Обработка персональных данных работодателем разрешена только в целях, которые перечисляет пункт 1 статьи 86 ТК РФ: соблюдение законов, содействие в трудоустройстве, обучении и продвижении, обеспечение личной безопасности работников, контроль количества и качества работы, сохранность имущества. Для исполнения трудового договора и обязанностей перед ФНС, Социальным фондом России и военкоматом согласие работника не требуется, но объём сведений ограничен целью. Нельзя собирать данные о политических и религиозных убеждениях, интимной жизни, членстве в профсоюзе. О здоровье можно спрашивать только то, что относится к возможности выполнять трудовую функцию. Порядок действий определяет основание обработки. Если основание есть в законе или договоре, согласие не нужно. Если основания нет, нужно письменное согласие, которое с 01.09.2025 оформляется отдельным документом.
Материал разбирает ситуации, где граница проходит неочевидно: проверка кандидата службой безопасности, облачный кадровый электронный документооборот (КЭДО), передача данных подрядчику, разглашение сведений о коллегах. Покажем, что указать в согласии по части 4 статьи 9 152-ФЗ, когда подавать уведомление в Роскомнадзор и в какой срок уничтожать данные. Работник найдёт в тексте пределы того, что о нём вправе знать работодатель. Во второй половине статьи собраны штрафы по статье 13.11 КоАП РФ, действующие с 30.05.2025, порядок настройки обработки, образцы согласий и ответы про зарплатный проект, видеонаблюдение и фото на сайте.
Работодатель как оператор персональных данных: что разрешено без согласия
Работодатель, который получает сведения о работниках и кандидатах, становится оператором персональных данных по Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных». Пункты 2 и 5 части 1 статьи 6 152-ФЗ разрешают обрабатывать данные без согласия в трёх случаях:
- обработка нужна для исполнения обязанностей оператора по закону;
- обработка нужна для исполнения договора с субъектом;
- обработка нужна для заключения договора по инициативе субъекта.
На этом основании работодатель без отдельного согласия оформляет трудовой договор, начисляет заработную плату и передаёт сведения в ФНС, СФР и военкомат.
Даже без согласия работодатель соблюдает два ограничения: законную цель и минимальный объём. Цель должна входить в перечень пункта 1 статьи 86 ТК РФ. В ФНС, СФР и военкомат уходят только те данные, которые предусматривает норма, обязывающая их передать. Лишние поля в выгрузке означают обработку без цели.
Оператор уведомляет Роскомнадзор до начала обработки (часть 1 статьи 22 152-ФЗ). С 01.09.2022 Федеральный закон от 14.07.2022 № 266-ФЗ отменил большинство исключений из этой обязанности. Часть исключений сохранилась, в том числе для исключительно неавтоматизированной обработки. Уведомление подаётся через форму уведомления об обработке персональных данных на портале Роскомнадзора. Если юрлицо не уведомило о намерении обрабатывать данные, штраф составит от 100 000 до 300 000 рублей по части 10 статьи 13.11 КоАП РФ.
Статья 18.1 152-ФЗ обязывает оператора издать политику в отношении обработки персональных данных и локальные нормативные акты (ЛНА). В них указываются:
- цели обработки;
- категории данных и субъектов;
- сроки обработки;
- порядок уничтожения;
- меры контроля.
Если компания собирает данные через сайт, к политике нужен неограниченный доступ. За неопубликование политики предусмотрена ответственность по части 3 статьи 13.11 КоАП РФ. Работников знакомят с документами о порядке обработки, их правах и обязанностях под роспись (пункт 8 статьи 86 ТК РФ), а при КЭДО — по правилам статей 22.1-22.3 ТК РФ.
Мария Ж, юрист со стажем более 20 лет: «Регламент по персональным данным имеет смысл, только если его выполняют. Документ, написанный для папки, смысла не имеет. В нём прописывают, как в компании передают, хранят и обрабатывают данные, и это описание должно совпадать с реальной работой. Сверьте текст политики с тем, как анкета кандидата фактически проходит от отклика до архива.»
