Обработка персональных данных работников законна только при наличии основания из закрытого перечня части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ. Оснований одиннадцать, согласие субъекта — лишь первое из них. Основную массу кадровых операций закрывают пункт 2 части 1 статьи 6, то есть исполнение обязанностей, возложенных на работодателя законодательством, и пункт 5, то есть исполнение договора, стороной которого выступает сам работник. Главное различие, от которого зависит комплект документов, проходит по источнику и адресату данных: сведения получены у самого работника и используются внутри трудовых отношений — письменное согласие не нужно, достаточно трудового договора и локальных нормативных актов; сведения запрашиваются у третьих лиц, передаются вовне или относятся к специальным категориям — без письменного согласия обработка незаконна.
Разберем одиннадцать оснований в привязке к кадровым ситуациям и покажем пять сценариев, где письменное согласие обязательно, а также почему согласие, взятое на всякий случай, ухудшает положение работодателя. Отдельно — перечень сведений, которые нельзя обрабатывать даже при наличии согласия, и различие между режимом персональных данных и режимом коммерческой тайны. Требования к бланку согласия, действующие с 1 сентября 2025 года, размеры штрафов по статье 13.11 КоАП, стоимость подключения КЭДО и ответы на частые вопросы — во второй половине статьи.
Работодатель становится оператором персональных данных до приема на работу
Обработкой по статье 3 152-ФЗ считается любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление и уничтожение. Оператор — лицо, которое организует обработку и определяет ее цели и состав. Работодатель подпадает под это определение в момент, когда получил первое резюме и сохранил его в почте или в системе подбора: кандидат еще не работник, а обработка уже началась.
Отсюда первая обязанность, о которой чаще всего забывают. С 1 сентября 2022 года исключение, позволявшее не уведомлять Роскомнадзор об обработке данных работников, отменено: уведомление подает практически любая организация, у которой есть сотрудники. Подать его можно в бумажном виде, с усиленной квалифицированной подписью или через ЕСИА — на портале персональных данных доступна форма уведомления об обработке персональных данных с отдельными бланками для изменения сведений и для прекращения обработки. Сведения вносятся в реестр операторов в течение 30 дней.
Проверить, включена ли ваша организация в реестр операторов персональных данных, можно по ИНН бесплатно и без регистрации: сведения реестра общедоступны, кроме описания мер защиты. Полезно сделать это до любой проверки, потому что неуведомление наказывается по части 10 статьи 13.11 КоАП РФ штрафом от 100 000 до 300 000 рублей для юридических лиц и от 30 000 до 50 000 рублей для должностных лиц. Санкция применяется за сам факт обработки без поданного уведомления, независимо от того, была утечка или нет. Вторая базовая обязанность — политика в отношении обработки персональных данных по статье 18.1 152-ФЗ с неограниченным доступом к ее тексту; отсутствие опубликованной политики стоит юридическому лицу от 30 000 до 60 000 рублей по части 3 статьи 13.11 КоАП.
Одиннадцать оснований статьи 6 и их кадровое применение
Перечень условий обработки в части 1 статьи 6 152-ФЗ закрытый: если ни одно из одиннадцати оснований не подходит, обработка неправомерна, и никакие внутренние регламенты этого не исправляют. В таблице — каждое основание и то, что оно реально закрывает у работодателя.
