Оператор персональных данных обязан выполнить требования Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» уже при первых операциях со сведениями о людях. Общего месяца на оформление документов закон не даёт. Уведомление Роскомнадзора, если нет исключения, подают до начала обработки; к запуску должны действовать основания обработки и меры защиты. Юридическое лицо назначает ответственного, утверждает политику и локальные акты. Для кадрового учёта в пределах обязанностей работодателя основанием служит закон, а для дополнительных целей, например кадрового резерва, может потребоваться согласие на обработку персональных данных.
Первый месяц удобно использовать для сверки уведомления, документов и фактических действий сотрудников. Проверка начинается с того, какие сведения компания уже получает: резюме, анкеты клиентов, документы для оформления трудового договора. По каждому процессу можно установить основание, получателей и срок хранения, затем проверить доступы и поручения подрядчикам. Во второй половине материала приведены порядок действий при инциденте, контрольный список готовности и стоимость кадрового электронного документооборота. Сроки закона отделены от организационного плана: недельная проверка процесса не разрешает запускать его без подготовки.
С какого момента возникают обязанности оператора
Статус оператора определяется действиями компании, а не записью в реестре Роскомнадзора. Статья 3 152-ФЗ связывает его с организацией обработки и определением её целей, состава данных и операций. Получение и хранение резюме уже относятся к обработке. Отсутствие работников в штате само по себе не освобождает компанию, которая собирает сведения о клиентах или кандидатах.
При подборе нужно разделить рассмотрение кандидатуры по инициативе соискателя и дополнительную проверку его сведений. Пункт 5 части 1 статьи 6 допускает обработку для заключения договора по инициативе человека. Для иных действий основание устанавливают отдельно, до их начала; согласие не оправдывает сбор избыточных сведений.
Какие сроки нельзя переносить на конец месяца
В календаре оператора фиксируют событие, от которого считается срок, и документ, подтверждающий выполнение обязанности.
| Событие | Срок и действие | Норма 152-ФЗ |
|---|---|---|
| Начало обработки без исключения из уведомления | Уведомить до начала обработки | Часть 1 статьи 22 |
| Изменение сведений уведомления | Сообщить не позднее 15-го числа следующего месяца | Часть 7 статьи 22 |
| Полное прекращение обработки | Уведомить в течение 10 рабочих дней с даты прекращения | Часть 7 статьи 22 |
| Запрос субъекта об обработке его данных | Предоставить информацию и возможность ознакомления в течение 10 рабочих дней; продление не более чем на 5 рабочих дней с мотивированным уведомлением | Часть 1 статьи 20 |
| Выявление передачи или доступа, повлекших нарушение прав субъектов | Первичное уведомление в течение 24 часов; результаты расследования в течение 72 часов с момента выявления | Часть 3.1 статьи 21 |
Срок обновления уведомления считается по календарной дате следующего месяца. Подменять его 15 рабочими днями нельзя. У ответственного должны быть сведения о фактической дате изменения.
Как уведомить Роскомнадзор до начала обработки
Для обычного работодателя обработка кадровых данных с использованием средств автоматизации требует уведомления. Прежнее исключение для трудовых отношений утратило силу с 01.09.2022. В части 2 статьи 22 остались случаи обработки в государственных системах для безопасности государства и общественного порядка, исключительно без средств автоматизации и в предусмотренных законодательством случаях транспортной безопасности. Численность компании отдельным исключением не является.
Официальная форма уведомления Роскомнадзора содержит сведения о целях, способах обработки, ответственном, мерах защиты и местонахождении базы данных. Для каждой цели указывают категории данных и субъектов, основание и перечень операций. Поданные сведения должны описывать действующий процесс, включая внешние системы хранения.
Как подготовить и подать уведомление: пошаговая инструкция
- Шаг 1. Составьте карту процессов: для каждой цели запишите субъектов, состав данных, основание, получателей, системы и сроки хранения. Включите бумажные документы.
- Шаг 2. Проверьте исключения части 2 статьи 22. Если исключение не применяется, подготовьте уведомление до запуска обработки.