Проверить, внесена ли компания в реестр операторов, можно на портале Роскомнадзора. Если записи нет, уведомление не подано.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Какие сведения работодатель не вправе запрашивать и получать
Ограничения статей 86 и 88 ТК РФ, статей 10 и 11 152-ФЗ сведены в таблицу. Каждая строка — отдельный фильтр для анкеты, собеседования и запросов работодателя.
| Сведения | Правило | Исключение или условие | Норма |
|---|---|---|---|
| Политические, религиозные и иные убеждения, интимная жизнь | Получать и обрабатывать нельзя | Только в случаях, предусмотренных ТК РФ и федеральными законами | п. 4 ст. 86 ТК РФ, ч. 1 ст. 10 152-ФЗ |
| Членство в общественных объединениях, профсоюзная деятельность | Получать и обрабатывать нельзя | Только в случаях, предусмотренных ТК РФ и федеральными законами | п. 5 ст. 86 ТК РФ |
| Состояние здоровья | Не запрашивать | Сведения, которые относятся к возможности выполнять трудовую функцию | ст. 88 ТК РФ, ст. 10 152-ФЗ |
| Сведения о работнике у третьих лиц | Все данные получать у самого работника | У третьих лиц — после предварительного уведомления и с письменного согласия, если закон не устанавливает иное | п. 3 ст. 86 ТК РФ |
| Справка о судимости | Не требовать без основания | При приёме на работу, для которой ТК РФ или федеральный закон устанавливает запрет для лиц с судимостью или уголовным преследованием | ст. 65, ст. 351.1 ТК РФ |
| Решения, затрагивающие работника | Не основывать на данных, полученных исключительно автоматизированной обработкой или электронным путём | — | п. 6 ст. 86 ТК РФ |
| Фото и видео, которые используются для установления личности (биометрия) | Только с письменного согласия | Кроме случаев по закону. Запись камеры без идентификации относится к персональным данным в общем режиме | ст. 11 152-ФЗ |
Исключения в каждой строке узкие. Они разрешают обработку только в пределах, которые назвал закон, и не дают права собирать дополнительные сведения.
Важный нюанс из практики: в отчётах внешних служб безопасности встречаются косвенные сведения, связанные со здоровьем. Это могут быть архивные выписки об учёте в наркологических учреждениях или участие кандидата в публичных чатах соответствующей тематики. Сами исполнители оговаривают, что утверждать по таким признакам ничего не могут. Для работодателя сведения о здоровье — специальная категория. Опираться на такие сведения в решении о найме можно только в части, которая относится к возможности выполнять трудовую функцию.
Перед утверждением анкеты кандидата или личной карточки сверьте каждое поле с таблицей. Поле, которому нельзя сопоставить цель из статьи 86 ТК РФ, удаляется.
Согласие на обработку персональных данных: когда нужно и что в нём указать
С 01.09.2025 согласие оформляется отдельно от иных информации и документов. Это требование части 1 статьи 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ. Пункт о согласии внутри трудового договора, анкеты или заявления о приёме этому требованию не отвечает.
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Письменное согласие по части 4 статьи 9 содержит:
- фамилию, имя, отчество, адрес и паспортные данные субъекта;
- наименование и адрес оператора;
- цель обработки;
- перечень персональных данных;
- лицо, которое обрабатывает данные по поручению оператора, если обработка ему поручена;
- перечень действий с данными и способы обработки;
- срок действия согласия и способ его отзыва;
- подпись субъекта.