| Пункт части 1 статьи 6 | Что закрывает в кадрах | Согласие |
|---|---|---|
| 1. Согласие субъекта | Все, что выходит за рамки трудовых отношений: проверка службой безопасности, оценка, фото на сайте, передача провайдеру | Требуется |
| 2. Обязанности, возложенные на оператора законодательством | ЕФС-1 и другая отчетность в Социальный фонд России, сведения в ФНС, воинский учет, обязательные медосмотры | Не требуется |
| 3. Осуществление правосудия, исполнение судебного акта | Удержания по исполнительным листам, ответы на запросы приставов и судов | Не требуется |
| 4. Предоставление государственных и муниципальных услуг | Взаимодействие через ЕСИА и портал государственных услуг, в том числе при подписании кадровых документов | Не требуется |
| 5. Исполнение договора, стороной которого является субъект | Оформление приема, начисление зарплаты, графики отпусков, приказы, ведение личного дела | Не требуется |
| 6. Защита жизни, здоровья, иных жизненно важных интересов | Вызов скорой помощи, действия при несчастном случае, когда согласие получить невозможно | Не требуется |
| 7. Права и законные интересы оператора или третьих лиц | Спорное основание для кадровых проверок: работает, только если не нарушаются права работника, ГИТ и суды трактуют узко | Как правило, требуется |
| 8. Журналистская, научная, творческая деятельность | В кадровых процессах не применяется | Не применимо |
| 9. Статистические и исследовательские цели | Аналитика по текучести и вовлеченности только при обязательном обезличивании | Не требуется при обезличивании |
| 10. Данные, доступ к которым открыт самим субъектом | Резюме, размещенное кандидатом в открытом доступе, и сведения, разрешенные для распространения | Не требуется в пределах открытого доступа |
| 11. Данные, подлежащие опубликованию по федеральному закону | Раскрытие сведений о доходах отдельных категорий руководителей | Не требуется |
Из одиннадцати оснований в типовой кадровой службе постоянно работают четыре: пункты 2, 3, 5 и 1. Пункт 7 про законные интересы оператора выглядит удобным универсальным ответом, но в трудовых отношениях он ограничен статьей 86 ТК РФ, которая задает закрытый перечень целей обработки данных работника, и опираться на него при проверке кандидата рискованно.
Когда согласие работника не требуется
Роскомнадзор в разъяснениях по обработке данных работников, соискателей и лиц в кадровом резерве прямо указал: работодатель вправе обрабатывать данные без согласия в случаях, предусмотренных коллективным договором, правилами внутреннего трудового распорядка и локальными актами, а также когда обработка нужна для исполнения обязанностей по трудовому договору. Отдельно названы обязанности, возложенные законодательством: представление в Социальный фонд России сведений о трудовой деятельности, уведомление военного комиссариата о приеме работника, подлежащего воинскому учету, и аналогичные операции.
Статья 86 ТК РФ ограничивает цели обработки: соблюдение законов и иных нормативных правовых актов, содействие работникам в трудоустройстве, получении образования и продвижении по службе, обеспечение личной безопасности работников, контроль количества и качества выполняемой работы и обеспечение сохранности имущества. В иных целях обработка не допускается. Норма сформулирована так, что инспекторы читают ее по-разному в пограничных случаях, но перечень целей закрытый, и расширить его локальным актом нельзя.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Почему согласие, взятое на всякий случай, ухудшает позицию работодателя
Практика «подпишите согласие при приеме, и вопросов не будет» создает две проблемы. Первая: согласие отзывается по части 2 статьи 9 152-ФЗ в любой момент. Формально после отзыва оператор вправе продолжить обработку при наличии оснований из пунктов 2-11 части 1 статьи 6, но если во всех внутренних документах вы назвали согласие единственным основанием, доказывать наличие другого придется задним числом. Вторая: избыточное согласие, покрывающее операции, которые вы и так обязаны выполнять по закону, работает как признание того, что обработка ведется по воле работника, а не по требованию нормативного акта.
Отдельное согласие поэтому берется не на весь кадровый учет скопом, а на конкретную операцию с конкретной целью. Проверьте по своим бланкам: если в согласии стоят формулировки «для целей кадрового учета» и «для ведения бухгалтерии», вы взяли согласие там, где основанием служат пункты 2 и 5 части 1 статьи 6.
Мария Ж, юрист со стажем более 20 лет: «Закон описывает рамку, а порядок внутри нее работодатель определяет сам. Если вы не опишете этот порядок под свои процессы, вы будете работать по чужому типовому шаблону, и именно его инспектор будет сверять с фактическими действиями кадровой службы. Начните с простого: выпишите все кадровые процессы и по каждому определите цель обработки, состав данных и основание из статьи 6.»
