Согласие на обработку персональных данных работника не требуется, когда работодатель использует сведения для исполнения трудового договора и выполнения обязанностей, которые на него возлагает закон: ведёт личное дело, начисляет зарплату, сдаёт ЕФС-1 в Социальный фонд России и отчётность в ФНС, ведёт воинский учёт. Основания — пункты 2 и 5 части 1 статьи 6 152-ФЗ и глава 14 ТК РФ, при условии, что объём данных не выходит за цели трудовых отношений. Письменное согласие нужно, как только данные выходят за эти пределы: передача третьему лицу, которую закон не предусматривает, запрос сведений у третьей стороны, биометрия, облачный сервис-обработчик. Для отчётности по закону согласие не нужно, для публикации фото и ФИО на сайте нужно отдельное согласие на распространение по статье 10.1 152-ФЗ.
В статье — таблица из 12 рабочих ситуаций с ответом, нужно ли согласие и на какую норму опираться, разбор передачи данных облачным сервисам и банкам, правила для соискателей и порядок оформления согласия после изменений 1 сентября 2025 года. Работник найдёт здесь, что работодатель вправе делать с его данными без подписи и что можно отозвать. Штрафы по статье 13.11 КоАП, уведомление Роскомнадзора, образцы согласий и ответы на частые вопросы — во второй половине статьи.
Правовые основания обработки данных работника без согласия
152-ФЗ от 27.07.2006 «О персональных данных» называет согласие субъекта лишь одним из оснований обработки. Для трудовых отношений работают ещё два пункта части 1 статьи 6:
- Пункт 2 — обработка нужна, чтобы оператор выполнил функции, полномочия и обязанности, возложенные на него законодательством. Сюда относятся сведения для СФР и ФНС, воинский учёт, расчёт и удержание налогов, исполнение исполнительных документов.
- Пункт 5 — обработка нужна для исполнения договора, стороной которого является субъект персональных данных. Для работника это трудовой договор: табель, начисление зарплаты, приказы, график отпусков, личная карточка.
Для специальных категорий данных действует отдельная норма. Пункт 2.3 части 2 статьи 10 152-ФЗ разрешает обрабатывать сведения о здоровье без согласия, если это делается в соответствии с трудовым законодательством. Статья 88 ТК РФ ограничивает этот объём: работодатель запрашивает только те сведения о здоровье, которые относятся к вопросу о возможности выполнения работником трудовой функции.
Роскомнадзор в разъяснениях по обработке персональных данных работников и соискателей добавляет условие: согласие не требуется, если объём данных не превышает установленные перечни и соответствует целям, предусмотренным трудовым законодательством. Работодатель также вправе обрабатывать данные без согласия в случаях, предусмотренных коллективным договором, правилами внутреннего трудового распорядка и локальными актами.
Когда ссылка на трудовой договор не работает
Основание «исполнение договора» не покрывает всё, что работодатель хочет сделать с данными. Оно перестаёт действовать в пяти ситуациях:
- Сведения нужны не для трудовой функции и не для обязанностей по закону: маркетинг, публикация на сайте, поздравления в корпоративных соцсетях.
- Данные получают не от самого работника. По пункту 3 статьи 86 ТК РФ работника заранее уведомляют и получают его письменное согласие.
- Речь идёт о политических, религиозных и иных убеждениях и частной жизни. Пункт 4 статьи 86 ТК РФ запрещает получать и обрабатывать такие сведения, согласие этот запрет не снимает.
- Данные передаются третьему лицу вне случаев, предусмотренных ТК РФ или иными федеральными законами (статья 88 ТК РФ), в том числе в коммерческих целях.
- Обработку поручают другому лицу: облачному сервису, аутсорсеру кадрового учёта. Часть 3 статьи 6 152-ФЗ допускает поручение с согласия субъекта, если иное не предусмотрено федеральным законом.
Полезно знать: сведения, которые работник сообщил сверх нужного для кадрового учёта, например о личной машине или о супруге и детях без связи с выплатами, работодатель удаляет. ФИО, паспортные данные, адрес, СНИЛС и ИНН из трудового договора удалить нельзя: договор хранится, а вместе с ним и эти сведения.
