Правила обработки персональных данных в компании — это локальный акт оператора. По статье 18.1 152-ФЗ он закрепляет для каждой цели категории субъектов и данных, способы обработки, сроки хранения и порядок уничтожения. Чтобы правила работали, к ним нужны политика в открытом доступе, приказ о назначении ответственного по статье 22.1, согласия там, где нет другого законного основания, и уведомление Роскомнадзора до начала обработки. Исключение из уведомления для данных работников отменено с 1 сентября 2022 года, поэтому его подаёт любой работодатель, который ведёт учёт в программе. Основание обработки задаёт порядок действий: данные работника для исполнения трудового договора и закона обрабатываются без согласия, а для передачи третьей стороне и проверки кандидата нужно письменное согласие, для публикации на сайте — отдельное согласие на распространение.
Материал помогает собрать комплект документов, проверить согласие по 9 обязательным реквизитам части 4 статьи 9 и выполнить требование оформлять согласие отдельно от других документов, действующее с 1 сентября 2025 года. Отдельно разобраны сроки уничтожения данных, уведомление об утечке за 24 и 72 часа и изменения 2026 года по трансграничной передаче. Пошаговая инструкция внедрения, таблица штрафов по статье 13.11 КоАП, образцы документов и ответы на частые вопросы — во второй половине статьи.
Что обязательно прописать в правилах обработки персональных данных
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» требует от юрлица-оператора двух уровней документов. Политика обработки персональных данных описывает подход компании и должна быть в неограниченном доступе. Локальные акты, в том числе правила или положение об обработке, детализируют, что именно и зачем компания делает с данными. Если персональные данные собираются через интернет, часть 2 статьи 18.1 обязывает опубликовать политику и сведения о реализуемых требованиях к защите данных на страницах сайта, через которые идёт сбор: форма отклика на вакансию, анкета кандидата, форма обратной связи.
Для кадровых данных к 152-ФЗ добавляется глава 14 ТК РФ. Статья 87 ТК РФ прямо говорит, что порядок хранения и использования персональных данных работников устанавливает работодатель. Статья 86 требует ознакомить работников и их представителей под роспись с документами о порядке обработки и с их правами в этой области. Статья 88 ограничивает внутренний доступ: каждый сотрудник видит только те данные, которые нужны для его функций, а порядок передачи внутри организации закрепляется локальным актом.
Минимальный состав правил удобно сверять по таблице: каждая строка привязана к норме, которую проверит Роскомнадзор или ГИТ.
| Раздел правил | Что указать | Норма |
|---|---|---|
| Цели обработки | Каждая цель отдельно, к ней привязываются все остальные строки | Статья 18.1 152-ФЗ |
| Категории субъектов | Чьи данные обрабатываются для этой цели: работники, кандидаты, другие группы | Статья 18.1 152-ФЗ |
| Категории и перечень данных | Какие сведения собираются под конкретную цель | Статья 18.1 152-ФЗ |
| Способы обработки | С использованием средств автоматизации, без них или смешанно | Статья 18.1 152-ФЗ |
| Сроки обработки и хранения | Срок по каждой цели | Статья 18.1 152-ФЗ |
| Порядок уничтожения | Уничтожение в срок до 30 дней после достижения цели, если закон или договор не устанавливает иное; акт и выгрузка из журнала событий | Статья 21 152-ФЗ, приказ Роскомнадзора № 179 |
| Внутренний доступ | Кто видит данные и в каком объёме; доступ только к сведениям, нужным для функций | Статья 88 ТК РФ |
| Передача третьей стороне | Только с письменного согласия работника, кроме случаев, предусмотренных законом | Статья 88 ТК РФ |
| Ответственный за организацию обработки | Должность, полномочия, работа с обращениями субъектов | Статья 22.1 152-ФЗ |
| Ознакомление | Порядок ознакомления работников и их представителей под роспись | Статья 86 ТК РФ |
Самая частая слабость готовых шаблонов — один общий перечень данных на всю компанию без разбивки по целям. Статья 18.1 требует связки «цель — субъекты — данные — способ — срок — уничтожение» по каждой цели, поэтому перечень, который нельзя разложить по целям, проверку не проходит. Откройте свой действующий документ и проверьте, можно ли по нему ответить, когда и как будут уничтожены данные кандидата, которого не взяли на работу.
