Персональные данные и коммерческая тайна где проходит граница в компании

Персональные данные и коммерческая тайна защищаются разными законами и по разной логике. Персональные данные работников, кандидатов и клиентов охраняет 152-ФЗ независимо от воли компании, а коммерческая тайна появляется только тогда, когда работодатель сам ввёл её режим по статье 10 98-ФЗ. По персональным данным компания выступает оператором: уведомляет Роскомнадзор, публикует политику, получает согласие там, где обработка выходит за рамки ТК РФ. Для коммерческой тайны нужны перечень сведений, гриф и ознакомление работников под расписку. Граница проходит по вопросу, чьи это сведения: сведения о конкретном человеке относятся к персональным данным, сведения о бизнесе с коммерческой ценностью могут стать тайной, а численность персонала и система оплаты труда по статье 5 98-ФЗ тайной быть не могут.

Ниже — сравнение двух режимов по закону, органу контроля, документам и ответственности, перечень сведений, которые нельзя засекретить положением о коммерческой тайне, и разбор пересечений: клиентская база, резюме кандидатов, зарплатные данные. Покажем, как оформить согласие отдельным документом по правилам, действующим с 1 сентября 2025 года, и чем доказать подписание в КЭДО. Штрафы по статьям 13.11 и 13.14 КоАП, порядок ввода режима тайны, образцы согласий, тарифы и ответы на частые вопросы — во второй половине статьи.

Чем персональные данные отличаются от коммерческой тайны: закон, органы, документы

По статье 3 152-ФЗ персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Коммерческая тайна по статье 3 98-ФЗ — режим конфиденциальности информации, который позволяет её обладателю увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке. Под этот режим подпадают сведения любого характера: производственные, технические, экономические, организационные, если у них есть действительная или потенциальная коммерческая ценность в силу неизвестности третьим лицам.

Защита персональных данных начинается в момент, когда компания их получила: обязанности оператора возникают из закона, и отказаться от них нельзя. С коммерческой тайной наоборот. Режим считается установленным только после того, как обладатель принял все меры из части 1 статьи 10 98-ФЗ. Пока нет перечня, порядка доступа, учёта допущенных лиц и грифа, пометка «конфиденциально» в договоре или письме тайны не создаёт, и уволить работника за разглашение таких сведений по основанию о коммерческой тайне не получится.

Сравнение двух режимов по параметрам, от которых зависит порядок действий кадровой службы:

Для работника-нарушителя оба режима сходятся в одном основании увольнения. Для компании последствия расходятся: за персональные данные она отвечает сама как оператор перед Роскомнадзором, а по коммерческой тайне выступает пострадавшей стороной и может требовать с виновного возмещения ущерба в полном размере (пункт 7 части 1 статьи 243 ТК РФ). Откройте свои ЛНА: если персональные данные работников перечислены в положении о коммерческой тайне, а отдельного положения об обработке персональных данных нет, режимы в компании смешаны.

Согласие на обработку персональных данных: когда оно нужно работодателю и как его оформить

Статья 6 152-ФЗ допускает обработку без согласия, если она нужна для исполнения обязанностей, которые закон возлагает на оператора. Роскомнадзор в разъяснениях по кадровым данным применяет это правило к работникам: согласие не требуется, пока объём данных не превышает установленные перечни и соответствует целям, предусмотренным ТК РФ. Паспорт, СНИЛС и сведения для ЕФС-1 работодатель обрабатывает на основании трудового законодательства.

Согласие понадобится в ситуациях, которые выходят за эти рамки:

• передача данных работника третьей стороне, кроме случаев, прямо указанных в законе: по статье 88 ТК РФ для этого нужно письменное согласие работника;
• получение данных о работнике не от него самого, например отзыв с прежнего места работы: по пункту 3 статьи 86 ТК РФ работника уведомляют заранее и получают его письменное согласие;
• проверка кандидата службой безопасности, в том числе внешней;
• обработка данных сверх перечней и целей ТК РФ.

