Обработка персональных данных без средств автоматизации — это действия с анкетами, карточками, реестрами, журналами и другими бумажными носителями, при которых человек сам использует, уточняет, распространяет или уничтожает сведения о каждом субъекте. Требования к ней установлены Положением, утверждённым постановлением Правительства РФ от 15.09.2008 № 687. По этому Положению персональные данные обособляют от иной информации, каждую категорию фиксируют на отдельном носителе, для неё определяют место хранения и перечень лиц с доступом, а типовая форма содержит 7 обязательных сведений. Порядок зависит от того, есть ли у оператора автоматизированная обработка. Если персональные данные обрабатываются только на бумаге, предварительное уведомление Роскомнадзора не требуется, а уничтожение подтверждается актом. При смешанной обработке это исключение не действует, и к акту добавляется выгрузка из журнала регистрации событий информационной системы.
Материал отвечает на практические вопросы. Он показывает, какие реквизиты включить в анкету и журнал по пункту 7 Положения, как оформить согласие отдельным документом с 01.09.2025 и когда работодателю хватает основания из статьи 6 152-ФЗ. Отдельно разобрано, как вымарывать и уточнять сведения на одном носителе и какие кадровые документы остаются на бумаге после перехода на КЭДО. Сводная таблица сроков реагирования по статье 21 152-ФЗ, стоимость электронного контура на 2026 год и ответы на частые вопросы приведены во второй половине статьи.
Когда обработка считается неавтоматизированной и на что распространяется Положение № 687
Пункты 1-2 Положения относят обработку к неавтоматизированной, если использование, уточнение, распространение или уничтожение персональных данных каждого субъекта выполняется при непосредственном участии человека. Сведения при этом могут находиться в информационной системе персональных данных (ИСПДн) или быть из неё извлечены. Наличие записи в базе не делает автоматизированными операции, которые сотрудник выполняет с бумажным носителем.
Действующий текст постановления от 15.09.2008 № 687 опубликован на официальном интернет-портале правовой информации. Последние изменения внесены постановлением от 18.01.2025 № 12 и действуют с 26.01.2025. Срок действия постановления ограничен 01.09.2030, и при плановом пересмотре локальных актов эту дату учитывают.
Оператор персональных данных применяет Положение к каждому бумажному носителю, на котором фиксируются персональные данные. Для двух видов носителей установлены отдельные правила: для типовых форм это пункт 7, для журналов однократного пропуска на территорию оператора — пункт 8.
Только бумага или смешанная обработка: уведомление Роскомнадзора и подтверждение уничтожения
Пункт 8 части 2 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» освобождает от предварительного уведомления Роскомнадзора обработку, которая ведётся исключительно без средств автоматизации. Приказ Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных» действует с 01.03.2023 до 01.03.2029. По тому же признаку он разводит способы подтверждения уничтожения.
| Что проверить | Обработка только на бумажных носителях | Бумага плюс ИСПДн или КЭДО (смешанная обработка) |
|---|---|---|
| Положение № 687 | Применяется ко всей обработке | Применяется к операциям с бумажными носителями, в том числе с данными, извлечёнными из ИСПДн |
| Исключение из предварительного уведомления Роскомнадзора (п. 8 ч. 2 ст. 22 152-ФЗ) | Применимо | Не применимо |
| Подтверждение уничтожения (приказ Роскомнадзора № 179) | Акт | Акт и выгрузка из журнала регистрации событий в ИСПДн |
| Уведомление Роскомнадзора об инциденте (ч. 3.1 ст. 21 152-ФЗ) | Обязательно при условиях нормы | Обязательно при условиях нормы |
Слово «исключительно» в пункте 8 части 2 статьи 22 понимается буквально. Если оператор параллельно обрабатывает персональные данные с использованием средств автоматизации, этим основанием освобождения он воспользоваться не может, даже когда основной массив документов бумажный. Требования Положения № 687 к бумажным носителям в этом случае продолжают действовать в полном объёме.
То же относится к работодателям, которые перевели часть кадровых документов в КЭДО, в том числе на платформу Добыто. Подписание и хранение электронных документов в системе относится к автоматизированной обработке. Поэтому кадровая служба планирует уведомление Роскомнадзора и акты уничтожения с выгрузкой из журнала событий, а бумажные экземпляры продолжает вести по Положению № 687.
