Перечень персональных данных для обработки в компании составляют отдельно по каждой цели. Пункт 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» обязывает оператора — юридическое лицо определить в локальных актах по каждой цели перечень данных, категории субъектов, способы и сроки обработки и хранения, а также порядок уничтожения. Единой формы закон не устанавливает. Объём полей ограничен целью: избыточные данные запрещает статья 5 152-ФЗ. Правовое основание зависит от субъекта. Для работника его задают Трудовой кодекс и законы об учёте и отчётности, для исполнителя по ГПХ — договор, для представителя контрагента — законный интерес оператора.
Материал даёт рабочую структуру перечня: графы, строки для приёма, зарплаты, подбора, клиентов и контрагентов, поля, которых требует закон, и поля, которых он не требует. Отдельно разобраны сведения о здоровье, судимости, фото и родственниках. Разобраны и строки за пределами отдела кадров: поставщик КЭДО, удостоверяющий центр, расположение базы данных при сборе. Сроки хранения по приказу Росархива № 236, штрафы по статье 13.11 КоАП, стоимость КЭДО на 2026 год и ответы на частые вопросы — во второй половине статьи.
Что закон требует от перечня персональных данных и кто обязан его вести
Статья 3 152-ФЗ относит к персональным данным любую информацию, прямо или косвенно относящуюся к определённому или определяемому физическому лицу. В перечень попадают поля анкет, заявлений и договоров. Туда же входят сведения в документах для выпуска электронной подписи и метаданные электронного архива, если по ним можно определить человека. Технический атрибут архива, не связанный с конкретным лицом, к персональным данным не относится: критерий — связь с человеком.
Статья 5 152-ФЗ требует конкретных законных целей и запрещает обработку сверх них. Пункт 2 части 1 статьи 18.1 обязывает оператора — юридическое лицо издать локальные акты, где для каждой цели определены категории и перечень данных, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения. Поэтому строки «приём на работу» и «подбор» содержат разные поля, разные основания и разные сроки. Общий список «все данные работников» не показывает, для чего собрано каждое поле.
Отдельный документ с названием «Перечень» и обязательный приказ с таким названием закон не вводит. Форму компания выбирает сама: раздел положения об обработке персональных данных или самостоятельный локальный акт. Работодатель дополнительно устанавливает порядок хранения и использования данных работников по статье 87 ТК РФ. По пункту 8 статьи 86 ТК РФ он знакомит работников и их представителей с документами об обработке под роспись. Если в вашем положении цели названы общими словами, а данные перечислены одним списком, перечень придётся пересобрать по целям.
Когда требование статьи 18.1 о перечне по целям не применяется
Требование пункта 2 части 1 статьи 18.1 152-ФЗ адресовано оператору — юридическому лицу. Индивидуальный предприниматель к юридическим лицам не относится, и эта норма прямо к нему не обращена. Если у ИП есть работники, статьи 86 и 87 ТК РФ продолжают действовать: порядок хранения и использования их данных устанавливается, а работники знакомятся с ним под роспись. Принципы статьи 5 и основания статьи 6 152-ФЗ касаются любого оператора, включая ИП без работников.
Графы перечня персональных данных: что указать по каждой цели
Часть граф обязательна по статье 18.1. Остальные нужны для рабочего учёта и для уведомления Роскомнадзора. По части 3.1 статьи 22 152-ФЗ уведомление содержит по каждой цели категории данных и субъектов, правовое основание, перечень действий и способы обработки. Единой формы рабочего реестра тоже нет, поэтому набор граф собран так, чтобы закрыть оба документа.
- Цель обработки — конкретный процесс: заключение трудового договора, начисление зарплаты, подбор. Обязательная графа по статье 18.1.
- Категории субъектов — работники, кандидаты, исполнители по ГПХ, клиенты, представители контрагентов, родственники работников. Обязательная графа по статье 18.1.
- Перечень персональных данных — фактические поля форм и систем: «серия и номер паспорта», «СНИЛС», «номер счёта». Обязательная графа по статье 18.1.
- Категория данных — общие, специальные по статье 10, биометрические по статье 11, разрешённые к распространению по статье 10.1 152-ФЗ.
- Правовое основание — пункт части 1 статьи 6 152-ФЗ: исполнение закона, договор, законный интерес оператора или согласие.
