Обработка персональных данных в кадровых процессах компании — это любые действия работодателя с данными кандидатов и работников: сбор, запись, хранение, использование, передача, обезличивание, блокирование, удаление и уничтожение по статье 3 152-ФЗ. Работодатель при этом становится оператором: до начала обработки подаёт уведомление в Роскомнадзор, назначает ответственного, утверждает политику и локальные акты, а сведения получает у самого работника. Обработка в объёме и для целей трудового законодательства идёт без отдельного согласия, а рассмотрение резюме соискателя, передача сведений третьим лицам и их распространение требуют согласия, оформленного отдельным документом.
Материал раскладывает кадровый цикл по операциям: что работодатель делает по закону, где нужно согласие на обработку персональных данных и какие реквизиты в нём обязательны по части 4 статьи 9 152-ФЗ, какие сведения собирать нельзя вовсе и где проходит граница с коммерческой тайной. Отдельно разобраны сроки: 10 рабочих дней на ответ работнику, 30 дней на уничтожение данных, 24 и 72 часа на уведомление об утечке. Штрафы по статье 13.11 КоАП в редакции 2025 года, образцы согласий, стоимость КЭДО и ответы на частые вопросы — во второй половине статьи.
Из каких действий состоит обработка персональных данных в кадровых процессах
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» называет обработкой любое действие с данными, совершаемое с использованием средств автоматизации или без них. Оператором закон считает лицо, которое определяет цели обработки, состав данных и операции с ними. В кадровой работе это работодатель: именно он решает, какие сведения запрашивать в анкете, в какую систему их вносить, кому и зачем передавать. Кадровое агентство, аутсорсинговая бухгалтерия или сервис КЭДО обрабатывают данные по поручению оператора, но ответственность перед работником и Роскомнадзором остаётся на работодателе.
Каждое из действий, перечисленных в статье 3 152-ФЗ, в кадровом цикле имеет своё место и своё правило.
| Действие по статье 3 152-ФЗ | Где встречается в кадровом процессе | Какое правило применяется |
|---|---|---|
| Сбор | Резюме, анкета кандидата, документы при приёме | Данные получают у самого работника; у третьей стороны — только после уведомления работника и с его письменного согласия (пункт 3 статьи 86 ТК РФ) |
| Запись, систематизация, накопление | Внесение данных в учётную систему, личную карточку, кадровую базу | С 1 июля 2025 года запись и хранение данных граждан РФ в базах за пределами России запрещены (часть 5 статьи 18 152-ФЗ) |
| Хранение | Личные дела, личные карточки, электронный архив | Порядок хранения устанавливает работодатель (статья 87 ТК РФ); личные дела и карточки хранятся 50/75 лет по приказу Росархива от 20.12.2019 № 236 |
| Использование | Расчёт зарплаты, кадровые решения, отчётность | Решения, затрагивающие интересы работника, нельзя принимать на основании исключительно автоматизированной обработки (пункт 6 статьи 86 ТК РФ) |
| Передача (предоставление, доступ) | Банк, страховая, подрядчик, другие подразделения | Третьей стороне — только с письменного согласия, кроме угрозы жизни и здоровью и случаев, установленных федеральным законом (статья 88 ТК РФ) |
| Распространение | ФИО и фото на сайте, в соцсетях, на доске почёта | Отдельное согласие на распространение, в котором работник вправе установить запреты и условия (статья 10.1 152-ФЗ) |
| Блокирование, удаление, уничтожение | Отказ кандидату, отзыв согласия, истечение сроков хранения | Уничтожение в течение 30 дней после достижения цели (статья 21 152-ФЗ); факт уничтожения подтверждают актом по приказу Роскомнадзора от 28.10.2022 № 179 |
Из таблицы видно, что в кадровом цикле нет нейтральных операций: даже пересылка анкеты в соседнее подразделение по почте или выгрузка табеля в облачную таблицу считается обработкой. Проверить собственный процесс проще всего так: выписать, куда физически попадают данные кандидата от отклика до увольнения, и сопоставить каждую точку со строкой таблицы.
Какие сведения работодатель не вправе получать и обрабатывать
Статья 86 ТК РФ ограничивает состав данных ещё до того, как встаёт вопрос о согласии. Работодатель не вправе получать и обрабатывать сведения о политических и религиозных убеждениях работника, его частной жизни и членстве в общественных объединениях, кроме случаев, прямо установленных законом. Согласие работника эти запреты не снимает: вопрос о вероисповедании в анкете остаётся незаконным, даже если кандидат подписал согласие на обработку всех указанных в ней сведений.