Проверить себя можно по одному вопросу: какая норма или какой пункт трудового договора требует этого действия с данными. Если ответ находится только в пожеланиях работодателя, основанием будет согласие.
Таблица: в каких ситуациях нужно согласие работника
В таблице собраны 12 ситуаций, которые чаще всего вызывают вопросы у кадровой службы, с основанием и ответом, нужно ли согласие.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Ситуация | Нужно ли согласие | Основание |
|---|---|---|
| Трудовой договор, приказы, личная карточка, табель, начисление зарплаты | Не нужно | п. 5 ч. 1 ст. 6 152-ФЗ, глава 14 ТК РФ |
| Сведения в СФР, налоговые органы, военкомат, профсоюз в рамках их полномочий | Не нужно | п. 2 ч. 1 ст. 6 152-ФЗ, разъяснения Роскомнадзора |
| Данные родственников в объёме формы Т-2, для алиментов, социальных выплат, допуска к государственной тайне | Не нужно | Разъяснения Роскомнадзора |
| Сведения о здоровье, относящиеся к возможности выполнять трудовую функцию | Не нужно | п. 2.3 ч. 2 ст. 10 152-ФЗ, ст. 88 ТК РФ |
| Передача данных в банк для выпуска зарплатной карты | Не нужно при договоре с банком и условии о форме оплаты в коллективном договоре; иначе нужно | Разъяснения Роскомнадзора |
| Пропускной режим, который работодатель организует сам или по коллективному договору | Не нужно | Разъяснения Роскомнадзора |
| Биометрия для пропуска: отпечаток пальца, изображение лица для распознавания | Нужно письменное | ст. 11 152-ФЗ |
| Облачный сервис КЭДО, аутсорсинг кадрового учёта или расчёта зарплаты | Нужно, с указанием лица, которому поручена обработка | ч. 3 ст. 6, ч. 4 ст. 9 152-ФЗ |
| Фото, ФИО и должность на сайте, в соцсетях, на доске почёта в открытом доступе | Нужно отдельное согласие на распространение | ст. 10.1 152-ФЗ |
| Запрос сведений о работнике у третьей стороны, например у прежнего работодателя | Нужно письменное, работника уведомляют заранее | п. 3 ст. 86 ТК РФ |
| Проверка кандидата службой безопасности, запрос кредитной истории | Нужно письменное | Разъяснения Роскомнадзора, 152-ФЗ |
| Кадровый резерв из лиц, которые не являются работниками | Нужно | Разъяснения Роскомнадзора |
Первые шесть строк описывают внутренний кадровый учёт и отчётность по закону. Остальные шесть связаны с выходом данных за периметр трудового договора: к подрядчику, в интернет, к третьей стороне или к человеку, который ещё не стал работником. Граница проходит по получателю и цели, а не по виду сведений: один и тот же паспорт обрабатывается без согласия в личном деле и только с согласием при передаче облачному сервису.
Передача данных работника третьим лицам: банк, аутсорсер, облачный сервис
Статья 88 ТК РФ запрещает сообщать персональные данные работника третьей стороне без его письменного согласия. Исключений 2: предупреждение угрозы жизни и здоровью работника и случаи, установленные ТК РФ или иными федеральными законами. Передача в СФР, налоговую, военкомат попадает во второе исключение. Передача в банк, кадровое агентство, бухгалтерскую фирму на аутсорсе или облачный сервис КЭДО в это исключение не попадает: такие получатели работают по договору с работодателем, а не по закону.
С банком Роскомнадзор допускает обработку без согласия, если одновременно есть договор на выпуск карт, доверенность работодателя и условие о форме оплаты труда в коллективном договоре. Если зарплатный проект оформлен без этих условий, согласие собирают с каждого работника.
С облачными сервисами ситуация строже. Работодатель остаётся оператором, а сервис обрабатывает данные по его поручению. Согласие работника должно называть лицо, которому поручена обработка, и его адрес: это прямое требование части 4 статьи 9 152-ФЗ. Общая формулировка «третьим лицам» или «партнёрам» этому требованию не отвечает.
