Обработка персональных данных в ООО начинается с первого принятого работника: компания собирает паспортные данные, СНИЛС и реквизиты для зарплаты, сама определяет цели и по 152-ФЗ становится оператором. Минимальный пакет для малого бизнеса включает 9 документов: приказ об ответственном, политику, локальные акты по целям обработки, акт оценки вреда, уведомление в Роскомнадзор до начала обработки, согласия, лист ознакомления работников, порядок действий при утечке и акт уничтожения. С 1 сентября 2025 года согласие оформляется отдельным документом, вписать его в трудовой договор или анкету нельзя. Обязанность уведомлять Роскомнадзор зависит от способа обработки: если кадровые данные ведутся в 1С, КЭДО или таблице, уведомление подаётся обязательно, а освобождение сохранилось только для обработки исключительно без средств автоматизации.
В статье видно, какой документ закрывает какую норму, когда согласие работника не требуется и когда без него нельзя передать данные третьим лицам, проверяющему кандидата подрядчику или опубликовать фото на сайте. Отдельно показана граница между персональными данными и коммерческой тайной. Таблица штрафов по статье 13.11 КоАП на 2026 год с правилом для малых предприятий, порядок действий при утечке за 24 и 72 часа и ответы на частые вопросы — во второй половине статьи.
Когда ООО становится оператором персональных данных и обязано уведомить Роскомнадзор
Отдельного статуса, регистрации или лицензии для того, чтобы стать оператором, не требуется: обязанности по 152-ФЗ возникают по факту обработки. Оператором ООО становится, когда само решает, зачем и какие данные собирать, — то есть уже при оформлении первого трудового договора, при приёме откликов на вакансию или при сборе заявок с сайта.
До 1 сентября 2022 года работодатель, который обрабатывал только данные своих работников, был освобождён от уведомления Роскомнадзора. Федеральный закон от 14.07.2022 № 266-ФЗ отменил прежние пункты 1-6 части 2 статьи 22 152-ФЗ, и теперь уведомление подаётся до начала обработки даже в компании без клиентов-физлиц. Из исключений осталась, в частности, обработка исключительно без средств автоматизации. Если зарплата считается в 1С, а кадровые документы лежат в КЭДО или в таблице на компьютере, обработка автоматизированная и исключение не применяется.
Набор обязанностей зависит от того, чьи данные и каким способом собирает компания.
| Ситуация ООО | Уведомление Роскомнадзора | Что добавляется к базовому пакету |
|---|---|---|
| Только работники, кадровый учёт в 1С, КЭДО или таблицах | Нужно до начала обработки (ч. 1 ст. 22 152-ФЗ) | Ознакомление работников под роспись с документами о порядке обработки (ст. 86 ТК РФ) |
| Только бумажные личные дела, без средств автоматизации | Не требуется (исключение ч. 2 ст. 22 152-ФЗ) | Условия сохранности бумажных носителей: их нарушение с неправомерным доступом наказывается по ч. 6 ст. 13.11 КоАП |
| Сайт с формой заявки, отклика или обратной связи | Нужно | Политика публикуется на сайте, в том числе на страницах, где собираются данные (ч. 2 ст. 18.1 152-ФЗ); согласие отдельно от других документов |
| Кандидатов проверяет внешний подрядчик | Нужно | Письменное согласие кандидата с указанием лица, которое обрабатывает данные по поручению (ч. 4 ст. 9 152-ФЗ) |
| Фото и данные работников на сайте или в соцсетях компании | Нужно | Отдельное согласие на распространение (ст. 10.1 152-ФЗ, приказ Роскомнадзора № 18) |
База во всех строках одна: ответственный, политика и локальные акты по статье 18.1 152-ФЗ. Различаются уведомление, вид согласия и место, где должна быть доступна политика.
Форму уведомления утвердил приказ Роскомнадзора от 28.10.2022 № 180: он же содержит формы изменения сведений и прекращения обработки. Подать уведомление можно через электронную форму на портале персональных данных Роскомнадзора или через Госуслуги. Сведения о поступившем уведомлении вносятся в реестр операторов в течение 30 дней. Если изменились цели, состав данных или другие сведения, оператор сообщает об этом не позднее 15-го числа месяца, следующего за месяцем изменения, а о прекращении обработки — в течение 10 рабочих дней. Наличие своей записи в реестре операторов можно проверить на том же портале.