- Шаг 3. Сверьте поля формы с политикой, локальными актами и фактическими мерами защиты. Уточните у поставщика адрес базы и порядок доступа.
- Шаг 4. Направьте уведомление на бумаге или электронным документом, подписанным уполномоченным лицом. Сохраните подтверждение отправки и текст уведомления.
- Шаг 5. Проверьте внесённые сведения в реестре операторов. Роскомнадзор вносит их в течение 30 дней с даты поступления уведомления; этот срок не заменяет обязанность подать его заранее.
Если обработка уже началась, в уведомлении указывают фактическую дату её начала. Поздняя подача не устраняет ранее допущенное нарушение; одновременно нужно исправить основания, документы и защиту, а не ждать включения в реестр.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Какие согласия нужны для первых кадровых процессов
Для каждой цели нужно определить основание из части 1 статьи 6 152-ФЗ. Кадровое оформление, расчёт зарплаты и обязательная отчётность опираются на исполнение законодательства и трудового договора в необходимом объёме. Подписание общего согласия всеми работниками не заменяет эту проверку. Дополнительная цель должна иметь собственное основание: рассмотрение кандидата на вакансию не означает разрешения сохранять его сведения для будущих вакансий.
Статьи 86 и 88 Трудового кодекса РФ устанавливают дополнительные правила для данных работников. Получение необходимых сведений от третьей стороны требует предварительного уведомления работника и письменного согласия в предусмотренных статьёй 86 случаях. Передачу данных работника третьим лицам проверяют по статье 88: письменное согласие требуется, кроме законных исключений, в том числе предупреждения угрозы жизни и здоровью. Правило для работников нельзя автоматически переносить на всех посетителей сайта.
Как проверить образец согласия на обработку персональных данных
С 01.09.2025 согласие оформляют отдельно от иных документов и информации, которые человек подписывает или подтверждает. Требование части 1 статьи 9 введено Федеральным законом от 24.06.2025 № 156-ФЗ о создании многофункционального сервиса обмена информацией и изменениях законодательства. Строка о согласии внутри трудового договора для нового согласия этому правилу не соответствует.
Когда закон требует письменную форму, бланк на обработку персональных данных проверяют по 9 пунктам части 4 статьи 9:
- ФИО и адрес субъекта, номер документа, удостоверяющего личность, дата его выдачи и выдавший орган.
- ФИО и адрес представителя, номер основного документа, удостоверяющего его личность, дата выдачи и выдавший орган, реквизиты доверенности или иного документа о полномочиях, если согласие даёт представитель.
- Наименование либо ФИО и адрес оператора.
- Конкретная цель обработки.
- Перечень персональных данных.
- Наименование либо ФИО и адрес обработчика по поручению, если он привлекается.
- Перечень действий и общее описание способов обработки.
- Срок действия согласия и способ отзыва, если федеральный закон не устанавливает иное.
- Подпись субъекта.
Важный нюанс из практики: В образцах встречается перечень, заканчивающийся словами «иные сведения, предоставленные мной», и незаполненное поле получателя согласия без адреса оператора. Эти места требуют проверки до подписания. Конкретный состав данных устанавливают по цели; реквизиты оператора заполняют полностью. Заголовок «Согласие» сам по себе не подтверждает соблюдение статьи 9.
Письменное согласие может быть электронным документом, подписанным электронной подписью по Федеральному закону от 06.04.2011 № 63-ФЗ «Об электронной подписи». Вид подписи проверяют по правилам применяемого документооборота. В остальных случаях статья 9 допускает форму, позволяющую доказать получение согласия; обязанность доказать его наличие лежит на операторе. Для публикации персональных данных работника на открытом сайте проверяют отдельное согласие на распространение по статье 10.1. Общий кадровый бланк не распространяет действие автоматически на публикацию.
В Добыто базовые шаблоны входят в тариф «Старт». При использовании шаблона оператор определяет цель, состав данных, срок и получателей самостоятельно: готовая форма требует заполнения под конкретный процесс.
