Согласие на обработку персональных данных закрывает лишь часть обязанностей работодателя: как оператор персональных данных компания обязана иметь политику обработки, положение о защите данных работников, приказ о назначении ответственного за организацию обработки, перечень мест хранения и лист ознакомления работников под подпись. Уведомление в Роскомнадзор подаётся до начала обработки, даже если в штате один человек. Главное различие, от которого зависит комплект: для данных штатного работника в целях трудовых отношений отдельное письменное согласие по общему правилу не требуется, а для проверки кандидата, передачи данных подрядчику и публикации сведений о сотруднике на сайте письменное согласие обязательно и оформляется отдельным документом по требованиям части 4 статьи 9 152-ФЗ.
Разберём пакет по составу: какой документ каким требованием обоснован, кто его подписывает и в какой момент он должен появиться. Покажем реквизиты, без которых письменное согласие не работает, и формулировки, из-за которых его признают недействительным. Отдельно разведём персональные данные и коммерческую тайну: обязательство о неразглашении согласие не заменяет. Размеры штрафов по статье 13.11 КоАП в редакции 2025 года, сценарная таблица по типам ситуаций, стоимость перевода кадрового пакета в электронный вид и ответы на частые вопросы — во второй половине статьи.
Конструктор ниже собирает согласие на обработку персональных данных под ваши цели: вы указываете цели обработки, перечень данных, срок и порядок отзыва, на выходе получаете готовый файл .docx.
Какие документы по персональным данным обязана иметь кадровая служба
Работодатель становится оператором персональных данных в момент, когда получает первое резюме или первый паспорт для оформления. Никакой отдельной регистрации для этого не нужно, статус возникает по факту обработки. Из статуса вытекают три группы обязанностей: организационные меры по статье 18.1 152-ФЗ, порядок обработки данных работника по главе 14 ТК РФ и уведомление уполномоченного органа по статье 22 152-ФЗ.
Комплект документов делится на две части. Локальные акты компания принимает один раз и обновляет при изменении процессов. Документы с подписью субъекта оформляются на каждого человека и живут ровно столько, сколько указано в самом документе.
| Документ | Основание | Кто подписывает | Когда должен появиться |
|---|---|---|---|
| Политика в отношении обработки персональных данных | п. 2 ч. 1 ст. 18.1 152-ФЗ | Руководитель, утверждается приказом | До начала обработки, публикуется в открытом доступе |
| Положение об обработке и защите персональных данных работников | ст. 87, ст. 88 ТК РФ | Руководитель, утверждается приказом | До приёма первого работника |
| Приказ о назначении ответственного за организацию обработки | ч. 1 ст. 22.1 152-ФЗ | Руководитель | До начала обработки |
| Уведомление о намерении обрабатывать персональные данные | ст. 22 152-ФЗ | Руководитель, подаётся в Роскомнадзор | До начала обработки |
| Согласие на обработку персональных данных в письменной форме | ч. 1 и ч. 4 ст. 9 152-ФЗ | Работник или кандидат | До обработки за пределами трудовых целей |
| Лист ознакомления с локальными актами об обработке данных | п. 8 ч. 1 ст. 86 ТК РФ | Работник, под подпись | До подписания трудового договора |
| Журнал учёта обращений субъектов персональных данных | ст. 20 152-ФЗ | Ответственный за обработку | Ведётся постоянно, ответ на запрос — 10 рабочих дней |
| Обязательство о неразглашении персональных данных | ст. 90 ТК РФ, ч. 1 ст. 7 152-ФЗ | Кадровик, бухгалтер, руководитель подразделения | При допуске к чужим данным |
Восемь позиций — это минимум для компании, которая обрабатывает данные только своих работников. Как только появляются кандидаты, подрядчики или пропускная система по биометрии, комплект растёт за счёт отдельных согласий под каждую новую цель.
Образцы документов по персональным данным для кадровой службы
Комплект собран так, чтобы его можно было принять за один приказ: начните с правил обработки, они задают логику остальных бумаг.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных (локальный акт) | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Согласие на проверку кандидата службой безопасности | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
Согласие на обработку персональных данных: обязательные реквизиты и типовые дефекты
Письменное согласие имеет закрытый перечень реквизитов, он приведён в части 4 статьи 9 152-ФЗ. Документ, в котором нет хотя бы одного из них, при проверке рассматривается как согласие, полученное с нарушением требований.
