Обработка персональных данных работников в большинстве случаев идёт без их согласия: основанием служат трудовой договор и глава 14 ТК РФ, а согласие по 152-ФЗ требуется там, где данные выходят за пределы этих отношений — уходят в банк, в страховую, к аутсорсеру проверки кандидатов, на сайт компании. Обязательный пакет оператора небольшой: уведомление в Роскомнадзор, политика обработки, приказ об ответственном, локальный акт о работе с данными работников, акт оценки вреда. Состав бумаг определяет одно различие. Если данные нужны только для исполнения трудового договора, согласие не оформляется вовсе. Если данные передаются третьим лицам, на каждую цель передачи оформляется отдельный письменный документ.
Разберём построчно, какой документ обязателен, какой подписывают по привычке и на какую норму ссылаться, когда от вас требуют лишнее. Покажем, почему согласие внутри трудового договора с 1 сентября 2025 года не работает, и как режим персональных данных отличается от режима коммерческой тайны. Размеры штрафов по статье 13.11 КоАП, сроки хранения и уничтожения согласий, стоимость перевода пакета в электронный вид и ответы на частые вопросы — во второй половине статьи.
Конструктор ниже собирает согласие на обработку персональных данных в формате .docx: с перечнем целей, сроком действия и оговоркой о праве отзыва по 152-ФЗ.
Какие документы по персональным данным обязательны, а какие подписывают по привычке
Обязанности оператора перечислены в статье 18.1 152-ФЗ, и их всего пять: назначить ответственного, издать политику и локальные акты, применить меры защиты, наладить внутренний контроль, оценить вред субъектам. Отдельно стоит уведомление в Роскомнадзор по статье 22. Всё остальное, что обычно лежит в папке «Персональные данные», — производные документы или чужая практика, перенесённая без разбора.
| Документ | Обязателен | Основание |
|---|---|---|
| Уведомление в Роскомнадзор о намерении обрабатывать персональные данные | Да, для всех работодателей | Статья 22 152-ФЗ |
| Политика в отношении обработки персональных данных с открытым доступом к тексту | Да | Часть 2 статьи 18.1 152-ФЗ |
| Приказ о назначении ответственного за организацию обработки персональных данных | Да, для юридического лица | Пункт 1 части 1 статьи 18.1 152-ФЗ, статья 22.1 152-ФЗ |
| Локальный акт о порядке хранения и использования персональных данных работников, ознакомление под подпись | Да | Статья 87 и пункт 8 части 1 статьи 86 ТК РФ |
| Акт оценки вреда, который может быть причинён субъектам | Да | Пункт 5 части 1 статьи 18.1 152-ФЗ, приказ Роскомнадзора от 27.10.2022 № 178 |
| Перечень работников, допущенных к обработке персональных данных в информационной системе | Да | Постановление Правительства РФ от 01.11.2012 № 1119 |
| Общее согласие работника на обработку его персональных данных | Нет, если данные нужны для исполнения трудового договора | Пункт 5 части 1 статьи 6 152-ФЗ, глава 14 ТК РФ |
| Согласие на передачу данных третьему лицу: банку, страховой, службе безопасности на аутсорсинге | Да, на каждую цель отдельно | Статья 9 152-ФЗ, пункт 3 части 1 статьи 86 ТК РФ |
| Согласие на распространение данных: фото и должность на сайте, доска почёта | Да, отдельным документом | Статья 10.1 152-ФЗ |
| Обязательство о неразглашении персональных данных от каждого работника | Нет, только от допущенных к чужим данным | Статья 7 152-ФЗ |
Шесть верхних строк — тот минимум, отсутствие которого видно при первом же запросе Роскомнадзора. Четыре нижние строки — зона, где компании либо собирают подписи без основания, либо наоборот пропускают обязательное согласие на передачу данных наружу.
В практике Добыто при аудите пакета чаще всего не находится двух документов: акта оценки вреда и приказа о назначении ответственного. Политика при этом есть почти всегда, потому что её текст легко найти и скопировать, а вот акт оценки вреда требует решения по своей компании и поэтому откладывается.
Полезно знать: перечень документов при приёме на работу в статье 65 ТК РФ закрытый. Расширить его могут только федеральный закон, указ Президента и постановление Правительства, но не приказ министерства и не внутренний регламент компании. ИНН при приёме требовать нельзя: налоговая не вправе отказать в приёме отчётности, если ИНН в сведениях о работнике отсутствует.