Уведомление подают через электронную форму уведомления на портале персональных данных Роскомнадзора, затем распечатанное уведомление подписывают и направляют в территориальное управление. На страницах территориальных управлений перечень исключений иногда повторяет прежнюю редакцию статьи 22. Основание освобождения сверяют с действующим текстом 152-ФЗ.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Требования к типовым формам: анкеты, карточки и журналы на бумаге
Анкета, карточка или другой бланк типовой формы должен содержать сведения из подпункта «а» пункта 7 Положения. Эти сведения можно разместить в самой форме либо в связанных с ней инструкции, карточке, реестре или журнале:
- цель обработки персональных данных без средств автоматизации;
- наименование или фамилию, имя, отчество и адрес оператора;
- фамилию, имя, отчество и адрес субъекта персональных данных;
- источник получения персональных данных;
- сроки обработки;
- перечень действий с персональными данными;
- общее описание способов обработки.
Для самопроверки возьмите действующий бланк и для каждого из 7 пунктов найдите место, где он зафиксирован: на самом бланке, в инструкции или в журнале. Пункт без такого места означает, что форму нужно дорабатывать.
Подпункт «б» требует предусмотреть в форме поле для отметки о согласии на обработку без средств автоматизации, если для обработки нужно письменное согласие. По подпункту «в» каждый субъект должен иметь возможность ознакомиться со своими персональными данными, не нарушая прав и законных интересов других субъектов. Поэтому форму строят так, чтобы при ознакомлении со своей записью работник не видел сведений коллег. Подпункт «г» запрещает объединять в одной форме поля для обработки с заведомо несовместимыми целями.
Согласие на обработку персональных данных на бумаге: отдельный документ с 01.09.2025
Федеральный закон от 24.06.2025 № 156-ФЗ изменил часть 1 статьи 9 152-ФЗ. С 01.09.2025 согласие оформляется отдельно от иной информации и документов, которые субъект подтверждает или подписывает. Если письменное согласие требуется, отметка в поле анкеты по подпункту «б» пункта 7 Положения его не заменяет.
Согласие требуется не для каждого сбора сведений о работнике. Пункты 2 и 5 части 1 статьи 6 152-ФЗ допускают обработку без согласия, если она необходима для исполнения обязанностей, возложенных законом на работодателя, или для исполнения трудового договора с работником. Основание проверяют для конкретных данных и конкретной цели. Текст закона размещён в разделе законодательства на сайте Минтруда России.
Если согласие нужно, его письменная форма по части 4 статьи 9 152-ФЗ содержит:
- сведения о субъекте и его документе, удостоверяющем личность;
- при подписании представителем — сведения о представителе, его документе и подтверждение полномочий;
- сведения об операторе;
- цель обработки;
- перечень персональных данных;
- лицо, которому поручена обработка, если оно есть;
- перечень действий и общее описание способов обработки;
- срок действия согласия и способ его отзыва;
- подпись субъекта.
В Добыто конструктор согласия формирует файл .docx с целями обработки, сроком действия и оговоркой об отзыве по 152-ФЗ. Распечатанный бланк подписывают отдельно от анкеты и заявления о приёме.
Соберите бланк согласия на обработку персональных данных под свои цели
Образцы правил обработки и согласия на обработку персональных данных
Начните с образца согласия на обработку персональных данных: шаблон правил опубликован в 2023 году, поэтому раздел о согласии в нём сверяйте с редакцией части 1 статьи 9 152-ФЗ, действующей с 01.09.2025.
| Документ | Скачать |
|---|---|
| Образец согласия на обработку персональных данных (DOCX) | Скачать |
| Шаблон правил обработки персональных данных (PDF) | Скачать |
Раздельная фиксация, хранение и доступ к бумажным носителям
Пункты 4-5 Положения требуют обособлять персональные данные от иной информации и не фиксировать на одном материальном носителе сведения, цели обработки которых заведомо несовместимы. Разные категории персональных данных записывают на разные материальные носители, по одному носителю на каждую категорию.
По пункту 6 сотрудников, которые обрабатывают персональные данные без средств автоматизации, информируют о факте такой обработки, о категориях обрабатываемых данных, об особенностях обработки и о её правилах.
По пунктам 13-14 оператор определяет для каждой категории персональных данных места хранения материальных носителей и перечень лиц, которые обрабатывают эти данные или имеют к ним доступ. Носители с данными, которые обрабатываются в разных целях, хранят раздельно.
Пункт 15 требует, чтобы условия хранения обеспечивали сохранность носителей и исключали несанкционированный доступ к ним. Необходимые меры, порядок их принятия и ответственных оператор определяет сам. Меры режима коммерческой тайны по Федеральному закону от 29.07.2004 № 98-ФЗ «О коммерческой тайне» применяются вместе с требованиями 152-ФЗ и Положения № 687 и их не заменяют.
