Постановление об обработке персональных данных в кадровой практике — это прежде всего постановление Правительства РФ от 01.11.2012 № 1119. Оно устанавливает требования к защите сведений в информационных системах и 4 уровня защищённости. Общие правила обработки задаёт 152-ФЗ: цели, основания, согласие, уведомление Роскомнадзора до начала обработки. С 1 сентября 2025 года согласие оформляется отдельно от других документов, поэтому пункт в трудовом договоре этому требованию не отвечает. Порядок действий зависит от того, где хранятся данные. Электронную кадровую базу защищают по постановлению № 1119 и приказу ФСТЭК № 21. Бумажные личные дела подчиняются постановлению № 687, которое действует до 1 сентября 2030 года.
Материал помогает определить, какой акт применяется к вашей кадровой системе и какие ЛНА и согласия оформить до сбора сведений. Отдельно показано, как установить уровень защищённости по правилам, а не наугад. Таблица оснований обработки показывает, где согласие работника обязательно, а где основанием служит закон. Во второй половине статьи собраны пошаговая инструкция по постановлению № 1119, сроки уведомлений Роскомнадзора и ошибки работодателей со ставками штрафов по статье 13.11 КоАП РФ. Там же стоимость КЭДО на 2026 год, образцы документов и ответы на частые вопросы.
Какое постановление об обработке персональных данных применять: № 1119, № 687 или 152-ФЗ
Набор требований определяется способом обработки сведений о работниках и кандидатах. Постановление Правительства РФ от 01.11.2012 № 1119 устанавливает требования к защите персональных данных при их обработке в информационных системах персональных данных (ИСПДн) и уровни защищённости таких данных. Для обработки без средств автоматизации действует постановление Правительства РФ от 15.09.2008 № 687. Цели, основания, согласие, права работника и уведомления для обоих способов регулирует Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Постановления этот закон не заменяют и общими правилами обработки не служат.
Обязанности работодателя распределены между пятью актами:
| Акт | Что регулирует | Ключевые требования к работодателю | Актуальность |
|---|---|---|---|
| Федеральный закон от 27.07.2006 № 152-ФЗ | Общие правила обработки: цели, основания, согласие, права субъекта, уведомления | Отдельное согласие с 01.09.2025 (изменения 156-ФЗ от 24.06.2025); политика обработки (ст. 18.1); ответственный за организацию обработки (ст. 22.1); уведомление до начала обработки (ст. 22) | Редакция от 26.07.2026 |
| Постановление Правительства РФ от 01.11.2012 № 1119 | Защита персональных данных при обработке в ИСПДн | 4 уровня защищённости; система защиты из организационных и (или) технических мер; контроль не реже 1 раза в 3 года (п. 17) | Действует; редакцию сверяйте по официальному тексту |
| Приказ ФСТЭК России от 18.02.2013 № 21 | Состав мер защиты для каждого уровня защищённости | Конкретный набор мер под установленный уровень | Редакция от 14.05.2020 |
| Постановление Правительства РФ от 15.09.2008 № 687 | Особенности обработки без средств автоматизации | Применяется к бумажным кадровым документам; при обработке исключительно без средств автоматизации уведомление не подаётся (ч. 2 ст. 22 152-ФЗ) | Действует до 01.09.2030 (постановление от 18.01.2025 № 12, в силе с 26.01.2025) |
| Трудовой кодекс РФ, статьи 86 и 88 | Обработка и передача персональных данных работника | Сбор у самого работника; доступ только уполномоченных лиц; передача третьим лицам с письменного согласия, кроме случаев закона | Действующая редакция |
Работодатель с кадровой программой и бумажными личными делами применяет все пять актов одновременно. 152-ФЗ и ТК РФ задают правила сбора и передачи. Постановление № 1119 вместе с приказом ФСТЭК № 21 определяет защиту электронной части, постановление № 687 — работу с бумажными носителями. Дату 1 сентября 2030 года имеет смысл внести в график пересмотра ЛНА: до неё продлено действие постановления № 687.
Мария Ж, юрист со стажем более 20 лет: «Когда работодатель спрашивает про «постановление об обработке», первым делом нужно понять, где лежат данные. Электронную кадровую базу защищают по постановлению № 1119 и приказу ФСТЭК № 21, бумажные личные дела ведут по постановлению № 687. Законность сбора, цели, согласия и уведомления определяет 152-ФЗ. Начните с перечня систем и папок, где есть сведения о работниках: от него зависит, какой акт применять.»