Образцы правил и согласий для оформления обработки персональных данных
Начните с шаблона правил: он задаёт структуру, к которой затем привязываются формы согласий.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных (шаблон, PDF) | Скачать |
| Согласие на обработку персональных данных (образец, DOCX) | Скачать |
| Согласие кандидата на проверку службой безопасности (образец, DOCX) | Скачать |
Когда согласие на обработку персональных данных нужно, а когда нет
Статья 6 152-ФЗ допускает обработку без согласия, если она необходима для исполнения закона или договора, стороной которого является субъект. Для работника это трудовой договор и обязанности работодателя по ТК РФ, налоговому законодательству и законодательству о страховании. Согласие на всё подряд, собранное «на всякий случай», не делает обработку законнее, а при отзыве такого согласия компания сама создаёт спор о том, на каком основании она продолжает работать с данными. При этом обязанность доказать наличие согласия или другого законного основания по статье 9 лежит на операторе.
Основание выбирается по ситуации, а не по документу. Сводка по типовым кадровым сценариям:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Сценарий | Нужно ли согласие | Норма |
|---|---|---|
| Обработка для исполнения трудового договора и требований закона | Нет, основание — договор и закон; ограничения главы 14 ТК РФ действуют | Статья 6 152-ФЗ |
| Передача данных работника третьей стороне вне случаев, установленных законом | Да, письменное | Статья 88 ТК РФ |
| Получение данных о работнике не от него самого | Да: работника уведомляют заранее и получают письменное согласие | Статья 86 ТК РФ |
| Проверка кандидата службой безопасности | Да, отдельное подписанное согласие кандидата | Статья 9 152-ФЗ |
| Распространение данных неограниченному кругу лиц, например публикация на сайте | Да, отдельное согласие на распространение; молчание и бездействие согласием не считаются | Статья 10.1 152-ФЗ |
Из таблицы видно, что у работника с трудовым договором согласие нужно не на сам кадровый учёт, а на действия, которые выходят за его пределы. Сверьте свой текущий бланк: если в нём одной строкой перечислены и расчёт зарплаты, и размещение фото на сайте, документ смешивает обработку по договору с распространением и требует разделения.
Внимание: без подписанного согласия проверка персональных данных кандидата службой безопасности неправомерна. Согласие оформляется до запуска проверки, а не по её итогам.
Перечень сведений, которые должно содержать письменное согласие, задан частью 4 статьи 9 Федерального закона № 152-ФЗ в редакции от 24.06.2025. Изменения 2026 года по трансграничной передаче в этот файл не вошли, на статью 9 они не влияют. В согласии указываются:
- ФИО и адрес субъекта, реквизиты основного документа, удостоверяющего личность, дата его выдачи и выдавший орган.
- Те же сведения о представителе и реквизиты документа о его полномочиях, если согласие даёт представитель.
- Наименование или ФИО и адрес оператора.
- Цель обработки.
- Перечень персональных данных, на обработку которых даётся согласие.
- Наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если такое лицо есть.
- Перечень действий с данными и общее описание способов обработки.
- Срок действия согласия и способ его отзыва.
- Подпись субъекта.
Шестой пункт чаще всего забывают компании, которые отдают расчёт зарплаты на аутсорсинг или хранят документы во внешнем сервисе: подрядчик обрабатывает данные по поручению, и его нужно назвать в согласии. Пропуск любого из 9 пунктов подпадает под часть 2 статьи 13.11 КоАП как нарушение требований к составу сведений согласия.
С 1 сентября 2025 года поправка Федерального закона от 24.06.2025 № 156-ФЗ к статье 9 требует оформлять согласие отдельно от других сведений и документов, которые субъект подписывает или подтверждает. Пункт о согласии внутри трудового договора, анкеты кандидата или заявления о приёме это требование не выполняет: согласие должно быть самостоятельным документом. Электронный документ, подписанный электронной подписью в соответствии с законом, статья 9 приравнивает к письменному согласию на бумаге.