С 1 сентября 2025 года, после поправок 156-ФЗ от 24.06.2025, согласие оформляется отдельно от других документов, которые подписывает субъект. Формулировка в тексте трудового договора, анкеты или заявления о приёме больше не работает для новых согласий. Согласия, подписанные раньше, продолжают действовать. Само согласие по части 1 статьи 9 152-ФЗ должно быть конкретным, предметным, информированным, сознательным и однозначным. Роскомнадзор публикует образцы согласия на обработку персональных данных и уведомления субъекта, по ним удобно сверить собственный бланк.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Письменное согласие по части 4 статьи 9 152-ФЗ содержит:

1. ФИО и адрес субъекта, номер основного документа, удостоверяющего личность, дату его выдачи и выдавший орган;
2. ФИО, адрес и реквизиты доверенности представителя, если согласие подписывает представитель;
3. наименование или ФИО и адрес оператора;
4. цель обработки;
5. перечень персональных данных;
6. наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если обработка поручена;
7. перечень действий с данными и общее описание способов обработки;
8. срок действия согласия и способ его отзыва;
9. подпись субъекта.

Согласие в форме электронного документа, подписанного электронной подписью, по той же части 4 статьи 9 равнозначно бумажному с собственноручной подписью. Скан бумажного согласия электронным документом при этом не становится.

Мария Ж, специалист по цифровой подписи и КЭДО: «Первое, что я выясняю, когда компания показывает мне согласия в электронном виде, — в каком режиме они созданы. Скан бланка, подписанного от руки, — это электронный образ, а файл, подписанный криптографически, — электронный документ, и требования к подписи у них разные. Откройте любое согласие из архива: если в файле видно изображение собственноручной подписи, перед вами образ, и доказывать подлинность придётся по бумажному оригиналу.»

В практике Добыто согласие на обработку персональных данных и согласие работника на взаимодействие в электронном виде по статье 22.1 ТК РФ оформляются двумя разными документами: у них разные основания и разный предмет, а объединение в одном бланке после 1 сентября 2025 года противоречит требованию об отдельном оформлении.

Соберите согласие на обработку персональных данных под своего работника или кандидата

Для кандидатов согласие особенно значимо: без него компания не вправе передавать анкету на проверку, а проверяющая сторона не вправе её выполнять.

Границы проверки определяет тот же принцип: с согласия можно сверить документы и открытые реестры, без согласия нельзя запрашивать сведения у третьих лиц и передавать анкету подрядчику. Сверьте свой бланк согласия кандидата с этим перечнем до того, как отправить первую анкету на проверку.

Обязанности оператора персональных данных и контроль Роскомнадзора

До 1 сентября 2022 года работодатель мог не уведомлять Роскомнадзор, если обрабатывал данные только в рамках трудового законодательства. Это исключение из статьи 22 152-ФЗ убрали, и теперь уведомление об обработке подаётся до её начала даже компанией из нескольких человек. За неподанное уведомление часть 10 статьи 13.11 КоАП предусматривает штраф от 100 000 до 300 000 рублей для юрлица и от 30 000 до 50 000 рублей для должностного лица.

Кроме уведомления, оператор обязан выполнить набор организационных мер, и каждая из них проверяется отдельно:

• издать и опубликовать политику обработки персональных данных (статья 18.1 152-ФЗ); за неопубликованную политику часть 3 статьи 13.11 КоАП даёт юрлицу штраф от 30 000 до 60 000 рублей;
• назначить ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ);
• ознакомить работников под роспись с документами, которые устанавливают порядок обработки их данных (пункт 8 статьи 86 ТК РФ);
• принять правовые, организационные и технические меры защиты (статья 19 152-ФЗ);
• при утечке сообщить в Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов о результатах внутреннего расследования (часть 3.1 статьи 21 152-ФЗ).

Ни одна из этих мер не заменяется режимом коммерческой тайны. Гриф на базе кадровых данных и подписанные работниками обязательства о неразглашении не освобождают компанию от уведомления, политики и сообщения об утечке.

Обязанности оператора распространяются и на тех, кому компания передаёт данные по договору. Внешняя служба безопасности, которая проверяет кандидатов, сама является оператором персональных данных и подаёт уведомление в Роскомнадзор. Способ передачи анкет, будь то защищённая почта или иной канал, стороны согласуют при заключении договора, а доступ к отчёту остаётся у заказчика и проверяющего.

Важный нюанс из практики: аутсорсинговая служба безопасности после выполнения проверки не хранит полученные данные: через определённый срок их удаляют, и всё остаётся только на стороне заказчика. Отсюда следствие для работодателя: срок хранения отчёта о кандидате и порядок его уничтожения описывает его собственный ЛНА, а не договор с подрядчиком.

