Образец политики обработки персональных данных с пояснениями для кадровика

Образец политики обработки персональных данных пригоден для работодателя только после того, как в него внесены реальные цели обработки, категории субъектов, перечни данных, сроки хранения и получатели. Оператор обязан опубликовать политику или иным образом обеспечить к ней неограниченный доступ. Это требование части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Если данные собираются через сайт, политику размещают на страницах, где идёт сбор. Внутренние кадровые акты политика не заменяет: способы обработки, сроки хранения и порядок уничтожения по каждой цели фиксируют локальные акты. Для работников основание обработки — ТК РФ и трудовой договор. Для соискателя основание — согласие на период рассмотрения кандидатуры, а резюме в кадровом резерве хранится по отдельной цели и с отдельным основанием.

Образец разбит на разделы. К каждому разделу дано пояснение: какую формулировку оставить, что заменить сведениями своей организации и на какой норме держится пункт. Отдельно показываем, когда согласие работника не требуется и почему с 1 сентября 2025 года его оформляют отдельным документом. Также разбираем, чем режим коммерческой тайны отличается от защиты персональных данных. Во второй половине статьи — чек-лист проверки политики перед публикацией, порядок уведомления Роскомнадзора и сроки сообщения об утечке. Там же штрафы по статье 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года.

Чем политика обработки персональных данных отличается от внутренних кадровых актов

Работодатель, который ведёт кадровый учёт и подбор, выступает оператором персональных данных в смысле 152-ФЗ. Часть 2 статьи 18.1 требует от него опубликовать политику или иным образом обеспечить к ней неограниченный доступ. Вместе с политикой публикуются сведения о реализуемых требованиях к защите данных. Политику может открыть любой человек: кандидат, отправивший резюме через сайт, работник, контрагент, проверяющий. Поэтому в ней описывают цели и основания обработки, категории субъектов и данных, права субъекта и порядок обращений. Это то, что внешний читатель должен знать до передачи своих сведений.

Внутренние документы регулирует пункт 2 части 1 статьи 18.1. Локальные акты определяют для каждой цели обработки категории и перечень данных, категории субъектов, способы и сроки обработки и хранения. Они же устанавливают порядок уничтожения при достижении целей или при наступлении иных законных оснований. Политика и локальные акты не вправе ограничивать права субъектов или возлагать на оператора обязанности, которых нет в законе. Для работников действует ещё пункт 8 статьи 86 Трудового кодекса РФ. Работников и их представителей знакомят под подпись с документами о порядке обработки их данных, их правах и обязанностях.

Остальные обязанности статьи 18.1 проверяют вместе с политикой:

• назначен ответственный за организацию обработки;
• приняты правовые, организационные и технические меры защиты;
• проводится внутренний контроль или аудит;
• оценён вред, который может быть причинён субъектам;
• работники, непосредственно обрабатывающие данные, ознакомлены с требованиями или обучены.

По части 4 той же статьи оператор по запросу Роскомнадзора представляет документы и локальные акты либо иным способом подтверждает принятие мер.

Структуру публичного документа Роскомнадзор предлагает в рекомендациях по составлению документа, определяющего политику оператора, от 31.07.2017. В них перечислены цели и правовые основания, категории субъектов и данных, перечень действий, сроки, передача третьим лицам и порядок ответа на обращения. Это методический документ без нормативной силы. Каждый его пункт сверяется с действующей редакцией 152-ФЗ на дату утверждения политики.

Каждый документ комплекта закрывает свою норму, и заменить один другим нельзя:

Опубликованная политика без внутренних актов выполняет только часть 2 статьи 18.1. По запросу Роскомнадзора на основании части 4 оператор показывает и локальные акты, и документ о назначении ответственного.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Шаблоны правил обработки и согласий для кадровой службы

Комплект дополняет образец политики внутренними документами. Первым откройте согласие на обработку персональных данных и сверьте его с требованием об отдельном оформлении, действующим с 1 сентября 2025 года.

Образец политики обработки персональных данных по разделам с пояснениями

Формулировки рассчитаны на коммерческую организацию, которая ведёт кадровый учёт и подбор персонала. Единого образца, пригодного любому оператору без правки, нет. Содержание зависит от целей, фактических категорий данных, способов обработки, получателей и HR-систем конкретного работодателя. Прочерки и текст в скобках заменяются сведениями организации. Пояснения под каждым разделом в документ не переносятся.

