Обработка персональных данных иностранных граждан при трудоустройстве в компанию

Обработка персональных данных иностранных граждан при трудоустройстве в компанию идёт по тем же правилам 152-ФЗ, что и для россиян. Работодатель становится оператором, а сведения, нужные для трудового договора, обрабатывает без отдельного согласия. Отличия появляются из-за миграционных документов и уведомлений. По статье 327.3 ТК РФ работник предъявляет патент, разрешение на работу, РВП или ВНЖ. Уведомление МВД о заключении и прекращении договора подаётся не позднее 3 рабочих дней. С 1 сентября 2026 года к нему по новым формам прикладывают согласие иностранца на обработку данных. Когда данные остаются в российской кадровой системе, достаточно общего уведомления Роскомнадзора. Если данные уходят иностранной материнской компании или на зарубежный сервер, до начала передачи подают отдельное уведомление по статье 12 152-ФЗ.

Материал помогает собрать комплект данных без лишних документов, разделить случаи, где согласие обязательно и где оно не нужно, и не пропустить сроки уведомлений. Покажем, какие 9 групп сведений должно содержать отдельное согласие с 1 сентября 2025 года и почему согласие внутри трудового договора больше не годится. Во второй половине статьи — таблица уведомлений со сроками и штрафами, правила хранения и локализации, электронная подпись иностранного работника, стоимость КЭДО на 2026 год и ответы на частые вопросы.

Какие данные иностранного работника работодатель вправе собрать

Оператор персональных данных по Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» — это работодатель, который сам определяет цели и состав кадровой обработки. Сведения, нужные для заключения и исполнения трудового договора, он обрабатывает по пункту 2 части 1 статьи 6 152-ФЗ, поэтому согласие не требуется на каждую операцию. Что именно собирать, определяют 2 перечня: общий в статье 65 ТК РФ и специальный для иностранцев в статье 327.3 ТК РФ. Второй перечень зависит от статуса работника.

Из таблицы видно, что разрешительный документ и есть главная иностранная часть личного дела. Остальной состав совпадает с приёмом гражданина России. Копия патента, РВП или ВНЖ содержит те же категории данных, что и паспорт. Поэтому она хранится и защищается по тем же правилам, что и копия паспорта, а не в отдельной папке миграционного учёта с другим доступом.

Если у иностранца нет СНИЛС, зарегистрировать его в системе персонифицированного учёта может он сам или работодатель. Социальный фонд требует удостоверение личности и анкету. Если документ на иностранном языке, нужен нотариальный перевод. Порядок описан на странице СФР для иностранных граждан, там же перечислены документы для регистрации. Сведения о приёме и увольнении с 1 января 2023 года подают в составе ЕФС-1, поэтому СНИЛС понадобится уже к первой отчётности.

ИНН, свидетельства о рождении детей и другие документы сверх перечней работник приносит только по своей инициативе. Требовать их при приёме нельзя. Свидетельства о рождении нужны для налогового вычета, их место в бухгалтерии, а не в личном деле.

Мария Ж, HR-эксперт с 13-летним стажем: «Перечень документов при приёме закрытый. Кроме статьи 65 ТК РФ его может расширить только указ Президента или постановление Правительства. Приказ министерства, письмо ведомства и внутренний регламент компании такого права не дают. Если служба безопасности просит у кандидата справку о доходах с прошлого места работы или характеристику, законного основания для этого нет: кандидат вправе отказать, и отказать ему в приёме из-за этого нельзя. Перед приёмом сверьте свою анкету с этими двумя перечнями.»

Кадровые данные иностранца конфиденциальны по статье 7 152-ФЗ: без согласия работника или прямого основания в законе их не раскрывают третьим лицам. Режим коммерческой тайны эту обязанность не заменяет. Если компания включила кадровые данные в перечень коммерческой тайны, требования 152-ФЗ всё равно действуют. Первый шаг — сверить анкету кандидата и чек-лист приёма со статьями 65 и 327.3 ТК РФ и убрать поля, которых нет в перечнях.