Что проверить до того, как сокращать пакет
Сокращение начинается с инвентаризации, а не с удаления файлов. Пройдите по шести пунктам и зафиксируйте ответы письменно — на них вы будете ссылаться, если придётся объяснять состав документов проверяющему.
- Основание обработки по каждой категории данных. Отдельно для работников, отдельно для кандидатов, отдельно для родственников работников и контрагентов-физлиц.
- Список внешних получателей. Банк зарплатного проекта, страховая по ДМС, оператор КЭДО, провайдер обучения, аутсорсер проверки кандидатов, бухгалтерия на аутсорсинге.
- Дата подачи уведомления в Роскомнадзор и актуальность сведений в нём: адрес, ответственный, цели, категории данных.
- Наличие акта оценки вреда с подписями лиц, проводивших оценку, и указанием степени вреда.
- Листы ознакомления с локальным актом об обработке персональных данных по всем действующим работникам, включая принятых за последний год.
- Согласия, срок действия которых истёк. Их держат в папке годами, хотя хранение имеет свой предельный срок.
Разница между списком, который вы получите, и таблицей выше и есть объём лишних бумаг.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Шаблоны согласий и локальных актов по персональным данным
Комплект закрывает обязательный минимум оператора, начинать стоит с правил обработки персональных данных: остальные документы ссылаются на них.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных (локальный акт) | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Согласие на проверку кандидата службой безопасности | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
Почему общее согласие работника на обработку персональных данных не нужно
Согласие — лишь одно из одиннадцати оснований обработки, перечисленных в части 1 статьи 6 152-ФЗ. Для кадровых процессов работают другие пункты. Пункт 5 разрешает обработку, необходимую для исполнения договора, стороной которого является субъект персональных данных. Пункт 2 разрешает обработку для достижения целей, предусмотренных законом, и для осуществления возложенных на оператора функций. Начисление зарплаты, ведение табеля, оформление отпуска, подача ЕФС-1 в Социальный фонд России, воинский учёт — всё это происходит по закону и по трудовому договору.
Собранное «на всякий случай» общее согласие не усиливает позицию работодателя. Оно её ослабляет: у работника появляется право отозвать согласие в любой момент по части 2 статьи 9 152-ФЗ, и вам придётся объяснять, почему обработка продолжается. Объяснение будет тем же самым — есть иное основание из части 1 статьи 6. Тогда возникает вопрос, зачем собиралась подпись.
Мария Ж, юрист со стажем более 20 лет: «Типовая ситуация выглядит так: служба безопасности просит кандидата принести справку о доходах с прошлого места или характеристику, а кадровая служба добавляет к пакету общее согласие на обработку данных. Законного основания нет ни у первого требования, ни у второго: перечень документов при приёме закрыт статьёй 65 ТК РФ, а обработка данных работника идёт по трудовому договору. Проверьте по своему пакету, какие подписи вы собираете без ссылки на норму, и уберите их.»
Отдельно работает статья 86 ТК РФ. Пункт 3 части 1 требует получать все персональные данные у самого работника, а если данные можно получить только у третьей стороны — заранее уведомить работника и получить его письменное согласие. Пункты 4 и 5 запрещают работодателю получать данные о политических и религиозных убеждениях, частной жизни и членстве в общественных объединениях, кроме случаев, прямо предусмотренных законом.
Шесть ситуаций, когда согласие обязательно
Ситуации ниже объединяет одно: данные покидают периметр трудовых отношений либо относятся к категориям с повышенной защитой.
| Ситуация | Форма согласия | Что критично |
|---|---|---|
| Проверка кандидата службой безопасности или подрядчиком | Письменное, отдельным документом | Подписывается до начала проверки, перечисляет источники и передачу подрядчику |
| Зарплатный проект: передача данных в банк | Письменное | Названы конкретный банк и состав передаваемых данных |
| Фото, должность и контакты на сайте компании | Согласие на распространение по статье 10.1 152-ФЗ | Оформляется отдельно от любого другого согласия, содержит условия запретов и ограничений |
| Данные о здоровье сверх сведений о трудоспособности | Письменное | Специальная категория по статье 10 152-ФЗ, обработка сверх целей закона требует согласия |
| ДМС на членов семьи работника | Письменное, от самого члена семьи или законного представителя | Работник не вправе дать согласие за совершеннолетнего родственника |
| Хранение резюме кандидата после отказа | Письменное, с указанием срока хранения | Без согласия данные уничтожаются в течение 30 дней после достижения цели |
Шесть согласий на компанию вместо одного общего выглядит как рост бумаг. На практике их подписывает не каждый работник, а только тот, кого касается конкретная ситуация: в зарплатном проекте участвуют все, в ДМС на родственников — единицы.
