Обработка персональных данных работников превращает работодателя в оператора с того момента, когда в кадровую службу попало первое резюме, и требует закрытого комплекта документов: политика обработки, положение о защите персональных данных работников по статье 87 ТК РФ, приказ о назначении ответственного, перечни обрабатываемых данных и лиц с допуском, акт оценки вреда, порядок ответа на запросы. Уведомление в Роскомнадзор подаётся до начала обработки, а не после найма первого человека. Главное различие, от которого зависит объём бумаг: сведения, нужные для исполнения трудового договора, обрабатываются без согласия по пункту 5 части 1 статьи 6 152-ФЗ, а проверка службой безопасности, публикация фото на сайте и передача данных партнёрам без письменного согласия работника незаконны.
Разберём комплект по каждому документу: что в нём обязательно, кто утверждает и чем подтверждается ознакомление работника. Покажем, почему с 1 сентября 2025 года согласие нельзя вшивать в трудовой договор и какие сведения нельзя закрыть грифом коммерческой тайны по 98-ФЗ. Штрафы по статье 13.11 КоАП, сроки хранения и уничтожения данных, шаблоны согласий, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
С какого момента работодатель становится оператором персональных данных
Оператор по статье 3 152-ФЗ — это лицо, которое организует или осуществляет обработку персональных данных и определяет цели обработки. Кадровая служба попадает под это определение раньше, чем кажется: обработкой считается любое действие с данными, включая сбор, запись, хранение, уточнение, передачу и уничтожение. Резюме, полученное на корпоративную почту, — уже сбор. Анкета кандидата, который до оффера так и не дошёл, — уже хранение.
Уведомление о намерении обрабатывать персональные данные подаётся в Роскомнадзор до начала обработки. Форма утверждена приказом Роскомнадзора от 28.10.2022 № 180: в ней указываются наименование и адрес оператора, цели обработки, категории данных и субъектов, перечень действий и описание применяемых мер защиты. Исключение, которым раньше пользовались работодатели («обработка только в связи с трудовыми отношениями»), с 1 сентября 2022 года не действует — уведомление подаёт любой оператор, даже если в штате один директор. Проверить, числится ли компания в реестре, и подать уведомление можно на портале персональных данных Роскомнадзора, где реестр операторов открыт для поиска по ИНН и наименованию.
Если компания прекращает обработку, уведомление о прекращении подаётся не позднее 10 рабочих дней с даты прекращения. За неуведомление о начале обработки часть 10 статьи 13.11 КоАП с 30 мая 2025 года даёт юридическому лицу штраф от 100 000 до 300 000 рублей, должностному лицу — от 30 000 до 50 000 рублей.
Комплект документов, который обязана оформить кадровая служба
Обязанности оператора перечислены в статье 18.1 152-ФЗ, требования к порядку хранения и использования данных работника — в статье 87 ТК РФ. Из них складывается комплект, который инспектор Роскомнадзора запрашивает первым. Ниже — состав комплекта с нормой-основанием и способом подтверждения.
| Документ | Основание | Чем подтверждается исполнение |
|---|---|---|
| Политика в отношении обработки персональных данных | ч. 2 ст. 18.1 152-ФЗ | опубликована на сайте либо обеспечен неограниченный доступ иным способом |
| Положение об обработке и защите персональных данных работников | ст. 87 ТК РФ, п. 2 ч. 1 ст. 18.1 152-ФЗ | приказ об утверждении и подпись работника в листе ознакомления |
| Приказ о назначении ответственного за организацию обработки | ч. 1 ст. 22.1 152-ФЗ | приказ с указанием ФИО, должности и контактов ответственного |
| Перечень обрабатываемых данных и перечень лиц, допущенных к обработке | п. 2 ч. 1 ст. 18.1 152-ФЗ | приложения к положению, утверждённые приказом |
| Оценка вреда, который может быть причинён субъектам | п. 5 ч. 1 ст. 18.1 152-ФЗ, приказ Роскомнадзора от 27.10.2022 № 178 | акт оценки вреда с расчётом по трём степеням |
| Правила рассмотрения запросов субъектов и журнал учёта обращений | ст. 14, 20 152-ФЗ, ст. 89 ТК РФ | записи в журнале с датами получения запроса и ответа |
| Согласия работников и кандидатов на обработку | ст. 9, 10, 10.1, 11 152-ФЗ, ст. 88 ТК РФ | отдельный подписанный документ на каждую цель, выходящую за трудовой договор |
| Документы о внутреннем контроле обработки | п. 4 ч. 1 ст. 18.1 152-ФЗ | план проверок и акт по итогам внутренней проверки |
Из таблицы видно, что половина позиций — не тексты, а подтверждения: подпись в листе ознакомления, запись в журнале, акт. Документ без подтверждения при проверке не засчитывается, потому что доказывает соблюдение требований оператор, а не надзорный орган.
