Право на обработку персональных данных компания подтверждает одним из двух способов: согласием человека или ссылкой на иное основание из части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Доказывать законность обработки по части 3 статьи 9 152-ФЗ обязан оператор. Работник или кандидат ничего подтверждать не должен. С 1 сентября 2025 года согласие оформляется отдельно от других документов, которые человек подписывает. Уведомление в Роскомнадзор по общему правилу подаётся до начала обработки. Для приёма, зарплаты и отчётности в Социальный фонд России (СФР) согласие не требуется, потому что основание даёт закон. Для проверки кандидата службой безопасности нужно отдельное подписанное согласие.
Материал помогает разложить обработку по целям и для каждой цели найти основание и документ, который его подтверждает. Покажем, какие сведения обязательны в письменном согласии, кого закон освобождает от уведомления Роскомнадзора, в какие сроки сообщать ему об изменениях и что проверить у подрядчика, которому передаются данные кандидатов. Пошаговая инструкция по сборке доказательств и образцы согласий находятся в середине статьи. Таблица штрафов по статье 13.11 КоАП РФ с размерами на 2026 год и ответы на частые вопросы находятся во второй половине.
На каком основании компания обрабатывает персональные данные работников и кандидатов
Часть 1 статьи 6 152-ФЗ перечисляет случаи, в которых обработка персональных данных допускается. Согласие субъекта открывает этот перечень, но не исчерпывает его. Без согласия оператор персональных данных обрабатывает сведения в следующих случаях:
- это нужно для исполнения обязанностей, которые на него возложил закон;
- это нужно для исполнения договора с субъектом или договора, заключаемого по его инициативе;
- это нужно для защиты жизненно важных интересов человека, когда получить согласие невозможно;
- это нужно для законных интересов самого оператора, если права субъекта не нарушаются.
Полный перечень занимает пункты 1-11 части 1 статьи 6. На дату публикации действует редакция 152-ФЗ от 26.07.2026.
Основание определяется для каждой цели обработки отдельно. Анкетные сведения одного и того же кандидата для оформления на работу и для проверки службой безопасности опираются на разные нормы. Подтверждаются они тоже разными документами:
| Цель обработки | Основание по 152-ФЗ | Что подтверждает право |
|---|---|---|
| Кадровый учёт, расчёт зарплаты, отчётность в СФР | п. 2 ч. 1 ст. 6: исполнение обязанностей, возложенных на оператора законом | Норма ТК РФ или иного закона, по которой ведётся обработка |
| Исполнение договора, стороной которого выступает субъект | ч. 1 ст. 6: исполнение договора с субъектом или договора, заключаемого по его инициативе | Сам договор |
| Проверка кандидата службой безопасности | Согласие субъекта, ч. 1 ст. 6 и ст. 9 | Отдельное согласие на проверку, подписанное кандидатом до её начала |
| Публикация сведений о работнике для неограниченного круга лиц | Ст. 10.1: согласие на обработку данных, разрешённых для распространения | Отдельное согласие на распространение с перечнем данных по категориям |
Строка о проверке кандидата отличается от остальных: её подтверждает только подписанное согласие самого кандидата. Если согласие отозвано, часть 2 статьи 9 152-ФЗ разрешает продолжить обработку лишь при наличии иного основания из закона. Поэтому кадровый учёт после отзыва продолжается, а проверка службой безопасности прекращается.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Требование действует и тогда, когда проверку проводит внешний подрядчик, а сам кандидат с ним не общается.
Когда согласие собирать не нужно
Приём на работу, расчёт и выплата зарплаты, отчётность в Социальный фонд России идут по пункту 2 части 1 статьи 6 152-ФЗ и нормам Трудового кодекса РФ. Подпись работника под согласием на эти операции компании не нужна. Право на обработку подтверждает сама норма закона, по которой ведётся учёт.
Мария Ж, юрист со стажем более 20 лет: «Для большинства кадровых процессов согласие не требуется. Приём, расчёт зарплаты и отчётность в СФР работодатель ведёт по пункту 2 части 1 статьи 6 152-ФЗ и нормам ТК РФ, то есть на основании закона. Прежде чем раздавать сотрудникам бланки, распишите, на какой норме держится каждая операция. Согласие оформляйте только там, где такой нормы нет.»
