Согласие на обработку персональных данных работник вправе отозвать в любой момент, но компания после этого прекращает только ту обработку, которая держалась на согласии. Кадровый учёт, зарплата, отчётность в СФР и ФНС, хранение личной карточки и приказов продолжаются: основание дают часть 2 статьи 9 и пункты 2-11 части 1 статьи 6 152-ФЗ. То, что опиралось только на согласие, — фото на сайте, передача данных третьим лицам, получение сведений у третьей стороны — прекращается, а ненужные данные уничтожаются не позднее 30 дней с даты поступления отзыва. Если работник требует прекратить обработку по части 5.1 статьи 21, срок сокращается до 10 рабочих дней, а согласие на распространение перестаёт действовать с момента поступления требования.
Покажем, как разложить данные работника по основаниям обработки, что удалить, что заблокировать, а что оставить в архиве на 50 лет, и как оформить ответ работнику и акт уничтожения по приказу Роскомнадзора № 179. Отдельно разберём сервис КЭДО и удостоверяющий центр, которые обрабатывают данные по поручению работодателя. Штрафы по статье 13.11 КоАП, типичные ошибки кадровой службы, образцы согласий, стоимость электронного архива на 2026 год и ответы на частые вопросы — во второй половине статьи.
Какие данные работника обрабатываются без согласия, а какие зависят от него
Часть 2 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» разрешает оператору после отзыва продолжить обработку без согласия, если есть основания из пунктов 2-11 части 1 статьи 6, части 2 статьи 10 или части 2 статьи 11. Для работодателя ключевые из них — пункт 2 (обработка нужна для исполнения обязанностей, возложенных законом: ТК РФ, налоговым и пенсионным законодательством, законом об архивном деле) и пункт 5 (исполнение договора, стороной которого является работник, то есть трудового договора).
Роскомнадзор в разъяснениях по обработке персональных данных работников и соискателей называет ещё один источник: обработка без согласия допустима в случаях, предусмотренных коллективным договором, включая правила внутреннего трудового распорядка, соглашением, а также локальными актами работодателя, принятыми в порядке статьи 372 ТК РФ. Основание для каждой операции ищется в законе и в собственных ЛНА, а не в тексте согласия. По части 3 статьи 9 152-ФЗ доказывать наличие основания при проверке будет оператор.
Типовые цели обработки кадровых данных раскладываются по основаниям так:
| Цель обработки | Основание | Нужно ли согласие | Что происходит после отзыва |
|---|---|---|---|
| Заключение и исполнение трудового договора, кадровый учёт, табель, отпуска | п. 2 и п. 5 ч. 1 ст. 6 152-ФЗ, ст. 86 ТК РФ | Нет | Обработка продолжается |
| Расчёт зарплаты, НДФЛ, ЕФС-1 и отчётность в СФР и ФНС | п. 2 ч. 1 ст. 6 152-ФЗ | Нет | Обработка продолжается |
| Хранение трудового договора, личной карточки, приказов по личному составу | п. 2 ч. 1 ст. 6 152-ФЗ, 125-ФЗ, Перечень Росархива № 236 | Нет | Документы хранятся 50 или 75 лет |
| Получение сведений о работнике у третьей стороны | п. 3 ст. 86 ТК РФ | Да, письменное, с предварительным уведомлением | Запросы прекращаются |
| Сообщение данных третьей стороне вне случаев, предусмотренных ТК РФ и федеральными законами | ст. 88 ТК РФ | Да, письменное | Передача прекращается |
| Поручение обработки другому лицу: сервису КЭДО, облачному провайдеру | ч. 3 ст. 6 152-ФЗ | Да, если иное не предусмотрено федеральным законом | Оператор обеспечивает прекращение обработки у обработчика |
| Фото, ФИО и должность на сайте, в открытых каталогах, публичных материалах | ст. 10.1 152-ФЗ | Да, отдельное согласие на распространение | Согласие прекращает действие с момента поступления требования |
| Биометрические данные, например проход по изображению лица | ст. 11 152-ФЗ | Да, письменное | Обработка прекращается, работнику нужен другой способ прохода |
Отзыв почти никогда не останавливает кадровый учёт: он выключает передачу, распространение, получение сведений со стороны и обработку по поручению. Если в вашем согласии перечислены цели из первых трёх строк, их отзыв на продолжение обработки не влияет, потому что основание для неё — закон и трудовой договор. Проверьте текущую форму согласия: чем больше в ней «законных» целей, тем сложнее работнику понять, от чего он на самом деле отказывается.
