Обработка персональных данных в РФ для работодателя начинается с первого резюме и первого работника: с этого момента компания становится оператором по 152-ФЗ и отвечает за сбор, хранение, передачу и уничтожение сведений. Кадровый учёт, расчёт зарплаты, сдача ЕФС-1 и НДФЛ идут без согласия работника: основание даёт закон. Письменное согласие нужно там, где работодатель выходит за рамки ТК РФ и налоговых норм: передача данных третьим лицам, фото на сайте, проверка кандидата, биометрия. Уведомление Роскомнадзора подают до начала обработки, освобождения для трудовых отношений с 1 сентября 2022 года нет. Для обработки по закону нужны ЛНА и уведомление, для обработки сверх закона — ещё и отдельное согласие с целью, перечнем данных и сроком.
Материал помогает проверить, где согласие у вас собрано зря, а где его нет, хотя оно обязательно. Разберём сценарную таблицу оснований, состав согласия по части 4 статьи 9 152-ФЗ, передачу данных банку, бухгалтерии на аутсорсе и облачному КЭДО, отличие персональных данных от коммерческой тайны. Сроки хранения и уничтожения, штрафы по статье 13.11 КоАП в редакции с 30 мая 2025 года, чек-лист самопроверки, образцы документов и ответы на частые вопросы — во второй половине статьи.
Соберите согласие на обработку персональных данных с целями, сроком и условием об отзыве: конструктор сформирует готовый файл .docx под вашу ситуацию.
Работодатель как оператор персональных данных: обязанности по 152-ФЗ
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» называет оператором любое лицо, которое организует или сам ведёт обработку персональных данных и определяет её цели. Работодатель подпадает под это определение автоматически: анкета кандидата, копия паспорта, СНИЛС, реквизиты карты для зарплаты, сведения о детях для вычета — всё это персональные данные. Статус не зависит от численности. ИП с одним продавцом и холдинг на 5000 человек несут одинаковый набор обязанностей, различается только объём мер защиты.
Глава 14 ТК РФ (статьи 85-90) добавляет к 152-ФЗ трудовую специфику. Работодатель получает данные у самого работника, а если их можно получить только у третьей стороны, заранее уведомляет работника и берёт письменное согласие (статья 86 ТК РФ). Сведения о политических и религиозных убеждениях и о частной жизни работодатель запрашивать не вправе. Сообщать данные третьей стороне без письменного согласия работника запрещено, кроме случаев угрозы жизни и здоровью и случаев, прямо установленных федеральным законом (статья 88 ТК РФ).
Уведомление Роскомнадзора и реестр операторов
До 1 сентября 2022 года работодатели, которые обрабатывали данные только в рамках трудовых отношений, могли не уведомлять Роскомнадзор. Поправки 266-ФЗ это освобождение убрали. Теперь уведомление о намерении обрабатывать персональные данные подают до начала обработки по статье 22 152-ФЗ, и компания попадает в реестр операторов. Об изменении сведений в уведомлении сообщают не позднее 15-го числа месяца, следующего за месяцем изменений, о прекращении обработки — в течение 10 рабочих дней.
Уведомление заполняется на портале персональных данных Роскомнадзора: в форме указывают перечень действий с данными, меры по статьям 18.1 и 19 152-ФЗ, средства защиты и шифрования, ответственного за организацию обработки, дату начала обработки, наличие трансграничной передачи и адрес центра обработки данных, где хранится база с данными граждан РФ. Сведения об ответственном из уведомления становятся общедоступными. Перед подачей проверьте, есть ли компания в реестре: если уведомление подавала прежняя кадровая служба, может понадобиться не новое уведомление, а изменение сведений.
Минимальный комплект обязанностей оператора
Статья 18.1 152-ФЗ перечисляет меры, без которых обработка считается неправомерной даже при наличии всех согласий. Ниже они сведены с нормой и последствием нарушения.