Откройте согласие, которое подписывается в пакете документов при приёме, и сверьте перечисленные в нём цели с нормами закона. Отдельное согласие нужно только для тех целей, у которых основания в законе нет.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как оформить согласие на обработку персональных данных, чтобы оно стало доказательством
По части 1 статьи 9 152-ФЗ согласие должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным. Форма может быть любой, если она позволяет подтвердить факт получения согласия. Исключение составляют случаи, когда федеральный закон требует письменной формы.
С 1 сентября 2025 года та же часть 1 статьи 9 требует оформлять согласие отдельно от иных информации и документов, которые субъект подтверждает или подписывает. Изменение внёс Федеральный закон от 24.06.2025 № 156-ФЗ. Бумажная форма при этом не стала обязательной: правило о форме, позволяющей подтвердить согласие, продолжает действовать. Согласие, включённое пунктом в текст договора или заявления, требованию об отдельном оформлении не отвечает.
Полезно знать: кандидат может не знать, когда и какими способами идёт онлайн-проверка службой безопасности, но документ, разрешающий её, он подписывает до начала. Очное собеседование со службой безопасности проводится выборочно, если после онлайн-проверки остались спорные моменты.
Что указать в письменном согласии
Часть 4 статьи 9 перечисляет сведения для случаев, когда федеральный закон требует письменного согласия. Такое согласие включает:
- данные субъекта персональных данных, а при подписании через представителя также данные представителя и подтверждение его полномочий;
- наименование и адрес оператора;
- цель обработки;
- перечень персональных данных, на обработку которых даётся согласие;
- сведения о лице, которое обрабатывает данные по поручению оператора, если обработка поручена;
- перечень действий с данными и описание способов обработки;
- срок, в течение которого действует согласие, и способ его отзыва;
- подпись субъекта.
Для любого согласия этот перечень универсальным шаблоном не служит. Но там, где письменная форма обязательна, несоблюдение обязательных сведений образует отдельный состав по части 2 статьи 13.11 КоАП РФ. По той же части 4 статьи 9 электронный документ, подписанный электронной подписью в соответствии с федеральным законом, равнозначен бумажному согласию с собственноручной подписью.
В сервисе Добыто документ подписывают на сайте. Порядок такой: загрузить файл, выбрать электронную подпись и подтвердить подписание. Среди вариантов есть откреплённая подпись, которая сохраняется отдельным файлом. Перед подписанием проверьте, что согласие загружено самостоятельным файлом, а не страницей внутри пакета кадровых документов.
Согласие на распространение оформляется отдельно
Если компания публикует сведения о работнике для неограниченного круга лиц, нужно ещё одно согласие: на обработку данных, разрешённых субъектом для распространения. Часть 1 статьи 10.1 152-ФЗ введена Федеральным законом от 30.12.2020 № 519-ФЗ. Она требует оформлять такое согласие отдельно от иных согласий, а оператор обязан дать человеку возможность определить перечень данных по каждой категории. Требования к содержанию этого согласия устанавливает Роскомнадзор на основании части 9 статьи 9.
Формулировки статей 9, 10.1 и 22 удобно сверять по тексту 152-ФЗ на сайте Минтруда России. При сверке смотрите дату редакции: на дату публикации актуальна редакция от 26.07.2026.
Проверьте электронную подпись на подписанном согласии
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Уведомление Роскомнадзора: когда подавать и кого закон освобождает
Оператор уведомляет Роскомнадзор о намерении обрабатывать персональные данные до начала обработки (часть 1 статьи 22 152-ФЗ). На дату публикации часть 2 статьи 22 называет такие исключения:
- обработка только без средств автоматизации;
- обработка в государственных информационных системах в целях защиты безопасности государства и общественного порядка;
- обработка, предусмотренная законодательством о транспортной безопасности, в целях защиты транспортного комплекса.
Компания, которая ведёт кадры в 1С, электронных таблицах или сервисе КЭДО, под первое исключение не подпадает: она обрабатывает данные с использованием средств автоматизации.
Уведомление включает, в частности:
- цели обработки;
- меры защиты;
- ответственного за организацию обработки;
- дату начала обработки;
- срок или условие её прекращения;
- сведения о трансграничной передаче;
- местонахождение базы данных.