Факт: подрядчик, который проверяет кандидатов по вашему заказу, обязан сам состоять в реестре операторов персональных данных Роскомнадзора. Проверьте это до передачи данных: без регистрации подрядчика и подписанного согласия кандидата передача сведений неправомерна, а отвечать за неё будет и заказчик.
Согласие отдельным документом: что изменилось с 1 сентября 2025 года
Статья 9 152-ФЗ с 1 сентября 2025 года требует оформлять согласие на обработку персональных данных отдельно от иных документов и информации, которые подписывает человек. Изменение внесено Федеральным законом от 08.08.2024 № 233-ФЗ. Привычные конструкции перестали работать: пункт в трудовом договоре, галочка в анкете кандидата вместе с согласием на условия оферты, абзац в заявлении о приёме. Согласие теперь существует как самостоятельный файл или лист с отдельной подписью.
Согласия, полученные до 1 сентября 2025 года, переподписывать не требуется: закон обратной силы не имеет. Переоформлять их нужно тогда, когда меняются цели обработки, состав данных или перечень получателей.
Внимание: обработка персональных данных без согласия в письменной форме, когда оно требуется, а также согласие без обязательных сведений наказываются по части 2 статьи 13.11 КоАП РФ: от 300 000 до 700 000 рублей для организации и от 100 000 до 300 000 рублей для должностного лица.
Требования к содержанию согласия перечислены в части 4 статьи 9 152-ФЗ: фамилия, имя, отчество и контактная информация субъекта, наименование и адрес оператора, цель обработки, перечень персональных данных, перечень действий с ними, срок действия согласия и порядок его отзыва. Формулировка «согласен на обработку моих персональных данных в соответствии с законодательством» ни одному из этих требований не отвечает и работает так же, как отсутствие согласия.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Разносить согласия по отдельным файлам проще в электронном маршруте, чем на бумаге: работник получает несколько документов в личном кабинете и подписывает каждый своей подписью, а система фиксирует дату по каждому. На бумаге это превращается в пачку листов, которую подписывают одним движением, и потом никто не может доказать, что человек видел каждый документ отдельно. Посмотрите, лежит ли у вас согласие на обработку данных внутри трудового договора: с сентября 2025 года такой пункт не даёт основания.»
Важный нюанс из практики: согласие работника на переход на кадровый электронный документооборот по статье 22.2 ТК РФ и согласие на обработку персональных данных — разные документы с разными основаниями. Первое разрешает вести с работником электронный обмен, второе разрешает обработку данных. Объединять их в один лист нельзя как раз из-за требования об отдельном документе. В Добыто эти два документа идут разными шагами маршрута при подключении работника, чтобы дата подписания по каждому фиксировалась отдельно.
Уведомление в Роскомнадзор: подать один раз и не забыть про изменения
С 1 сентября 2022 года, после поправок Федерального закона от 14.07.2022 № 266-ФЗ, уведомление о намерении обрабатывать персональные данные подают практически все операторы, включая любого работодателя. Исключений осталось три: обработка без средств автоматизации, обработка в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, и обработка в случаях, предусмотренных законодательством о транспортной безопасности. Кадровая программа, электронная почта и таблица с окладами в облаке — это средства автоматизации, поэтому под исключение компании с ними не попадают.
Форма уведомления, реестр операторов и поиск по нему собраны на портале персональных данных Роскомнадзора, там же публикуются требования к составу сведений и реестр учтённых инцидентов. Найдите там свою организацию по ИНН до того, как начнёте собирать документы: если записи нет, разговор о лишних бумагах преждевременен.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как подать уведомление об обработке персональных данных: пошаговая инструкция
- Шаг 1. Проверьте исключения части 2 статьи 22 152-ФЗ. Если обработка идёт хотя бы в одной программе, уведомление подаётся.
- Шаг 2. Соберите сведения для формы: цели обработки, правовое основание, категории данных и субъектов, перечень действий с данными, дата начала обработки, срок или условие прекращения, сведения об ответственном, меры защиты, место нахождения баз данных, наличие трансграничной передачи.
- Шаг 3. Заполните электронную форму на портале персональных данных Роскомнадзора либо подготовьте уведомление на бумаге для территориального органа.
- Шаг 4. Подпишите уведомление усиленной квалифицированной электронной подписью руководителя или лица, действующего по доверенности.
