Порядок обработки персональных данных в компании от сбора до уничтожения начинается с определения цели и законного основания для каждого массива сведений. Работодатель фиксирует, какие данные получает, кто имеет доступ, кому их передают, сколько хранят и чем подтверждают уничтожение. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» распространяется и на кадровую систему, и на бумажные анкеты. Для расчёта зарплаты и обязательной отчётности основанием служит закон; для дополнительной цели, например кадрового резерва, требуется собственное основание. Если компания использует согласие, с 01.09.2025 его оформляют отдельно от других подписываемых документов.
Рабочий регламент связывает юридические требования с конкретными действиями HR, бухгалтерии и IT: получение сведений, разграничение доступа, передача подрядчикам, ответы человеку и закрытие обработки. В нём заранее разделяют действующие базы и архив, чтобы отзыв согласия не привёл к уничтожению обязательных кадровых документов. Во второй половине материала приведены сроки ответов и уведомлений Роскомнадзора, порядок подтверждения уничтожения, включая резервные копии, и стоимость КЭДО. Таблицы помогают определить основание обработки и назначить контрольные сроки без общего согласия на любые операции.
Что определить до сбора персональных данных
Оператор персональных данных определяет цели обработки, состав сведений и действия с ними. В отношении кадрового учёта эту роль выполняет работодатель. Покупка облачного сервиса или передача расчёта зарплаты подрядчику не освобождает компанию от обязанностей перед человеком.
Персональными данными могут быть ФИО, контакты, сведения о зарплате и другая информация о прямо или косвенно определяемом человеке. Обработка персональных данных охватывает не только использование сведений: запись, хранение, предоставление доступа, блокирование и уничтожение также входят в неё. Поэтому сохранённая анкета в почте остаётся частью процесса, даже если по ней никто не работает.
По статье 5 152-ФЗ цель должна быть конкретной и законной, а состав данных — соответствовать ей. Для каждой цели в реестре процессов фиксируют категории людей и сведений, основание, источник, получателей, срок хранения и ответственное подразделение. Несовместимые цели нельзя объединять в один массив только потому, что сведения об одном человеке уже есть у компании.
Основание выбирают по операции и цели, а не по наличию подписанного бланка.
| Сценарий | Основание и граница обработки |
|---|---|
| Кадровый учёт, зарплата, обязательная отчётность | Исполнение закона и трудовых отношений: статья 6 152-ФЗ, статьи 86-89 ТК РФ. Согласие не требуется только для данных и операций, необходимых для этих обязанностей. |
| Подбор на конкретную вакансию | Основание определяют по статье 6 с учётом способа получения резюме и действий кандидата. Подбор не разрешает бессрочное хранение для любых вакансий. |
| Кадровый резерв | Отдельная цель, собственное основание и срок. При использовании согласия его содержание должно охватывать именно резерв. |
| Получение сведений о работнике у третьей стороны | Предварительное уведомление и письменное согласие по пункту 3 статьи 86 ТК РФ: цель, источник, способы, характер сведений и последствия отказа. |
| Публикация сведений о человеке для неопределённого круга лиц | Проверка основания распространения; при согласии применяется отдельное согласие и условия статьи 10.1 152-ФЗ. |
Для одного человека могут одновременно существовать несколько целей с разными основаниями. Решение о прекращении одной из них не переносится автоматически на остальные: в реестре процессов каждой соответствует собственная запись.
Когда нужно согласие и как отделить его от других документов
Согласие на обработку персональных данных используют там, где именно оно является правовым основанием. Оператор должен доказать его получение, а согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Формулировка о любых сведениях для любых целей не заменяет проверку статьи 6 152-ФЗ.
Федеральный закон от 24.06.2025 № 156-ФЗ изменил часть 1 статьи 9: с 01.09.2025 согласие оформляют отдельно от иной информации и документов, которые человек подписывает или подтверждает. При новом оформлении его нельзя оставлять только пунктом трудового договора или общей анкеты. Для ранее полученных согласий закон не установил автоматической отмены: проверяют содержание, цель, срок и доказательства получения.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Когда требуется письменное согласие, часть 4 статьи 9 152-ФЗ устанавливает его реквизиты:
- ФИО, адрес и паспортные реквизиты субъекта, включая дату выдачи и выдавший орган.