Важный нюанс из практики: проверку кандидатов и сотрудников часто отдают внешней службе безопасности. Такой подрядчик сам зарегистрирован как оператор персональных данных в Роскомнадзоре и начинает работу, только убедившись, что заказчик получил согласие кандидата. Данные подрядчик хранит ограниченный срок и затем удаляет, результат остаётся у заказчика. При отзыве согласия отвечать за прекращение такой передачи будет работодатель как оператор.
Сроки после отзыва: 30 дней, 10 рабочих дней и прекращение с момента требования
Срок реакции зависит от того, какой документ прислал работник: отзыв согласия, требование прекратить обработку или требование прекратить распространение. Для каждого 152-ФЗ устанавливает свой порядок.
| Что поступило | Норма 152-ФЗ | Срок | Действие компании |
|---|---|---|---|
| Отзыв согласия на обработку | ч. 5 ст. 21 | Не более 30 дней с даты поступления, если иное не предусмотрено договором или соглашением с работником | Прекратить обработку по согласию, уничтожить данные, сохранение которых не требуется для целей обработки |
| Требование прекратить обработку | ч. 5.1 ст. 21 | Не более 10 рабочих дней с даты получения, продление не более чем на 5 рабочих дней с мотивированным уведомлением | Прекратить обработку, кроме случаев из пп. 2-11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 |
| Требование прекратить распространение | ч. 12 и 14 ст. 10.1 | Согласие на распространение прекращает действие с момента поступления требования | Снять данные с сайта, корпоративных публикаций, открытых каталогов |
| Уничтожить данные в срок невозможно | ч. 6 ст. 21 | Блокирование и уничтожение не позднее 6 месяцев, если иной срок не установлен федеральными законами | Заблокировать данные, зафиксировать причину и плановую дату уничтожения |
Все сроки считаются с даты поступления документа оператору, а не с даты, когда он дошёл до отдела кадров. Заявление, отданное руководителю подразделения или отправленное на общую почту, запускает отсчёт в тот же день. Канал приёма обращений субъектов и порядок их передачи ответственному за обработку персональных данных закрепляются в Правилах обработки персональных данных, иначе часть срока уходит на внутреннюю переписку.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Работники редко пишут юридически точно. Формулировка «отзываю согласие и прошу прекратить обработку моих данных» содержит одновременно отзыв по части 5 и требование по части 5.1 статьи 21. В такой ситуации безопаснее ориентироваться на короткий срок — 10 рабочих дней — и в ответе прямо перечислить, какая обработка прекращена, а какая продолжается и на каком основании.
Порядок действий кадровой службы после отзыва согласия
Процедура начинается с регистрации обращения и заканчивается документом, который подтверждает уничтожение данных. Без этого документа компании нечем доказать Роскомнадзору, что срок соблюдён.
Как отработать отзыв согласия работника: пошаговая инструкция
- Шаг 1. Зарегистрируйте обращение: дата поступления, канал, кто подал. Убедитесь, что заявление подписал сам работник или представитель по доверенности. От даты поступления считаются все сроки из статьи 21 152-ФЗ.
- Шаг 2. Определите вид обращения: отзыв согласия (ч. 5 ст. 21), требование прекратить обработку (ч. 5.1 ст. 21) или требование прекратить распространение (ст. 10.1). При смешанной формулировке ориентируйтесь на срок 10 рабочих дней.