Внимание: облачный сервис КЭДО — это обычно не одна компания, а три: сам провайдер, владелец серверной инфраструктуры и удостоверяющий центр, который выпускает подписи. Каждого из них работник должен увидеть в согласии.
Важный нюанс из практики: роль сервиса зависит от того, кто передал данные. Если работник сам зарегистрировался в сервисе как физическое лицо, согласие у него собирает сервис и отвечает за обработку сам. Если работодатель регистрирует сотрудников массово, через интеграцию с учётной системой, данные передаёт работодатель, и согласие на поручение обработки собирает он как оператор.
Мария Ж, специалист по цифровой подписи и КЭДО: «Кадровые документы содержат чувствительные сведения: о семье, здоровье, доходах. Как только они уходят к внешнему провайдеру, появляется третье лицо, и выбор облачного решения превращается в обязанность собрать согласия и объяснить людям, кому именно передаются данные. Просите у вендора не заверение о защищённом хранении, а список организаций, которые получат доступ, и переносите этот список в согласие.»
В сервисе Добыто работодатель остаётся оператором персональных данных, а платформа обрабатывает их по его поручению. Поэтому до запуска подписания мы закладываем отдельное согласие работника на поручение обработки, а не пункт внутри положения о КЭДО.
Важный нюанс из практики: если работники уже подписали согласие, а данные начинают уходить организации, которой в нём нет, общее согласие не переписывают. Берут новое согласие, в котором указаны только новые получатели: вендор системы, удостоверяющий центр. Остальные условия остаются в силе по первому документу.
Отдельно стоит коммерческая цель. Статья 88 ТК РФ запрещает сообщать данные работника в коммерческих целях без его письменного согласия. Передача списка сотрудников страховой компании или партнёру для персональных предложений без такого согласия незаконна, даже если выгода для работника очевидна.
Соискатели, кадровый резерв и проверка кандидатов
Кандидат не является стороной трудового договора, поэтому пункт 5 части 1 статьи 6 152-ФЗ к нему применим только в части заключения договора по его инициативе. В разъяснениях Роскомнадзора, выпущенных в 2014 году, согласие не требуется, если соискатель сам разместил резюме в интернете в открытом доступе или действует через кадровое агентство, с которым у него заключён договор.
Эти разъяснения выпущены до поправок в 152-ФЗ 2021 года, которые ввели отдельный режим для данных, разрешённых к распространению (статья 10.1). Позиция про резюме из интернета в практике проверок читается по-разному. Надёжнее брать согласие у кандидата при заполнении анкеты. Это обязательно, если кандидата привели лично, по рекомендации, без агентства и без резюме в открытом доступе.
Три правила для соискателей следуют из тех же разъяснений:
- При отказе в приёме сведения, которые предоставил соискатель, уничтожаются в течение 30 дней. Для оставления в резерве нужно его согласие.
- Кадровый резерв из лиц, которые не работают в компании, ведётся только с их согласия. Согласие оформляется документом или отметкой в электронной анкете с ознакомлением с условиями ведения резерва.
- Запросы в иные организации для уточнения сведений о соискателе требуют его письменного согласия.
Кейс из практики: компании малого и среднего бизнеса без собственной службы безопасности передают проверку кандидатов внешнему подрядчику. Подрядчик подаёт уведомление в Роскомнадзор как оператор персональных данных и начинает работу, только убедившись, что заказчик получил согласие кандидата. Базовая проверка охватывает судимость, административные правонарушения, задолженности по налогам и перед банками, аффилированность, розыск, действительность паспорта. На детальный отчёт по одному кандидату уходит в среднем около часа, после передачи отчёта данные у подрядчика через определённый срок удаляются и остаются только у заказчика.
Мария Ж, HR-эксперт с 13-летним стажем: «Небольшой компании, которая отдаёт проверку кандидатов наружу, регламент по персональным данным нужен до первого запроса, а не после. В нём прописывают, как данные передаются подрядчику, как хранятся и когда уничтожаются. Регламент, который пишут для папки и не выполняют, не защищает ни компанию, ни кандидата.»