Важный нюанс из практики: чаще всего в комплекте отсутствует не положение, а перечень лиц, допущенных к обработке. Список фактически существует — бухгалтер, два кадровика, руководитель отдела и системный администратор, — но не утверждён приказом и не привязан к должностям. В практике Добыто мы собираем этот перечень на старте проекта вместе с матрицей ролей в системе, потому что роли в КЭДО и допуск к данным должны совпадать.
Мария Ж, юрист со стажем более 20 лет: «Локальный акт о персональных данных живёт не в момент утверждения, а всё время действия. Он согласуется, утверждается, доводится до работников под подпись, а дальше за ним нужно следить: сменился ответственный, появился новый сервис-обработчик, изменился перечень данных — акт актуализируется и заново идёт на ознакомление. Проверьте по своему положению дату последней редакции и сверьте её с датой последнего приказа о назначении ответственного: расхождение в несколько лет встречается часто.»
Как оформить обработку персональных данных работников: пошаговая инструкция
- Шаг 1. Соберите фактическую картину: какие данные вы обрабатываете, в каких системах они лежат, кто имеет к ним доступ, кому вы их передаёте (банк, СФР, ФНС, страховая, подрядчик по ДМС, аутсорсер расчёта зарплаты).
- Шаг 2. Определите правовое основание по каждой цели: исполнение трудового договора, исполнение обязанности по закону, согласие работника. Цели без основания либо получают согласие, либо исключаются из обработки.
- Шаг 3. Подготовьте политику обработки и положение о защите персональных данных работников, утвердите их приказом и опубликуйте политику в открытом доступе.
- Шаг 4. Издайте приказ о назначении ответственного за организацию обработки и приказ с перечнем лиц, допущенных к работе с данными, по должностям.
- Шаг 5. Проведите оценку вреда по приказу Роскомнадзора № 178 и зафиксируйте результат актом.
- Шаг 6. Ознакомьте работников с положением под подпись и соберите согласия на те цели, которые выходят за рамки трудового договора, отдельными документами.
- Шаг 7. Подайте уведомление в Роскомнадзор до начала обработки, а при изменении сведений — уведомление об их уточнении.
- Шаг 8. Назначьте дату внутренней проверки и внесите её в план: без акта внутреннего контроля комплект считается неполным.