- Шаг 3. Составьте перечень обработки по работнику: 1С, КЭДО, пропускная система, корпоративный портал, сайт, бумажные дела, обработчики и третьи лица, которым передавались данные. Для каждой операции запишите основание: норму закона, трудовой договор, ЛНА или согласие.
- Шаг 4. Прекратите обработку, которая держалась только на согласии: снимите данные с сайта, остановите передачу третьим лицам, направьте обработчикам указание прекратить обработку и уничтожить данные. Часть 5 статьи 21 возлагает на оператора обязанность обеспечить прекращение обработки и у лица, действующего по его поручению.
- Шаг 5. Уничтожьте данные, которые больше не нужны для целей обработки. Если уничтожить их в срок невозможно, заблокируйте и уничтожьте не позднее 6 месяцев. Документы, подлежащие архивному хранению, не уничтожаются.
- Шаг 6. Оформите подтверждение уничтожения по приказу Роскомнадзора от 28.10.2022 № 179: при обработке без средств автоматизации — акт, при автоматизированной обработке — акт и выгрузку из журнала регистрации событий в информационной системе.
- Шаг 7. Направьте работнику письменный ответ: какая обработка прекращена, какая продолжается и на основании каких норм. При продлении срока по части 5.1 статьи 21 мотивированное уведомление о причинах продления обязательно.
В акте об уничтожении указываются оператор и обработчик, если он был, ФИО работника, перечень категорий уничтоженных данных, носитель или информационная система, способ и причина уничтожения, дата, а также ФИО, должности и подписи лиц, которые уничтожили данные. Акт и выгрузка из журнала хранятся 3 года с момента уничтожения. Если данные у обработчика уничтожает он сам, подтверждение нужно запросить у него: ответственность перед работником и Роскомнадзором остаётся на работодателе.
Отдельная проверка после шага 4 — кто из сотрудников по-прежнему видит данные, обработка которых прекращена. Запись в системе может остаться технически доступной, даже если её перестали использовать.
Мария Ж, юрист со стажем более 20 лет: «Доступ ко всему кадровому массиву у всей кадровой службы сразу — типовая ситуация и одновременно типовое нарушение. Требование разграничивать доступ по ролям действует и для бумажного архива, и для системы КЭДО. После отзыва согласия пройдитесь по ролям и закройте доступ к тем данным, которые больше не должны обрабатываться.»
Иногда работник отзывает согласие потому, что старая форма была широкой и непонятной, и готов подписать новое, но с узкими целями. С 1 сентября 2025 года по изменениям, внесённым в статью 9 152-ФЗ законом от 24.06.2025 № 156-ФЗ, согласие оформляется отдельно от иных документов, которые подписывает субъект: вписать его в трудовой договор или анкету больше нельзя. В Добыто согласие на обработку персональных данных и заявление о переходе на КЭДО — два самостоятельных документа в комплекте шаблонов, и отзыв одного не затрагивает другой.
Соберите новое согласие с узкими целями и оговоркой об отзыве
Отзыв согласия в КЭДО: сервис, удостоверяющий центр и электронная подпись
При облачном КЭДО кадровые документы уходят к провайдеру сервиса, а он обрабатывает данные по поручению работодателя. По части 3 статьи 6 152-ФЗ поручить обработку другому лицу оператор вправе с согласия субъекта, если иное не предусмотрено федеральным законом. Если работник отзывает именно это согласие, работодатель обязан обеспечить прекращение обработки у провайдера, а новые документы с этим работником переходят на бумагу.
Мария Ж, специалист по цифровой подписи и КЭДО: «Кадровые документы — это персональные данные, причём чувствительные: сведения о семье, здоровье, доходах. Как только они уходят к внешнему провайдеру, появляется третье лицо, и передача ему должна опираться на согласие работника. Поэтому у вендора я прошу не заверение, что данные хранятся защищённо, а список всех, кто получит к ним доступ. По этому же списку вы будете обеспечивать прекращение обработки, когда работник отзовёт согласие.»