| Обязанность работодателя | Норма | Срок или условие | Штраф для юрлица |
|---|---|---|---|
| Уведомить Роскомнадзор о намерении обрабатывать данные | ст. 22 152-ФЗ | до начала обработки | от 100 000 до 300 000 руб. (ч. 10 ст. 13.11 КоАП) |
| Назначить ответственного за организацию обработки | ст. 18.1, 22.1 152-ФЗ | приказом, до начала обработки | отдельного состава в ст. 13.11 КоАП нет, нарушение фиксируется при проверке |
| Утвердить и опубликовать политику обработки персональных данных | ч. 2 ст. 18.1 152-ФЗ | неограниченный доступ; при сборе данных через сайт — публикация на сайте | от 30 000 до 60 000 руб. (ч. 3 ст. 13.11 КоАП) |
| Получить письменное согласие там, где закон его требует | ст. 9 152-ФЗ, ст. 86, 88 ТК РФ | до начала соответствующей обработки | от 300 000 до 700 000 руб. (ч. 2 ст. 13.11 КоАП) |
| Ответить на запрос работника об обработке его данных | ст. 14, 20 152-ФЗ | 10 рабочих дней, продление на 5 рабочих дней с мотивированным уведомлением | от 40 000 до 80 000 руб. (ч. 4 ст. 13.11 КоАП) |
| Уточнить, заблокировать или уничтожить данные по требованию | ст. 21 152-ФЗ | в сроки статьи 21, при отзыве согласия — до 30 дней | от 50 000 до 90 000 руб. (ч. 5 ст. 13.11 КоАП) |
| Хранить базу с данными граждан РФ на территории России | ч. 5 ст. 18 152-ФЗ | при записи, систематизации, накоплении, хранении | от 1 до 6 млн руб. (ч. 8 ст. 13.11 КоАП) |
Штрафы по частям 1, 2, 10 и 11 статьи 13.11 КоАП выросли с 30 мая 2025 года по 420-ФЗ, скидка 50% за быструю оплату к новым составам не применяется. Для малой компании самые дорогие строки таблицы — согласие и уведомление, и оба нарушения видны по документам: наличие компании в реестре операторов проверяется на портале Роскомнадзора открыто.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Когда согласие работника нужно, а когда нет
Согласие — одно из оснований обработки в части 1 статьи 6 152-ФЗ, и для работодателя оно не главное. Большую часть кадровых операций закрывают два других основания: исполнение обязанностей, возложенных законом (ТК РФ, НК РФ, законы о страховании и воинском учёте), и исполнение трудового договора, стороной которого является работник. Лишнее согласие не нарушает закон, но создаёт проблему: если работник его отзовёт, у компании не останется понятного ответа, на каком основании она продолжает обработку. Поэтому в ЛНА основание прописывают по каждой цели отдельно.
Сценарная таблица ниже разводит типовые кадровые ситуации по основаниям. Колонка «Что оформить» показывает минимальный документ, без которого обработка в этой ситуации неправомерна.
| Ситуация | Основание обработки | Что оформить |
|---|---|---|
| Личная карточка, трудовой договор, приказы по личному составу | закон (ТК РФ) и трудовой договор | согласие не нужно, достаточно ЛНА об обработке и ознакомления под подпись |
| ЕФС-1 в Социальный фонд России, отчётность в ФНС, воинский учёт | обязанность по федеральному закону | согласие не нужно, передача разрешена статьёй 88 ТК РФ |
| Сведения о здоровье для решения вопроса о выполнении трудовой функции, медосмотры | п. 2.3 ч. 2 ст. 10 152-ФЗ (трудовое законодательство) | согласие не нужно, доступ к сведениям ограничивают кругом уполномоченных лиц |
| Карта в зарплатном проекте банка, выбранного работодателем | согласие работника | письменное согласие на передачу данных банку по статье 88 ТК РФ |
| Бухгалтерия или кадровый учёт на аутсорсе | поручение оператора по ч. 3 ст. 6 152-ФЗ | договор поручения с мерами защиты и согласие работника на передачу данных третьему лицу |
| Облачная система КЭДО | поручение оператора и согласие работника | согласие с перечнем всех лиц, получающих доступ: провайдер, владелец инфраструктуры, удостоверяющий центр |
| Выпуск сертификата электронной подписи работнику | согласие работника | согласие на обработку данных удостоверяющим центром |
| Фото и ФИО работника на сайте, в соцсетях, на стенде для посетителей | согласие на распространение (ст. 10.1 152-ФЗ) | отдельное согласие, оформленное отдельно от иных согласий |
| Проверка кандидата службой безопасности или внешним подрядчиком | согласие кандидата | письменное согласие на проверку до её начала |
| Запрос характеристики у прежнего работодателя | ст. 86 ТК РФ | заранее уведомить работника и получить письменное согласие |
| Пропуск по лицу или отпечатку пальца (биометрия) | ст. 11 152-ФЗ | письменное согласие; альтернативный способ прохода для отказавшихся |
| Резюме отклонённого кандидата в кадровом резерве | согласие кандидата | согласие на включение в резерв с конкретным сроком хранения |
Граница проходит по цели: пока данные нужны для исполнения ТК РФ и договора, работает закон, как только появляется новое лицо или новая аудитория, нужен отдельный документ от работника. Проверьте свои согласия по этой таблице: если в бланке одной фразой перечислены «кадровый учёт, зарплатный проект и публикация на сайте», распространение придётся переоформить отдельным согласием.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Кадровые документы — чувствительные персональные данные: в них сведения о семье, здоровье, доходах. Когда вы выбираете облачную систему, данные уходят к внешнему провайдеру, и это уже передача третьему лицу, основанная на согласии работника. Обычно таких лиц не одно, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр. Спросите вендора прямо и получите список всех, кто получит доступ, а не формулировку «данные хранятся защищённо».»