Соберите согласие на обработку персональных данных под свою цель
Конструктор формирует согласие отдельным документом в формате DOCX с целью, сроком действия и порядком отзыва. Перед подписанием сверьте результат с 9 пунктами выше, особенно с перечнем лиц, обрабатывающих данные по поручению.
Как внедрить правила обработки персональных данных в компании
Внедрение начинается с инвентаризации, а не с шаблона. Пока не составлен список процессов, где появляются персональные данные (подбор, приём, расчёт зарплаты, командировки, пропускной режим, сайт), правила описывают абстрактную компанию. Каждый процесс даёт отдельную цель обработки со своими субъектами, данными и сроками, и именно эта таблица потом переносится в правила и в уведомление Роскомнадзора.
Уведомление Роскомнадзора: кому его подавать
По статье 22 152-ФЗ оператор уведомляет Роскомнадзор о намерении обрабатывать персональные данные до начала обработки, сведения попадают в общедоступный реестр операторов. Федеральный закон от 14.07.2022 № 266-ФЗ с 1 сентября 2022 года отменил пункты 1-6 части 2 статьи 22, в том числе исключение, которым пользовались работодатели для данных работников. Подать уведомление можно через электронную форму уведомления на портале персональных данных Роскомнадзора: сведения в нём должны совпадать с целями и категориями из ваших правил.
Без уведомления сейчас допускаются три случая: обработка в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка; обработка только без средств автоматизации; обработка в случаях и для целей законодательства о транспортной безопасности. Компания, которая ведёт кадровый учёт в 1С, таблицах или любом сервисе, под исключение «без средств автоматизации» не попадает. Проверить, есть ли ваша организация в реестре и какие сведения в нём указаны, можно в реестре операторов персональных данных по ИНН или наименованию.
Как внедрить правила обработки персональных данных: пошаговая инструкция
- Шаг 1. Составьте перечень процессов, где компания получает персональные данные, и для каждого определите цель, категории субъектов, перечень данных, способ обработки и срок.
- Шаг 2. Издайте приказ о назначении ответственного за организацию обработки персональных данных по статье 22.1 152-ФЗ и закрепите его полномочия, включая работу с обращениями субъектов.
- Шаг 3. Утвердите политику обработки персональных данных и правила (положение) об обработке; определите перечень должностей с доступом к данным по статье 88 ТК РФ.
- Шаг 4. Опубликуйте политику: обеспечьте к ней неограниченный доступ, а при сборе данных через сайт разместите её на страницах, где идёт сбор.
- Шаг 5. Ознакомьте работников и их представителей с правилами под роспись по статье 86 ТК РФ; новых работников знакомьте до подписания трудового договора.
- Шаг 6. Определите, для каких действий нужно согласие, и подготовьте отдельные формы: на обработку, на передачу третьей стороне, на распространение, на проверку кандидата.
- Шаг 7. Подайте уведомление в Роскомнадзор до начала обработки, а при изменении сведений направьте уведомление об изменениях.
- Шаг 8. Утвердите регламент реагирования на инциденты со сроками 24 и 72 часа и порядок уничтожения данных с формой акта и выгрузкой из журнала событий.
Шаги 5 и 6 в средней и крупной компании занимают больше времени, чем подготовка самих документов: ознакомление и сбор согласий зависят от численности и от того, как быстро работники получают доступ к документам. В практике Добыто ознакомление с правилами и подписание согласий запускают через КЭДО, поэтому у каждого документа сохраняется дата и факт подписания конкретным работником.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы закладываем пилотную группу перед раскаткой на всю компанию. Оценивается не подпись работника в журнале ознакомления, а его фактическая способность работать в системе: если за работника документы подписывает кто-то другой, работодатель теряет всю доказательственную конструкцию. Запустите ознакомление с правилами сначала в одном подразделении и проверьте, что каждый подписал сам.»
Хранение, уничтожение и передача персональных данных за рубеж
По статье 21 152-ФЗ после достижения цели обработки оператор прекращает обработку и уничтожает данные в срок до 30 дней, если закон или договор не устанавливает другой срок. Тот же срок действует при отзыве согласия, если у оператора нет другого основания продолжать обработку. Для кандидатов это означает конкретное действие: анкеты и резюме тех, кого не взяли, уничтожаются, если нет согласия на включение в кадровый резерв со своим сроком.