Когда согласие работника обязательно, а когда обработка идёт без него
Согласие — не универсальное основание, а одно из одиннадцати, перечисленных в части 1 статьи 6 152-ФЗ. Для кадровой службы рабочих оснований три: исполнение договора, стороной которого является работник (пункт 5), исполнение обязанностей, возложенных на работодателя законом (пункт 2), и собственно согласие (пункт 1). Ошибка в выборе основания стоит дороже ошибки в формулировке: обработка без правового основания по части 1 статьи 13.11 КоАП даёт юридическому лицу штраф от 150 000 до 300 000 рублей, а обработка без письменного согласия там, где оно обязательно, по части 2 — от 300 000 до 700 000 рублей.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Ситуация | Нужно ли согласие | Основание и оговорка |
|---|---|---|
| Оформление приёма, кадровый учёт, начисление зарплаты, отчётность в СФР и ФНС | Нет | п. 2 и п. 5 ч. 1 ст. 6 152-ФЗ, объём ограничен перечнем статьи 65 ТК РФ |
| Проверка кандидата службой безопасности, запросы к прежним работодателям | Да, письменное | ст. 86 ТК РФ: данные о работнике у третьей стороны получают только с письменного согласия |
| Передача данных партнёру: ДМС, зарплатный проект банка, корпоративное обучение | Да, письменное | ст. 88 ТК РФ, исключение — угроза жизни и здоровью работника и случаи, прямо названные в федеральных законах |
| Публикация фото, должности и контактов на сайте или в соцсетях компании | Да, отдельное согласие на распространение | ст. 10.1 152-ФЗ, оформляется отдельно от других согласий, молчание согласием не считается |
| Сведения о здоровье сверх заключения о пригодности, о судимости, о вероисповедании | Специальные категории, по общему правилу обработка запрещена | ст. 10 152-ФЗ, п. 4 и п. 8 ч. 1 ст. 86 ТК РФ: сведения о частной жизни и убеждениях работодатель получать не вправе |
| Отпечаток пальца или скан лица для пропускной системы | Да, письменное согласие на биометрию | ст. 11 152-ФЗ, отказ работника не может быть основанием для отказа в допуске на рабочее место |
Практический вывод из таблицы: чем дальше цель от исполнения трудового договора, тем строже форма. На кадровый учёт согласие не берут вовсе, на передачу партнёру — берут в письменном виде, на публикацию — отдельным документом по особым требованиям.
Мария Ж, HR-эксперт с 13-летним стажем: «Перечень документов при приёме в статье 65 ТК РФ закрытый, и расширить его могут только указ Президента и постановление Правительства, но не приказ министерства и не внутренний регламент компании. Типовая ситуация: служба безопасности просит принести справку о доходах с прошлого места работы или характеристику. Законного основания нет, кандидат вправе отказать, и отказать ему в приёме на этом основании нельзя. Сверьте свою анкету кандидата со статьёй 65: всё, что выходит за перечень, должно закрываться отдельным согласием и добровольным характером ответа.»
Как выглядит согласие, которое выдержит проверку
Часть 4 статьи 9 152-ФЗ задаёт девять обязательных реквизитов письменного согласия:
- фамилия, имя, отчество, адрес субъекта, реквизиты документа, удостоверяющего личность;
- те же сведения о представителе и реквизиты доверенности, если согласие подписывает представитель;
- наименование и адрес оператора, получающего согласие;
- цель обработки персональных данных;
- перечень персональных данных, на обработку которых даётся согласие;
- наименование и адрес лица, обрабатывающего данные по поручению оператора, если обработка поручена;
- перечень действий с данными и общее описание способов обработки;
- срок действия согласия и способ его отзыва;
- подпись субъекта персональных данных.
Пункт 6 в кадровых согласиях пропускают чаще остальных. Если расчёт зарплаты ведёт аутсорсер, документооборот идёт через внешний сервис, а проверку кандидатов делает подрядчик, каждое из этих лиц называется в согласии. Формулировка «третьим лицам» без наименования и адреса требованию не отвечает.
Внимание: с 1 сентября 2025 года часть 1 статьи 9 152-ФЗ в редакции 156-ФЗ от 24.06.2025 требует оформлять согласие отдельно от иных информации и документов. Пункт «работник согласен на обработку персональных данных» внутри трудового договора, анкеты или заявления о приёме больше не работает. Согласия, собранные до 1 сентября 2025 года, остаются действительными и переоформления не требуют.
Срок действия согласия стоит привязывать не к дате, а к цели: «до достижения цели обработки, но не дольше срока хранения соответствующего документа». Бессрочное согласие Роскомнадзор оценивает как согласие без срока, то есть без обязательного реквизита. Способ отзыва указывается конкретный: письменное заявление в отдел кадров или сообщение через личный кабинет в системе КЭДО с подписанием электронной подписью.
