Отдельный документ для обработки персональных данных нужен не всегда. Если работодатель обрабатывает сведения работника, чтобы исполнить трудовой договор или требования ТК РФ, налогового и пенсионного законодательства, согласие не требуется: основание даёт часть 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Письменное согласие нужно, когда обработка выходит за эти цели: передача данных третьей стороне по статье 88 ТК РФ, получение сведений у третьих лиц, данные о здоровье, биометрия, размещение данных в открытом доступе, резюме кандидата. С 1 сентября 2025 года согласие оформляется отдельно от других документов и не может быть пунктом трудового договора. Если обработка идёт по закону или договору, оператору хватает политики, локальных актов и уведомления в Роскомнадзор. Если основанием служит согласие, к ним добавляется подписанный субъектом документ с 9 обязательными реквизитами.
Материал помогает определить для каждой ситуации, какой документ нужен: согласие субъекта, уведомление регулятора или локальный акт оператора. Отдельно разобраны случаи, где работодатели теряют основание обработки, хотя считают, что всё оформлено: облачный сервис КЭДО, аутсорсинг учёта, запрос рекомендаций у прежнего работодателя. Размеры штрафов по статье 13.11 КоАП на 2026 год, порядок оформления согласия, образцы документов и ответы о сроках хранения и отзыва согласия — во второй половине статьи.
Когда согласие работника не требуется: обработка по закону и трудовому договору
Часть 1 статьи 6 152-ФЗ перечисляет основания, при которых оператор обрабатывает данные без согласия субъекта: исполнение обязанностей, возложенных законом, исполнение договора, стороной которого является субъект, защита жизненно важных интересов, обязательное раскрытие информации. Основание подбирается под конкретную цель и конкретный набор данных, а не под весь кадровый массив сразу. Работодатель, который ведёт личную карточку, начисляет зарплату, сдаёт ЕФС-1 и удерживает НДФЛ, действует по закону и трудовому договору, и согласие для этих операций не нужно.
Правило об отдельном оформлении согласия, которое действует с 1 сентября 2025 года по Федеральному закону от 24.06.2025 № 156-ФЗ, касается только случаев, когда согласие и есть правовое основание. Оно не делает согласие обязательным там, где обработку разрешает закон или договор. Подписанное «на всякий случай» согласие на операции, которые и так идут по закону, основания не добавляет, но создаёт путаницу: при отзыве такого согласия работник ожидает прекращения обработки, а работодатель продолжает её на другом основании.
Передача сведений государственным органам по закону тоже не требует согласия. В разъяснении Роскомнадзора о работниках и соискателях к таким случаям отнесена передача данных налоговым органам и военным комиссариатам, а передача в фонды социального страхования и пенсионного обеспечения, функции которых сейчас объединены в Социальном фонде России, названа возможной без согласия. Если же запрос приходит от органа не в рамках плановой отчётности, работодатель проверяет полномочия органа, мотивированность запроса, правовое основание, цель и перечень запрашиваемых сведений. Внутри организации данные передаются без согласия в порядке, установленном локальным актом, а представителям работников — только те сведения, которые нужны им для выполнения их функций.
Кейс из практики: работник обратился в суд из-за того, что работодатель передал его персональные данные курьерской службе. Договор работодателя с курьерской службой предусматривал доставку корреспонденции, а передача ограничивалась исполнением трудового договора и трудового законодательства. Решением Эжвинского районного суда от 22 декабря 2025 года по делу № 2-922/2025 в иске отказано. Для работодателя из этого следует простая проверка: передача без согласия держится, пока объём сведений и цель передачи совпадают с задачей, которую требует трудовое законодательство.
Чтобы применить это к своей компании, достаточно выписать все операции с данными работников и рядом с каждой поставить основание: норму закона, пункт трудового договора или согласие. Строки, где основание назвать нельзя, и есть зона для отдельного документа.