Мария Ж, юрист со стажем более 20 лет: «Готовый образец из открытых источников я проверяю по одному правилу: если устарела одна деталь, перепроверяется весь документ. В одном из разобранных нами обучающих материалов 2024 года ещё фигурировала форма СЗВ-ТД, хотя с 2023 года сведения о трудовой деятельности подаются в составе ЕФС-1. Из чужих шаблонов мы берём логику и перечни, которые меняются реже. Сроки, названия форм и реквизиты сверяем с действующей редакцией. С образцом политики поступайте так же: сначала проверьте даты и номера норм, потом формулировки.»

Раздел 1. Общие положения и сведения об операторе

1.1. Настоящая Политика определяет цели, правовые основания и порядок обработки персональных данных в ________ (полное наименование организации, ИНН, ОГРН, адрес), далее — Оператор, а также сведения о реализуемых требованиях к защите персональных данных.

1.2. Политика разработана во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и опубликована на сайте Оператора по адресу ________.

1.3. Ответственный за организацию обработки персональных данных: ________ (должность, адрес электронной почты и почтовый адрес для обращений субъектов).

Пояснение. Пункт 1.3 подтверждает выполнение пункта 1 части 1 статьи 18.1 152-ФЗ о назначении ответственного. Контакт для обращений нужен, потому что на запросы и требования субъектов закон устанавливает сроки ответа. Реквизиты оператора в пункте 1.1 должны совпадать с теми, что указаны в уведомлении Роскомнадзора.

Раздел 2. Цели, категории субъектов, перечни данных и правовые основания

2.1. Оператор обрабатывает персональные данные для целей, указанных в таблице к настоящему разделу. Для каждой цели определены категории субъектов, перечень данных, правовое основание и срок обработки.

2.2. Оператор не обрабатывает персональные данные, несовместимые с целями сбора, и не допускает избыточности обрабатываемых данных по отношению к заявленным целям.

Пояснение. Пункт 2.2 воспроизводит части 2-5 статьи 5 152-ФЗ. Обработка ограничивается достижением конкретных, заранее определённых и законных целей. Таблица целей — рабочее ядро политики. Ниже её базовый вариант для кадровой службы:

Когда цель достигнута, обработку прекращают. Данные уничтожают не позднее 30 дней, если закон, договор или иное законное основание не требуют продолжать обработку (часть 4 статьи 21 152-ФЗ). Резюме принятого кандидата дальше обрабатывается в рамках трудовых отношений. Резюме кандидата, получившего отказ, сохраняется только при отдельном согласии на кадровый резерв.

Документы, которые работник приносит по своей инициативе ради вычета или гарантий, служат другой цели, чем приём на работу. В перечень по статье 65 ТК РФ они не входят.

Мария Ж, руководитель HR-отдела: «Свидетельства о рождении детей не входят в документы для приёма на работу. Работник приносит их сам, если хочет получить налоговый вычет или воспользоваться дополнительными гарантиями. Их место в бухгалтерии, отдельно от личного дела. Посмотрите, где у вас сейчас лежат такие копии, и сверьте это с таблицей целей.»

Раздел 3. Действия с данными, сроки хранения и уничтожение

3.1. Оператор совершает с персональными данными следующие действия: ________ (перечислить применяемые: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, передача, блокирование, уничтожение).

3.2. Обработка ведётся с использованием средств автоматизации и без них (указать применяемые способы).

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

3.3. Сроки обработки и хранения установлены для каждой цели в таблице раздела 2. По достижении цели персональные данные уничтожаются не позднее 30 дней, если иное не предусмотрено федеральным законом, договором или иным законным основанием.

3.4. При сборе персональных данных граждан Российской Федерации Оператор ведёт их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации.

Пояснение. Единого срока хранения всех кадровых данных или всех резюме 152-ФЗ не устанавливает. Поэтому вписывать в политику условный общий срок в днях или годах нельзя. Срок привязывается к цели, согласию, договору и архивным требованиям к конкретному документу. По статье 87 ТК РФ порядок хранения и использования данных работников устанавливает сам работодатель с соблюдением ТК РФ и федеральных законов.

Пункт 3.4 опирается на правило 152-ФЗ, действующее с 1 июля 2025 года. При сборе данных граждан России, в том числе через интернет, нельзя использовать базы данных за пределами России для записи, систематизации, накопления, хранения, уточнения и извлечения. Исключения — случаи из пунктов 2, 3, 4 и 8 части 1 статьи 6. Прежде чем оставить этот пункт, проверьте, где расположены базы сервиса подбора персонала, облачных таблиц с анкетами и почты, на которую приходят резюме.