Для каждой цели отдельно указываются категории субъектов и данных, правовое основание, действия с данными и способы обработки (части 3 и 3.1 статьи 22). По сути это та же разбивка по целям и основаниям, которую компания предъявляет как доказательство по части 3 статьи 9. Если сведения изменились, оператор сообщает об этом не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли (часть 7 статьи 22).
Сведения реестра операторов открыты по части 4 статьи 22. Факт уведомления своей компании или подрядчика проверяется в реестре операторов на портале персональных данных Роскомнадзора. Через тот же портал подаётся уведомление.
Мария Ж, HR-эксперт с 13-летним стажем: «Когда работодатель передаёт кандидатов на проверку внешней службе безопасности, к ней предъявляются те же базовые требования, что и к любому оператору: уведомление Роскомнадзора и согласие кандидата на обработку. Согласие получает заказчик. Исполнитель начинает работу, только убедившись, что согласие есть. До первой передачи данных найдите подрядчика в реестре операторов и приложите к заявке подписанное кандидатом согласие.»
Какие документы доказывают законность обработки при проверке
Часть 3 статьи 9 152-ФЗ возлагает на оператора обязанность представить доказательство одного из двух видов: получения согласия либо наличия основания из пунктов 2-11 части 1 статьи 6, части 2 статьи 10 или части 2 статьи 11. Доказательство собирается по каждой цели обработки. Одно общее согласие на любые цели не выполняет требования конкретности и предметности из части 1 статьи 9.
Как подтвердить право на обработку персональных данных: пошаговая инструкция
- Шаг 1. Составьте перечень целей обработки: кадровый учёт и зарплата, отчётность в СФР, исполнение договоров, проверка кандидатов, публикация сведений о работниках. По каждой цели выпишите категории субъектов и состав данных.
- Шаг 2. Для каждой цели определите основание из части 1 статьи 6 152-ФЗ. Если основание — закон или договор, зафиксируйте конкретную норму или договор, на которые опирается обработка.
- Шаг 3. Там, где основанием служит согласие, оформите его отдельным документом. Если закон требует письменной формы, проверьте наличие всех сведений из части 4 статьи 9. Для публикации данных подготовьте отдельное согласие на распространение по статье 10.1.
- Шаг 4. Если данные передаются подрядчику, найдите его в реестре операторов. В письменном согласии укажите подрядчика как лицо, которое обрабатывает данные по поручению оператора.
- Шаг 5. Подайте уведомление в Роскомнадзор до начала обработки либо зафиксируйте, под какое исключение из части 2 статьи 22 подпадает компания. Об изменениях сведений сообщайте не позднее 15-го числа следующего месяца.
- Шаг 6. Храните подписанные согласия и документы по основаниям так, чтобы предъявить их по запросу. Бумажные согласия хранятся с собственноручной подписью, электронные — вместе с электронной подписью.
Внутренние правила обработки персональных данных фиксируют, как данные передаются, где хранятся и как обрабатываются. Этот документ описывает порядок, которому сотрудники следуют на практике.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Правила обработки персональных данных имеют смысл, если их выполняют. Регламент, написанный для папки, не меняет того, как данные на деле передаются, хранятся и обрабатываются. Сверьте утверждённые правила с фактическим движением документов в отделе кадров и устраните расхождения.»
Где хранить доказательства, компания решает до первого запроса. В КЭДО Добыто на тарифе «Бизнес» подписанные документы хранятся в электронном архиве. Модуль для 1С:ЗУП синхронизирует документы автоматически. Проверьте, что к каждому электронному согласию в архиве приложена электронная подпись и что цель в согласии совпадает с целью из уведомления.
Коммерческая тайна не подтверждает право на обработку
По закону о коммерческой тайне (98-ФЗ) режим коммерческой тайны считается установленным только после того, как обладатель информации принял меры из части 1 статьи 10. К ним относятся:
- определение перечня сведений;
- ограничение доступа;
- учёт лиц, получивших доступ;
- договорное регулирование;
- нанесение на носители и документы грифа «Коммерческая тайна».
Гриф без остальных мер режима не создаёт. Для подтверждения права на обработку часть 3 статьи 9 152-ФЗ требует согласия или основания из перечня закона о персональных данных. Режим коммерческой тайны в этот перечень не входит. Он ограничивает доступ к сведениям, но законность их обработки не подтверждает. Если кадровые документы помечены грифом, проверьте, что основание обработки для них всё равно определено по статье 6 152-ФЗ.