Полезно знать: в облачном КЭДО доступ к кадровым данным обычно получает не одна компания, а три: провайдер сервиса, владелец серверной инфраструктуры и удостоверяющий центр, который выпускает подписи сотрудникам.
Важный нюанс из практики: кто отвечает за согласие, зависит от способа регистрации работника в сервисе. Если работник регистрируется сам как физическое лицо, согласие у него собирает сервис и сам отвечает за обработку. Если работодатель проводит массовую регистрацию через интеграцию с учётной системой, сервис обрабатывает данные по поручению, а согласие на передачу собирает работодатель. Отзыв во втором случае адресуется работодателю, и прекращение обработки у сервиса обеспечивает он.
Согласие на обработку персональных данных и согласие на переход на КЭДО по статье 22.1 ТК РФ — разные документы с разными последствиями. Отзыв первого сам по себе не означает отказ от электронного взаимодействия, но может сделать его технически невозможным, если сервис работает по поручению. Отдельно существует согласие на обработку данных для выпуска сертификата электронной подписи, которое работник даёт удостоверяющему центру. Разберите, какое из трёх согласий отозвано, прежде чем отключать работника от системы.
Уже подписанные электронные документы работодатель обязан хранить в установленные сроки независимо от отзыва. Практический вопрос к провайдеру до внедрения: выгружает ли система комплект документа целиком — файл, отсоединённую подпись и машиночитаемую доверенность, если подписано по ней. Выгрузка нужна при проверке, в споре и при смене оператора. Платформа Добыто заявлена как соответствующая 377-ФЗ, статьям 22.1-22.3 ТК РФ и 152-ФЗ; ПЭП и УНЭП для сотрудников выпускаются на всех тарифах бесплатно, УКЭП — через партнёров-удостоверяющих центров.
Что нельзя удалять после отзыва: архивные сроки хранения
Трудовые договоры, личные карточки и приказы по личному составу хранятся 50 лет, если дела завершены после 1 января 2003 года, и 75 лет для более ранних. Сроки установлены Перечнем типовых управленческих архивных документов, утверждённым приказом Росархива от 20.12.2019 № 236, а организацию хранения и уничтожения регулируют Правила, утверждённые приказом Росархива от 31.07.2023 № 77. Отзыв согласия эти сроки не сокращает: хранение идёт по пункту 2 части 1 статьи 6 152-ФЗ, во исполнение 125-ФЗ «Об архивном деле».
Факт: журналы вводного инструктажа и инструктажа на рабочем месте хранятся 45 лет, а протоколы результатов обучения по охране труда — 5 лет (статьи 422 и 423 Перечня № 236). Фамилия работника в журнале инструктажей остаётся и после отзыва согласия.
Уничтожению подлежит то, что собиралось сверх обязательного учёта: фото и биография на сайте, данные в корпоративных рассылках и внутренних каталогах, сведения, полученные от третьих лиц по согласию, копии, которые не входят в состав дел по номенклатуре. Данные, которые входят в архивные дела, блокируются от текущего использования, если они больше не нужны для работы, но физически остаются в деле до истечения срока.
Мария Ж, судебный эксперт в сфере трудового права: «Пятьдесят лет хранения кадровых документов установлены неспроста: документы нужны не столько работодателю, сколько самому человеку, и нужны тогда, когда компании может уже не существовать. Типовая ситуация — бывший работник через пятнадцать лет после увольнения связывает заболевание с условиями труда. Без документов работодатель не докажет, что инструктажи проводились, а доказывать придётся ему. Поэтому на требование удалить всё отвечайте перечнем документов, которые остаются в архиве, со ссылкой на статьи Перечня № 236.»