Какие документы по персональным данным оформить в ООО: минимальный пакет
Статья 18.1 152-ФЗ перечисляет не документы, а меры, которые оператор обязан принять. Каждую меру компания подтверждает документом, и для малого ООО их набирается 9.
| Документ | Основание | Что фиксирует |
|---|---|---|
| 1. Приказ о назначении ответственного за организацию обработки | ст. 22.1, п. 1 ч. 1 ст. 18.1 152-ФЗ | Кто в компании отвечает за соблюдение закона |
| 2. Политика обработки персональных данных | ч. 1-2 ст. 18.1 152-ФЗ | Общие принципы и цели обработки, сведения о мерах защиты; документ должен быть доступен неограниченному кругу лиц |
| 3. Положение (ЛНА) об обработке персональных данных | п. 2 ч. 1 ст. 18.1 152-ФЗ | Для каждой цели: категории данных и субъектов, способы и сроки обработки и хранения, порядок уничтожения |
| 4. Акт оценки вреда | п. 5 ч. 1 ст. 18.1 152-ФЗ, приказ Роскомнадзора от 27.10.2022 № 178 | Результат оценки вреда, который проводит ответственный или комиссия |
| 5. Уведомление в Роскомнадзор | ст. 22 152-ФЗ, приказ Роскомнадзора от 28.10.2022 № 180 | Намерение обрабатывать данные, цели, категории, меры защиты |
| 6. Согласия на обработку и на распространение | ст. 9, ст. 10.1 152-ФЗ, приказ Роскомнадзора от 24.02.2021 № 18 | Волю субъекта там, где у обработки нет другого законного основания |
| 7. Лист ознакомления работников | п. 8 ст. 86 ТК РФ, п. 6 ч. 1 ст. 18.1 152-ФЗ | Ознакомление под роспись с порядком обработки, правами и обязанностями |
| 8. Порядок выявления нарушений и реагирования на инциденты | п. 2 ч. 1 ст. 18.1, ст. 21 152-ФЗ | Кто и в какие сроки уведомляет Роскомнадзор об утечке и проводит внутреннее расследование |
| 9. Акт уничтожения персональных данных | приказ Роскомнадзора от 28.10.2022 № 179 | Факт уничтожения; при автоматизированной обработке к акту прикладывается выгрузка из журнала событий |
Документы 1-4 и 7-9 внутренние, документ 5 уходит в Роскомнадзор, документ 6 подписывает сам субъект. Шаблон с чужого сайта закрывает форму, но не содержание: в положении стоят ваши реальные цели, категории данных и сроки хранения. Обработка с целью, которой нет в документах, подпадает под часть 1 статьи 13.11 КоАП как несовместимая с целями сбора.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, юрист со стажем более 20 лет: «Регламент по персональным данным имеет смысл, только если его выполняют. Документ, который пишут для папки, от утечки не защищает. В положении нужно описать то, что сотрудники делают каждый день: как передавать данные, как их хранить и как обрабатывать. После утверждения сверьте текст с реальной работой отдела кадров и бухгалтерии.»
Последовательность оформления важна: уведомление описывает цели и меры защиты, поэтому подаётся после того, как они определены в положении. В практике Добыто при переходе на КЭДО порядок тот же: сначала локальный акт и приказ, затем выбор системы и вида электронной подписи, потом письменные согласия работников по статье 22.2 ТК РФ, пилотная группа и перевод всего штата.
Как оформить документы по персональным данным в ООО: пошаговая инструкция
- Шаг 1. Составьте перечень: чьи данные обрабатываются (работники, кандидаты, клиенты, контрагенты-физлица), в каких системах они хранятся (1С, КЭДО, почта, сайт, бумага) и кому передаются.
- Шаг 2. Издайте приказ о назначении ответственного за организацию обработки персональных данных.
- Шаг 3. Утвердите положение об обработке: для каждой цели укажите категории данных и субъектов, способы и сроки обработки и хранения, порядок уничтожения.
- Шаг 4. Проведите оценку вреда по приказу Роскомнадзора № 178 и оформите результат актом.
- Шаг 5. Утвердите политику и обеспечьте к ней неограниченный доступ; при сборе данных через сайт опубликуйте её, в том числе на страницах с формами.