Кандидаты и проверка службой безопасности
Кандидат ещё не работник, глава 14 ТК РФ к нему формально не применяется, но 152-ФЗ действует в полном объёме. Если соискатель сам прислал резюме на вакансию, работодатель вправе рассмотреть его для этой вакансии. Проверка по базам ФССП, МВД, реестру дисквалифицированных лиц, запрос кредитной истории и анализ аффилированности — уже отдельная обработка, и без письменного согласия кандидата она незаконна.
Важный нюанс из практики: внешние службы безопасности, которые проверяют кандидатов для малого и среднего бизнеса, работают как операторы персональных данных с уведомлением в Роскомнадзоре. Заказчик получает у кандидата согласие на проверку и передаёт подрядчику ФИО, дату рождения, ИНН и паспортные данные. Подрядчик начинает работу, только убедившись, что согласие есть. Способ передачи данных согласуют при заключении договора, а после сдачи отчёта подрядчик удаляет сведения, и они остаются только у заказчика.
Полезно знать: к любой службе безопасности на аутсорсе требование одно и то же: уведомление Роскомнадзора как оператора плюс согласие кандидата на обработку. Внутренняя служба безопасности вместо договора с подрядчиком работает по локальным нормативным актам компании.
Если кандидату отказали, анкету, результаты проверки и копии документов уничтожают. Роскомнадзор в разъяснениях связывает срок с достижением цели обработки, то есть с моментом отказа, и допускает дальнейшее хранение только при согласии кандидата на включение в резерв. Пропишите в согласии на проверку срок и то, что происходит с отчётом при отказе в приёме.
Согласие на обработку персональных данных: обязательные реквизиты бланка
С 1 сентября 2022 года часть 1 статьи 9 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным. Согласие, спрятанное в тексте трудового договора или анкеты, этим требованиям соответствует плохо: работник не может отозвать его, не затрагивая договор. Письменное согласие оформляют отдельным документом, на бумаге с собственноручной подписью или в электронной форме, подписанной электронной подписью.
Часть 4 статьи 9 152-ФЗ перечисляет 9 обязательных реквизитов письменного согласия:
- ФИО и адрес работника, номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган.
- ФИО и адрес представителя, реквизиты доверенности или иного документа о полномочиях, если согласие даёт представитель.
- Наименование или ФИО и адрес оператора.
- Цель обработки персональных данных.
- Перечень персональных данных, на обработку которых даётся согласие.
- Наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если обработка ему поручена.
- Перечень действий с данными и общее описание способов обработки.
- Срок действия согласия и способ его отзыва, если иное не установлено федеральным законом.
- Подпись субъекта персональных данных.
Нарушение требований к содержанию согласия квалифицируется по той же части 2 статьи 13.11 КоАП, что и обработка без согласия: от 300 000 до 700 000 руб. для юрлица. Чаще всего в бланках пропускают шестой пункт. Если кадровый учёт ведёт аутсорсер или документы хранятся в облачном КЭДО, их наименование и адрес должны быть в согласии, общей фразы «третьим лицам» недостаточно.
Отзыв согласия работник направляет в свободной форме. Оператор прекращает обработку и уничтожает данные в срок не более 30 дней, но только в той части, где основанием было согласие: личная карточка, приказы и сведения для ЕФС-1 остаются, потому что их обработку требует закон (часть 2 статьи 9 152-ФЗ). Эту оговорку полезно включить в текст согласия, чтобы при отзыве не возникало спора о том, что именно компания обязана удалить.