Шаблоны согласий, положений и приказов по персональным данным
Начинать удобнее с правил обработки: они задают структуру, под которую дальше подстраиваются согласие и лист ознакомления.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Анкета кандидата для службы безопасности | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
Сроки хранения, уничтожение данных и ответы на запросы работников
Персональные данные хранятся не дольше, чем этого требует цель обработки. Дальше вступают в силу два разных счётчика. Первый — архивный: сроки хранения кадровых документов задаёт 125-ФЗ и перечень Росархива, трудовые договоры и приказы по личному составу хранятся 50 лет для документов, законченных делопроизводством после 2003 года, и 75 лет для более ранних. Второй — счётчик 152-ФЗ: при достижении цели обработки или при отзыве согласия данные уничтожаются в срок, не превышающий 30 дней, если иное не предусмотрено договором или законом.
Эти два счётчика противоречат друг другу реже, чем кажется. Отзыв согласия на проверку службой безопасности не отменяет обязанности хранить трудовой договор 50 лет: договор обрабатывается по другому основанию и в архивных целях. Уничтожению подлежат только те данные, которые обрабатывались исключительно на отозванном согласии.
Факт уничтожения подтверждается документально. По приказу Роскомнадзора от 28.10.2022 № 179, действующему с 1 марта 2023 года по 1 марта 2029 года, при автоматизированной обработке подтверждением служат акт об уничтожении персональных данных и выгрузка из журнала регистрации событий информационной системы. Акт содержит наименование и адрес оператора, а также наименование и адрес лица, обрабатывающего данные по поручению оператора. Без выгрузки из журнала один акт закрывает требование не полностью.
Запрос работника о своих данных рассматривается в срок 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней с уведомлением о причинах. Статья 89 ТК РФ даёт работнику право на полную информацию о своих данных, свободный бесплатный доступ к ним и на требование исключить или исправить неверные сведения. Отказ оформляется мотивированно и в письменном виде.
Мария Ж, судебный эксперт по трудовому праву: «Журнал действий в информационной системе смотрят до спора, а не после. Та же выгрузка, которой вы подтверждаете уничтожение данных или факт подписания, покажет и то, что работает против работодателя: дату выдачи ключа, вход под чужой учётной записью, отсутствие активности работника при формально подписанном документе. Мы проводим такую сверку перед проверками и перед увольнениями, на которых ожидаем конфликт. Откройте журнал по последнему спорному документу прямо сейчас — это занимает минуты и снимает половину вопросов.»
Коммерческая тайна и персональные данные: два режима, которые нельзя смешивать
Кадровая служба регулярно закрывает персональные данные работников грифом «Коммерческая тайна» и считает вопрос решённым. Режимы разные по источнику, по перечню защищаемых сведений и по последствиям нарушения. Персональные данные защищает 152-ФЗ и глава 14 ТК РФ, надзор ведёт Роскомнадзор. Коммерческую тайну защищает 98-ФЗ от 29.07.2004, режим вводит сама компания, и работает он только при выполнении всех мер из статьи 10: утверждён перечень сведений, установлен порядок обращения с ними, ведётся учёт лиц, получивших доступ, доступ предоставляется под расписку, на материальные носители нанесён гриф с указанием обладателя.
Статья 5 98-ФЗ прямо запрещает относить к коммерческой тайне сведения о численности и составе работников, системе оплаты труда, условиях труда, охране труда, показателях производственного травматизма и о задолженности по заработной плате. Попытка закрыть грифом штатное расписание целиком не проходит именно поэтому: часть содержания штатки по закону не может быть тайной.
Персональные данные одного работника становятся для другого работника охраняемой законом тайной, но по 152-ФЗ, а не автоматически по 98-ФЗ. Отсюда практическое следствие для кадровика: увольнение за разглашение по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ применяется и к коммерческой тайне, и к персональным данным другого работника, ставшим известными в связи с исполнением трудовых обязанностей. Но в первом случае в суде придётся доказывать введённый режим коммерческой тайны по статье 10 98-ФЗ, а во втором — ознакомление работника с положением о персональных данных и наличие у него допуска по приказу.