Мария Ж, HR-эксперт с 13-летним стажем: «Регламент по персональным данным имеет смысл, только если его выполняют. Документ, написанный для папки к проверке, от утечки не защищает. Если вы принимаете регламент, в нём должно быть три практических раздела: как передавать данные, как их хранить и как обрабатывать. Проверьте, может ли любой специалист по кадрам ответить по вашему регламенту, каким каналом он отправит анкету кандидата подрядчику.»

Технические меры защиты в КЭДО строятся вокруг четырёх узлов: аутентификация работника, защищённый обмен данными, подписание и хранение. Именно эти узлы Роскомнадзор и суд оценивают, когда выясняют, кто имел доступ к документу и кто его подписал.

Образцы согласий и правил обработки персональных данных для кадровой службы

Комплект закрывает базовые документы оператора; начните с согласия на обработку персональных данных, затем сверьте с образцом свои правила обработки.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Какие сведения нельзя засекретить режимом коммерческой тайны

Статья 5 98-ФЗ перечисляет сведения, в отношении которых режим коммерческой тайны не может быть установлен, и для кадровой службы в этом перечне два пункта. По пункту 5 тайной не могут быть сведения о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости и о наличии свободных рабочих мест. По пункту 6 — сведения о задолженности работодателя по выплате заработной платы и по иным социальным выплатам. Там же, в пункте 1, закрыты для режима тайны сведения из учредительных документов и документов о внесении записей в государственные реестры.

Если такие сведения всё же попали в перечень коммерческой тайны, запись не действует. Работника нельзя уволить по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ за то, что он сообщил, сколько человек работает в отделе или какие в компании условия труда: эти сведения тайной не являются независимо от грифа.

Зарплата: система оплаты труда и оклад конкретного работника

Положение об оплате труда, система премирования, порядок расчёта надбавок относятся к системе оплаты труда, и режим коммерческой тайны на них не распространяется. Оклад и премия конкретного работника — другое дело: это его персональные данные. Специалист по кадрам или бухгалтер, который сообщил коллеге чужую зарплату, разгласил персональные данные другого работника, и основание для увольнения здесь то же, что и для коммерческой тайны, но без всякого режима КТ.

Работник, который рассказал о собственной зарплате, распоряжается своими персональными данными. Запрет на это, оформленный через положение о коммерческой тайне, упирается в пункт 5 статьи 5 98-ФЗ. Если в вашем положении о КТ есть пункт о «конфиденциальности размера вознаграждения», переоформите его: защищайте зарплатные ведомости как персональные данные через правила обработки и ограничение доступа, а не как тайну.

Как ввести режим коммерческой тайны отдельно от персональных данных

Часть 1 статьи 10 98-ФЗ называет пять мер, и режим возникает только после принятия всех пяти:

1. определение перечня информации, составляющей коммерческую тайну;
2. ограничение доступа к ней: порядок обращения с информацией и контроль за его соблюдением;
3. учёт лиц, получивших доступ, и лиц, которым информация предоставлена или передана;
4. регулирование отношений по использованию информации с работниками на основании трудовых договоров и с контрагентами на основании гражданско-правовых договоров;
5. нанесение на материальные носители и документы грифа «Коммерческая тайна» с указанием обладателя информации.

Статья 11 98-ФЗ добавляет три обязанности работодателя: ознакомить под расписку работника, которому доступ нужен для работы, с перечнем сведений; ознакомить его под расписку с режимом и мерами ответственности за нарушение; создать условия для соблюдения режима. Если в споре окажется, что работник не подписывал ознакомление с перечнем, увольнение за разглашение суд, скорее всего, не поддержит: по пункту 43 постановления Пленума Верховного Суда РФ от 17.03.2004 № 2 работодатель должен доказать, что сведения относятся к охраняемой законом тайне, стали известны работнику в связи с трудовыми обязанностями и работник обязался их не разглашать.