Как оформить согласие работника на обработку персональных данных: пошаговая инструкция
- Шаг 1. Выпишите цели обработки, которые выходят за рамки ТК РФ и налоговых норм: зарплатный проект, аутсорсинг, облачный КЭДО, выпуск электронной подписи, пропуска, публикации.
- Шаг 2. Для каждой цели определите перечень данных и срок. Одна цель — один набор данных, без формулы «любые сведения».
- Шаг 3. Укажите всех лиц, обрабатывающих данные по поручению, с наименованием и адресом.
- Шаг 4. Согласие на распространение (фото на сайте, поздравления в соцсетях) оформите отдельным документом по статье 10.1 152-ФЗ.
- Шаг 5. Подпишите согласие до начала обработки: на бумаге собственноручно или в электронной форме электронной подписью работника.
- Шаг 6. Зарегистрируйте согласие в журнале или в системе КЭДО и поставьте контроль срока его действия.
Образцы согласий и правил обработки персональных данных
Комплект закрывает основные сценарии из таблицы оснований: начните с согласия на обработку персональных данных работника, затем сверьте его с правилами обработки.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных | Скачать |
| Согласие кандидата на проверку службой безопасности | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата электронной подписи | Скачать |
| Положение о ведении КЭДО | Скачать |
Передача персональных данных работников третьим лицам и в КЭДО
Статья 88 ТК РФ делит получателей на две группы. Социальный фонд России, ФНС, военкомат, ГИТ при проверке, суд и другие органы получают данные по федеральному закону, согласие работника для этого не нужно. Банк, аутсорсер, облачный сервис, страховая компания по ДМС, контрагент, которому нужна копия паспорта для пропуска, — третьи лица, и передача им идёт только по письменному согласию. Внутри компании данные тоже передаются не всем: доступ получают специально уполномоченные лица и только к тем сведениям, которые нужны им для работы.
Когда обработку ведёт подрядчик, оператором остаётся работодатель. Часть 3 статьи 6 152-ФЗ требует договора поручения: в нём перечисляют действия с данными, цели, обязанность соблюдать конфиденциальность, меры защиты по статье 19, обязанность по запросу оператора подтверждать их выполнение и сообщать об инцидентах. Перед работником за действия подрядчика отвечает работодатель (часть 5 статьи 6). Проверьте договоры с бухгалтерией на аутсорсе и с разработчиком кадровой программы: если раздела о персональных данных в них нет, поручение не оформлено.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Отдельный вопрос — где физически лежат данные. Первичная запись, систематизация, накопление и хранение данных граждан РФ ведутся в базах на территории России (часть 5 статьи 18 152-ФЗ). Иностранная HR-платформа, облачный диск с серверами за рубежом, пересылка сканов паспортов кандидатов через иностранный мессенджер — это вопрос локализации и трансграничной передачи, а о намерении передавать данные за рубеж с 1 марта 2023 года Роскомнадзор уведомляют отдельно, до начала передачи.
Внимание: чтобы подписать документ через Госключ, работодатель передаёт тело документа через Госуслуги в приложение Госключ. С точки зрения конфиденциальности кадровых данных у работодателей это вызывает вопросы, поэтому сценарий подписания через Госключ стоит описать в ЛНА до запуска.
Персональные данные в КЭДО и при выпуске электронной подписи
Система КЭДО — это база, где собраны трудовые договоры, приказы, заявления с причинами отпусков, больничные. В опросе аудитории вебинара о выборе системы КЭДО самым популярным критерием оказалось хранение персональных данных только на собственных серверах, выше гибкости системы, стоимости и интерфейса. Для облачного сервиса это означает согласие работников на передачу данных провайдеру и договор поручения, для собственного сервера — ответственность компании за его защиту.
При выпуске электронной подписи паспортные данные, СНИЛС и ИНН работника получает удостоверяющий центр, поэтому на этот шаг нужно отдельное согласие. Сама подпись становится частью доказательной конструкции: кто и когда её выдал, как система установила личность подписанта. Мы в Добыто разводим во времени выдачу подписи работнику и первые кадровые действия с ней, а порядок идентификации фиксируем в положении о КЭДО.
