Политики в отношении обработки персональных данных у работодателя — это комплект документов, а не один файл: политика по статье 18.1 152-ФЗ, приказ о назначении ответственного, положение об обработке данных работников, согласия, уведомление в Роскомнадзор и порядок действий при утечке. Политику публикуют или открывают к ней неограниченный доступ, а если данные собираются через сайт, её размещают на этом сайте. С 1 сентября 2025 года согласие на обработку оформляется отдельным документом, а не пунктом трудового договора или анкеты. Порядок действий определяет основание обработки: данные, нужные для трудового договора и требований ТК РФ, обрабатываются без согласия, а передача облачному провайдеру и другим третьим лицам, публикация на сайте и проверка кандидата требуют письменного согласия.
Материал помогает собрать набор под фактические процессы компании: какие документы обязательны и на какой норме каждый держится, что писать в политике, где согласие не нужно, как подать уведомление через портал Роскомнадзора. Отдельно разобраны кадровые данные в КЭДО и режим коммерческой тайны, который часто смешивают с защитой персональных данных. Штрафы по статье 13.11 КоАП в редакции 2025 года, сроки уведомления об утечке, образцы документов, стоимость подключения КЭДО и ответы на частые вопросы — во второй половине статьи.
Какие документы входят в набор политик по персональным данным
Базовый перечень задаёт часть 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: оператор назначает ответственного за организацию обработки, издаёт политику и локальные акты по обработке, применяет правовые, организационные и технические меры защиты по статье 19, проводит внутренний контроль, оценивает вред, который может быть причинён субъектам, и знакомит работников с требованиями закона и локальными актами. Работодатель, который ведёт кадровый учёт, — оператор персональных данных в силу закона, независимо от численности и формы собственности.
Ниже — состав комплекта для работодателя с нормой, на которой держится каждый документ, и тем, что проверяет инспектор или сам HR-специалист.
| Документ | Норма | Когда нужен | Что проверить |
|---|---|---|---|
| Политика в отношении обработки персональных данных | ст. 18.1 152-ФЗ | всегда; при сборе данных через сайт — публикуется на сайте | доступна ли со страницы, где собираются данные; совпадают ли цели с фактическими |
| Приказ о назначении ответственного за организацию обработки | ст. 22.1 152-ФЗ | для организации-оператора | назначен ли конкретный работник; указан ли он в уведомлении Роскомнадзора |
| Положение (правила) об обработке и защите персональных данных работников | ст. 87 ТК РФ, п. 2 ч. 1 ст. 18.1 152-ФЗ | у каждого работодателя | ознакомлены ли работники под подпись по п. 8 ст. 86 ТК РФ |
| Согласие на обработку персональных данных | ст. 9 152-ФЗ, ст. 88 ТК РФ | когда нет иного законного основания: передача третьим лицам, кандидаты, сведения сверх требований ТК РФ | оформлено ли отдельным документом (для согласий с 1 сентября 2025 года) |
| Согласие на распространение персональных данных | ст. 10.1 152-ФЗ | публикация ФИО, фото, должности на сайте и в открытых источниках | оформлено ли отдельно от согласия на обработку |
| Уведомление о намерении осуществлять обработку | ст. 22 152-ФЗ | при обработке с использованием средств автоматизации, включая 1С и таблицы | есть ли компания в реестре операторов; актуальны ли сведения |
| Порядок реагирования на инциденты с персональными данными | ч. 3.1 ст. 21 152-ФЗ | у каждого оператора | кто уведомляет Роскомнадзор в течение 24 и 72 часов |
| Акт оценки вреда субъектам персональных данных | п. 5 ч. 1 ст. 18.1 152-ФЗ, приказ Роскомнадзора от 27.10.2022 № 178 | у каждого оператора | подписан ли ответственным и соответствует ли текущим процессам |
| Перечень лиц, допущенных к обработке, и обязательства о неразглашении | ст. 18.1, 19 152-ФЗ | если с кадровыми данными работает больше одного человека | совпадает ли перечень с фактическими правами доступа в системах |
Инспектор сравнивает не наличие файлов, а их соответствие фактической обработке. Политика, скачанная из интернета, где указаны цели и системы, которых в компании нет, а реальные процессы вроде облачного КЭДО или проверки кандидатов не упомянуты, не закрывает требование статьи 18.1.
