Оператор персональных данных — это лицо, которое само определяет цели и состав обработки данных физических лиц, и статус возникает по факту, а не по решению руководителя и не после регистрации где-либо. Компания становится оператором в момент, когда приняла первую анкету кандидата или заключила первый трудовой договор. Численность, форма собственности и наличие сайта на это не влияют. Дальше закон требует пяти действий: уведомить Роскомнадзор до начала обработки, назначить ответственного, издать политику и локальные акты, получить согласия там, где нет другого основания, и обеспечить защиту данных. Объём обязанностей определяет одно различие: работодатель всегда оператор, а сервис КЭДО, бухгалтерский аутсорсер и внешняя служба безопасности работают по его поручению.
Разберём, как определить статус по трём вопросам, чем поручение обработки отличается от передачи данных третьему лицу и когда согласие работника обязательно, а когда его требовать не нужно. Покажем состав обязательного комплекта документов оператора и сроки, которые чаще всего пропускают: 15-е число следующего месяца для изменений в уведомлении, 24 часа на сообщение об утечке, 30 дней на уничтожение данных после достижения цели. Размеры штрафов по статье 13.11 КоАП на 2026 год, стоимость перевода кадровых документов в электронный вид и ответы на частые вопросы — во второй половине статьи.
Когда компания становится оператором персональных данных
Статус оператора возникает автоматически. По пункту 2 статьи 3 закона 152-ФЗ оператор — это государственный орган, юридическое или физическое лицо, которое организует и осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и совершаемые с ними действия. Ни одно из этих условий не требует заявления, разрешения или взноса. Компания, которая приняла резюме на почту и сохранила его в папку, уже определила цель обработки и состав данных.
Отсюда следует практическое правило: момент возникновения статуса почти всегда раньше, чем момент, когда о нём вспоминают. У большинства организаций это день, когда открылась первая вакансия, а не день приёма первого работника: анкета кандидата, его резюме и результаты собеседования — уже персональные данные.
Три вопроса, которые определяют статус
- Кто решает, зачем собираются данные. Если цель обработки формулирует ваша компания, вы оператор. Если цель пришла извне вместе с договором и инструкцией, вы, скорее всего, обработчик по поручению.
- Кто решает, какие именно данные собираются. Оператор определяет перечень: паспортные данные, СНИЛС, ИНН, сведения об образовании, о детях, о состоянии здоровья по медосмотру.
- Кто отвечает перед человеком. Именно оператор рассматривает обращения субъекта, прекращает обработку по отзыву согласия и уничтожает данные.
Ответ на любой из трёх вопросов «мы» означает статус оператора со всеми обязанностями главы 4 закона 152-ФЗ.
Разберём типовые ситуации, в которых компании ошибаются со своим статусом.
| Ситуация | Статус компании | Что критично сделать |
|---|---|---|
| ООО с тремя работниками, кадры ведёт директор в таблице | Оператор | Уведомить Роскомнадзор, издать политику и ЛНА, назначить ответственного |
| Компания без работников, есть только договоры с юрлицами | Оператор | Учесть данные подписантов и представителей контрагентов как персональные |
| Кадровый учёт передан бухгалтерской фирме | Оператор, аутсорсер — обработчик | Оформить поручение обработки по части 3 статьи 6 закона 152-ФЗ |
| Документы подписываются в сервисе КЭДО | Оператор, сервис — обработчик | Собрать согласия самостоятельно, не перекладывая это на сервис |
| Проверка кандидатов заказана внешней компании | Оператор, подрядчик — самостоятельный оператор | Получить письменное согласие кандидата до передачи данных подрядчику |
| На сайте есть форма отклика на вакансию | Оператор | Опубликовать политику обработки на странице сбора данных по части 2 статьи 18.1 |
Ни в одной строке таблицы статус оператора не снимается передачей работы наружу. Аутсорсинг меняет исполнителя, но не переносит ответственность перед работником или кандидатом.
Оператор и обработчик по поручению: кто отвечает перед работником
Часть 3 статьи 6 закона 152-ФЗ разрешает оператору поручить обработку другому лицу с согласия субъекта персональных данных. Поручение оформляется договором или отдельным актом, в котором указаны перечень действий, цели обработки, обязанность соблюдать конфиденциальность и требования к защите. Обработчик не обязан получать согласие субъекта: это делает оператор. Перед работником отвечает оператор, даже если данные утекли на стороне подрядчика.