Когда постановление № 1119 к вам не применяется
Требования постановления № 1119 не относятся к кадровым документам, которые ведутся только на бумаге, без кадровой программы и электронных копий: предмет постановления — информационные системы. Для бумажного архива применяется постановление № 687. Уведомление о начале обработки в Роскомнадзор в этом случае не подаётся: обработка исключительно без средств автоматизации входит в исключения части 2 статьи 22 152-ФЗ.
Исключение перестаёт работать, как только те же сведения начинают обрабатывать в электронном виде. Бумажные личные дела плюс расчёт зарплаты в программе — это смешанная обработка. Электронная часть в ней подпадает под постановление № 1119, бумажная остаётся под постановлением № 687, а уведомление подаётся на общих основаниях. Чтобы проверить свой случай, выпишите все места, где хранятся сведения о работниках и кандидатах, и отметьте у каждого способ обработки.
Основания обработки и отдельное согласие на обработку персональных данных с 1 сентября 2025 года
Согласие работника нужно там, где у работодателя нет другого основания из части 1 статьи 6 152-ФЗ. По части 3 статьи 9 доказать, что согласие получено или что действует иное основание, обязан оператор. Поэтому основание фиксируется заранее по каждой цели обработки. Кадровая, налоговая и другая обработка, которую требует закон, может опираться на обязанность работодателя без отдельного согласия.
Одни и те же сведения о работнике в разных целях обрабатываются на разных основаниях:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Цель обработки | Основание | Что оформить | Норма |
|---|---|---|---|
| Начисление зарплаты и обязательная отчётность | Может основываться на обязанности по закону | Проверить и зафиксировать основание в политике обработки | Ст. 6 152-ФЗ |
| Публикация фотографии сотрудника на сайте для неопределённого круга лиц | Отдельная цель, отдельное основание | Согласие на распространение, оформленное отдельно от общего согласия | Ст. 10.1 152-ФЗ |
| Сообщение сведений о работнике третьим лицам | Письменное согласие работника | Без согласия — только в случаях закона: предупреждение угрозы жизни и здоровью, исполнение законной обязанности | Ст. 88 ТК РФ |
| Передача сведений о работнике в коммерческих целях | Письменное согласие работника | Без письменного согласия передача запрещена | Ст. 88 ТК РФ |
Перечень целей из таблицы стоит сверить с политикой обработки. У цели, которой в политике нет, не зафиксировано основание, а доказывать его при проверке придётся работодателю.
Обычное согласие по части 1 статьи 9 должно быть конкретным, предметным, информированным, сознательным и однозначным. Федеральный закон от 24.06.2025 № 156-ФЗ изменил порядок его оформления. С 1 сентября 2025 года согласие оформляется отдельно от иной информации и документов, которые работник подписывает или подтверждает. Письменное согласие содержит сведения из пунктов 1-9 части 4 статьи 9. Среди них наименование оператора, цель, перечень данных, действия и способы обработки, срок, способ отзыва и подпись субъекта.
Важный нюанс из практики: согласие, включённое в трудовой договор, с 01.09.2025 требованию отдельного оформления не отвечает. Согласие на распространение персональных данных для неопределённого круга лиц по части 1 статьи 10.1 тоже оформляется отдельно и с общим согласием не смешивается. Для работника, чьё фото публикуется на сайте, комплект состоит из двух самостоятельных документов.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Бланк согласия выдают работнику после того, как по каждой цели записано основание по статье 6 152-ФЗ. Согласие нужно там, где другого основания нет, а доказывать его наличие придётся оператору. Если цель держится на согласии, проверьте три вещи: оно оформлено отдельным документом, в нём указаны цель и срок, прописан способ отзыва.»
Те же правила действуют при проверке кандидата на работу. Сведения, которые по 152-ФЗ проверяются только с согласием кандидата, без такого согласия не запрашиваются. Согласие на проверку оформляют отдельным документом до её начала.
Сформируйте согласие на обработку персональных данных с целью, сроком и порядком отзыва
Конструктор согласия в сервисе Добыто формирует файл .docx с целями обработки, сроком действия согласия и оговоркой о праве на отзыв по 152-ФЗ. Документ получается самостоятельным и не входит в трудовой договор или анкету. Перед подписанием сверьте перечень данных и наименование оператора с требованиями части 4 статьи 9.
Согласие и другие кадровые документы можно подписывать электронно. В форме подписания на сайте Добыто подтверждение согласия на обработку персональных данных вынесено в отдельный чекбокс рядом с кнопкой «Подписать». Вид подписи, включая откреплённую, выбирается до отправки.