Какие документы критичны в вашей ситуации
Состав комплекта одинаков для всех операторов, а приоритеты различаются. Сценарии ниже помогают понять, с чего начать доработку.
| Сценарий | Что критично | Норма |
|---|---|---|
| Кадровый учёт в 1С, сайта с формами нет | уведомление в Роскомнадзор, приказ об ответственном, положение с ознакомлением работников | ст. 22, 22.1 152-ФЗ; ст. 86, 87 ТК РФ |
| На сайте есть форма отклика на вакансию или обратной связи | политика, опубликованная на сайте; отдельное согласие на обработку | ч. 2 ст. 18.1, ст. 9 152-ФЗ |
| КЭДО или кадровая система в облаке провайдера | согласия работников на передачу данных третьим лицам с их перечнем; разграничение доступа | ст. 88 ТК РФ; ст. 9, 19 152-ФЗ |
| Проверка кандидатов службой безопасности | письменное согласие кандидата до начала проверки; положение о проверке | п. 3 ст. 86 ТК РФ; ст. 9 152-ФЗ |
| ФИО и фото сотрудников размещаются на сайте | согласие на распространение, отдельное от согласия на обработку | ст. 10.1 152-ФЗ |
Если компания подходит сразу под несколько строк, документы суммируются: одна политика описывает все процессы, а согласия оформляются под каждую цель, для которой нет другого основания.
Образцы согласий и правил обработки персональных данных для работодателя
Начните с правил обработки: они задают цели и перечни данных, под которые потом подстраиваются согласия.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие работника на обработку персональных данных | Скачать |
| Согласие кандидата на проверку службой безопасности | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
Согласие на обработку персональных данных работника: когда оно нужно и как его оформить
Для исполнения трудового договора и обязанностей, которые работодателю прямо возлагает закон, согласие не требуется: основания дают пункты 2 и 5 части 1 статьи 6 152-ФЗ. Это оформление приёма, расчёт зарплаты, сведения в Социальный фонд России и налоговую, воинский учёт. Согласие нужно там, где такого основания нет: работодатель передаёт данные третьей стороне, обрабатывает сведения сверх требований ТК РФ, хранит резюме кандидатов или получает информацию о человеке не от него самого.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Статья 88 ТК РФ запрещает сообщать персональные данные работника третьей стороне без его письменного согласия, кроме случаев, когда это нужно для предупреждения угрозы жизни и здоровью, и других случаев, прямо предусмотренных законом. Пункт 3 статьи 86 ТК РФ добавляет второе условие: если сведения можно получить только у третьей стороны, работника заранее уведомляют и получают его письменное согласие.
Что должно быть в согласии по части 4 статьи 9 152-ФЗ
Письменное согласие содержит обязательные реквизиты, и пропуск любого из них делает документ дефектным:
- ФИО, адрес, номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе;
- наименование или ФИО и адрес оператора;
- цель обработки;
- перечень персональных данных, на обработку которых даётся согласие;
- наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если обработка поручается;
- перечень действий с данными и общее описание способов обработки;
- срок действия согласия и способ его отзыва;
- подпись субъекта персональных данных.
С 1 сентября 2025 года действует дополнительное требование: согласие оформляется отдельно от иных документов, которые подтверждает или подписывает человек. Изменение внесено Федеральным законом от 24.06.2025 № 156-ФЗ, и пункт о согласии внутри трудового договора, анкеты или заявления о приёме больше не работает как согласие. За обработку без письменного согласия или с нарушением требований к его составу часть 2 статьи 13.11 КоАП предусматривает штраф для организации от 300 000 до 700 000 рублей.