Образцы и бланки согласий на обработку персональных данных
Начните с общего согласия на обработку и перед подписанием сверьте его поля с перечнем части 4 статьи 9 152-ФЗ.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных (DOCX) | Скачать |
| Согласие на проверку службой безопасности (DOCX) | Скачать |
| Правила обработки персональных данных (PDF) | Скачать |
Проверка кандидата подрядчиком: как подтвердить согласие и передачу данных
Важный нюанс из практики: внешняя служба безопасности получает основные данные кандидата от работодателя: ФИО, дату рождения, ИНН и паспортные данные. Работодатель, в свою очередь, получает их от кандидата вместе с согласием на обработку. Подписанное согласие хранится у заказчика проверки, и подрядчик продолжает работу, только увидев, что оно есть.
Базовый набор проверки кандидата включает:
- судимость и административные правонарушения;
- задолженности по налогам и перед банками, а также наличие в стоп-листах банков;
- исполнительные производства в ФССП;
- розыск МВД;
- действительность паспорта и водительского удостоверения;
- аффилированность кандидата и его родственников с другими организациями.
Согласие должно быть предметным (часть 1 статьи 9 152-ФЗ), поэтому перечень проверок сверяют с текстом согласия до начала работы.
Общей базы результатов проверок у служб безопасности нет: каждая проверяет только своих кандидатов. Согласие, подписанное у прошлого работодателя, новой компании не помогает, потому что в нём указан другой оператор. В шаблонах Добыто согласие на проверку службой безопасности оформлено отдельным документом от общего согласия на обработку персональных данных.
Важный нюанс из практики: автоматизированные отчёты по физическим лицам смешивают однофамильцев и записи с ошибкой в одной букве фамилии. Сведения из таких отчётов сверяют вручную до того, как служба безопасности готовит заключение. Решение по кандидату принимает заказчик, а заключение носит характер рекомендации.
Мария Ж, руководитель HR-отдела: «Внешней службе безопасности незачем хранить сведения о кандидате после передачи отчёта. Их удаляют по истечении определённого срока, и вся информация остаётся у заказчика. Получается, что доказательства по проверке, то есть согласие и заключение, находятся у самого работодателя. Срок удаления данных подрядчиком закрепите в договоре.»
Лайфхак: способ передачи персональных данных кандидатов подрядчику, будь то защищённая почта или носитель, согласуйте при заключении договора. Круг получателей ограничьте контактными лицами заказчика и исполнителя.
Перед первой заявкой откройте договор с подрядчиком и проверьте, зафиксированы ли в нём канал передачи данных и срок их удаления.
Штрафы по статье 13.11 КоАП РФ за неподтверждённое право на обработку
Размеры штрафов повышены Федеральным законом от 30.11.2024 № 420-ФЗ и действуют с 30.05.2025. На дату публикации действует редакция КоАП РФ от 04.08.2026.
| Нарушение | Норма КоАП РФ | Штраф |
|---|---|---|
| Обработка в случаях, не предусмотренных законом, или обработка, несовместимая с целями сбора | ч. 1 и 1.1 ст. 13.11 | Юрлицу 150 000-300 000 руб.; повторно 300 000-500 000 руб. |
| Обработка без письменного согласия, когда закон требует письменной формы, или согласие без обязательных сведений | ч. 2 и 2.1 ст. 13.11 | Юрлицу 300 000-700 000 руб.; повторно 1 000 000-1 500 000 руб. |
| Неподача уведомления в Роскомнадзор или подача с опозданием | ч. 10 ст. 13.11 | Юрлицу 100 000-300 000 руб.; должностному лицу 30 000-50 000 руб. |
Наибольшие суммы предусмотрены по частям 2 и 2.1, но они применяются только там, где закон требует письменного согласия. К любому спору о согласии этот состав автоматически не относится. Неподача уведомления образует отдельный состав по части 10. Компания с законным основанием обработки, но без записи в реестре операторов, нарушает именно эту норму. Сверьте свою карту целей со строками таблицы: для каждой цели должны найтись норма закона или подписанное согласие, а для компании в целом — запись в реестре.