Таблица показывает, в каких кадровых ситуациях согласие нужно, а в каких основание даёт закон или договор.
| Ситуация | Согласие | Основание и условие |
|---|---|---|
| Трудовой договор, начисление зарплаты, сведения в ФНС, СФР, военкомат | Не требуется | п. 2 и п. 5 ч. 1 ст. 6 152-ФЗ; передаются только данные, предусмотренные нормой |
| Рассмотрение кандидата до решения о найме | Требуется | Исключение — резюме, которое кандидат сам разместил в интернете в общем доступе (разъяснение Роскомнадзора) |
| Проверка кандидата внешней службой безопасности | Требуется до передачи данных исполнителю | п. 3 ст. 86 ТК РФ, 152-ФЗ |
| Сообщение сведений о работнике третьей стороне | Требуется письменное | ст. 88 ТК РФ; без согласия — при угрозе жизни и здоровью и в случаях по ТК РФ и федеральным законам |
| Передача данных в коммерческих целях | Требуется письменное | ст. 88 ТК РФ |
| Кадровые документы у внешнего провайдера КЭДО | Требуется на передачу третьим лицам | В согласии называется лицо, которое обрабатывает данные по поручению оператора (ч. 4 ст. 9 152-ФЗ) |
Согласие должно быть конкретным и предметным. Поэтому каждая строка, где согласие требуется, получает свою цель и свой перечень данных.
Работник вправе потребовать прекратить обработку. Оператор прекращает её в течение 10 рабочих дней (часть 5.1 статьи 21 152-ФЗ). Срок можно продлить не более чем на 5 рабочих дней, если направить работнику мотивированное уведомление. Отзыв не останавливает обработку, для которой закон даёт самостоятельное основание: данные для расчёта зарплаты и отчётности работодатель обрабатывает дальше.
Соберите согласие на обработку персональных данных по 152-ФЗ
В сервисе Добыто конструктор формирует согласие отдельным файлом .docx с целями, сроком и оговоркой об отзыве. Перечень данных и получателей под конкретную цель кадровик сверяет со списком части 4 статьи 9.
Образцы согласий и правил обработки персональных данных для кадровой службы
Начните с правил обработки персональных данных: на них опираются согласия, анкета кандидата и согласие на проверку.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Анкета кандидата для службы безопасности | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
Кандидаты и проверка службой безопасности: границы сбора данных
По разъяснению Роскомнадзора согласие кандидата нужно на весь период, пока работодатель принимает решение о найме. Без согласия можно обрабатывать только резюме, которое кандидат сам разместил в интернете в общем доступе. Если резюме пришло на электронную почту, работодатель подтверждает, что его прислал сам кандидат. Универсального правила для резюме, присланного самим соискателем, разъяснение не содержит. При отказе в приёме сведения уничтожаются в течение 30 дней, для государственной службы срок составляет 3 года.
Отказ по итогам проверки остаётся под действием части 1 статьи 64 ТК РФ, которая запрещает необоснованный отказ в приёме на работу. Справку о судимости работодатель вправе требовать только для работ с законным запретом. Пример — часть работ с несовершеннолетними по статье 351.1 ТК РФ, где тоже есть исключения.
Внешняя служба безопасности проверяет кандидата по базовому набору: судимость, административные правонарушения, задолженности по налогам и перед банками, исполнительные производства ФССП, розыск МВД, действительность паспорта и водительского удостоверения. Отдельно проверяется аффилированность кандидата и его родственников с другими бизнесами. Персональные данные для проверки — ФИО, дату рождения, ИНН, паспортные данные — передаёт заказчик. Он получает их у кандидата вместе с согласием на обработку.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Факт: внешняя служба безопасности работает как оператор персональных данных с уведомлением Роскомнадзора и продолжает проверку, только убедившись, что заказчик получил согласие кандидата. По истечении определённого срока после передачи отчёта исполнитель удаляет данные, и сведения остаются только у заказчика.
Важный нюанс из практики: способ передачи данных кандидатов внешней службе безопасности согласуется при заключении договора. На практике используют защищённую почту, съёмные носители и мессенджеры, а доступ ограничивают представителем заказчика и исполнителем. Канал и круг лиц с доступом закрепляются в договоре, потому что через этот канал проходят персональные данные.
Автоматизированная выдача не заменяет проверку. Пункт 6 статьи 86 ТК РФ запрещает основывать решения, затрагивающие работника, на данных, полученных исключительно в результате автоматизированной обработки или электронного получения.