Соберите согласие под свою цель обработки
В сервисе Добыто конструктор формирует согласие в формате .docx с целями, сроком и оговоркой об отзыве по 152-ФЗ: для каждой цели, где нет другого основания, — отдельный документ.
Когда отдельное согласие не нужно
Лишние согласия не повышают защищённость, но создают ложное основание: если работник отзовёт согласие, которое по закону не требовалось, у кадровой службы появится вопрос, можно ли продолжать обработку. Часть 2 статьи 9 152-ФЗ отвечает на него: при отзыве оператор вправе продолжить обработку, если есть основания из пунктов 2-11 части 1 статьи 6. Поэтому в согласие не включают цели, которые покрыты трудовым договором или законом, а в политике для каждой цели указывают своё правовое основание.
Отдельно от согласия на обработку существует согласие на распространение по статье 10.1 152-ФЗ. Оно нужно, когда данные становятся доступны неограниченному кругу лиц: страница «Наша команда», фото на сайте, публикации в соцсетях компании. В нём работник вправе установить запреты и условия, и оператор обязан их соблюдать.
Проверить себя можно по одному вопросу для каждой строки согласия: есть ли для этой цели основание в статье 6 152-ФЗ, кроме согласия. Если есть — строку убирают и переносят основание в политику.
Политика обработки персональных данных: что в ней писать и где публиковать
Часть 2 статьи 18.1 152-ФЗ обязывает оператора опубликовать политику или иным образом обеспечить неограниченный доступ к ней. Если персональные данные собираются через интернет, политику публикуют в сети и дают к ней доступ с той страницы, где размещена форма сбора: отклика на вакансию, заявки, обратной связи. Неопубликование политики — это часть 3 статьи 13.11 КоАП, штраф для юридического лица от 30 000 до 60 000 рублей.
Политика описывает обработку в целом и предназначена для внешнего читателя: работника, кандидата, клиента, проверяющего. Внутренние правила, положение о защите данных работников и порядок реагирования на инциденты остаются локальными актами, их на сайте не публикуют. В практике удобнее вести одну политику с разделами по категориям субъектов, чем несколько документов с пересекающимися целями.
Разделы политики, которые проверяют в первую очередь
- Цели обработки. Каждая цель сформулирована конкретно: «ведение кадрового учёта», «рассмотрение кандидатов на вакансию», а не «осуществление деятельности».
- Правовые основания. Для каждой цели — норма: ТК РФ, налоговое законодательство, договор, согласие.
- Категории субъектов и перечни данных. Работники, родственники работников, уволенные, кандидаты, представители контрагентов — отдельно, со своими перечнями.
- Действия и способы обработки. Автоматизированная, без средств автоматизации или смешанная; передача третьим лицам с указанием, кому и зачем.
- Сроки обработки и хранения и порядок уничтожения. Уничтожение при достижении цели — в срок до 30 дней по части 4 статьи 21 152-ФЗ, если иной срок не установлен законом или договором.
- Права субъектов и порядок обращения. Как запросить сведения, уточнить, отозвать согласие; контакты ответственного.
- Меры защиты. Организационные и технические меры по статьям 18.1 и 19 152-ФЗ без раскрытия деталей, которые снижают защищённость.
Цели и перечни данных в политике должны совпадать с уведомлением в Роскомнадзор и с согласиями. Расхождение между тремя документами — первое, что видно при сравнении, поэтому их готовят вместе и пересматривают при каждом новом процессе обработки.
Полезно знать: трудовой договор можно хранить в зашифрованном виде так, чтобы доступ к нему имели только владельцы ключа: сотрудник отдела кадров и сам работник. Шифрование работает и на внутреннем сервере компании.
Мария Ж, юрист со стажем более 20 лет: «Доступ всей кадровой службы ко всему кадровому массиву — типовая ситуация и одновременно типовое нарушение. Требование разграничения доступа одинаково действует для электронного архива и для рабочей кадровой системы. Сверьте, у кого из HR-специалистов фактически открыты личные дела всех работников, и сопоставьте это с перечнем лиц, допущенных к обработке.»
