Обработка персональных данных в организации держится на конечном наборе документов: политика обработки, локальный акт о работе с данными работников, приказ о назначении ответственного, перечень лиц с доступом, акт оценки вреда и уведомление в Роскомнадзор, поданное до начала обработки. Отдельное письменное согласие работника нужно не для всего: приём, кадровый учёт, зарплата и отчётность идут по пункту 2 части 1 статьи 6 152-ФЗ и статьям 86-88 ТК РФ, то есть без согласия. Разделительная линия проходит по цели обработки: сведения в пределах трудовых отношений обрабатываются по договору и закону, а проверка кандидата службой безопасности, передача данных в банк или публикация фото на сайте требуют согласия, с 1 сентября 2025 года оформленного отдельным документом.
Ниже собран рабочий комплект кадровика: какие согласия действительно нужны, что входит в папку по персональным данным, как подать уведомление оператора и что проверить до подачи. Показываем, какие формулировки в согласии делают его недействительным и почему коммерческую тайну нельзя закрывать тем же документом. Таблица штрафов по статье 13.11 КоАП с суммами 2026 года, сроки хранения и уничтожения данных, образцы документов для скачивания и стоимость перевода согласий в электронный вид — во второй половине статьи.
Соберите согласие на обработку персональных данных под свою ситуацию: конструктор подставит цели, срок и порядок отзыва по 152-ФЗ и отдаст готовый файл .docx.
Согласие работника нужно не всегда: как это разводят 152-ФЗ и ТК РФ
Массовый сбор согласий у всех работников по любому поводу — самая частая избыточность в кадровой службе. Обработка данных, необходимая для исполнения трудового договора и для выполнения обязанностей, возложенных на работодателя законом, идёт по пункту 2 части 1 статьи 6 152-ФЗ. Приём, ведение личной карточки, расчёт заработной платы, сдача ЕФС-1, воинский учёт, удержания по исполнительным листам в согласии не нуждаются. Роскомнадзор эту позицию подтверждает: оформление на работу и кадровый учёт отдельного согласия не требуют.
Согласие включается там, где цель выходит за рамки трудовых отношений или за рамки прямой обязанности работодателя. Именно по этой границе и стоит собирать комплект: одно общее согласие «на всё» проверку не проходит, потому что не отвечает требованию конкретности из части 1 статьи 9 152-ФЗ.
| Ситуация | Согласие | Основание |
|---|---|---|
| Приём на работу, трудовой договор, личная карточка, кадровый учёт | Не нужно | п. 2 ч. 1 ст. 6 152-ФЗ, ст. 86 ТК РФ |
| Передача сведений в СФР, ФНС, военный комиссариат, по исполнительным листам | Не нужно | п. 2 ч. 1 ст. 6 152-ФЗ: обязанность возложена законом |
| Проверка кандидата по открытым базам, запрос отзыва прошлому работодателю | Нужно | ч. 1 ст. 9 152-ФЗ |
| Проверка кредитной истории кандидата или работника | Нужно, отдельным документом | ч. 1 ст. 9 152-ФЗ |
| Передача данных третьей стороне: банк зарплатного проекта, страховая по ДМС, оператор КЭДО | Нужно письменное | ст. 88 ТК РФ, ч. 3 ст. 6 152-ФЗ |
| Публикация фото, должности и контактов работника на сайте компании | Нужно согласие на распространение | ст. 10.1 152-ФЗ, приказ Роскомнадзора от 24.02.2021 № 18 |
| Сведения о состоянии здоровья сверх того, что прямо предписано законом | Нужно | ст. 10 152-ФЗ: специальная категория |
| Перевод работника на кадровый электронный документооборот | Нужно письменное согласие на КЭДО | ст. 22.2 ТК РФ |
Последняя строка стоит отдельно: согласие на КЭДО по статье 22.2 ТК РФ и согласие на обработку персональных данных по 152-ФЗ — разные документы с разными последствиями. Работник может согласиться на электронный документооборот и при этом отозвать согласие на публикацию своего фото, и наоборот.
