Обработка персональных данных работника законна и без его согласия, если она идёт в объёме, необходимом для исполнения трудового договора и обязанностей работодателя по трудовому законодательству. Согласие нужно там, где цель выходит за эти рамки: проверка кандидата по базам, передача сведений в банк или страховую, публикация фотографии на сайте, внешняя оценка персонала. С 1 сентября 2025 года согласие оформляется отдельным документом и не может быть вшито в трудовой договор, анкету или заявление: по части 2 статьи 13.11 КоАП РФ это от 300 000 до 700 000 рублей для организации. Различие, от которого зависит порядок действий кадровика, одно: данные обрабатываются для исполнения трудового договора — отдельное согласие не требуется, для любой иной цели — требуется письменное согласие с перечнем целей.
Разберём каждое основание обработки, требования к бланку и порядок сбора согласий у действующих сотрудников. Покажем, где расходятся позиции Роструда и Роскомнадзора по копиям паспорта в личном деле. Отдельно разводим персональные данные и коммерческую тайну: это разные режимы, и документы для них нужны разные. Сроки уничтожения данных, порядок уведомления об утечке, штрафы 2026 года, образцы согласий и ответы на частые вопросы — во второй половине статьи.
Конструктор ниже собирает бланк согласия на обработку персональных данных в формате .docx: с целями, сроком действия и оговоркой о праве отзыва по 152-ФЗ.
Когда согласие работника нужно, а когда работодатель обходится без него
Кадровая служба обрабатывает персональные данные на нескольких разных основаниях одновременно, и путаница начинается там, где все они сваливаются в один бланк. Приём на работу, ведение личной карточки, расчёт зарплаты, отчётность в Социальный фонд России и ФНС идут по пункту 2 части 1 статьи 6 152-ФЗ: обработка необходима для исполнения договора, стороной которого является субъект, и для исполнения обязанностей, возложенных на работодателя законом. Глава 14 ТК РФ, статьи 86-90, задаёт при этом объём: работодатель вправе получать только те данные, которые нужны для конкретной, заранее заявленной цели.
Согласие появляется, когда цель выходит за периметр трудового договора. Проверка кандидата по открытым базам, запрос кредитной истории, передача данных внешнему провайдеру обучения или ДМС, размещение фотографии в корпоративном справочнике — всё это отдельные цели со своим основанием.
| Ситуация | Основание обработки | Нужно ли отдельное согласие |
|---|---|---|
| Оформление приёма, кадровые приказы, личная карточка, расчёт зарплаты | Исполнение трудового договора, статья 86 ТК РФ, пункт 2 части 1 статьи 6 152-ФЗ | Нет |
| Сведения в Социальный фонд России, ФНС, военкомат, ЕФС-1 | Исполнение обязанности, возложенной на работодателя законом | Нет |
| Проверка кандидата по банку исполнительных производств ФССП, ЕГРЮЛ, реестру дисквалифицированных лиц | Цель за пределами трудового договора | Да, письменное согласие с перечнем целей |
| Запрос кредитной истории кандидата или работника | Отдельное согласие субъекта, отраслевое регулирование | Да, отдельным документом |
| Передача данных в банк по зарплатному проекту, в страховую по ДМС | Передача третьему лицу за пределами трудовых обязанностей работодателя | Да, в объёме передаваемых сведений |
| Фотография и должность на сайте компании, в открытом справочнике | Распространение персональных данных, статья 10.1 152-ФЗ | Да, отдельное согласие на распространение |
| Оценка методом 360, обучение через внешнего провайдера | Цель за пределами трудового договора, передача обработчику | Да |
| Поручение обработки сервису КЭДО, аутсорсеру расчёта зарплаты | Часть 3 статьи 6 152-ФЗ, договор поручения обработки | Согласие субъекта, если иное не установлено законом, плюс обязательный договор |
Из таблицы видно, что у одного работника в компании может быть одновременно четыре-пять действующих согласий разного назначения. Собрать их все в один бланк с 1 сентября 2025 года нельзя.