- При подписании представителем — его ФИО, адрес, паспортные реквизиты и реквизиты документа о полномочиях.
- Наименование или ФИО и адрес оператора.
- Цель обработки.
- Перечень персональных данных.
- Наименование или ФИО и адрес обработчика по поручению, если обработка поручается другому лицу.
- Перечень действий и общее описание способов обработки.
- Срок действия согласия и способ его отзыва.
- Подпись субъекта.
Письменное согласие можно оформить электронным документом с электронной подписью по закону. Способ подписания проверяют отдельно от полноты реквизитов и самостоятельности документа.
Образец согласия на обработку персональных данных пригоден как заготовка, но перед подписанием его сопоставляют с фактическим процессом. Бланк проверяют на конкретных получателей, объём данных и достижимый срок прекращения обработки; сам факт скачивания формы не подтверждает её соответствие вашей цели.
Как закрепить порядок обработки в документах компании
Политика обработки описывает правила для субъектов, а внутренние локальные нормативные акты (ЛНА) устанавливают действия работников компании. Статьи 18.1 и 22.1 152-ФЗ предусматривают организационные меры, внутренний контроль и назначение ответственного; статьи 87-89 Трудового кодекса РФ — порядок хранения, использования и доступа к данным работников.
Внутренний регламент должен охватывать фактические операции: источники получения, допуск сотрудников, передачу получателям, приём запросов, действия при инцидентах, архивирование и уничтожение. Для каждого процесса назначают исполнителя. Ответственный за организацию обработки координирует систему, но HR и IT должны знать, кто меняет сведения и кто технически прекращает доступ.
Оценку вреда субъектам оформляют по приказу Роскомнадзора от 27.10.2022 № 178. Она не заменяется текстом политики или моделью угроз информационной системы. Работников, допущенных к данным, знакомят с применимыми правилами; публичную политику делают доступной, а при сборе через сайт размещают там, где собираются сведения.
Как запустить законную обработку: пошаговая инструкция
- Шаг 1. Определить цели, категории субъектов и минимальный состав сведений. Для каждого процесса указать законное основание и источники получения.
- Шаг 2. Утвердить политику и внутренние правила, назначить ответственного, оформить оценку вреда. Установить сроки хранения и маршрут запросов субъектов.
- Шаг 3. До начала обработки проверить обязанность уведомить Роскомнадзор и подать уведомление, если исключение не применяется. Отдельно оценить планируемую трансграничную передачу.
- Шаг 4. Настроить российские базы для сбора данных граждан РФ, доступ по функциям, защиту и поручения подрядчикам. Подготовить отдельные согласия для процессов, в которых они нужны.
- Шаг 5. Проверить весь маршрут: получение данных, ответ на запрос, блокирование и уничтожение с подтверждающими документами. Закрепить контроль сроков и ознакомить исполнителей с регламентом.
Для большинства компаний с кадровыми информационными системами исключение из уведомления не подходит. Исключительно неавтоматизированная обработка освобождает от уведомления в предусмотренном статьёй 22 случае, но остальные обязанности сохраняются. Обычный кадровый учёт сам по себе отдельного освобождения не даёт.
Сведения о целях, категориях данных и мерах защиты указывают в уведомлении оператора персональных данных на портале Роскомнадзора. При изменении сведений уведомление об изменениях подают не позднее 15-го числа следующего месяца; о прекращении обработки сообщают в течение 10 рабочих дней. Регламент связывает эти события с ответственным за актуализацию уведомления.
Добыто — сервис кадрового электронного документооборота (КЭДО), а его внедрение требует отдельного оформления правил электронного взаимодействия. Согласие на КЭДО по статье 22.2 ТК РФ и согласие на обработку персональных данных имеют разные предметы и проверяются отдельно.