Полезно знать: обязательство о неразглашении, подписанное работником «на всякий случай» без утверждённого перечня сведений и без учёта лиц, получивших доступ, режим коммерческой тайны не вводит. Суд оценивает выполнение всех мер статьи 10 98-ФЗ, а не наличие одной подписи.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Что добавляется к комплекту при переходе на КЭДО
Электронный кадровый документооборот не меняет правил обработки персональных данных, но добавляет к комплекту два документа и одну обязанность. Первый документ — согласие работника на взаимодействие в электронном виде по статье 22.2 ТК РФ, которое не заменяет и не поглощает согласие на обработку персональных данных: это разные предметы. Второй — поручение обработки по части 3 статьи 6 152-ФЗ в адрес провайдера системы. Обязанность — обеспечить, чтобы обработчик соблюдал те же требования, что и оператор; ответственность перед работником при этом остаётся на работодателе по части 5 статьи 6.
Поручение оформляется договором или отдельным документом и содержит перечень действий с данными, цели обработки, обязанность соблюдать конфиденциальность и требования к защите. Договор, в котором написано только «исполнитель обрабатывает персональные данные в соответствии с законодательством», требованию не отвечает.
В сервисе Добыто маршрут согласования задаётся ролью подразделения, а не конкретным сотрудником: система сама определяет, какому кадровому специалисту уйдёт документ. Для персональных данных это принципиально с точки зрения допуска — работник другого филиала не увидит документы, к которым его роль доступа не даёт, а перечень лиц с допуском совпадает с настройкой ролей и не расходится с приказом.
Мария Ж, соучредитель сервиса КЭДО Добыто: «В споре по электронному кадровому документу суд идёт по порядку: сначала выясняет, вправе ли компания вообще вести документы электронно, и только потом — подписан ли конкретный документ. Проверяются четыре обстоятельства: получено ли согласие работника на КЭДО, ознакомлен ли он с локальным актом, использовал ли электронную подпись, получил ли документ. Если первое рассыпается, до второго дело не доходит, каким бы аккуратным ни был журнал подписания. Начните аудит с папки согласий и листов ознакомления, а не с выгрузки из системы.»
Кейс из практики: в одном из разобранных нами судебных сюжетов работник подал заявление об увольнении по собственному желанию через систему КЭДО в первые дни работы в ней. Суд учёл, что заявление могло быть сформировано ошибочно при первичном использовании системы, и указал: работодатель должен был выяснить причины и разъяснить право отозвать заявление. Увольнение признано незаконным, работник восстановлен. Отсюда наш подход к запуску: первые дни работы человека в системе — зона повышенного риска, и значимые действия в этот период подтверждаются вне системы.
Типичные ошибки кадровой службы и цена каждой
Ошибки в этой теме почти всегда однотипны и почти всегда возникают из желания сэкономить время на оформлении.
- Согласие внутри трудового договора. Мотив: одна подпись вместо трёх. С 1 сентября 2025 года это нарушение части 1 статьи 9 152-ФЗ, а сама обработка по такому согласию квалифицируется по части 2 статьи 13.11 КоАП: от 300 000 до 700 000 рублей на юридическое лицо и от 100 000 до 300 000 рублей на должностное.
- Политика написана, но не опубликована. Мотив: документ для папки. Часть 3 статьи 13.11 КоАП — от 30 000 до 60 000 рублей на юридическое лицо.
- Уведомление в Роскомнадзор не подано. Мотив: уверенность, что кадровое исключение всё ещё действует. Часть 10 статьи 13.11 КоАП — от 100 000 до 300 000 рублей.
- Копии паспортов и дипломов лежат в общей сетевой папке. Мотив: удобство доступа. Утечка данных от 1 000 до 10 000 субъектов по части 12 статьи 13.11 КоАП — от 3 до 5 млн рублей, свыше 100 000 субъектов — от 10 до 15 млн, повторная утечка — от 1 до 3 процентов годовой выручки, но не менее 20 млн и не более 500 млн рублей.
