Обработка персональных данных у банка и у работодателя подчиняется одному закону — 152-ФЗ от 27.07.2006, но устроена по-разному. Банк описывает каждый массив данных: цель, основание, срок хранения, перечень сотрудников с доступом. Работодатель чаще ограничивается одной подписью работника на бланке согласия и считает вопрос закрытым. Перенимать у банков стоит четыре вещи: реестр обработок с целью и сроком по каждому массиву, раздельные согласия под каждую цель, ролевой доступ с журналированием и регламент действий на инцидент со сроками 24 и 72 часа. Главное различие — в основании обработки: сведения, которые работодатель ведёт в силу ТК РФ, согласия не требуют, а проверка кандидата службой безопасности, запрос кредитной истории и передача данных подрядчику требуют отдельного письменного согласия.
Разберём, какие банковские практики переносятся в кадровую службу без отдельного бюджета на информационную безопасность, а какие избыточны для компании на 200 человек. Покажем, чем полноценное согласие отличается от кадровой отписки, как проверять провайдера КЭДО по лицензиям ФСТЭК и ФСБ и что делать в первые сутки после утечки. Размеры штрафов по статье 13.11 КоАП в редакции 2025 года, сроки уничтожения данных, образцы согласий и тарифы на 2026 год — во второй половине статьи.
Что банк защищает и что обязан защищать работодатель
Банк работает с данными клиента по договору и по требованию Банка России, поэтому у него изначально есть внешний контролёр и формализованный стандарт: ГОСТ Р 57580.1-2017 задаёт три уровня защиты информации — минимальный, стандартный и усиленный. У работодателя внешнего отраслевого стандарта нет, есть общий каркас: глава 14 ТК РФ (статьи 86-90) о защите персональных данных работника и 152-ФЗ с подзаконными актами, включая постановление Правительства РФ от 01.11.2012 № 1119 об уровнях защищённости и приказ ФСТЭК России от 18.02.2013 № 21.
Отсюда первое, что переносится без затрат: банк не спрашивает «нужно ли согласие», он сначала определяет основание обработки. Согласие — лишь одно из оснований по части 1 статьи 6 152-ФЗ, и далеко не самое удобное, потому что его можно отозвать. Данные, без которых невозможно исполнить трудовой договор или выполнить обязанность по закону, обрабатываются без согласия. Всё, что за пределами этого контура, требует отдельной подписи.
Разложим типовые кадровые ситуации по основаниям — именно так выглядит первая страница банковского реестра обработок.
| Ситуация в кадрах | Основание обработки | Нужно ли отдельное согласие |
|---|---|---|
| Трудовой договор, приказы, табель, личная карточка | Статьи 86-88 ТК РФ, пункт 2 части 1 статьи 6 152-ФЗ | Нет, обработка в целях исполнения трудового договора |
| Отчётность в СФР и ФНС, воинский учёт | Исполнение обязанности, возложенной законом | Нет |
| Проверка кандидата по открытым базам ФССП, ЕФРСБ, реестру дисквалифицированных лиц | Согласие субъекта, статья 9 152-ФЗ | Да, письменное согласие до начала проверки |
| Запрос кредитной истории кандидата | 218-ФЗ о кредитных историях плюс согласие субъекта | Да, отдельное согласие с указанием цели |
| Передача данных подрядчику: аутсорсинг проверки, провайдер КЭДО, удостоверяющий центр | Часть 3 статьи 6 152-ФЗ, поручение обработки | Да, согласие на передачу и договор поручения с перечнем действий |
| Фото работника на сайте компании, корпоративные рассылки | Согласие, статья 9 152-ФЗ | Да, отзывается работником в любой момент |
| Биометрический доступ в офис по лицу или отпечатку | Статья 11 152-ФЗ | Да, письменное согласие; отказ не может быть причиной отказа в приёме |
Если у процесса нет строки в этом перечне, данные для него собирать нельзя. Проверьте по своей компании анкету кандидата — в ней обычно есть поля, которым основание не подобрать вообще: сведения о супруге, наличие кредитов, отношение к религии.
Согласие: чем банковская форма отличается от кадровой отписки
Часть 4 статьи 9 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Банковская форма это выдерживает: в ней отдельно перечислены цель, перечень данных, перечень действий, срок действия и порядок отзыва. Кадровая отписка обычно звучит как «согласен на обработку моих персональных данных в целях, связанных с трудовыми отношениями», и не выдерживает ни одного из пяти признаков.