- Источник — сам субъект или третье лицо. Если сведения о работнике получают у третьего лица, статья 86 ТК РФ требует заранее уведомить работника и получить его письменное согласие.
- Действия и способы обработки — перечень действий с данными и общее описание способов.
- Место хранения — системы и носители: учётная система, КЭДО, бумажное личное дело.
- Получатели и лица, которым поручена обработка — поставщик КЭДО, удостоверяющий центр, внешняя служба безопасности, Социальный фонд России и налоговый орган по отчётности.
- Доступ — роли сотрудников, которым данные нужны для выполнения их функций.
- Сроки обработки и хранения, порядок уничтожения — обязательные графы по статье 18.1.
Типовые цели и поля: что требует закон и где проходит ограничение
Таблица собрана как пример по конкретным целям. Одинакового обязательного набора для всех организаций закон не устанавливает: состав полей зависит от фактических процессов компании.
| Цель | Субъекты | Поля | Основание | Ограничение |
|---|---|---|---|---|
| Заключение трудового договора | Работники | ФИО; сведения о документе, удостоверяющем личность; документ об образовании или квалификации — для работы, требующей специальных знаний или подготовки; документ о регистрации в системе персонифицированного учёта; воинские документы — для военнообязанных и подлежащих призыву | Статьи 57 и 65 ТК РФ | Документы сверх статьи 65 ТК РФ требовать нельзя, если их не предусматривают Кодекс, федеральный закон, указ Президента или постановление Правительства |
| Начисление зарплаты и отчётность | Работники | ФИО, СНИЛС; ИНН — при наличии | Статья 11 № 27-ФЗ, статья 230 НК РФ, действующая форма отчёта | ИНН не становится безусловным полем для каждого работника |
| Перечисление зарплаты на счёт | Работники, указавшие кредитную организацию в заявлении | Реквизиты, достаточные для перевода в выбранную работником кредитную организацию | Статья 136 ТК РФ | При ином способе выплаты реквизиты не нужны; полный номер карты закон собирать не требует |
| Подбор до заключения договора | Кандидаты | Контакты для обратной связи; сведения об опыте и квалификации для оценки соответствия вакансии | Пункт 5 части 1 статьи 6 и часть 5 статьи 5 152-ФЗ | Паспорт не входит в документы, которые статья 65 ТК РФ требует до заключения договора; заранее его не запрашивают без отдельного основания |
| Договор с клиентом — физическим лицом | Клиенты | ФИО, выбранный канал связи, реквизиты для заключения и исполнения конкретного договора | Пункт 5 части 1 статьи 6 152-ФЗ | Паспортные и адресные сведения, не нужные для договора, в строку не включаются |
| Работа с контрагентом | Представители контрагентов | ФИО, должность или полномочие, рабочие контакты | Законный интерес оператора, пункт 7 части 1 статьи 6 152-ФЗ, при соблюдении прав субъекта | Пункт 5 части 1 статьи 6 не применяется: стороной договора выступает организация, представитель стороной не становится |
Одно поле повторяется в нескольких строках. ФИО работника обрабатывается и для договора, и для отчётности, но основание и срок у каждой цели свои. Сверьте свои анкеты и заявления с таблицей: поле, которое нельзя привязать ни к одной цели, из формы удаляется.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Состав полей отчётной строки задаёт действующая форма отчёта. Порядок заполнения ЕФС-1 утверждён приказом СФР от 17.11.2025 № 1462, и поле для ИНН в нём обозначено как «ИНН (при наличии)». Отсутствие ИНН у работника не мешает сдать сведения, поэтому в перечне поле помечают как необязательное.
Перечень, согласие, политика и уведомление Роскомнадзора: как документы связаны
Перечень не заменяет ни согласие, ни политику, ни уведомление. Он служит для них исходником: цели и поля переносятся из перечня во все три документа.