Что работодатель-оператор оформляет до начала обработки персональных данных
Части 2 и 5 статьи 5 152-ФЗ запрещают собирать сведения, избыточные по отношению к заявленной цели. Запас данных на будущее такой целью не считается. Поэтому цели, объём сведений, категории субъектов, основания, сроки хранения и порядок уничтожения определяются до сбора данных.
Для каждой цели юрлицо утверждает политику обработки и ЛНА по пункту 2 части 1 статьи 18.1. В них фиксируются категории субъектов и данных, способы и сроки обработки и хранения, порядок уничтожения. По пункту 8 статьи 86 ТК РФ работодатель знакомит работников с правилами обработки и защиты. По статье 22.1 юрлицо назначает ответственного за организацию обработки. Сведения работодатель получает преимущественно у самого работника.
Чек-лист: что проверить до сбора сведений о работниках и кандидатах
- Составлен перечень целей обработки по каждой категории субъектов: работники, кандидаты, родственники работников.
- Под каждую цель определён объём сведений, данных про запас в анкетах нет.
- Для каждой цели записано основание по статье 6 152-ФЗ. Отмечено, где нужно согласие, а где согласие на распространение.
- Установлены сроки хранения и порядок уничтожения.
- Политика и ЛНА утверждены приказом, работники ознакомлены с ними.
- Назначен ответственный за организацию обработки.
- Утверждён перечень уполномоченных лиц и сведений, которые нужны им для конкретных функций.
- Для каждого места хранения определён способ обработки: ИСПДн или бумага.
- Уведомление в Роскомнадзор подано до начала обработки, если исключение части 2 статьи 22 не применяется.
Если кадровые документы и согласия переводятся в КЭДО, электронная система становится ИСПДн работодателя. К ней применяются постановление № 1119 и приказ ФСТЭК № 21, а в политике указывается обработка с использованием средств автоматизации.
Полезно знать: требования к технической реализации КЭДО сведены в четыре блока. Это аутентификация и авторизация через ЕСИА, Госуслуги и Госключ, обмен персональными данными по зашифрованному каналу, подписание усиленной электронной подписью и хранение документов.
Образцы правил обработки, приказа об утверждении ЛНА и согласия на обработку персональных данных
Комплект из шаблонов Добыто закрывает базовый пакет: начните с правил обработки персональных данных, затем оформите приказ об их утверждении и отдельное согласие.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Согласие на обработку персональных данных | Скачать |
Как применить постановление № 1119 к кадровой информационной системе
Уровень защищённости по шаблону не выбирают. По постановлению № 1119 оператор сначала определяет актуальные угрозы и их тип, затем категории и количество субъектов, чьи данные есть в системе. Только после этого он устанавливает один из 4 уровней. Единый уровень для всех работодателей автоматически не назначается. Две компании одной отрасли могут прийти к разным уровням, если у них различаются угрозы, категории или количество субъектов.
Пункты 2-4 постановления требуют построить систему защиты из организационных и (или) технических мер, соответствующих угрозам и уровню. Конкретный состав мер для каждого уровня установлен приказом ФСТЭК России от 18.02.2013 № 21 в редакции от 14.05.2020. Для кадровой системы в набор входят:
- ролевой доступ и своевременное его закрытие при увольнении или смене функций;
- журналирование действий пользователей;
- защита рабочих мест и резервных копий;
- контроль подрядчиков, которые обслуживают систему;
- инструктаж работников, допущенных к данным.
Перечень мер не заменяет документированную модель угроз и решение об уровне защищённости. Без этих документов нельзя показать, что набор мер соответствует угрозам и уровню, как требует постановление.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, специалист по цифровой подписи и КЭДО: «Политика обработки и защита системы — разные документы. Политика отвечает на вопрос, зачем и на каком основании собираются данные. Уровень защищённости по постановлению № 1119 определяется по угрозам, категориям и количеству субъектов. Если в компании есть только политика, начните с перечня ИСПДн и модели угроз: от них зависит, какие меры из приказа ФСТЭК № 21 обязательны.»
Важный нюанс из практики: 21.01.2026 Верховный Суд РФ вынес постановление № 5-АД25-119-К2 и оставил в силе привлечение оператора к ответственности за утечку данных сотрудников и их родственников. Злоумышленник получил доступ через инфраструктуру подрядной организации, которая не обеспечила защиту этих данных. Доводы о невиновности оператора суд признал несостоятельными. Передача обработки подрядчику сама по себе ответственность с работодателя не снимает.
Это правило распространяется и на облачные HR-сервисы, включая Добыто. При подключении КЭДО работодатель остаётся оператором, поэтому меры защиты на стороне сервиса сверяют с собственной моделью угроз и выбранным уровнем.