Почему согласие на КЭДО оформляется отдельно
Согласие на взаимодействие через кадровый электронный документооборот (КЭДО) относится к статье 22.2 ТК РФ. Оно решает вопрос формата кадровых документов. Основания обработки персональных данных проверяют по 152-ФЗ независимо от перехода на КЭДО. У статьи 22.2 есть исключение: согласие на КЭДО не требуется от принятых после 31.12.2021 лиц, у которых на эту дату не было трудового стажа.
Перед запуском подписания в перечне документов должны различаться согласия по 152-ФЗ, согласие на распространение и согласие на КЭДО. Для каждого документа фиксируют назначение и основание его применения.
Какие документы и полномочия установить к запуску
Ответственного за организацию обработки назначает оператор, являющийся юридическим лицом, по статье 22.1 152-ФЗ. Ответственный подотчётен исполнительному органу организации. Его функции включают внутренний контроль, доведение требований до работников и организацию работы с запросами субъектов. В приказе и распределении обязанностей нужно закрепить эти функции и обеспечить доступ к необходимым сведениям.
Статья 18.1 требует необходимых и достаточных мер. Для юридического лица это политика и локальные нормативные акты (ЛНА), описывающие по каждой цели категории субъектов и данных, способы, сроки обработки и хранения, порядок уничтожения, предотвращение нарушений и устранение последствий. Названия и количество отдельных документов закон универсально не задаёт. Проверяют содержание и выполнение процедур.
Политику нужно опубликовать или обеспечить к ней неограниченный доступ иным способом. Если сведения собирают через интернет, политика и сведения о реализуемых требованиях к защите должны быть доступны в соответствующей сети, включая страницы сайта, где происходит сбор. Внутренний ЛНА, лежащий только у специалиста по кадрам, публичный доступ к политике не обеспечивает.
Важный нюанс из практики: Регламент для государственной службы может описывать конкурс на должность и кадровый резерв государственной гражданской службы, а также обработку сведений о родственниках и прохождении службы. Для коммерческой компании такой перечень не становится законным основанием сбора. При адаптации документа каждую категорию данных сопоставляют со своими целями и применимыми нормами.
Работников знакомят под подпись с документами работодателя о порядке обработки их данных по пункту 8 статьи 86 ТК РФ. Лист ознакомления подтверждает доведение правил, но не является согласием на дополнительные цели обработки. К концу первого месяца проверяют, что утверждённая редакция правил совпадает с редакцией, которую получили работники.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как ограничить доступ и проверить защиту данных
Меры безопасности должны действовать при обработке, а эффективность мер в информационной системе оценивают до её ввода в эксплуатацию по статье 19 152-ФЗ. Для информационных систем персональных данных (ИСПДн) применяют постановление Правительства РФ от 01.11.2012 № 1119 о требованиях к защите и приказ ФСТЭК России от 18.02.2013 № 21 о составе организационных и технических мер. Набор мер определяется угрозами и уровнем защищённости; универсальная установка одного средства защиты обязанности не исчерпывает.
В первый месяц проверяют, кто фактически видит анкеты, документы и выгрузки. Закон предусматривает правила доступа, регистрацию и учёт действий в ИСПДн, учёт носителей, обнаружение несанкционированного доступа, восстановление изменённых или уничтоженных данных и контроль защиты. Права сотрудников должны соответствовать их задачам. Отдельно сверяют доступ подрядчиков и возможность выгрузки сведений за пределы системы.
Оценку вреда субъектам оформляют актом по приказу Роскомнадзора от 27.10.2022 № 178 об утверждении требований к такой оценке. Её проводит ответственный либо комиссия оператора. Оценка вреда и определение угроз безопасности выполняют разные функции; наличие одного документа не подтверждает выполнение другой процедуры.
Бумажная обработка также требует защиты. Постановление Правительства РФ от 15.09.2008 № 687 регулирует обработку без средств автоматизации: определяют места хранения и допущенных лиц, обеспечивают сохранность и препятствуют несанкционированному доступу. Бумажные подписи в кадровых документах сами по себе не делают всю деятельность оператора исключительно неавтоматизированной.