- Шаг 6. Подайте уведомление в Роскомнадзор до начала обработки: через портал персональных данных или Госуслуги.
- Шаг 7. Для обработки без иного законного основания получите согласия отдельным документом, для публикации данных — отдельное согласие на распространение.
- Шаг 8. Ознакомьте работников под роспись с документами о порядке обработки, а тех, кто обрабатывает данные, — с требованиями закона и локальными актами.
- Шаг 9. Утвердите порядок действий при утечке со сроками 24 и 72 часа и форму акта уничтожения.
Согласие на обработку персональных данных: когда работнику оно нужно и что в нём указать
Для оформления приёма, расчёта зарплаты, сдачи ЕФС-1 и налоговой отчётности согласие работника не требуется. Основание даёт сам закон: пункты 2 и 5 части 1 статьи 6 152-ФЗ разрешают обработку для исполнения обязанностей, возложенных на работодателя законом, и для исполнения трудового договора, стороной которого является работник. Отсутствие согласия при этом не снимает обязанности ограничивать цели, объём данных и круг лиц с доступом.
Согласие нужно, когда обработка выходит за рамки этих оснований:
- передача данных третьей стороне, если такая передача не предусмотрена ТК РФ или федеральным законом (ст. 88 ТК РФ);
- получение сведений о работнике у третьих лиц: работника заранее уведомляют и получают его письменное согласие (п. 3 ст. 86 ТК РФ);
- поручение обработки другому лицу, например внешней службе проверки кандидатов;
- публикация фото, ФИО или других данных на сайте и в соцсетях: здесь нужно отдельное согласие на распространение.
Зарплатный проект в эту схему автоматически не укладывается: основание и объём передачи данных банку зависят от того, как оформлены отношения с банком и что именно передаётся. Это проверяется по договору с банком до первой выгрузки реестра.
Письменное согласие по части 4 статьи 9 152-ФЗ содержит: ФИО, адрес и данные документа субъекта, а при подписании через представителя — его данные и полномочия; наименование и адрес оператора; цель обработки; перечень персональных данных; лицо, которое обрабатывает данные по поручению, если оно есть; перечень действий и общее описание способов обработки; срок действия и способ отзыва; подпись. С 1 сентября 2025 года по Федеральному закону от 24.06.2025 № 156-ФЗ согласие оформляется отдельно от иных сведений и документов, которые человек подтверждает или подписывает. Абзац о согласии внутри трудового договора, анкеты или заявления о приёме это требование не выполняет.
Согласие на распространение по статье 10.1 152-ФЗ оформляется отдельно и от обычного согласия. Субъект вправе перечислить данные по категориям и установить запреты и условия, а молчание или бездействие согласием не считается. Требования к содержанию установлены приказом Роскомнадзора от 24.02.2021 № 18, он действует до 1 сентября 2027 года.
Лайфхак: согласия кандидатов удобно собирать из системы подбора: в одной из производственных компаний с наймом около 1200 вакансий в год согласие запрашивается в один клик, без отдельных писем на почту.
Конструктор Добыто собирает файл .docx с целями обработки, сроком и оговоркой об отзыве, после чего согласие остаётся проверить на соответствие вашему положению.
Соберите согласие на обработку персональных данных с целями и сроком
Персональные данные кандидатов: согласие на проверку и передачу подрядчику
Резюме, анкета и результаты проверки кандидата — такие же персональные данные, как личное дело работника, только трудового договора, который служил бы основанием обработки, ещё нет. Малое ООО без своей службы безопасности обычно передаёт проверку на аутсорсинг, и тогда в цепочке появляются два оператора.
Внешняя служба проверки работает как оператор с официальным уведомлением Роскомнадзора. ФИО, дату рождения, ИНН и паспортные данные она получает от работодателя, а работодатель — от кандидата вместе с письменным согласием. Способ передачи (защищённая почта, флешка, мессенджер) закрепляется в договоре с подрядчиком, и доступ к данным имеют только заказчик и исполнитель.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Добросовестный подрядчик начинает проверку, только убедившись, что согласие у заказчика есть.
Мария Ж, HR-эксперт с 13-летним стажем: «Кандидат подписывает согласие до проверки, но сроки и способ её проведения обычно не знает. Поэтому в согласии нужна конкретика: кто проверяет, какие сведения и с какой целью. Если проверку ведёт внешняя служба, впишите её как лицо, обрабатывающее данные по поручению, — этого требует часть 4 статьи 9 152-ФЗ.»