Формы согласий и матрица доступа для кадровых процессов
Комплект помогает подготовить кадровую часть регламента; первым проверяют согласие на обработку данных и адаптируют его к конкретной цели.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Положение о ведении КЭДО | Скачать |
| Матрица прав и ролей КЭДО в 1С ЗУП | Скачать |
Положение о КЭДО не заменяет политику и внутренние правила обработки данных. Форму для проверки кандидата используют только после определения законных границ самой проверки.
Как организовать хранение и доступ без избыточного сбора
Данные работника прежде всего получают у него самого. Объём сведений ограничивают кадровой задачей: статья 10 152-ФЗ устанавливает особый режим сведений о здоровье, поэтому медицинские документы нельзя собирать без проверки специального основания.
С 01.07.2025 Федеральный закон от 28.02.2025 № 23-ФЗ уточнил локализацию: при сборе персональных данных граждан РФ, в том числе через интернет, нельзя использовать зарубежные базы для записи, систематизации, накопления, хранения, уточнения и извлечения, кроме предусмотренных законом исключений. Проверяют весь маршрут формы и интеграций: российская копия после первоначального сбора в иностранную базу не исправляет нарушение.
Мария Ж, юрист со стажем более 20 лет: «Доступ к кадровому массиву нужно разграничивать по роли сотрудника. Наличие доступа у всей кадровой службы ещё не означает, что каждому нужны все документы. Проверьте, какие сведения требуются человеку для его функций, и сопоставьте это с выданными правами.»
Для информационной системы персональных данных меры защиты выбирают по статье 19 152-ФЗ, постановлению Правительства РФ от 01.11.2012 № 1119 и приказу ФСТЭК России от 18.02.2013 № 21. Требования зависят от данных и угроз. Для обработки без автоматизации действует постановление Правительства РФ от 15.09.2008 № 687: бумажная картотека также требует организации доступа и хранения.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
В Добыто электронный архив входит в тариф «Бизнес». Наличие архива не устанавливает срок хранения конкретного документа: его определяют отдельно по закону и номенклатуре дел. Перед вводом системы права пользователей сопоставляют с утверждённой матрицей доступа.
Важный нюанс из практики: При выборе кадровой системы проверяют не только возможность открыть документ, но и возможность выгрузить комплект: документ, файл подписи и доверенность, если документ подписан по ней. Такая проверка нужна для передачи архива при смене системы и подготовки документов вне интерфейса сервиса.
Полезно знать: До заключения договора с провайдером выясняют, что произойдёт с архивом при прекращении обслуживания и в каком виде компания получит документы. Эти условия проверяют отдельно от повседневного доступа к системе.
Как передавать данные подрядчикам и иностранным получателям
Поручение обработки подрядчику оформляют по части 3 статьи 6 152-ФЗ. В нём определяют данные, действия и цели, конфиденциальность, требования защиты, подтверждение соблюдения требований и уведомление об инцидентах. Перед субъектом ответственность за обработку по поручению сохраняет оператор.
Для данных работников дополнительно применяют статью 88 ТК РФ: передача третьим лицам по общему правилу требует письменного согласия, кроме предусмотренных законом случаев и предупреждения угрозы жизни и здоровью. Нельзя утверждать ни что любой подрядчик всегда требует нового согласия, ни что договор с подрядчиком автоматически разрешает любую передачу. Проверяют основание конкретного процесса, трудовые ограничения и содержание поручения.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Я советую запросить у провайдера полный перечень лиц, которые получат доступ к кадровым данным. В цепочке могут участвовать сам сервис, владелец инфраструктуры и удостоверяющий центр. До передачи сведений выясните, кому именно они будут доступны.»
Интеграция Добыто с 1С предусмотрена тарифом «Бизнес». В регламенте обработки интеграцию описывают как маршрут передачи: какие сведения выходят из исходной системы, где сохраняются и кто их получает. Техническая совместимость систем не заменяет правового основания.