Какие ситуации требуют отдельного документа: сводная таблица
Отдельный документ появляется в двух сценариях: субъект даёт согласие, потому что у оператора нет другого основания, или оператор уведомляет регулятор о начале обработки либо о трансграничной передаче. Таблица собирает типовые кадровые ситуации и показывает, какой документ закрывает каждую из них.
| Ситуация | Какой документ нужен | Норма | Форма и условия |
|---|---|---|---|
| Обработка данных работника для целей за пределами закона и трудовых отношений | Согласие на обработку персональных данных | ст. 6 и ст. 9 152-ФЗ | Отдельно от других документов с 1 сентября 2025 года |
| Передача данных работника третьей стороне | Согласие на передачу | ст. 88 ТК РФ | Письменное; не нужно при угрозе жизни и здоровью работника и в случаях, прямо предусмотренных ТК РФ или федеральными законами |
| Получение данных работника только у третьего лица | Уведомление работника и его согласие | ст. 86 ТК РФ | Заранее; в уведомлении — цели, источники, способы и характер получения данных; согласие письменное |
| Сведения о здоровье и другие специальные категории данных | Согласие на обработку специальных категорий | п. 1 ч. 2 ст. 10 152-ФЗ | Письменное, кроме исключений статьи 10 |
| Использование биометрии для установления личности | Согласие на обработку биометрических данных | ч. 1 ст. 11 152-ФЗ | Письменное, кроме случаев ч. 2 ст. 11; предоставление биометрии в общем случае нельзя делать обязательным |
| Размещение данных в открытом доступе: сайт, публикации, стенды | Согласие на распространение | ст. 10.1 152-ФЗ, приказ Роскомнадзора от 24.02.2021 № 18 | Не заменяется обычным согласием; молчание не считается разрешением |
| Резюме кандидата в период решения о приёме, запросы к прежним работодателям | Согласие кандидата | Разъяснение Роскомнадзора о работниках и соискателях | Не нужно для резюме, размещённого кандидатом в открытом доступе, и при работе через кадровое агентство, заключившее с ним договор |
| Включение кандидата в кадровый резерв | Отдельное согласие | Разъяснение Роскомнадзора | Согласие на рассмотрение резюме на резерв не распространяется |
| Поручение обработки другой организации: облачный сервис, аутсорсинг кадрового и бухгалтерского учёта | Согласие субъекта и поручение обработчику | ч. 3 ст. 6 152-ФЗ | Согласие нужно, если иное не установлено федеральным законом; обработчик сам согласие не получает |
| Начало обработки персональных данных | Уведомление Роскомнадзора | ст. 22 152-ФЗ | До начала обработки, кроме исключений статьи 22 |
| Трансграничная передача данных | Отдельное уведомление Роскомнадзора | ч. 3 ст. 12 152-ФЗ | До начала передачи; основание обработки по-прежнему определяется статьёй 6 |
Девять верхних строк требуют документа от самого человека, две нижние — документа от оператора регулятору. В одной кадровой ситуации они часто сходятся: компания, которая переводит кадровый учёт в облачный сервис с серверами за рубежом, получает и согласия работников на поручение обработки, и обязанность отдельно уведомить Роскомнадзор о трансграничной передаче.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Соберите согласие на обработку персональных данных под свою цель
Согласие кандидата: резюме, рекомендации и проверка службой безопасности
Кандидат ещё не работник, поэтому на него не распространяется основание «исполнение трудового договора». Роскомнадзор в разъяснении о работниках и соискателях указывает, что согласие нужно на обработку резюме в период, когда работодатель решает вопрос о приёме. Исключений два: резюме, которое кандидат сам разместил в интернете с доступом неограниченного круга лиц, и ситуация, когда от имени кандидата действует кадровое агентство, заключившее с ним договор.
Запрос рекомендаций у прежнего работодателя — отдельный случай. По позиции Роскомнадзора согласие обязательно при запросах сведений о кандидате в другие организации, включая прежние места работы. Исключение связано с обязанностью работодателя по статье 64.1 ТК РФ уведомить прежнее место службы о найме бывшего государственного или муниципального служащего: это обязанность по закону, и согласие на неё не нужно.
Проверка службой безопасности строится на той же логике. Сопоставление анкеты с открытыми государственными источниками, запросы по прежним местам работы, анализ сведений о судимости и исполнительных производствах выходят за рамки рассмотрения резюме, и без подписанного согласия проверка неправомерна. Согласие получают на этапе, когда анкета уже принята, но пробив по базам ещё не начат.
Если кандидат отказался подписывать согласие на проверку, работодатель ограничивается сведениями, которые кандидат передал сам, и решает вопрос о приёме по ним. Чтобы не попасть в ситуацию, когда проверка уже прошла, а согласие подписано задним числом, дату согласия сверяют с датой первого запроса во внешние источники.