Кандидату стоит проверить одно: подписывал ли он согласие на проверку и кто в нём назван получателем данных. Если проверку ведёт организация, которой в согласии нет, это передача третьему лицу без основания.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как оформить согласие на обработку персональных данных в 2026 году
С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от иных информации и документов, которые подтверждает или подписывает субъект. Требование в часть 1 статьи 9 152-ФЗ добавил Федеральный закон от 24.06.2025 № 156-ФЗ. Пункт о согласии внутри трудового договора, анкеты или соглашения о переходе на КЭДО больше не работает: нужен отдельный документ.
Письменное согласие должно содержать реквизиты из части 4 статьи 9 152-ФЗ:
- ФИО и адрес работника, номер основного документа, удостоверяющего личность, дату его выдачи и выдавший орган;
- наименование и адрес работодателя-оператора;
- цель обработки;
- перечень персональных данных;
- наименование и адрес лица, которому поручена обработка, если она поручена;
- перечень действий с данными и общее описание способов обработки;
- срок действия согласия и способ его отзыва;
- подпись работника.
Согласие на распространение по статье 10.1 152-ФЗ оформляется отдельно от иных согласий. В нём работник вправе установить запреты и условия: например, разрешить публикацию ФИО и должности, но запретить фото. Молчание или бездействие работника согласием на распространение не считается.
Электронное согласие, подписанное электронной подписью, равнозначно бумажному по части 4 статьи 9 152-ФЗ. При подписании ПЭП или УНЭП нужна договорённость с работником о признании такой подписи. В Добыто ПЭП и УНЭП сотрудникам выпускаются бесплатно на всех тарифах, поэтому отдельное согласие подписывается в личном кабинете, без бумажного оригинала.
Мария Ж, юрист со стажем более 20 лет: «Квалифицированная подпись равнозначна собственноручной в силу закона. Для простой и неквалифицированной нужно соглашение между участниками обмена, и без него равнозначности нет. Выбирая простую подпись для согласий и заявлений, работодатель берёт на себя обязанность иметь соглашение и локальный акт с правилами определения лица по его подписи.»
Согласие на обработку персональных данных и согласие на переход на КЭДО по статье 22.1 ТК РФ — два разных документа с разными основаниями и последствиями. Согласие на КЭДО определяет форму документооборота, согласие на обработку определяет, кто и зачем получает данные. Один не заменяет другой.
Лайфхак: согласия на обработку накладываются друг на друга и не повторяют предыдущие. Отдельное согласие на кадровый учёт, отдельное на сведения о семье, отдельное на третьих лиц — и работник при необходимости отзывает только одно из них, не затрагивая остальные.
Как проверить, нужно ли согласие: пошаговая инструкция
- Шаг 1. Выпишите все действия с данными работника по процессам: приём, расчёт зарплаты, отчётность, пропуск, обучение, публикации, подрядчики.
- Шаг 2. Для каждого действия найдите норму закона или пункт трудового договора, который его требует. Есть норма — основание пункт 2 или 5 части 1 статьи 6 152-ФЗ.
- Шаг 3. Отметьте действия, где данные уходят за пределы компании. Для каждого получателя проверьте, указан ли он в законе. Если получатель работает по договору с вами, нужно согласие с его наименованием и адресом.
- Шаг 4. Выделите биометрию, публикации в открытом доступе и запросы к третьим лицам. Для них оформите отдельные письменные согласия по статьям 11 и 10.1 152-ФЗ и пункту 3 статьи 86 ТК РФ.
- Шаг 5. Уберите из анкет поля, которые не нужны ни для одного действия из шага 1.
- Шаг 6. Оформите каждое согласие отдельным документом и закрепите перечень оснований в положении о персональных данных.
Образцы согласий и локальных актов по персональным данным
Комплект начинается с общего согласия на обработку персональных данных: остальные документы дополняют его для отдельных целей.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Согласие на проверку кредитной истории | Скачать |
| Положение о ведении КЭДО | Скачать |
Отзыв согласия и хранение данных после увольнения
Работник вправе отозвать согласие в любой момент (часть 2 статьи 9 152-ФЗ). Отзыв не останавливает обработку, которая идёт по другим основаниям: закон прямо разрешает оператору продолжить обработку без согласия при наличии оснований из пунктов 2-11 части 1 статьи 6. Работодатель продолжит вести личное дело, начислять зарплату и сдавать отчётность. Прекратится только то, что держалось на согласии: публикация фото, передача облачному сервису, биометрический пропуск.