Если кадровые документы ведутся в КЭДО, сроки из таблицы целей должны совпадать с правилами электронного архива. В Добыто электронный архив и интеграция с 1С входят в тариф «Бизнес». Модуль для 1С:ЗУП устанавливается и настраивается за один день, документы синхронизируются автоматически.

Раздел 4. Передача третьим лицам и поручение обработки

4.1. Оператор передаёт персональные данные работников третьим лицам с письменного согласия работника. Исключения — случаи, когда передача необходима для предупреждения угрозы жизни и здоровью работника, и другие случаи, предусмотренные ТК РФ или иными федеральными законами.

4.2. Оператор не сообщает персональные данные работника в коммерческих целях без его письменного согласия.

4.3. Оператор вправе поручить обработку персональных данных другому лицу на основании договора. В договоре определяются перечень данных, действия с ними, цели обработки, обязанность соблюдать конфиденциальность и требования к защите. Ответственность перед субъектом за действия такого лица несёт Оператор.

4.4. Получатели персональных данных и лица, которым поручена обработка: ________ (перечислить по целям).

Пояснение. Пункты 4.1 и 4.2 повторяют пункты 1 и 2 статьи 88 ТК РФ, поэтому перечень исключений не пересказывают своими словами. Пункт 4.3 построен на частях 3-5 статьи 6 152-ФЗ. Раскрытие данных третьему лицу и поручение обработки — разные операции. Раскрытие идёт по правилам статьи 88 ТК РФ, поручение — по договору с обработчиком.

Если подписанные кадровые документы хранятся во внешнем сервисе КЭДО и сервис обрабатывает данные по поручению работодателя, его указывают в пункте 4.4. Платформа Добыто КЭДО заявлена как соответствующая требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ. Запись о сервисе в политике и договор с условиями части 3 статьи 6 всё равно оформляет работодатель как оператор.

Раздел 5. Права субъектов и меры защиты

5.1. Субъект персональных данных вправе:

• получать информацию об обработке своих данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или избыточные;
• отозвать согласие;
• требовать прекращения обработки.

5.2. Отзыв согласия не прекращает обработку, если у Оператора есть иное основание, предусмотренное законом.

5.3. Оператор назначил ответственного за организацию обработки и принимает правовые, организационные и технические меры защиты. Оператор проводит внутренний контроль, оценивает возможный вред субъектам и знакомит работников, допущенных к обработке, с требованиями законодательства и локальными актами.

Пояснение. Права субъекта перечисляются без оговорок, которые их сужают: пункт 2 части 1 статьи 18.1 152-ФЗ запрещает ограничивать права субъектов. Пункт 5.2 воспроизводит часть 2 статьи 9 152-ФЗ. Пункт 5.3 соответствует пунктам 3-6 части 1 статьи 18.1 и закрывает требование публиковать сведения о мерах защиты.

Чек-лист проверки политики перед публикацией

1. Для каждой цели указаны категории субъектов, перечень данных, правовое основание, срок и порядок уничтожения.
2. Цели для работников, для соискателей на конкретную вакансию и для кадрового резерва разделены.
3. Перечень данных работников не шире статьи 65 ТК РФ и требований федеральных законов для конкретных должностей.
4. Сведения о судимости и медицинские сведения указаны только для должностей, где их требует закон.
5. Срок хранения резюме привязан к цели и согласию, условного общего срока нет.
6. Названы получатели и лица, которым поручена обработка.
7. Базы данных для записи и хранения данных граждан России находятся в России, и это отражено в тексте.
8. Права субъектов не ограничены, указан контакт ответственного.
9. Текст согласия не встроен в политику, анкету или трудовой договор.
10. Сведения политики совпадают с уведомлением в Роскомнадзор.
11. Политика доступна на всех страницах сайта, где собираются данные.

Данные работников и соискателей: какие сведения вносить в политику

Работники: объём данных и порядок получения

ТК РФ ограничивает цели обработки данных работника трудовыми и связанными с ними задачами. Объём данных определяется по ТК РФ и другим федеральным законам (пункты 1-2 статьи 86). Специальные категории данных работника работодатель не вправе получать и обрабатывать, кроме случаев из ТК РФ и федеральных законов (пункт 4). То же правило действует для сведений о членстве в общественных объединениях и профсоюзной деятельности (пункт 5). Доступ к данным работников получают только специально уполномоченные лица и только в объёме, нужном для их функций (пункт 5 статьи 88).