Как применить постановление № 1119 к кадровой системе: пошаговая инструкция
- Шаг 1. Составьте перечень ИСПДн. В него входят все информационные системы, где обрабатываются сведения о работниках, кандидатах и родственниках работников, включая КЭДО и электронный архив.
- Шаг 2. Для каждой системы определите актуальные угрозы и их тип. Зафиксируйте результат в модели угроз.
- Шаг 3. Определите категории и количество субъектов, чьи данные обрабатываются в каждой системе.
- Шаг 4. На основании шагов 2 и 3 установите один из 4 уровней защищённости и оформите решение документом.
- Шаг 5. Подберите под уровень организационные и технические меры по приказу ФСТЭК № 21. Сюда входят ролевой доступ, журналирование, защита рабочих мест и резервных копий, контроль подрядчиков и инструктаж работников.
- Шаг 6. Закрепите периодический контроль выполнения требований: не реже 1 раза в 3 года, в сроки, которые определяет оператор.
Уведомления Роскомнадзора об обработке персональных данных: сроки и состав сведений
Исключения из обязанности уведомлять Роскомнадзор перечислены в части 2 статьи 22 152-ФЗ и ею ограничены. В остальных случаях уведомление о начале обработки подаётся до того, как работодатель начал собирать сведения. По части 3.1 статьи 22 в уведомлении по каждой цели указываются категории персональных данных и субъектов, правовое основание, действия и способы обработки. Удобно собирать уведомление и перечень целей в политике обработки из одной инвентаризации.
Сроки уведомлений зависят от события:
| Событие | Срок уведомления Роскомнадзора | Норма 152-ФЗ |
|---|---|---|
| Начало обработки | До начала обработки | Ч. 1 ст. 22 |
| Изменение сведений, указанных в уведомлении | Не позднее 15-го числа месяца, следующего за месяцем изменения | Ч. 7 ст. 22 |
| Прекращение обработки | В течение 10 рабочих дней | Ч. 7 ст. 22 |
| Утечка (инцидент) | Не позднее 24 часов с момента обнаружения | Ч. 3.1 ст. 21 |
| Результаты внутреннего расследования инцидента | Не позднее 72 часов | Ч. 3.1 ст. 21 |
Сроки по инциденту считаются в часах с момента обнаружения, а сроки по изменениям привязаны к календарному месяцу. Поэтому работодателю нужны два разных внутренних порядка: реагирование на утечку и регулярная сверка сведений в уведомлении. Порядок подачи уведомления об инциденте установлен приказом Роскомнадзора от 14.11.2022 № 187.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Сведения в уведомлении устаревают вместе с политикой обработки. Любое изменение того, что указано в уведомлении, нужно сообщить Роскомнадзору не позднее 15-го числа следующего месяца. Сверку уведомления с политикой удобно привязать к пересмотру ЛНА и поручить ответственному за организацию обработки.»
Ошибки работодателя-оператора и штрафы по статье 13.11 КоАП РФ
С 30 мая 2025 года действуют повышенные штрафы, введённые Федеральным законом от 30.11.2024 № 420-ФЗ. Если юрлицо не подало уведомление о начале обработки или опоздало с ним, штраф составит 100 000-300 000 рублей по части 10 статьи 13.11 КоАП РФ. За отсутствие уведомления об инциденте или опоздание с ним штраф по части 11 составит 1 000 000-3 000 000 рублей. В частях 10-18 статьи 13.11 предусмотрены и отдельные штрафы за утечки. Их размер зависит от числа субъектов или идентификаторов и от повторности нарушения.
- Согласие вписано в трудовой договор. Так делают, чтобы работник подписал при приёме один документ. С 01.09.2025 такое согласие не соответствует части 1 статьи 9, а доказывать надлежащее согласие по части 3 статьи 9 обязан работодатель.
- Сведения собирают про запас. Анкету при приёме составляют с избытком, чтобы позже не запрашивать данные повторно. Части 2 и 5 статьи 5 152-ФЗ запрещают обработку сведений, избыточных по отношению к цели.
- Один уровень защищённости для всех систем или политика вместо модели угроз. Так экономят на оценке ИСПДн. Постановление № 1119 требует определять уровень по угрозам, категориям и количеству субъектов. Без модели угроз и решения об уровне соответствие мер требованиям не подтвердить.
- Уведомление о начале обработки не подано. Работодатель считает, что кадровые данные уведомления не требуют. Исключения ограничены частью 2 статьи 22. Если они не применяются, нарушение квалифицируется по части 10 статьи 13.11.