- Фамилия, имя, отчество и адрес субъекта, номер основного документа, удостоверяющего личность, дата выдачи и выдавший орган.
- Данные представителя, если согласие подписывает не сам субъект, плюс реквизиты доверенности.
- Наименование и адрес оператора, который получает согласие. Для группы компаний это конкретное юрлицо, а не бренд.
- Цель обработки по каждому направлению отдельно, без обобщений вида «в целях уставной деятельности».
- Перечень персональных данных, на обработку которых даётся согласие.
- Наименование и адрес лица, обрабатывающего данные по поручению оператора, если обработка передаётся подрядчику.
- Перечень действий с данными и описание способов обработки.
- Срок действия согласия и порядок его отзыва.
- Подпись субъекта.
Три дефекта встречаются чаще остальных. Первый: одно согласие на все цели сразу, где кадровый учёт, проверка службой безопасности и рассылка рекламных предложений слиты в один абзац. Второй: срок сформулирован как «бессрочно», хотя цель обработки заведомо ограничена во времени. Третий: подрядчик, который фактически получает данные, в согласии не назван, и передача превращается в раскрытие третьему лицу без основания.
Мария Ж, судебный эксперт по трудовому праву: «Согласие проверяют не на красоту формулировок, а на соответствие фактическому процессу. Если в документе одна цель, а данные ушли по трём направлениям, документ не защищает работодателя ни в проверке, ни в суде. Прежде чем печатать бланк, выпишите, кто и зачем реально касается данных человека, и перенесите этот список в согласие дословно.»
Факт: без подписанного согласия проверка персональных данных кандидата неправомерна. Согласие подписывает кандидат до передачи его данных проверяющей стороне, а не после получения отчёта.
Когда отдельное согласие работника не нужно
Требовать согласие там, где закон его не требует, вредно: лишний документ создаёт у работника право отозвать согласие и остановить обработку, которую компания обязана вести по закону. Отдельное письменное согласие не нужно, когда обработка идёт для исполнения трудового договора и обязанностей, возложенных на работодателя: ведение кадрового учёта, расчёт и выплата заработной платы, воинский учёт, передача сведений в Социальный фонд России и налоговый орган, оформление ЕФС-1.
Граница проходит по цели. Как только цель выходит за пределы трудовых отношений, основание из трудового законодательства перестаёт работать и требуется согласие: проверка кандидата по открытым и закрытым источникам, запрос кредитной истории, публикация фотографии и должности на сайте, передача данных в стороннюю компанию, снятие биометрии для пропускной системы.
Как собрать пакет локальных актов, чтобы он выдержал проверку
Локальные акты по персональным данным проверяются в связке: политика задаёт принципы, положение описывает процедуру внутри компании, приказ назначает ответственного, лист ознакомления доказывает, что работники о процедуре знают. Разрыв в любом звене обесценивает остальные.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как ввести документы по персональным данным: пошаговая инструкция
- Шаг 1. Составьте перечень обрабатываемых данных по каждому процессу: приём, расчёт зарплаты, командировки, обучение, пропускной режим. Указывайте состав данных, а не названия документов.
- Шаг 2. Под каждый процесс определите правовое основание: норма ТК РФ, требование иного закона или согласие субъекта. Процессы без основания либо получают согласие, либо прекращаются.
- Шаг 3. Утвердите политику обработки и положение о защите данных работников приказом руководителя, опубликуйте политику в открытом доступе.
- Шаг 4. Назначьте ответственного за организацию обработки отдельным приказом и передайте ему полномочия по работе с обращениями субъектов.
- Шаг 5. Определите места хранения: шкафы с личными делами, серверы, папки общего доступа, учётные системы. Ограничьте доступ по должностям и зафиксируйте перечень допущенных лиц.
- Шаг 6. Соберите с допущенных сотрудников обязательства о неразглашении, а со всех работников — подписи в листе ознакомления с локальными актами.
- Шаг 7. Подайте уведомление в Роскомнадзор и держите его в актуальном состоянии: при смене адреса, целей обработки или перечня данных подаётся информация об изменениях.