Практическая развилка возникает при подключении сервиса КЭДО. Если работник регистрируется в системе сам и сам подтверждает условия, сервис собирает согласие в своих отношениях с ним. Если работодатель загружает реестр сотрудников и заводит учётные записи массово, данные передаёт работодатель, и согласие на такую передачу берёт тоже работодатель.
Полезно знать: при массовой регистрации сотрудников через интеграцию с учётной системой персональные данные в сервис передаёт работодатель, а сервис действует по его поручению. Согласие в этом сценарии собирает работодатель, а не разработчик системы.
В практике Добыто это первый вопрос, который мы закрываем на старте внедрения: сначала оформляется поручение обработки и уточняется, кто и как получает согласия, и только потом заводятся учётные записи. Обратный порядок даёт ситуацию, когда система уже работает, а правового основания для передачи данных в неё нет.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Поручение обработки часто путают с продажей ответственности. Подрядчик берёт на себя техническую часть, но перед работником по-прежнему отвечает работодатель: он определил цель, он собрал данные, ему и рассматривать обращения. Перед подключением любого внешнего сервиса проверьте, есть ли в договоре перечень поручаемых действий и цели обработки. Если этих пунктов нет, договор не закрывает требование части 3 статьи 6.»
Согласие на обработку персональных данных: когда обязательно, когда не требуется
Согласие — не универсальное основание, а одно из одиннадцати оснований части 1 статьи 6 закона 152-ФЗ. Обработка данных работника для исполнения трудового договора идёт по пункту 5 части 1 статьи 6 и не требует отдельного согласия: расчёт зарплаты, ведение табеля, оформление приказов и передача сведений в Социальный фонд России основаны на законе и договоре. Требовать согласие там, где действует другое основание, невыгодно самой компании: отозванное согласие придётся отрабатывать по процедуре, хотя обязанность вести кадровый учёт никуда не денется.
Письменное согласие по части 4 статьи 9 нужно в других случаях. Это проверка кандидата с обращением к внешним источникам, передача данных в компанию группы или подрядчику, обработка биометрии, публикация фотографии сотрудника на сайте, сбор данных о родственниках сверх того, что нужно для льгот и вычетов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Соберите согласие под свою цель обработки
Обязательные реквизиты письменного согласия перечислены в части 4 статьи 9: сведения о субъекте и о документе, удостоверяющем личность, наименование и адрес оператора, цель обработки, перечень данных, перечень действий с ними, срок действия и порядок отзыва. Согласие без перечня действий и без порядка отзыва Роскомнадзор считает не соответствующим требованиям к составу сведений.
Факт: компании, оказывающие услуги проверки кандидатов, работают как самостоятельные операторы с собственным уведомлением в Роскомнадзор, но согласие кандидата на обработку получает заказчик. Без такого согласия у подрядчика нет основания начинать проверку.
Мария Ж, HR-эксперт с 13-летним стажем: «Кандидату кажется, что проверка службой безопасности начинается с запроса в базы. На деле она начинается с его подписи под согласием: без неё подрядчик не имеет права даже принять от заказчика фамилию и дату рождения. Если вы отдаёте проверку наружу, включите в анкету отдельный лист согласия с перечнем источников и оставьте себе оригинал. При споре именно этот лист подтверждает законность обработки.»
Уведомление Роскомнадзора: кто подаёт и что грозит за пропуск
Часть 1 статьи 22 обязывает оператора уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. Раньше в части 2 этой статьи было исключение для данных работников, но пункты 1-6 утратили силу с 1 сентября 2022 года. Сейчас в перечне исключений остались три случая: данные в государственных информационных системах, созданных в целях защиты безопасности государства, обработка исключительно без использования средств автоматизации и обработка в рамках законодательства о транспортной безопасности.
Второе исключение на практике доступно единичным организациям. Обработка без средств автоматизации означает бумагу и только бумагу: ни таблицы с реестром сотрудников, ни кадровой программы, ни отправки скана по электронной почте. Компания, которая ведёт табель в электронной таблице, под это исключение не подпадает.
Роскомнадзор вносит сведения в реестр в течение 30 дней с даты поступления уведомления. Проверить своё присутствие в нём можно бесплатно: на 10 сентября 2026 года реестр операторов персональных данных содержит 2 649 767 записей, поиск идёт по ИНН или части наименования.
В практике Добыто мы сверяем сведения из реестра с фактическим составом обрабатываемых данных до того, как заводить учётные записи в системе: если в уведомлении не указан сервис как лицо, обрабатывающее данные по поручению, сведения придётся дополнять уже после запуска. Подать первичное уведомление можно через электронную форму уведомления об обработке персональных данных на портале Роскомнадзора, там же доступна форма внесения изменений.