- Об утечке не сообщили в Роскомнадзор. Мотив: надежда, что обойдётся. Уведомление подаётся в течение 24 часов, за неисполнение часть 11 статьи 13.11 КоАП даёт от 1 до 3 млн рублей на юридическое лицо.
Отдельно считается цена проверки Роскомнадзора, которая пришла не по плану, а по жалобе работника. Нарушение трудового законодательства по части 1 статьи 5.27 КоАП добавляет к этому от 30 000 до 50 000 рублей на юридическое лицо, а с 1 января 2026 года дела по статье 13.11 рассматривают мировые судьи, что удлиняет процедуру по сравнению с прежним административным порядком. Неправомерное использование и передача персональных данных, полученных незаконным путём, при трансграничной передаче образует состав по статье 272.1 УК РФ с наказанием до 8 лет лишения свободы.
Лайфхак: перед тем как собирать новые согласия со всего штата, проверьте перечень лиц с допуском и роли в учётных системах. В практике Добыто расхождение между приказом о допуске и фактическими правами в 1С и системе КЭДО обнаруживается чаще, чем отсутствие самих согласий, а закрывается за один день.
Важный нюанс из практики: журнал действий в системе работает в обе стороны. Он подтверждает факт отправки, доставки и подписания документа конкретным пользователем, и он же фиксирует, кто из сотрудников открывал карточки чужих персональных данных. Мы настраиваем разграничение доступа до запуска пилотной группы, потому что после раскатки на всю компанию разбирать накопленные обращения к чужим карточкам приходится вручную.
Когда отдельные согласия и толстое положение не нужны
Комплект документов масштабируется под реальную обработку, а не под максимально возможную. Есть ситуации, где кадровая служба делает лишнюю работу.
Если компания обрабатывает только те данные, которые прямо нужны для исполнения трудового договора и сдачи отчётности, отдельные согласия работников не собираются вовсе: основание — пункты 2 и 5 части 1 статьи 6 152-ФЗ. Собранное «на всякий случай» согласие в этом случае вредит: работник вправе его отозвать, и у неподготовленного кадровика возникает иллюзия, что обработку надо прекратить.
Если в компании нет сайта и данные не собираются через интернет, политика обработки не публикуется в сети — достаточно обеспечить к ней неограниченный доступ иным способом, например разместить на информационном стенде и выдавать по запросу. Требование части 2 статьи 18.1 152-ФЗ сформулировано альтернативно, и инспекторы читают его по-разному, поэтому способ доступа лучше зафиксировать приказом.
Если численность до 10-15 человек, все работают в одном офисе и кадровых событий единицы в год, перевод на КЭДО не решает задачу защиты данных: экономия времени не покроет стоимость внедрения, а требования 152-ФЗ придётся выполнять в том же объёме. Рабочий минимум здесь — комплект локальных актов, уведомление в Роскомнадзор и закрытый шкаф с журналом выдачи документов.
Стоимость КЭДО и электронных согласий: тарифы Добыто на 2026 год
Стоимость зависит от численности подключённых сотрудников, набора видов электронной подписи и потребности в интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
| Кастомные шаблоны документов и электронный архив | входит в тариф «Бизнес» | по запросу |
Итоговая сумма складывается из численности, выбранного тарифа и потребности в УКЭП: квалифицированные подписи выпускаются через партнёров-удостоверяющих центров, а ПЭП и УНЭП для сотрудников входят в тариф без отдельной оплаты. Полный состав функций по каждому уровню и условия перехода между тарифами перечислены на странице тарифов Добыто КЭДО.
При повышении тарифа разница пересчитывается пропорционально оставшемуся периоду, понизить тариф можно в любое время. Это удобно, когда комплект документов по персональным данным приводят в порядок поэтапно: сначала пилотная группа и согласия, потом весь штат.
Выводы
Оператором работодатель становится с первого полученного резюме, и обязанность уведомить Роскомнадзор возникает до начала обработки, а не после найма. Комплект, который спрашивают при проверке, состоит из политики, положения по статье 87 ТК РФ, приказов об ответственном и о допуске, акта оценки вреда, правил рассмотрения запросов и согласий на цели, выходящие за трудовой договор. С 1 сентября 2025 года согласие оформляется отдельным документом, и это единственное изменение, из-за которого приходится переделывать сами бланки. Режим коммерческой тайны данные работников не защищает: у него другой источник, другой перечень сведений и другие меры введения.