В практике Добыто пакет чаще всего разваливается на шестом шаге. Политика и положение написаны, приказ подписан, а листа ознакомления нет ни у кого из работников, принятых раньше даты приказа. При проверке это выглядит как отсутствие процедуры, а не как техническая недоработка.
Полезно знать: аутсорсинговая служба безопасности сама является оператором персональных данных и подаёт собственное уведомление в Роскомнадзор. Проверьте это до передачи данных: если подрядчика нет в реестре операторов, ответственность за передачу останется на работодателе.
Уведомление Роскомнадзора: кто подаёт и что будет за пропуск
Уведомление о намерении обрабатывать персональные данные подаётся до начала обработки по статье 22 152-ФЗ. Исключение для работодателей, которые обрабатывают данные только своих работников, из закона убрано: подавать уведомление обязаны и организации с одним сотрудником в штате. Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180.
Подать документ можно через портал персональных данных Роскомнадзора: там же находится реестр операторов, по которому проверяется и своя запись, и запись подрядчика, которому вы собираетесь передавать данные. Проверка занимает минуту и делается по ИНН.
За неисполнение обязанности с 30 мая 2025 года действует отдельный состав, введённый Федеральным законом от 30.11.2024 № 420-ФЗ: для юридических лиц и индивидуальных предпринимателей штраф составляет от 100 000 до 300 000 рублей. С 1 января 2026 года дела по статье 13.11 КоАП рассматривают мировые судьи.
Мария Ж, юрист со стажем более 20 лет: «Уведомление подаётся один раз, а поддерживается постоянно. Компании регистрируются, а потом меняют адрес, добавляют пропускную систему по биометрии или подключают подрядчика на расчёт зарплаты и не подают сведения об изменениях. Возьмите за правило пересматривать уведомление каждый раз, когда в компании появляется новый процесс, который касается данных людей.»
Коммерческая тайна и персональные данные: почему один документ не заменяет другой
Обязательство о неразглашении коммерческой тайны и согласие на обработку персональных данных решают разные задачи, и подмена одного другим встречается регулярно. Режим коммерческой тайны вводится по Федеральному закону от 29.07.2004 № 98-ФЗ и защищает интересы компании: перечень сведений, гриф на носителях, учёт лиц, получивших доступ, и условие о неразглашении в трудовом договоре. Персональные данные защищаются по 152-ФЗ в интересах человека, чьи данные обрабатываются.
Пересечение возникает в одной точке. Сведения о работниках, которые кадровая служба обрабатывает по трудовому законодательству, нельзя закрыть режимом коммерческой тайны от самого работника: он имеет право на доступ к своим данным. Зато на сотрудников, которые получили доступ к чужим данным по должности, распространяются оба режима сразу: обязательство о неразглашении персональных данных по статье 90 ТК РФ и обязательство по коммерческой тайне, если данные попали в утверждённый перечень.
Практический вывод для кадровой службы: у специалиста по кадрам, бухгалтера по расчёту и руководителя подразделения должно быть подписано два разных документа, а не один универсальный. Разглашение персональных данных, ставших известными по работе, — самостоятельное основание для увольнения по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ.
Что стоит ошибка: штрафы и цена переоформления
Стоимость нарушения складывается не из одного штрафа. Обработка персональных данных без законного основания или в целях, несовместимых с целями сбора, обходится юридическому лицу в 60 000 — 100 000 рублей по части 1 статьи 13.11 КоАП, при повторном нарушении — 100 000 — 300 000 рублей. Обработка без письменного согласия там, где оно обязательно, стоит дороже: 300 000 — 700 000 рублей для юридического лица по части 2 той же статьи. Неподанное уведомление добавляет от 100 000 до 300 000 рублей.
Отдельно считается утечка. При установленном факте неправомерной передачи или доступа к персональным данным оператор уведомляет Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов — о результатах внутреннего расследования по части 3.1 статьи 21 152-ФЗ. Пропуск этих сроков рассматривается как самостоятельное нарушение поверх ущерба от самой утечки.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Дальше идут расходы, которые в штрафы не входят: сбор согласий заново со всего штата, переоформление кадровых документов, приостановка обработки по предписанию и восстановление работника через суд, если увольнение опиралось на дефектный доказательственный пакет.
