Правовая обработка персональных данных в компании держится на трёх опорах: у каждой цели есть одно из оснований части 1 статьи 6 152-ФЗ, компания стоит в реестре операторов Роскомнадзора и утвердила документы по статье 18.1 закона, а объём данных не выходит за пределы цели. Для кадровых задач основанием служат ТК РФ, налоговое законодательство и трудовой договор, поэтому согласие работника на оформление, расчёт зарплаты и отчётность в СФР и ФНС не требуется. Согласие нужно там, где закона не хватает: передача данных третьим лицам, фото на сайте, проверка кандидата, кадровый резерв. С 1 сентября 2025 года его оформляют отдельным документом. Основание по закону не зависит от воли работника, а согласие он вправе отозвать, и тогда обработку по этой цели прекращают в течение 30 дней.
Материал помогает разложить операции с данными по основаниям и увидеть, где согласие обязательно, а где оно добавляет риск. Покажем 9 обязательных реквизитов бланка согласия, порядок уведомления Роскомнадзора и границу между персональными данными и коммерческой тайной. Таблица штрафов по статье 13.11 КоАП в редакции 2025 года, сроки уничтожения данных, образцы документов и ответы на частые вопросы — во второй половине статьи.
Правовые основания обработки персональных данных по статье 6 152-ФЗ
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» разрешает обрабатывать данные только при наличии хотя бы одного основания из закрытого перечня части 1 статьи 6. Согласие субъекта стоит в этом перечне первым, но это одно из оснований, а не обязательное условие любой обработки. При проверке Роскомнадзор смотрит на связку «цель — основание — состав данных»: для каждой цели должно быть понятно, по какому пункту статьи 6 компания работает и почему ей нужен именно такой набор сведений.
Принципы статьи 5 закона задают рамку для любого основания. Обработка ограничивается конкретными, заранее определёнными и законными целями. Объединять базы данных, созданные для несовместимых целей, нельзя. Содержание и объём данных соответствуют заявленной цели, избыточные данные не собираются. Хранение в форме, позволяющей определить человека, длится не дольше, чем этого требует цель, если срок не установлен законом или договором.
Основания, с которыми компания сталкивается на практике, сведены в таблицу. В ней указано, в каких кадровых ситуациях каждое из них работает.
| Основание (ч. 1 ст. 6 152-ФЗ) | Пример в компании | Нужно ли отдельное согласие |
|---|---|---|
| П. 1 — согласие субъекта | Кадровый резерв, публикация фото сотрудника на сайте, проверка кандидата внешней службой безопасности | Да, само согласие и есть основание |
| П. 2 — исполнение обязанностей, возложенных законом | Ведение личной карточки, воинский учёт, отчётность в СФР и ФНС, ЕФС-1, НДФЛ | Нет |
| П. 3 — правосудие, исполнение судебного акта | Удержания по исполнительному листу, ответ на запрос суда | Нет |
| П. 5 — исполнение или заключение договора с субъектом | Трудовой договор, договор ГПХ, договор с самозанятым | Нет, в пределах исполнения договора |
| П. 6 — защита жизни и здоровья субъекта | Передача сведений врачам при несчастном случае на производстве | Нет, если получить согласие невозможно |
| П. 7 — права и законные интересы оператора или третьих лиц | Защита компании в трудовом споре | Нет, при условии, что права субъекта не нарушаются |
| П. 9 — статистические и исследовательские цели | Аналитика текучести, опрос вовлечённости | Нет, только при обязательном обезличивании |
Для трудовых отношений основная нагрузка лежит на пунктах 2 и 5: закон и трудовой договор покрывают почти весь цикл кадрового учёта. Согласие закрывает только то, что выходит за их пределы. Проверьте свой перечень целей обработки: у каждой цели должен быть назван конкретный пункт статьи 6, и этот пункт указывается в политике обработки персональных данных.