Когда нужно согласие на обработку персональных данных иностранца

Статья 88 ТК РФ запрещает передавать данные работника третьему лицу без его письменного согласия, кроме случаев, предусмотренных ТК РФ и другими федеральными законами. Отсюда рабочее правило: там, где передачу требует закон, согласие не нужно, а там, где передача нужна компании, его получают. Для иностранного работника к общим сценариям добавляются миграционное уведомление и передача данных за рубеж.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Уведомление МВД в этой таблице стоит особняком. Сама обязанность уведомить установлена законом и от согласия не зависит. Приказ № 290 добавил к формам согласие, которое даёт сам иностранный работник, а не представитель работодателя. В форме указаны цель — подача уведомления и получатели — работодатель и госорганы. Бланк согласия лучше давать работнику на подпись вместе с трудовым договором, чтобы к третьему рабочему дню комплект уже был собран.

Что должно быть в отдельном согласии с 1 сентября 2025 года

С 1 сентября 2025 года часть 1 статьи 9 152-ФЗ требует оформлять согласие отдельно от иных сведений и документов, которые подписывает субъект. Пункт о согласии внутри трудового договора или анкеты больше не работает. Письменное согласие должно содержать 9 групп сведений по части 4 статьи 9:

1. Фамилию, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, дату его выдачи и выдавший орган.
2. Те же сведения о представителе субъекта и реквизиты доверенности, если согласие даёт представитель.
3. Наименование или ФИО и адрес оператора.
4. Цель обработки.
5. Перечень персональных данных, на обработку которых даётся согласие.
6. Наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если обработка ему поручена.
7. Перечень действий с данными и общее описание способов обработки.
8. Срок действия согласия и способ его отзыва, если иное не установлено федеральным законом.
9. Подпись субъекта персональных данных.

У иностранца в пункте 1 указывают реквизиты национального паспорта или иного документа, удостоверяющего личность, а не патента. В пункте 5 перечисляют конкретные поля: гражданство, данные разрешительного документа, миграционной карты, если она нужна для цели обработки. Формулировка «иные данные» не соответствует требованию конкретности.

Соберите согласие иностранного работника в формате DOCX

Конструктор Добыто собирает согласие с целями, сроком и оговоркой об отзыве по 152-ФЗ. Для иностранного работника в перечень данных вручную добавляются поля разрешительного документа.

Отдельный случай — передача кадровых документов внешнему сервису: облачному провайдеру КЭДО, владельцу арендованных серверов, удостоверяющему центру. Каждый из них получает доступ к данным, и работник должен знать, кто именно.

Мария Ж, юрист со стажем более 20 лет: «В кадровых документах есть сведения о семье, здоровье и доходах. Как только они уходят к внешнему провайдеру, появляется третье лицо, и передачу ему нужно основать на согласии работника. Поэтому выбор облачного решения не только технический: вместе с ним компания берёт на себя обязанность собрать согласия и объяснить людям, кому передаются их данные. В согласии называйте всех получателей поимённо, а не общей фразой о защищённом хранении.»

Проверьте свой бланк по 9 пунктам. Если согласие зашито в трудовой договор, подготовьте отдельный документ и подпишите его с уже работающими иностранцами.

Уведомления Роскомнадзора и МВД: сроки и штрафы

При найме иностранца у компании может возникнуть до 4 разных уведомлений, и их регулируют разные законы. Обязанность по каждому возникает на своём событии: до начала обработки, до начала передачи за рубеж, после заключения договора, после утечки.

Уведомление МВД отличается от остальных санкцией: кроме штрафа, за пропуск срока деятельность компании могут приостановить на срок до 90 суток. Уведомление о намерении обрабатывать данные большинство компаний подают один раз. После 1 сентября 2022 года исключений из этой обязанности почти не осталось, они перечислены в части 2 статьи 22 152-ФЗ. Форма и статус поданного уведомления доступны на портале персональных данных Роскомнадзора, там же видно, указаны ли в реестре цели и категории данных, которые появились с наймом иностранцев.

Для трансграничной передачи с 26 июля 2026 года действует новый критерий Федерального закона № 265-ФЗ. Страна считается обеспечивающей адекватную защиту, если её регулирование и применяемые меры защиты соответствуют Конвенции Совета Европы. Одного участия страны в Конвенции теперь недостаточно. Если материнская компания находится за рубежом, её страну проверяют по действующему перечню до подачи уведомления. От результата зависит, можно ли начинать передачу сразу после уведомления или нужно ждать решения Роскомнадзора.