Уведомление Роскомнадзора и ответственный за обработку персональных данных
До 1 сентября 2022 года работодатель, обрабатывавший данные только в рамках трудовых отношений, мог не уведомлять Роскомнадзор. Федеральный закон от 14.07.2022 № 266-ФЗ это исключение отменил. Без уведомления сейчас обрабатывают данные только в узком перечне случаев части 2 статьи 22 152-ФЗ, из которых для обычного работодателя применим один — обработка без использования средств автоматизации. Кадровый учёт в 1С, зарплатная программа или таблица со списком сотрудников — это уже автоматизированная обработка.
Уведомление подаётся до начала обработки. Форма размещена на портале персональных данных Роскомнадзора: её заполняют онлайн и подписывают электронной подписью либо распечатывают, подписывают у руководителя и направляют в территориальное управление по месту нахождения организации. Неисполнение обязанности уведомить — часть 10 статьи 13.11 КоАП, штраф для юридического лица от 100 000 до 300 000 рублей.
Ответственного за организацию обработки назначают приказом по статье 22.1 152-ФЗ. Он получает указания от руководителя, контролирует соблюдение закона работниками, доводит до них требования и принимает обращения субъектов. Его ФИО и контакты указываются в уведомлении, поэтому приказ оформляют раньше, чем заполняют форму.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как подать уведомление об обработке персональных данных: пошаговая инструкция
- Шаг 1. Утвердите политику и перечни данных: цели, категории субъектов, правовые основания, сроки и меры защиты из неё переносятся в уведомление.
- Шаг 2. Издайте приказ о назначении ответственного за организацию обработки и подготовьте его контактные данные.
- Шаг 3. Заполните форму уведомления на портале персональных данных: по каждой цели обработки — свой набор категорий данных, субъектов и оснований.
- Шаг 4. Укажите место нахождения баз данных: обработка данных граждан России ведётся с использованием баз, находящихся на территории Российской Федерации, по части 5 статьи 18 152-ФЗ.
- Шаг 5. Подпишите уведомление электронной подписью или распечатайте, подпишите у руководителя и направьте в территориальное управление Роскомнадзора.
- Шаг 6. Проверьте, что компания появилась в реестре операторов, и сохраните сведения о подаче.
- Шаг 7. При изменении сведений — новой цели, новой системы, смене ответственного — подайте уведомление об изменениях не позднее 15-го числа месяца, следующего за месяцем изменений.
Персональные данные в КЭДО и у внешних провайдеров
При облачном КЭДО кадровые документы уходят провайдеру, владельцу серверов, если инфраструктура арендована, и удостоверяющему центру, если подписи выдаёт другая организация. Каждый из них — третье лицо по статье 88 ТК РФ, и передачу данных ему нужно основать на письменном согласии работника. Выбор облачной системы поэтому одновременно означает обязанность собрать согласия со всеми сотрудниками и объяснить им, кому именно передаются их данные.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Кадровые документы — это чувствительные персональные данные: сведения о семье, здоровье, доходах. У вендора я прошу не заверение, что данные хранятся защищённо, а список всех лиц, которые получат к ним доступ. Обычно в этом списке не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр. Именно этих лиц работник должен увидеть в согласии на передачу.»
Лицо, которое обрабатывает данные по поручению оператора, отвечает перед оператором, а перед работником отвечает сам работодатель: это часть 5 статьи 6 152-ФЗ. Поручение оформляют договором, где перечислены действия с данными, цели и обязанность соблюдать конфиденциальность и меры защиты.
В Добыто электронные подписи ПЭП и УНЭП для сотрудников выпускаются в рамках тарифа, а УКЭП работник получает через партнёров — удостоверяющие центры. Такой центр указывается в согласии как лицо, получающее данные. Для компаний, которым нужно хранить данные на отдельной инфраструктуре, в тарифе «Корпорация» предусмотрен выделенный сервер.