Когда работодателю нужно согласие на обработку персональных данных, а когда нет
Статья 86 ТК РФ требует получать все персональные данные работника у него самого. Если сведения можно получить только у третьей стороны, работника заранее уведомляют об этом и берут письменное согласие. Там же установлены запреты: работодатель не вправе получать и обрабатывать данные о политических и религиозных убеждениях, частной жизни, членстве в общественных объединениях и профсоюзной деятельности, если иное не предусмотрено ТК РФ или федеральными законами. Статья 88 ТК РФ запрещает сообщать данные работника третьей стороне без его письменного согласия, кроме случаев предупреждения угрозы жизни и здоровью и случаев, прямо указанных в законе.
Отсюда складывается практическая карта: одни операции идут без согласия, другие без него незаконны. Сценарии с разными основаниями показаны в таблице.
| Ситуация | Согласие | Норма и условие |
|---|---|---|
| Оформление приёма, личная карточка, табель, расчёт зарплаты | Не нужно | Пп. 2 и 5 ч. 1 ст. 6 152-ФЗ, ТК РФ |
| Сведения в СФР, ФНС, военкомат | Не нужно | Обязанность установлена федеральным законом |
| Передача данных в банк для зарплатной карты | Не нужно, если передача предусмотрена трудовым или коллективным договором; иначе нужно | Ст. 88 ТК РФ |
| Фото, ФИО и должность сотрудника на сайте компании | Нужно отдельное согласие на распространение | Ст. 10.1 152-ФЗ |
| Резюме, которое кандидат прислал сам | Не нужно на время рассмотрения кандидатуры | Действия кандидата направлены на заключение договора |
| Кандидат после отказа остаётся в кадровом резерве | Нужно | Цель рассмотрения достигнута, новая цель требует нового основания |
| Проверка кандидата службой безопасности, в том числе внешней | Нужно письменное | Ст. 86 ТК РФ: сведения от третьих лиц; ч. 3 ст. 6 152-ФЗ при поручении обработки |
| Сведения о здоровье | Только в объёме, который относится к возможности выполнять трудовую функцию | Ст. 88 ТК РФ, ст. 10 152-ФЗ |
Смена цели всегда проверяется заново. Резюме, законно полученное для конкретной вакансии, после отказа кандидату нельзя молча перевести в базу резерва: для этого нужно согласие, иначе данные уничтожают в течение 30 дней после достижения цели по части 4 статьи 21 152-ФЗ.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Согласие берёт работодатель до того, как данные уходят проверяющему.
Когда согласие не нужно и создаёт лишний риск
Согласие на обработку данных, которые компания и так обязана обрабатывать по закону, не добавляет законности. Оно создаёт ложное ожидание у работника: если он отзовёт такое согласие, работодатель всё равно продолжит вести личную карточку и сдавать отчётность, потому что часть 2 статьи 9 152-ФЗ разрешает обработку без согласия при наличии оснований из пунктов 2-11 части 1 статьи 6. Работник видит в этом нарушение и идёт с жалобой в Роскомнадзор.
Второе ограничение: согласие не легализует избыточный сбор. Если данные не нужны для заявленной цели, например копия свидетельства о браке у сотрудника, который не оформляет никаких вычетов и льгот, подпись работника под согласием нарушение не снимает. Принцип соответствия объёма данных цели из статьи 5 действует при любом основании. Прежде чем добавлять пункт в бланк согласия, ответьте на вопрос: есть ли у этой операции основание в законе или договоре. Если есть, согласие для неё не нужно.
Согласие на обработку персональных данных: требования к бланку в 2026 году
С 1 сентября 2025 года часть 1 статьи 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ требует оформлять согласие отдельно от иной информации и документов, которые подтверждает или подписывает субъект. Пункт «работник даёт согласие на обработку персональных данных» внутри трудового договора, анкеты или заявления о приёме больше не работает как согласие. По той же статье согласие должно быть конкретным, предметным, информированным, сознательным и однозначным: общая формулировка «для любых целей, связанных с деятельностью компании» этим критериям не отвечает.
Письменное согласие по части 4 статьи 9 содержит 9 обязательных реквизитов. Бланк без любого из них Роскомнадзор оценивает как согласие, полученное с нарушением:
- ФИО и адрес субъекта, номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган.