Соберите бланк согласия под ту цель, где оно действительно нужно
Пять сценариев, где письменное согласие обязательно
Ниже — ситуации, в которых основания из пунктов 2 и 5 части 1 статьи 6 не работают и требуется отдельный документ.
- Данные получены не у самого работника. Часть 3 статьи 86 ТК РФ: если персональные данные можно получить только у третьей стороны, работодатель обязан заранее уведомить об этом работника и получить его письменное согласие. Сюда попадают запросы прежним работодателям, проверка по коммерческим базам, обращение в бюро кредитных историй.
- Передача данных вовне. Статья 88 ТК РФ запрещает сообщать данные работника третьей стороне без письменного согласия, кроме случаев предупреждения угрозы жизни и здоровью и случаев, прямо предусмотренных законом. Облачный сервис КЭДО, арендованные серверы, удостоверяющий центр и аутсорсинговая служба безопасности — это третьи лица.
- Специальные категории и биометрия. Состояние здоровья, национальная принадлежность, убеждения относятся к статье 10 152-ФЗ, биометрические данные — к статье 11. Пропуск по отпечатку пальца или по изображению лица без отдельного письменного согласия неправомерен, и заменить его приказом о пропускном режиме нельзя.
- Распространение данных. Фотография сотрудника на сайте, ФИО и должность в открытом разделе, поздравления в корпоративном канале — это распространение, для которого статья 10.1 152-ФЗ требует отдельного согласия, оформленного самостоятельно от согласия на обработку.
- Цели за пределами трудовых отношений. Оценка методом 360, включение в кадровый резерв, участие в корпоративных исследованиях, обработка данных членов семьи для добровольного медицинского страхования. Статья 86 ТК РФ таких целей не содержит, значит основанием остается только согласие.
Внимание: при облачном размещении КЭДО доступ к кадровым документам получают обычно не одна компания, а три: провайдер сервиса, владелец серверной инфраструктуры и удостоверяющий центр, выпускающий подписи. Согласие на передачу третьим лицам собирается со всех сотрудников до запуска, а не после первой проверки.
В практике Добыто первый вопрос, который мы задаем на старте внедрения, звучит именно так: перечислите поименно всех, кто получит доступ к данным. Ответ «данные хранятся защищенно» для согласия по статье 88 ТК РФ не годится, потому что в бланке указывается конкретное лицо, которому передаются сведения.
Требования к бланку согласия, действующие с 1 сентября 2025 года
Федеральный закон от 24.06.2025 № 156-ФЗ изменил статью 9 152-ФЗ. С 1 сентября 2025 года согласие оформляется отдельно от иной информации и документов, которые подписывает субъект персональных данных. Пункт в трудовом договоре, галочка в анкете и абзац в заявлении о приеме требованию не соответствуют: нужен самостоятельный документ. Само согласие по части 1 статьи 9 должно быть конкретным, предметным, информированным, сознательным и однозначным.
Часть 4 статьи 9 задает состав письменного согласия: сведения о субъекте, включая ФИО, адрес и реквизиты документа, удостоверяющего личность; сведения о представителе, если согласие подписывает он; сведения об операторе; цель обработки; перечень персональных данных; сведения о лице, обрабатывающем данные по поручению оператора, если обработка поручена; перечень действий с данными и описание способов обработки; срок действия согласия и порядок его отзыва; подпись субъекта. Отсутствие любого из элементов переводит документ в разряд согласия, полученного с нарушением требований к содержанию.
В практике Добыто эйчары чаще всего спотыкаются не на самом бланке, а на сроке и порядке отзыва: поле «срок действия» заполняют фразой «до окончания трудовых отношений», хотя часть целей обработки переживает увольнение — хранение документов по архивным срокам идет дольше. Мы закладываем пилотную группу перед раскаткой комплекта согласий на всю компанию: на небольшой выборке подписантов видно, какие пункты бланка люди не понимают и какие вопросы задают кадровой службе.