Передача данных третьим лицам: облачный КЭДО и аутсорсинг учёта
Статья 88 ТК РФ запрещает сообщать персональные данные работника третьей стороне без его письменного согласия. Исключения закрытые: угроза жизни и здоровью работника и случаи, прямо предусмотренные ТК РФ или федеральными законами. Норма не устанавливает для такого согласия обязательной самостоятельной формы, но требует письменного выражения воли работника на конкретную передачу.
Чаще всего работодатели упускают передачу, которая не выглядит передачей: кадровые документы уходят во внешний облачный сервис или к компании, ведущей кадровый и бухгалтерский учёт на аутсорсинге. Это поручение обработки по части 3 статьи 6 152-ФЗ: оператор вправе поручить обработку другому лицу с согласия субъекта, если иное не установлено федеральным законом, а сам обработчик согласие не получает. Роскомнадзор отдельно указывает, что при привлечении сторонней организации для кадрового и бухгалтерского учёта нужно получить согласие работников на передачу им данных.
Мария Ж, специалист по цифровой подписи и КЭДО: «В кадровых документах лежат чувствительные сведения: семья, здоровье, доходы. Когда эти документы уходят к внешнему провайдеру, появляется третье лицо, и передача ему должна опираться на согласие работника. Поэтому выбор облачного решения — решение не только техническое: вместе с ним вы берёте на себя сбор согласий на передачу третьим лицам и обязанность объяснить людям, кому именно уходят их данные.»
Перечень получателей в согласии должен совпадать с реальной схемой работы сервиса. Если в согласии назван один провайдер, а данные фактически доступны ещё двум организациям, согласие на передачу этим двум отсутствует.
Полезно знать: при облачном КЭДО доступ к кадровым данным обычно получает не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр, который выпускает подписи. У вендора стоит запрашивать именно список этих лиц, а не общую формулировку о защищённом хранении.
В практике Добыто вопрос о полном списке лиц с доступом к данным мы советуем задавать до выбора системы, а не после подписания договора: от ответа зависит текст согласия на передачу, который будут подписывать все работники. Для работника логика обратная: если в согласии не названа организация, которая фактически получила его данные, он вправе запросить у работодателя сведения о получателях и основании передачи.
Что должно быть в согласии и как оформить его отдельным документом
Часть 4 статьи 9 152-ФЗ перечисляет сведения, которые письменное согласие должно включать:
- Фамилию, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, сведения о дате его выдачи и выдавшем органе.
- При согласии через представителя — те же данные представителя и реквизиты доверенности или иного документа, подтверждающего его полномочия.
- Наименование или фамилию, имя, отчество и адрес оператора.
- Цель обработки.
- Перечень персональных данных, на обработку которых даётся согласие.
- Наименование или фамилию, имя, отчество и адрес лица, которое обрабатывает данные по поручению оператора, если обработка ему поручена.
- Перечень действий с данными и общее описание способов обработки.
- Срок действия согласия и способ его отзыва, если иное не установлено федеральным законом.
- Подпись субъекта персональных данных.
С 1 сентября 2025 года согласие, если оно служит основанием обработки, оформляется отдельно от других документов и сведений, которые человек подтверждает или подписывает. Пункт о согласии в трудовом договоре, анкете или заявлении о приёме этому требованию не отвечает. Согласие на распространение оформляется отдельно и от обычного согласия: его содержание задаёт приказ Роскомнадзора от 24.02.2021 № 18, который действует до 1 сентября 2027 года и требует указать адреса ресурсов, где данные будут размещены, категории и перечень данных, выбранные субъектом условия и запреты, срок согласия.
Электронное согласие, подписанное электронной подписью, приравнено к бумажному. Вопрос в том, какая подпись и на каком основании признаётся равнозначной собственноручной: для ПЭП и УНЭП нужно соглашение между участниками обмена, для УКЭП равнозначность установлена 63-ФЗ.
Мария Ж, юрист со стажем более 20 лет: «Квалифицированная подпись равнозначна собственноручной в силу закона, а для простой и неквалифицированной нужно соглашение между участниками обмена, без него равнозначности нет. Если для согласий и заявлений вы выбираете простую подпись, вы одновременно берёте на себя обязанность иметь такое соглашение и локальный акт с правилами определения лица по его подписи. Проверьте эти два документа до того, как отправлять согласия на подпись.»