Какие документы нужны под конкретную ситуацию
Комплект зависит от того, за пределы каких целей выходит обработка. Таблица показывает, где отдельное согласие обязательно, а где достаточно локального акта.
| Ситуация | Нужно ли отдельное согласие | Что критично в документе |
|---|---|---|
| Кадровый учёт, расчёт зарплаты, отчётность в СФР и ФНС | Не требуется | Положение об обработке и лист ознакомления под подпись |
| Проверка кандидата до трудоустройства | Требуется | Перечень источников проверки и срок хранения анкеты |
| Запрос кредитной истории кандидата | Требуется отдельное согласие | Цель запроса и должность, для которой проверка обоснована |
| Передача данных подрядчику: аутсорсинг расчёта, провайдер КЭДО, служба безопасности | Требуется поручение оператора и указание подрядчика в согласии | Наименование и адрес обработчика, состав передаваемых данных |
| Публикация ФИО, должности и фотографии на сайте компании | Требуется согласие на распространение по ст. 10.1 152-ФЗ | Оформляется отдельно от остальных согласий, с перечнем данных для распространения |
| Биометрический пропускной режим | Требуется письменное согласие по ст. 11 152-ФЗ | Альтернативный способ прохода для тех, кто согласие не дал |
Строка про подрядчика закрывает самый частый пробел: договор с обработчиком есть, а в согласии работника он не назван, и формально данные ушли лицу, о котором субъект не уведомлён.
Перевод документов по персональным данным в электронный вид
Кадровый электронный документооборот снимает основную часть ручной работы с согласиями: документ уходит работнику в личный кабинет, подписывается электронной подписью и хранится с фиксацией даты и времени. Но перевод возможен только после того, как КЭДО введён по правилам статей 22.1 — 22.3 ТК РФ, и он не отменяет отдельного согласия работника на само электронное взаимодействие по статье 22.2 ТК РФ.
При споре доказываются четыре обстоятельства подряд: получено ли согласие работника на КЭДО, ознакомлен ли он с локальным актом о КЭДО, использовал ли электронную подпись, получил ли электронный документ. Порядок имеет значение: сначала подтверждается право компании вообще вести кадровые документы электронно, и только потом — что подписан конкретный документ.
Внимание: приказ об увольнении и акт об ознакомлении с ним оформляются исключительно на бумаге по статье 22.1 ТК РФ, позиция подтверждена письмом Минтруда России от 12.01.2023 № 14-6/ООГ-97. Полностью безбумажного увольнения не существует.
Кейс из практики: в организации на 3200 сотрудников сбор согласий занял больше времени, чем сама настройка системы: техническая часть заняла считаные дни, а согласия и обучение линейного персонала растянулись на месяцы. Мы закладываем пилотную группу перед раскаткой на всю компанию именно поэтому: на пилоте видно, какие формулировки в согласии вызывают вопросы у работников, и текст правится один раз, а не после сбора половины подписей.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Первые дни работы человека в системе — зона повышенного риска. Суды прямо учитывают, что заявление могло быть сформировано ошибочно при первичном использовании системы, и восстанавливают работника. Любое значимое действие в этот период подтверждайте вне системы: короткое письмо или разговор с фиксацией снимает почти весь спор.»
Кому электронный сбор согласий не подойдёт
Есть ситуации, где перевод согласий в электронный вид не даёт выигрыша. Компании с численностью до 10 человек и стабильным составом тратят на бумажный пакет меньше, чем на настройку и обучение. Организациям, где значительная часть работников не имеет постоянного доступа к рабочему компьютеру или смартфону, придётся держать параллельный бумажный контур, и экономия исчезает. Если в компании ещё не приняты политика и положение об обработке данных, начинать надо с них: система не создаёт правовое основание, она фиксирует действия.
Лайфхак: выгружайте журнал действий по спорному документу до начала конфликта, а не после. Журнал показывает всё: дату выдачи ключа, вход под чужой учётной записью, отсутствие активности работника при формально подписанном документе.