Кейс из практики: автоматизированный сервис выдал человеку сводку штрафов на 100 000 рублей. При проверке фотофиксации выяснилось, что на снимках чужой автомобиль: сервис собрал штрафы всех полных тёзок по России. Сверка по первичным материалам исключила из сводки 100 000 рублей чужих штрафов.
Мария Ж, HR-эксперт с 13-летним стажем: «В автоматизированных сервисах проверки много нестыковок: совпадения по датам, по однофамильцам, ошибка в одной букве фамилии. Из-за них кандидату приписывается чужая история. Заключение службы безопасности носит рекомендательный характер, решение о найме принимает работодатель. Если в отчёте есть стоп-фактор, уточните спорный момент у кандидата на личном собеседовании, прежде чем отказывать.»
До передачи данных подрядчику проверьте два документа: подписанное согласие кандидата на проверку и запись об исполнителе в реестре операторов Роскомнадзора.
КЭДО, облачные сервисы и подрядчики: когда появляется третье лицо
Статьи 22.1-22.3 ТК РФ о КЭДО введены Федеральным законом от 22.11.2021 № 377-ФЗ. Согласие работника на взаимодействие через КЭДО по статье 22.2 ТК РФ и согласие на обработку персональных данных по 152-ФЗ — разные документы. Согласие по статье 22.2 касается способа обмена документами. Согласие по 152-ФЗ подтверждает основание обработки. КЭДО само по себе основания для обработки не создаёт. Отдельного согласия по 152-ФЗ оно не требует, если обработка необходима для трудовых отношений.
Если документы хранятся у внешнего провайдера, круг лиц с доступом к данным расширяется. В облачной системе кадровые документы получает провайдер. При аренде серверов к ним добавляется владелец инфраструктуры, при выпуске подписей сторонним удостоверяющим центром — этот центр. Каждый из них — третье лицо, и передача ему данных должна опираться на согласие работника. В таком согласии называется лицо, которое обрабатывает данные по поручению оператора (часть 4 статьи 9 152-ФЗ).
Мария Ж, специалист по цифровой подписи и КЭДО: «Кадровые документы содержат чувствительные сведения о семье, здоровье и доходах. Поэтому выбор облачной системы — решение и техническое, и юридическое. Вместе с ним появляется обязанность собрать согласия на передачу данных и объяснить людям, кому именно они уходят. Запросите у вендора полный список лиц с доступом к данным: общая фраза о защищённом хранении на этот вопрос не отвечает. Как правило, в списке три компании: провайдер, владелец инфраструктуры и удостоверяющий центр.»
Часть 5 статьи 18 152-ФЗ требует локализации. Записывать, систематизировать, накапливать, хранить, уточнять и извлекать персональные данные граждан РФ нужно с использованием баз данных в России, хотя закон предусматривает исключения. С 01.03.2023 перед трансграничной передачей оператор подаёт в Роскомнадзор отдельное уведомление (часть 3 статьи 12).
Лайфхак: до подключения системы запросите у вендора письменные ответы на четыре вопроса. Где физически хранятся данные? Кто получает к ним доступ? Есть ли разграничение доступа по ролям и журнал обращений? В каком виде отдаётся архив при расторжении договора?
Платформа Добыто соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ. Компаниям, которым нужен контроль над инфраструктурой, на тарифе «Корпорация» доступен выделенный сервер.
Сверьте действующее согласие со списком подрядчиков, которым фактически уходят кадровые данные. Каждый получатель должен быть назван в согласии.
Хранение, доступ и уничтожение персональных данных работников
Порядок хранения и использования данных работников устанавливает сам работодатель с соблюдением ТК РФ и федеральных законов (статья 87 ТК РФ). Доступ к данным получают только специально уполномоченные лица (статья 88). Требование касается и кадровой службы: сотрудник работает с теми данными, доступ к которым ему предоставил работодатель, и в объёме своих задач.