Как подать уведомление об обработке персональных данных: пошаговая инструкция
- Шаг 1. Опишите цели обработки по каждой категории субъектов отдельно: работники, кандидаты, клиенты, представители контрагентов. Формулировка цели переносится в уведомление дословно.
- Шаг 2. Составьте перечень обрабатываемых данных под каждую цель и отметьте специальные категории, если обрабатываете сведения о здоровье по результатам медосмотров.
- Шаг 3. Назначьте приказом ответственного за организацию обработки персональных данных: его фамилия и контакты входят в состав сведений уведомления по пункту 7.1 части 3 статьи 22.
- Шаг 4. Заполните электронную форму уведомления, указав меры защиты, место нахождения базы данных и сведения о лицах, обрабатывающих данные по вашему поручению.
- Шаг 5. Подпишите уведомление усиленной квалифицированной электронной подписью или отправьте распечатанный экземпляр в территориальный орган, после чего через месяц проверьте себя в реестре.
Сведения в уведомлении не заморожены навсегда. При изменении данных из части 3 статьи 22 оператор уведомляет Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем, в котором изменения произошли. При полном прекращении обработки на уведомление отводится 10 рабочих дней.
Обязательный комплект оператора: документы, ответственный, сроки
Статья 18.1 перечисляет меры, которые оператор принимает самостоятельно. Проверяющий смотрит не на декларацию о защите данных, а на конкретные подписанные документы и на то, соответствует ли им фактический порядок работы.
| Обязанность | Норма | Чем подтверждается |
|---|---|---|
| Назначить ответственного за организацию обработки | Пункт 1 части 1 статьи 18.1 | Приказ с фамилией и контактами, те же данные в уведомлении |
| Издать политику и локальные акты по обработке | Пункт 2 части 1 статьи 18.1 | Политика, положение об обработке, перечни данных и категорий субъектов |
| Опубликовать политику при сборе данных через интернет | Часть 2 статьи 18.1 | Открытая страница на сайте, где размещена форма сбора данных |
| Ознакомить работников с локальными актами | Статья 87 и статья 68 ТК РФ | Лист ознакомления с подписями или подтверждение в системе КЭДО |
| Провести оценку вреда субъектам | Приказ Роскомнадзора от 27.10.2022 № 178 | Акт оценки, подготовленный ответственным или комиссией оператора |
| Подтверждать уничтожение данных | Приказ Роскомнадзора от 28.10.2022 № 179 | Акт об уничтожении и выгрузка из журнала событий, хранение 3 года |
Две последние строки таблицы дают самый частый пробел. Оценка вреда и подтверждение уничтожения действуют с 1 марта 2023 года, но в комплектах документов, которые мы видим при аудите перед внедрением КЭДО, они отсутствуют чаще остальных пунктов. Если обработка идёт с использованием средств автоматизации, одного акта об уничтожении недостаточно: нужна ещё выгрузка из журнала регистрации событий информационной системы.
Мария Ж, судебный эксперт по трудовому праву: «В споре доказывание идёт по порядку: сначала работодатель подтверждает право вести кадровые документы электронно, и только потом — что конкретный документ подписан конкретным человеком. Если первый уровень рассыпается, аккуратный журнал подписания уже не помогает. Поэтому комплект локальных актов и подтверждения ознакомления собирают до запуска системы, а не в момент, когда пришёл запрос.»
Шаблоны локальных актов и согласий для оператора персональных данных
Комплект собран под задачу первичного оформления статуса оператора: начните с правил обработки, они задают структуру остальных документов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
| Опись документов личного дела | Скачать |
Доступ, хранение и утечки: что делать после запуска
Обязанности оператора не заканчиваются комплектом документов. Работает связка из трёх вещей: ограничение доступа, соблюдение сроков хранения и порядок действий при инциденте.
Доступ ограничивается по принципу необходимости: бухгалтер по зарплате видит реквизиты для перечисления, руководитель подразделения — табель и заявления своих подчинённых, служба безопасности — данные, перечисленные в положении о проверке. Список ролей закрепляется локальным актом, а не устной договорённостью.
Внимание: журнал действий в информационной системе выгружается целиком и показывает не только подписание документа. В нём видно дату выдачи ключа, вход под чужой учётной записью и отсутствие активности работника при формально подписанном документе.