Порядок подтверждения уничтожения установлен приказом Роскомнадзора от 28.10.2022 № 179, который действует с 1 марта 2023 года до 1 марта 2029 года. При автоматизированной обработке уничтожение подтверждают актом и выгрузкой из журнала событий информационной системы, оба документа хранятся 3 года. Форму акта и ответственного за выгрузку стоит закрепить в правилах сразу, иначе подтвердить уничтожение при проверке будет нечем.
Мария Ж, юрист со стажем более 20 лет: «Переход на электронные документы не означает, что бумага не понадобится никогда. Суд вправе истребовать подлинник, если только он способен подтвердить обстоятельство дела, а при сомнениях в подлинности назначается экспертиза. Посмотрите, какие согласия и листы ознакомления у вас существуют только в электронном виде и чем вы подтвердите их подлинность.»
Факт: распечатанный электронный документ остаётся копией, а не оригиналом. Чтобы распечатка подписанного согласия имела значение, её заверяют оператор ЭДО, удостоверяющий центр, нотариус или сама организация с отметкой о верности копии.
С 1 июля 2025 года часть 5 статьи 18 в редакции Федерального закона от 28.02.2025 № 23-ФЗ требует при сборе данных граждан РФ выполнять запись, систематизацию, накопление, хранение и уточнение с использованием баз данных, находящихся в России. Последующую трансграничную передачу регулирует статья 12, для неё нужно предварительное уведомление Роскомнадзора. Кадровая программа или облачный HR-сервис с серверами за рубежом этому требованию не соответствуют, даже если данные потом копируются в Россию.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Федеральный закон от 26.07.2026 № 265-ФЗ изменил статью 12 и вступил в силу 26 июля 2026 года, часть положений начнёт действовать 1 сентября 2027 года. Если получатель находится в стране, не включённой в перечень государств с адекватной защитой, оператор до уведомления собирает сведения о регулировании персональных данных в этой стране. До решения Роскомнадзора передача разрешена только в страны из перечня; в остальные страны она запрещена, кроме передачи для защиты жизненно важных интересов. Компаниям с иностранной материнской структурой или зарубежными подрядчиками стоит до конца 2026 года сверить, куда уходят кадровые данные, и отразить это в правилах.
Утечка персональных данных: сроки уведомления и штрафы по статье 13.11 КоАП
При инциденте с неправомерной или случайной передачей данных, нарушившей права субъектов, часть 3.1 статьи 21 152-ФЗ даёт оператору 24 часа на сообщение в Роскомнадзор о самом факте инцидента и 72 часа на сообщение о результатах внутреннего расследования. Отсчёт идёт с момента выявления, поэтому в правилах заранее назначают, кто фиксирует инцидент и кто подаёт сообщение через форму уведомления об инциденте на портале Роскомнадзора. Порядок взаимодействия по инцидентам установлен приказом Роскомнадзора от 14.11.2022 № 187.
С 30 мая 2025 года Федеральный закон от 30.11.2024 № 420-ФЗ изменил статью 13.11 КоАП. Размеры штрафов для юрлиц по нарушениям, которые чаще всего выявляют у работодателей:
| Нарушение | Часть статьи 13.11 КоАП | Штраф для юрлица |
|---|---|---|
| Обработка в случаях, не предусмотренных законом | Часть 1 | от 150 000 до 300 000 руб. |
| Обработка без письменного согласия или с нарушением требований к составу сведений согласия | Часть 2 | от 300 000 до 700 000 руб. |
| Неопубликование политики или необеспечение доступа к ней | Часть 3 | от 30 000 до 60 000 руб. |
| Неуведомление Роскомнадзора о намерении обрабатывать данные | Часть 10 | от 100 000 до 300 000 руб. |
| Неуведомление или несвоевременное уведомление об инциденте | Часть 11 | от 1 до 3 млн руб. |
| Утечка данных от 1 000 до 10 000 субъектов и (или) от 10 000 до 100 000 идентификаторов | Часть 12 | от 3 до 5 млн руб. |
| Утечка данных от 10 000 до 100 000 субъектов и (или) от 100 000 до 1 млн идентификаторов | Часть 13 | от 5 до 10 млн руб. |
| Повторное нарушение, повлёкшее утечку | Оборотный штраф | 1-3% выручки, но не менее 20 млн и не более 500 млн руб. |
Штраф за пропуск суточного срока уведомления об инциденте больше, чем за саму утечку данных до 1 000 субъектов, которая под части 12-13 не подпадает. Поэтому регламент реагирования окупается быстрее остальных документов: компания с 300 работниками, которая знает, кто и в какой срок подаёт сообщение, закрывает самый дорогой для своего масштаба риск. Для частей 10-18 под юрлицом понимается оператор, который не является госорганом, муниципальным органом или НКО.