Стоимость перевода кадровых документов и согласий в электронный вид
Стоимость зависит от численности штата и набора функций: количество сотрудников определяет тариф, а необходимость интеграции с учётной системой и выделенного контура — переход на старшие планы.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | Подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны | от 50 ₽ за сотрудника / мес | Подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес»: 50 сотрудников | 30 000 ₽ в год | Годовой период |
| Интеграция с 1С:ЗУП: готовый модуль, автоматическая синхронизация документов | Входит в тариф «Бизнес» | Установка и настройка за один день |
| Электронные подписи ПЭП и УНЭП для сотрудников | Бесплатно на всех тарифах | При подключении |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | По запросу | Рассчитывается индивидуально |
Итоговая сумма складывается из численности и выбранного набора функций: электронный архив, приоритетная поддержка и интеграция с учётной системой доступны начиная с тарифа «Бизнес». Состав каждого плана и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду. Платформа соответствует требованиям 377-ФЗ, статей 22.1 — 22.3 ТК РФ и 152-ФЗ о персональных данных.
Выводы
Пакет документов по персональным данным для кадровой службы строится от процессов, а не от шаблонов: сначала перечень данных и целей, затем правовое основание под каждую цель, и только потом бланки. Согласие требуется там, где обработка выходит за рамки трудовых отношений, и содержит закрытый набор реквизитов из части 4 статьи 9 152-ФЗ. Локальные акты работают только в связке с листом ознакомления, а уведомление в Роскомнадзор поддерживается в актуальном состоянии, а не подаётся один раз и забывается.
Мы в Добыто ведём этот пакет как единый контур: согласия, положения и листы ознакомления собираются в личных кабинетах работников с фиксацией даты подписания и выгрузкой журнала действий по каждому документу. Для кадровой службы это означает, что при запросе Роскомнадзора или трудовом споре комплект по конкретному человеку собирается за минуты, а не восстанавливается по папкам.
Частые вопросы
Можно ли включить согласие на обработку данных в текст трудового договора?
Согласие по части 4 статьи 9 152-ФЗ оформляется как самостоятельный документ с подписью субъекта, потому что оно имеет собственный срок действия и порядок отзыва, отличные от условий трудового договора. Пункт внутри договора создаёт неразрешимую ситуацию: работник отзывает согласие, а условие договора продолжает действовать. Держите согласие отдельным листом, приложением к договору, но с отдельной подписью и датой.
Что делать, если работник отозвал согласие?
При отзыве оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней с даты поступления отзыва. Отзыв не касается обработки, которая ведётся по другому основанию: кадровый учёт, расчёт зарплаты и отчётность в Социальный фонд России продолжаются, потому что опираются на требования закона, а не на согласие. Ответ работнику оформите письменно с указанием, какая обработка прекращена и какая продолжается с указанием нормы.
Нужно ли согласие кандидата, который сам прислал резюме?
Направление резюме не заменяет согласие: человек передал данные для рассмотрения конкретной вакансии, а не для хранения в базе и проверки. Если резюме остаётся в кадровом резерве или передаётся на проверку, требуется письменное согласие с указанием цели и срока хранения. Без него хранение резюме отклонённых кандидатов становится обработкой без законного основания.
Сколько хранить анкеты и согласия не принятых кандидатов?
Срок хранения не установлен единым нормативом, он определяется целью обработки и указывается в самом согласии. По истечении указанного срока данные уничтожаются, факт уничтожения фиксируется актом. Формулировка «бессрочно» в согласии кандидата является дефектом: цель обработки исчерпывается решением по вакансии.
Кто отвечает при утечке: компания или назначенный ответственный?
Административный штраф по статье 13.11 КоАП назначается юридическому лицу и отдельно должностному лицу. Ответственный за организацию обработки по статье 22.1 152-ФЗ отвечает за построение процедуры, а работник, разгласивший данные, ставшие известными по работе, может быть уволен по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ. Эти виды ответственности не исключают друг друга и применяются одновременно.
Нужно ли подавать новое уведомление при смене наименования компании?
При изменении сведений, указанных в уведомлении, подаётся информация об изменениях, а не новое уведомление. Это касается наименования, адреса, целей обработки, перечня данных и состава привлечённых обработчиков. Проверить, какие сведения о компании числятся сейчас, можно в реестре операторов по ИНН.
Обязательно ли назначать отдельного человека ответственным за обработку?
Обязанность назначить ответственного за организацию обработки установлена частью 1 статьи 22.1 152-ФЗ и не зависит от численности штата. Отдельная штатная единица при этом не требуется: функция возлагается приказом на действующего сотрудника, чаще на руководителя кадровой службы. Важно, чтобы у него были реальные полномочия по работе с обращениями субъектов и доступ к описанию всех процессов обработки.