Перечень мест хранения удобно составлять, начиная с документов, которые при любом сценарии останутся бумажными. Часть 3 статьи 22.1 ТК РФ выводит часть кадровых документов из режима электронного документооборота.
Как организовать обработку персональных данных на бумаге: пошаговая инструкция
- Шаг 1. Составьте перечень бумажных носителей с персональными данными: анкеты, карточки, реестры, журналы. Для каждого носителя укажите категорию данных и цель обработки.
- Шаг 2. Для каждой цели определите основание обработки. Если подходят пункты 2 или 5 части 1 статьи 6 152-ФЗ, согласие не нужно. В остальных случаях согласие оформляется отдельным документом с реквизитами по части 4 статьи 9.
- Шаг 3. Доработайте типовые формы. Включите 7 сведений по подпункту «а» пункта 7 в саму форму или в связанную с ней инструкцию либо журнал, добавьте поле отметки о согласии там, где согласие требуется, и разнесите поля с несовместимыми целями по разным формам.
- Шаг 4. Разведите категории данных по отдельным носителям и для каждой категории определите место хранения и перечень лиц, которые обрабатывают данные или имеют к ним доступ.
- Шаг 5. Определите меры сохранности по пункту 15, порядок их принятия и ответственных лиц.
- Шаг 6. Проинформируйте сотрудников, работающих с носителями, о факте обработки, категориях данных, её особенностях и правилах.
- Шаг 7. Если ведётся журнал однократного пропуска, утвердите акт оператора с составом сведений по подпункту «а» пункта 8 Положения.
- Шаг 8. Утвердите порядок уточнения, вымарывания и уничтожения сведений и форму акта по пункту 3 приказа Роскомнадзора № 179. Если параллельно используется ИСПДн, предусмотрите выгрузку из журнала регистрации событий.
Журнал пропуска посетителей: требования пункта 8 Положения
Отдельные правила подпункта «а» пункта 8 Положения распространяются на журналы, реестры и книги, в которые вносят сведения для однократного пропуска субъекта на территорию оператора или для аналогичных целей. Необходимость вести такой журнал закрепляют актом оператора. Акт содержит:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
- цели обработки персональных данных;
- способы фиксации и обработки;
- состав запрашиваемых персональных данных;
- сроки обработки;
- порядок пропуска субъекта без подтверждения подлинности сообщённых им сведений;
- перечень лиц, имеющих доступ к журналу;
- лиц, ответственных за ведение и сохранность журнала.
Подпункты «б» и «в» запрещают копировать информацию из такого журнала и ограничивают, сколько раз сведения о субъекте вносятся в журнал. Перед проверкой сверьте графы журнала с актом: сведения, которых нет в утверждённом составе данных, в журнал не вносятся.
Уточнение, вымарывание и уничтожение сведений на бумажном носителе
По пункту 12 Положения персональные данные на бумаге уточняют, обновляя или изменяя их на самом носителе. Если свойства носителя этого не позволяют, сведения об изменениях фиксируют на том же носителе либо изготавливают новый носитель с уточнёнными данными.
Пункт 9 описывает носитель, на котором персональные данные нельзя обработать отдельно от данных с несовместимыми целями. Для использования или распространения копируют только нужную часть сведений, остальные не копируют. Перед уничтожением или блокированием части данных копированием сохраняют ту часть, которую уничтожать или блокировать не нужно.
Пункты 10-11 разрешают уничтожить или обезличить часть данных удалением или вымарыванием, если это допускают свойства носителя. Способ должен исключать дальнейшую обработку удалённой части и сохранять возможность обработки остальных сведений. Те же правила применяют, когда на одном листе разделяют персональные данные и сведения, не относящиеся к персональным данным.
С 01.09.2025 требования и методы обезличивания установлены приказом Роскомнадзора от 19.06.2025 № 140, который заменил приказ от 05.09.2013 № 996. Если вместо вымарывания применяется обезличивание, метод сверяют с текстом этого приказа.
Акт об уничтожении персональных данных по приказу Роскомнадзора № 179
Уничтожение бумажных носителей подтверждают актом. По пункту 3 приказа № 179 в акте указывают:
- имя или наименование и адрес оператора;
- сведения о лице, которому поручена обработка, если оно есть;
- фамилию, имя, отчество субъекта или иную информацию, позволяющую его определить;
- фамилии, имена, отчества, должности и подписи лиц, уничтоживших персональные данные;
- категории уничтоженных персональных данных;
- наименование каждого уничтоженного носителя с количеством листов в нём;
- способ уничтожения;
- причину уничтожения;
- дату уничтожения.