Коммерческая тайна и персональные данные: два разных режима
Режим коммерческой тайны вводится по Федеральному закону от 29.07.2004 № 98-ФЗ и не заменяет правила обработки персональных данных: у каждого закона свои документы и свои основания ответственности. Статья 10 98-ФЗ считает режим установленным, только когда компания определила перечень секретных сведений, ограничила доступ к ним и ведёт его учёт, урегулировала использование сведений работниками и контрагентами и нанесла на носители гриф «Коммерческая тайна» с данными обладателя. Без любого из этих элементов режима нет, даже если в трудовом договоре есть пункт о неразглашении.
По статье 11 98-ФЗ работников, которым нужен доступ, знакомят под расписку с перечнем сведений, режимом и ответственностью, и они обязаны не разглашать сведения весь срок действия режима, в том числе после увольнения. На практике оба режима удобно запускать одним пакетом ознакомления: работник отдела кадров подписывает и лист ознакомления с правилами обработки персональных данных по статье 86 ТК РФ, и обязательство по коммерческой тайне. Документы при этом остаются раздельными.
Правила обработки персональных данных при КЭДО
Когда согласия, листы ознакомления и кадровые документы подписываются в электронном виде, к правилам обработки добавляется вопрос доказательств: кто подписал документ и как компания это подтвердит. Электронное согласие приравнено к бумажному, если оно подписано электронной подписью в соответствии с законом, а вид подписи для кадровых документов определяют статьи 22.1-22.3 ТК РФ. В сервисе Добыто ПЭП и УНЭП для сотрудников выпускаются в рамках тарифа, а чекбокс согласия на обработку персональных данных встроен в форму подписания документа.
Важный нюанс из практики: спор об увольнении работника, подавшего заявление через КЭДО, прошёл 4 этапа. Районный суд по делу № 2-213/2022 работнику отказал: у работодателя было Положение о КЭДО, перечень документов и согласие работника. Девятый кассационный суд общей юрисдикции по делу № 8Г-10825/2022 (88-10853/2022) акты отменил, потому что в материалах не оказалось сведений о порядке идентификации. При новом рассмотрении по делу № 2-33/2023 работник выиграл: подпись выдали в день подписания заявления, за работника подписывал другой человек, и это зафиксировала система работодателя.
Мария Ж, судебный эксперт в сфере трудового права: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Проверьте, описан ли порядок идентификации подписанта в вашем локальном акте о КЭДО или в правилах обработки персональных данных.»
Лайфхак: разводите во времени выдачу электронной подписи работнику и первые кадровые действия с ней. Совпадение даты выдачи подписи и даты подписания значимого документа суд читает не в пользу работодателя.
Важный нюанс из практики: по документам, подписанным кодом из SMS, суды признают простую электронную подпись в спорах о займах, лизинге и услугах по части 2 статьи 5 63-ФЗ. К кадровым документам эта практика не относится: в трудовых отношениях действуют статьи 22.1-22.3 ТК РФ со своим перечнем документов и требованиями к виду подписи. В практике Добыто логика «микрофинансовые организации подписывают кодом из SMS, значит и мы можем» — первый признак, что перечень документов и виды подписи в компании не разведены, и с этого начинается настройка маршрутов.