Второе ограничение касается решений. Отказ в приёме, перевод, лишение премии по итогам автоматического скоринга без участия человека пункт 6 статьи 86 ТК РФ не допускает. Если в компании работает автоматическая оценка резюме или тестирование, итоговое решение по кандидату должен подписывать конкретный сотрудник. Проверка проста: возьмите анкету кандидата и шаблон личной карточки и уберите из них каждое поле, которое не нужно для трудового договора, расчёта зарплаты или обязательной отчётности.
Когда нужно согласие на обработку персональных данных, а когда нет
Пункт 2 части 1 статьи 6 152-ФЗ разрешает обрабатывать данные без согласия, если это необходимо для исполнения обязанностей, возложенных на оператора законом. Роскомнадзор разъясняет: обработка данных работника в объёме и для целей, предусмотренных трудовым законодательством, отдельного согласия не требует. Требовать с каждого нового сотрудника подпись под согласием «на всё» не нужно, а вот любая операция за пределами ТК РФ, налоговой и пенсионной отчётности требует отдельного основания.
| Ситуация в кадровом процессе | Письменное согласие | Основание |
|---|---|---|
| Оформление приёма, ведение личного дела, расчёт зарплаты, обязательная отчётность | не нужно | пункт 2 части 1 статьи 6 152-ФЗ, разъяснение Роскомнадзора |
| Рассмотрение резюме соискателя | нужно, на период до решения о найме или отказе | разъяснение Роскомнадзора |
| Проверка кандидата службой безопасности | нужно | статья 9 152-ФЗ, пункт 3 статьи 86 ТК РФ |
| Запрос сведений о работнике у третьей стороны, например у прежнего работодателя | нужно, плюс предварительное уведомление работника | пункт 3 статьи 86 ТК РФ |
| Передача данных третьему лицу вне случаев, установленных федеральным законом | нужно | статья 88 ТК РФ |
| Передача при угрозе жизни и здоровью работника | не нужно | статья 88 ТК РФ |
| Публикация ФИО, должности и фото на сайте или в соцсетях | нужно отдельное согласие на распространение | статья 10.1 152-ФЗ |
Граница проходит по цели, а не по виду данных: один и тот же номер телефона работника обрабатывается без согласия для табельного учёта и требует согласия, если его передают организатору корпоративного мероприятия. Получив данные о работнике от третьего лица, работодатель по статье 88 ТК РФ также обязан предупредить получателя, что сведения можно использовать только в заявленных целях.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Важный нюанс из практики: согласие соискателя Роскомнадзор связывает с конкретной целью — рассмотрением кандидатуры. После решения о найме или отказе цель достигнута, и резюме отклонённого кандидата подлежит уничтожению в течение 30 дней по статье 21 152-ФЗ. Чтобы оставить человека в кадровом резерве, нужна отдельная цель в согласии и отдельный срок.
Внимание: без подписанного кандидатом согласия проверка его персональных данных службой безопасности неправомерна, даже если она ограничена открытыми источниками.
Границы законной проверки кандидата удобно держать перед глазами при подготовке анкеты и формы согласия: что допустимо с согласия, что без него недопустимо и где начинаются спорные зоны.
Что обязательно указать в согласии на обработку персональных данных
С 1 сентября 2025 года Федеральный закон от 24.06.2025 № 156-ФЗ закрепил в части 1 статьи 9 152-ФЗ требование: согласие оформляется отдельно от иной информации и документов, которые человек подтверждает или подписывает. Пункт о согласии внутри трудового договора, анкеты или заявления о приёме это требование не выполняет. Если закон требует письменной формы, согласие по части 4 статьи 9 152-ФЗ должно содержать:
- Фамилию, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе.
- Те же сведения о представителе и реквизиты документа, подтверждающего его полномочия, если согласие даёт представитель.
- Наименование или ФИО и адрес оператора.
- Цель обработки персональных данных.
- Перечень персональных данных, на обработку которых даётся согласие.
- Наименование или ФИО и адрес лица, обрабатывающего данные по поручению оператора, если обработка ему поручена.
- Перечень действий с данными и общее описание способов обработки.
- Срок действия согласия и способ его отзыва.
- Подпись субъекта персональных данных.