Как оформить данные иностранного работника при приёме: пошаговая инструкция

1. Шаг 1. Сверьте документы кандидата со статьями 65 и 327.3 ТК РФ и проверьте срок действия патента, разрешения на работу, РВП или ВНЖ. Документы сверх перечней не запрашивайте.
2. Шаг 2. Подпишите трудовой договор. Отдельными документами оформите согласие иностранца для уведомления МВД и согласие на обработку для целей, которые выходят за исполнение договора.
3. Шаг 3. Проверьте уведомление Роскомнадзора о намерении обрабатывать данные. Если данные работника будут доступны иностранной материнской компании или хранятся на зарубежном сервере, до начала передачи подайте уведомление по статье 12 152-ФЗ.
4. Шаг 4. Не позднее 3 рабочих дней с даты заключения договора подайте уведомление в МВД по форме приказа № 290 с приложенным согласием работника.
5. Шаг 5. Подайте сведения о приёме в составе ЕФС-1. Если СНИЛС нет, зарегистрируйте работника в системе персонифицированного учёта через СФР.
6. Шаг 6. Включите работника в список лиц с разграниченным доступом к личному делу и определите сроки хранения копий документов.

Хранение, доступ и локализация данных иностранных работников

Требование локализации в части 5 статьи 18 152-ФЗ сформулировано для персональных данных граждан России. С 1 июля 2025 года норма прямо запрещает записывать, систематизировать, накапливать, хранить, уточнять и извлекать эти данные с использованием баз за пределами страны, кроме случаев из закона. Официального разъяснения Роскомнадзора или Минцифры о том, что на данные только иностранных граждан норма не распространяется, на дату публикации нет. Кадровая база почти всегда общая для россиян и иностранцев, поэтому её держат на серверах в России целиком. Штраф за нарушение локализации — 1-6 млн руб. по части 8 статьи 13.11 КоАП, за повторное — 6-18 млн руб. по части 9.

С 30 мая 2025 года утечка стоит дороже, чем ошибка в согласии. Неправомерная передача данных от 1 тыс. до 10 тыс. субъектов или от 10 тыс. до 100 тыс. идентификаторов — 3-5 млн руб. по части 12 статьи 13.11 КоАП. Повторное нарушение карается оборотным штрафом по части 15: 1-3% выручки, но не менее 20 млн и не более 500 млн руб.

Важный нюанс из практики: на вебинаре по выбору системы КЭДО аудитория чаще всего называла главным критерием хранение персональных данных только на своих серверах, за ним шли гибкость, стоимость и интерфейс. За хранение данных отвечает конкретный человек, и именно по этому вопросу бывают проверки. Если вы выбираете систему для компании с иностранными работниками, первым делом узнайте, в какой стране стоят серверы и есть ли разграничение доступа по ролям с журналом обращений.

Срок хранения определяется целью. По части 4 статьи 21 152-ФЗ данные уничтожают в срок до 30 дней после достижения цели обработки, если хранение не требуется по закону или договору. Трудовой договор и приказы по личному составу подпадают под архивные сроки, поэтому увольнение иностранца не означает уничтожение его личного дела через 30 дней. Копии, которые собирались для разовой цели, например для оформления пропуска, под это исключение не подпадают.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Уничтожение подтверждают актом по требованиям приказа Роскомнадзора от 28.10.2022 № 179. При автоматизированной обработке к акту добавляют выгрузку из журнала регистрации событий. Проверьте, есть ли в компании утверждённая форма акта и кто её подписывает.

Образцы согласий и локальных актов для работы с данными работников

Комплект закрывает оформление данных при приёме и переход на электронное подписание; начните с правил обработки персональных данных, от них зависят формулировки в согласиях.

Электронная подпись и КЭДО для иностранного работника

Иностранец, который работает в России по разрешению на работу или ВНЖ, как правило, уже имеет СНИЛС и ИНН. С ними он может зарегистрироваться на Госуслугах и подписывать кадровые документы через сервис государственной подписи. Возможности зависят от вида подписи. Для УНЭП в Госключе нужна подтверждённая учётная запись ЕСИА и идентификация. УКЭП в этом приложении доступна только гражданам России. Поэтому для иностранного работника рабочий вариант — ПЭП или УНЭП, а подпись работодателя на трудовом договоре остаётся УКЭП.