| Документ | Что фиксирует | Кому адресован | Норма |
|---|---|---|---|
| Перечень персональных данных | По каждой цели: данные, субъекты, способы, сроки обработки и хранения, порядок уничтожения | Внутренний локальный акт, работники знакомятся под роспись | П. 2 ч. 1 ст. 18.1 152-ФЗ, ст. 86 и 87 ТК РФ |
| Политика обработки персональных данных | Общий режим обработки | Неограниченный круг лиц, документ общедоступен | Ч. 2 ст. 18.1 152-ФЗ |
| Согласие на обработку персональных данных | Волеизъявление субъекта, когда основанием выбрано согласие; с 01.09.2025 оформляется отдельно от иных документов, которые субъект подтверждает или подписывает | Субъект персональных данных | Ст. 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ |
| Согласие на распространение | Данные, разрешённые к распространению, условия и запреты субъекта | Субъект персональных данных | Ст. 10.1 152-ФЗ |
| Уведомление об обработке | По каждой цели категории данных и субъектов, правовое основание, перечень действий, способы | Роскомнадзор, реестр операторов | Ч. 3.1 ст. 22 152-ФЗ |
| Уведомление о трансграничной передаче | Категории и перечень передаваемых данных, категории субъектов, страны | Роскомнадзор, до начала передачи | Ст. 12 152-ФЗ |
Согласие нужно только для тех строк перечня, где основанием выбрано именно оно. Часть 1 статьи 6 152-ФЗ допускает обработку для исполнения закона, для заключения и исполнения договора, стороной которого выступает сам субъект, и для законного интереса оператора при соблюдении прав субъекта. Основание определяется для конкретной цели. Согласие «на всё» строку с другой целью не обосновывает.
Когда федеральный закон требует письменного согласия, его содержание задаёт часть 4 статьи 9 152-ФЗ. Перечень в норме открытый, сформулирован через «в частности»:
- ФИО, адрес и реквизиты документа, удостоверяющего личность субъекта;
- те же данные представителя и реквизиты документа о его полномочиях, если согласие даёт представитель;
- наименование или ФИО и адрес оператора;
- цель обработки;
- перечень персональных данных;
- сведения о лице, которому поручена обработка;
- перечень разрешённых действий и общее описание способов обработки;
- срок согласия и способ его отзыва;
- подпись субъекта.
Цель, перечень данных и лицо, которому поручена обработка, переносятся в согласие из строки перечня без изменений. Бумажной подписи равнозначен электронный документ, подписанный электронной подписью в соответствии с федеральным законом. Статья 9 152-ФЗ не ограничивает выбор одной УКЭП. Для ПЭП действуют условия части 2 статьи 9 63-ФЗ: правила определения лица, подписавшего документ, и обязанность сохранять конфиденциальность ключа.
Мария Ж, судебный эксперт по трудовому праву: «Квалифицированная подпись равнозначна собственноручной в силу закона. Для простой и неквалифицированной нужно соглашение между участниками обмена, без него равнозначности нет, и в спорах ломается именно это место. Выбирая простую подпись, вы одновременно берёте на себя обязанность иметь соглашение и локальный акт, где описаны правила определения лица по его подписи. Проверьте, есть ли у вас оба документа, до того как запускать подписание согласий.»
Уведомление об обработке подают до её начала. Широкие прежние исключения из этой обязанности отменены с 01.09.2022. Если меняются сведения, указанные в уведомлении, их корректируют не позднее 15-го числа следующего месяца. О прекращении обработки сообщают в течение 10 рабочих дней.
Структура уведомления повторяет логику перечня по целям, поэтому графы удобно сверять построчно с официальной формой уведомления оператора на портале Роскомнадзора.
В сервисе Добыто конструктор формирует согласие на обработку персональных данных в формате .docx с целями, сроком и оговоркой об отзыве по 152-ФЗ. Цель и состав данных в него переносят из соответствующей строки перечня.
Соберите согласие на обработку персональных данных по строке своего перечня
Здоровье, судимость, фото и родственники: какие строки перечня требуют отдельного основания
Статья 10 152-ФЗ запрещает обрабатывать специальные категории данных, кроме случаев, предусмотренных законом. К ним относятся расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья и интимная жизнь. Обычные кадровые данные перечисляются по фактическим полям. Чувствительное поле получает строку только вместе с конкретным исключением, которое разрешает его обработку для этой цели.