Мария Ж, юрист со стажем более 20 лет: «Компании собирают согласия там, где они не требуются, и не берут там, где они обязательны. Приём и кадровый учёт закрыты пунктом 2 части 1 статьи 6 152-ФЗ, а вот проверка кандидата по базам и передача данных в банк без письменного согласия неправомерны. Возьмите свой список обработок и напротив каждой строки проставьте основание: закон, договор или согласие. Строки без основания и есть ваша зона риска.»
Организация как оператор персональных данных: уведомление Роскомнадзора и ответственный
Любой работодатель, даже с одним работником в штате, является оператором персональных данных и обязан подать уведомление об обработке до её начала. Исключений для кадрового учёта больше нет. Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180. Сведения, которые в ней указываются: наименование и адрес оператора, цели обработки, категории данных и субъектов, перечень действий, меры защиты, контакты ответственного, дата начала обработки, условие прекращения, сведения о трансграничной передаче и о местонахождении баз данных.
Проверить, числится ли компания оператором, можно самостоятельно: сведения открыты в реестре операторов персональных данных на портале Роскомнадзора, поиск идёт по ИНН и по наименованию. Если организации там нет, а работники есть, уведомление не подавалось.
Факт: статус оператора персональных данных и наличие подписанного согласия — два обязательных условия, при которых компания вправе передавать сведения о кандидате на внешнюю проверку. Без подписанного согласия проверка персональных данных кандидата неправомерна, и ответственность здесь несёт заказчик проверки, а не исполнитель.
Что проверить до подачи уведомления в Роскомнадзор
Уведомление фиксирует то, что в компании уже устроено. Подавать его, не разобравшись с внутренним устройством обработки, означает внести в государственный реестр сведения, которые расходятся с фактическим положением дел. Перед отправкой формы сверьте пять позиций:
- Перечень целей. Кадровый учёт, расчёт заработной платы, пропускной режим, видеонаблюдение, подбор персонала и рассылка вакансий — разные цели, и каждая указывается отдельно.
- Категории субъектов. Работники, кандидаты, исполнители по договорам ГПХ, родственники работников в составе документов на вычеты, бывшие работники в архиве — это разные категории с разными сроками хранения.
- Где физически лежат базы. Сведения о гражданах России записываются и хранятся в базах на территории России по части 5 статьи 18 152-ФЗ. Кадровый сервис, размещённый за рубежом, нарушает это требование, даже если данные в него попадают через российский офис.
- Ответственный за организацию обработки. Назначается приказом по части 1 статьи 18.1 152-ФЗ. Совмещение с должностью специалиста по кадрам допустимо, но фамилия и контакты ответственного идут в уведомление и должны совпадать с приказом.
- Политика обработки. Документ публикуется в открытом доступе. Для компании без сайта это означает размещение в месте, доступном для ознакомления, а не только папку у кадровика.
Как выстроить обработку персональных данных с нуля: пошаговая инструкция
- Шаг 1. Опишите фактические потоки данных: откуда приходят сведения, кто их вносит, в каких программах они лежат, кому передаются вовне. Без этой схемы остальные шаги превращаются в переписывание чужих шаблонов.
- Шаг 2. Разнесите каждую обработку по основаниям: закон, трудовой договор, согласие. Там, где основание не находится, обработку либо прекращают, либо оформляют согласием.
- Шаг 3. Утвердите политику обработки персональных данных и локальный акт о работе с данными работников, издав приказ об утверждении локального нормативного акта.
- Шаг 4. Назначьте приказом ответственного за организацию обработки и утвердите перечень должностей, которым доступ к данным нужен по работе. Доступ бухгалтера к медицинским сведениям и доступ линейного руководителя к данным чужого подразделения на проверке разбираются отдельно.
- Шаг 5. Проведите оценку вреда, который может быть причинён субъектам, по требованиям приказа Роскомнадзора от 27.10.2022 № 178, и зафиксируйте результат актом с подписями тех, кто её проводил.
- Шаг 6. Ознакомьте работников с локальными актами по персональным данным под подпись и соберите согласия только по тем целям, которые остались после шага 2.
- Шаг 7. Подайте уведомление об обработке персональных данных и заведите порядок его актуализации: при смене ответственного, адреса, целей или места хранения баз подаётся уведомление об изменениях.