Когда отзыв не требует удаления данных
Удалять нечего, если все операции с данными работника опираются на закон, трудовой договор или ЛНА: кадровый учёт, зарплата, отчётность, архив. В этом случае компания прекращает только то, что было названо в согласии сверх этого, а в ответе работнику перечисляет основания продолжения обработки. То же касается бывшего работника: после увольнения его данные в личном деле хранятся по Перечню № 236, а сведения вне дел уничтожаются, когда цель обработки достигнута. В Добыто электронный архив входит в тариф «Бизнес», поэтому электронные документы уволенных работников хранятся в той же системе, где подписывались.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Шаблоны согласий и правил обработки персональных данных
Начните с Правил обработки персональных данных: в них закрепляется канал приёма отзывов и порядок уничтожения, а согласия оформляются под каждую цель отдельно.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие работника на обработку персональных данных | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата электронной подписи | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
| Заявление об отказе от перехода на КЭДО | Скачать |
Ошибки после отзыва согласия и во что они обходятся
Штрафы за нарушения в области персональных данных установлены статьёй 13.11 КоАП и с 30 мая 2025 года действуют в редакции закона от 30.11.2024 № 420-ФЗ. Проверить, числится ли ваша компания в реестре операторов и какие цели обработки в нём указаны, можно на портале персональных данных Роскомнадзора: сведения в уведомлении должны совпадать с тем, что вы пишете работнику в ответе на отзыв.
- Продолжить передачу или публикацию после отзыва. Так делают, потому что данные уже подключены к сайту, корпоративному порталу или системе пропусков и отключать их долго. Обработка без согласия, когда оно обязательно, — часть 2 статьи 13.11: для юрлица от 300 000 до 700 000 рублей, для должностного лица от 100 000 до 300 000 рублей. Повторное нарушение по части 2.1 — от 1 000 000 до 1 500 000 рублей для юрлица. Обработка без законного основания или несовместимая с целями сбора квалифицируется по части 1: от 150 000 до 300 000 рублей.
- Пропустить срок исполнения требования. Отзыв лежит у руководителя подразделения, отсчёт уже идёт. Невыполнение требования субъекта об уточнении, блокировании или уничтожении данных — часть 5 статьи 13.11: от 50 000 до 90 000 рублей для юрлица, от 8 000 до 20 000 рублей для должностного лица.
- Уничтожить личное дело целиком. Кадровик выполняет просьбу «удалить всё» буквально. Работодатель теряет доказательства по трудовым спорам и нарушает сроки хранения по Перечню № 236, а восстановить уничтоженные оригиналы нельзя.
- Уволить или наказать за отзыв. Среди оснований расторжения трудового договора в статьях 77 и 81 ТК РФ отзыва согласия нет, а дисциплинарное взыскание применяется только за неисполнение трудовых обязанностей. Реализация права по 152-ФЗ таким неисполнением не является.
- Забыть про обработчика. Кадровая служба удаляет данные у себя, а у провайдера КЭДО или внешней службы безопасности они остаются. Часть 5 статьи 21 обязывает оператора обеспечить прекращение обработки и у лиц, действующих по его поручению.
Внимание: форма хранения определяется формой создания. Документ, созданный в электронном виде и подписанный электронной подписью, хранится электронно: распечатать его и удалить файл нельзя. Документ, подписанный на бумаге, хранится на бумаге, скан его не заменяет.
Отдельный случай — документы, которых нет в Перечне № 236. Кадровик не находит строку и решает, что такой документ после отзыва можно уничтожить.
Мария Ж, HR-эксперт с 13-летним стажем: «Если вида документа нет в перечне, это не значит, что его можно не хранить. Срок определяется по аналогии с наиболее близким по смыслу видом, решение принимает экспертная комиссия и фиксирует его в номенклатуре дел. При проверке вы показываете не догадку, а документированный выбор.»
