Подача сведений об обработке персональных данных — это уведомление Роскомнадзора по статье 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», которое оператор направляет до начала обработки. С 1 сентября 2022 года его подаёт любой работодатель, который ведёт кадровый учёт в 1С, Excel или облачной системе: освобождение для данных, обрабатываемых по трудовому законодательству, из закона исключено. Форма утверждена приказом Роскомнадзора от 28.10.2022 № 180, подаётся на бумаге, с УКЭП или через учётную запись Госуслуг, а сведения попадают в реестр операторов в течение 30 дней. Без уведомления работает только оператор, который обрабатывает данные исключительно без средств автоматизации, то есть на бумаге: одна кадровая таблица на компьютере уже требует подачи.
Ниже — разбор каждого поля формы применительно к кадровым процессам, порядок подачи через портал Роскомнадзора и разграничение уведомлений о намерении, об изменениях и о прекращении обработки. Отдельно показываем, когда работодателю нужно согласие на обработку персональных данных работника или кандидата и как облачный КЭДО меняет сведения о третьих лицах и месте хранения базы. Сроки, штрафы по статье 13.11 КоАП, образцы согласий и ЛНА, стоимость КЭДО на 2026 год и ответы на частые вопросы — во второй половине статьи.
Кто обязан подавать уведомление об обработке персональных данных в Роскомнадзор
Часть 1 статьи 22 152-ФЗ обязывает оператора уведомить уполномоченный орган о намерении обрабатывать персональные данные до начала обработки. Оператор персональных данных — организация или ИП, которые сами определяют цели и состав обработки. Работодатель становится оператором с первого кандидата: анкета, резюме, трудовой договор, личная карточка, расчёт зарплаты, сведения в Социальный фонд России по форме ЕФС-1. Численность штата на обязанность не влияет, компания с 1 работником подаёт уведомление так же, как холдинг на 5000 человек.
До 1 сентября 2022 года большинство работодателей уведомление не подавали законно: действовало исключение для данных, которые обрабатываются в соответствии с трудовым законодательством. Федеральный закон от 14.07.2022 № 266-ФЗ это исключение убрал. Если компания работала с сотрудниками до этой даты и в реестре операторов её нет, она обрабатывает данные без уведомления прямо сейчас, и начинать нужно с подачи уведомления о намерении, а не с уведомления об изменениях.
Полезно знать: кадровые документы относятся к чувствительным персональным данным: в них сведения о семье, здоровье и доходах работника. Поэтому раздел уведомления о категориях данных у работодателя почти никогда не ограничивается ФИО и контактами.
Когда уведомление не подаётся
Часть 2 статьи 22 оставляет три случая, когда обработка идёт без уведомления:
- данные включены в государственные информационные системы персональных данных, созданные для защиты безопасности государства и общественного порядка;
- оператор обрабатывает данные исключительно без использования средств автоматизации;
- обработка ведётся в случаях, предусмотренных законодательством о транспортной безопасности, в целях защиты транспортного комплекса от актов незаконного вмешательства.
Для обычной коммерческой компании реально применимо только второе исключение, и оно почти никогда не срабатывает. Слово «исключительно» означает, что ни один процесс не идёт через компьютер: табель не ведётся в Excel, резюме не приходят на почту, зарплата не перечисляется по реестру через банк-клиент, кадровые документы не хранятся в 1С или КЭДО. Любое из этих действий — автоматизированная обработка, и уведомление обязательно. Проверить, есть ли компания в реестре, можно самостоятельно по ИНН или наименованию на портале персональных данных Роскомнадзора, запись в реестре общедоступна.
Что указать в уведомлении: поля формы применительно к кадровым данным
Часть 3 статьи 22 152-ФЗ задаёт закрытый перечень сведений, а форма из приказа № 180 раскладывает их по целям обработки: для каждой цели отдельно указываются категории данных, категории субъектов, правовое основание и способы обработки. Работодатель обычно заявляет несколько целей, например оформление трудовых отношений, подбор персонала и исполнение договоров ГПХ, и у каждой свой набор полей.