Перед подключением системы задайте вендору конкретные вопросы: где физически хранятся данные и кто получает к ним доступ, есть ли разграничение доступа по ролям и журнал обращений, что происходит с архивом при расторжении договора и в каком виде отдаются документы. Ответы переносятся в политику, в согласия и в договор поручения.
Лайфхак: спросите вендора, выгружает ли система комплект документа целиком: сам документ, файл подписи и доверенность, если подписано по ней. При проверке, в споре или при смене оператора понадобятся файлы, а не изображение на экране.
Важный нюанс из практики: когда аудиторию кадровиков спрашивают о главных критериях выбора системы КЭДО, первым называют хранение персональных данных только на собственных серверах, дальше гибкость, стоимость и интерфейс. За хранение данных отвечает конкретный человек, и по нему бывают проверки, поэтому вопрос о размещении данных решают до выбора интерфейса.
Локальный акт о КЭДО как часть набора по персональным данным
Положение о КЭДО описывает, как работника идентифицируют при подписании, кто выдаёт подпись и под чьим контролем она находится. Эти же сведения — часть обработки персональных данных, и суд оценивает, совпадает ли описанный порядок с фактическим.
Кейс из практики: работник оспорил увольнение по заявлению, поданному через систему КЭДО. У работодателя были положение о КЭДО, утверждённый перечень документов и категорий работников, порядок создания личного кабинета. Районный суд в 2022 году работнику отказал, но Девятый кассационный суд общей юрисдикции решение отменил: в материалах не оказалось сведений о порядке идентификации. При новом рассмотрении в январе 2023 года работник выиграл: подпись выдали в день подписания заявления, за него подписывал другой человек, и это зафиксировала собственная система работодателя.
Мария Ж, судебный эксперт по трудовому праву: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Если в вашем локальном акте порядок идентификации не описан, спор вы проиграете при технически исправной подписи.»
Мы разводим во времени выдачу подписи и первые кадровые действия с ней и закладываем пилотную группу перед развёртыванием на всю компанию: так проверяется, что работники действительно умеют пользоваться системой. Проверьте у себя 3 пункта: описан ли в ЛНА порядок идентификации, фиксирует ли система дату и обстоятельства выдачи подписи, есть ли регламент действий при поступлении заявления об увольнении.
Коммерческая тайна: отдельный режим, который не заменяет защиту персональных данных
Режим коммерческой тайны вводит сам обладатель информации по Федеральному закону от 29.07.2004 № 98-ФЗ «О коммерческой тайне», и без выполнения мер из части 1 статьи 10 режим считается не установленным. Персональные данные защищаются в силу 152-ФЗ независимо от того, введён ли режим коммерческой тайны. Один документ не закрывает оба требования: положение о коммерческой тайне не заменяет политику, а политика не создаёт режим коммерческой тайны.
Режим считается установленным, когда обладатель выполнил все 5 мер части 1 статьи 10 98-ФЗ:
- определил перечень информации, составляющей коммерческую тайну;
- ограничил доступ к ней, установив порядок обращения и контроль за его соблюдением;
- ведёт учёт лиц, получивших доступ, и лиц, которым информация предоставлена или передана;
- урегулировал отношения по использованию информации с работниками на основании трудовых договоров и с контрагентами на основании гражданско-правовых договоров;
- нанёс на материальные носители и документы гриф «Коммерческая тайна» с указанием обладателя.
Статья 11 98-ФЗ обязывает работодателя ознакомить работника под подпись с перечнем информации и с режимом коммерческой тайны и мерами ответственности. Без этого ознакомления увольнение по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ за разглашение охраняемой законом тайны не выдерживает проверки. Тот же подпункт распространяется на разглашение персональных данных другого работника, поэтому обязательство о неразглашении обычно покрывает оба режима одним документом, но со ссылками на оба закона.
Часть сведений коммерческой тайной быть не может по статье 5 98-ФЗ: численность и состав работников, система оплаты труда, условия труда, включая показатели травматизма и профессиональной заболеваемости, наличие свободных рабочих мест, задолженность по зарплате и иным социальным выплатам. Перед утверждением перечня сверьте его со статьёй 5 и уберите такие пункты.