| Сведения | Когда включать в перечень | Ограничение |
|---|---|---|
| Состояние здоровья | В части, относящейся к способности выполнять трудовую функцию | Статья 88 ТК РФ; специальная категория по статье 10 152-ФЗ |
| Судимость | Для работ, к которым закон не допускает лиц с соответствующей судимостью | Справку требуют по статье 65 ТК РФ; обработка — в случаях и порядке федерального закона; в общий кадровый набор не входит |
| Фото работника | Как обычные данные, если оператор не устанавливает по нему личность | Если личность устанавливают по физиологическим признакам, это биометрия по статье 11: как правило, нужно письменное согласие, кроме законных исключений |
| Данные для публикации на сайте или в открытом справочнике | При отдельном согласии на распространение | Молчание согласием не считается; субъект вправе установить условия и запреты; передача определённым коллегам внутри компании распространением не считается |
| Сведения о близких родственниках | В объёме кадрового учёта или в случаях, установленных законом: выплаты, алименты, допуск к гостайне | Собирать сведения о семье сверх этого объёма нельзя |
| Экстренный контакт | При названной цели и правовом основании, в ограниченном объёме, с информированием субъекта | Контакт — данные третьего лица; статья 88 ТК РФ общей обязанности собирать такие контакты не устанавливает |
| Профсоюзная деятельность | Только в случаях, предусмотренных законом | Ограничение статьи 86 ТК РФ |
Если для чувствительного поля в строке нельзя назвать конкретное основание из статей 10, 10.1 или 11 152-ФЗ, поле убирают из анкеты до утверждения перечня.
Важный нюанс из практики: один из внешних проверяющих кандидатов рассказывал, что изучает публичные чаты в мессенджере, где состоит человек. Найденные косвенные сведения он передаёт заказчику с оговоркой, что утверждать их не может. В перечне это отдельный источник — третье лицо. Для работника статья 86 ТК РФ в таком случае требует предварительного уведомления и письменного согласия, а сведения о здоровье попадают под режим статьи 10 152-ФЗ.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Кандидат подписывает документ, разрешающий проверку, до её начала, даже если в ходе онлайн-проверки с ним никто не общается.
Образцы согласий и положения для проверки кандидатов
Комплект закрывает строки перечня по подбору и проверке кандидатов; первым откройте согласие на обработку персональных данных, оно задаёт цель и состав данных.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Согласие кандидата на проверку службой безопасности | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
Поставщик КЭДО, удостоверяющий центр и база данных при сборе: строки за пределами отдела кадров
Исполнитель по договору ГПХ — субъект персональных данных. Основание обработки его данных — заключение и исполнение договора по пункту 5 части 1 статьи 6 152-ФЗ. Статьи 86-90 ТК РФ работником его не делают, поэтому исполнителей выделяют в отдельную категорию субъектов со своей строкой.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Поставщик КЭДО, который обрабатывает данные по поручению оператора, вносится в графу лиц, которым поручена обработка. Часть 3 статьи 6 152-ФЗ требует оформить поручение договором. По общему правилу на это нужно согласие субъекта, если федеральный закон не устанавливает иное. Поручение определяет перечень данных, действия с ними, цели, обязанность соблюдать конфиденциальность и требования к безопасности. Подключение к платформе оформления не заменяет. Отвечает перед работником по-прежнему оператор.
Мария Ж, специалист по цифровой подписи и КЭДО: «Кадровые документы — персональные данные, причём чувствительные: в них сведения о семье, здоровье, доходах. Как только они уходят к внешнему провайдеру, появляется третье лицо, и передачу ему нужно основать на согласии работника и объяснить людям, кому именно вы их передаёте. Задавайте вендору прямой вопрос: перечислите всех, кто получит доступ к данным. Чаще всего в этом списке три компании: сам провайдер, владелец инфраструктуры и удостоверяющий центр.»
В Добыто ПЭП и УНЭП для сотрудников выпускаются в рамках тарифа, а УКЭП работники получают через партнёров — удостоверяющие центры. Документы, которые подают для выпуска подписи, относятся к персональным данным, если по ним можно определить человека. Поэтому удостоверяющий центр получает в перечне свою строку с составом передаваемых сведений.
Факт: при проверке кандидата внешней службой безопасности ФИО, дату рождения, ИНН и паспортные данные проверяющему передаёт работодатель, получивший их от кандидата вместе с согласием на обработку. Проверяющий начинает работу, убедившись, что согласие есть, а способ передачи данных стороны согласуют при заключении договора.
С 01.07.2025 действует часть 5 статьи 18 152-ФЗ в редакции Федерального закона от 28.02.2025 № 23-ФЗ. Она запрещает при сборе данных граждан РФ запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных за пределами России. Исключения ограничены пунктами 2, 3, 4 и 8 части 1 статьи 6. Это исполнение международного договора или закона, государственные и муниципальные полномочия, правосудие и исполнение судебных актов, а также журналистская, медийная, научная, литературная и творческая деятельность. В графе «место хранения» указывают, где физически расположена база, в которую данные попадают при сборе.