Второе банковское правило — одна цель, одно согласие. Проверка службой безопасности, запрос кредитной истории, передача данных в удостоверяющий центр для выпуска сертификата электронной подписи и размещение фото на внутреннем портале — это четыре разные цели. Собранные в один бланк с одной галочкой, они дают обработку без надлежащего согласия по части 2 статьи 13.11 КоАП: от 300 000 до 700 000 рублей на юридическое лицо в редакции, действующей с 30 мая 2025 года.
Третье правило касается отзыва. Работник вправе отозвать согласие в любой момент, и обработка по этому основанию прекращается. Данные, которые вы ведёте по ТК РФ, отзыв не затрагивает: трудовой договор и приказы остаются. Поэтому банк намеренно разводит массивы — то, что держится на согласии, физически отделено от того, что держится на законе. В кадрах это означает, что результат проверки кандидата не должен лежать в одной папке с личным делом.
Мария Ж, HR-эксперт с 13-летним стажем: «Аутсорсинговая проверка кандидата начинается только после того, как исполнитель увидит подписанное согласие: собирает его заказчик, подрядчик лишь убеждается, что оно есть. Второй момент упускают почти всегда — срок жизни данных на стороне исполнителя. Отчёт передан, задача закрыта, хранить анкету дальше незачем. Пропишите в договоре, через сколько дней исполнитель уничтожает переданные сведения, и запросите подтверждение уничтожения.»
Факт: в проектах внедрения КЭДО специалисты по информационной безопасности выходят на первые встречи раньше бизнес-заказчиков и первыми задают вопросы о том, какие требования закрывает система. Бизнес-требования обсуждаются уже после.
Образцы согласий и положений по обработке данных работников
Комплект собран под кадровую службу; начните с базового согласия на обработку персональных данных, остальные формы подключаются под конкретную цель.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Согласие на проверку кредитной истории | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
| Правила обработки персональных данных | Скачать |
Процесс описывается до того, как собраны данные
Банк не может начать обработку раньше, чем опишет её: цель, состав данных, срок, ответственное лицо, места хранения. В кадрах последовательность обычно обратная — данные собираются годами, а положение об обработке пишется в ночь перед проверкой. Разница видна на первом же запросе Роскомнадзора: оператор обязан по требованию предоставить сведения об обработке, а собрать их задним числом по десятку эксель-файлов невозможно.
Начинается всё с уведомления. С 1 сентября 2022 года уведомлять Роскомнадзор о намерении обрабатывать персональные данные обязаны практически все операторы, прежние исключения для работодателей отменены. Проверить, числится ли компания в реестре операторов персональных данных, можно бесплатно по ИНН, там же размещены действующие формы уведомления и уведомления об изменении сведений. Отсутствие уведомления — это часть 10 статьи 13.11 КоАП: от 100 000 до 300 000 рублей на организацию.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как выстроить обработку персональных данных работников: пошаговая инструкция
- Шаг 1. Составьте реестр обработок: по каждому массиву данных — цель, правовое основание, состав сведений, срок хранения, подразделение-владелец. Кандидаты, работники, бывшие работники, родственники для льгот — это разные массивы с разными сроками.
- Шаг 2. Уберите из анкет и форм поля, которым не нашлось основания в реестре. Это дешевле, чем защищать лишние данные.
- Шаг 3. Утвердите комплект ЛНА: политику обработки персональных данных, положение об обработке и защите данных работников, приказ о назначении ответственного за организацию обработки по статье 18.1 152-ФЗ, перечень допущенных должностей.
- Шаг 4. Разведите согласия по целям и соберите их до начала соответствующей обработки, а не после.
- Шаг 5. Подайте уведомление в Роскомнадзор и обновляйте его при изменении целей, состава данных или мест хранения.
- Шаг 6. Настройте ролевой доступ и журналирование в системах, где лежат кадровые данные, и только после этого выдавайте доступы сотрудникам.
- Шаг 7. Утвердите регламент на инцидент: кто фиксирует, кто уведомляет Роскомнадзор в течение 24 часов, кто готовит результаты расследования к исходу 72 часов.
Мария Ж, юрист со стажем более 20 лет: «Самое уязвимое состояние — когда обмен документами и данными фактически сложился, но нигде не описан. Суды признают электронную переписку с работником, если обмен системный и порядок закреплён локальным актом, и отказывают, когда есть только привычка так работать. С персональными данными правило то же: пока в положении не написано, кто, какие данные и с какой целью обрабатывает, подтвердить правомерность будет нечем.»
Разграничение доступа: почему у банка нет общей папки с досье
Банковская модель доступа строится от роли, а не от человека: операционист видит операции по счёту, но не видит анкету скоринга, служба безопасности видит результаты проверки, но не имеет доступа к платёжной истории. В кадровой службе типичная картина другая — общая сетевая папка, к которой имеют доступ все специалисты по кадрам, бухгалтерия и часть руководителей, и никакой фиксации, кто и что открывал.