Проверка кандидатов: какие документы нужны до начала проверки
Пункт 3 статьи 86 ТК РФ требует получать персональные данные у самого работника, а если сведения можно получить только у третьей стороны — заранее уведомить человека и получить его письменное согласие. Проверка кандидата службой безопасности по государственным базам и открытым источникам — как раз получение сведений не от самого человека, поэтому согласие подписывается до первого запроса.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Согласие на проверку оформляется отдельным документом, а не строкой анкеты.
Границы законной проверки по 152-ФЗ
Положение о проверке кандидатов фиксирует, какие источники используются, кто проводит проверку, как долго хранятся результаты и что происходит с данными кандидата после отказа. Политика должна содержать отдельную цель «рассмотрение кандидатов» со своим перечнем данных и сроком хранения, иначе проверка выпадает из описанной обработки.
Цена ошибки: штрафы по статье 13.11 КоАП и сроки уведомления об утечке
С 30 мая 2025 года действует редакция статьи 13.11 КоАП, внесённая Федеральным законом от 30.11.2024 № 420-ФЗ. Самые частые кадровые ошибки дешевле в исправлении, чем в последствиях: согласие одной строкой в трудовом договоре экономит один лист, но это часть 2 статьи 13.11 со штрафом до 700 000 рублей; шаблонная политика без описания реальных процессов формально опубликована, но не отвечает статье 18.1; общий доступ всей кадровой службы ко всем личным делам упрощает работу и одновременно увеличивает круг лиц, через которых возможна утечка.
| Нарушение | Часть ст. 13.11 КоАП | Штраф для юридического лица |
|---|---|---|
| Обработка в случаях, не предусмотренных законодательством | ч. 1 | 150 000-300 000 руб. |
| Обработка без письменного согласия или с нарушением требований к его составу | ч. 2 | 300 000-700 000 руб. |
| Политика не опубликована, доступ к ней не обеспечен | ч. 3 | 30 000-60 000 руб. |
| Не подано уведомление о намерении осуществлять обработку | ч. 10 | 100 000-300 000 руб. |
| Не уведомлён Роскомнадзор об утечке, нарушившей права субъектов | ч. 11 | 1-3 млн руб. |
| Утечка данных от 1 000 до 10 000 субъектов | ч. 12 | 3-5 млн руб. |
| Утечка данных от 10 000 до 100 000 субъектов | ч. 13 | 5-10 млн руб. |
| Утечка специальных категорий данных | ч. 16 | 10-15 млн руб. |
| Повторная утечка по ч. 12-14 | ч. 15 | 1-3% выручки, не менее 20 млн и не более 500 млн руб. |
Для кадровых данных чувствительна строка про специальные категории: сведения о состоянии здоровья работников в медицинских документах и справках попадают именно туда. Штрафы за утечку не зависят от численности компании, их размер определяет число субъектов, чьи данные утекли.
При утечке часть 3.1 статьи 21 152-ФЗ даёт оператору два срока. В течение 24 часов с момента выявления инцидента Роскомнадзор уведомляют о самом инциденте, его предполагаемых причинах, предполагаемом вреде, принятых мерах и представителе оператора для взаимодействия. В течение 72 часов сообщают результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если они установлены. Порядок реагирования на инциденты с этими сроками, ответственными и шаблоном сообщения готовят заранее: за сутки его не написать.
Стоимость подключения КЭДО с защищённым контуром персональных данных
Стоимость КЭДО зависит от численности сотрудников, нужных видов подписи и требований к размещению данных: для компаний со своим контуром хранения подходит отдельный сервер. Тарифы указаны на дату публикации.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив, приоритетная поддержка | от 50 ₽ за сотрудника / мес; минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Интеграция с 1С: модуль для 1С:ЗУП в тарифе «Бизнес» | входит в тариф «Бизнес» | установка и настройка за один день |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | в рамках подключения |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
| Тариф «Корпорация»: всё из «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
Итоговая сумма складывается из численности, выбранного тарифа и нужных видов подписи; при переходе на другой тариф разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия по каждому тарифу — на странице тарифов Добыто КЭДО.