Данные получают у самого работника. Если их можно получить только у третьей стороны, работника уведомляют заранее и получают его письменное согласие. В уведомлении называют цели, предполагаемые источники и способы получения, характер данных и последствия отказа дать согласие (пункт 3 статьи 86). Запрос сведений у прежнего работодателя подпадает под это правило.

Перечень документов при заключении трудового договора закрыт статьёй 65 ТК РФ и применимыми федеральными законами. Для отдельных категорий он расширяется. Для несовершеннолетних нужно согласие родителя или опеки. Для иностранцев — патент, разрешение на работу или вид на жительство. Для должностей с ограничением по судимости — справка об отсутствии судимости. Каждая такая позиция попадает в политику вместе с категорией работников, к которой относится.

Анкета кандидата и чек-лист службы безопасности проверяются на запросы сверх перечня. Любой лишний пункт попадает в политику как избыточные данные.

Мария Ж, HR-эксперт с 13-летним стажем: «Перечень документов для приёма расширяют только три источника: федеральный закон, указ Президента и постановление Правительства. Приказ министерства, письмо ведомства и внутренний регламент компании к ним не относятся. Служба безопасности иногда просит справку о доходах с прошлого места или характеристику. Законного основания у такого запроса нет: кандидат вправе отказаться, и отказать ему в приёме на этом основании нельзя. Прежде чем вносить такие сведения в перечень данных, найдите для них норму.»

Важный нюанс из практики: внешнему совместителю, которого принимают на вредное производство или опасные виды работ, нужна справка с основного места работы. Смысл требования — не допустить работу во вредных условиях одновременно на основной работе и по совместительству. Если работодатель этого не выяснил и человек работал в двойной вредности, ответственность лежит на работодателе. В таблице целей эти сведения относятся только к категории совместителей.

Важный нюанс из практики: медицинская книжка обязательна при приёме для работников образования, торговли, медицины и общественного питания. Если таких должностей в организации нет, сведения из медицинской книжки в перечень данных политики не вносятся. Если такие должности есть, сведения указываются только для них.

Соискатели и кадровый резерв

Рассмотрение кандидатуры на конкретную вакансию и хранение данных в кадровом резерве — две цели с разными сроками. В разъяснениях Роскомнадзора об обработке данных работников и соискателей от 14.12.2012 согласие на рассмотрение резюме связано с периодом принятия решения о приёме или отказе. Документ не нормативный. Он написан до отмены кадрового исключения из уведомления и до требования об отдельном согласии, поэтому применяется вместе с действующей редакцией 152-ФЗ.

Цели разделяют часть 2 статьи 5 и часть 1 статьи 9 152-ФЗ: цель обработки должна быть конкретной и заранее определённой, согласие — конкретным и информированным. Согласие на рассмотрение одной вакансии не покрывает хранение резюме в резерве. Для резерва берут отдельное согласие со своим сроком.

Минимизацию данных Роскомнадзор отдельно рекомендовал в сообщении от 08.08.2023 о сборе и хранении персональных данных. Ведомство советует собирать только нужные сведения и раздельно хранить данные разных категорий субъектов, включая работников и соискателей. В кадровой практике это отдельные разделы системы или папки для резюме и для личных дел.

Проверку кандидата службой безопасности в таблице целей выделяют отдельной строкой. У этой цели свой перечень источников и своё согласие кандидата.

Согласие на обработку персональных данных: когда нужно и как оформить

Согласие — одно из оснований обработки, и на каждую кадровую операцию его не собирают. Пункты 2 и 5 части 1 статьи 6 152-ФЗ разрешают обработку без согласия в двух случаях. Первый — исполнение обязанностей, возложенных законом. Второй — исполнение или заключение договора по инициативе субъекта. На этих основаниях идут отчётность в Социальный фонд России и налоговые органы и расчёт заработной платы по трудовому договору. Согласие на такую обработку ничего не добавляет. Если работник его отзовёт, обработка продолжится на законном основании (часть 2 статьи 9).