- Наименование и адрес оператора. Юридический адрес по ЕГРЮЛ, для ИП — ФИО и адрес регистрации.
- Цель обработки. Формулируется конкретно: «ведение кадрового учёта и исполнение трудового договора», а не «деятельность компании». Подбор персонала — отдельная цель, у кандидатов другой состав данных и другой срок хранения.
- Категории персональных данных. ФИО, паспортные данные, СНИЛС, ИНН, сведения об образовании, семейном положении, доходах. Сведения о состоянии здоровья относятся к специальным категориям и указываются отдельно, если компания их обрабатывает, например по результатам медосмотров.
- Категории субъектов. Работники, уволенные работники, кандидаты, родственники работников, исполнители по договорам ГПХ. Исполнитель по ГПХ не работник, и основание обработки его данных — договор, а не ТК РФ.
- Правовое основание. Для трудовых отношений — статьи 85-90 ТК РФ и 152-ФЗ, для кандидатов — согласие на обработку персональных данных, для ГПХ — договор.
- Перечень действий и способ обработки. Сбор, запись, систематизация, хранение, передача, уничтожение; способ — автоматизированная, без средств автоматизации или смешанная, с передачей по внутренней сети и через интернет или без неё.
- Меры по статьям 18.1 и 19 152-ФЗ. Назначение ответственного, политика обработки, ЛНА, ознакомление работников, оценка вреда, средства защиты, в том числе сведения о наличии шифровальных средств и их наименования.
- Ответственный за организацию обработки. ФИО или наименование, телефон, почтовый адрес и электронная почта. Эти сведения в реестре общедоступны, поэтому указывают служебные контакты, а не личный мобильный.
- Дата начала обработки. Для действующей компании — фактическая дата, когда появился первый работник или кандидат, а не дата подачи уведомления.
- Срок или условие прекращения обработки. Для кадровых документов это срок архивного хранения, для компании в целом допустимо условие «ликвидация оператора».
- Сведения о трансграничной передаче. Есть или нет, и если есть — в какие страны.
- Место нахождения базы данных с персональными данными граждан РФ. Адрес собственного сервера или наименование и адрес провайдера, у которого размещена система.
- Сведения об обеспечении безопасности в соответствии с требованиями к защите персональных данных, установленными Правительством РФ постановлением от 01.11.2012 № 1119.
Самые частые вопросы вызывает десятое поле. Кадровые документы хранятся десятилетиями после увольнения, и обработка в форме хранения продолжается весь этот срок, поэтому указывать «до расторжения трудового договора» некорректно.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Факт: личные карточки, трудовые договоры и приказы по личному составу хранятся 50 лет, если дела завершены после 1 января 2003 года, и 75 лет для более ранних. Базовый источник сроков — Перечень, утверждённый приказом Росархива от 20.12.2019 № 236.
Мария Ж, юрист со стажем более 20 лет: «Пятьдесят лет хранения кадровых документов установлены не ради работодателя. Эти документы нужны самому человеку, причём тогда, когда компании может уже не существовать. Поэтому в поле о сроке прекращения обработки я ставлю срок хранения по Перечню, а не дату увольнения, и проверяю, что номенклатура дел говорит то же самое.»
Важный нюанс из практики: если вида документа нет в Перечне, это не освобождает от хранения. Срок определяют по аналогии с наиболее близким по смыслу документом, решение принимает экспертная комиссия и фиксирует его в номенклатуре дел. При проверке компания показывает документированный выбор, и этот же срок переносится в уведомление.