Ролевая модель в системе КЭДО решает это настройкой, а не покупкой отдельного продукта: система определяет по подразделению, какому специалисту по кадрам уходит заявление, и не открывает ему документы других подразделений. Маршрут согласования при этом остаётся управляемым: доступ к документу появляется у конкретного подписанта на конкретном шаге и исчезает после завершения.
Лайфхак: порядок обратный тому, как делают обычно. Сначала администратор настраивает политики качества пароля и число попыток до блокировки, и только потом доступы раздаются сотрудникам. Если раздать сначала, половина поставит слабое значение, и переделывать придётся вручную.
В практике Добыто мы закладываем пилотную группу перед раскаткой на всю компанию. На пилоте видно, кому из кадровой службы действительно нужен доступ ко всему массиву, а кому хватает своего подразделения: после пилота перечень допущенных должностей сокращается почти всегда.
Внимание: кадровая система должна обеспечивать выгрузку журналов действий. Журнал не выборочный: он покажет и дату выдачи ключа, и вход под чужой учётной записью, и отсутствие активности работника при формально подписанном документе.
Мария Ж, судебный эксперт по трудовому праву: «В спорах по электронным кадровым документам сначала доказывают право компании вообще вести документы в электронном виде, и только потом — что конкретный документ подписан. Если рассыпается первое, до второго дело не доходит, каким бы аккуратным ни был журнал подписания. Поэтому журнал действий мы смотрим до начала спора: перед проверкой и перед увольнением, на котором ожидаем конфликт, сверка занимает около часа.»
Подрядчики: поручение обработки вместо доверительного письма
Банк не передаёт данные контрагенту на честном слове: поручение обработки оформляется договором по части 3 статьи 6 152-ФЗ, где перечислены действия, цели, обязанность соблюдать конфиденциальность и требования к защите. Ответственность перед работником при этом остаётся на операторе, то есть на работодателе, даже если утечка произошла у подрядчика. Аутсорсинг проверки кандидатов, зарплатный проект, провайдер КЭДО и удостоверяющий центр обрабатывают ваши данные под вашу ответственность.
Проверка вендора у банка формализована и сводится к трём документам, которые часто путают. Лицензия ФСТЭК или ФСБ разрешает вид деятельности и относится к разработчику. Сертификат подтверждает соответствие конкретной версии продукта. Аттестат выдаётся на уже развёрнутую систему и относится к зоне ответственности оператора.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Оценка соответствия требованиям по 152-ФЗ обязательна, но проводить её можно двумя способами: самостоятельно, оформив акт оценки соответствия, либо привлечь лицензиата ФСТЭК, и тогда процедура называется аттестацией. Какой вариант ваш, определяется нормативными документами под конкретную систему, а не общим правилом. Начните с проверки лицензии разработчика: если её нет, регулятор вправе запретить использование продукта, и компания останется без системы в неудобный момент.»
Полезно знать: сертификат ФСБ требуется тому компоненту, который реально выполняет криптографическое преобразование. Если его делает программа, сертификат ФСБ нужен программе, а носителю ключа достаточно сертификации ФСТЭК. Ориентироваться на одно слово «сертифицирован» в карточке товара нельзя.
Важный нюанс из практики: в 2025 году выросло число запросов на локальное развёртывание кадровых систем, причём часть клиентов целенаправленно уходила с облачной инфраструктуры на собственную. Причина не в цене: облака, подходящие под усиленные требования информационной безопасности, стоят дороже обычных, и разница в затратах между контурами заметно сократилась.
Инциденты: 24 часа на уведомление и цена ошибки
Банковский регламент на инцидент существует до инцидента, и в нём назван конкретный человек с телефоном. Для работодателя обязанность та же: об инциденте с персональными данными оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления, а о результатах внутреннего расследования — в течение 72 часов. Эти сроки считаются от выявления, а не от момента, когда служба информационной безопасности закончила разбираться.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Цена ошибки после поправок 420-ФЗ считается не в десятках тысяч. С 30 мая 2025 года статья 13.11 КоАП дополнена новыми составами: утечка данных от 1 000 до 10 000 субъектов — от 3 до 5 млн рублей на организацию, от 10 000 до 100 000 субъектов — от 5 до 10 млн, свыше 100 000 субъектов — от 10 до 15 млн. Повторная утечка тарифицируется оборотным штрафом от 1 до 3 % выручки, но не менее 20 млн и не более 500 млн рублей. Само неуведомление Роскомнадзора об утечке — от 1 до 3 млн рублей. Параллельно с 11 декабря 2024 года действует статья 272.1 УК РФ: незаконные сбор, хранение и передача компьютерной информации с персональными данными наказываются в том числе штрафом, а для специальных категорий и биометрии санкция жёстче.