Наличие согласия или иного основания доказывает оператор (часть 3 статьи 9). Поэтому основание по каждой цели прописывается в таблице раздела 2 политики. Согласие нужно там, где закона и договора недостаточно:

• рассмотрение резюме соискателя;
• кадровый резерв;
• получение данных работника у третьей стороны по пункту 3 статьи 86 ТК РФ;
• передача данных третьим лицам вне случаев из статьи 88 ТК РФ;
• проверка кандидата службой безопасности.

Отдельное согласие с 1 сентября 2025 года и его обязательные реквизиты

С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые субъект подтверждает или подписывает. Такую редакцию части 1 статьи 9 152-ФЗ ввела статья 5 Федерального закона от 24.06.2025 № 156-ФЗ. Пункт о согласии внутри трудового договора, анкеты, заявления о приёме или текста политики этому требованию не отвечает. Бланк согласия на обработку персональных данных — самостоятельный документ с отдельной подписью.

Согласие должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным (часть 1 статьи 9). Письменное согласие, когда закон его требует, содержит реквизиты субъекта и оператора, цель обработки, перечень данных, действия с ними, срок действия и способ отзыва (часть 4 статьи 9). Согласие без обязательного реквизита нарушает требования к составу письменного согласия. Ответственность за это установлена частью 2 статьи 13.11 КоАП РФ.

Согласие на распространение — отдельный режим статьи 10.1 152-ФЗ. Если данные работника публикуются на сайте или в открытых каналах компании, общее согласие на кадровую обработку его не заменяет.

После отзыва согласия данные уничтожают в течение 30 дней, если их сохранение больше не требуется и нет другого законного основания (часть 5 статьи 21). Поэтому в таблице целей рядом с согласием указывают, есть ли у этой цели запасное основание.

В библиотеке шаблонов Добыто согласие на обработку персональных данных и согласие на проверку службой безопасности выложены отдельными файлами. В КЭДО кадровые документы подписываются электронной подписью сотрудника, ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах. Согласие загружается как самостоятельный документ со своей подписью.

Где разместить политику и когда уведомлять Роскомнадзор

Если оператор собирает данные через интернет, политика и сведения о мерах защиты публикуются в сети, в том числе на страницах сайта, где идёт сбор. К ним обеспечивается доступ через сеть (часть 2 статьи 18.1 152-ФЗ). Для работодателя это страница вакансий с формой отклика, форма обратной связи, анкета кандидата и страница подписания документов. Если анкета заполняется на отдельной странице, ссылки на политику только в подвале главной страницы недостаточно.

Уведомление Роскомнадзора о намерении обрабатывать персональные данные

Уведомление подают до начала обработки, кроме случаев, перечисленных в части 2 статьи 22 152-ФЗ. Прежние пункты 1-6 этой части утратили силу с 01.09.2022 по Федеральному закону от 14.07.2022 № 266-ФЗ. Среди них было исключение для обработки только кадровых данных. Организация, которая обрабатывает только данные своих работников, в 2026 году уведомление подаёт, если не подпадает под оставшиеся исключения части 2.

Форма заполняется на портале персональных данных Роскомнадзора. Формы уведомлений о намерении обрабатывать данные, об изменении сведений и о прекращении обработки утверждены приказом Роскомнадзора от 28.10.2022 № 180. Если сведения из уведомления меняются, оператор сообщает об изменениях по части 7 статьи 22. Поэтому новую цель обработки вносят в политику и в уведомление одновременно.

Утечка данных: сроки сообщения в Роскомнадзор

Срок отсчитывается от неправомерной или случайной передачи данных, которая повлекла нарушение прав субъектов. В течение 24 часов оператор сообщает Роскомнадзору об инциденте, его причинах и предполагаемом вреде, о принятых мерах и о контактном лице. В течение 72 часов он сообщает о результатах внутреннего расследования (пункты 1-2 части 3.1 статьи 21 152-ФЗ). Сроки считаются в часах, поэтому в локальном акте называют сотрудника, который отвечает за эти сообщения, и его замену.