Акт хранят 3 года с даты уничтожения (пункт 4 приказа № 179). В акте требуется указать каждый носитель и число листов в нём, поэтому опись уничтожаемых бумажных документов готовят до уничтожения.
Какие кадровые документы остаются на бумаге после перехода на КЭДО
Часть 3 статьи 22.1 Трудового кодекса РФ выводит из режима статей 22.1-22.3 трудовые книжки и сведения о трудовой деятельности, акт о несчастном случае на производстве по установленной форме, приказ об увольнении и документы о прохождении инструктажей по охране труда. Норма устанавливает исключения из режима КЭДО. Общего запрета на электронную форму для этих документов она не вводит.
Бумажные экземпляры этих документов работодатель обрабатывает по Положению № 687: обособляет их от другой информации, хранит в определённых местах и ограничивает круг лиц с доступом.
В тарифе «Бизнес» сервиса Добыто есть электронный архив и готовый модуль для 1С:ЗУП с автоматической синхронизацией документов. Документы, подписанные в КЭДО, обрабатываются в системе. На бумаге у кадровой службы остаются документы из части 3 статьи 22.1 ТК РФ и те, которые работодатель решил не переводить в электронный вид.
Ошибки с бумажными носителями и сроки реагирования по статье 21 152-ФЗ
Согласие в анкете вместо отдельного документа. Так поступают, чтобы кандидату было достаточно подписать один лист. С 01.09.2025 согласие, встроенное в анкету, не соответствует части 1 статьи 9 152-ФЗ. Если иного основания по статье 6 нет, обработка неправомерна, и сроки на её прекращение отсчитываются с даты выявления.
Разные категории и цели на одном листе. Так экономят бланки. Когда часть сведений нужно уничтожить или заблокировать, оператор копирует сохраняемую часть по пункту 9 Положения или вымарывает лишнее по пунктам 10-11. Каждое уничтожение оформляется актом с перечнем носителей и листов.
Инцидент с бумажным носителем без уведомления Роскомнадзора. Обязанность сообщать об инцидентах нередко связывают только с базами данных. Часть 3.1 статьи 21 152-ФЗ охватывает неправомерную или случайную передачу, предоставление, распространение персональных данных и доступ к ним, если это повлекло нарушение прав субъектов. Норма не ограничена электронной формой и распространяется на бумагу.
Хранение носителей после достижения цели. Документы остаются в шкафу без срока. Части 4-5 статьи 21 требуют прекратить обработку и уничтожить данные, кроме случаев, когда договор, соглашение или федеральный закон предусматривают иное либо у оператора есть иное законное основание для обработки без согласия.
Сроки по статье 21 152-ФЗ, проверенные на 15.10.2026, собраны в таблице:
| Ситуация | Действие оператора | Срок | Норма 152-ФЗ |
|---|---|---|---|
| Цель обработки достигнута | Прекратить обработку и уничтожить данные, если договор, соглашение или федеральный закон не предусматривают иное и нет иного законного основания | Не позднее 30 дней | ч. 4 ст. 21 |
| Субъект отозвал согласие | Прекратить обработку и уничтожить данные, если их хранение не требуется для целей обработки, с теми же оговорками | Не позднее 30 дней | ч. 5 ст. 21 |
| Выявлена неправомерная обработка | Прекратить неправомерную обработку | Не позднее 3 рабочих дней с даты выявления | ч. 3 ст. 21 |
| Обеспечить правомерность обработки невозможно | Уничтожить данные | Не позднее 10 рабочих дней с той же даты выявления | ч. 3 ст. 21 |
| Обращение субъекта или запрос уполномоченного органа о неправомерной обработке | Заблокировать данные на период проверки | С момента обращения или получения запроса | ч. 1-3 ст. 21 |
| Неправомерная или случайная передача, предоставление, распространение или доступ, повлёкшие нарушение прав субъектов | Уведомить Роскомнадзор | В течение 24 часов | ч. 3.1 ст. 21 |
| Тот же инцидент | Сообщить в Роскомнадзор результаты внутреннего расследования | В течение 72 часов | ч. 3.1 ст. 21 |
Сроки 3 и 10 рабочих дней отсчитываются от одной даты выявления и не складываются: уничтожение должно завершиться в пределах 10 рабочих дней с этой даты, сколько бы ни заняло прекращение обработки. Об устранении нарушения или уничтожении данных уведомляют субъекта или его представителя. Если обращение или запрос поступили через Роскомнадзор, уведомляют и Роскомнадзор.