Комплект документов по персональным данным для кадровой службы
На проверке инспектор смотрит не на наличие папки, а на связность комплекта: приказ ссылается на положение, положение описывает те цели, что указаны в уведомлении, согласия собраны по этим же целям, лист ознакомления подтверждает, что работник видел документ. Разрыв в любом звене обесценивает остальные.
Базовый набор для организации без биометрии и без трансграничной передачи выглядит так: политика обработки персональных данных в открытом доступе, положение об обработке данных работников как локальный акт, приказ об утверждении положения, приказ о назначении ответственного за организацию обработки, перечень должностей с доступом к данным, акт оценки вреда, журнал учёта обращений субъектов, формы согласий по каждой цели, обязательства работников о неразглашении, а также порядок реагирования на инцидент с указанием, кто и в какой срок уведомляет Роскомнадзор.
В практике Добыто комплект чаще всего разваливается на перечне доступов: положение утверждено, согласия собраны, а список должностей с доступом к данным ведётся в устной договорённости. На проверке это выглядит как отсутствие разграничения доступа, хотя фактически доступ ограничен настройками программы.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Шаблоны локальных актов и согласий по персональным данным
Комплект собран под задачу кадровика: начните с правил обработки, они задают структуру, к которой привязываются остальные документы.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
Как составить согласие, которое не развалится при проверке
С 1 сентября 2025 года по Федеральному закону от 24.06.2025 № 156-ФЗ согласие оформляется отдельно от иных документов. Пункт в трудовом договоре, галочка в анкете и строка в конце заявления о приёме больше не работают: нужен самостоятельный документ. Это изменение задним числом обесценило значительную часть шаблонов, которые кадровые службы использовали годами.
Содержание согласия без распространения задано частью 4 статьи 9 152-ФЗ: фамилия, имя, отчество и адрес субъекта, реквизиты документа, удостоверяющего личность, наименование и адрес оператора, цель обработки, перечень персональных данных, перечень действий с ними, срок действия согласия и порядок его отзыва, подпись. Пропуск любого из этих элементов делает документ спорным, а обязанность доказать, что согласие получено, лежит на операторе.
Три формулировки, которые чаще всего ломают согласие: цель, описанная как «в целях, связанных с деятельностью организации»; перечень данных, заменённый оборотом «и иные сведения»; срок, указанный как «бессрочно» без порядка отзыва. Каждая из них нарушает требование конкретности и информированности из части 1 статьи 9. В практике Добыто мы проверяем формы согласий перед запуском электронного документооборота именно по этим трём точкам: их правка занимает час, а переподписание всего штата после проверки — недели.
Внимание: при отзыве согласия обработка по этому основанию прекращается, а данные уничтожаются в течение 30 дней с даты поступления отзыва. Это не касается сведений, которые компания обязана хранить по закону: трудовой договор и приказы по личному составу после отзыва согласия остаются на хранении в общем порядке.
Когда отдельное согласие не нужно и его сбор создаёт риск
Лишнее согласие меняет правовой режим обработки. Когда компания берёт согласие на то, что и так законно по договору или по прямой норме, она переводит эту обработку в режим, зависящий от воли работника. Работник отзывает согласие, и формально основание исчезает, хотя обрабатывать данные компания обязана.
Не нужно брать согласие: на ведение личной карточки и трудовой книжки, на передачу сведений в СФР и ФНС, на удержания по исполнительным документам, на воинский учёт, на оформление полиса обязательного медицинского страхования. Не нужно и общее согласие «на обработку персональных данных» как единственный документ: оно не заменит ни одно из целевых согласий и при этом не даст основания ни для чего конкретного. Компании с численностью до 20 человек, у которых нет ни видеонаблюдения, ни внешних проверок кандидатов, ни зарплатного проекта с передачей реестров, обходятся двумя документами: политикой обработки и положением о работе с данными работников.