Как подготовить и опубликовать политику обработки персональных данных: пошаговая инструкция

1. Шаг 1. Назначьте приказом ответственного за организацию обработки персональных данных по пункту 1 части 1 статьи 18.1 152-ФЗ.
2. Шаг 2. Составьте перечень целей: работники, соискатели на вакансию, кадровый резерв, бухгалтерский и налоговый учёт. Для каждой цели определите субъектов, данные, основание и срок.
3. Шаг 3. Проверьте, где хранятся данные. При сборе данных граждан России базы для их записи и хранения должны находиться в России, кроме исключений из части 1 статьи 6.
4. Шаг 4. Заполните образец по разделам 1-5 и сверьте его с локальными актами, которые описывают обработку по каждой цели.
5. Шаг 5. Вынесите согласия в самостоятельные документы по части 1 статьи 9. Согласие на распространение оформите по статье 10.1.
6. Шаг 6. Утвердите политику и разместите её на сайте, включая страницы, где собираются данные.
7. Шаг 7. Ознакомьте работников под подпись с документами о порядке обработки их данных по пункту 8 статьи 86 ТК РФ. Сотрудников, допущенных к обработке, ознакомьте с правилами обработки.
8. Шаг 8. Подайте уведомление в Роскомнадзор до начала обработки. При изменении сведений направьте уведомление об изменениях.

Коммерческая тайна и персональные данные: два разных режима

Персональные данные не становятся коммерческой тайной автоматически. По статье 3 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» это режим конфиденциальности для сведений с коммерческой ценностью. К таким сведениям нет свободного доступа на законном основании, и обладатель ввёл в отношении них режим. Режим считается установленным только после мер из части 1 статьи 10 (часть 2 статьи 10). К этим мерам относятся:

• определение перечня сведений;
• ограничение доступа и учёт лиц, получивших доступ;
• регулирование отношений с работниками и контрагентами;
• нанесение грифа на носители.

Конфиденциальность персональных данных установлена статьёй 7 152-ФЗ и действует без грифа. Если компания включила сведения о работниках в перечень коммерческой тайны, режим 98-ФЗ действует в дополнение к защите по 152-ФЗ. Внутренний гриф не заменяет режим защиты персональных данных. Сам по себе он не отменяет передачу данных по законному требованию уполномоченного органа: статья 88 ТК РФ допускает передачу без согласия работника в случаях, предусмотренных федеральными законами.

Разглашение коммерческой тайны по пункту 9 статьи 3 98-ФЗ — доведение информации до третьих лиц без согласия обладателя или вопреки договору. Для персональных данных работников действует свой перечень запретов из статьи 88 ТК РФ. Раздел политики о конфиденциальности ссылается на статью 7 152-ФЗ и статью 88 ТК РФ. Упоминание коммерческой тайны в публичном документе уместно, только если режим действительно введён мерами статьи 10.

Штрафы по статье 13.11 КоАП РФ за нарушения с персональными данными

С 30 мая 2025 года действуют составы и санкции статьи 13.11 КоАП РФ в редакции Федерального закона от 30.11.2024 № 420-ФЗ. Размер штрафа зависит от части статьи и от того, кто привлекается. В таблице приведены санкции для должностных и юридических лиц по составам, которые касаются кадровой обработки:

Нарушения по частям 3 и 10 видны без всякого инцидента. Отсутствие политики проверяется по сайту, отсутствие уведомления — по реестру операторов на портале персональных данных Роскомнадзора. С этих двух проверок стоит начинать самоаудит. Повторные нарушения наказываются по отдельным частям статьи 13.11 с более высокими санкциями.

Когда типовой образец политики не подойдёт

Образец рассчитан на кадровую обработку и подбор. В четырёх ситуациях его нужно перерабатывать, а не только заполнять прочерки:

• Организация обрабатывает специальные категории данных или биометрию. Для этих целей нужны свои основания и разделы. Неправомерная передача таких данных наказывается по частям 16-17 статьи 13.11 КоАП РФ.
• Данные кандидатов или работников записываются и хранятся в зарубежных сервисах. Пункт 3.4 образца не соответствует действительности, и менять сначала нужно инфраструктуру, затем текст.
• Кадровый или бухгалтерский учёт ведёт сторонняя организация. Раздел 4 дополняется сведениями о поручении, а основание сверяется со статьёй 6 152-ФЗ.
• Компания собирает через сайт данные клиентов и пользователей. Кадровые цели образца эту обработку не покрывают, и таблицу целей расширяют.

Стоимость КЭДО для работы с согласиями и кадровыми документами

Стоимость зависит от численности сотрудников, видов подписи и нужных функций: интеграции с 1С, электронного архива, выделенного сервера.

Итоговая сумма считается по числу сотрудников. Для тарифа «Бизнес» действует минимальная оплата 50 сотрудников за 30 000 ₽ в год. Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду. Цены указаны на дату публикации, актуальные условия по каждому тарифу — на странице тарифов Добыто КЭДО.