- ФИО и адрес представителя субъекта, реквизиты доверенности или иного документа о полномочиях, если согласие даёт представитель.
- Наименование или ФИО и адрес оператора, который получает согласие.
- Цель обработки персональных данных.
- Перечень персональных данных, на обработку которых даётся согласие.
- Наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если обработка будет ему поручена.
- Перечень действий с данными и общее описание способов обработки, которые использует оператор.
- Срок, в течение которого действует согласие, и способ его отзыва, если иное не установлено федеральным законом.
- Подпись субъекта персональных данных.
Для каждой самостоятельной цели удобнее отдельный бланк: согласие на проверку кандидата, согласие на кадровый резерв, согласие на передачу данных в добровольное медицинское страхование. Если цели собраны в одном документе, отзыв по одной из них ставит под вопрос весь бланк, а в перечне данных неизбежно появляются лишние позиции.
Согласие на распространение и особые категории данных
Согласие на обработку данных, разрешённых субъектом для распространения, по статье 10.1 152-ФЗ оформляется отдельно от других согласий. Требования к его содержанию утверждены приказом Роскомнадзора от 24.02.2021 № 18. В таком согласии человек вправе установить запреты и условия: например, разрешить публикацию фото и должности, но запретить передачу этих сведений неограниченному кругу лиц. Молчание или бездействие субъекта согласием на распространение не считается. Это согласие нужно для публикации фото сотрудника на сайте, в карточке эксперта, в корпоративных соцсетях.
Сведения о здоровье, расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, интимной жизни относятся к специальным категориям по статье 10. Биометрические данные, по которым устанавливают личность, регулирует статья 11. Для обеих групп согласие требуется в письменной форме, а круг случаев обработки без согласия уже, чем у обычных данных.
Электронное согласие и подпись
Часть 4 статьи 9 152-ФЗ приравнивает к письменному согласию электронный документ, подписанный электронной подписью по 63-ФЗ. УНЭП и УКЭП признаются равнозначными собственноручной подписи в силу закона. ПЭП получает такую силу, только если это прямо предусмотрено соглашением между участниками электронного взаимодействия или ЛНА о КЭДО по части 2 статьи 6 63-ФЗ. Отметка в чекбоксе на сайте подходит для согласий, для которых письменная форма не требуется, но не заменяет письменное согласие на проверку кандидата или на обработку специальных категорий.
В КЭДО Добыто согласие уходит сотруднику отдельным документом и подписывается ПЭП или УНЭП, которые для сотрудников выпускаются без доплаты на всех тарифах. Требование части 1 статьи 9 об отдельном оформлении выполняется самим маршрутом: согласие не встроено в трудовой договор и не теряется среди других файлов пакета приёма.
Соберите согласие на обработку персональных данных под свою цель
Оператор персональных данных: уведомление Роскомнадзора и обязательные документы
Любая компания, у которой есть хотя бы один работник, является оператором персональных данных. С 1 сентября 2022 года из части 2 статьи 22 152-ФЗ исключены основания, которые раньше освобождали работодателей от уведомления, включая обработку данных в рамках трудового законодательства. Уведомление о намерении обрабатывать данные подаётся до начала обработки. Если компания работает с сотрудниками, но в реестре операторов её нет, это отдельное нарушение, не связанное с тем, как именно она обрабатывает данные.
Уведомление заполняют на портале персональных данных Роскомнадзора: там размещены электронные формы уведомления о намерении обрабатывать данные, об изменении сведений и о прекращении обработки, а также инструкция по заполнению. Форму можно подать на бумаге, в электронном виде с квалифицированной подписью или через ЕСИА. В уведомлении указывают, среди прочего, цели обработки, категории данных и субъектов, правовое основание, меры защиты и место нахождения базы данных. Правовое основание в уведомлении должно совпадать с тем, что записано в политике: расхождение становится первым вопросом при проверке.