Когда отдельное согласие не нужно и брать его вредно
Избыточное согласие не усиливает позицию работодателя, а ослабляет её. Если компания оформила согласие на обработку данных для расчёта зарплаты, она тем самым заявила, что основанием считает волю работника. Работник вправе отозвать согласие в любой момент без объяснения причин, и после отзыва у работодателя не остаётся заявленного основания, хотя закон давал ему другое, безотзывное. Такие бланки мы убираем: обработка для исполнения трудового договора описывается в положении об обработке персональных данных, а не подпирается подписью работника.
Факт: согласие на ведение кадрового электронного документооборота живёт по своим правилам. Статья 22.2 ТК РФ требует письменного согласия каждого работника, и без него использовать электронные документы и электронную подпись во взаимодействии с этим работником нельзя.
Как оформить согласие по правилам, действующим с 1 сентября 2025 года
С 1 сентября 2025 года согласие оформляется отдельно от иных сведений и документов, которые субъект подтверждает или подписывает. Изменение внесено в статью 9 152-ФЗ Федеральным законом от 24.06.2025 № 156-ФЗ. Практический смысл: пункт в трудовом договоре, галочка в анкете соискателя, абзац в заявлении о приёме и строка в пользовательском соглашении больше не работают как согласие.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Содержание бланка задаёт часть 4 статьи 9 152-ФЗ: фамилия, имя, отчество и реквизиты документа, удостоверяющего личность субъекта; наименование и адрес оператора; конкретная цель обработки; перечень персональных данных; перечень действий с данными и общее описание способов обработки; срок действия согласия и порядок его отзыва. Формулировка «в целях, связанных с трудовой деятельностью» цель не описывает и при проверке не засчитывается.
Мария Ж, судебный эксперт по трудовому праву: «Первое, что мы выясняем в споре, — на каком основании компания обрабатывала данные и совпадает ли это основание с тем, что написано в бланке. Цель «для кадрового учёта» в согласии равносильна её отсутствию: она не позволяет проверить, какие действия с данными были правомерны, а какие нет. Возьмите свой бланк и проверьте, можно ли по нему однозначно ответить, вправе ли вы передать данные конкретному третьему лицу.»
Как собрать согласия на обработку персональных данных у действующих сотрудников: пошаговая инструкция
- Шаг 1. Составьте перечень целей обработки, которые реально есть в компании: зарплатный проект, ДМС, внешнее обучение, проверка контрагентов и кандидатов, публикация на сайте, передача обработки в сервис. Каждая цель превращается в отдельный бланк или в отдельный блок со своей подписью.
- Шаг 2. Разведите цели, где согласие не нужно. Всё, что укладывается в исполнение трудового договора и обязанности работодателя по закону, из бланков убирается и описывается в положении об обработке персональных данных.
- Шаг 3. Приведите бланки к требованиям части 4 статьи 9 152-ФЗ. Проверьте наличие срока действия и порядка отзыва: эти два пункта пропускают чаще остальных.
- Шаг 4. Обновите положение об обработке персональных данных, перечень мест хранения, приказ о назначении ответственного за организацию обработки и ознакомьте работников под подпись.
- Шаг 5. Соберите подписанные согласия и заведите их учёт: кто, когда, на какую цель и на какой срок. Учёт нужен в момент отзыва согласия: без него вы не найдёте, какие процессы придётся остановить.
Важный нюанс из практики: согласие на переход на КЭДО практичнее собирать на бумаге. Формулировка закона говорит о письменном согласии, а работник на момент подписания ещё не выразил согласия на электронное взаимодействие, поэтому электронная форма этого документа спорна. Все последующие согласия, когда КЭДО уже введён и работник в него включён, оформляются в системе.