Коммерческая тайна и персональные данные: два режима в одной папке
Персональные данные работника относятся к конфиденциальной информации, но режим коммерческой тайны на них не распространяется автоматически. Сведения о работнике защищаются статьями 86-90 ТК РФ и 152-ФЗ, а коммерческая тайна вводится отдельно: утверждается перечень сведений, наносится гриф, ведётся учёт лиц, получивших доступ, и подписывается обязательство о неразглашении. Без этих действий режим не считается введённым, и взыскать что-либо за разглашение не получится.
Для кадровой службы различие практическое. Работник, которому доступ к данным коллег нужен по работе, подписывает два разных обязательства: одно о неразглашении персональных данных по статье 90 ТК РФ, второе о соблюдении режима коммерческой тайны. Их объединяют в один документ, и на этом же документе спор потом и разваливается: суд смотрит, введён ли режим по всем формальным признакам, а не то, что написано в общей расписке.
Штатное расписание, размер зарплаты конкретного работника, структура подразделений часто попадают в перечень коммерческой тайны. Сведения о заработной плате при этом остаются персональными данными работника, и передача их третьей стороне без письменного согласия запрещена статьёй 88 ТК РФ независимо от того, есть гриф на документе или нет.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, судебный эксперт по трудовому праву: «Расписка вида «обязуюсь не разглашать конфиденциальную информацию» не защищает ни персональные данные, ни коммерческую тайну. По персональным данным работает статья 90 ТК РФ, по тайне — перечень сведений, гриф и учёт допущенных лиц. Посмотрите свой бланк обязательства: если в нём нет ссылки на конкретный перечень сведений и на журнал учёта доступа, он декоративный.»
Сроки хранения, уничтожение и ответы на запросы работников
Сроки хранения персональных данных определяются не 152-ФЗ, а целью обработки и архивными правилами. Согласия на обработку хранятся 3 года со дня истечения срока их действия или отзыва — пункт 441 Перечня, утверждённого приказом Росархива от 20.12.2019 № 236. Документы по личному составу, созданные после 2003 года, хранятся 50 лет, созданные раньше — 75 лет. Графики отпусков и табели учёта рабочего времени — 5 лет, штатные расписания и локальные нормативные акты — постоянно.
Данные кандидатов, не принятых на работу, в этот перечень не попадают. Резюме и анкеты соискателя обрабатываются по цели «подбор персонала», и по достижении цели подлежат уничтожению в течение 30 дней, если работник не дал согласия на более длительное хранение в кадровом резерве. База резюме за пять лет без такого согласия — типовое нарушение, которое находят при первой же проверке.
Мария Ж, специалист по цифровой подписи и КЭДО: «Переход на электронные документы не означает, что бумага не понадобится никогда. Суд вправе истребовать подлинник, если только он способен подтвердить обстоятельство дела, а при сомнениях в подлинности назначается экспертиза документа, его реквизитов или подписи. Планируя отказ от бумажного архива, посмотрите, какие документы у вас существуют только в электронном виде и чем вы подтвердите их подлинность.»
Запрос работника о его данных исполняется в течение 10 рабочих дней по части 4 статьи 20 152-ФЗ, срок продлевается не более чем на 5 рабочих дней с письменным уведомлением заявителя. Отдельно фиксируется порядок при инциденте: о факте утечки Роскомнадзор уведомляется в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов. Эти два срока стоит прописать в локальном акте вместе с фамилией того, кто отправляет уведомление: разбираться, кто это делает, в момент инцидента поздно.
Полезно знать: распечатка электронного документа остаётся копией, а не оригиналом. Чтобы она что-то подтверждала, её заверяют оператором электронного документооборота, удостоверяющим центром, нотариусом либо самой организацией с отметкой о верности копии.
Персональные данные в КЭДО: что добавляется к базовым правилам
Перевод кадровых документов в электронный вид не меняет оснований обработки, но добавляет три обязанности. Первая: письменное согласие каждого работника на взаимодействие через КЭДО по статье 22.2 ТК РФ. Без него использовать электронные документы и электронную подпись во взаимодействии с конкретным работником нельзя, и при споре ведение КЭДО в таком виде может быть признано незаконным. Вторая: передача данных оператору информационной системы — это передача третьей стороне, и она оформляется по правилам статьи 88 ТК РФ. Третья: хранение баз на территории России по части 5 статьи 18 152-ФЗ.