Что работодатель вправе проверять и где проходит граница
Типовая проверка охватывает действительность паспорта и водительского удостоверения, судимость (по согласию), исполнительные производства, налоговые и кредитные задолженности, банкротство и характеристики с прежних мест работы. Сведения собираются из открытых источников и баз, а вопросы по спорным моментам служба безопасности уточняет на личном собеседовании.
Важный нюанс из практики: автоматизированные сервисы проверки по ФИО часто смешивают однофамильцев: одна ошибочная буква или совпадение даты рождения, и в отчёт попадают чужие штрафы или долги. Решение по кандидату, принятое на недостоверных данных, нарушает принцип точности обработки, поэтому совпадения сверяют вручную по паспортным данным и ИНН.
Образцы согласий для работников и кандидатов
Первым смотрите общее согласие на обработку, второй документ нужен, если кандидатов проверяет служба безопасности.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных (DOCX) | Скачать |
| Согласие кандидата на проверку службой безопасности (DOCX) | Скачать |
Персональные данные и коммерческая тайна: что даёт ООО режим КТ
Персональные данные не становятся коммерческой тайной автоматически, и режим коммерческой тайны не заменяет требований 152-ФЗ. Это два разных режима: конфиденциальность персональных данных установлена законом и действует независимо от решения компании, а коммерческая тайна существует, только если её ввёл обладатель информации.
По статье 3 Федерального закона от 29.07.2004 № 98-ФЗ коммерческой тайной может быть информация, которая имеет действительную или потенциальную коммерческую ценность из-за неизвестности третьим лицам и к которой нет свободного доступа на законном основании. Режим по статье 10 считается установленным, когда компания выполнила 4 условия:
- определила перечень сведений, составляющих коммерческую тайну;
- ограничила доступ к ним и ведёт учёт лиц, получивших доступ;
- урегулировала использование сведений трудовыми и гражданско-правовыми договорами;
- нанесла на носители гриф «Коммерческая тайна» с реквизитами обладателя.
Статья 5 98-ФЗ запрещает относить к коммерческой тайне, в частности, сведения о численности и составе работников, системе оплаты труда, условиях труда и задолженности по зарплате. Работника, допущенного к сведениям, по статье 11 знакомят под расписку с перечнем, режимом и мерами ответственности. Для малого ООО практичный вариант — вести перечень лиц с доступом к персональным данным и перечень лиц с доступом к коммерческой тайне в одном журнале, но с разными основаниями: 152-ФЗ и 98-ФЗ соответственно.
Хранение, утечка и уничтожение персональных данных: обязанности ООО
С 1 июля 2025 года при сборе персональных данных граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз за пределами России запрещены, кроме исключений части 5 статьи 18 152-ФЗ (Федеральный закон от 28.02.2025 № 23-ФЗ). Для малого бизнеса это касается иностранных онлайн-форм, облачных таблиц и CRM: если анкета кандидата или заявка клиента первично попадает в зарубежную базу, это нарушение локализации. Передачу данных за рубеж регулирует статья 12: с 26 июля 2026 года по Федеральному закону № 265-ФЗ при включении страны в перечень государств с адекватной защитой учитывается не только её законодательство, но и реальные меры конфиденциальности и безопасности данных.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Любой сервис, в котором видны данные сотрудников, — запись экрана, видео с камеры, электронный архив — требует решить вопрос хранения до выбора подрядчика. Служба безопасности или ответственный за персональные данные заранее задаёт критерии: где лежат данные, кто к ним допущен, подходит ли облако. Если согласовать это в конце, работу приходится переделывать, и проект теряет и время, и деньги.»
Кейс из практики: горнодобывающая компания переводила аттестационное тестирование работников в онлайн с прокторингом. Запись экрана и видео с камеры содержали персональные данные сотрудников и конфиденциальную информацию, поэтому облачные решения не подошли: компания закупила серверы и хранит записи внутри своей инфраструктуры. Тестирование проходит из дома или с рабочего места, без поездок в учебный центр, а доступ к записям есть только у сотрудников компании.