Трансграничную передачу регулирует отдельно статья 12. Роскомнадзор разъяснил, что часть 5 статьи 18 не ограничивает передачу за рубеж данных, ранее собранных в российской базе. О самой передаче уведомляют до её начала. Это разъяснение не разрешает автоматически хранение, постоянную синхронизацию или зарубежную копию после сбора. Такой сценарий проверяют по статье 12, основанию обработки и фактической архитектуре системы.
Критерии адекватной защиты в части 2 статьи 12 изменены Федеральным законом от 26.07.2026 № 265-ФЗ, новая редакция действует с 26.07.2026. Запросите у поставщика письменный ответ, где физически расположены базы при сборе и хранении, и внесите его в перечень.
Доступ, сроки хранения и уничтожение: последние графы перечня
Статья 88 ТК РФ допускает к персональным данным работников внутри организации только уполномоченных лиц и только в объёме, нужном для их функций. В перечне это графа ролей: кто из кадровой службы, бухгалтерии и руководителей видит какие поля.
Мария Ж, юрист со стажем более 20 лет: «Требование разграничения доступа одинаково работает для электронного архива и для рабочей системы. Доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. До выбора системы выясните, есть ли в ней разграничение доступа по ролям и журнал обращений.»
Полезно знать: систему кадрового документооборота можно настроить так, чтобы трудовой договор хранился зашифрованным даже на внутреннем сервере. Открыть его смогут только обладатели ключа доступа к этому документу: сотрудник отдела кадров и сам работник.
Модуль Добыто для 1С:ЗУП синхронизирует документы автоматически, поэтому кадровые данные хранятся в двух системах. Роли доступа в перечне расписывают для каждой из них.
Сроки хранения: архивные документы и рабочие поля
Единого срока хранения всех кадровых данных нет. Для документов он следует из перечня, утверждённого приказом Росархива от 20.12.2019 № 236. Для рабочих полей без специального срока его определяет цель.
| Документ или данные | Срок | Основание |
|---|---|---|
| Приказы о приёме, переводе, увольнении, оплате труда и документы к ним | 50/75 лет | Приказ Росархива № 236 |
| Документы о ежегодных отпусках | 5 лет | Приказ Росархива № 236 |
| Документы о командировках | 5 лет | Приказ Росархива № 236 |
| Документы о дисциплинарных взысканиях | 3 года | Приказ Росархива № 236 |
| Данные кандидата после отказа | Уничтожение в течение 30 дней при отсутствии иного специального режима | Разъяснение Роскомнадзора |
| Рабочие поля без специального срока | До достижения цели, затем уничтожение в течение 30 дней, если иное не следует из закона, договора или соглашения с субъектом | Ч. 7 ст. 5, ч. 4 ст. 21 152-ФЗ |
| Акт и выгрузка журнала, подтверждающие уничтожение | 3 года | Приказ Роскомнадзора от 28.10.2022 № 179 |
Отметка 50/75 лет привязана к дате окончания делопроизводства. Документы, законченные до 01.01.2003, хранятся 75 лет, законченные после этой даты — 50 лет. Срок считают с 1 января года, следующего за годом окончания делопроизводства, а для реестров, книг и журналов — с 1 января года после завершения их ведения (пункт 4.1 приказа Росархива от 20.12.2019 № 237). Для отдельных документов, в частности связанных с опасными условиями труда, приказ № 236 устанавливает специальные сроки. Архивный срок кадрового документа не переносится на временные поля КЭДО: для них срок обосновывают целью и закрепляют в перечне.
Уничтожение подтверждают актом, при автоматизированной обработке — ещё и выгрузкой из журнала регистрации событий. Документы-подтверждения хранят 3 года по пунктам 3-5 приказа Роскомнадзора № 179. В графе «порядок уничтожения» указывают, кто составляет акт и из какой системы берётся выгрузка.
Важный нюанс из практики: внешний проверяющий кандидатов в одном из обсуждений пояснил, что удаляет полученные данные по истечении определённого срока, после чего сведения остаются только у заказчика. Конкретный срок он не назвал. Срок и порядок уничтожения у получателя фиксируют в договоре с ним, а в перечне указывают рядом с получателем.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Спрашивайте у поставщика, выгружает ли система комплект документа целиком: сам документ, файл подписи и доверенность, если подписано по ней. При проверке, при споре или при смене оператора понадобятся файлы, изображения на экране для этого недостаточно. Отдельно уточните, что происходит с архивом при расторжении договора и в каком виде вам отдают документы.»