Важный нюанс из практики: согласие работника на переход на КЭДО и согласие на обработку персональных данных — два разных документа по разным законам. Согласие на КЭДО по ТК РФ должно быть письменным, и практикующие юристы рекомендуют получать его на бумаге: пока работник не согласился на электронный обмен, электронная форма этого согласия спорна. Согласие по 152-ФЗ после перехода на КЭДО можно подписывать в электронном виде.
Внимание: у дистанционных работников свой порядок обмена электронными документами по отдельной главе ТК РФ. Его закрепляют в трудовом договоре или локальном акте об удалённой работе, и он не обязан совпадать с общим порядком КЭДО со сбором согласий.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
На всех тарифах Добыто ПЭП и УНЭП для сотрудников выпускаются без отдельной оплаты, поэтому согласие на обработку персональных данных и согласие на передачу третьим лицам подписываются электронно и попадают в архив вместе с файлами подписи.
Как оформить согласие на обработку персональных данных: пошаговая инструкция
- Шаг 1. Назовите цель обработки и проверьте, нет ли для неё основания в части 1 статьи 6 152-ФЗ. Если обработка нужна для исполнения закона или трудового договора, согласие не оформляется.
- Шаг 2. Определите вид согласия: обычное, на передачу третьей стороне по статье 88 ТК РФ, на специальные категории, на биометрию или на распространение. Для распространения нужна отдельная форма по приказу Роскомнадзора № 18.
- Шаг 3. Заполните все 9 реквизитов части 4 статьи 9 152-ФЗ, включая обработчика, если обработка поручена облачному сервису или аутсорсинговой компании.
- Шаг 4. Оформите согласие отдельным документом, не включая его в трудовой договор, анкету или заявление.
- Шаг 5. Получите подпись: собственноручную на бумаге или электронную. Для ПЭП и УНЭП заранее проверьте соглашение об электронном взаимодействии и локальный акт о правилах подписания.
- Шаг 6. Зафиксируйте дату подписания и сверьте её с датой начала обработки: согласие должно предшествовать операции, которую оно разрешает.
- Шаг 7. Поместите согласие на хранение отдельно от трудового договора, с отметкой срока действия, чтобы при отзыве быстро найти документ и операции, которые на нём держатся.
Образцы согласий и правил обработки персональных данных
Комплект закрывает основные кадровые случаи: начните с общего согласия на обработку, затем возьмите согласие на проверку кандидата, если в компании работает служба безопасности.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных (образец, DOCX) | Скачать |
| Согласие кандидата на проверку службой безопасности (образец, DOCX) | Скачать |
| Правила обработки персональных данных (пример локального акта, PDF, редакция 2023 года — сверьте с поправками 2025-2026 годов) | Скачать |
Документы оператора, которые нужны без согласия субъекта
Даже если все операции с данными работников идут по закону и трудовому договору, у работодателя как оператора остаются собственные документы. Юридическое лицо обязано назначить ответственного за организацию обработки персональных данных, издать политику и локальные акты с целями обработки, категориями данных и субъектов, сроками хранения и порядком уничтожения, а также обеспечить доступ к политике.
До начала обработки оператор уведомляет Роскомнадзор по статье 22 152-ФЗ. Исключения узкие: обработка исключительно без средств автоматизации, данные в государственных информационных системах для обеспечения безопасности и общественного порядка, отдельные случаи транспортной безопасности. Кадровый учёт в 1С или в сервисе КЭДО под исключение «без средств автоматизации» не подпадает. Уведомление подаётся через электронную форму уведомления на портале персональных данных Роскомнадзора; там же вносятся изменения в сведения об операторе.
Трансграничная передача требует отдельного уведомления Роскомнадзора до её начала по части 3 статьи 12 152-ФЗ. С 26 июля 2026 года Федеральный закон № 265-ФЗ изменил правила: при формировании перечня стран с адекватной защитой теперь оценивают национальное регулирование и меры защиты, а не только участие страны в Конвенции Совета Европы. Отдельно с 1 июля 2025 года запись, хранение, уточнение и другие операции из части 5 статьи 18 152-ФЗ с данными граждан России нельзя выполнять в базах данных за пределами России, кроме прямо названных законом исключений.