Сроки уничтожения жёсткие. При достижении цели обработки данные уничтожаются в течение 30 дней. Если субъект отозвал согласие и другого основания для обработки нет, оператор прекращает обработку в течение 10 рабочих дней с даты обращения, и этот срок продлевается не более чем на 5 рабочих дней с направлением мотивированного уведомления. Сроки хранения кадровых документов задаёт архивное законодательство, и перевод документов в электронный вид их не сокращает.
При утечке действуют два срока подряд. По части 3.1 статьи 21 оператор в течение 24 часов сообщает в Роскомнадзор о самом инциденте, а в течение 72 часов направляет результаты внутреннего расследования. Отсчёт идёт с момента обнаружения, поэтому дата обнаружения фиксируется письменно.
Лайфхак: журнал подписания и журнал доступа стоит смотреть до того, как начался спор. Мы проводим такую сверку перед проверками и перед увольнениями, на которых ожидаем конфликт.
Персональные данные и коммерческая тайна: где проходит граница
Два режима часто смешивают в одном положении, хотя они защищают разное и разными способами. Персональные данные защищаются законом 152-ФЗ в интересах работника, коммерческая тайна — законом 98-ФЗ в интересах компании. Отнести данные работников к коммерческой тайне и на этом закрыть вопрос защиты нельзя: обязанности оператора при этом не исчезают.
Статья 5 закона 98-ФЗ прямо запрещает вводить режим коммерческой тайны в отношении сведений о численности и составе работников, о системе оплаты труда, об условиях труда, включая охрану труда, о показателях производственного травматизма, о наличии свободных рабочих мест и о задолженности по заработной плате. Гриф «Коммерческая тайна» на штатном расписании с окладами не работает: увольнение за разглашение таких сведений по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ суд не поддержит.
Режим коммерческой тайны считается установленным, когда выполнены все меры статьи 10 закона 98-ФЗ: утверждён перечень сведений, ограничен доступ, ведётся учёт лиц, получивших доступ, отношения с работниками урегулированы трудовым договором, а на материальные носители нанесён гриф с указанием обладателя и его места нахождения. Пропуск любого из пунктов означает, что режима нет.
Мария Ж, юрист со стажем более 20 лет: «Требования к хранению бумажных документов переносятся на электронные почти без изменений, и это касается обоих режимов. Электронный архив должен обеспечивать поиск, идентификацию документа, контроль доступа и проверку целостности. Прежде чем переводить личные дела в электронный вид, проверьте, умеет ли ваша система показывать, кто и когда открывал карточку конкретного работника.»
Цена ошибки: штрафы за нарушения по персональным данным в 2026 году
С 30 мая 2025 года ответственность по статье 13.11 КоАП РФ работает в новой редакции. Статья содержит несколько самостоятельных составов, и компанию можно оштрафовать по каждому из них отдельно за разные нарушения.
| Нарушение | Штраф на юридическое лицо |
|---|---|
| Политика обработки не размещена или недоступна | от 30 000 до 60 000 ₽ |
| Не подано уведомление о начале обработки | от 100 000 до 300 000 ₽ |
| Обработка без письменного согласия, когда оно обязательно | от 300 000 до 700 000 ₽ |
| Не сообщили об утечке в течение 24 часов | от 1 000 000 до 3 000 000 ₽ |
| Утечка данных от 1 000 до 10 000 субъектов | от 3 000 000 до 5 000 000 ₽ |
| Утечка данных более 100 000 субъектов | от 10 000 000 до 15 000 000 ₽ |
| Повторная утечка любой категории данных | от 1 до 3% годовой выручки, не менее 20 млн и не более 500 млн ₽ |
Разрыв между первой и второй строками объясняет приоритет действий: публикация политики и подача уведомления закрывают самые дешёвые в исполнении составы. Отдельно действует статья 272.1 УК РФ, вступившая в силу 11 декабря 2024 года: за незаконные использование, передачу, сбор или хранение компьютерной информации с персональными данными предусмотрены штраф до 300 000 ₽, принудительные работы или лишение свободы до 4 лет, а по квалифицированным составам — до 6 лет.
Когда сервис КЭДО не решает задачу оператора
Подключение системы электронного документооборота не заменяет статус оператора и не закрывает его обязанности. Если в компании нет политики обработки, приказа об ответственном и подтверждений ознакомления, сервис не создаст их за вас: он лишь перенесёт существующий беспорядок в электронный вид, где он становится нагляднее для проверяющего. Кадровый электронный документооборот на дату публикации остаётся добровольным, обязательным его не сделал ни один нормативный акт. Компании со штатом до пяти человек и очным обменом документами экономический эффект от перехода получают позже, чем распределённые организации, поэтому начинать имеет смысл с комплекта документов оператора, а не с выбора платформы.