Трансграничная передача регулируется отдельно статьёй 12 152-ФЗ. До её начала подают отдельное уведомление Роскомнадзору, проверяют страну, получателя и применимые ограничения. Наличие российской базы при сборе не разрешает последующую передачу за рубеж автоматически. С 26.07.2026 Федеральный закон от 26.07.2026 № 265-ФЗ изменил критерии оценки адекватной защиты в государствах: учитываются законодательство и правоприменительная практика.
В электронном взаимодействии также разделяют основание обработки данных и юридическую силу подписанного документа. Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» и статья 22.3 ТК РФ устанавливают правила подписей; простая, усиленная неквалифицированная и усиленная квалифицированная подписи (ПЭП, УНЭП и УКЭП) не взаимозаменяемы.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Выбирая простую подпись для заявлений, нужно предусмотреть соглашение и локальный акт с правилами определения подписанта. Сам выбор этого вида подписи не устанавливает её равнозначность собственноручной. Проверьте правила электронного взаимодействия вместе с выбранным способом подписания.»
Факт: Один кадровый документ может быть подписан разными видами электронной подписи со стороны работодателя и работника. Допустимость проверяют отдельно для каждого подписанта и вида документа.
Результат проверки передачи — перечень получателей и операций с основаниями, поручениями и согласиями там, где они необходимы. Нормы ТК РФ о работниках не переносят на исполнителей по гражданско-правовым договорам: их основания и документы оценивают отдельно.
Как отвечать на запросы и соблюдать сроки прекращения обработки
Запрос субъекта регистрируют с датой получения, проверяют полномочия обратившегося и передают ответственному исполнителю. В ответе по статьям 14 и 20 152-ФЗ раскрывают сведения об обработке: цели, основания, сроки и получателей данных. Продление срока требует мотивированного уведомления, а не внутренней отметки о задержке.
Срок выбирают по юридическому событию, которое запустило обязанность.
| Событие | Срок и условие |
|---|---|
| Запрос сведений об обработке | 10 рабочих дней; продление не более чем на 5 рабочих дней с мотивированным уведомлением. Статья 20. |
| Подтверждена неточность данных | Уточнение в течение 7 рабочих дней после получения подтверждающих сведений. Статьи 20 и 21. |
| Выявлена неправомерная обработка | Прекращение в течение 3 рабочих дней с выявления; если обеспечить правомерность невозможно — уничтожение в течение 10 рабочих дней с выявления. Статья 21. |
| Достигнута цель или получен отзыв согласия | Прекращение и уничтожение не позднее 30 календарных дней от соответствующего события, если нет основания продолжить обработку. Части 4 и 5 статьи 21. |
| Получено требование прекратить обработку | 10 рабочих дней с получения; продление не более чем на 5 рабочих дней с мотивированным уведомлением. Законные исключения — часть 5.1 статьи 21. |
Отзыв согласия и требование прекратить обработку имеют разные контрольные сроки. Если остаётся законное основание, ответ субъекту объясняет, какие сведения сохраняются, зачем и до какого события; продолжать постороннее использование этих сведений нельзя.
Что делать при инциденте с персональными данными
При неправомерной или случайной передаче, предоставлении, распространении или доступе, повлёкших нарушение прав субъектов, статья 21 152-ФЗ предусматривает уведомление Роскомнадзора в течение 24 часов и сообщение результатов внутреннего расследования в течение 72 часов. Оба срока отсчитываются с момента выявления инцидента, в том числе Роскомнадзором или иным заинтересованным лицом; второй срок не начинается после первого сообщения.
Первичное сообщение включает сведения об инциденте, предполагаемом вреде, принятых мерах, лице для взаимодействия с Роскомнадзором, операторе и доступные дополнительные материалы, включая источник информации. Дополнительное сообщение содержит результаты расследования, причины и вред, дополнительные меры, реквизиты решения о расследовании и сведения об установленных виновных лицах. Состав сообщений проверяют по приказу Роскомнадзора от 14.11.2022 № 187.