Статья 18.1 закона обязывает оператора утвердить документ о политике обработки персональных данных и локальные акты по вопросам обработки, назначить ответственного, организовать внутренний контроль, оценить вред, который может быть причинён субъектам, и ознакомить работников с требованиями законодательства и внутренними документами. Политику публикуют на сайте, если данные собираются через интернет, или иным способом обеспечивают к ней неограниченный доступ. Пункт 8 статьи 86 ТК РФ отдельно требует знакомить работников под роспись с документами работодателя, которые устанавливают порядок обработки их данных. Ответственный за организацию обработки назначается приказом по статье 22.1, его ФИО и контакты указывают в уведомлении.
Мария Ж, юрист со стажем более 20 лет: «Регламенты по персональным данным имеют смысл, только если их выполняют. Документ, написанный для папки, при проверке ничего не защищает. Компании нужны три вещи, прописанные на уровне своей реальной работы: как данные передаются, как хранятся и как обрабатываются. Перечитайте свою политику и сверьте её с тем, как HR-специалисты на самом деле пересылают анкеты и сканы паспортов.»
Меры защиты по статье 19 152-ФЗ зависят от того, где и как хранятся данные. Оценку вреда проводят по требованиям приказа Роскомнадзора от 27.10.2022 № 178. В электронном кадровом документообороте в эту оценку входят аутентификация пользователя, защищённый канал обмена, подписание и хранение документов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Платформа Добыто построена по требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ, но статус оператора остаётся за работодателем. Уведомление в Роскомнадзор, политику и приказ о назначении ответственного компания оформляет сама, а в договоре с сервисом КЭДО фиксируется поручение обработки по части 3 статьи 6 закона.
Полезно знать: внешняя служба безопасности, которая проверяет кандидатов, сама должна быть оператором персональных данных с уведомлением в Роскомнадзоре. Перед передачей данных проверьте её наличие в реестре операторов.
Как выстроить законную обработку персональных данных в компании: пошаговая инструкция
- Шаг 1. Составьте перечень процессов, в которых появляются персональные данные: подбор, приём, кадровый учёт, зарплата, обучение, пропускной режим, сайт. Для каждого процесса запишите состав данных, категории субъектов и место хранения.
- Шаг 2. Для каждой цели определите основание из части 1 статьи 6 152-ФЗ и срок хранения. Цель без основания либо закрывается согласием, либо прекращается.
- Шаг 3. Назначьте приказом ответственного за организацию обработки персональных данных по статье 22.1 закона.
- Шаг 4. Утвердите политику обработки персональных данных и ЛНА: правила обработки, перечень допущенных лиц, порядок уничтожения. Опубликуйте политику на сайте.
- Шаг 5. Проведите оценку вреда по приказу Роскомнадзора № 178 и определите меры защиты по статье 19.
- Шаг 6. Подайте уведомление в Роскомнадзор до начала обработки. При изменении сведений подайте уведомление об изменении.
- Шаг 7. Соберите согласия там, где нет другого основания, каждое отдельным документом.
- Шаг 8. Ознакомьте работников под роспись с документами о порядке обработки данных и запланируйте внутренний контроль.
Образцы согласий и правил обработки персональных данных
Начните с общего согласия на обработку персональных данных, а согласие на проверку службой безопасности используйте только для кандидатов, которых действительно проверяют.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных, образец в формате DOCX | Скачать |
| Согласие кандидата на проверку службой безопасности, образец в формате DOCX | Скачать |
| Правила обработки персональных данных, образец в формате PDF | Скачать |
Передача персональных данных третьим лицам и поручение обработки
Передача данных работника внешней организации без его письменного согласия запрещена статьёй 88 ТК РФ, кроме случаев, прямо установленных законом: СФР, ФНС, военкомат, суд, ГИТ в рамках проверки. Бухгалтерия на аутсорсинге, облачная кадровая система, внешний рекрутер, служба безопасности, страховая компания по ДМС получают данные уже не по закону, а по решению работодателя, и для каждой такой передачи нужно основание.