Часть 2 статьи 13.11 КоАП РФ за обработку без письменного согласия либо с нарушением требований к его содержанию дает юридическому лицу от 300 000 до 700 000 рублей, должностному — от 100 000 до 300 000 рублей. Повторное нарушение по части 2.1 — от 1 000 000 до 1 500 000 рублей для организации.
Мария Ж, специалист по цифровой подписи и КЭДО: «Согласие на обработку данных для выпуска сертификата подписи и согласие на ведение кадрового документооборота в электронном виде — два разных документа с разными целями и разными получателями сведений. Когда их сшивают в один бланк, отзыв согласия по одному основанию обрушивает второе. Проверьте свой комплект: на каждую цель из вашей карты процессов должен приходиться отдельный лист с отдельной подписью.»
Что нельзя обрабатывать даже при наличии согласия
Согласие работника не легализует любую обработку. Часть 3 статьи 10 152-ФЗ разрешает обработку сведений о судимости государственным и муниципальным органам в пределах их полномочий, а иным лицам — только в случаях и порядке, определяемых федеральными законами. Подписанное кандидатом согласие таким федеральным законом не является. Справку о наличии или отсутствии судимости работодатель вправе требовать по статье 65 ТК РФ лишь тогда, когда ограничение установлено самим кодексом или иным федеральным законом: это статья 331 ТК РФ для педагогической деятельности и статья 351.1 ТК РФ для сфер с участием несовершеннолетних.
Пункт 4 статьи 86 ТК РФ запрещает получать и обрабатывать сведения о политических, религиозных и иных убеждениях, а также о частной жизни работника. Пункт 5 той же статьи запрещает обрабатывать данные о членстве в общественных объединениях и о профсоюзной деятельности, кроме случаев, предусмотренных ТК РФ и другими федеральными законами. Сведения о состоянии здоровья работодатель вправе получать только в объеме, относящемся к способности выполнять трудовую функцию.
| Ситуация | Что критично | Что вторично |
|---|---|---|
| Проверка кандидата по открытым базам ФССП, ЕГРЮЛ, реестру дисквалифицированных | Письменное согласие получено до первого запроса, цель проверки названа в бланке | Набор источников: они общедоступны |
| Запрос сведений о судимости | Наличие федерального закона, ограничивающего доступ к должности | Согласие кандидата: само по себе основания не создает |
| Передача данных в облачный сервис КЭДО | Перечень третьих лиц в согласии по статье 88 ТК РФ, разграничение доступа по ролям | Бренд системы и набор интерфейсных функций |
| Отчетность в Социальный фонд России и ФНС | Ссылка на пункт 2 части 1 статьи 6 в политике обработки | Отдельное согласие: оно не требуется |
| Публикация фото сотрудника на сайте компании | Отдельное согласие на распространение по статье 10.1 152-ФЗ | Устное одобрение и договоренность с руководителем |
| Биометрический пропускной режим | Письменное согласие по статье 11 152-ФЗ и альтернативный способ прохода для отказавшихся | Приказ о введении пропускной системы |
Таблица показывает закономерность: там, где основанием служит закон, согласие лишнее, а там, где основанием служит согласие, его отсутствие не компенсируется приказом или положением.
Персональные данные и коммерческая тайна: два разных режима в одном шкафу
Режимы путают, потому что оба относятся к конфиденциальной информации, но защищаются они по разным законам и разными действиями. Персональные данные работника охраняются главой 14 ТК РФ и 152-ФЗ, а обязанность не раскрывать их возникает у работодателя автоматически. Коммерческая тайна по Федеральному закону от 29.07.2004 № 98-ФЗ возникает только после введения режима: утверждается перечень сведений, ограничивается доступ, ведется учет лиц, получивших сведения, работники знакомятся с перечнем под роспись, на носители наносится гриф.