Как составить перечень персональных данных: подготовка и порядок
Перечень пишут по фактическим процессам компании. Шаблон чужой организации приносит поля, которых у вас нет, и пропускает системы, где ваши данные хранятся.
Что собрать до составления перечня
- Все формы, через которые компания получает данные: анкеты, заявления, формы на сайте, договоры с клиентами и исполнителями.
- Список систем и носителей: учётная система, КЭДО, почта, файловые хранилища, бумажные личные дела.
- Договоры с организациями, которым передаются данные или поручена обработка, включая поставщика КЭДО и удостоверяющий центр.
- Действующее уведомление в реестре операторов и текст политики обработки.
- Список сотрудников с доступом к каждой системе и их роли.
Как составить перечень персональных данных: пошаговая инструкция
- Шаг 1. Выпишите цели обработки по процессам: заключение трудового договора, начисление зарплаты, перечисление зарплаты на счёт, подбор, договоры с клиентами, работа с контрагентами, проверка кандидатов.
- Шаг 2. Для каждой цели определите категории субъектов: работники, кандидаты, исполнители по ГПХ, клиенты, представители контрагентов, родственники работников в объёме кадрового учёта.
- Шаг 3. Перенесите в строку фактические поля из форм и систем и сверьте их с нормой: статья 65 ТК РФ, № 27-ФЗ, действующие формы отчётов. Поле без цели удалите из формы.
- Шаг 4. Укажите правовое основание по части 1 статьи 6 152-ФЗ. Если основанием выбрано согласие, проверьте его форму по статье 9.
- Шаг 5. Отметьте специальные, биометрические и разрешённые к распространению данные и назовите исключение по статьям 10, 11 или 10.1.
- Шаг 6. Заполните источник, место хранения, получателей, лиц по поручению и роли доступа. Отдельно укажите расположение базы при сборе.
- Шаг 7. Установите сроки: для документов — по приказу Росархива № 236, для рабочих полей — по цели. Опишите порядок уничтожения: акт и выгрузка журнала.
- Шаг 8. Утвердите локальный акт, ознакомьте работников под роспись и сверьте с перечнем уведомление Роскомнадзора, политику и тексты согласий.
Ошибки в перечне персональных данных и их цена по статье 13.11 КоАП
Штраф по статье 13.11 КоАП определяется тем, какой графе перечня не соответствует фактическая обработка. Части 10-18 статьи добавлены Федеральным законом от 30.11.2024 № 420-ФЗ, часть 10 действует с 30.05.2025. Суммы ниже указаны для юридических лиц.
- Один список для всех целей. Готовый шаблон копируют, чтобы закрыть требование быстрее, и данные обрабатываются без привязки к цели или без основания. Часть 1: от 150 000 до 300 000 руб., повторно по части 1.1 — от 300 000 до 500 000 руб.
- Поле, для которого нужно письменное согласие, собирают без него. Сведения о здоровье или биометрию добавляют в общую анкету, не оформив согласие в требуемой форме. Часть 2: от 300 000 до 700 000 руб.
- Перечень поменяли, уведомление оставили прежним. Новую цель или систему запускают в работу, а сведения в реестре не корректируют до 15-го числа следующего месяца. Часть 10: от 100 000 до 300 000 руб. за отсутствие или просрочку уведомления.
- Поставщик собирает данные в зарубежную базу. Систему выбирают по функциям, не запросив расположение базы при сборе. Часть 8: от 1 000 000 до 6 000 000 руб.
Для работников, допустивших нарушение правил обработки, статья 90 ТК РФ предусматривает отдельную ответственность. Поэтому ознакомление под роспись с перечнем и порядком обработки фиксирует, какие правила до них доведены.