Если компания поручает обработку другому лицу, часть 3 статьи 6 152-ФЗ требует согласия субъекта, если иное не предусмотрено законом, и договора или иного акта с поручением. В поручении определяют перечень действий с данными и цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность по статье 19, обязанность по запросу оператора подтверждать выполнение требований и уведомлять его об инцидентах. За действия исполнителя перед работником отвечает оператор (часть 5 статьи 6), исполнитель отвечает перед оператором. Наименование и адрес исполнителя указывают в согласии, это шестой реквизит из части 4 статьи 9.
При сборе данных граждан России, в том числе через интернет, запись, систематизация и хранение идут в базах данных на территории России по части 5 статьи 18. Если данные передаются иностранному сервису или контрагенту, о трансграничной передаче по статье 12 уведомляют Роскомнадзор отдельно от основного уведомления. Перед подключением любого внешнего HR-сервиса сверьте три вещи: где физически хранятся данные, есть ли у исполнителя уведомление в реестре операторов и прописано ли поручение в договоре.
Проверка кандидата службой безопасности: что законно
Проверка кандидата — типичный случай, когда работодатель получает сведения не от самого человека, а из баз и от третьих лиц. Статья 86 ТК РФ требует заранее уведомить кандидата и получить его письменное согласие. Без согласия законно только то, что кандидат сам предъявил при приёме: паспорт, документы об образовании, трудовую книжку или сведения о трудовой деятельности, документы воинского учёта. Запросы о частной жизни, убеждениях и здоровье сверх вопроса о возможности выполнять трудовую функцию остаются за пределами проверки при любом согласии.
Мария Ж, HR-эксперт с 13-летним стажем: «Внешний проверяющий начинает работу только тогда, когда видит, что согласие кандидата получено. Схема такая: заказчик берёт согласие у кандидата, служба безопасности убеждается, что оно есть, и тогда проверка идёт без нарушения закона. К любой службе безопасности на аутсорсинге два базовых требования: статус оператора персональных данных с уведомлением Роскомнадзора и согласие субъекта. Запросите у подрядчика подтверждение обоих пунктов до того, как отправлять ему анкеты.»
Факт: основные данные для проверки — ФИО, дату рождения, ИНН, паспортные данные — внешней службе безопасности передаёт работодатель. Работодатель получает их от кандидата вместе с согласием на обработку, других личных данных проверяющий от компании не получает.
Важный нюанс из практики: автоматизированные сервисы проверки выдают совпадения по однофамильцам и по ошибке в одной букве фамилии. В одном случае отчёт показал штрафы на 100 000 руб. в сумме, а на деле это были штрафы всех людей с теми же фамилией, именем и отчеством по России. Часть 6 статьи 5 152-ФЗ обязывает оператора обеспечить точность и актуальность данных, поэтому любой стоп-фактор из автоматического отчёта сверяют с датой рождения и паспортными данными до решения по кандидату.
Порядок проверки кандидата без нарушения 152-ФЗ
Согласие на проверку подписывается после получения анкеты и до первого запроса в базы. В нём называют цель проверки, перечень источников и данных, исполнителя, если проверку проводит внешняя организация, и срок хранения результатов. Заключение службы безопасности носит рекомендательный характер: решение о приёме принимает работодатель.
Важный нюанс из практики: кандидат обычно не видит отчёт службы безопасности, а причины отказа по этой линии ему, как правило, не называют. При этом статья 14 152-ФЗ даёт ему право запросить у оператора сведения об обработке своих данных, включая их источник, а часть 5 статьи 64 ТК РФ обязывает работодателя сообщить причину отказа в приёме письменно не позднее 7 рабочих дней со дня требования. Ответ на запрос по статье 14 готовят с расчётом на то, что его прочитает Роскомнадзор.