Согласие на обработку персональных данных: когда оно нужно работодателю
Уведомление и согласие закрывают разные обязанности: уведомление сообщает Роскомнадзору о самой обработке, согласие даёт правовое основание в отношении конкретного человека. Данные работника в рамках трудового договора обрабатываются без согласия, основание — пункты 2 и 5 части 1 статьи 6 152-ФЗ и статьи 85-90 ТК РФ. Работодатель, который собирает согласие на всё подряд, создаёт себе риск: работник вправе отозвать согласие, а обработка, которая держалась только на нём, должна прекратиться.
Письменное согласие нужно в ситуациях, где трудового основания не хватает:
- передача данных третьей стороне, кроме случаев, предусмотренных законом, — статья 88 ТК РФ;
- получение данных работника у третьих лиц, о котором работника уведомляют заранее, — статья 86 ТК РФ;
- обработка данных кандидата, с которым трудового договора ещё нет;
- распространение данных, например фотографии и должности на сайте, — отдельное согласие по статье 10.1 152-ФЗ, которое не объединяется с обычным;
- передача данных облачному провайдеру и удостоверяющему центру, если компания не хранит кадровые документы на своих серверах.
Содержание согласия задаёт часть 4 статьи 9 152-ФЗ: ФИО, адрес и паспортные данные субъекта, наименование и адрес оператора, цель, перечень данных, перечень действий и способы обработки, лицо, которое обрабатывает данные по поручению оператора, если оно есть, срок действия согласия и порядок его отзыва, подпись. Бланк на обработку персональных данных без цели и без срока формально подписан, но проверку не проходит: из него нельзя понять, на что именно человек согласился.
Облачный КЭДО добавляет в эту схему получателей данных. Кадровые документы уходят к провайдеру, если серверы арендованы — к владельцу инфраструктуры, если подписи выпускает сторонний удостоверяющий центр — и к нему. Передача каждому из них должна опираться на согласие работника, а в уведомлении эти лица отражаются в сведениях о месте нахождения базы данных и о передаче.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Выбор облачной системы для кадровых документов — не только технический выбор. Он сразу добавляет обязанность собрать согласия на передачу данных третьим лицам и объяснить людям, кому именно вы их передаёте. Вендору я советую задавать прямой вопрос: перечислите всех, кто получит доступ к данным. Обычно в ответе не одна компания, а три: провайдер, владелец инфраструктуры и удостоверяющий центр.»
Согласие кандидата на проверку службой безопасности
Кандидат — субъект персональных данных, но не работник, поэтому статьи 85-90 ТК РФ на него не распространяются, и проверка его сведений по базам, запросы к прошлым работодателям и хранение резюме после отказа требуют согласия. В уведомлении подбор персонала заявляется отдельной целью, кандидаты — отдельной категорией субъектов, а правовым основанием для этой цели указывается согласие.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Согласие получают до проверки по базам, а не после положительного заключения.
Последовательность выглядит так: анкета, согласие на обработку персональных данных, проверка по государственным базам, анализ, заключение службы безопасности, решение о найме. Если согласие стоит в цепочке позже проверки, все сведения, собранные до его подписания, получены без правового основания.
Соберите согласие на обработку персональных данных по шаблону
Конструктор в сервисе Добыто формирует согласие в формате DOCX с целями обработки, сроком и оговоркой об отзыве по 152-ФЗ. Цель в согласии формулируется так же, как в уведомлении Роскомнадзору, иначе при проверке сопоставить документы не получится.
Образцы согласий и локальных актов по персональным данным
Комплект закрывает меры по статье 18.1 152-ФЗ, которые указываются в уведомлении; первым откройте правила обработки персональных данных, остальные документы на них опираются.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Согласие кандидата на проверку службой безопасности | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления работников с локальными нормативными актами | Скачать |
| Матрица прав и ролей КЭДО в 1С ЗУП | Скачать |
Как подать уведомление в Роскомнадзор: способы и порядок
Уведомление подписывает лицо, уполномоченное действовать от имени оператора, обычно руководитель, и направляет одним из трёх способов: на бумаге, в электронном виде с усиленной квалифицированной электронной подписью или в электронном виде через аутентификацию в ЕСИА, то есть с учётной записью Госуслуг. Форму удобнее всего заполнять на странице подачи уведомлений портала персональных данных Роскомнадзора: там же размещены формы по приказу № 180 и разъяснения, какие сведения об ответственном становятся общедоступными.