Мария Ж, судебный эксперт в сфере трудового права: «Установить, что заявление сформировано в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Если в локальном акте этот порядок не описан, спор проигрывается и при технически исправной подписи, поэтому проверьте три вещи: описана ли идентификация в ЛНА, фиксирует ли система дату и обстоятельства выдачи подписи и есть ли регламент действий при поступлении заявления об увольнении.»
Сервис Добыто КЭДО работает по требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ. В практике Добыто мы советуем до подключения любой системы, включая нашу, запросить у вендора перечень лиц, которые получат доступ к кадровым данным: этот список потом попадает в согласие работника и в уведомление Роскомнадзора.
Персональные данные и коммерческая тайна: в чём разница для работодателя
Режим конфиденциальности персональных данных установлен законом: статья 7 152-ФЗ запрещает оператору раскрывать их без согласия субъекта, и вводить этот режим приказом не нужно. Коммерческая тайна по Федеральному закону от 29.07.2004 № 98-ФЗ возникает, только если обладатель информации сам принял меры по статье 10: утвердил перечень сведений, ограничил доступ, ведёт учёт допущенных лиц, урегулировал обязанности в трудовых договорах и нанёс гриф «Коммерческая тайна» с указанием обладателя. Без этих мер привлечь работника за разглашение не получится.
| Параметр | Персональные данные | Коммерческая тайна |
|---|---|---|
| Закон | 152-ФЗ, глава 14 ТК РФ | 98-ФЗ |
| Кто устанавливает режим | закон, действует без решения компании | обладатель информации своими мерами |
| Чьи это сведения | работника, кандидата, клиента | компании |
| Что нельзя засекретить | — | численность и состав работников, систему оплаты труда, условия и охрану труда, вакансии, задолженность по зарплате (ст. 5 98-ФЗ) |
| Надзор | Роскомнадзор, штрафы по ст. 13.11 КоАП | надзорного органа нет, защита через суд |
| Увольнение работника за разглашение | подп. «в» п. 6 ч. 1 ст. 81 ТК РФ, включая данные другого работника | подп. «в» п. 6 ч. 1 ст. 81 ТК РФ при соблюдённом режиме |
Из таблицы следует частый практический вывод: запретить обсуждать зарплаты через режим коммерческой тайны нельзя, система оплаты труда в него не входит. Сведения о зарплате конкретного человека — его персональные данные, и раскрывать их без согласия не вправе кадровая служба и бухгалтерия. Для увольнения за разглашение в обоих режимах нужен один и тот же фундамент: работник ознакомлен под подпись с ЛНА и перечнем сведений, к которым допущен. С 11 декабря 2024 года незаконное использование и передача компьютерной информации с персональными данными дополнительно образуют состав статьи 272.1 УК РФ.
Мария Ж, юрист со стажем более 20 лет: «Требование разграничения доступа одинаково работает для бумажного архива и для системы КЭДО. Доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Посмотрите, кто у вас видит трудовые договоры и сведения о здоровье: к конкретному договору должен иметь доступ ответственный кадровик и сам работник, а не весь отдел.»
Лайфхак: до покупки кадровой системы запросите у вендора письменно: где физически хранятся данные и полный перечень лиц с доступом, есть ли разграничение доступа по ролям и журнал обращений, в каком виде отдаётся архив при расторжении договора.
Хранение и уничтожение персональных данных работников: сроки
Часть 7 статьи 5 152-ФЗ разрешает хранить данные не дольше, чем требуют цели обработки, если срок не установлен федеральным законом или договором. Для кадровых документов срок установлен: Перечень типовых управленческих архивных документов, утверждённый приказом Росархива от 20.12.2019 № 236, определяет, сколько хранится каждый вид документа. Порядок экспертизы ценности, описей и уничтожения регулируют Правила, утверждённые приказом Росархива от 31.07.2023 № 77.
Факт: личные карточки, трудовые договоры и приказы по личному составу хранятся 50 лет, если дела завершены после 1 января 2003 года, и 75 лет для более ранних. Журналы вводного инструктажа и инструктажа на рабочем месте — 45 лет.
Согласие работника на эти сроки не влияет: отзыв согласия не обязывает уничтожать личную карточку раньше 50 лет. Уничтожению в 30-дневный срок подлежит то, что обрабатывалось только на основании согласия: фото для сайта, данные для зарплатного проекта, анкета отклонённого кандидата. Факт уничтожения подтверждают актом по требованиям, утверждённым приказом Роскомнадзора от 28.10.2022 № 179, а при уничтожении в информационной системе — ещё и выгрузкой из журнала событий.