Стоимость перевода кадровых документов с персональными данными в КЭДО
Стоимость электронного контура зависит от численности сотрудников, нужных видов электронной подписи и от того, требуются ли интеграция с 1С и электронный архив. Бумажные носители, которые остаются вне КЭДО, при любом тарифе ведутся по Положению № 687.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП подписи, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | не указаны |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, приоритетная поддержка, электронный архив | от 50 ₽ за сотрудника / мес; минимальная оплата 50 сотрудников за 30 000 ₽ в год | не указаны |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | По запросу | не указаны |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | не указаны |
| Модуль интеграции с 1С:ЗУП | в составе тарифа «Бизнес» | установка и настройка за один день |
УКЭП сотрудники получают через партнёров — удостоверяющие центры, отдельная цена УКЭП в тарифах не указана. Состав тарифов и условия перехода между ними опубликованы на странице тарифов Добыто КЭДО. Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Требования к бумажным носителям по Положению № 687 касаются отдельных носителей для разных категорий и целей, мест хранения с определённым кругом лиц, типовых форм с полным набором сведений и документированного уничтожения. С 01.09.2025 согласие оформляют отдельным документом. Освобождение от уведомления Роскомнадзора доступно только оператору, у которого вся обработка ведётся без средств автоматизации. Инцидент с бумажной папкой подчиняется тем же срокам уведомления, что и инцидент с базой данных.
Сервис Добыто ведёт электронную часть кадрового контура: подписание документов ПЭП, УНЭП и УКЭП, электронный архив и обмен с 1С:ЗУП. На бумаге остаются документы, для которых Положение № 687 продолжает действовать как рабочий регламент.
Частые вопросы об обработке персональных данных на бумаге
Обязательно ли хранить бумажные носители с персональными данными в сейфе?
Пункт 15 Положения № 687 требует, чтобы условия хранения обеспечивали сохранность носителей и исключали несанкционированный доступ к ним. Конкретные меры, порядок их принятия и ответственных определяет оператор. Универсальной обязанности использовать сейф, прошивать и нумеровать любой журнал или ставить гриф на каждом листе этот пункт не устанавливает. Отсутствие таких предписаний не освобождает от обязанности защищать носители. Специальные требования к отдельным видам документов проверяют по профильным нормам.
Можно ли поставить гриф «Коммерческая тайна» на документы с персональными данными работников?
Часть 1 статьи 10 Федерального закона № 98-ФЗ относит к мерам режима коммерческой тайны ограничение доступа, учёт лиц, получивших доступ, и нанесение грифа. Эти меры можно применять к документам с персональными данными, но они не заменяют требований 152-ФЗ и Положения № 687. Раздельные носители, места хранения, перечень лиц с доступом и порядок уничтожения обязательны в любом случае.
Можно ли отнести к коммерческой тайне сведения о зарплате и численности работников?
Пункты 5-6 статьи 5 98-ФЗ запрещают устанавливать режим коммерческой тайны для сведений о численности и составе работников, о системе и условиях оплаты труда, об условиях труда и о задолженности по заработной плате. Персональные сведения конкретного работника от этого не становятся общедоступными: обязанность оператора соблюдать конфиденциальность по статье 7 152-ФЗ сохраняется.
Как часто вносить данные постоянного посетителя в журнал пропусков?
Подпункты «б» и «в» пункта 8 Положения разрешают вносить сведения о субъекте в журнал однократного пропуска не более 1 раза при каждом отдельном случае пропуска. Ограничение действует на каждый визит, а не на всю историю посещений. Копировать информацию из такого журнала запрещено.
Можно ли оформить акт об уничтожении бумажных документов в электронном виде?
Пункт 8 приказа Роскомнадзора № 179 допускает электронную форму акта, если он подписан в соответствии с законодательством об электронной подписи. Бумажная форма носителя персональных данных этому не мешает. Электронный акт хранят столько же, сколько бумажный: 3 года с даты уничтожения.
Что делать, если уничтожить бумажные носители в установленный срок не получается?
По части 6 статьи 21 152-ФЗ оператор блокирует такие персональные данные и уничтожает их в срок не более 6 месяцев, если федеральный закон не установил другой срок. Блокировка означает, что носители выводят из обработки, при этом остаются требования к их хранению по пункту 15 Положения № 687. Факт уничтожения подтверждается актом по приказу № 179.