Полезно знать: При неавтоматизированной обработке персональные данные обособляют от иной информации на разных носителях, в отдельных разделах или на полях бланков. Для персональных данных, обрабатываемых в разных целях, организуют раздельное хранение.
Когда знакомить сотрудников с правилами доступа
Работникам, непосредственно обрабатывающим данные, доводят требования законодательства и внутренние правила, организуют ознакомление и (или) обучение по статье 18.1. Это относится и к HR-специалисту, и к другим сотрудникам с доступом. Организационно ознакомление увязывают с допуском к данным, чтобы сотрудник применял правила с первой самостоятельной операции.
В контрольной проверке сопоставляют список допущенных лиц с действующими учётными записями и подтверждениями ознакомления. Уволенные и сменившие обязанности сотрудники не должны сохранять прежние права без рабочего основания.
Как оформить подрядчиков и размещение баз данных
Поручение обработки внешнему сервису не прекращает статус работодателя как оператора. По части 3 статьи 6 152-ФЗ поручение оформляют договором или соответствующим актом, с согласием субъекта, если федеральный закон не устанавливает иное. Для данных работников дополнительно проверяют ограничения статьи 88 ТК РФ. При выборе сервиса нужно установить, действует ли он по поручению или определяет собственные цели обработки.
В поручении закрепляют перечень данных и операций, цели, конфиденциальность, требования части 5 статьи 18 и статьи 18.1, предоставление подтверждающих документов по запросу оператора до начала обработки и в течение срока поручения, безопасность и требования статьи 19. Устанавливают обязанность уведомлять оператора об инцидентах части 3.1 статьи 21. Проверка этих условий должна предшествовать передаче данных; общей фразы о соблюдении 152-ФЗ недостаточно для описания поручения.
При подключении Добыто обязанности работодателя по уведомлению Роскомнадзора, основаниям обработки и собственной политике сохраняются. Договор с поставщиком КЭДО проверяют как часть кадрового процесса; предоставленные функции подписания не заменяют распределения обязанностей по персональным данным.
Как проверить российскую базу и трансграничную передачу
С 01.07.2025 действует редакция части 5 статьи 18, введённая Федеральным законом от 28.02.2025 № 23-ФЗ об изменениях законодательства о персональных данных. При сборе данных граждан РФ нельзя выполнять перечисленные в этой норме запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз за пределами РФ, кроме исключений пунктов 2, 3, 4 и 8 части 1 статьи 6. Согласие субъекта само по себе к этим исключениям не относится.
Уведомление о трансграничной передаче по статье 12 подают отдельно, до её начала. До подачи получают предусмотренные законом сведения об иностранном получателе и защите данных. При соблюдении остальных требований передача в страны перечня Роскомнадзора возможна после направления уведомления, до принятия решения ведомства. Для стран вне перечня передача до истечения 10 рабочих дней с даты поступления уведомления в Роскомнадзор запрещена, кроме случая защиты жизни, здоровья и иных жизненно важных интересов субъекта или других лиц. При запросе дополнительных сведений рассмотрение приостанавливается; решение о запрете или ограничении также нужно учитывать. Правила применяют в редакции Федерального закона от 26.07.2026 № 265-ФЗ.
До выбора иностранного сервиса или предоставления зарубежного доступа оператор устанавливает адреса баз, получателей и страны передачи. Наличие российского интерфейса или договора с российским посредником этих сведений не подтверждает. Результат проверки сохраняют вместе с договором и картой обработки.
Почему коммерческая тайна не заменяет защиту персональных данных
Конфиденциальность персональных данных предусмотрена статьёй 7 152-ФЗ. Для неё не требуется предварительно вводить режим коммерческой тайны. Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне» регулирует другой режим: перечень охраняемой информации, ограничение доступа, учёт получивших доступ лиц, договорные условия и гриф с указанием обладателя по статье 10.