Персональные данные и коммерческая тайна: где проходит граница
Персональные данные конфиденциальны в силу закона: статья 7 152-ФЗ запрещает оператору и лицам, получившим доступ, раскрывать и распространять их без согласия субъекта, если иное не предусмотрено законом. Никакого специального режима для этого вводить не нужно. Коммерческая тайна устроена иначе: по Федеральному закону от 29.07.2004 № 98-ФЗ «О коммерческой тайне» режим появляется, только когда обладатель информации сам его установил. Статья 10 98-ФЗ требует определить перечень сведений, ограничить доступ, вести учёт допущенных лиц, урегулировать отношения с работниками и контрагентами в договорах и нанести гриф «Коммерческая тайна» с указанием обладателя.
Статья 5 98-ФЗ перечисляет сведения, которые нельзя сделать коммерческой тайной. Среди них численность и состав работников, система оплаты труда, условия труда, включая охрану труда, показатели травматизма и профессиональной заболеваемости, наличие свободных рабочих мест. Отказ в предоставлении таких сведений контролирующему органу со ссылкой на коммерческую тайну незаконен. При этом конкретная зарплата конкретного работника остаётся его персональными данными и защищается по 152-ФЗ.
Оба режима сходятся в трудовом договоре. Часть 4 статьи 57 ТК РФ допускает включение условия о неразглашении охраняемой законом тайны, а подпункт «в» пункта 6 части 1 статьи 81 ТК РФ называет основанием для увольнения разглашение тайны, ставшей известной работнику в связи с работой, в том числе персональных данных другого работника. Увольнение по этому основанию выдерживает суд, если работник был ознакомлен под роспись с перечнем конфиденциальных сведений и документами о порядке обработки данных. Проверьте, есть ли в ваших трудовых договорах с HR-специалистами, бухгалтерами и руководителями подразделений условие о неразглашении и подписанный лист ознакомления.
Сроки хранения, отзыв согласия и уничтожение персональных данных
Срок хранения определяется целью или законом. Часть 7 статьи 5 152-ФЗ запрещает хранить данные в форме, позволяющей определить человека, дольше, чем этого требует цель, если срок не установлен федеральным законом или договором. Для кадровых документов срок задаёт архивное законодательство: по статье 22.1 Федерального закона от 22.10.2004 № 125-ФЗ документы по личному составу, созданные до 1 января 2003 года, хранятся 75 лет, созданные после этой даты — 50 лет. Согласие работника на такое хранение не требуется, а его отзыв хранение не прекращает.
Сроки реакции оператора установлены статьями 20 и 21 закона:
- цель обработки достигнута — данные уничтожают в течение 30 дней, если иное не предусмотрено договором или законом;
- субъект отозвал согласие — обработку прекращают и данные уничтожают в течение 30 дней, если нет другого основания;
- выявлена неправомерная обработка — её прекращают в течение 3 рабочих дней, а если обеспечить правомерность невозможно, данные уничтожают в течение 10 рабочих дней;
- запрос субъекта о его данных — ответ в течение 10 рабочих дней, срок можно продлить на 5 рабочих дней с мотивированным уведомлением;
- утечка данных — Роскомнадзор уведомляют в течение 24 часов, о результатах внутреннего расследования сообщают в течение 72 часов.
Уничтожение подтверждают документами по требованиям приказа Роскомнадзора от 28.10.2022 № 179: актом об уничтожении, а при автоматизированной обработке ещё и выгрузкой из журнала регистрации событий. Эти документы хранятся 3 года с момента уничтожения. Если акта нет, доказать выполнение требования статьи 21 при проверке нечем.
Мария Ж, судебный эксперт в сфере трудового права: «Добросовестный подрядчик, который проверял кандидата, не держит у себя его данные после завершения работы. Задача выполнена, информация передана заказчику, и через установленный срок данные у исполнителя удаляются, всё остаётся только на стороне работодателя. Пропишите этот срок в договоре поручения и попросите у исполнителя подтверждение уничтожения.»
В тарифе «Бизнес» у Добыто есть электронный архив: подписанные согласия, отзывы и кадровые документы находятся в одном месте, и при запросе Роскомнадзора или ГИТ их не нужно собирать по папкам и почтовым ящикам. Для хранения согласий сверьте две даты по каждому документу: когда истекает срок согласия и когда достигается цель, и назначьте ответственного за уничтожение по каждой из них.