Копии паспорта и других документов в личном деле: где расходятся Роструд и Роскомнадзор
Это самый частый вопрос кадровой службы и одно из немногих мест, где два ведомства читают ситуацию по-разному. Роструд допускает хранение копий документов работника в личном деле. Роскомнадзор считает хранение копий паспорта, свидетельства о браке, свидетельства о рождении ребёнка и военного билета обработкой данных, избыточных по отношению к заявленным целям, что нарушает часть 5 статьи 5 152-ФЗ. Позиция Роскомнадзора распространяется и на случай, когда согласие работника получено: согласие не легализует избыточный объём.
Суды в отдельных делах занимали сторону Роскомнадзора. Для кадровика это означает, что ссылка на разъяснение Роструда при проверке Роскомнадзора защитой не работает: ведомства надзирают за разными нормами, и позиция трудового надзора не связывает надзор в области персональных данных.
Рабочее решение выглядит так: статья 65 ТК РФ обязывает работника предъявить документы, а не передать их копии. Данные из паспорта вносятся в трудовой договор и личную карточку, а сама копия в личном деле не хранится, если у неё нет отдельной цели, закреплённой в положении об обработке персональных данных. Там, где копия действительно нужна, например для воинского учёта или для подтверждения права на вычет, цель указывается прямо и срок хранения ограничивается.
Внимание: приказ об увольнении и акт об ознакомлении с ним оформляются исключительно на бумаге. Основание — статья 22.1 ТК РФ, позиция подтверждена письмом Минтруда России от 12.01.2023 № 14-6/ООГ-97. Полностью убрать бумагу из процедуры увольнения не получится даже при введённом КЭДО.
Персональные данные кандидата: что можно проверять и на каком основании
Кандидат не работник, трудового договора с ним нет, и основание «исполнение договора» не действует. Резюме, присланное соискателем самостоятельно, даёт основание рассмотреть его на вакансию, но не даёт права проверять человека по базам, запрашивать сведения у прежних работодателей и хранить резюме в базе кандидатов после закрытия вакансии. Для каждого из этих действий нужна своя цель и своё согласие.
Практический порядок: анкета, затем письменное согласие на обработку персональных данных с перечнем источников и проверок, и только потом сама проверка. Сервисы проверки, к которым обращается компания, выступают обработчиками по поручению, и договор с ними должен содержать перечень действий и требования к защите данных. В практике Добыто на согласиях кандидатов спотыкаются чаще, чем на согласиях работников: анкета с галочкой досталась компании от прежнего провайдера подбора и живёт годами, а по правилам с 1 сентября 2025 года она уже не годится.
Мария Ж, HR-эксперт с 13-летним стажем: «Право работника и кандидата на доступ к своим данным — отдельный источник споров, и ограничение этого доступа регулярно доходит до суда. Если человек попросил показать, какие его данные вы обрабатываете, отвечать нужно по существу и в срок, а не отписываться. Проверьте, назначен ли в компании человек, который принимает такие обращения, и знает ли он, где лежат данные.»
Кейс из практики: спор об увольнении работника, подавшего заявление через систему КЭДО, прошёл четыре инстанции. Районный суд отказал работнику: у работодателя были и положение о КЭДО, и перечень документов, и согласие. Кассация акты отменила, потому что в материалах не нашлось сведений о порядке идентификации работника при подписании. При новом рассмотрении работник выиграл: подпись ему выдали в день подписания заявления об увольнении, системой он пользоваться не умел, и фактически за него подписывал другой человек. Всё это зафиксировала собственная информационная система работодателя.
Уведомление Роскомнадзора об обработке персональных данных: кто подаёт и что обновляет
До 1 сентября 2022 года работодатели пользовались исключением: обработка в соответствии с трудовым законодательством уведомления не требовала. Федеральный закон от 14.07.2022 № 266-ФЗ это исключение снял. Сейчас уведомление подают практически все работодатели: если кадровые данные обрабатываются с использованием средств автоматизации, то есть в любой учётной программе, обязанность есть. Уведомление направляется до начала обработки, форма утверждена приказом Роскомнадзора от 28.10.2022 № 180.