Стоимость КЭДО с электронным архивом: тарифы Добыто на 2026 год
Стоимость зависит от численности сотрудников, нужных видов подписи и требований к месту хранения данных: для компаний, которым важно держать кадровый массив на выделенном сервере, предусмотрен отдельный тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив, интеграция с 1С, приоритетная поддержка | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | — |
| УКЭП для сотрудников через партнёров-удостоверяющих центров | по запросу | — |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из числа сотрудников и выбранного тарифа; при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду. Состав функций и актуальные условия по каждому уровню собраны на странице тарифов Добыто КЭДО, цены приведены на дату публикации.
Выводы
Отзыв согласия выключает только ту обработку, у которой нет другого основания: распространение, передачу третьим лицам, получение сведений со стороны и работу обработчиков по поручению. Кадровый учёт, зарплата, отчётность и архивное хранение продолжаются по закону и трудовому договору. Работа компании сводится к инвентаризации операций по основаниям, соблюдению срока 30 дней или 10 рабочих дней, подтверждению уничтожения актом и письменному ответу работнику с перечнем норм.
В Добыто согласие на обработку персональных данных и согласие на КЭДО оформляются отдельными документами, а подписанные документы хранятся в электронном архиве, поэтому после отзыва видно, какие файлы остаются на хранении, а какие операции нужно прекратить.
Частые вопросы об отзыве согласия на обработку персональных данных
Можно ли отозвать согласие устно или по электронной почте?
152-ФЗ не устанавливает обязательной формы отзыва согласия на обработку, но работодателю нужно установить личность заявителя и зафиксировать дату поступления: от неё считаются 30 дней по части 5 статьи 21. Устное обращение стоит попросить оформить письменно или в КЭДО, а до этого зафиксировать служебной запиской. Для требования о прекращении распространения часть 13 статьи 10.1 называет обязательное содержание: ФИО, контактные данные и перечень данных, обработка которых прекращается.
Что делать, если согласие отозвал соискатель, а не работник?
У соискателя нет трудового договора, поэтому основанием обработки его резюме и анкеты обычно служит только согласие. После отзыва обработка прекращается, а данные уничтожаются в срок не более 30 дней. Роскомнадзор в разъяснениях по данным соискателей также указывает, что при отказе в приёме на работу сведения соискателя уничтожаются в течение 30 дней, если он не дал согласия на включение в кадровый резерв.
Может ли работник отозвать согласие частично?
Да. Согласие даётся на конкретные цели, и работник вправе отказаться от одной из них, например от публикации фото на сайте, сохранив остальные. Ответ работнику в таком случае перечисляет, по какой цели обработка прекращена. Для согласия на распространение частичный отзыв прямо предусмотрен частью 13 статьи 10.1: в требовании указывается перечень данных, передача которых прекращается.
Нужно ли сообщать в Роскомнадзор об отзыве согласия работником?
Отдельного уведомления Роскомнадзора об отзыве согласия конкретным работником 152-ФЗ не предусматривает. Уведомление об изменениях по статье 22 подаётся, когда меняются сведения о самом операторе и его обработке: цели, категории данных и субъектов, правовые основания. Если после серии отзывов компания отказалась от какой-то цели целиком, сведения в реестре операторов нужно привести в соответствие.
Работник отозвал согласие на передачу данных в банк по зарплатному проекту. Как платить зарплату?
По части 3 статьи 136 ТК РФ работник вправе заменить кредитную организацию, в которую переводится зарплата, сообщив об этом работодателю в письменной форме не позднее чем за 15 календарных дней до дня выплаты. Работодатель перечисляет зарплату по новым реквизитам. Сведения, которые нужны банку для зачисления, передаются в объёме платёжного поручения.
Нужно ли переоформлять согласия, собранные до 1 сентября 2025 года?
Нет. Требование оформлять согласие отдельно от иных документов, введённое законом от 24.06.2025 № 156-ФЗ, действует для согласий, полученных с 1 сентября 2025 года. Ранее собранные согласия сохраняют силу. Если работник отзывает старое согласие, встроенное в трудовой договор или анкету, новое оформляется уже отдельным документом.