При утечке статья 21 152-ФЗ даёт оператору 24 часа с момента обнаружения инцидента, чтобы уведомить Роскомнадзор, и 72 часа, чтобы направить результаты внутреннего расследования. Уничтожение данных по истечении срока хранения или по достижении цели подтверждается актом по приказу Роскомнадзора от 28.10.2022 № 179, а при автоматизированной обработке — ещё и выгрузкой из журнала событий информационной системы. Приказ действует с 1 марта 2023 года до 1 марта 2029 года.
Полезно знать: внешняя служба проверки после передачи отчёта не хранит данные кандидата и удаляет их по истечении срока. Отчёт остаётся только у работодателя, поэтому срок его хранения и порядок уничтожения прописываются в вашем положении.
Электронный архив снимает часть рисков бумажного хранения: согласия и кадровые документы подписываются электронной подписью и не лежат в незапертых папках. Добыто работает по требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ, документ подписывается в браузере: файл загружается, выбирается вид подписи, и подписант подтверждает действие.
Кейс из практики: сервисная компания на 235 сотрудников, значительная часть которых работает удалённо в других регионах, отправляла кадровые документы курьером, и оформление растягивалось на 3-5 дней. Перед запуском КЭДО подготовили согласия и инструкцию, открыли отдельный чат для вопросов и дали сотрудникам 2 дня на подключение — подключились все. Срок оформления сократился до полудня, на курьерах сэкономили 60 000 рублей уже в первые месяцы.
Штрафы Роскомнадзора по статье 13.11 КоАП для ООО в 2026 году
Федеральный закон от 30.11.2024 № 420-ФЗ с 30 мая 2025 года поднял штрафы и ввёл отдельные составы за утечки. Суммы в таблице указаны для юридического лица.
| Нарушение | Часть ст. 13.11 КоАП | Штраф для ООО |
|---|---|---|
| Обработка в не предусмотренных законом случаях или несовместимо с целями сбора | ч. 1 | 150 000-300 000 руб. |
| Обработка без письменного согласия, когда оно обязательно, или согласие без нужных сведений | ч. 2 | 300 000-700 000 руб. |
| Политика не опубликована, доступ к ней не обеспечен | ч. 3 | 30 000-60 000 руб. |
| Субъекту не предоставлена информация об обработке его данных | ч. 4 | 40 000-80 000 руб. |
| Не исполнено в срок требование уточнить, заблокировать или уничтожить данные | ч. 5 | 50 000-90 000 руб. |
| Нарушение сохранности бумажных носителей, повлёкшее неправомерный доступ | ч. 6 | 50 000-100 000 руб. |
| Нарушение локализации баз данных в России | ч. 8 | 1-6 млн руб. |
| Неподача или просрочка уведомления о намерении обрабатывать данные | ч. 10 | 100 000-300 000 руб. |
| Неподача или просрочка уведомления об утечке | ч. 11 | 1-3 млн руб. |
| Утечка: 1-10 тыс. субъектов и (или) 10-100 тыс. идентификаторов | ч. 12 | 3-5 млн руб. |
| Утечка: 10-100 тыс. субъектов и (или) 100 тыс.-1 млн идентификаторов | ч. 13 | 5-10 млн руб. |
| Утечка: более 100 тыс. субъектов и (или) более 1 млн идентификаторов | ч. 14 | 10-15 млн руб. |
| Повторная утечка | ч. 15 | 1-3% годовой выручки, не менее 20 млн и не более 500 млн руб. |
Для малого бизнеса есть два смягчающих механизма. С 1 сентября 2026 года по статье 4.1.2 КоАП в редакции Федерального закона от 02.05.2026 № 120-ФЗ малые предприятия, включая микропредприятия, которые на дату нарушения состоят в реестре МСП, платят штраф в размере, установленном для ИП. Правило не действует для составов, где ИП отвечает как юрлицо: по примечанию к статье 13.11 это, в частности, части 8 и 12-17, то есть локализация и утечки. Второй механизм — замена штрафа предупреждением по статье 4.1.1 КоАП за впервые совершённое нарушение, выявленное при госконтроле: она возможна только при выполнении всех условий части 2 статьи 3.4 и не применяется автоматически.
Ошибки малого бизнеса и во что они обходятся
- Согласие абзацем в трудовом договоре или анкете. Так делают, чтобы не плодить бумаги, но с 1 сентября 2025 года согласие оформляется отдельным документом. Нарушение требований к согласию — часть 2, от 300 000 до 700 000 рублей.