Регламент должен позволять зафиксировать момент выявления, ограничить неправомерный доступ и подготовить сообщения. Ожидание полного расследования до первичного уведомления не соответствует порядку 24/72 часа. В поручении подрядчику заранее закрепляют обязанность сообщать об инцидентах.
С 30.05.2025 после изменений Федеральным законом от 30.11.2024 № 420-ФЗ для юридических лиц предусмотрены отдельные штрафы по статье 13.11 КоАП РФ: 100 000-300 000 руб. за непредставление или несвоевременное представление уведомления о намерении обрабатывать данные, 1 000 000-3 000 000 руб. за нарушение обязанности уведомления об инциденте. Это самостоятельные составы, а не универсальная цена утечки. Назначение наказания требует установления состава и обстоятельств нарушения.
Контрольная проверка регламента — сможет ли назначенный исполнитель подготовить первичное уведомление в пределах 24 часов после выявления, включая нерабочее время.
Как отделить обязательный архив от данных к уничтожению
Увольнение не прекращает все цели обработки. Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», статья 22.1, и Перечень, утверждённый приказом Росархива от 20.12.2019 № 236, определяют сроки хранения документов. Для документов по личному составу, законченных делопроизводством до 01.01.2003, общее правило — 75 лет, после этой даты — 50 лет; конкретный документ проверяют по своей позиции Перечня и специальным нормам.
Эти сроки нельзя назначать всему профилю человека в кадровой системе. Документы, обязательные для архива, отделяют от дополнительных сведений, для которых цель уже закончилась. Для кандидатов также отсутствует универсальное правило о хранении любого резюме 3 года: сначала определяют вид документа и подходящую позицию Перечня.
Важный нюанс из практики: Вопрос о хранении кадрового документа связан с составом электронного комплекта. Если документ подписан усиленной электронной подписью, проверяют сохранность файла подписи вместе с документом, а при подписании по доверенности — и доверенности. Наличие отображаемого текста в личном кабинете не подтверждает полноту выгружаемого комплекта.
Для каждой категории устанавливают срок и событие его отсчёта. После отзыва согласия обязательный архив сохраняют на законном основании, ограничив доступ архивной целью; данные для прекращённой дополнительной цели направляют на уничтожение.
Как уничтожить данные и подтвердить завершение обработки
Уничтожение должно исключать восстановление содержания данных в информационной системе или уничтожать их материальные носители. Простое закрытие доступа или удаление записи с экрана не подтверждает выполнение этой обязанности. В регламенте охватывают рабочие базы, переданные подрядчику сведения и резервные копии.
При невозможности уничтожить данные в сроки, предусмотренные частями 3-5.1 статьи 21 152-ФЗ, их блокируют и уничтожают не позднее 6 месяцев, если федеральный закон не устанавливает иной срок. Это условное правило, а не разрешение хранить любой ненужный массив ещё полгода и продолжать обычное использование.
Подтверждение оформляют по приказу Роскомнадзора от 28.10.2022 № 179, действующему с 01.03.2023 до 01.03.2029. При неавтоматизированной обработке составляют акт, при автоматизированной или смешанной — акт и выгрузку из журнала регистрации событий. В акте отражают оператора, сведения о субъектах и категориях данных, ответственных и их подписи, носитель или информационную систему, способ, причину и дату уничтожения. Акт и выгрузку хранят 3 года с даты уничтожения.
Для резервных копий отдельный универсальный срок очистки не установлен. Технический порядок должен исключать возвращение уничтоженных сведений в обычную эксплуатацию или обеспечивать их повторное удаление после восстановления. Проверка завершения процесса включает подтверждение от обработчика по поручению и документирование предусмотренных приказом № 179 результатов.