Пункт 6 чаще всего пропускают в компаниях, где расчёт зарплаты или подбор отданы на аутсорсинг: подрядчик не указан, и согласие не покрывает его участие в обработке. Сверьте действующий бланк на обработку персональных данных с этим перечнем построчно; отсутствие любого реквизита делает согласие дефектным.
Лайфхак: при подготовке согласия начинайте с трёх элементов, на которых держится его законность: конкретные цели, срок действия и оговорка о порядке отзыва по 152-ФЗ. Реквизиты сторон заполняются потом.
Соберите согласие на обработку персональных данных по своему процессу
В сервисе Добыто конструктор формирует согласие в формате .docx с целями, сроком и оговоркой об отзыве по 152-ФЗ; понадобятся реквизиты организации и перечень целей обработки.
Что работодатель как оператор персональных данных обязан сделать до начала обработки
С 1 сентября 2022 года исключение, которое освобождало работодателей от уведомления Роскомнадзора при обработке данных по трудовому законодательству, отменено: пункты 1-6 части 2 статьи 22 152-ФЗ утратили силу после поправок 266-ФЗ. Уведомление подаётся до начала обработки. Без него обходится только оператор, который обрабатывает данные исключительно без средств автоматизации, а для компании с 1С, кадровой программой или КЭДО это исключение не работает. Форма доступна на портале персональных данных Роскомнадзора, там же можно найти свою организацию в реестре операторов и проверить, какие цели и категории данных были заявлены ранее.
Неподача или просрочка уведомления с 30 мая 2025 года обходится юридическому лицу в штраф от 100 000 до 300 000 рублей по части 10 статьи 13.11 КоАП РФ. Если уведомление подано давно, а состав обработки изменился (появился КЭДО, подрядчик по расчёту зарплаты, видеонаблюдение), сведения в реестре нужно актуализировать.
Статья 18.1 152-ФЗ добавляет к уведомлению обязательный организационный минимум: назначить ответственного за организацию обработки, утвердить политику и локальные акты, оценить вред, который может быть причинён субъектам, ознакомить работников, непосредственно обрабатывающих данные, с требованиями закона и локальными актами и организовать их обучение. Для информационных систем, где хранятся кадровые данные, статья 19 требует определить угрозы безопасности; уровни защищённости установлены постановлением Правительства РФ от 01.11.2012 № 1119, состав мер — приказом ФСТЭК России от 18.02.2013 № 21.
Как выстроить обработку персональных данных работников: пошаговая инструкция
- Шаг 1. Выпишите кадровые процессы (подбор, приём, учёт рабочего времени, расчёт зарплаты, обучение, увольнение) и для каждого определите цель обработки, перечень данных и операции с ними.
- Шаг 2. Отделите процессы, которые идут по ТК РФ и налоговому законодательству, от процессов, где нужно согласие: подбор, проверка кандидатов, передача третьим лицам, публикация данных.
- Шаг 3. Назначьте приказом ответственного за организацию обработки, утвердите политику и положение о персональных данных, опубликуйте политику.
- Шаг 4. Подайте уведомление в Роскомнадзор до начала обработки или актуализируйте сведения, если состав обработки изменился.
- Шаг 5. Определите актуальные угрозы и уровень защищённости информационных систем по постановлению Правительства РФ № 1119 и подберите меры по приказу ФСТЭК № 21.
- Шаг 6. Ознакомьте под подпись сотрудников, которые работают с кадровыми данными, с локальными актами и проведите обучение.
- Шаг 7. Подготовьте отдельные формы согласий: соискателя, на проверку, на передачу третьим лицам, на распространение.
- Шаг 8. Закрепите в положении сроки: ответ на запрос работника, уничтожение данных, уведомление Роскомнадзора об инциденте, порядок составления актов об уничтожении.
Образцы согласий и правил обработки персональных данных
Начните с правил обработки персональных данных: по ним видно, какие согласия и формы нужны именно вашей компании.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных (образец локального акта, .pdf) | Скачать |
| Согласие на обработку персональных данных (образец, .docx) | Скачать |
| Согласие кандидата на проверку службой безопасности (образец, .docx) | Скачать |
Персональные данные работников и коммерческая тайна: где граница
Персональные данные защищены законом независимо от того, ввела ли компания режим коммерческой тайны. Коммерческая тайна по Федеральному закону от 29.07.2004 № 98-ФЗ возникает только тогда, когда обладатель информации сам установил режим: определил перечень сведений, ограничил и учитывает доступ к ним, урегулировал отношения с работниками и контрагентами и нанёс на носители гриф «Коммерческая тайна» (статья 10). Без этих мер разглашение технологии или клиентской базы не считается разглашением коммерческой тайны, а разглашение данных работника нарушением остаётся.