Уведомление содержит наименование и адрес оператора, цель обработки, описание мер защиты, сведения об ответственном лице, дату начала обработки, срок или условие прекращения, сведения о трансграничной передаче и о месте нахождения базы данных. Проверить, числится ли компания оператором, и подать уведомление можно на портале персональных данных Роскомнадзора: там же ведётся реестр операторов и работает раздел для сообщений об инцидентах.
Уведомление не подаётся один раз навсегда. При изменении сведений, указанных в нём, оператор обязан сообщить об этом в Роскомнадзор в порядке части 7 статьи 22 152-ФЗ. Смена юридического адреса, появление новой цели обработки, замена ответственного за организацию обработки, переход на новую информационную систему — каждое из этих событий требует актуализации. Переход на КЭДО как раз относится к таким событиям: при подключении к Добыто мы отдельно проверяем, отражена ли новая информационная система в уведомлении работодателя. Неуведомление о намерении обрабатывать данные обходится организации в 100 000-300 000 рублей по части 10 статьи 13.11 КоАП РФ.
Что проверить в компании до плановой проверки Роскомнадзора
- Подано ли уведомление об обработке и совпадают ли в нём цели с фактическими процессами.
- Назначен ли приказом ответственный за организацию обработки персональных данных и знает ли он о назначении.
- Опубликована ли политика обработки персональных данных в открытом доступе, если у компании есть сайт с формами сбора данных.
- Оформлены ли согласия отдельными документами и есть ли в них срок действия и порядок отзыва.
- Определены ли места хранения, ограничен ли доступ и закрываются ли шкафы с личными делами и расчётными листками.
- Заключены ли договоры поручения обработки со всеми внешними сервисами, которые получают данные работников.
- Есть ли перечень информационных систем, модель угроз и подтверждения уничтожения данных за прошлые периоды.
С 5 сентября 2025 года надзор работает по обновлённой риск-ориентированной модели: постановление Правительства от 27.08.2025 № 1286 изменило критерии отнесения оператора к категориям риска. В плановые проверки 2026 года попадают организации категорий чрезвычайно высокого и высокого риска, для них проверка проводится раз в два года либо заменяется ежегодным профилактическим визитом. Остальные операторы сталкиваются с внеплановыми мероприятиями, и типичный повод — жалоба работника или бывшего работника.
Сроки хранения и порядок уничтожения персональных данных работников
Сроки хранения кадровых документов задаёт архивное законодательство, а не 152-ФЗ, и они длинные. Трудовые договоры и приказы по личному составу хранятся 50 лет по документам, законченным делопроизводством после 2003 года, и 75 лет по более ранним. Графики отпусков и табели учёта рабочего времени — 5 лет. Штатные расписания и локальные нормативные акты хранятся постоянно. Перевод документов в электронный вид сроки не сокращает.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Отдельный набор сроков задаёт 152-ФЗ, и здесь кадровая служба чаще всего опаздывает.
| Действие оператора | Срок | Норма |
|---|---|---|
| Подать уведомление о начале обработки | До начала обработки | Статья 22 152-ФЗ |
| Предоставить субъекту сведения о его персональных данных | 30 дней с даты запроса | Статья 20 152-ФЗ |
| Ответить на запрос Роскомнадзора | 10 рабочих дней, продление не более чем на 5 рабочих дней по мотивированному уведомлению | Часть 4 статьи 20 152-ФЗ |
| Уничтожить данные при отзыве согласия | 30 дней с даты получения отзыва | Часть 5 статьи 21 152-ФЗ |
| Сообщить в Роскомнадзор об инциденте с данными | 24 часа | Часть 3.1 статьи 21 152-ФЗ |
| Сообщить о результатах внутреннего расследования инцидента | 72 часа | Часть 3.1 статьи 21 152-ФЗ |
| Хранить акт об уничтожении и выписку из журнала регистрации событий | 3 года с момента уничтожения | Приказ Роскомнадзора от 28.10.2022 № 179 |
Уничтожение подтверждается документами, а не фактом удаления файла. При обработке без средств автоматизации это акт об уничтожении персональных данных. При автоматизированной обработке к акту добавляется выписка из журнала регистрации событий в информационной системе с фамилиями субъектов, перечнем категорий уничтоженных данных, наименованием системы, причиной и датой уничтожения. В сервисе Добыто эта выписка формируется из журнала действий и прикладывается к акту без ручной сборки.