Расходы на подачу на оператора не возлагаются, госпошлины нет. Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты поступления уведомления. Если сведения неполные или недостоверные, ведомство вправе потребовать их уточнения до внесения в реестр, и тогда срок фактически сдвигается на время переписки.
Как подготовить и подать уведомление об обработке персональных данных: пошаговая инструкция
- Шаг 1. Назначьте приказом ответственного за организацию обработки персональных данных по статье 22.1 152-ФЗ и утвердите политику обработки. Политику публикуют или обеспечивают к ней неограниченный доступ, при наличии сайта — на сайте.
- Шаг 2. Составьте перечень целей обработки. Пройдите по всем системам, где лежат данные людей: 1С, КЭДО, почта отдела кадров, зарплатный проект, сервисы подбора. Для каждой цели запишите категории данных, категории субъектов, правовое основание и срок хранения.
- Шаг 3. Запросите у поставщиков программ, где физически находятся серверы, кто получает доступ к данным и передаются ли данные за рубеж. Без этого поля о месте нахождения базы данных и о трансграничной передаче заполняются наугад.
- Шаг 4. Заполните электронную форму уведомления о намерении осуществлять обработку по приказу Роскомнадзора № 180, раскладывая сведения по целям.
- Шаг 5. Выберите способ отправки: подпишите электронную форму УКЭП руководителя, отправьте её с авторизацией через Госуслуги либо распечатайте, подпишите и направьте в территориальный орган Роскомнадзора по адресу оператора.
- Шаг 6. Сохраните подтверждение отправки и через 30 дней найдите компанию в реестре операторов. Если пришёл запрос на уточнение сведений, ответьте на него, иначе запись не появится.
Шаги 1-3 занимают больше времени, чем заполнение формы: форма лишь фиксирует то, что компания уже должна знать о своей обработке. Проверить результат можно по реестру операторов на том же портале, запись ищется по ИНН.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Изменения, прекращение, трансграничная передача и утечка: какие ещё сведения подаёт компания
Уведомление о намерении — только первая подача. Дальше 152-ФЗ требует сообщать Роскомнадзору о каждом изменении обработки, и сроки у разных уведомлений разные:
| Уведомление | Когда подаётся | Срок | Норма 152-ФЗ |
|---|---|---|---|
| О намерении осуществлять обработку | Компания начинает обрабатывать данные работников, кандидатов, клиентов | До начала обработки; внесение в реестр — 30 дней | ч. 1 и 4 ст. 22 |
| Об изменении сведений | Изменилась любая позиция из ч. 3 ст. 22: адрес, цель, категории, ответственный, место базы данных | Не позднее 15-го числа месяца, следующего за месяцем изменений | ч. 7 ст. 22 |
| О прекращении обработки | Оператор прекратил обработку, например при ликвидации | 10 рабочих дней с даты прекращения | ч. 7 ст. 22 |
| О намерении осуществлять трансграничную передачу | Данные передаются за рубеж, в том числе иностранному сервису | До начала передачи, отдельно от уведомления по ст. 22 | ст. 12 |
| Об инциденте | Выявлена неправомерная передача, предоставление, распространение или доступ к данным | 24 часа — первичное; 72 часа — результаты внутреннего расследования | ч. 3.1 ст. 21 |
Чаще всего пропускают вторую строку. Уведомление об изменении не привязано к «существенности»: смена ответственного, переезд офиса или перевод кадровых документов в облачную систему дают один и тот же срок — до 15-го числа следующего месяца.