- Нет уведомления, потому что «у нас только сотрудники». Исключение для работодателей отменено с 1 сентября 2022 года. Часть 10 — от 100 000 до 300 000 рублей.
- Форма на сайте без политики на той же странице. Часть 3 — от 30 000 до 60 000 рублей, и это не снимает требований к согласию.
- Анкеты кандидатов в иностранном облачном сервисе. Удобный бесплатный инструмент оборачивается нарушением локализации: часть 8 — от 1 до 6 млн рублей, льгота для малых предприятий здесь не действует.
- Утечку обнаружили, но Роскомнадзор не уведомили за 24 часа. Часть 11 — от 1 до 3 млн рублей сверх штрафа за саму утечку.
Стоимость КЭДО Добыто для хранения согласий и кадровых документов
Стоимость зависит от численности штата и нужных видов электронной подписи; данные актуальны на дату публикации.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входят в тариф |
| УКЭП через партнёров — удостоверяющие центры | рассчитывается индивидуально | по запросу |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за 1 день |
Для ООО до 25 человек достаточно тарифа «Старт», при большем штате или потребности в УКЭП и интеграции с 1С нужен «Бизнес». Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия и состав каждого пакета — на странице тарифов КЭДО Добыто.
Выводы
ООО с автоматизированным кадровым учётом подаёт уведомление в Роскомнадзор даже тогда, когда обрабатывает только данные своих работников. Базовый пакет держится на статье 18.1 152-ФЗ: ответственный, политика, положение по целям, оценка вреда, ознакомление работников, порядок реагирования на утечки и акты уничтожения. Согласие оформляется отдельным документом и только там, где у обработки нет иного основания, а публикация данных требует согласия на распространение. Коммерческая тайна защищает сведения бизнеса, но обязанностей оператора не отменяет.
В Добыто согласия и кадровые документы подписываются электронной подписью и хранятся в электронном архиве, поэтому часть мер по сохранности и учёту доступа закрывается на уровне процесса, а не отдельных папок.
Частые вопросы об обработке персональных данных в ООО
Нужно ли согласие на обработку персональных данных от исполнителя по договору ГПХ?
Для исполнения самого договора — нет: пункт 5 части 1 статьи 6 152-ФЗ разрешает обработку для исполнения договора, стороной которого является субъект. Статьи 86-88 ТК РФ на исполнителя не распространяются, поэтому лист ознакомления под роспись для него не обязателен. Согласие понадобится, если данные исполнителя публикуются, передаются третьим лицам без законного основания или используются для целей, не связанных с договором.
Что делать, если работник отозвал согласие?
По части 2 статьи 9 152-ФЗ после отзыва оператор вправе продолжить обработку, только если для неё есть другое основание из пунктов 2-11 части 1 статьи 6. Данные, нужные для исполнения трудового договора и обязанностей работодателя по закону, продолжают обрабатываться. Обработку, которая держалась только на согласии, например публикацию фото, прекращают, а данные уничтожают с оформлением акта.
Можно ли получить согласие в электронном виде?
Да. По части 4 статьи 9 152-ФЗ согласие в форме электронного документа, подписанного электронной подписью в соответствии с 63-ФЗ, равнозначно письменному согласию на бумаге. Требования к содержанию те же: цель, перечень данных, действия, срок и способ отзыва, а с 1 сентября 2025 года — оформление отдельным документом.
Нужно ли согласие работника, чтобы передать его данные бухгалтерии на аутсорсе?
Поручение обработки другому лицу по части 3 статьи 6 152-ФЗ допускается с согласия субъекта, если иное не предусмотрено федеральным законом. В договоре с аутсорсером указываются перечень действий, цели и требования к защите данных. Ответственность перед работником по части 5 статьи 6 несёт ООО как оператор, а аутсорсер отвечает перед ООО.
Обязано ли ООО публиковать политику, если у него нет сайта?
Обязанность опубликовать политику в интернете возникает при сборе данных через сеть (ч. 2 ст. 18.1 152-ФЗ). Без сайта ООО всё равно должно обеспечить неограниченный доступ к политике иным способом, например разместить её в офисе в месте, доступном посетителям и работникам. Отсутствие доступа к политике наказывается по части 3 статьи 13.11 КоАП: от 30 000 до 60 000 рублей.