Статья 5 98-ФЗ прямо запрещает относить к коммерческой тайне часть кадровых сведений: о численности и составе работников, системе оплаты труда, условиях труда, охране труда, производственном травматизме и профзаболеваемости, наличии свободных рабочих мест, задолженности по зарплате и социальным выплатам. Если в перечне сведений, составляющих коммерческую тайну, стоит «фонд оплаты труда» или «штатная численность», такой пункт не действует, и ссылаться на него при отказе в предоставлении информации проверяющим нельзя.
Для работника последствия обоих режимов сходятся в одной норме. Подпункт «в» пункта 6 части 1 статьи 81 ТК РФ разрешает увольнение за однократное грубое нарушение — разглашение охраняемой законом тайны, ставшей известной в связи с работой, в том числе персональных данных другого работника. По коммерческой тайне есть дополнительное условие: по статье 11 98-ФЗ работодатель обязан под расписку ознакомить работника с перечнем сведений, режимом и ответственностью. Без этой расписки уволить сотрудника за разглашение коммерческой тайны не получится. Статья 90 ТК РФ отдельно устанавливает для нарушителей правил обработки персональных данных дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Практический вывод для кадровой службы: обязательство о неразглашении и лист ознакомления с перечнем сведений нужны тем, кто работает с личными делами, расчётными листками и кадровой базой, независимо от того, введена ли в компании коммерческая тайна.
Хранение, ответы на запросы работника и уничтожение персональных данных
Срок обработки кадровых данных определяется не сроком действия согласия, а целью и архивным законодательством. Личные дела и личные карточки работников по перечню, утверждённому приказом Росархива от 20.12.2019 № 236, хранятся 50 лет для документов, оконченных делопроизводством после 1 января 2003 года, и 75 лет для более ранних. Электронная форма срок не сокращает: статья 22.1 ТК РФ включает хранение в понятие КЭДО, но собственного срока не устанавливает, поэтому действуют архивные сроки для вида документа.
| Событие | Срок | Норма |
|---|---|---|
| Ответ на запрос работника о его данных и их обработке | 10 рабочих дней, продление не более чем на 5 рабочих дней с мотивированным уведомлением | статьи 14 и 20 152-ФЗ |
| Уничтожение данных после достижения цели обработки | 30 дней | часть 4 статьи 21 152-ФЗ |
| Уничтожение после отзыва согласия, если иного законного основания нет | 30 дней | часть 5 статьи 21 152-ФЗ |
| Уведомление Роскомнадзора об инциденте с данными | 24 часа — первичное, 72 часа — о результатах внутреннего расследования | часть 3.1 статьи 21 152-ФЗ |
| Хранение акта об уничтожении и выгрузки из журнала | 3 года | приказ Роскомнадзора от 28.10.2022 № 179 |
| Хранение личных дел и личных карточек работников | 50/75 лет | приказ Росархива от 20.12.2019 № 236 |
Самый короткий срок в таблице — 24 часа на уведомление об инциденте, и он отсчитывается с момента, когда факт утечки установлен, а не с момента окончания расследования. Поэтому порядок действий при инциденте и ответственного за отправку уведомления лучше закрепить в положении о персональных данных заранее.
Права работника, которым соответствуют эти сроки, перечислены в статье 89 ТК РФ: бесплатно получать полную информацию о своих данных и их обработке, получать копии записей, требовать исключения или исправления неверных и неполных сведений, обжаловать неправомерные действия работодателя. Отзыв согласия не останавливает обработку, которая идёт по ТК РФ и налоговому законодательству: личное дело уволенного работника хранится весь архивный срок.
Уничтожение по приказу Роскомнадзора № 179 оформляется по-разному в зависимости от способа обработки. Бумажные данные уничтожают с составлением акта; при автоматизированной обработке к акту добавляется выгрузка из журнала регистрации событий информационной системы. Проверьте, умеет ли ваша кадровая программа формировать такую выгрузку: без неё подтвердить уничтожение электронных данных нечем.