- Об утечке сообщают только после расследования. Компания хочет подать полные сведения сразу. Закон требует первичного уведомления не позднее 24 часов с момента обнаружения и отдельного — о результатах расследования не позднее 72 часов. Опоздание с первым квалифицируется по части 11 статьи 13.11.
- Защиту данных передали подрядчику без контроля. Обслуживание системы отдают внешней организации и считают вопрос закрытым. Практика Верховного Суда 2026 года подтверждает: ответственность за утечку через инфраструктуру подрядчика остаётся у оператора.
Внимание: некоторые проверки кандидата 152-ФЗ разрешает только с его согласием. Без такого согласия эти проверки незаконны, а отсутствие согласия на обработку персональных данных влечёт штраф.
Каждую из ошибок можно найти заранее, если пройти чек-лист из раздела о подготовке к обработке и сверить его с уведомлением, поданным в Роскомнадзор.
Стоимость КЭДО для оформления согласий и кадровых документов в 2026 году
Стоимость зависит от тарифа, численности сотрудников и нужных видов электронной подписи. Цены приведены на дату публикации.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП подписи, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, приоритетная поддержка, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | — |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | — |
| УКЭП через партнёров-удостоверяющих центров | по запросу | по запросу |
| Готовый модуль для 1С:ЗУП с автоматической синхронизацией документов | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма зависит от численности и выбранного тарифа. Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду. Состав функций каждого тарифа и условия «Корпорации» приведены на странице тарифов КЭДО Добыто.
Подключение сервиса не переносит на него обязанности оператора. Модель угроз, уровень защищённости, политика обработки и уведомление Роскомнадзора остаются за работодателем.
Выводы
Применение требований к персональным данным начинается с инвентаризации: где лежат сведения о работниках и кандидатах, зачем и на каком основании их обрабатывают. Электронную часть защищают по постановлению № 1119: модель угроз, уровень защищённости и меры из приказа ФСТЭК № 21. Бумажную ведут по постановлению № 687. Общие правила, согласие и уведомления задаёт 152-ФЗ. С сентября 2025 года согласие оформляется самостоятельным документом, а у каждого уведомления Роскомнадзора свой срок, привязанный к событию.
Добыто переводит согласия, ЛНА и кадровые документы в электронный вид с подписанием ПЭП, УНЭП и УКЭП и электронным архивом. Решения о целях обработки и защите данных при этом остаются за работодателем как оператором.
Частые вопросы о применении требований к персональным данным работников
Можно ли продолжать обрабатывать данные работника после отзыва согласия?
Да, если у оператора есть самостоятельное законное основание, не связанное с согласием. Это прямо предусмотрено частью 2 статьи 9 152-ФЗ. Отзыв согласия не всегда означает немедленное удаление сведений. Когда необходимость в обработке прекратилась, данные уничтожают в порядке статьи 21. Чтобы понять, какие сведения останутся в учёте, проверьте по политике обработки основание каждой цели.
Можно ли запросить сведения о работнике у третьих лиц?
По пункту 3 статьи 86 ТК РФ работодатель получает данные преимущественно у самого работника. Если сведения можно получить только у третьей стороны, работника заранее уведомляют об этом и получают его письменное согласие на получение таких данных. Согласие на получение сведений от третьих лиц оформляется отдельно от общего согласия на обработку.
Кто внутри компании вправе видеть персональные данные работника?
По статье 88 ТК РФ доступ имеют только специально уполномоченные лица и только к тем сведениям, которые нужны им для конкретных функций. Порядок передачи данных внутри организации закрепляется локальным актом, с которым работник ознакомлен под подпись. Перечень уполномоченных лиц удобно увязать с ролевым доступом в кадровой системе.
Какие обязанности у ответственного за организацию обработки персональных данных?
Назначение ответственного обязательно для юрлица по части 1 статьи 22.1 152-ФЗ. По части 4 той же статьи он организует внутренний контроль за соблюдением требований и доводит их до сотрудников. Кроме того, он организует приём и обработку запросов субъектов персональных данных. Назначение оформляют приказом, а функции фиксируют в политике обработки.
Кто проводит контроль выполнения требований постановления № 1119?
По пункту 17 требований контроль организует и проводит оператор самостоятельно или с привлечением по договору юрлиц и ИП, у которых есть лицензия на деятельность по технической защите конфиденциальной информации. Оба варианта можно совмещать. Контроль проводится не реже 1 раза в 3 года, конкретные сроки определяет оператор. Перед заключением договора проверьте наличие у исполнителя такой лицензии.