Мария Ж, судебный эксперт по трудовому праву: «Когда вся кадровая служба имеет доступ ко всему кадровому массиву, это типовая ситуация и типовое нарушение. Требование разграничения доступа одинаково действует для бумажного архива и для электронной системы. В системе его реализуют шифрованием: трудовой договор шифруется так, чтобы открыть его могли только ответственный сотрудник отдела кадров и сам работник. Проверьте, у кого из кадровиков сейчас есть доступ к договорам всех работников.»
После достижения цели обработки данные уничтожаются в течение 30 дней (часть 4 статьи 21 152-ФЗ), если закон не даёт основания продолжать обработку. Для кадровых документов таким основанием служат архивные сроки по Приказу Росархива от 20.12.2019 № 236. Личные дела, завершённые до 01.01.2003, хранятся 75 лет, а завершённые после этой даты — 50 лет (статья 445 Перечня).
При неправомерной или случайной передаче данных оператор дважды уведомляет Роскомнадзор (часть 3.1 статьи 21, введена 266-ФЗ). Об инциденте сообщают в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов.
Полезно знать: при проверке, споре или смене оператора КЭДО запрашивают файлы документов. Проверьте, выгружает ли система комплект целиком: документ, отдельный файл подписи и машиночитаемую доверенность, если документ подписан по доверенности.
В Добыто электронный архив входит в тариф «Бизнес», а модуль для 1С:ЗУП автоматически синхронизирует документы с учётной системой.
Как выстроить обработку персональных данных работников: пошаговая инструкция
- Шаг 1. Составьте перечень данных по каждой категории субъектов — работникам и кандидатам. Соотнесите каждое поле с целями пункта 1 статьи 86 ТК РФ и исключите поля без цели.
- Шаг 2. Разделите основания обработки. Обработку по закону и трудовому договору (пункты 2 и 5 части 1 статьи 6 152-ФЗ) ведите без согласия. Для передачи данных третьей стороне, проверки службой безопасности и работы внешнего провайдера соберите отдельные согласия.
- Шаг 3. Издайте политику и ЛНА по статье 18.1 152-ФЗ. Укажите в них цели, категории данных, сроки, порядок уничтожения и меры контроля. Если данные собираются через сайт, опубликуйте политику.
- Шаг 4. Подайте уведомление в Роскомнадзор до начала обработки (часть 1 статьи 22). Перед трансграничной передачей подайте отдельное уведомление (часть 3 статьи 12).
- Шаг 5. Ознакомьте работников под роспись с документами о порядке обработки, их правах и обязанностях (пункт 8 статьи 86 ТК РФ). При КЭДО ознакомление идёт по правилам статей 22.1-22.3.
- Шаг 6. Назначьте лиц с доступом и разграничьте права так, чтобы каждый работал только с данными своего участка (статья 88 ТК РФ).
- Шаг 7. Закрепите сроки в ЛНА:
- уничтожение данных — в течение 30 дней после достижения цели;
- ответ на запрос субъекта — 10 рабочих дней;
- уведомление Роскомнадзора об инциденте — 24 часа, о результатах расследования — 72 часа.
Персональные данные и коммерческая тайна: два разных режима
Персональные данные входят в Перечень сведений конфиденциального характера, утверждённый Указом Президента РФ от 06.03.1997 № 188 (пункт 1 Перечня). Коммерческая тайна указана в том же Перечне отдельной позицией. Обязанности по защите данных работников возникают из 152-ФЗ и статей 86-90 ТК РФ независимо от того, ввёл ли работодатель режим коммерческой тайны.
Режим коммерческой тайны возникает только после того, как приняты меры охраны по части 1 статьи 10 Федерального закона от 29.07.2004 № 98-ФЗ:
- определён перечень информации;
- ограничен доступ к ней;
- ведётся учёт лиц, получивших доступ;
- урегулированы отношения с работниками и контрагентами;
- на носители нанесён гриф «Коммерческая тайна» с указанием обладателя.
