное уведомление об инциденте квалифицируется по части 11 статьи 13.11 КоАП РФ отдельно от самой утечки.

Сроки хранения и уничтожение кадровых документов после увольнения

После достижения цели обработки оператор прекращает её и уничтожает данные не позднее 30 дней, если закон, договор или иное соглашение не дают основания продолжать хранение (части 4-6 статьи 21 152-ФЗ). При отзыве согласия тот же 30-дневный срок применяется, если хранение больше не требуется и у оператора нет самостоятельного основания. Если уничтожить данные в срок невозможно, их блокируют и уничтожают в течение не более 6 месяцев, если иной срок не установлен федеральным законом.

Увольнение работника архивное хранение не прекращает. Статья 22.1 Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации» устанавливает срок 75 лет для документов, делопроизводство по которым закончено до 01.01.2003, и 50 лет — после 01.01.2003. Часть 4 той же статьи отступает от общего правила, если действующий перечень устанавливает другой срок. В перечне, утверждённом приказом Росархива от 20.12.2019 № 236, личные дела указаны в статье 445, личные карточки — в статье 444, трудовые договоры и соглашения об их изменении и расторжении — в статье 435.

Уничтожение подтверждают по приказу Роскомнадзора от 28.10.2022 № 179, который действует с 01.03.2023 до 01.03.2029. При исключительно ручной обработке оформляют акт, при смешанной и автоматизированной к акту прилагают выгрузку из журнала регистрации событий. В акте указывают оператора и обработчика по поручению, если он есть, субъектов, лиц, уничтоживших данные, категории данных, носители и число листов для ручного режима или наименование ИСПДн для автоматизированного, способ, причину и дату уничтожения.

Электронный архив входит в тариф «Бизнес» КЭДО Добыто. Перенос личных дел в электронный архив сроки хранения по 125-ФЗ не сокращает, а при уничтожении электронных данных к акту понадобится выгрузка из журнала регистрации событий. Сверьте номенклатуру дел со статьями 435, 444 и 445 перечня № 236 до того, как назначать уничтожение.

Коммерческая тайна и персональные данные работников: два режима и два ознакомления

Режим коммерческой тайны регулирует Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне», режим конфиденциальности персональных данных — 152-ФЗ. По статье 11 98-ФЗ работодатель знакомит работника, допущенного к коммерческой тайне, под расписку с перечнем информации, режимом и мерами ответственности. Такое ознакомление не заменяет информирования по пункту 6 Положения № 687 о факте, категориях и правилах обработки персональных данных.

Специалист по кадрам, допущенный к обоим видам информации, подписывает два комплекта документов: расписку по 98-ФЗ и ознакомление с правилами обработки персональных данных. Соглашение о неразглашении, подписанное при приёме, обязанностей оператора по 152-ФЗ не закрывает.

Когда ручной режим перестаёт подходить компании

У исключительно ручной обработки есть одно преимущество перед смешанной: освобождение от уведомления по пункту 8 части 2 статьи 22 152-ФЗ. Оно действует, пока вся деятельность оператора по обработке идёт без средств автоматизации. Цена этого статуса — ограничения Положения № 687: запрет копировать записи журналов, отдельные носители для разных целей и категорий, уничтожение части данных через копирование и уничтожение носителя или вымарывание.

Ручной режим не подходит, если кадровые данные уже обрабатывает программа хотя бы на одном участке: исключение из уведомления потеряно, и компания выполняет требования двух режимов одновременно. Переход на электронный документооборот обязанностей тоже не снимает. Обработку в ИСПДн регулируют постановление Правительства РФ от 01.11.2012 № 1119 об уровнях защищённости и приказ ФСТЭК России от 18.02.2013 № 21 о составе организационных и технических мер. С 01.07.2025 часть 5 статьи 18 152-ФЗ запрещает при сборе данных граждан РФ записывать, систематизировать, накапливать, хранить, уточнять и извлекать их с использованием баз данных за пределами России, кроме прямо названных в законе случаев. Минцифры разъяснило, что требование распространяется на обновление и хранение, включая копии.

В КЭДО Добыто кадровые документы проходят маршрут согласования, у каждого документа есть статус — «Подписано», «Согласование», «На доработку», «Отказ», — а подписанные документы попадают в архив. Сервис заявляет соответствие 152-ФЗ, но статус оператора остаётся за работодателем: уведомление, правила обработки, перечень допущенных лиц и акты об уничтожении компания оформляет сама.