Выводы
Набор документов по персональным данным у работодателя собирается вокруг фактических процессов: политика описывает все цели и основания, положение и приказ закрепляют порядок и ответственного, уведомление вносит компанию в реестр операторов, а согласия оформляются отдельными документами только там, где у обработки нет другого основания. Облачные системы, проверка кандидатов и публикация данных сотрудников добавляют к комплекту свои согласия и договоры поручения, а коммерческая тайна требует собственного режима по 98-ФЗ.
В практике Добыто кадровые документы, подписи сотрудников и согласия ведутся в одной системе КЭДО, поэтому перечень лиц с доступом к данным и порядок идентификации при подписании известны заранее и переносятся в политику и согласия без расхождений.
Частые вопросы о политиках и согласиях по персональным данным
Можно ли вести одну политику для сайта и для кадровых данных?
Да. 152-ФЗ не требует отдельных политик для разных категорий субъектов: достаточно одного документа, где цели, перечни данных, основания и сроки описаны отдельно для работников, кандидатов, клиентов и представителей контрагентов. Требование части 2 статьи 18.1 касается доступа: если данные собираются через сайт, эта политика должна открываться со страницы формы.
Что делать, если работник отозвал согласие на обработку?
Прекратить обработку по той цели, для которой давалось согласие, и уничтожить данные в срок до 30 дней с даты поступления отзыва по части 5 статьи 21 152-ФЗ, если иное не предусмотрено законом или договором. Обработку для трудового договора, расчёта зарплаты и отчётности продолжают: по части 2 статьи 9 152-ФЗ оператор вправе это делать при наличии оснований из пунктов 2-11 части 1 статьи 6.
Кто отвечает перед работником, если утечка произошла у провайдера кадровой системы?
Работодатель как оператор. По части 5 статьи 6 152-ФЗ ответственность перед субъектом несёт оператор, а лицо, обрабатывающее данные по поручению, отвечает перед оператором. Уведомлять Роскомнадзор в сроки 24 и 72 часа тоже обязан оператор, поэтому в договоре поручения фиксируют, в какой срок провайдер сообщает об инциденте.
Может ли зарплата сотрудников быть коммерческой тайной?
Система оплаты труда коммерческой тайной быть не может: это прямо указано в статье 5 98-ФЗ. Размер зарплаты конкретного работника — его персональные данные, и сообщать его третьим лицам без письменного согласия запрещает статья 88 ТК РФ. Защита здесь идёт по 152-ФЗ, а не по режиму коммерческой тайны.
Нужно ли согласие, чтобы разместить фото сотрудника на сайте компании?
Да, и это согласие на распространение по статье 10.1 152-ФЗ, которое оформляется отдельно от согласия на обработку. В нём работник вправе запретить передачу данных неограниченному кругу лиц или установить условия, например разрешить только ФИО и должность без фото. Отдельно действует статья 152.1 ГК РФ об охране изображения гражданина.
Кого назначить ответственным за обработку в небольшой компании?
Статья 22.1 152-ФЗ не устанавливает порога численности и требований к образованию ответственного. Им может быть руководитель, HR-специалист или юрист; назначение оформляют приказом, а сведения об ответственном указывают в уведомлении Роскомнадзора и обновляют при его смене не позднее 15-го числа следующего месяца.
Нужно ли уведомлять Роскомнадзор, если кадровый учёт ведётся только на бумаге?
Обработка без использования средств автоматизации — одно из немногих исключений части 2 статьи 22 152-ФЗ, сохранившихся после 1 сентября 2022 года. Исключение перестаёт действовать, как только данные появляются в 1С, зарплатной программе, таблице или системе КЭДО, а также если бухгалтерия на аутсорсинге ведёт их в своей программе.