Статья 5 98-ФЗ прямо исключает из состава коммерческой тайны сведения о численности и составе работников, о системе оплаты труда, об условиях труда, о показателях производственного травматизма, о наличии свободных рабочих мест и о задолженности по заработной плате. Попытка закрыть штатное расписание целиком грифом коммерческой тайны наталкивается на эту норму: закрыть можно методику расчета премий, но не сам факт наличия вакансий или размер задолженности перед работниками.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Практический вывод для кадровой службы: один и тот же документ может нести оба режима одновременно. Приказ о премировании содержит и персональные данные конкретного работника, и сведения о системе мотивации, которую компания относит к коммерческой тайне. Доступ к нему настраивается по двум правилам сразу — по цели обработки данных и по перечню лиц, допущенных к тайне.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Трудовой договор должен быть доступен тому специалисту, который его ведет, и самому работнику, а не всем, у кого есть логин в системе. Откройте матрицу прав доступа в своей системе и посмотрите, сколько человек видят документы по сотрудникам чужих подразделений.»
Кейс из практики: на отраслевом вебинаре кадровые службы выбирали критерии для системы КЭДО, и самым частым ответом стало хранение персональных данных на собственных серверах, а интерфейс системы набрал больше голосов, чем интеграция с сервисом государственных подписей. Распределение отражает не важность критериев, а уже пережитый опыт: за хранение данных отвечает конкретный человек и по нему бывают проверки, а масштаб работы по выдаче ключей сотне сотрудников на этапе выбора еще не осознается.
Документы, которыми подтверждается законное основание
Обязанность доказать наличие согласия или иного законного основания лежит на операторе по части 3 статьи 9 152-ФЗ. Это значит, что при проверке работает не устное объяснение, а комплект документов.
Как выстроить законное основание обработки: пошаговая инструкция
- Шаг 1. Составьте перечень кадровых процессов и по каждому зафиксируйте цель обработки, состав данных, срок хранения и получателей сведений. Без этой карты остальные шаги превращаются в копирование чужого шаблона.
- Шаг 2. Присвойте каждому процессу основание из части 1 статьи 6 152-ФЗ. Процессы, для которых основание не нашлось, либо прекращаются, либо переводятся на согласие с конкретной целью.
- Шаг 3. Утвердите политику обработки персональных данных по статье 18.1 152-ФЗ и обеспечьте неограниченный доступ к ее тексту, а также положение об обработке и защите данных работников как локальный нормативный акт.
- Шаг 4. Подайте уведомление в Роскомнадзор либо проверьте, что организация уже включена в реестр операторов, и при изменении целей или состава данных подайте уведомление об изменении сведений.
- Шаг 5. Разработайте отдельные бланки согласий под каждую цель по части 4 статьи 9 в редакции, действующей с 1 сентября 2025 года, и уберите вшитые согласия из трудовых договоров и анкет.
- Шаг 6. Ознакомьте работников с локальными актами под подпись и определите порядок идентификации при подписании, если документы оформляются электронно.
- Шаг 7. Проведите оценку соответствия принятых мер защиты и зафиксируйте ее результат документом, а не устным выводом ИТ-службы.
Факт: оценка соответствия требованиям по 152-ФЗ обязательна, но проводится в двух вариантах. Оператор делает ее самостоятельно, и тогда результат оформляется актом оценки соответствия требованиям, либо привлекает лицензиата ФСТЭК, и тогда процедура называется аттестацией и завершается аттестатом или перечнем замечаний.
Шаблоны согласий и локальных актов по обработке данных работников
Комплект собран под задачу статьи: начните с согласия на обработку персональных данных, остальные документы подключаются по мере появления соответствующих процессов.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Анкета кандидата для службы безопасности | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
| Приказ об утверждении Положения о КЭДО | Скачать |
Лайфхак: перед покупкой любой системы запросите у поставщика не декларацию о защищенности, а список лиц, которые получат доступ к данным, и ответ на вопрос, выгружается ли комплект документа целиком: сам файл, файл подписи отдельно и доверенность, если документ подписан по ней.