- Шаг 5. Дождитесь внесения сведений в реестр операторов: на это отводится 30 календарных дней с даты получения уведомления.
- Шаг 6. При смене адреса, ответственного, целей или категорий данных направьте информационное письмо об изменениях не позднее 15-го числа месяца, следующего за месяцем, в котором изменения произошли.
Шестой шаг пропускают чаще всего. Уведомление подали в 2022 году, с тех пор сменились юридический адрес и ответственный сотрудник, а сведения в реестре остались прежними. Для проверяющего это отдельное нарушение, не связанное с составом ваших локальных актов.
Коммерческая тайна и персональные данные: два режима, которые смешивают
Обязательство о неразглашении, которое подписывают все работники подряд, обычно смешивает два несовместимых режима. Персональные данные защищает статья 7 152-ФЗ: лица, получившие доступ, не раскрывают и не распространяют данные без согласия субъекта. Коммерческую тайну защищает 98-ФЗ, и там действует не подпись, а режим.
Часть 1 статьи 10 98-ФЗ перечисляет меры, без которых режим коммерческой тайны считается неустановленным: определение перечня сведений, ограничение доступа и порядок обращения, учёт лиц, получивших доступ, регулирование отношений с работниками на основании трудовых договоров, нанесение грифа «Коммерческая тайна» с указанием обладателя на материальные носители. Пока нет перечня и грифа, подписанное работником обязательство не создаёт ответственности за разглашение. Отдельно статья 5 98-ФЗ запрещает относить к коммерческой тайне сведения о численности и составе работников, системе оплаты труда, условиях труда и о задолженности по заработной плате.
Из этого следует практическое разделение. Обязательство о неразглашении персональных данных подписывают работники, допущенные к данным других людей: специалисты по кадрам, бухгалтерия, руководители подразделений, администраторы информационных систем. Их перечень утверждается в рамках мер защиты по постановлению Правительства РФ от 01.11.2012 № 1119. Остальным работникам этот документ не нужен: они обрабатывают только свои данные, а свои данные разгласить нельзя.
Мария Ж, руководитель HR-отдела: «Регламент имеет смысл тогда, когда он исполняется. Если документ написан для папки и никто в компании не знает, как передавать и хранить данные, его наличие не спасает при проверке и не помогает в споре. Возьмите свой локальный акт об обработке персональных данных и спросите у бухгалтера, как по нему передаются данные в банк, — расхождение ответа с текстом покажет, какие страницы вы писали впустую.»
Лайфхак: распечатка электронного документа остаётся копией электронного документа, а не оригиналом. Чтобы распечатанное согласие что-то значило в споре, его заверяют: оператором электронного документооборота, удостоверяющим центром, нотариусом либо самой организацией с отметкой о верности копии.
Сколько стоит ошибка: штрафы по статье 13.11 КоАП в 2026 году
После поправок, вступивших в силу 30 мая 2025 года, санкции по персональным данным разошлись по составам. Цена зависит не от тяжести последствий, а от того, какую именно обязанность вы не выполнили.
| Нарушение | Должностное лицо | Организация |
|---|---|---|
| Обработка в случаях, не предусмотренных законом, либо несовместимая с целями сбора (часть 1) | 50 000-100 000 руб. | 150 000-300 000 руб. |
| Обработка без письменного согласия, когда оно требуется, либо согласие без обязательных сведений (часть 2) | 100 000-300 000 руб. | 300 000-700 000 руб. |
| Политика обработки не опубликована и доступ к ней не обеспечен (часть 3) | 6 000-12 000 руб. | 30 000-60 000 руб. |
| Уведомление о намерении обрабатывать данные не подано или подано с нарушением (часть 10) | 30 000-50 000 руб. | 100 000-300 000 руб. |
| Не выполнена обязанность уведомить об утечке персональных данных (часть 11) | 400 000-800 000 руб. | 1 000 000-3 000 000 руб. |
Сопоставьте суммы со своим пакетом. Неопубликованная политика стоит организации до 60 000 рублей, а неподанное уведомление — до 300 000 рублей при том, что подача занимает один рабочий день. Дороже всего обходится согласие: одна неверно оформленная форма на передачу данных в банк, розданная всему штату, даёт состав по части 2 с потолком в 700 000 рублей.
Отдельная статья расходов не попадает в таблицу. Проверка Роскомнадзора по жалобе одного работника разворачивается в проверку всей системы обработки: запрашивают политику, приказы, листы ознакомления, акт оценки вреда, договоры с подрядчиками и поручения на обработку. Восстановление пакета задним числом невозможно, потому что даты ознакомления работников подделать нельзя.