Для кадровой службы это переводит старую логику «сколько стоит защита» в другую плоскость. База данных работников компании на 3 000 человек с учётом бывших сотрудников и кандидатов легко превышает 10 000 субъектов, и это уже вторая ступень ответственности. В практике Добыто первый вопрос, который мы задаём на предпроектном обследовании, звучит именно так: сколько субъектов персональных данных реально в ваших системах вместе с архивом и откликами на вакансии. Ответ почти всегда оказывается больше, чем численность в штатном расписании.
Сроки хранения и уничтожение: банковская дисциплина по датам
Банк удаляет данные по расписанию, потому что хранение лишнего создаёт риск без выгоды. В кадрах действует обратная привычка: резюме и анкеты кандидатов лежат в почте и папках годами. Между тем при достижении цели обработки или отзыве согласия данные подлежат уничтожению в срок до 30 дней, а факт уничтожения подтверждается по правилам приказа Роскомнадзора от 28.10.2022 № 179: при обработке без средств автоматизации оформляется акт об уничтожении, при автоматизированной обработке — акт и выгрузка из журнала регистрации событий.
Сроки хранения самих кадровых документов задаются архивным законодательством и не сокращаются от того, что документ электронный: графики отпусков и табели — 5 лет, трудовые договоры и приказы по личному составу — 50 или 75 лет в зависимости от даты создания, штатные расписания и ЛНА — постоянно. Массив кандидатов и массив работников живут по разным правилам, поэтому общее хранилище усложняет уничтожение: удалить анкеты с истёкшей целью, не задев личные дела, в одной папке технически сложно.
Кейс из практики: при подготовке к внедрению КЭДО мы разбирали кадровый архив производственной компании и обнаружили, что анкеты кандидатов за четыре года хранились вместе с личными делами работников. Разделение массивов и удаление анкет с истёкшей целью обработки сократило объём данных, подпадающих под защиту, примерно на треть, а согласия при этом пришлось пересобрать только у действующих работников.
Что из банковской практики работодателю не нужно
Копировать банк целиком — дорого и бессмысленно. ГОСТ Р 57580.1-2017 адресован кредитным и некредитным финансовым организациям и субъектам национальной платёжной системы; обычный работодатель ему не подчиняется. Аттестация информационной системы обязательна не всем: её необходимость определяется нормативными документами под конкретную систему и конкретный уровень защищённости, и для многих компаний достаточно самостоятельной оценки соответствия с оформлением акта.
Сценарии ниже показывают, что критично, а что откладывается.
| Ситуация компании | Что критично | Что избыточно |
|---|---|---|
| До 50 работников, только данные по трудовым отношениям | Уведомление в Роскомнадзор, комплект ЛНА, раздельные согласия, сроки уничтожения | Аттестация системы, отдельная штатная единица по информационной безопасности |
| От 50 до 1 000 работников, проверка кандидатов через подрядчика | Договоры поручения обработки, ролевой доступ, журналирование, регламент на инцидент | Локальный контур вместо облака при отсутствии спецкатегорий данных |
| Свыше 1 000 работников, биометрический доступ или медицинские сведения | Оценка соответствия по 152-ФЗ, проверка лицензий и сертификатов вендора, нагрузочная готовность системы | Прямое копирование отраслевого банковского стандарта |
Третья строка требует пояснения по нагрузке. При рассылке ЛНА на ознакомление в систему одномоментно заходят тысячи работников, и архитектурная готовность к этому проверяется результатами нагрузочного тестирования вендора, а не обещанием «система гибкая». Запросите цифру и сравните её со своей численностью.
Стоимость КЭДО с защищённой обработкой персональных данных
Стоимость зависит от численности подключаемых работников, набора видов электронной подписи и того, нужна ли интеграция с учётной системой и электронный архив. Электронные подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, приоритетная поддержка | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» — 50 сотрудников | 30 000 ₽ в год | период оплаты — год |
| Электронный архив кадровых документов (входит в тариф «Бизнес») | включено в тариф | по запросу |
| Интеграция с 1С:ЗУП готовым модулем | включено в тариф «Бизнес» | установка и настройка за один день |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9 %, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
| Выпуск электронных подписей ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
Итоговая сумма складывается из численности и выбранного контура: выделенный сервер и SLA переводят расчёт в индивидуальный. Актуальные условия по каждому тарифу и состав включённых функций опубликованы на странице тарифов ДОБЫТО КЭДО; тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду.