По части 5 статьи 21 152-ФЗ после отзыва оператор прекращает обработку и уничтожает данные в срок до 30 дней с даты поступления отзыва, если иное основание отсутствует. Для процессов, которые без согласия не работают, это означает замену: бумажный пропуск вместо биометрического, выгрузку документов из облачного сервиса.
После увольнения данные хранятся без согласия. По разъяснениям Роскомнадзора обработка допускается в рамках бухгалтерского и налогового учёта: 5 лет для бухучёта и 4 года для налоговых целей, после чего документы передаются на архивное хранение. Сроки архивного хранения кадровых документов устанавливает перечень Росархива на основании 125-ФЗ «Об архивном деле».
Если вы работодатель и читаете раздел об отзыве с вопросом, где будут храниться отзывы и новые согласия, в Добыто на тарифе «Бизнес» они попадают в электронный архив вместе с остальными подписанными документами работника.
Работник может проверить свою ситуацию так: запросить у работодателя сведения об обработке его данных по статье 14 152-ФЗ и сверить перечень получателей с тем, что указано в подписанных согласиях.
Уведомление Роскомнадзора, локальные акты и штрафы за ошибку в основании
Обработка без согласия не освобождает работодателя от обязанностей оператора персональных данных. С 1 сентября 2022 года Федеральный закон от 14.07.2022 № 266-ФЗ исключил из части 2 статьи 22 152-ФЗ освобождение для данных, обрабатываемых по трудовому законодательству. Работодатель, который ведёт кадровый учёт с использованием средств автоматизации, подаёт уведомление о намерении обрабатывать персональные данные. Подать его можно через форму уведомления на Портале персональных данных Роскомнадзора: в ней указываются цели, категории данных, перечень действий, сведения о базах данных и ответственном за организацию обработки.
Статья 18.1 152-ФЗ требует издать документ, определяющий политику оператора, и локальные акты по обработке персональных данных. Для работодателя это положение о персональных данных работников, где закреплены цели, перечни данных, основания обработки по каждой цели, сроки хранения и круг лиц с доступом. Перечень оснований из пошаговой инструкции выше ложится в это положение без переработки.
Мария Ж, судебный эксперт в сфере трудового права: «Доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Требование разграничения доступа действует и для бумажного архива, и для электронного. Проверьте, кто в вашей компании видит личные дела и расчётные данные, и сопоставьте этот список с тем, что записано в положении о персональных данных.»
Сколько стоит ошибка в основании обработки
С 30 мая 2025 года действуют санкции статьи 13.11 КоАП в редакции Федерального закона от 30.11.2024 № 420-ФЗ. Для организаций размеры такие:
| Нарушение | Штраф для юридического лица |
|---|---|
| Обработка в случаях, не предусмотренных законом, или несовместимая с целями сбора (ч. 1 ст. 13.11) | от 150 000 до 300 000 руб.; повторно — от 300 000 до 500 000 руб. |
| Обработка без письменного согласия, когда оно обязательно, или согласие без нужных реквизитов (ч. 2 ст. 13.11) | от 300 000 до 700 000 руб. |
| Неподача уведомления о намерении обрабатывать персональные данные | от 100 000 до 300 000 руб. |
| Неуведомление Роскомнадзора об утечке | от 1 000 000 до 3 000 000 руб. |
Согласие, собранное там, где работает закон, штрафа не влечёт, но после отзыва создаёт спор о том, можно ли продолжать обработку: поэтому в согласии и в положении о персональных данных основания разделяют по целям. Передача данных облачному сервису или аутсорсеру без согласия с их наименованием подпадает под часть 2, а сведения лишнего объёма, например о личной жизни, — под часть 1.
Коммерческая тайна и персональные данные: два разных режима
Режим коммерческой тайны не заменяет правила о персональных данных. Пункт 5 статьи 5 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» запрещает относить к коммерческой тайне сведения о численности и составе работников, системе оплаты труда и условиях труда. Защита сведений о конкретном работнике строится по 152-ФЗ: через основания обработки, согласия, разграничение доступа и обязательство сотрудников кадровой службы не разглашать персональные данные.