Сведения о численности и составе работников, системе оплаты труда, условиях труда и задолженности по зарплате входят в исключения статьи 5 98-ФЗ. При этом информация о конкретном работнике продолжает оцениваться по законодательству о персональных данных. Обязательство о неразглашении не создаёт основания для лишнего сбора или передачи данных. В локальных актах нужно проверить оба режима раздельно и сохранить права работников на информацию о себе.
Что проверить к концу первого месяца
Сроки статей 20 и 21 требуют заранее организовать приём запросов и сообщений об инцидентах. Ответственный должен получать обращения, устанавливать относящийся к ним процесс и контролировать исполнение. В ответе субъекту не раскрывают данные других людей; отказ в предоставлении информации оформляют мотивированно с предусмотренным законом основанием.
Как действовать при инциденте и завершении обработки
Обязанность уведомить Роскомнадзор возникает при установлении факта неправомерной или случайной передачи, предоставления, распространения или доступа, повлёкших нарушение прав субъектов. Сроки 24 и 72 часа отсчитываются от выявления инцидента оператором, ведомством или иным заинтересованным лицом. Выходные и ожидание заключения подрядчика не превращают часы в рабочие дни.
Первичное сообщение включает сведения об инциденте, предполагаемых причинах и вреде, принятых мерах и лице для взаимодействия с Роскомнадзором. Дополнительное сообщение содержит результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной, если они установлены. Поэтому в регламенте заранее определяют, кто сохраняет сведения об инциденте, кто расследует и кто отправляет сообщения.
После достижения цели или поступления отзыва согласия проверяют основания дальнейшей обработки. Если другого применимого основания нет, выполняют прекращение и уничтожение в срок не более 30 дней по частям 4 и 5 статьи 21 с предусмотренными ими условиями. Отзыв согласия не отменяет законное хранение необходимых кадровых и архивных документов. По каждой категории фиксируют сохраняемое основание либо решение об уничтожении.
Подтверждение уничтожения оформляют по приказу Роскомнадзора от 28.10.2022 № 179. При неавтоматизированной обработке нужен акт, при автоматизированной — акт и выгрузка из журнала регистрации событий; подтверждения хранят 3 года с момента уничтожения. Удаление файла без подтверждающих документов процедуру не завершает.
Контрольный список готовности оператора
Контроль первого месяца проверяет выполнение уже действующих требований и выявляет расхождения между документами и работой сотрудников.
- Фактические цели, категории субъектов и данных, основания и системы включены в карту обработки.
- Уведомление подано, когда оно необходимо; подтверждение сохранено, изменения отслеживаются.
- Ответственный назначен там, где это требуется; политика доступна, локальные процедуры утверждены.
- Согласия выделены в отдельные документы, получены до основанных на них операций и соответствуют целям.
- Доступы, меры защиты, ознакомление работников и поручения подрядчикам проверены.
- Местонахождение баз установлено, трансграничная передача оценена отдельно.
- Работает приём обращений, порядок реакции на инциденты и подтверждение уничтожения.
Лайфхак: План внутренней проверки можно оформить с указанием объекта, проверяемого периода, срока и ответственных исполнителей. Результаты такой проверки можно оформлять протоколом.
Электронный архив предусмотрен в тарифе «Бизнес» сервиса Добыто. Для контроля оператор определяет, какие документы и подтверждения хранить в архиве и как предоставлять их при запросе; наличие архива не задаёт сроки хранения автоматически.
Во что обходится перенос обязательных действий
Отложенное уведомление ради завершения внутренней подготовки создаёт самостоятельный риск: часть 10 статьи 13.11 КоАП РФ предусматривает для юридического лица штраф от 100 000 до 300 000 руб. за неуведомление или несвоевременное уведомление. При обработке без обязательного письменного согласия либо нарушении требований к его составу часть 2 предусматривает от 300 000 до 700 000 руб. для юридического лица, если действия не содержат уголовно наказуемого деяния и не относятся к исключению статьи 17.13 КоАП РФ.
Неподача или опоздание с уведомлением о соответствующем инциденте подпадает под часть 11 статьи 13.11: для юридического лица от 1 000 000 до 3 000 000 руб. Это отдельный состав от самой утечки. Суммы не складывают автоматически: квалификация, обстоятельства и правила назначения наказания оцениваются по конкретному делу. На дату публикации 02.10.2026 ориентироваться на старые размеры санкций нельзя.