Сколько хранить согласия и как законно сократить архив
Согласия на обработку персональных данных хранятся 3 года после истечения срока их действия или отзыва — статья 441 Перечня типовых управленческих архивных документов, утверждённого приказом Росархива от 20.12.2019 № 236. Если в согласии написано, что оно действует в течение срока трудового договора, отсчёт трёх лет начинается с даты увольнения. Срок действия согласия закон не устанавливает, его определяет сам текст документа, поэтому формулировка «бессрочно» превращает папку в вечное хранилище.
Уничтожение данных подчиняется своим срокам. При достижении цели обработки оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней (часть 4 статьи 21 152-ФЗ). При отзыве согласия действует тот же тридцатидневный срок по части 5 статьи 21, если нет иного основания обработки. Подтверждением служат акт об уничтожении персональных данных и выгрузка из журнала регистрации событий информационной системы — требования утверждены приказом Роскомнадзора от 28.10.2022 № 179. Акт и выгрузка хранятся 3 года с момента уничтожения.
Требования к хранению бумажных документов переносятся на электронные без послаблений: сроки те же, номенклатура дел та же, право организации самостоятельно создавать архив закреплено пунктом 2 статьи 13 125-ФЗ об архивном деле. Экономия появляется не на сроках, а на операциях: поиск согласия по фамилии в системе занимает секунды, а сбор подписей на новой редакции локального акта идёт без обхода кабинетов.
В сервисе Добыто согласия и локальные акты подписываются в общем маршруте с остальными кадровыми документами, а журнал фиксирует, кто и когда открыл файл. При запросе Роскомнадзора это даёт выгрузку по конкретному работнику вместо ручного перебора папок.
Мария Ж, судебный эксперт по трудовому праву: «Переход на электронные документы не означает, что бумага не понадобится никогда. Суд вправе истребовать подлинник, если только он способен подтвердить обстоятельство дела, а при сомнениях в подлинности назначается экспертиза документа или подписи. Планируя сокращение бумажного архива, посмотрите, какие документы у вас останутся только в электронном виде и чем вы подтвердите их подлинность.»
Когда сокращать пакет документов не стоит
Есть ситуации, где уменьшение числа бумаг ухудшает положение компании. Их немного, и они определяются характером данных, а не размером организации.
- Обработка биометрии. Если система распознаёт лицо или отпечаток для установления личности, степень вреда по приказу Роскомнадзора № 178 высокая, а требования к согласию и защите жёстче. Здесь документов становится больше, а не меньше.
- Специальные категории данных. Медицинские организации, работодатели с обязательными медосмотрами и предприятия, где закон требует сведений о судимости, работают по статье 10 152-ФЗ и сокращать основания не могут.
- Трансграничная передача. Уведомление о трансграничной передаче подаётся отдельно от общего уведомления, и его отсутствие не компенсируется наличием политики.
- КЭДО не введён. Пока нет приказа о введении кадрового электронного документооборота, положения о нём и письменных согласий работников, электронные кадровые документы не заменяют бумажные. Сокращение бумаги в такой ситуации оборачивается отсутствием документа как такового.
- Идёт проверка или спор. Уничтожение согласий с истёкшим сроком хранения во время проверки Роскомнадзора или трудового спора создаёт больше вопросов, чем решает.
Важный нюанс из практики: часть кадровых документов закон оставляет на бумаге независимо от того, введён у вас КЭДО или нет. Приказ об увольнении и акт об ознакомлении с ним оформляются только в бумажном виде по статье 22.1 ТК РФ, позиция подтверждена письмом Минтруда России от 12.01.2023 № 14-6/ООГ-97. Компания рассчитывает убрать бумагу из увольнения целиком и получает гибрид: заявление приходит электронно, приказ уходит на печать.
Кейс из практики: спор об увольнении работника, подавшего заявление через систему кадрового электронного документооборота, прошёл четыре инстанции. У работодателя были и положение о КЭДО, и утверждённый перечень документов, и согласие работника. Кассация вернула дело, потому что в материалах не оказалось сведений о порядке идентификации работника при подписании, а при новом рассмотрении работник выиграл: подпись выдали ему в день подачи заявления, и фактически за него подписывал другой человек. Комплект документов сам по себе спор не выигрывает, если в нём не описана процедура.