ПЭП и УНЭП не взаимозаменяемы с УКЭП. Квалифицированная подпись равнозначна собственноручной в силу закона. Для простой и неквалифицированной подписи нужно соглашение между участниками обмена и локальный акт с правилами определения лица по его подписи. Если трудовой договор подписывают с человеком, который ещё не работник, соглашение об электронном взаимодействии заключают до договора. В одном документе с двух сторон могут стоять подписи разных видов: работник подписывает как физическое лицо, работодатель — как организация, и для него требования строже.

Мария Ж, специалист по цифровой подписи и КЭДО: «Виды подписи различаются не степенью защиты, а основанием равнозначности. Если для заявлений вы выбираете простую подпись, вы одновременно берёте на себя обязанность иметь соглашение и локальный акт с правилами определения лица по его подписи, без них равнозначности нет. Квалифицированная подпись нужна не везде потому, что закон не везде её требует, а не ради экономии. Перед запуском проверьте, подписаны ли соглашения со всеми работниками, включая иностранных.»

В Добыто ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, УКЭП выпускают партнёры — удостоверяющие центры. Платформа работает по требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ. Для компаний на 1С есть модуль для 1С:ЗУП, его устанавливают и настраивают за 1 день, документы синхронизируются автоматически.

Когда электронное оформление иностранцу не подойдёт

Сервис государственной подписи работает через мобильное приложение, поэтому без смартфона работник им не воспользуется. Без подтверждённой учётной записи на Госуслугах он не получит УНЭП в Госключе, а УКЭП в приложении иностранцу недоступна. В таких случаях подпись выпускает удостоверяющий центр оператора КЭДО или документ подписывают на бумаге.

Важный нюанс из практики: главная организационная нагрузка при внедрении КЭДО — выдача ключей. Нужно собрать людей, выдать носители, объяснить про пин-коды, вести журнал, а при увольнении всё отозвать. Если подпись у работника уже есть через Госуслуги, этот объём работы исчезает, в том числе для соискателей, которые ещё не работники. Для иностранных работников с подтверждённой учётной записью с этого удобно начинать: отпуска, командировки, ознакомление с ЛНА.

Отдельная ситуация — иностранец, который работает удалённо из-за рубежа. С ним часто заключают договор ГПХ, и тогда требования трудового законодательства к электронному документообороту на него не распространяются.

Мария Ж, судебный эксперт по трудовому праву: «Правило «работает за границей удалённо, значит договор ГПХ» звучит просто, но на практике это зона риска. Признаки трудовых отношений не исчезают оттого, что человек находится за пределами страны, и вопрос переквалификации остаётся. Конструкцию договора определяет существо отношений, а не место нахождения работника. Если исполнитель работает по графику, подчиняется внутренним правилам и получает регулярную оплату, оформляйте его по ТК РФ.»

Типовые ошибки при оформлении данных иностранцев и их цена

Большинство нарушений возникают из-за старых шаблонов, а не из-за умысла. Шаблоны писались до изменений 2025-2026 годов, и их просто не обновили.

• Согласие остаётся пунктом трудового договора. Так делают, потому что шаблон договора не обновляли с 2025 года. С 1 сентября 2025 года согласие оформляется отдельным документом. Там, где письменное согласие обязательно, обработка без надлежащего согласия — это 300-700 тыс. руб. по части 2 статьи 13.11 КоАП.
• У иностранца запрашивают документы сверх статей 65 и 327.3 ТК РФ. Анкета собрана «на всякий случай», в ней есть ИНН, справка о доходах, данные родственников. Обработка, несовместимая с целями сбора, подпадает под часть 1 статьи 13.11 КоАП: 150-300 тыс. руб.
• Уведомление МВД подают по старой форме или позже 3 рабочих дней. Кадровая служба ждёт оригиналов или подписи руководителя. Цена — 400-800 тыс. руб., в Москве, Санкт-Петербурге и их областях до 1 млн руб., либо приостановление деятельности на 14-90 суток.
• Данные работников загружают в HR-систему иностранной материнской компании без уведомления по статье 12 152-ФЗ. Передачу считают внутригрупповой. Если в той же базе есть данные россиян, добавляется нарушение локализации: 1-6 млн руб. по части 8 статьи 13.11 КоАП.
• Об утечке не сообщают Роскомнадзору в течение 24 часов. Сначала пытаются выяснить масштаб собственными силами. За неуведомление — 1-3 млн руб. по части 11 статьи 13.11 КоАП, и этот штраф не поглощает штраф за саму утечку.