Как ввести режим коммерческой тайны, не затронув персональные данные: пошаговая инструкция

1. Шаг 1. Составьте перечень сведений коммерческой тайны и сверьте каждую позицию со статьёй 5 98-ФЗ: численность, состав работников, система оплаты труда, условия труда и вакансии из перечня исключаются.
2. Шаг 2. Уберите из перечня позиции, которые являются только персональными данными работников: паспортные данные, адреса, сведения о здоровье, оклады. Их защищает 152-ФЗ и глава 14 ТК РФ, а порядок описывается в правилах обработки персональных данных.
3. Шаг 3. Утвердите положение о коммерческой тайне с порядком доступа, учётом допущенных лиц и правилами проставления грифа с указанием обладателя.
4. Шаг 4. Определите должности, которым доступ нужен для работы, и ознакомьте этих работников под расписку с перечнем, режимом и мерами ответственности.
5. Шаг 5. Включите условие о неразглашении в трудовые договоры через дополнительное соглашение, а с контрагентами и исполнителями по ГПХ — в гражданско-правовые договоры.
6. Шаг 6. Проставьте гриф на существующие носители и документы, ведите журнал учёта доступа.

Когда режим коммерческой тайны вводить не стоит

Если единственное, что компания хочет защитить, — кадровые данные работников, режим тайны избыточен: эти сведения уже охраняются законом, а разглашение персональных данных другого работника само по себе основание для увольнения. Режим не сработает и там, где компания не готова вести учёт допущенных лиц и ставить гриф: без этих мер он не считается установленным, а документы о нём создают только видимость защиты. Прежде чем утверждать положение о КТ, ответьте на вопрос, какие конкретные сведения приносят компании доход в силу того, что их не знают конкуренты. Если ответа нет, начинать нужно с правил обработки персональных данных.

Где режимы пересекаются: клиентская база, кандидаты, договоры

Одни и те же сведения могут одновременно быть персональными данными и входить в перечень коммерческой тайны. Клиентская база с ФИО и телефонами физических лиц — типичный пример: для компании это коммерческий актив, для 152-ФЗ — персональные данные клиентов. Режим тайны в таком случае добавляет обязанности, но не снимает ни одной из тех, что установлены для оператора.

При утечке клиентской базы компания одновременно пострадавшая сторона по 98-ФЗ и нарушитель по 152-ФЗ: претензии к работнику, который вынес базу, не отменяют обязанности уведомить Роскомнадзор в течение 24 часов и штрафов за саму утечку. Поэтому для баз, где есть данные физических лиц, первым проверяется выполнение обязанностей оператора, а режим тайны строится поверх них.

Ответственность за нарушения: одно основание увольнения и разные штрафы

Размер санкций по персональным данным вырос с 30 мая 2025 года, когда вступили в силу поправки 420-ФЗ от 30.11.2024 к статье 13.11 КоАП. Разглашение коммерческой тайны наказывается по общей статье 13.14 КоАП, штрафы по ней заметно ниже.

Ошибка в выборе режима стоит дороже, чем кажется при оформлении ЛНА. Компания, которая защищала базу кандидатов только грифом «Коммерческая тайна» и не получала согласия на проверку, при жалобе кандидата отвечает по части 2 статьи 13.11 КоАП, а наличие положения о КТ в этом споре не учитывается. Работника, разгласившего сведения, которые по статье 5 98-ФЗ тайной быть не могут, суд восстановит на работе с оплатой вынужденного прогула. Сверьте свой перечень КТ и реестр согласий с таблицей выше, прежде чем применять к кому-либо подпункт «в» пункта 6 части 1 статьи 81 ТК РФ.

Согласия и обязательства о неразглашении в КЭДО: как доказать подписание

Электронное согласие и электронное ознакомление с режимом коммерческой тайны работают в споре только тогда, когда работодатель может показать, кто и при каких обстоятельствах их подписал. Подпись сама по себе этого не доказывает: суд смотрит на порядок идентификации работника и на то, как ему выдавали подпись.

Важный нюанс из практики: спор об увольнении по заявлению, поданному через КЭДО, прошёл четыре инстанции. У работодателя было Положение о КЭДО, утверждённый перечень документов и согласие работника. Девятый кассационный суд общей юрисдикции отменил решения в пользу компании, потому что в деле не оказалось сведений о порядке идентификации. При новом рассмотрении в январе 2023 года работник выиграл: подпись ему выдали в день подписания заявления, пользоваться системой он не умел, за него подписывал другой человек, и всё это зафиксировала информационная система самого работодателя.

Мария Ж, судебный эксперт по трудовому праву: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Если в вашем Положении о КЭДО порядок идентификации не описан, спор можно проиграть при технически исправной подписи, и это касается согласий и обязательств о неразглашении так же, как заявлений об увольнении.»