Образцы согласий и локальных актов по обработке персональных данных
Комплект для кадровой службы: начните с положения о правилах обработки, оно задаёт цели, на которые дальше ссылаются все остальные бланки.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных (локальный нормативный акт) | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Согласие на обработку ПДн для выпуска сертификата электронной подписи | Скачать |
Утечка персональных данных: 24 часа, 72 часа и цена ошибки
Утечкой считается неправомерная или случайная передача персональных данных третьему лицу, при которой нарушены права субъекта. Для кадровой службы это не обязательно взлом: письмо с таблицей зарплат, отправленное не тому адресату, выгрузка личных дел на личный ноутбук, доступ уволенного сотрудника к учётной записи в системе — всё это инциденты.
Порядок действий задан частью 3.1 статьи 21 152-ФЗ: в течение 24 часов направляется первичное уведомление о самом факте, в течение 72 часов — сообщение о результатах внутреннего расследования. Сервис для этого работает в разделе инцидентов на портале персональных данных.
Мария Ж, юрист со стажем более 20 лет: «Сутки на первичное уведомление считаются не от момента, когда компания разобралась в ситуации, а от момента выявления инцидента. Поэтому в регламенте должно быть записано, кто именно принимает решение об уведомлении и что делать, если ответственный недоступен. Проверьте у себя одно: знает ли кадровик, кому он звонит, если обнаружил, что файл с данными ушёл наружу.»
Сколько стоит ошибка в 2026 году
Цена ошибки в персональных данных с 2025 года выросла на порядок и считается уже не десятками тысяч рублей. С 1 января 2026 года дела по статье 13.11 КоАП РФ рассматривают мировые судьи.
| Нарушение | Штраф на организацию | Штраф на должностное лицо |
|---|---|---|
| Незаконная или избыточная обработка (часть 1) | 150 000-300 000 ₽ | 50 000-100 000 ₽ |
| Обработка без согласия, когда оно требуется, и нарушение требований к форме согласия (часть 2) | 300 000-700 000 ₽ | 100 000-300 000 ₽ |
| Неопубликование политики обработки (часть 3) | 30 000-60 000 ₽ | по составу части 3 |
| Неподача уведомления о намерении обрабатывать данные (часть 10) | 100 000-300 000 ₽ | по составу части 10 |
| Неуведомление об утечке (часть 11) | 1 000 000-3 000 000 ₽ | 400 000-800 000 ₽ |
| Утечка данных от 1 000 до 10 000 субъектов (часть 12) | 3 000 000-5 000 000 ₽ | по составу части 12 |
| Повторная утечка крупного масштаба (часть 15) | 1-3% годовой выручки, от 20 до 500 млн ₽ | по составу части 15 |
Сопоставьте два числа: штраф за неуведомление об утечке начинается от 1 000 000 рублей, а само уведомление занимает у ответственного не больше часа. Скрытый инцидент почти всегда дороже раскрытого.
Коммерческая тайна и персональные данные: два разных режима в одной компании
Эти два режима постоянно смешивают в одном документе, и от этого не работает ни один. Персональные данные защищаются 152-ФЗ и главой 14 ТК РФ, коммерческая тайна — Федеральным законом от 29.07.2004 № 98-ФЗ. Основания разные, документы разные, последствия разные.