Работника знакомят под расписку с перечнем, режимом и мерами ответственности и создают условия для соблюдения режима (часть 1 статьи 11 98-ФЗ). В трудовой договор можно включить условие о неразглашении охраняемой законом тайны (часть 4 статьи 57 ТК РФ).
Разглашение охраняемой законом тайны, в том числе персональных данных другого работника, — основание для увольнения по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ. Для коммерческой тайны работодатель доказывает, что режим установлен, сведения внесены в перечень, а работник с ним ознакомлен. Если увольнение за разглашение может понадобиться, заранее проверьте подпись работника на листе ознакомления.
Ответственность работодателя: штрафы по статье 13.11 КоАП и другие последствия
С 30.05.2025 действуют штрафы в редакции Федерального закона от 30.11.2024 № 420-ФЗ. В таблице — суммы для юридических лиц.
| Нарушение | Часть ст. 13.11 КоАП РФ | Штраф для юрлица |
|---|---|---|
| Обработка без требуемого письменного согласия | ч. 2 | от 300 000 до 700 000 руб. |
| То же, повторно | ч. 2.1 | от 1 000 000 до 1 500 000 руб. |
| Неуведомление Роскомнадзора о намерении обрабатывать данные | ч. 10 | от 100 000 до 300 000 руб. |
| Неуведомление об утечке | ч. 11 | от 1 000 000 до 3 000 000 руб. |
| Утечка: от 1 000 до 10 000 субъектов или от 10 000 до 100 000 идентификаторов | ч. 12-14 | от 3 000 000 до 5 000 000 руб. |
| Утечка: от 10 000 до 100 000 субъектов или от 100 000 до 1 000 000 идентификаторов | ч. 12-14 | от 5 000 000 до 10 000 000 руб. |
| Утечка свыше этих порогов | ч. 12-14 | от 10 000 000 до 15 000 000 руб. |
| Повторные нарушения в случаях, установленных законом | ч. 15, ч. 18 | 1-3% выручки: по ч. 15 не менее 20 000 000 и не более 500 000 000 руб., по ч. 18 не менее 25 000 000 и не более 500 000 000 руб. |
Оборотный штраф назначается только за повторные нарушения в случаях, прямо названных в частях 15 и 18. К любой утечке он не применяется.
Ошибка в оформлении согласия обходится дороже переоформления документа. Пункт о согласии в трудовом договоре, подписанном после 01.09.2025, не отвечает требованию об отдельном документе. Если обработка требовала согласия, она становится обработкой без требуемого согласия по части 2.
Кроме КоАП, статья 90 ТК РФ предусматривает для виновных лиц дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность. С принятием Федерального закона от 30.11.2024 № 421-ФЗ в УК РФ появилась статья 272.1. Она касается незаконных использования, передачи, сбора и хранения компьютерной информации с персональными данными. Часть 2 этой статьи охватывает в том числе специальные категории и биометрические данные. Чтобы оценить свои риски, сопоставьте каждую строку таблицы с фактическим состоянием документов: согласия, уведомления, порядка реагирования на инциденты.
Тарифы и стоимость КЭДО для кадровых документов с персональными данными
Стоимость КЭДО в Добыто зависит от численности сотрудников, нужных видов подписи и требований к инфраструктуре. В тарифах используются три вида электронной подписи:
- простая (ПЭП);
- усиленная неквалифицированная (УНЭП);
- усиленная квалифицированная (УКЭП).
Цены приведены по странице тарифов на 11.10.2026.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, поддержка по email | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченное число сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, приоритетная поддержка, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Корпорация»: всё из «Бизнес», выделенный сервер, SLA 99,9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
| ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входят в тариф |
| УКЭП для сотрудников через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма зависит от числа сотрудников и выбранного тарифа. На тарифе «Бизнес» минимальная оплата — 50 сотрудников за 30 000 ₽ в год. При повышении тарифа разница пересчитывается пропорционально оставшемуся периоду. Действующие условия опубликованы на странице тарифов Добыто КЭДО.