Стоимость перевода кадровых документов и персональных данных в электронный вид
Стоимость зависит от численности сотрудников, набора видов электронной подписи и необходимости интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес», без ограничения численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника в месяц, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | выпуск в сервисе |
| УКЭП через партнёров-удостоверяющие центры | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности подключаемых сотрудников и набора функций: электронный архив, кастомные шаблоны и интеграция с 1С входят в тариф «Бизнес», выделенный сервер и персональный менеджер — в тариф «Корпорация». Действующие условия по каждому пакету собраны на странице тарифов ДОБЫТО КЭДО, там же указаны ограничения по численности.
Платформа соответствует требованиям закона 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и закона 152-ФЗ о персональных данных. Тариф меняется в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Статус оператора персональных данных компания получает без заявления и без разрешения, в момент, когда впервые определяет цели и состав обработки данных человека. Передача кадрового учёта на аутсорс или подключение сервиса этот статус не снимает: подрядчик работает по поручению, отвечает перед работником оператор. Базовый минимум состоит из уведомления Роскомнадзора, приказа об ответственном, политики и локальных актов, законного основания для каждой цели обработки, а также порядка хранения, уничтожения и реагирования на инциденты со сроками 24 и 72 часа.
Мы в Добыто начинаем внедрение с аудита этого комплекта и оформления поручения обработки, потому что перевод кадровых документов в электронный вид делает состояние документов оператора видимым: журнал доступа и журнал подписания показывают фактический порядок работы с данными так же ясно, как и подписи под документами.
Частые вопросы
Нужно ли уведомлять Роскомнадзор индивидуальному предпринимателю без работников?
Да, если ИП обрабатывает данные клиентов, заказчиков или контрагентов-физлиц с использованием любых программ, таблиц или почты. Обязанность по части 1 статьи 22 закона 152-ФЗ привязана к факту обработки, а не к наличию наёмного персонала и не к организационно-правовой форме. Штраф за неподанное уведомление для должностных лиц и предпринимателей составляет от 30 000 до 50 000 ₽.
Можно ли включить согласие на обработку персональных данных в текст трудового договора?
Технически можно, но конструкция уязвима. Согласие по части 4 статьи 9 должно быть конкретным, информированным и сознательным, а работник не может отказаться от условия договора, не отказавшись от трудоустройства. Кроме того, отзыв согласия тогда затрагивает договор целиком. Практичнее оформлять отдельный документ на каждую цель обработки, которая не покрыта исполнением трудового договора.
Что делать, если работник отозвал согласие на обработку персональных данных?
Сначала проверьте, есть ли для этой цели другое основание из части 1 статьи 6. Обработка для исполнения трудового договора, налоговой и кадровой отчётности при отзыве согласия продолжается. Если другого основания нет, обработка прекращается в течение 10 рабочих дней с даты обращения, срок продлевается не более чем на 5 рабочих дней с направлением мотивированного уведомления субъекту.
Нужно ли согласие работника на передачу его данных бухгалтерии на аутсорсе?
Да. Часть 3 статьи 6 закона 152-ФЗ разрешает поручить обработку другому лицу с согласия субъекта, а статья 88 ТК РФ запрещает сообщать данные работника третьей стороне без его письменного согласия, кроме случаев, прямо предусмотренных кодексом и федеральными законами. В поручении фиксируются перечень действий, цели обработки, обязанность соблюдать конфиденциальность и требования к защите.
Нужно ли согласие кандидата, который прислал резюме сам?
Для рассмотрения отклика на конкретную вакансию согласие не требуется: кандидат сам направил данные с очевидной целью. Основание заканчивается вместе с целью. Если вы отказали и хотите оставить резюме в базе для будущих вакансий, нужно письменное согласие с указанием срока хранения. Без него данные подлежат уничтожению в течение 30 дней после закрытия вакансии, а факт уничтожения подтверждается актом и выгрузкой из журнала событий информационной системы.
Что нужно менять в уведомлении при переезде офиса или смене ответственного?
Сведения из части 3 статьи 22 включают адрес оператора, цели обработки, перечень мер защиты, данные ответственного за организацию обработки, место нахождения базы данных и сведения о лицах, обрабатывающих данные по поручению. При изменении любого из этих пунктов уведомление о произошедших изменениях подаётся не позднее 15-го числа месяца, следующего за месяцем изменения.