Коммерческая тайна существует только при введённом режиме: утверждён перечень сведений, ограничен доступ, ведётся учёт лиц, получивших доступ, отношения с работниками урегулированы, на материальные носители нанесён гриф с указанием обладателя. Нет хотя бы одного элемента — режима нет, и обязанность работника не разглашать сведения отсутствует.
Пересечение у режимов одно, и оно важно для кадровика: уволить работника за разглашение по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ можно как за коммерческую тайну, так и за персональные данные другого работника. Но работодателю придётся доказать, что разглашённые сведения относятся к охраняемой тайне либо к персональным данным другого работника, что они стали известны работнику в связи с исполнением трудовых обязанностей и что он обязывался их не разглашать. Общей фразы в трудовом договоре про «конфиденциальную информацию» для этого недостаточно.
Практический вывод: специалист по кадрам, бухгалтер и руководитель подразделения подписывают два разных документа. Обязательство о неразглашении коммерческой тайны со ссылкой на утверждённый перечень и отдельное обязательство о неразглашении персональных данных других работников со ссылкой на положение об обработке.
КЭДО и персональные данные: кто оператор, а кто обработчик
Переход на кадровый электронный документооборот не передаёт ответственность за персональные данные сервису. Работодатель остаётся оператором: он определяет цели и состав обрабатываемых данных. Сервис выступает обработчиком, которому обработка поручена, и работает в границах договора поручения по части 3 статьи 6 152-ФЗ. Модель угроз, требования к серверам, регламенты доступа и уровни защиты — зона сервиса, перечень целей и законность сбора — зона работодателя.
Полезно знать: роли разводятся на уровне договора. Компания остаётся оператором, сервис становится обработчиком, которому поручена обработка, и отвечает за безопасное хранение, регламенты и уровни доступа к серверам. Этот документ запрашивают при проверке одним из первых.
Когда КЭДО не снимает вопросы по персональным данным
Система не заменяет юридическую работу. Она не проверит, есть ли у компании законная цель обработки, не соберёт согласие за вас и не вернёт срок, если он пропущен. Если в компании нет положения об обработке, не назначен ответственный и не подано уведомление, переход на электронный документооборот эти нарушения не закроет, а сделает их заметнее: инспектору будет проще выгрузить перечень обрабатываемых данных и сопоставить его с заявленными целями.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Та же самая система, которая фиксирует действия работника и помогает подтвердить факт подписания, покажет и то, что работает против работодателя: дату выдачи ключа, вход под чужой учётной записью, отсутствие активности работника при формально подписанном документе. Журнал не выборочный, он показывает всё. Смотрите журнал подписания до того, как спор начался, а не после.»
Лайфхак: сверку журнала действий по спорным документам имеет смысл проводить перед проверками и перед увольнениями, на которых вы ожидаете конфликт. Выгрузка занимает минуты, а после начала спора менять в ней уже нечего.
Мы закладываем пилотную группу перед раскаткой на всю компанию именно поэтому: на небольшой выборке видно, какие согласия оформлены неверно и какие данные система тянет сверх заявленных целей.
Стоимость перевода кадровых документов и согласий в электронный вид
Стоимость зависит от численности сотрудников, набора функций и потребности в интеграции с учётной системой. Электронные подписи для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | выпуск при подключении |
| УКЭП для сотрудников через партнёров-удостоверяющих центров | рассчитывается индивидуально | по регламенту УЦ |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за один день |
Итоговая сумма складывается из численности подключаемых сотрудников, выбранного набора функций и того, нужны ли кастомные шаблоны и электронный архив. Действующие условия по каждому тарифу и состав включённых функций опубликованы на странице тарифов ДОБЫТО КЭДО.
Тариф можно повысить или понизить в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду. Данные по стоимости действительны на дату публикации.