Перевод кадров на КЭДО — типовой повод для уведомления об изменении: меняются место нахождения базы данных, перечень получателей и сведения о средствах защиты. В Добыто электронные подписи ПЭП и УНЭП для сотрудников выпускаются на всех тарифах бесплатно, а УКЭП — через партнёров, удостоверяющих центров. Во втором случае удостоверяющий центр тоже получает данные работника, и это отражается и в согласии, и в уведомлении.
Важный нюанс из практики: в опросе специалистов по кадрам о критериях выбора системы КЭДО самым популярным ответом стало хранение персональных данных только на своих серверах, выше стоимости и интерфейса. Хранение данных — вопрос, за который отвечает конкретный человек и по которому бывают проверки, поэтому его и ставят первым. Место хранения нужно зафиксировать до подключения системы: от него зависит, подавать ли уведомление об изменении.
Ошибки при подаче сведений и во что они обходятся
Неподача уведомления о намерении в редакции КоАП на дату публикации наказывается по части 10 статьи 13.11 КоАП: штраф для граждан от 5 000 до 10 000 рублей, для должностных лиц от 30 000 до 50 000 рублей, для юридических лиц от 100 000 до 300 000 рублей. Должностное лицо и организация отвечают самостоятельно, поэтому по одному нарушению штраф могут получить и компания, и руководитель или ответственный. Неуведомление Роскомнадзора об утечке в течение 24 часов обходится юридическому лицу от 1 до 3 млн рублей.
- Расчёт на старое исключение. Компания считает, что данные работников обрабатываются по ТК РФ и уведомление не нужно. Это исключение перестало действовать 1 сентября 2022 года, и штраф из части 10 статьи 13.11 КоАП применяется в полном размере.
- Одно согласие на всё. В бланк включают и обработку, и распространение, и передачу банку. Согласие на распространение по статье 10.1 152-ФЗ оформляется отдельно от иных согласий, и включённое в общий бланк оно не работает как основание для публикации данных.
- Проверка кандидата до согласия. Служба безопасности проверяет кандидата по базам в день получения резюме, а согласие подписывается на собеседовании. Сведения, полученные раньше подписи, собраны без правового основания.
- Уведомление не обновлено после перехода в облако. В реестре указан собственный сервер, фактически кадровые документы у провайдера. Сведения в реестре расходятся с обработкой, а срок уведомления об изменении уже пропущен.
- Меры защиты указаны формально. В уведомлении заявлено разграничение доступа, а в системе все сотрудники кадровой службы видят все личные дела.
Мария Ж, специалист по цифровой подписи и КЭДО: «Требование разграничения доступа работает одинаково для бумажного архива и для электронной системы. Доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Поэтому перед тем как указывать меры защиты в уведомлении, проверьте, есть ли в системе роли и журнал обращений к документам.»
Лайфхак: в список вопросов вендору до покупки системы КЭДО включите такие: где физически хранятся данные, полный перечень лиц с доступом, есть ли разграничение по ролям и журнал обращений, выгружается ли комплект документа с файлом подписи, что происходит с архивом при расторжении договора. Ответы сразу закрывают поля уведомления о месте базы данных и мерах защиты.
Мы советуем задавать эти вопросы любому поставщику КЭДО, в том числе Добыто, и получать ответы письменно: письмо поставщика — документ, на который ответственный за обработку ссылается, если Роскомнадзор попросит уточнить сведения.
Стоимость КЭДО для работы с кадровыми персональными данными в 2026 году
Стоимость КЭДО считается за сотрудника в месяц и зависит от численности, видов подписи и требований к месту хранения данных; на дату публикации действуют такие условия:
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в подключение |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль для 1С:ЗУП с автоматической синхронизацией документов | в тарифе «Бизнес» | установка и настройка за один день |
Для уведомления Роскомнадзору от тарифа зависят два поля: место нахождения базы данных и перечень лиц, получающих данные. Выделенный сервер в тарифе «Корпорация» меняет ответ на первый вопрос, выпуск УКЭП через партнёров — на второй. Актуальные условия и состав каждого тарифа опубликованы на странице тарифов КЭДО Добыто, тариф можно повысить или понизить в любое время с пересчётом разницы за оставшийся период.