Третий документ, о котором вспоминают поздно, — порядок действий при утечке. В постановлении от 21 января 2026 года № 5-АД25-119-К2 Верховный суд оставил в силе привлечение оператора к ответственности за ненадлежащие меры защиты и указал на обязанность уведомить Роскомнадзор об инциденте в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов. Без заранее утверждённого регламента уложиться в 24 часа трудно.
Мария Ж, судебный эксперт в сфере трудового права: «Типовая ситуация и одновременно типовое нарушение — доступ ко всему кадровому массиву у всей кадровой службы целиком. Требование разграничения доступа работает и для бумажного архива, и для электронной системы. При выборе системы проверьте, есть ли разграничение прав по ролям и журнал обращений к документам.»
Факт: сервис КЭДО может выступать обработчиком, которому оператор поручил обработку персональных данных. Роли распределяются соглашением об обработке персональных данных, которое заключается вместе с лицензионным соглашением, а модель угроз для системы готовит сервис.
На тарифе «Бизнес» в Добыто подписанные согласия и кадровые документы хранятся в электронном архиве вместе с файлами подписи. При проверке Роскомнадзора или ГИТ работодатель выгружает комплект целиком, а не ищет согласие по папкам отдела кадров.
Сколько стоит ошибка: штрафы по статье 13.11 КоАП в 2026 году
С 30 мая 2025 года действуют размеры штрафов, введённые Федеральным законом от 30.11.2024 № 420-ФЗ. Для кадровой темы значимы три части статьи 13.11 КоАП РФ.
| Нарушение | Часть ст. 13.11 КоАП | Организация | Должностное лицо |
|---|---|---|---|
| Обработка без предусмотренного законом основания или несовместимая с целями сбора | ч. 1 | 150 000-300 000 руб. | 50 000-100 000 руб. |
| Обработка без письменного согласия, когда оно обязательно, или согласие без обязательных сведений | ч. 2 | 300 000-700 000 руб. | 100 000-300 000 руб. |
| Неопубликование политики обработки персональных данных или отсутствие доступа к ней | ч. 3 | 30 000-60 000 руб. | 6 000-12 000 руб. |
Самый дорогой состав — часть 2: она наказывает и за отсутствие обязательного письменного согласия, и за согласие, в котором не хватает реквизитов из части 4 статьи 9 152-ФЗ. Подписанный бланк без цели, перечня данных или сведений об обработчике защищает хуже, чем кажется. За отсутствие или несвоевременную подачу уведомления в Роскомнадзор о намерении обрабатывать персональные данные организации грозит штраф от 100 000 до 300 000 рублей.
Типовые ошибки, которые приводят к этим составам, повторяются от компании к компании:
- Согласие пунктом трудового договора. Так делают, чтобы не плодить документы. После 1 сентября 2025 года такое согласие не отвечает требованию об отдельном оформлении, и если обработка держится только на нём, надлежащего основания у работодателя нет.
- Облачный сервис или аутсорсинг учёта без согласий на поручение обработки. Передачу не считают передачей, потому что данные уходят «в программу». В согласии нет обработчика, а это недостающий реквизит по пункту 6 части 4 статьи 9.
- Запрос рекомендаций без согласия кандидата. Звонок прежнему работодателю воспринимают как разговор, а не как обработку данных. Роскомнадзор прямо относит такие запросы к случаям, где согласие обязательно.
- Политика есть, но не опубликована. Документ утвердили и оставили в отделе кадров. Часть 3 статьи 13.11 касается именно доступа к политике, а не факта её утверждения.
Чтобы оценить свой риск, сравните перечень операций из первого раздела с таблицей штрафов: каждая операция без основания или с неполным согласием попадает в часть 1 или часть 2.
Стоимость КЭДО для подписания и хранения согласий: тарифы Добыто
Итоговая стоимость зависит от численности сотрудников, нужных видов подписи и того, требуется ли интеграция с 1С и электронный архив.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в подключение |
| УКЭП для сотрудников через партнёров — удостоверяющие центры | по запросу | рассчитывается индивидуально |
| Модуль для 1С:ЗУП с автоматической синхронизацией документов | в составе тарифа «Бизнес» | установка и настройка за 1 день |
Для компании до 25 человек, которой нужно подписывать согласия ПЭП или УНЭП, хватает тарифа «Старт». Если согласия и кадровые документы должны храниться в электронном архиве и синхронизироваться с 1С, расчёт идёт по тарифу «Бизнес». Условия по своей численности и состав функций можно сверить на странице тарифов Добыто КЭДО; тариф можно повысить или понизить в любое время с пропорциональным пересчётом.