Форма хранения определяется формой создания документа. Документ, созданный в электронном виде и подписанный электронной подписью, хранится электронно, и распечатка его не заменяет. Документ, подписанный на бумаге, хранится на бумаге, и скан не заменяет оригинал. Если для вида документа нет строки в Перечне, срок определяют по аналогии с ближайшим видом и фиксируют решение экспертной комиссии в номенклатуре дел.
Мария Ж, HR-эксперт с 13-летним стажем: «Кадровые документы хранятся 50 лет неспроста: они нужны не работодателю, а самому человеку, причём тогда, когда компании может уже не существовать. Решение о форме хранения принимается один раз, на входе, и дальше вы живёте с ним весь срок. Прежде чем переводить личные дела в электронный вид, определите, какие документы у вас созданы на бумаге, а какие сразу электронно.»
Утечка персональных данных работников: сроки уведомления и штрафы
Если данные работников переданы, опубликованы или стали доступны посторонним с нарушением прав субъектов, часть 3.1 статьи 21 152-ФЗ даёт работодателю два срока. В течение 24 часов Роскомнадзор уведомляют об инциденте: предполагаемые причины, возможный вред, принятые меры, контактное лицо для взаимодействия. В течение 72 часов — о результатах внутреннего расследования и о лицах, чьи действия привели к инциденту, если их удалось установить. Уведомление подаётся в свободной форме, в том числе через портал Роскомнадзора.
С 30 мая 2025 года штраф за утечку зависит от числа субъектов и категории данных. Размеры для юридического лица по статье 13.11 КоАП:
- неуведомление или несвоевременное уведомление об инциденте — от 1 до 3 млн руб. (часть 11);
- утечка данных от 1 000 до 10 000 субъектов — от 3 до 5 млн руб.;
- утечка данных от 10 000 до 100 000 субъектов — от 5 до 10 млн руб.;
- утечка данных более 100 000 субъектов — от 10 до 15 млн руб.;
- утечка специальных категорий данных, включая сведения о здоровье, — от 10 до 15 млн руб.;
- утечка биометрических данных — от 15 до 20 млн руб.;
- повторная утечка — от 1 до 3% совокупной выручки за предыдущий год с нижней границей 20-25 млн руб. в зависимости от состава и верхней 500 млн руб.
Для кадровой базы специальная категория возникает быстрее, чем кажется: больничные листы, результаты медосмотров и сведения об инвалидности — это данные о здоровье. Порог в 1 000 субъектов считают по людям, чьи данные утекли, а в кадровой базе это не только текущие работники, но и уволенные, и кандидаты, чьи анкеты не уничтожили после отказа. Проверьте, сколько записей реально лежит в вашей кадровой системе и в почте рекрутеров: эта цифра определяет строку штрафа.
Чек-лист самопроверки обработки персональных данных работников
Пройдите пункты по порядку: первые четыре проверяются по документам за один день, остальные требуют сверки с ИТ-службой и подрядчиками.
- Компания есть в реестре операторов Роскомнадзора, сведения в уведомлении актуальны: адрес ЦОД, трансграничная передача, ответственный.
- Приказом назначен ответственный за организацию обработки персональных данных.
- Утверждены политика обработки и положение о персональных данных работников, работники ознакомлены под подпись.
- Приказом утверждён перечень должностей с доступом к персональным данным, допущенные подписали обязательство о неразглашении.
- Для каждой цели сверх ТК РФ есть отдельное согласие со всеми 9 реквизитами части 4 статьи 9 152-ФЗ.
- Согласие на распространение оформлено отдельно от остальных согласий.
- С аутсорсерами, облачными сервисами и разработчиками кадровых систем заключены договоры поручения.
- База с данными граждан РФ хранится на территории России.
- Анкеты и результаты проверки отклонённых кандидатов уничтожаются, акты уничтожения оформлены.
- Назначен порядок действий при инциденте: кто и через какой канал уведомляет Роскомнадзор в течение 24 часов.
Перед раскаткой КЭДО на всю компанию мы закладываем пилотную группу: она снимает основную часть ошибок настройки до того, как через систему пойдут документы всех работников.