Мы в Добыто собираем этот комплект вместе с настройкой ролей и маршрутов: перечень лиц с допуском по приказу и права доступа в системе должны совпадать, иначе документы существуют отдельно от реальной обработки. Электронный архив с журналом действий закрывает и подтверждение подписания, и выгрузку при уничтожении данных, которую требует приказ Роскомнадзора № 179.
Частые вопросы об оформлении обработки персональных данных
Нужно ли переоформлять согласия, собранные до 1 сентября 2025 года?
Нет. Требование оформлять согласие отдельно от иных информации и документов внесено 156-ФЗ от 24.06.2025 и применяется к согласиям, получаемым с 1 сентября 2025 года. Ранее собранные согласия сохраняют силу до истечения указанного в них срока или до отзыва. Переделать нужно только шаблон, по которому вы собираете согласия дальше, и проверить, чтобы в новых трудовых договорах не осталось пункта о согласии на обработку.
Что делать, если работник отозвал согласие на обработку?
Сначала определить, какие данные обрабатывались именно на этом согласии. Обработка, которая ведётся для исполнения трудового договора и выполнения обязанностей работодателя по закону, продолжается независимо от отзыва: у неё другое основание по пунктам 2 и 5 части 1 статьи 6 152-ФЗ. Данные, которые обрабатывались только по отозванному согласию, уничтожаются в срок не более 30 дней с составлением акта и выгрузки из журнала событий по приказу Роскомнадзора № 179.
Нужно ли согласие на передачу данных в банк по зарплатному проекту?
Да, письменное. Статья 88 ТК РФ разрешает передавать данные работника третьей стороне только с его письменного согласия, кроме случаев угрозы жизни и здоровью и случаев, прямо названных в федеральных законах. Зарплатный проект под исключения не подпадает. В согласии указывается наименование и адрес банка, перечень передаваемых данных и цель передачи, а сам банк называется в документе как лицо, обрабатывающее данные по поручению оператора.
Как оформить публикацию фото сотрудника на сайте компании?
Через согласие на распространение персональных данных по статье 10.1 152-ФЗ. Оно оформляется отдельно от других согласий, его форма подчиняется требованиям приказа Роскомнадзора от 24.02.2021 № 18, а молчание или бездействие работника согласием не считается. В согласии указывается, какие именно сведения разрешены к распространению и есть ли запреты на передачу или условия обработки. Отказ работника не может быть поводом для дисциплинарного взыскания.
Кто отвечает, если данные работников обрабатывает бухгалтерия на аутсорсе?
Оператором остаётся работодатель, ответственность перед работником несёт он же по части 5 статьи 6 152-ФЗ. С аутсорсером оформляется поручение обработки: перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите данных. Наименование и адрес такого лица указываются в согласиях работников как обработчика по поручению. Отсутствие поручения делает передачу данных аутсорсеру обработкой без правового основания.
Что грозит лично кадровому специалисту?
По части 2 статьи 13.11 КоАП должностное лицо штрафуется на сумму от 100 000 до 300 000 рублей за обработку без письменного согласия там, где оно обязательно. Статья 90 ТК РФ добавляет дисциплинарную и материальную ответственность, а разглашение персональных данных другого работника, ставших известными в связи с исполнением трудовых обязанностей, образует основание для увольнения по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ.
Нужно ли уведомлять Роскомнадзор, если в компании только директор без наёмных работников?
Да. С 1 сентября 2022 года исключения, позволявшие не подавать уведомление при обработке данных в связи с трудовыми отношениями, не действуют. Уведомление подаёт любое юридическое лицо и индивидуальный предприниматель, даже если обрабатываются данные одного человека. Подача бесплатна и делается через форму на портале персональных данных, а сведения об операторе попадают в открытый реестр.