Выводы
Отдельный документ нужен там, где у работодателя нет основания из закона или трудового договора: передача сведений третьим лицам и обработчикам, данные о здоровье и биометрия, публикация данных, резюме и проверка кандидата. С сентября 2025 года такое согласие живёт отдельным документом с полным набором реквизитов, а согласие на распространение — ещё и отдельно от обычного. Обязанности самого оператора — политика, ответственный, уведомление Роскомнадзора, порядок действий при утечке — от согласий не зависят и нужны всегда.
В Добыто мы видим, что больше всего вопросов возникает на стыке КЭДО и 152-ФЗ: кто получает доступ к данным в облачной системе и чем подписывать согласия. Сервис закрывает техническую часть: выпуск подписей сотрудникам, отдельные маршруты для согласий и архив, из которого документы выгружаются при проверке.
Частые вопросы
Что делать, если работник отозвал согласие на обработку персональных данных?
По части 5 статьи 21 152-ФЗ оператор прекращает обработку и, если дальнейшее хранение не требуется, уничтожает данные не позднее 30 календарных дней с даты получения отзыва. Исключение — случаи, когда закон, договор или иное соглашение с работником дают основание продолжить обработку. Отзыв согласия не останавливает операции по трудовому договору и закону: начисление зарплаты, сдачу ЕФС-1, удержание НДФЛ. Прекращаются только операции, которые держались на отозванном согласии.
Сколько хранить подписанное согласие на обработку персональных данных?
По статье 441 Перечня типовых управленческих архивных документов, утверждённого приказом Росархива от 20.12.2019 № 236, согласие хранится 3 года после окончания срока его действия или отзыва, если федеральный закон или договор не устанавливает иное. Срок считается не от даты подписания, а от даты, когда согласие перестало действовать.
Нужно ли согласие работника, чтобы передать его данные банку для зарплатной карты?
По позиции Роскомнадзора передача банку без согласия допустима в трёх случаях: договор на выпуск карты заключён напрямую с работником и предусматривает передачу данных; у работодателя есть доверенность работника; форма и система оплаты труда установлены коллективным договором. В остальных случаях нужно письменное согласие по статье 88 ТК РФ. Роструд при этом напоминает, что зарплатный проект не ограничивает право работника выбрать свой банк.
Нужно ли согласие, чтобы разместить фото и ФИО сотрудника на сайте компании?
Да, это распространение, и для него оформляется согласие по статье 10.1 152-ФЗ отдельно от обычного согласия на обработку. По приказу Роскомнадзора № 18 в нём указываются адреса ресурсов, где будут размещены данные, цели, категории и перечень данных, выбранные работником условия и запреты, срок действия. Молчание или бездействие работника согласием не считается. Согласие прекращается с момента получения оператором требования работника, а при нарушении правил распространения передачу и доступ прекращают в течение 3 рабочих дней.
Что делать с резюме кандидата, которому отказали в приёме?
По разъяснению Роскомнадзора сведения соискателя, которому отказали, уничтожаются в течение 30 дней. Если компания хочет оставить кандидата в кадровом резерве, на это нужно отдельное согласие: согласие на рассмотрение резюме на резерв не распространяется. Срок хранения данных в резерве указывается в самом согласии.
Можно ли вести кадровые данные в зарубежном облачном сервисе?
С 1 июля 2025 года запись, хранение, уточнение и другие операции из части 5 статьи 18 152-ФЗ с данными граждан России нельзя выполнять в базах данных за пределами России, кроме прямо названных законом исключений. Если данные после этого всё же передаются за рубеж, до начала передачи оператор подаёт отдельное уведомление Роскомнадзору по части 3 статьи 12, а с 26 июля 2026 года при оценке страны учитывается её национальное регулирование и меры защиты. Работникам при этом нужно согласие на поручение обработки зарубежному провайдеру, если иное не установлено законом.