Стоимость КЭДО с хранением кадровых персональных данных в 2026 году
Стоимость зависит от тарифа, численности сотрудников, нужных видов электронной подписи и интеграции с 1С.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП подписи, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | не указан |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, приоритетная поддержка, электронный архив | от 50 ₽ за сотрудника / мес | не указан |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | не указан |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | По запросу | не указан |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | не указан |
| УКЭП через партнёров — удостоверяющие центры | по запросу | не указан |
| Модуль для 1С:ЗУП с автоматической синхронизацией документов | входит в тариф «Бизнес» | установка и настройка за 1 день |
Цена считается за сотрудника в месяц. Электронные подписи для сотрудников входят в тариф, а по тарифу «Бизнес» действует минимальная годовая оплата за 50 сотрудников. Состав каждого тарифа и условия перехода между ними опубликованы на странице тарифов Добыто КЭДО. При повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Перечень персональных данных собирают по целям. У каждой строки свои субъекты, поля, правовое основание, место хранения, получатели, роли доступа и срок. Форму документа компания выбирает сама, содержание задаёт статья 18.1 152-ФЗ, а каждое поле без цели нарушает запрет на избыточность. Чувствительные сведения, поставщик КЭДО, удостоверяющий центр и расположение базы при сборе требуют отдельных строк. Готовый перечень становится исходником для согласий, политики и уведомления Роскомнадзора.
В Добыто кадровые документы подписываются электронными подписями, которые для сотрудников входят в тариф, и хранятся в электронном архиве; модуль для 1С:ЗУП синхронизирует документы автоматически. При подключении сервис встаёт в перечень строкой лица, которому поручена обработка, с описанием состава данных и мест хранения.
Частые вопросы о перечне персональных данных
Обязана ли компания назначить ответственного за организацию обработки персональных данных?
Да, если оператор — юридическое лицо: это прямое требование части 1 статьи 22.1 152-ФЗ. Для индивидуального предпринимателя, который к юридическим лицам не относится, эта норма такой обязанности не устанавливает. ИП-работодатель при этом сохраняет обязанности по статьям 86 и 87 ТК РФ: установить порядок хранения и использования данных работников и ознакомить с ним под роспись.
Можно ли оставить отклонённого кандидата в кадровом резерве?
Да, при его согласии. По разъяснению Роскомнадзора, резерв вне трудовых отношений требует согласия кандидата и информирования об условиях резерва, сроке хранения данных и порядке исключения из резерва. Без такого согласия данные кандидата после отказа уничтожают в течение 30 дней, если нет иного специального режима. Согласие на рассмотрение кандидатуры не требуется в оговорённых Роскомнадзором случаях, в частности когда резюме соискатель сам опубликовал.
В какой форме можно получить согласие на обработку персональных данных?
По части 1 статьи 9 152-ФЗ обычное согласие получают в любой форме, позволяющей подтвердить факт его получения, если федеральный закон не предписал иную форму. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Письменная форма нужна только в случаях, прямо предусмотренных федеральным законом: при обработке биометрии по статье 11 152-ФЗ, как правило, и при получении сведений о работнике у третьего лица по статье 86 ТК РФ.
Можно ли отнести персональные данные работников к коммерческой тайне?
Режим коммерческой тайны по статье 10 Федерального закона от 29.07.2004 № 98-ФЗ считается установленным после того, как определён перечень сведений, ограничен доступ, ведётся учёт допущенных лиц, урегулированы отношения с работниками и контрагентами и носители помечены грифом. Статья 5 того же закона запрещает относить к коммерческой тайне сведения о численности и составе работников, системе оплаты и условиях труда, охране труда, травматизме и профзаболеваниях, задолженности по зарплате и социальным выплатам. Личные сведения конкретного работника от этого общедоступными не становятся: их защищает режим 152-ФЗ.
Что делать, если произошла утечка персональных данных?
При неправомерной или случайной передаче данных статья 21 152-ФЗ требует уведомить Роскомнадзор в течение 24 часов, а результаты внутреннего расследования направить в течение 72 часов. Графы перечня «место хранения», «получатели» и «доступ» показывают, какие категории данных и каких субъектов затронул инцидент. Статья 19 152-ФЗ дополнительно требует правовых, организационных и технических мер защиты, которые после инцидента пересматривают.
Какие права есть у работника в отношении его персональных данных?
Статья 89 ТК РФ даёт работнику право на полную информацию о его данных и их обработке, на доступ к ним и получение копий, на исправление, блокирование или уничтожение неверных и неполных сведений, а также право обжаловать действия работодателя. За нарушение правил обработки статья 90 ТК РФ устанавливает ответственность виновных лиц. Перечень по целям позволяет ответить на запрос работника полным списком полей, оснований и получателей.