Мы в Добыто разводим во времени выдачу подписи работнику и первые кадровые действия с ней, а перед раскаткой на всю компанию закладываем пилотную группу: так проверяется, что работники действительно способны пользоваться системой. Проверьте у себя три вещи: описан ли в ЛНА порядок идентификации при подписании, фиксирует ли система дату и обстоятельства выдачи подписи, есть ли регламент действий при поступлении заявления об увольнении.

Согласие, подписанное усиленной неквалифицированной подписью через Госключ, сопровождается подтверждением ознакомления с информированным согласием на выпуск УНЭП. Этот шаг фиксирует, что подпись выпущена самим работником, и закрывает часть вопросов об идентификации.

Стоимость КЭДО для хранения согласий и кадровых документов

Стоимость зависит от численности сотрудников, нужных видов подписи и того, требуется ли интеграция с 1С и электронный архив. Цены действуют на дату публикации.

Итоговая сумма складывается из численности, выбранного тарифа и видов подписи, которые нужны для ваших документов. Условия каждого тарифа, включая порядок пересчёта при переходе с одного на другой, приведены на странице тарифов Добыто КЭДО.

Выводы

Персональные данные защищены законом с момента их получения, и компания отвечает за них как оператор перед Роскомнадзором. Коммерческая тайна существует лишь там, где работодатель сам выстроил режим: перечень, доступ, учёт, гриф и ознакомление под расписку. Численность, состав работников и система оплаты труда в этот режим не входят, а данные конкретного человека остаются персональными даже внутри засекреченной базы, поэтому обязанности по 152-ФЗ режимом тайны не заменяются.

В Добыто согласия на обработку персональных данных, ознакомления с ЛНА и обязательства о неразглашении подписываются отдельными электронными документами с фиксацией подписанта, что даёт кадровой службе доказательную базу для проверки Роскомнадзора и для трудового спора.

Частые вопросы о персональных данных и коммерческой тайне

Действуют ли согласия, включённые в трудовой договор до 1 сентября 2025 года?

Да. Требование оформлять согласие отдельно от других документов, введённое 156-ФЗ от 24.06.2025, касается согласий, полученных с 1 сентября 2025 года. Ранее подписанные согласия переоформлять не нужно. Новые согласия, в том числе при изменении целей обработки или перечня данных, оформляются уже отдельным документом.

Нужно ли отдельное согласие, чтобы разместить фото и должность сотрудника на сайте компании?

Да. Публикация на сайте — распространение персональных данных неограниченному кругу лиц, и для него статья 10.1 152-ФЗ требует отдельного согласия, оформленного отдельно от согласия на обработку. В нём работник вправе установить запреты и условия: например, разрешить публикацию фото, но запретить передачу данных дальше.

Распространяется ли режим коммерческой тайны на исполнителя по договору ГПХ?

Распространяется только через гражданско-правовой договор: пункт 4 части 1 статьи 10 98-ФЗ разделяет регулирование с работниками по трудовым договорам и с контрагентами по гражданско-правовым. Уволить исполнителя по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ нельзя, трудовых отношений нет. Ответственность исполнителя определяется условиями договора и гражданским законодательством, поэтому условие о конфиденциальности и перечень сведений прописываются в самом договоре ГПХ.

Что будет, если работник отзовёт согласие на обработку персональных данных?

По части 2 статьи 9 152-ФЗ отзыв не останавливает обработку, если у оператора есть другое законное основание из статьи 6. Данные, которые работодатель ведёт по ТК РФ, налоговому законодательству и законодательству о страховании, продолжают обрабатываться. Прекратить придётся ту обработку, которая держалась только на согласии: передачу данных третьим лицам, публикацию, использование в целях сверх ТК РФ.

Сколько можно хранить резюме кандидата, которому отказали?

По разъяснениям Роскомнадзора данные кандидата, которому отказали в приёме, уничтожаются в течение 30 дней. Хранить резюме дольше, например в кадровом резерве, можно только при наличии согласия кандидата на такое хранение с указанием срока. Отчёт службы безопасности о кандидате подчиняется тем же правилам, что и его анкета.

Нужно ли уведомлять Роскомнадзор компании из трёх сотрудников?

Как правило, да. С 1 сентября 2022 года из статьи 22 152-ФЗ убрано исключение для обработки данных в рамках трудового законодательства, поэтому численность работников на обязанность не влияет. Уведомление подаётся до начала обработки, а за его отсутствие часть 10 статьи 13.11 КоАП предусматривает штраф для юрлица от 100 000 до 300 000 рублей.