Стоимость КЭДО для подписания согласий и хранения кадровых документов
Стоимость зависит от численности сотрудников, нужных видов подписи и требований к интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | — |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | — |
| Модуль для 1С:ЗУП с автоматической синхронизацией документов | в тарифе «Бизнес» | установка и настройка за один день |
УКЭП оформляется через партнёров — удостоверяющие центры, её стоимость в тариф не входит. Состав функций по каждому тарифу и условия перехода между ними опубликованы на странице тарифов Добыто КЭДО; при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Рабочие правила обработки персональных данных строятся вокруг целей: для каждой цели определены субъекты, данные, способ, срок и порядок уничтожения, а внутренний доступ ограничен функциями сотрудника. Согласие нужно там, где обработка выходит за пределы трудового договора и закона, и с сентября 2025 года оно оформляется самостоятельным документом с 9 обязательными реквизитами. Уведомление Роскомнадзора, публичная политика, регламент инцидентов на 24 и 72 часа и подтверждение уничтожения закрывают те нарушения, за которые штрафы по статье 13.11 КоАП максимальны.
Ознакомление с правилами и сбор отдельных согласий — самая трудоёмкая часть внедрения, и в Добыто её переводят в КЭДО: работник подписывает документы электронной подписью, а у компании сохраняются дата подписания и сведения о подписанте для проверки.
Частые вопросы о правилах обработки персональных данных
Можно ли продолжать обработку данных работника, если он отозвал согласие?
Да, в части данных, которые нужны для исполнения трудового договора и требований закона: для них основанием служит статья 6 152-ФЗ, а не согласие. Обработку, которая велась только на основании согласия, например размещение фото на сайте, оператор прекращает, а данные уничтожает в срок до 30 дней по статье 21 152-ФЗ, если нет другого основания продолжать обработку.
Нужно ли небольшой компании из 5-10 человек назначать ответственного и уведомлять Роскомнадзор?
Да. Статья 22.1 152-ФЗ обязывает юрлицо-оператора назначить ответственного независимо от численности, а уведомление по статье 22 нужно при любой обработке с использованием средств автоматизации. Кадровый учёт в 1С или в таблицах на компьютере считается автоматизированной обработкой, поэтому исключение «без средств автоматизации» к нему не применяется. Штраф за неуведомление по части 10 статьи 13.11 КоАП для юрлица составляет от 100 000 до 300 000 рублей.
Распространяются ли правила на исполнителей по договорам ГПХ и самозанятых?
Да, но на другом основании. Данные исполнителя обрабатываются для исполнения договора, стороной которого он является, по статье 6 152-ФЗ, и в правилах для этой категории субъектов указывается отдельная цель со своим перечнем данных и сроком. Нормы главы 14 ТК РФ, включая ознакомление под роспись по статье 86, относятся к работникам по трудовому договору и на исполнителей не переносятся.
Можно ли подписать согласие на обработку персональных данных простой электронной подписью?
Статья 9 152-ФЗ приравнивает к письменному согласию электронный документ, подписанный электронной подписью в соответствии с законом. Для ПЭП это значит, что между работником и работодателем должно действовать соглашение об использовании такой подписи, а порядок идентификации подписанта описан в локальном акте. Обязанность доказать наличие согласия лежит на операторе, поэтому система должна хранить дату подписания и сведения о том, кто и каким способом подтвердил подпись.
Нужно ли сообщать в Роскомнадзор, если утекли данные одного работника?
Да, если инцидент нарушил права субъекта. Часть 3.1 статьи 21 152-ФЗ не устанавливает минимального числа субъектов: о факте инцидента сообщают в течение 24 часов, о результатах расследования — в течение 72 часов. Пороги в 1 000 и 10 000 субъектов из частей 12 и 13 статьи 13.11 КоАП определяют размер штрафа за утечку, а за неуведомление по части 11 штраф для юрлица составляет от 1 до 3 млн рублей при любом масштабе.
Можно ли собирать резюме кандидатов через зарубежный сервис или мессенджер?
С 1 июля 2025 года часть 5 статьи 18 152-ФЗ требует, чтобы запись, систематизация, накопление, хранение и уточнение данных граждан РФ при сборе велись с использованием баз данных в России. Если первичный сбор идёт в зарубежной системе, требование локализации не выполнено. Передать данные за рубеж после первичной записи в российской базе можно только по правилам статьи 12 с предварительным уведомлением Роскомнадзора, с учётом изменений Федерального закона № 265-ФЗ от 26.07.2026.