Цена ошибки: штрафы и уголовная ответственность в 2026 году
После вступления в силу Федерального закона от 30.11.2024 № 420-ФЗ размеры санкций по статье 13.11 КоАП пересмотрены с 30 мая 2025 года, а к прежним составам добавились новые. Ниже — действующие суммы для должностных и юридических лиц.
| Нарушение | Должностное лицо | Юридическое лицо |
|---|---|---|
| Обработка в случаях, не предусмотренных законодательством (ч. 1) | 50 000 — 100 000 руб. | 150 000 — 300 000 руб. |
| Обработка без письменного согласия или с нарушением требований к его содержанию (ч. 2) | 100 000 — 300 000 руб. | 300 000 — 700 000 руб. |
| Повторное нарушение по части 2 (ч. 2.1) | 300 000 — 500 000 руб. | 1 000 000 — 1 500 000 руб. |
| Отсутствие опубликованной политики обработки (ч. 3) | 6 000 — 12 000 руб. | 30 000 — 60 000 руб. |
| Неуведомление Роскомнадзора о намерении обрабатывать данные (ч. 10) | 30 000 — 50 000 руб. | 100 000 — 300 000 руб. |
| Утечка данных 1 000 — 10 000 субъектов | рассчитывается индивидуально | 3 000 000 — 5 000 000 руб. |
| Утечка биометрических данных | рассчитывается индивидуально | 15 000 000 — 20 000 000 руб. |
Повторная утечка переводит санкцию в оборотный формат: от 1 до 3 процентов годовой выручки с нижней границей 20-25 миллионов рублей и верхней 500 миллионов. Отдельный состав — неуведомление Роскомнадзора об утечке: от 1 до 3 миллионов рублей. Сроки жесткие: о самом факте инцидента оператор сообщает в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов.
С 11 декабря 2024 года действует статья 272.1 УК РФ, введенная Федеральным законом от 30.11.2024 № 421-ФЗ. Она наказывает незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные. За деяния с данными несовершеннолетних, специальными категориями и биометрией предусмотрен штраф до 700 000 рублей с лишением права занимать определенные должности до двух лет, за трансграничную передачу — лишение свободы на срок до 8 лет со штрафом до 2 000 000 рублей.
Важный нюанс из практики: компании нередко выдают электронные подписи только после испытательного срока, чтобы не отзывать ключи у тех, кто не останется. Решение снижает нагрузку на администрирование, но у него есть следствие: трудовой договор и весь комплект документов при приеме остаются на бумаге постоянно, а это самый документоемкий момент в жизни сотрудника. Мы разводим во времени выдачу подписи и первые кадровые действия с ней, поэтому вопрос момента выдачи решается осознанно на старте, а не складывается сам.
Мария Ж, судебный эксперт по трудовому праву: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он в локальном акте. Если порядок идентификации у вас не описан, спор вы проиграете даже при технически исправной подписи и правильно оформленном согласии.»
Стоимость перехода на электронный кадровый документооборот
Стоимость зависит от численности сотрудников, выбранного набора видов электронной подписи и необходимости интеграции с учетной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | рассчитывается индивидуально |
| УКЭП через партнеров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности и выбранного тарифа: электронные подписи ПЭП и УНЭП для сотрудников выпускаются без отдельной оплаты на всех тарифах, а УКЭП оформляется через партнерские удостоверяющие центры. Актуальные условия, состав функций каждого тарифа и порядок перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Тариф меняется в любой момент, при повышении разница пересчитывается пропорционально оставшемуся периоду. Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных, поэтому отдельного проекта по приведению документооборота в соответствие закону о персональных данных подключение не требует.
Выводы
Законность обработки держится на основании из части 1 статьи 6 152-ФЗ. Для большинства кадровых операций работают пункты 2 и 5 части 1 статьи 6 152-ФЗ, и согласие там избыточно; отдельный письменный документ нужен, когда данные берутся у третьих лиц, уходят вовне, относятся к специальным категориям или биометрии либо распространяются публично. С 1 сентября 2025 года согласие оформляется отдельным документом с полным составом сведений из части 4 статьи 9, а ошибка в этом месте стоит организации от 300 000 до 700 000 рублей. Сведения о судимости и данные об убеждениях и частной жизни остаются недоступными работодателю независимо от согласия.