Стоимость КЭДО для подписания и хранения согласий: тарифы 2026 года
Стоимость сервиса, в котором подписываются и хранятся согласия, зависит от трёх параметров: численности сотрудников, нужных видов электронной подписи и требований к интеграции с 1С и хранению документов.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП подписи, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив, приоритетная поддержка | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Интеграция с 1С:ЗУП (в составе тарифа «Бизнес») | входит в тариф | установка и настройка за один день |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
| УКЭП для сотрудников через партнёров — удостоверяющие центры | по запросу | по запросу |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
Тариф можно повысить или понизить в любое время. При повышении разница пересчитывается пропорционально оставшемуся периоду. Состав каждого тарифа и условия подключения опубликованы на странице тарифов КЭДО Добыто.
Выводы
Законность обработки персональных данных доказывает компания, и доказательство собирается под каждую цель. Для кадрового учёта и зарплаты достаточно нормы ТК РФ. Для проверки кандидата нужно отдельное подписанное согласие, а для публикации сведений о работнике — ещё и согласие на распространение. Уведомление Роскомнадзора подаётся до начала обработки и обновляется при изменениях. Согласие, встроенное в текст другого документа, после 1 сентября 2025 года требованию об отдельном оформлении не отвечает.
В КЭДО Добыто согласия и кадровые документы подписываются электронной подписью сотрудников и хранятся в электронном архиве. Подписанное согласие и сведения о его подписании остаются в одной системе на случай запроса.
Частые вопросы о подтверждении права на обработку персональных данных
Нужно ли переоформлять согласия, полученные до 1 сентября 2025 года?
Требование об отдельном оформлении внесено в часть 1 статьи 9 152-ФЗ Федеральным законом № 156-ФЗ и действует с 1 сентября 2025 года. Официальных разъяснений Роскомнадзора о том, обязаны ли операторы переоформлять ранее полученные согласия, на дату публикации нет. Если старое согласие включено в текст анкеты или договора, а обработка по этой цели продолжается, надёжнее получить новое согласие отдельным документом. Доказывать получение согласия по части 3 статьи 9 придётся оператору.
Достаточно ли галочки о согласии в анкете кандидата?
С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые субъект подтверждает или подписывает. Галочка внутри анкеты остаётся частью анкеты, поэтому её соответствие требованию об отдельном оформлении спорно. Для проверки кандидата службой безопасности нужен отдельный подписанный документ: без него проверка неправомерна.
Освобождает ли небольшой штат от уведомления Роскомнадзора?
Нет. С 1 сентября 2022 года Федеральный закон от 14.07.2022 № 266-ФЗ отменил прежние исключения из пунктов 1-6 части 2 статьи 22 152-ФЗ. Среди действующих исключений численность работников не названа. Компания из нескольких человек, которая ведёт кадры в 1С или электронных таблицах, подаёт уведомление на общих основаниях.
Что происходит, если в согласии на распространение не отмечены данные для публикации?
По части 1 статьи 10.1 152-ФЗ оператор обязан дать субъекту возможность определить перечень данных по каждой категории. Если согласие не разрешает распространение, оператор обрабатывает эти данные без права распространять их. Общее согласие на обработку публикацию сведений о работнике на сайте не покрывает: согласие на распространение оформляется отдельно от иных согласий.
Можно ли включить согласие на обработку персональных данных пунктом в трудовой договор?
С 1 сентября 2025 года нельзя. Часть 1 статьи 9 152-ФЗ требует оформлять согласие отдельно от иных документов, которые субъект подписывает, а трудовой договор относится к таким документам. Для обработки, связанной с кадровым учётом, зарплатой и отчётностью, согласие и не требуется: основание дают пункт 2 части 1 статьи 6 152-ФЗ и нормы ТК РФ. Отдельное согласие готовят для целей, которые выходят за рамки обязанностей работодателя по закону.
Что сообщить Роскомнадзору, если компания прекратила обработку персональных данных?
О прекращении обработки оператор уведомляет Роскомнадзор в течение 10 рабочих дней (часть 7 статьи 22 152-ФЗ). Изменения остальных сведений уведомления подаются в другой срок: не позднее 15-го числа месяца, следующего за месяцем, в котором они возникли. Сведения подаются через портал персональных данных Роскомнадзора, где ведётся реестр операторов.