Выводы
Работодатель, который хранит хотя бы часть кадровых данных на компьютере, обязан быть в реестре операторов: трудового исключения больше нет, а штраф для организации начинается со 100 000 рублей. Подача сведений — не разовое действие. Форма фиксирует цели, категории данных, место хранения базы и получателей, и каждое их изменение, включая переход на облачный КЭДО, требует нового уведомления до 15-го числа следующего месяца. Согласие работника нужно там, где трудового основания не хватает: для передачи третьим лицам, распространения и данных кандидатов.
В Добыто мы подключаем КЭДО с учётом этих требований: заранее определяем, где будут храниться кадровые документы и какие лица получат к ним доступ, чтобы согласия работников и сведения в уведомлении совпадали с фактической обработкой.
Частые вопросы о подаче сведений об обработке персональных данных
Кто подаёт уведомление, если кадровый учёт ведёт аутсорсинговая компания?
Уведомление подаёт работодатель: он остаётся оператором, потому что определяет цели обработки данных своих работников. Аутсорсер обрабатывает данные по поручению оператора по части 3 статьи 6 152-ФЗ. Поручение оформляется договором, где перечислены действия с данными, цели и обязанность соблюдать конфиденциальность и меры защиты, а на передачу данных исполнителю нужно согласие работника, если иное не предусмотрено законом.
Что делать, если компания несколько лет работала без уведомления?
Подать уведомление о намерении сразу, указав в поле «дата начала обработки» фактическую дату, когда появился первый работник или кандидат, а не дату подачи. Уведомление об изменении в такой ситуации не подходит: изменять нечего, записи в реестре нет. Параллельно стоит проверить остальные меры по статье 18.1 152-ФЗ: приказ об ответственном, политику обработки и ознакомление работников, потому что в уведомлении они указываются как выполненные.
Нужно ли согласие работника на передачу данных в СФР, ФНС и банк?
Для передачи в Социальный фонд России и ФНС согласие не требуется: обязанность подавать ЕФС-1 и налоговую отчётность установлена законом. Передача данных в банк для выпуска зарплатной карты требует письменного согласия работника, если такая передача не предусмотрена трудовым или коллективным договором. Банк в этом случае указывается как получатель в сведениях о передаче.
Сколько можно хранить резюме кандидата, которому отказали?
После достижения цели обработки данные уничтожаются в течение 30 дней по части 4 статьи 21 152-ФЗ. Для кандидата цель — решение о найме, поэтому после отказа резюме и анкета уничтожаются, если кандидат не дал отдельного согласия на включение в кадровый резерв с указанным сроком хранения. Уничтожение подтверждается актом.
Кого можно назначить ответственным за организацию обработки персональных данных?
Статья 22.1 152-ФЗ позволяет назначить работника компании, а форма уведомления допускает указание и физического, и юридического лица. Ответственный получает указания от руководителя, организует внутренний контроль, доводит до работников требования к защите данных и принимает обращения субъектов. Его контакты в реестре общедоступны, поэтому указывают служебный телефон и корпоративную почту.
Нужно ли менять уведомление, если на сайте появилась форма обратной связи или анкета кандидата?
Да. Форма на сайте добавляет новую цель обработки и новую категорию субъектов, например посетителей сайта или соискателей, откликнувшихся онлайн. Это изменение сведений из части 3 статьи 22 152-ФЗ, и уведомление об изменении подаётся не позднее 15-го числа месяца, следующего за месяцем запуска формы. Одновременно на сайте публикуется политика обработки персональных данных.