Стоимость КЭДО Добыто с хранением кадровых персональных данных
Стоимость зависит от численности сотрудников, нужных видов подписи и требований к размещению данных: выделенный сервер и SLA рассчитываются индивидуально.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | в составе тарифа |
| УКЭП для сотрудников через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль для 1С:ЗУП с автоматической синхронизацией документов | в тарифе «Бизнес» | установка и настройка за один день |
Итоговая сумма складывается из численности и выбранного тарифа, электронные подписи ПЭП и УНЭП в неё уже входят. Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия и состав каждого пакета — на странице тарифов Добыто КЭДО.
Выводы
Работодатель становится оператором персональных данных с первого резюме, и уведомление Роскомнадзора ему нужно независимо от численности. Кадровый учёт и отчётность держатся на законе, а согласие работника требуется там, где появляется новый получатель данных или новая аудитория: банк, аутсорсер, облачная система, удостоверяющий центр, сайт компании. Согласие без названного обработчика, срока и способа отзыва штрафуется так же, как его отсутствие, а утечка кадровой базы с 2025 года оценивается в миллионах рублей.
Добыто ведёт кадровые документы в электронном виде по правилам 152-ФЗ и статей 22.1-22.3 ТК РФ: электронные подписи ПЭП и УНЭП для сотрудников выпускаются в рамках тарифа, а подписанные документы остаются в электронном архиве на весь срок хранения.
Частые вопросы об обработке персональных данных работников
Нужно ли согласие на обработку персональных данных у исполнителя по договору ГПХ или самозанятого?
Для исполнения договора, стороной которого является сам исполнитель, согласие не требуется: основание даёт пункт 5 части 1 статьи 6 152-ФЗ. Глава 14 ТК РФ на исполнителей не распространяется, но уведомление Роскомнадзора и меры защиты по 152-ФЗ действуют. Передача данных исполнителя банку, публикация его фото или проверка службой безопасности требуют отдельного согласия так же, как у работника.
Можно ли уволить или не принять работника, если он отказался подписать согласие?
Нет. Для обработки, которую требует ТК РФ и налоговое законодательство, согласие не нужно, поэтому отказ не мешает оформить трудовые отношения. Отказ дать согласие на цели сверх закона не является дисциплинарным проступком: часть 1 статьи 9 152-ФЗ требует, чтобы согласие давалось свободно, своей волей и в своём интересе. Работнику, отказавшемуся от зарплатного проекта, зарплату перечисляют в банк по его заявлению или выплачивают иным законным способом.
Можно ли передать данные работника по запросу полиции, банка или коллекторов?
По мотивированному запросу органа, у которого есть полномочия по федеральному закону (полиция, прокуратура, суд, ГИТ, ФССП), данные передают без согласия, но только в объёме запроса. Банку-кредитору работника, коллекторам, будущему работодателю, запросившему характеристику, данные без письменного согласия работника передавать нельзя по статье 88 ТК РФ. Устный звонок с просьбой подтвердить место работы и зарплату — тоже передача третьему лицу.
Нужно ли согласие на видеонаблюдение в офисе?
Видеозапись для охраны помещений и имущества биометрической обработкой не считается, если по изображению не устанавливают личность. Работников знакомят с ЛНА о видеонаблюдении под подпись, а зоны съёмки обозначают табличками. Если камеры связаны с системой распознавания лиц для учёта рабочего времени или пропуска, это биометрия по статье 11 152-ФЗ, и нужно письменное согласие каждого работника.
Можно ли передавать данные работников между компаниями одной группы?
Каждое юридическое лицо группы — отдельный оператор, поэтому передача данных из одной компании холдинга в другую, в том числе в общий центр обслуживания, считается передачей третьему лицу. Для неё нужен договор поручения по части 3 статьи 6 152-ФЗ и письменное согласие работника с указанием наименования и адреса компании-получателя. Общая кадровая программа на несколько юрлиц не отменяет этого требования.
Кто в компании может работать с персональными данными работников?
Только лица из перечня, утверждённого приказом работодателя, и только в объёме, нужном для их функций (статья 88 ТК РФ). Допущенные работники подписывают обязательство о неразглашении и знакомятся с положением о персональных данных. Руководитель подразделения видит график отпусков и табель своих сотрудников, но не их больничные и сведения о детях, если это не нужно для его работы.