Стоимость КЭДО для оформления и хранения кадровых документов
Стоимость зависит от численности сотрудников и функций кадрового документооборота. Это расходы на сервис КЭДО; тариф не является ценой выполнения всех обязанностей оператора по 152-ФЗ.
| Услуга | Стоимость | Сроки |
|---|---|---|
| «Старт»: до 25 сотрудников, базовые шаблоны | от 30 ₽ за сотрудника / мес | Отдельно для тарифа не указаны |
| «Бизнес»: электронный архив, интеграция с 1С | от 50 ₽ за сотрудника / мес | Отдельно для тарифа не указаны |
| «Корпорация»: выделенный сервер, API и кастомные интеграции | По запросу | Не указаны |
| Выпуск простой электронной подписи (ПЭП) и усиленной неквалифицированной электронной подписи (УНЭП) для сотрудников | бесплатно на всех тарифах | Не указаны |
Для тарифа «Бизнес» установлена минимальная оплата 50 сотрудников за 30 000 ₽ в год. Установка и настройка готового модуля 1С:ЗУП заявлены за 1 день; это срок настройки модуля, а не правовой подготовки оператора. Численность и состав функций сверяют с условиями тарифов КЭДО на дату публикации.
Выводы
Первый месяц нужен для контроля действующих процессов, но обязательную подготовку нельзя откладывать до его завершения. Законность проверяют по каждой цели, а подтверждения сохраняют для уведомлений, согласий, доступов и уничтожения. Обработка через подрядчика сохраняет обязанности оператора.
Добыто предоставляет кадровое электронное подписание и электронный архив в составе соответствующего тарифа. Работодатель использует эти функции вместе со своими правилами обработки и договорным распределением обязанностей.
Частые вопросы о запуске обработки персональных данных
Нужно ли ИП без работников назначать ответственного?
Обязанность назначения по статье 22.1 152-ФЗ установлена для юридических лиц. Индивидуальный предприниматель не становится юридическим лицом из-за регистрации бизнеса. При обработке клиентских данных на ИП распространяются применимые обязанности оператора: отсутствие работников не освобождает от оснований обработки, защиты, доступа к политике и уведомления, если нет законного исключения.
Можно ли применить кадровый регламент к самозанятым и исполнителям по ГПХ?
Статус работника по трудовому договору и статус исполнителя различаются. Главу 14 ТК РФ и согласие на КЭДО по статье 22.2 нельзя автоматически переносить на договор ГПХ. Для данных исполнителя устанавливают основания по 152-ФЗ, включая заключение и исполнение договора в необходимом объёме, и отдельно проверяют дополнительные цели.
Любая фотография сотрудника считается биометрическими персональными данными?
Статья 11 152-ФЗ связывает этот режим с физиологическими или биологическими характеристиками, которые оператор использует для установления личности. Поэтому значение имеет назначение обработки изображения. Для биометрической обработки проверяют письменное согласие и предусмотренные законом исключения; для иных операций с фотографией продолжают действовать общие правила защиты и законности обработки.
Что делать, если данные нельзя уничтожить в установленный срок?
Часть 6 статьи 21 предусматривает блокирование и уничтожение в срок не более 6 месяцев, если иной срок не установлен федеральными законами, при отсутствии возможности выполнить уничтожение в сроки частей 3-5.1. Это условная процедура, а не общий дополнительный срок хранения. Оператор фиксирует причину невозможности и обеспечивает блокирование, в том числе у обработчика по поручению.
Можно ли назначить ответственным внешнего специалиста?
Статья 22.1 не устанавливает требования, чтобы ответственное лицо обязательно состояло в штате. Приказ Роскомнадзора № 178 прямо учитывает назначение нештатного ответственного при оценке вреда. Юридическое лицо должно обеспечить его подотчётность исполнительному органу, необходимые сведения и выполнение функций; один договор консультационных услуг без назначения этих функций недостаточен.