Как персональные данные обрабатываются в КЭДО
Статья 22.1 ТК РФ, введённая Федеральным законом от 22.11.2021 № 377-ФЗ, определяет КЭДО как создание, подписание, использование и хранение электронных документов, связанных с работой. Перевод кадровых документов в электронный вид не создаёт отдельного режима для персональных данных: действуют те же цели, основания и сроки, что и на бумаге. Меняется техническая часть: данные проходят через учётную запись сотрудника, канал обмена, средство электронной подписи и электронный архив, и каждый из этих элементов входит в периметр защиты оператора.
Полезно знать: требования к технической реализации КЭДО охватывают четыре узла: аутентификацию через ЕСИА, Госуслуги и Госключ, обмен персональными данными по зашифрованному каналу, подписание усиленной электронной подписью и хранение документов.
Требование 156-ФЗ об отдельном согласии действует и в электронной форме. Если закон требует письменного согласия, его электронный аналог — отдельный электронный документ, подписанный электронной подписью; галочка в общем пакете документов при приёме это требование не выполняет. Госуслуги 156-ФЗ как особый канал дачи согласия не вводит, поэтому электронное согласие подписывается по общим правилам статьи 9 152-ФЗ.
В Добыто ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, поэтому согласие на обработку подписывается тем же инструментом, что и остальные кадровые документы, отдельным документом в маршруте. Готовый модуль для 1С:ЗУП синхронизирует документы автоматически: кадровые данные не приходится переносить между системами вручную, по почте или через файлы .xlsx, а каждая такая пересылка была бы отдельной передачей данных.
Ответственность за нарушения: штрафы Роскомнадзора и цена ошибки
С 30 мая 2025 года статья 13.11 КоАП РФ действует в редакции Федерального закона от 30.11.2024 № 420-ФЗ. Штрафы для юридических лиц выросли, а за утечки появились отдельные составы, размер которых зависит от числа затронутых субъектов.
| Нарушение | Часть статьи 13.11 КоАП | Штраф для юрлица |
|---|---|---|
| Обработка в случаях, не предусмотренных законодательством | ч. 1 | 150 000-300 000 руб. |
| Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к его содержанию | ч. 2 | 300 000-700 000 руб. |
| Неопубликование политики обработки персональных данных | ч. 3 | 30 000-60 000 руб. |
| Неподача или просрочка уведомления о намерении обрабатывать данные | ч. 10 | 100 000-300 000 руб. |
| Неуведомление или просрочка уведомления Роскомнадзора об инциденте | ч. 11 | 1-3 млн руб. |
| Утечка данных от 1 000 до 10 000 субъектов | ч. 12 | 3-5 млн руб. |
| Утечка данных от 10 000 до 100 000 субъектов | ч. 13 | 5-10 млн руб. |
| Утечка данных более 100 000 субъектов | ч. 14 | 10-15 млн руб. |
| Повторная утечка | ч. 15 | 1-3% выручки, от 20 до 500 млн руб. |
Цена кадровой ошибки редко ограничивается одной строкой таблицы. Согласие внутри трудового договора вместо отдельного документа подпадает под часть 2, отсутствие уведомления в Роскомнадзор — под часть 10, неопубликованная политика — под часть 3. Вместе это до 1 060 000 рублей по верхним границам, без учёта затрат на переоформление согласий со всеми работниками. В электронном архиве Добыто подписанные согласия хранятся вместе с остальными кадровыми документами работника, поэтому наличие отдельного согласия по конкретному сотруднику подтверждается без поиска бумажного оригинала.
Что об этом думает Верховный суд: 21 января 2026 года по делу № 5-АД25-119-К2 суд оставил в силе штраф Минтруду России за утечку персональных данных работников и их родственников через инфраструктуру подрядчика. Перед субъектами отвечает оператор, и ссылка на подрядчика от ответственности не освобождает. Передавая кадровые данные на аутсорсинг или в облачный сервис, проверяйте договор поручения: в нём должны быть перечень действий, цели и требования к защите, иначе контролировать обработчика нечем.