Перед решением о режиме обработки проверьте:

• выполняет ли программа хотя бы одну операцию с данными работников;
• подано ли уведомление в Роскомнадзор и совпадают ли цели в нём с правилами обработки;
• оформлены ли согласия отдельными документами там, где письменное согласие требуется;
• определены ли места хранения и перечень допущенных лиц по каждой категории данных;
• находятся ли базы данных с кадровыми сведениями и их копиями на территории России.

Стоимость перевода кадровых документов на КЭДО: тарифы на 2026 год

Стоимость зависит от численности сотрудников и набора функций: видов подписи, интеграции с 1С, электронного архива.

Цены тарифов «Старт» и «Бизнес» указаны со словом «от» и считаются за сотрудника в месяц, для тарифа «Бизнес» действует минимальная оплата за 50 сотрудников. Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду; состав функций по каждому варианту опубликован на странице тарифов КЭДО Добыто.

Выводы

Ручная обработка персональных данных регулируется постановлением № 687 до 01.09.2030 и освобождает от уведомления Роскомнадзора, только если без автоматизации идёт вся деятельность компании. Режим определяют по операциям с данными каждого человека, поэтому бумажные личные дела рядом с кадровой программой означают смешанную обработку с требованиями обоих режимов. Основные риски сосредоточены в уведомлениях, отдельном согласии, сохранности носителей, реакции на утечку и сроках архивного хранения после увольнения.

КЭДО Добыто ведёт согласование, подписание и архив кадровых документов в одной системе. Правила обработки, уведомление и акты об уничтожении остаются задачей оператора, а электронный архив упрощает их сверку с фактическими документами.

Частые вопросы об обработке персональных данных без автоматизации

Нужно ли указывать в согласии подрядчика, которому передан кадровый учёт?

Если обработка идёт на основании письменного согласия, пункт 6 части 4 статьи 9 152-ФЗ требует указать наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если обработка поручена или будет поручена. Статья 88 ТК РФ ограничивает передачу данных работника, а исполнитель, обрабатывающий данные вручную, по пункту 6 Положения № 687 должен быть проинформирован о правилах обработки. Ответственность за действия подрядчика остаётся на операторе.

Что делать, если работник отозвал согласие, а его документы ещё нужны?

По статье 9 152-ФЗ отзыв согласия не прекращает обработку, если у оператора есть другое законное основание, включая исполнение обязанностей по ТК РФ и 125-ФЗ. По части 5.1 статьи 21 152-ФЗ обработку по требованию субъекта прекращают в течение 10 рабочих дней, с исключениями по пунктам 2-11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11. Документы с архивным сроком хранения продолжают храниться, а данные, собранные только на основании согласия, уничтожаются.

Сколько хранить акт об уничтожении персональных данных?

По приказу Роскомнадзора от 28.10.2022 № 179 документы, подтверждающие уничтожение, хранят 3 года с даты уничтожения. При исключительно ручной обработке это акт, при смешанной и автоматизированной — акт вместе с выгрузкой из журнала регистрации событий.

Можно ли включить зарплаты сотрудников в перечень коммерческой тайны?

Пункты 5 и 6 статьи 5 98-ФЗ запрещают относить к коммерческой тайне сведения о численности и составе работников, системе оплаты труда, условиях и охране труда, травматизме, профзаболеваемости, вакансиях и задолженности по зарплате и социальным выплатам. Запрет не делает общедоступными данные конкретного работника: его зарплата, позволяющая идентифицировать человека, защищается по 152-ФЗ. Соглашение о неразглашении не легализует засекречивание сведений из статьи 5.

Как сообщить Роскомнадзору об изменении целей или о прекращении обработки?

Изменение сведений, указанных в уведомлении, сообщают не позднее 15-го числа месяца, следующего за месяцем изменения. О прекращении обработки уведомляют в течение 10 рабочих дней с даты прекращения. Оба правила из статьи 22 152-ФЗ относятся к операторам, обязанным подавать уведомление, включая компании со смешанной обработкой.

Что изменил закон № 265-ФЗ для компаний, которые передают кадровые данные за границу?

Федеральный закон от 26.07.2026 № 265-ФЗ изменил критерии статьи 12 152-ФЗ, по которым формируется перечень государств с адекватной защитой персональных данных. Закон вступил в силу со дня опубликования, отдельные положения вступают в силу 01.09.2027. Проверьте зарубежные сервисы, через которые проходят кадровые данные, и фактическую передачу данных за границу по новым критериям.