Информационная система работает в обе стороны. Она подтверждает, что документ отправлен, доставлен и подписан конкретным пользователем, и она же покажет дату выдачи ключа, вход под чужой учётной записью и отсутствие активности работника при формально подписанном документе. Журнал действий не выборочный. В практике Добыто мы сверяем журнал подписания до того, как спор начался: перед проверками и перед увольнениями, на которых ожидаем конфликт.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он в локальном акте. Откройте своё положение о кадровом электронном документообороте: если порядок идентификации работника при подписании там не описан, спор вы проиграете при технически исправной подписи.»
Лайфхак: разводите во времени выдачу электронной подписи работнику и первые кадровые действия с ней. Совпадение даты выдачи подписи и даты заявления об увольнении суд читает как обстоятельство не в пользу работодателя, даже когда положение о КЭДО и перечень документов оформлены правильно.
Кейс из практики: в ритейле на 3200 сотрудников переход на КЭДО занял 4 месяца вместо запланированных двух. Задержка пришлась не на технику, а на пересбор согласий: исходные формы содержали одну общую цель на все обработки сразу и не делили доступ по подразделениям. После разделения согласий по целям и утверждения перечня должностей с доступом запуск прошёл без замечаний.
Цена ошибки: штрафы по персональным данным в 2026 году
Размеры санкций по статье 13.11 КоАП РФ выросли кратно с 30 мая 2025 года, и дальше применяются в этих значениях. Особенность статьи в том, что в ней несколько самостоятельных составов: за один эпизод компания получает не один штраф, а набор.
| Нарушение | Должностное лицо | Организация |
|---|---|---|
| Обработка без правового основания (ч. 1) | 50 000-100 000 руб. | 150 000-300 000 руб. |
| Обработка без согласия, когда оно обязательно (ч. 2) | 100 000-300 000 руб. | 300 000-700 000 руб. |
| Политика обработки не опубликована или недоступна (ч. 3) | 6 000-12 000 руб. | 30 000-60 000 руб. |
| Хранение данных граждан России за пределами страны (ч. 8) | 100 000-200 000 руб. | 1 000 000-6 000 000 руб. |
| Уведомление о начале обработки не подано | 30 000-50 000 руб. | 100 000-300 000 руб. |
| Об утечке не сообщено в течение 24 часов | 400 000-800 000 руб. | 1 000 000-3 000 000 руб. |
| Утечка данных от 1 000 до 10 000 субъектов | 200 000-400 000 руб. | 3 000 000-5 000 000 руб. |
| Повторная утечка | — | 1-3% годовой выручки, от 20 до 500 млн руб. |
Верхние строки таблицы складываются между собой. Компания, которая не подала уведомление, не опубликовала политику и собирала данные кандидатов без согласия, получает три состава сразу: от 480 000 рублей на организацию по нижней границе. Отдельно с 2024 года действует статья 272.1 УК РФ за незаконные сбор, хранение, использование и передачу персональных данных, полученных неправомерным путём, с лишением свободы до 8 лет при трансграничной передаче.
Считать стоит не только штраф. Предписание Роскомнадзора об устранении означает пересбор согласий по всему штату, а при численности в несколько сотен человек это недели работы кадровой службы и остановка приёмов на время переоформления. Отзыв согласия одним работником после того, как компания взяла согласие там, где оно не требовалось, добавляет отдельный разбор по каждой такой обработке.
Стоимость перевода кадровых документов и согласий в электронный вид
Итоговая сумма зависит от численности, набора видов электронной подписи и необходимости интеграции с учётной системой. Данные приведены по действующим тарифам сервиса Добыто на дату публикации.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф | по мере подключения |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Разброс между тарифами определяется численностью и составом подписей: до 25 человек хватает ПЭП и УНЭП, при переходе на УКЭП и интеграцию с учётной системой расчёт идёт по тарифу «Бизнес». Условия, состав функций и порядок перехода между тарифами опубликованы на странице тарифов ДОБЫТО КЭДО: при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Обработка персональных данных в кадровой службе распадается на две несмешиваемые части. Первая идёт по закону и трудовому договору и согласия не требует: приём, учёт, зарплата, отчётность в СФР и ФНС. Вторая требует отдельного документа под каждую цель: проверка кандидата, передача данных в банк или страховую, публикация фото, работа со сведениями о здоровье. Поверх этого лежат обязанности оператора — уведомление Роскомнадзора до начала обработки, назначенный ответственный, опубликованная политика, акт оценки вреда и заранее описанный порядок действий при утечке с отсчётом в 24 и 72 часа.