Мы в Добыто выстраиваем комплект оснований вместе с настройкой электронного документооборота: карта процессов и целей обработки, отдельные бланки согласий под каждую цель, разграничение доступа по ролям и порядок идентификации при подписании. Такой порядок закрывает и требования Роскомнадзора, и вопросы ГИТ к кадровым документам одновременно.
Частые вопросы
Можно ли отказаться подписывать согласие на обработку персональных данных при приеме на работу?
Отказ от согласия не препятствует трудоустройству, если работодатель обрабатывает данные по основаниям из пунктов 2 и 5 части 1 статьи 6 152-ФЗ: оформление приема, начисление зарплаты и отчетность в Социальный фонд России ведутся без согласия. Отказ становится значимым там, где согласие — единственное основание: проверка службой безопасности, публикация фото, биометрический пропуск. В этих случаях работодатель обязан обеспечить альтернативу либо отказаться от операции, но не вправе увязывать с ней заключение трудового договора.
Нужно ли брать согласие у кандидата, который сам прислал резюме?
Резюме, размещенное соискателем в открытом доступе, подпадает под пункт 10 части 1 статьи 6 152-ФЗ в пределах того объема, который субъект открыл сам. Как только вы переносите данные в свою базу, храните их дольше срока подбора или включаете кандидата в кадровый резерв, вы выходите за рамки открытого доступа, и требуется отдельное согласие с указанием срока хранения. То же касается любой проверки соискателя: письменное согласие получается до первого запроса.
Сколько хранить персональные данные кандидатов, которым отказали?
Срок определяется целью обработки и указывается в согласии: по достижении цели данные подлежат уничтожению либо обезличиванию. Если вы планируете держать анкеты отказанных кандидатов в базе для будущих вакансий, цель «формирование кадрового резерва» и конкретный срок прописываются в бланке согласия. Хранение «до востребования» и бессрочные формулировки в согласии требованиям части 4 статьи 9 не соответствуют.
Требуется ли согласие на обработку данных членов семьи работника?
Сведения о супруге и детях работодатель получает для предоставления гарантий и вычетов, то есть в рамках обязанностей, возложенных законодательством. Работник при этом предоставляет данные других физических лиц, и от них требуется собственное согласие, если данные используются шире обязательного минимума: например, при оформлении добровольного медицинского страхования на членов семьи или при корпоративных мероприятиях с их участием. Практический ориентир: обязательный документ — без согласия, добровольная программа — с согласием каждого взрослого субъекта.
Кто отвечает за утечку, если данные хранились у провайдера сервиса?
Ответственность перед субъектом персональных данных несет оператор, то есть работодатель, даже когда обработка поручена другому лицу. Поручение оформляется договором с указанием перечня действий, целей, обязанности соблюдать конфиденциальность и требований к защите. Сведения о лице, обрабатывающем данные по поручению оператора, входят в состав письменного согласия по части 4 статьи 9 152-ФЗ, поэтому неназванный в бланке подрядчик — это дефект согласия, а не только вопрос договорных отношений.
Можно ли отнести персональные данные работников к коммерческой тайне?
Режим коммерческой тайны и режим защиты персональных данных не заменяют друг друга. Статья 5 Федерального закона № 98-ФЗ запрещает относить к коммерческой тайне сведения о численности и составе работников, системе оплаты труда, условиях труда, показателях производственного травматизма, наличии свободных рабочих мест и задолженности по заработной плате. Персональные данные при этом остаются конфиденциальными по главе 14 ТК РФ независимо от того, введен ли в компании режим коммерческой тайны.
Что делать, если работник отозвал согласие на обработку?
По части 2 статьи 9 152-ФЗ оператор вправе продолжить обработку без согласия при наличии оснований из пунктов 2-11 части 1 статьи 6. На практике это означает: кадровый учет, расчет зарплаты и отчетность продолжаются, а операции, державшиеся только на согласии, прекращаются — фото снимается с сайта, биометрический пропуск заменяется картой, проверка приостанавливается. Отзыв оформляется письменно, регистрируется и хранится вместе с исходным согласием как доказательство даты прекращения обработки.