Выводы
Кадровая служба обрабатывает персональные данные сразу на нескольких основаниях, и главная работа состоит в том, чтобы их развести. Всё, что нужно для исполнения трудового договора и обязанностей работодателя по закону, идёт без согласия и описывается в положении об обработке. Всё остальное требует отдельного письменного согласия с конкретной целью, сроком и порядком отзыва, причём с 1 сентября 2025 года только отдельным документом. Уведомление в Роскомнадзор подают практически все работодатели, а сроки реакции на инцидент считаются часами, а не днями.
Мы в Добыто ежедневно проходим этот путь вместе с кадровыми службами: разводим цели обработки, собираем согласия по действующим требованиям и закрываем документами поручение обработки, чтобы при проверке роли оператора и обработчика были подтверждены, а не объяснялись на словах.
Частые вопросы кадровой службы
Нужно ли согласие соискателя, который прислал резюме сам?
На рассмотрение резюме на конкретную вакансию отдельного согласия не требуется: человек передал данные по собственной инициативе с очевидной целью. Согласие нужно для двух других действий: для проверки кандидата по базам и запроса сведений у прежних работодателей и для хранения резюме в базе кандидатов после того, как вакансия закрыта. Второе — самая частая претензия к работодателям: резюме годами лежат в системе подбора без основания и без срока хранения.
Можно ли собрать согласие на обработку персональных данных в электронном виде?
Да, если в компании уже введён кадровый электронный документооборот, работник в него включён и согласие на сам КЭДО получено по правилам статьи 22.2 ТК РФ. Само согласие на переход на КЭДО практичнее оформлять на бумаге: закон говорит о письменном согласии, а на момент его подписания работник ещё не выразил согласия на электронное взаимодействие.
Что делать, если работник отозвал согласие на обработку персональных данных?
Сначала посмотрите, какое именно согласие отозвано. Обработка, которая идёт для исполнения трудового договора и обязанностей работодателя по закону, отзыву не подчиняется: она продолжается, потому что её основание не воля работника. Данные, которые обрабатывались только на основании отозванного согласия, уничтожаются в течение 30 дней с даты получения отзыва по части 5 статьи 21 152-ФЗ, а факт уничтожения оформляется актом и выпиской из журнала.
Нужно ли назначать ответственного за организацию обработки персональных данных в маленькой компании?
Обязанность не зависит от численности. Оператор-юридическое лицо назначает ответственного за организацию обработки персональных данных по статье 22.1 152-ФЗ. В компании на 10 человек это, как правило, руководитель или специалист по кадрам, назначенный приказом. Отсутствие приказа при проверке квалифицируется как нарушение требований к организации обработки.
Как быть с персональными данными самозанятых и исполнителей по договорам ГПХ?
Глава 14 ТК РФ на них не распространяется: это не работники. Основанием служит гражданско-правовой договор, стороной которого является исполнитель, и объём данных ограничен тем, что нужно для его заключения и исполнения — реквизиты для расчётов, сведения для актов, подтверждение статуса самозанятого. Запрашивать у исполнителя сведения о воинском учёте, семейном положении или образовании на основании договора ГПХ оснований нет.
Сколько можно хранить данные уволенного работника?
Хранение продолжается в пределах архивных сроков: трудовой договор и приказы по личному составу — 50 лет по делам, законченным делопроизводством после 2003 года, табели и графики отпусков — 5 лет. Отдельно от них живут данные, которые обрабатывались на основании согласия под другую цель: после увольнения цель отпадает, и эти данные подлежат уничтожению. Практический шаг при увольнении — пройти по перечню целей и закрыть те, которые больше не действуют.
Обязательно ли размещать политику обработки персональных данных на сайте?
Если компания собирает данные через сайт, форму отклика на вакансию или форму обратной связи, политика публикуется в открытом доступе. Неопубликование политики — самостоятельный состав по части 3 статьи 13.11 КоАП РФ со штрафом на организацию от 30 000 до 60 000 рублей. Это самое дешёвое нарушение из всей статьи и одновременно самое легко устранимое: инспектор проверяет его первым, просто открыв сайт.