При переходе на электронный вид добавляется письменное согласие каждого работника на КЭДО, требование хранить базы в России и полностью прозрачный журнал действий, который в споре работает и за работодателя, и против него. В Добыто мы разбираем формы согласий и перечень доступов до запуска системы, потому что после раскатки на весь штат любая правка превращается в повторный сбор подписей.
Частые вопросы
Нужно ли брать согласие у исполнителя по договору ГПХ и у самозанятого
Обработка данных исполнителя, необходимая для заключения и исполнения договора, идёт по тому же пункту 2 части 1 статьи 6 152-ФЗ, что и у работников: отдельное согласие на это не требуется. Различие в другом: статьи 86-90 ТК РФ на исполнителей по ГПХ не распространяются, поэтому положение об обработке данных работников их не охватывает. Категорию «исполнители по гражданско-правовым договорам» указывают в уведомлении Роскомнадзора отдельно и описывают в политике обработки.
Что делать, если работник отказывается подписать согласие на проверку службой безопасности
Проверка не проводится. Отказ от дачи согласия на обработку, которая не обязательна по закону, правонарушением не является, и отказ в приёме на работу исключительно по этому мотиву рискован: по статье 64 ТК РФ причины отказа должны быть связаны с деловыми качествами. Практический выход — ограничить перечень должностей, для которых проверка обязательна, и закрепить его в положении, тогда связь с деловыми качествами становится объяснимой.
Можно ли хранить сканы паспортов работников в кадровой системе
Копия паспорта хранится только при наличии цели, для которой она нужна, и основания для её хранения. Роскомнадзор последовательно считает избыточным хранение копий документов, когда для цели достаточно сведений из них: для трудового договора нужны фамилия, имя, отчество, серия и номер, а не изображение всех страниц. Безопасный вариант — вносить реквизиты в систему, а копию уничтожать после оформления, зафиксировав это в локальном акте.
Как оформить доступ бухгалтерии на аутсорсинге к данным работников
Внешний бухгалтер — третья сторона, и передача ему данных требует письменного согласия работника по статье 88 ТК РФ, а также поручения на обработку по части 3 статьи 6 152-ФЗ. Поручение оформляется отдельным документом или разделом договора и содержит перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите. Ответственность перед работником при этом остаётся на компании-операторе, а не на подрядчике.
Нужно ли подавать уведомление об изменениях, если сменился ответственный за обработку
Да. Сведения об ответственном входят в состав уведомления, и при их изменении подаётся уведомление об изменениях через форму на портале персональных данных. То же касается смены адреса, появления новой цели обработки, изменения места нахождения баз данных и начала трансграничной передачи. Расхождение реестра с фактическим положением дел инспектор видит до выезда, по открытым сведениям.
Сколько хранить резюме кандидатов, которых не взяли на работу
По достижении цели подбора данные подлежат уничтожению в течение 30 дней. Чтобы законно держать резюме в кадровом резерве дольше, нужно отдельное согласие кандидата с указанием срока: как правило, берут срок от 6 месяцев до 1 года с правом отзыва. Такое согласие оформляется самостоятельным документом и после истечения срока хранится ещё 3 года по пункту 441 Перечня Росархива.
Обязательно ли назначать отдельного сотрудника ответственным за обработку данных
Отдельная штатная единица не требуется: обязанность по части 1 статьи 18.1 152-ФЗ возлагается приказом на действующего работника, чаще всего на руководителя кадровой службы или юриста. Требование одно — ответственный должен иметь реальные полномочия: доступ к описанию процессов, право требовать объяснения от подразделений и участвовать в согласовании новых обработок. Формальное назначение без полномочий на проверке видно по тому, что ответственный не может назвать перечень целей обработки в своей компании.