Выводы
Граница обработки определяется основанием. Если оно есть в законе или трудовом договоре, работодатель обрабатывает данные без согласия, но в пределах цели и в минимальном объёме. Если основания нет, нужно отдельное письменное согласие с полным набором реквизитов по 152-ФЗ. Убеждения, интимная жизнь, профсоюзная деятельность и здоровье сверх трудовой функции под запретом. Каждый подрядчик и облачный провайдер добавляет третье лицо, которое должно быть названо в согласии. Уведомление Роскомнадзора, ЛНА с разграничением доступа и сроки уничтожения закрывают основные риски по статье 13.11 КоАП.
В практике Добыто кадровые документы с персональными данными проходят через КЭДО с разграничением доступа, электронным архивом и согласиями, собранными отдельными документами. Компания, которая переводит кадровый документооборот в электронный вид, может сразу заложить эти требования в маршруты подписания.
Частые вопросы об обработке персональных данных работодателем
Сколько хранить согласие на обработку персональных данных после увольнения или отзыва?
Согласие хранится 3 года после истечения срока его действия или после отзыва, если иное не предусмотрено. Это статья 441 Перечня, утверждённого Приказом Росархива от 20.12.2019 № 236. Срок отсчитывается от даты отзыва или окончания действия согласия. Дата подписания и дата увольнения на отсчёт не влияют. Для личных дел действуют отдельные сроки: 50 или 75 лет по статье 445 того же Перечня.
В какой срок работодатель отвечает на запрос работника о его персональных данных?
По статье 89 ТК РФ работник вправе получить полную информацию о своих данных, бесплатный доступ к ним и копии записей. Он может потребовать исправить или исключить неверные данные и обжаловать действия работодателя. На запрос оператор отвечает в течение 10 рабочих дней (статья 14 152-ФЗ). Срок можно продлить не более чем на 5 рабочих дней, если направить работнику мотивированное уведомление о причинах.
Можно ли вести видеонаблюдение за работниками и считается ли запись биометрией?
Видеонаблюдение разрешено для контроля количества и качества работы и сохранности имущества (пункт 1 статьи 86 ТК РФ). Работников заранее уведомляют и знакомят под роспись с ЛНА, где указаны цели, зоны наблюдения, сроки хранения записей и круг лиц с доступом. Запись становится биометрией по статье 11 152-ФЗ, только если оператор использует её для установления личности. Тогда нужно письменное согласие. Без идентификации запись обрабатывается как обычные персональные данные.
Нужно ли уведомлять Роскомнадзор, если кадровый учёт ведётся только на бумаге?
После поправок Федерального закона № 266-ФЗ, вступивших в силу 01.09.2022, исключение из части 1 статьи 22 152-ФЗ сохранилось для исключительно неавтоматизированной обработки. Это исключение не действует, если хотя бы часть данных работников обрабатывается в учётной программе или в КЭДО. Расчёт зарплаты в программе при бумажных личных делах уже не даёт оснований считать обработку исключительно неавтоматизированной.
Можно ли передать данные работника банку по зарплатному проекту без его согласия?
Нет. Передача данных в банк для оформления зарплатной карты требует письменного согласия работника. ТК РФ не обязывает работодателя передавать данные банку, и работник вправе сам выбрать банк для получения зарплаты: такую позицию занимают Роскомнадзор и Роструд. Если согласия нет, работник сообщает реквизиты выбранного им банка, а данные в банк по зарплатному проекту не передаются.
Нужно ли отдельное согласие, чтобы разместить фото работника на сайте компании?
Да. Публикация на сайте — распространение персональных данных. С 01.03.2021 на неё по статье 10.1 152-ФЗ (введена Федеральным законом от 30.12.2020 № 519-ФЗ) оформляется согласие на распространение, отдельное от иных согласий. Дополнительно действует статья 152.1 ГК РФ об охране изображения гражданина. Согласие на обработку данных для трудового договора публикацию не покрывает.