Стоимость КЭДО с обработкой персональных данных сотрудников
Стоимость зависит от численности сотрудников, нужных видов электронной подписи и требований к интеграциям и инфраструктуре.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив, приоритетная поддержка | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль для 1С:ЗУП с автоматической синхронизацией документов | входит в тариф «Бизнес» | установка и настройка за 1 день |
Подключение технически быстрое, но сроки перехода определяет кадровая часть: подготовка ЛНА, отдельных согласий и ознакомление сотрудников. Итоговая сумма зависит от численности и набора подписей, актуальные условия и сравнение тарифов — на странице тарифов Добыто КЭДО. Тариф можно повысить или понизить в любое время; при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Обработка кадровых данных охватывает весь путь сведений о человеке — от отклика на вакансию до уничтожения документов после истечения архивного срока, и работодатель на каждом участке отвечает как оператор. Трудовое законодательство само по себе служит основанием для основной части операций; согласие нужно там, где компания выходит за его пределы, и оформляется отдельным документом с полным набором реквизитов. Уведомление Роскомнадзора, политика, ответственный, сроки ответа, уничтожения и сообщения об инциденте — обязательный минимум, нарушение которого с 2025 года оценивается в сотни тысяч и миллионы рублей.
Добыто помогает собрать эту систему в одном контуре: отдельные согласия подписываются электронной подписью в маршруте, документы синхронизируются с 1С:ЗУП и хранятся в электронном архиве, без пересылки кадровых данных по почте и в файлах.
Частые вопросы об обработке персональных данных
Нужно ли согласие на обработку персональных данных от исполнителя по договору ГПХ или самозанятого?
Глава 14 ТК РФ на исполнителей не распространяется, но 152-ФЗ действует. По пункту 5 части 1 статьи 6 152-ФЗ согласие не требуется, если обработка необходима для исполнения договора, стороной которого является сам исполнитель, или для его заключения по инициативе исполнителя. Публикация данных исполнителя, передача их третьим лицам вне целей договора и проверка перед заключением договора требуют согласия, в том числе отдельного согласия на распространение по статье 10.1.
Нужно ли согласие работника, чтобы передать его данные в банк для зарплатного проекта?
Статья 88 ТК РФ запрещает сообщать данные работника третьей стороне без его письменного согласия, кроме угрозы жизни и здоровью и случаев, установленных федеральным законом. Зарплатный проект к таким случаям не относится, поэтому для передачи сведений в банк нужно отдельное письменное согласие с указанием банка, цели и перечня данных. Если работник согласие не дал, зарплату перечисляют на счёт, реквизиты которого он сообщил сам.
Что происходит с данными работника, если он отозвал согласие?
Оператор прекращает обработку и уничтожает данные в течение 30 дней по части 5 статьи 21 152-ФЗ, но только те, для которых согласие было единственным основанием. Сведения, которые обрабатываются по ТК РФ, налоговому и пенсионному законодательству, остаются: личное дело и личная карточка хранятся 50 или 75 лет по приказу Росархива № 236. На практике отзыв затрагивает, например, публикацию фото на сайте, передачу в банк или участие в корпоративных программах.
Можно ли разместить ФИО, должность и фото сотрудника на сайте компании?
Только при наличии отдельного согласия на обработку персональных данных, разрешённых для распространения, по статье 10.1 152-ФЗ. Его нельзя объединять с другими согласиями. В нём работник вправе запретить передачу данных неограниченному кругу лиц или установить условия, например разрешить публикацию на сайте и запретить в соцсетях, и оператор обязан эти условия соблюдать. После отзыва такого согласия данные снимают с публикации.
Можно ли хранить кадровые данные в зарубежном облачном сервисе?
С 1 июля 2025 года часть 5 статьи 18 152-ФЗ в редакции Федерального закона от 28.02.2025 № 23-ФЗ запрещает записывать, систематизировать, хранить, уточнять и извлекать данные граждан РФ с использованием баз данных за пределами России, кроме прямо перечисленных исключений. Первичная кадровая база должна находиться в России. Трансграничная передача с 26 июля 2026 года регулируется статьёй 12 152-ФЗ в редакции 265-ФЗ: адекватной защиту в иностранном государстве считают только при включении его в перечень Роскомнадзора, а для передачи в страну вне перечня оператор ждёт окончания срока рассмотрения своего уведомления.
Обязательно ли согласие работника, если с ним обмениваются документами через КЭДО?
Для обработки данных в составе кадровых документов по ТК РФ согласие не требуется, способ оформления документа основание не меняет. Перевод на электронное взаимодействие требует отдельного письменного согласия работника на КЭДО по главе 3.1 ТК РФ, а согласие на обработку персональных данных, если оно нужно для другой цели, оформляется отдельным электронным документом с электронной подписью по статье 9 152-ФЗ.