Сопоставьте эту сумму с минимальным штрафом за утечку в 3 млн рублей по части 12 статьи 13.11 КоАП: для большинства компаний годовая стоимость защищённого контура оказывается меньше нижней границы одного административного штрафа.
Выводы
Банковская дисциплина сводится к четырём привычкам, которые кадровая служба может завести без отдельного бюджета: знать основание обработки по каждому массиву данных, собирать согласия раздельно под каждую цель, выдавать доступ по роли с фиксацией действий и удалять данные по расписанию, а не по случаю. Отраслевые стандарты финансового сектора работодателю не адресованы, а вот сроки уведомления об инциденте, требования к поручению обработки и правила подтверждения уничтожения данных одинаковы для всех операторов.
В сервисе Добыто ролевой доступ, журналирование действий и хранение подписанных кадровых документов настраиваются на этапе внедрения, а комплект согласий и ЛНА собирается под конкретные процессы компании. Практика внедрений показывает, что большая часть работы приходится не на технику, а на наведение порядка в основаниях обработки: когда описан реестр обработок, настройка системы занимает несоизмеримо меньше времени.
Частые вопросы
Нужно ли согласие работника, если данные передаются в облачный сервис расчёта зарплаты?
Передача данных стороннему сервису оформляется как поручение обработки по части 3 статьи 6 152-ФЗ: заключается договор, в котором перечислены действия с данными, цели обработки, обязанность соблюдать конфиденциальность и требования к защите. Согласие работника на передачу данных определённому третьему лицу требуется, если основанием обработки выступает именно согласие, а не исполнение трудового договора. Ответственность перед работником в любом случае несёт работодатель как оператор, и утечка на стороне сервиса от неё не освобождает.
Можно ли хранить резюме кандидатов, которым отказали, в базе для будущих вакансий?
Можно, но только если в согласии прямо указана такая цель и назван срок хранения. По общему правилу при достижении цели обработки данные уничтожаются в срок до 30 дней. Формирование кадрового резерва — самостоятельная цель, а не продолжение подбора на конкретную вакансию, поэтому она должна быть названа в согласии отдельно, со своим сроком.
Что делать, если утечка произошла у подрядчика, а не в нашей системе?
Уведомить Роскомнадзор обязан оператор, то есть работодатель, а не подрядчик. Сроки те же: 24 часа на сообщение об инциденте и 72 часа на результаты внутреннего расследования с момента выявления. Поэтому в договоре поручения обработки стоит отдельно закрепить обязанность исполнителя немедленно сообщать о любом инциденте и передавать сведения, необходимые для расследования.
Обязана ли компания проводить аттестацию информационной системы с персональными данными?
Оценка соответствия требованиям по 152-ФЗ обязательна, но способов два: самостоятельная оценка с оформлением акта либо аттестация с привлечением лицензиата ФСТЭК. Какой вариант применим, определяется нормативными документами под конкретную систему и требуемый уровень защищённости. Государственным организациям и тем, у кого по закону требуются высокие уровни защищённости, сертифицированные средства защиты нужны точно.
Может ли работник отозвать согласие и потребовать удалить все свои данные?
Отзыв прекращает обработку, которая держалась на согласии: проверку по базам, размещение фото, рассылки. Данные, которые обрабатываются в силу ТК РФ и архивного законодательства, отзыв не затрагивает: трудовой договор, приказы по личному составу и личная карточка хранятся установленные сроки, от 5 до 75 лет в зависимости от вида документа. Именно поэтому массивы, живущие на согласии, стоит держать отдельно от массивов, живущих на законе.
Считается ли нарушением сбор паспортных данных кандидата до трудоустройства?
Основанием для обработки данных кандидата выступает согласие, а не трудовой договор, которого ещё нет. Объём данных должен соответствовать заявленной цели: для отклика на вакансию паспортные данные, как правило, избыточны, для проверки подлинности документов перед офером — обоснованы при наличии подписанного согласия с указанием этой цели. Обработка без надлежащего согласия — часть 2 статьи 13.11 КоАП, от 300 000 до 700 000 рублей на юридическое лицо.
Нужно ли подавать новое уведомление в Роскомнадзор при переходе на электронный документооборот?
Если меняются места хранения данных, состав обрабатываемых сведений, цели обработки или появляется новое лицо, которому поручена обработка, сведения в реестре операторов подлежат актуализации. Подаётся уведомление о внесении изменений, форма размещена на портале персональных данных Роскомнадзора. Отсутствие актуальных сведений оценивается по тем же составам, что и отсутствие первичного уведомления.