Стоимость КЭДО для кадровых процессов с персональными данными
Цена сервиса зависит от численности и тарифа. Это стоимость КЭДО, а не цена подготовки полного комплекта документов оператора или юридического аудита обработки.
| Позиция | Стоимость | Период или срок |
|---|---|---|
| «Старт», до 25 сотрудников | от 30 ₽ за сотрудника / мес | Месячная ставка; срок внедрения не указан |
| «Бизнес» | от 50 ₽ за сотрудника / мес | Месячная ставка |
| «Корпорация» | По запросу | Срок в источнике не указан |
| Выпуск ПЭП и УНЭП для сотрудников на всех тарифах | Бесплатно | Срок в источнике не указан |
В опубликованных условиях тарифов Добыто КЭДО для «Бизнес» указана минимальная оплата 50 сотрудников за 30 000 ₽ в год. Цены приведены из сохранённой страницы тарифов для материала на 02.10.2026; итоговые условия сверяют с выбранным тарифом. Месячная ставка в таблице не является обещанием срока внедрения.
Выводы
Рабочий порядок обработки связывает каждую цель с основанием, доступом, получателями и событием завершения. Согласие не заменяет эту систему и не отменяет обязательное хранение документов. Завершение процесса подтверждается уничтожением данных и установленными документами, а не только закрытием учётной записи.
Добыто обеспечивает кадровое электронное взаимодействие и электронный архив в предусмотренных тарифом условиях. При использовании сервиса обязанности оператора остаются у работодателя, а правила доступа, передачи и хранения закрепляются в регламенте компании.
Частые вопросы
Можно ли использовать чекбокс вместо письменного согласия?
Когда закон требует письменную форму, часть 4 статьи 9 152-ФЗ допускает электронный документ, подписанный электронной подписью по закону. Безымянного чекбокса недостаточно для обязательных реквизитов и подписи. Если письменная форма не требуется, чекбокс может выражать обычное согласие, но оно должно быть отдельным, свободным и доказуемым; правила ПЭП проверяют по статьям 6 и 9 63-ФЗ.
Всегда ли фотография сотрудника является биометрическими данными?
Статья 11 152-ФЗ применяется, когда оператор использует физиологические или биологические характеристики для установления личности. Поэтому фотография сама по себе не всегда означает биометрическую обработку, хотя остаётся персональными данными. Для системы распознавания лица отдельно проверяют условия статьи 11; переносить на неё основания обычного хранения фотографии нельзя.
Может ли компания объявить все кадровые сведения коммерческой тайной?
Режим Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» действует отдельно от защиты персональных данных. Пункт 5 статьи 5 запрещает относить к коммерческой тайне сведения о численности и составе работников, системе оплаты и условиях труда. Этот запрет не делает индивидуальные персональные данные общедоступными: требования статей 3 и 7 152-ФЗ сохраняются.
У всех ли работников нужно получать согласие на КЭДО?
Часть 7 статьи 22.2 ТК РФ предусматривает исключение для принимаемых или принятых после 31.12.2021 работников, у которых на 31.12.2021 отсутствовал трудовой стаж. Их информируют о КЭДО, но согласие на такое взаимодействие не требуется. Исключение касается электронного документооборота и не отменяет самостоятельную проверку оснований обработки данных по 152-ФЗ.
Обязана ли каждая компания обезличивать все кадровые данные?
Федеральный закон от 23.05.2025 № 121-ФЗ ввёл с 01.09.2025 статью 13.1 152-ФЗ о составах обезличенных данных и доступе к ним. Из неё не следует всеобщая обязанность обезличить весь кадровый массив: применяют условия и предусмотренные законом случаи. Для обычного кадрового учёта сохраняются требования к законной цели, необходимому объёму и сроку хранения.
Любая утечка автоматически влечёт уголовную ответственность?
Федеральный закон от 30.11.2024 № 421-ФЗ ввёл статью 272.1 УК РФ о незаконных действиях с компьютерной информацией, содержащей персональные данные. Для уголовной ответственности нужны признаки конкретного состава; один факт инцидента или ошибка уведомления не означают её автоматически. Административные нарушения отдельно квалифицируют по статье 13.11 КоАП РФ.