Стоимость перевода кадровых документов и согласий в электронный вид
Цена складывается из численности подключённых сотрудников и набора функций: виды доступных подписей, интеграция с 1С, электронный архив, требования к размещению системы.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | период оплаты — год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма зависит от численности и выбранного набора функций: электронный архив, кастомные шаблоны и интеграция с 1С входят в тариф «Бизнес», выделенный сервер и SLA — в «Корпорацию». Условия по каждому тарифу и состав включённых функций опубликованы на странице тарифов ДОБЫТО КЭДО.
УКЭП в тарифы не входит и оформляется через партнёров-удостоверяющих центров, стоимость там считается отдельно. Для пакета документов по персональным данным квалифицированная подпись работникам обычно не требуется: согласия и листы ознакомления подписываются УНЭП в рамках введённого КЭДО.
Выводы
Обязательный набор оператора укладывается в шесть позиций: уведомление в Роскомнадзор, политика обработки, приказ об ответственном, локальный акт о данных работников с листами ознакомления, акт оценки вреда и перечень допущенных лиц. Согласие работника в этот набор не входит, пока данные не выходят за пределы трудовых отношений; зато на каждую передачу наружу оформляется свой отдельный документ по правилам статьи 9 152-ФЗ. Разросшийся пакет обычно состоит из подписей без основания и при этом не закрывает те позиции, за которые штрафуют по статье 13.11 КоАП.
Мы в Добыто проводим ревизию кадрового пакета перед подключением: разделяем документы на обязательные, ситуативные и лишние, а оставшиеся переводим в электронный маршрут с фиксацией дат подписания по каждому работнику. Так сокращение бумаг не превращается в потерю доказательств при проверке или споре.
Частые вопросы
Нужно ли согласие от соискателя, который сам прислал резюме?
Для рассмотрения кандидатуры на конкретную вакансию данные обрабатываются в рамках преддоговорных отношений, и отдельное согласие для этого не требуется. Согласие нужно, если вы хотите сохранить резюме в базе после отказа: в нём указывается срок хранения и цель. Без такого согласия данные подлежат уничтожению в течение 30 дней после достижения цели обработки по части 4 статьи 21 152-ФЗ, то есть после закрытия вакансии.
Что делать, если работник отозвал согласие на обработку персональных данных?
Проверьте, есть ли иное основание обработки из пунктов 2-11 части 1 статьи 6 152-ФЗ. Если данные нужны для исполнения трудового договора, начисления зарплаты и сдачи отчётности, обработка продолжается несмотря на отзыв, и об этом работника уведомляют письменно. Если иного основания нет, обработка прекращается, а данные уничтожаются в срок до 30 дней по части 5 статьи 21 152-ФЗ с оформлением акта об уничтожении.
Нужно ли переоформлять согласия при смене названия или адреса компании?
Переподписывать согласия не требуется, пока юридическое лицо остаётся тем же: смена наименования или адреса не создаёт нового оператора. Уведомить придётся Роскомнадзор: информационное письмо об изменении сведений направляется не позднее 15-го числа месяца, следующего за месяцем, в котором изменения произошли. Новую редакцию политики обработки при этом публикуют с актуальными реквизитами.
Кого назначать ответственным за организацию обработки персональных данных?
Требований к образованию и должности закон не предъявляет, назначить можно любого работника приказом руководителя. По статье 22.1 152-ФЗ ответственный получает указания непосредственно от исполнительного органа организации и отвечает перед ним, поэтому назначение рядового специалиста с двойным подчинением создаёт формальное несоответствие. В компаниях до ста человек эту роль обычно закрывает руководитель кадровой службы.
Можно ли хранить сканы паспортов работников в кадровой программе?
Избыточность обработки оценивается по цели: для оформления трудового договора нужны сведения из паспорта, а не сам образ документа. Хранение копии паспорта без обоснованной цели Роскомнадзор рассматривает как обработку, несовместимую с целями сбора, — это часть 1 статьи 13.11 КоАП РФ со штрафом до 300 000 рублей для организации. Если копия действительно нужна, цель и срок её хранения фиксируются в локальном акте.
Отвечает ли компания за утечку данных у подрядчика, которому она их передала?
Передача обработки другому лицу оформляется поручением на обработку по части 3 статьи 6 152-ФЗ, где перечисляются действия, цели, обязанность соблюдать конфиденциальность и требования к защите. Перед субъектом персональных данных отвечает оператор, то есть ваша компания, а обработчик отвечает перед оператором. Поэтому в договоре с подрядчиком проверяют два пункта: наличие поручения на обработку и запись подрядчика в реестре операторов.