Одна проверка может выявить несколько нарушений из этого списка, и штрафы по разным частям статьи 13.11 и статье 18.15 КоАП назначаются по отдельности. Сверьте шаблон договора, анкету кандидата и маршрут данных в HR-системах с этим списком до следующего приёма иностранца.

Стоимость КЭДО для компании с иностранными работниками

Стоимость зависит от численности, нужных видов подписи и требований к размещению данных: выделенный сервер и SLA есть только в корпоративном тарифе.

Итоговая сумма считается по числу сотрудников и тарифу. Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия по каждому пакету собраны на странице тарифов Добыто КЭДО, цены указаны на дату публикации.

Выводы

Данные иностранного работника проходят через тот же кадровый контур, что и данные россиянина. К нему добавляются разрешительный документ по статье 327.3 ТК РФ, уведомление МВД в течение 3 рабочих дней с согласием работника по новым формам и, если данные уходят за рубеж, отдельное уведомление Роскомнадзора. Согласие с сентября 2025 года оформляется отдельным документом, а кадровую базу надёжнее держать в России целиком, не разделяя граждан и иностранцев.

В Добыто мы строим кадровый документооборот так, чтобы согласия, соглашения об электронной подписи и кадровые документы иностранных работников подписывались и хранились в одной системе с разграниченным доступом.

Частые вопросы об обработке данных иностранных работников

Нужно ли переводить согласие на обработку персональных данных на родной язык иностранца?

152-ФЗ задаёт содержание согласия, 9 групп сведений по части 4 статьи 9, но не устанавливает требования о переводе. При этом согласие по части 1 статьи 9 должно быть конкретным, информированным и сознательным. Если работник плохо читает по-русски, текст с переводом снимает спор о том, понимал ли он, что подписывает. Нотариальный перевод обязателен в другой ситуации: при регистрации иностранца в СФР по документу на иностранном языке.

Что делать, если иностранный работник отозвал согласие?

По части 2 статьи 9 152-ФЗ оператор вправе продолжить обработку без согласия, если есть основания из пунктов 2-11 части 1 статьи 6, например исполнение трудового договора. Данные, которые обрабатывались только на основании согласия, прекращают обрабатывать и уничтожают в срок до 30 дней с даты поступления отзыва по части 5 статьи 21. Уничтожение оформляют актом по приказу Роскомнадзора № 179.

Можно ли подать уведомление в МВД, если иностранец не подписал согласие?

Да. Обязанность уведомить МВД о заключении или прекращении договора установлена статьёй 13 115-ФЗ и от согласия работника не зависит. Формы приказа МВД № 290 рекомендуемые, согласие к ним прикладывают, если работник его дал. Пропуск срока в 3 рабочих дня из-за ожидания подписи обходится дороже: 400-800 тыс. руб. по части 3 статьи 18.15 КоАП.

Нужно ли менять уведомление в Роскомнадзор после найма первого иностранца?

Если в поданном уведомлении не указаны категории данных, которые появились с наймом, например сведения о гражданстве и разрешительных документах, или добавилась трансграничная передача, сведения обновляют. По части 7 статьи 22 152-ФЗ об изменениях сообщают не позднее 15-го числа месяца, следующего за месяцем, в котором они возникли. Уведомление о трансграничной передаче подают отдельно по статье 12.

Считается ли трансграничной передачей доступ зарубежной материнской компании к данным, которые хранятся в России?

Да. Трансграничная передача возникает не только при физическом переносе данных за рубеж, но и когда они становятся доступны иностранному лицу. Удалённый доступ головного офиса к российской HR-системе требует уведомления Роскомнадзора по статье 12 152-ФЗ до его открытия. Для страны вне перечня адекватной защиты нужно дождаться решения ведомства, обычно до 10 рабочих дней.

Кто в компании отвечает за обработку данных иностранных работников?

Оператор-юрлицо по статье 22.1 152-ФЗ назначает приказом лицо, ответственное за организацию обработки персональных данных. Отдельный ответственный по иностранцам закон не требует. Удобнее, когда уведомления МВД и ведение личных дел иностранцев закреплены за одним специалистом по кадрам, а ответственный за обработку контролирует согласия, доступы и уведомления Роскомнадзора.