Выводы

Политика обработки персональных данных — публичная часть комплекта документов. Она показывает любому читателю цели, основания и права субъекта, а способы, сроки и порядок уничтожения по каждой цели закреплены во внутренних актах. Рабочий образец собирается вокруг таблицы целей. В ней работники, соискатели на вакансию и кадровый резерв разведены по основаниям и срокам, а согласие вынесено в отдельный документ. Публикация политики на страницах сбора данных и уведомление Роскомнадзора до начала обработки закрывают два состава КоАП, которые проверяющий выявляет без инцидента.

В Добыто кадровые документы, согласия и ознакомление с локальными актами проходят через КЭДО с электронной подписью сотрудника и электронным архивом. Сроки из политики и фактическое хранение документов при этом ведутся в одной системе.

Частые вопросы о политике и согласиях на обработку персональных данных

Обязан ли индивидуальный предприниматель публиковать политику обработки персональных данных?

Часть 2 статьи 18.1 152-ФЗ адресует обязанность опубликовать политику или обеспечить к ней неограниченный доступ оператору. ИП, у которого есть работники, тоже оператор. За невыполнение этой обязанности часть 3 статьи 13.11 КоАП РФ устанавливает для индивидуальных предпринимателей штраф от 10 000 до 20 000 руб. Требование пункта 2 части 1 статьи 18.1 об издании документов о политике и локальных актов сформулировано для оператора — юридического лица. Поэтому состав внутренних документов ИП сверяет с действующей редакцией закона.

В какой срок ответить работнику, который требует прекратить обработку его данных?

Оператор отвечает в срок не более 10 рабочих дней. Срок можно продлить не более чем на 5 рабочих дней, если направить мотивированное уведомление с причинами продления (часть 5.1 статьи 21 152-ФЗ). Обработку можно продолжить, если для неё есть предусмотренное законом основание. Данные действующего работника, нужные для исполнения трудового договора и обязанностей по закону, подпадают под пункты 2 и 5 части 1 статьи 6.

Что делать, если данные нельзя уничтожить в течение 30 дней?

Часть 6 статьи 21 152-ФЗ предусматривает блокирование таких данных и их последующее уничтожение в срок до 6 месяцев, если федеральным законом не установлен иной срок. В локальном акте фиксируют, кто принимает решение о блокировании и как оформляется уничтожение. Это позволяет подтвердить соблюдение срока по запросу Роскомнадзора на основании части 4 статьи 18.1.

Нужно ли пересматривать политику после поправок 2026 года?

На 24.10.2026 последние изменения 152-ФЗ внесены Федеральным законом от 26.07.2026 № 265-ФЗ, опубликованным 26.07.2026. Поправки затронули статью 12. Закон вступил в силу со дня опубликования, кроме отложенных положений его статьи 2. Положения политики и локальных актов, основанные на статье 12, сверяют с новой редакцией. Политику также пересматривают при появлении новой цели обработки, нового получателя или обработчика и при смене систем, где хранятся данные.

Сколько стоит повторное нарушение правил обработки персональных данных?

За повторную обработку без законного основания или не по цели юрлицо платит от 300 000 до 500 000 руб., должностное лицо — от 100 000 до 200 000 руб. (часть 1.1 статьи 13.11 КоАП РФ). Повторная обработка без обязательного письменного согласия или с нарушением его состава стоит юрлицу от 1 000 000 до 1 500 000 руб. Для ИП штраф составляет от 500 000 до 1 000 000 руб., для должностного лица — от 300 000 до 500 000 руб. (часть 2.1). За повторную неправомерную передачу из частей 12-14 юрлицу назначают от 1 до 3% выручки или капитала. Минимальный размер — 20 000 000 руб., верхняя граница — 500 000 000 руб. (часть 15).

Нужно ли согласие работников, чтобы передать кадровый учёт на аутсорсинг?

Передача ведения кадрового или бухгалтерского учёта сторонней организации оформляется поручением по частям 3-5 статьи 6 152-ФЗ. Договор определяет перечень данных, действия, цели, конфиденциальность и требования к защите. Перед работником за действия исполнителя отвечает работодатель. Разъяснения Роскомнадзора от 14.12.2012 отдельно предупреждают о получении согласия при привлечении сторонней организации для кадрового или бухгалтерского учёта. Этот документ не нормативный, поэтому основание сверяют со статьёй 6 152-ФЗ и условиями конкретного поручения.