Стоимость КЭДО с отдельными согласиями: тарифы Добыто
Стоимость зависит от численности сотрудников, нужных видов подписи и требований к месту хранения данных.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | — |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
Итоговая сумма складывается из числа сотрудников и выбранного тарифа; для компаний, которым важно хранение данных на выделенной инфраструктуре, подходит «Корпорация» с расчётом по запросу. Актуальные условия и состав каждого тарифа — на странице тарифов Добыто КЭДО, цены приведены на дату публикации.
Выводы
Работодатель обрабатывает данные работника без согласия, пока действие вытекает из трудового договора или прямой обязанности по закону и не выходит за нужный для этого объём. Согласие становится обязательным, когда данные уходят подрядчику или облачному сервису, публикуются, собираются у третьих лиц или касаются биометрии и кандидатов. С сентября 2025 года каждое такое согласие оформляется отдельным документом, а отзыв одного согласия не останавливает обработку по закону.
В практике Добыто разметка оснований и отдельные согласия закладываются до запуска электронного подписания: работодатель остаётся оператором, сервис обрабатывает данные по его поручению, а подписанные согласия и отзывы хранятся в том же архиве, что и кадровые документы.
Частые вопросы
Нужно ли согласие работника на передачу данных в медицинскую организацию для обязательного медосмотра?
Для обязательного медосмотра, который работодатель проводит по требованию ТК РФ, передача данных в медицинскую организацию опирается на пункт 2 части 1 статьи 6 и пункт 2.3 части 2 статьи 10 152-ФЗ. Объём ограничен тем, что нужно для направления на осмотр и решения вопроса о допуске к работе. Добровольное медицинское страхование или корпоративные программы здоровья к обязательным не относятся: для них нужно согласие.
Что делать, если работник отказывается подписать согласие на обработку персональных данных?
Отказ не мешает оформить приём и вести кадровый учёт: для этого согласие не требуется. Отказать в приёме из-за неподписанного согласия нельзя, если согласие нужно только для необязательных процессов. Процессы, которые держатся на согласии, для этого работника перестраивают: бумажный пропуск вместо биометрического, выплата зарплаты на карту банка, который работник выбрал сам, документы без передачи внешнему сервису.
Нужно ли согласие на обработку данных исполнителя по договору ГПХ или самозанятого?
Для исполнения договора ГПХ согласие не требуется: основание — пункт 5 части 1 статьи 6 152-ФЗ, стороной договора является сам исполнитель. Статья 88 ТК РФ на исполнителя не распространяется, но передача его данных третьим лицам и поручение обработки облачному сервису требуют согласия по тем же правилам 152-ФЗ. Согласие на КЭДО с исполнителем не оформляется: это не кадровый электронный документооборот.
Вправе ли работодатель передать данные работника по запросу полиции, суда или ГИТ?
Да, если запрос направлен органом в пределах полномочий, установленных федеральным законом. Такая передача относится к случаям, предусмотренным федеральными законами, по статье 88 ТК РФ и не требует согласия. Работодатель проверяет, что запрос оформлен письменно, подписан уполномоченным лицом и содержит ссылку на норму, и передаёт только запрошенный объём сведений.
Кто отвечает перед работником, если данные утекли у поставщика сервиса КЭДО?
Перед работником отвечает работодатель как оператор: по части 5 статьи 6 152-ФЗ лицо, которое обрабатывает данные по поручению, несёт ответственность перед оператором. Хранение у вендора не переносит на него ответственность перед субъектом. Работодатель в договоре с вендором закрепляет требования к защите данных и порядок уведомления об инцидентах, чтобы успеть сообщить в Роскомнадзор в установленный срок.
На какой срок оформляется согласие на обработку персональных данных работника?
Срок действия согласия работник и работодатель определяют сами, закон требует лишь указать его в документе вместе со способом отзыва. На практике срок привязывают к цели: на период действия трудового договора для передачи данных облачному сервису, на период проведения мероприятия для публикации фото. После достижения цели или окончания срока данные, которые обрабатывались только на основании согласия, уничтожаются.