Штрафы Роскомнадзора за обработку персональных данных и цена ошибки
С 30 мая 2025 года статья 13.11 КоАП действует в редакции Федерального закона от 30.11.2024 № 420-ФЗ. Размеры штрафов для юридических лиц по составам, с которыми чаще сталкиваются работодатели, приведены в таблице.
| Нарушение | Часть ст. 13.11 КоАП | Штраф для юрлица |
|---|---|---|
| Обработка без правового основания или несовместимая с целями сбора | Ч. 1 / ч. 1.1 при повторном | 150 000-300 000 руб. / 300 000-500 000 руб. |
| Обработка без письменного согласия, когда оно обязательно, или согласие без обязательных сведений | Ч. 2 / ч. 2.1 при повторном | 300 000-700 000 руб. / 1 000 000-1 500 000 руб. |
| Политика обработки не опубликована, доступ к ней не обеспечен | Ч. 3 | 30 000-60 000 руб. |
| Субъекту не предоставлена информация об обработке его данных | Ч. 4 | 40 000-80 000 руб. |
| Не подано уведомление в Роскомнадзор | Ч. 10 | 100 000-300 000 руб. |
| Утечка данных от 1 000 до 10 000 субъектов | Ч. 12 | 3 000 000-5 000 000 руб. |
Штрафы по разным частям статьи назначаются за разные составы, поэтому одна проверка может закончиться несколькими постановлениями. Компания без уведомления, без опубликованной политики и с согласием внутри трудового договора рискует тремя составами сразу: частями 10, 3 и 2. По верхним границам это 1 060 000 руб. до учёта повторности. За незаконное использование и передачу компьютерной информации, содержащей персональные данные, с 11 декабря 2024 года действует статья 272.1 УК РФ.
Ошибка в оформлении согласия обходится дороже переподписания бланка. Согласие, включённое в трудовой договор после 1 сентября 2025 года, не отвечает требованию об отдельном оформлении, и обработка по цели, которая держится только на нём, оказывается без основания. Переподписание согласий у всего штата, повторная оценка вреда и обновление уведомления занимают время HR-службы, а штраф по части 2 от этого не отменяется. Если согласия собраны до 1 сентября 2025 года внутри других документов, сверьте, какие цели держатся только на них, и переоформите согласия отдельными документами.
Стоимость КЭДО для оформления согласий и хранения кадровых документов
Стоимость зависит от численности сотрудников и нужного набора функций: видов подписи, электронного архива, интеграции с 1С. Тарифы и условия на дату публикации:
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив, приоритетная поддержка | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | в составе тарифа |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма считается от численности сотрудников, которых переводят на электронное подписание, и выбранного тарифа; при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия по каждому тарифу и состав функций приведены на странице тарифов КЭДО Добыто.
Выводы
Законность обработки персональных данных в компании проверяется по каждой цели отдельно: есть ли основание из статьи 6 152-ФЗ, соответствует ли ему объём сведений и срок хранения, отражено ли это в политике и в уведомлении Роскомнадзора. Для большинства кадровых операций основанием служат закон и трудовой договор. Согласие нужно для того, что выходит за их пределы, и с сентября 2025 года оформляется только отдельным документом с 9 обязательными реквизитами. Коммерческая тайна требует введённого режима, а конфиденциальность персональных данных действует без него, но оба режима закрепляются в трудовом договоре и в листах ознакомления.
В Добыто мы переводим на электронное подписание весь кадровый контур, включая отдельные согласия, их отзывы и листы ознакомления с ЛНА, так что документы, которые Роскомнадзор и ГИТ запрашивают при проверке, хранятся в одном архиве и подписаны ПЭП, УНЭП или УКЭП по правилам 63-ФЗ.
Частые вопросы об обработке персональных данных
Нужно ли согласие родственников работника на обработку их данных?
Сведения о детях и супруге, которые работник сам сообщает для стандартного налогового вычета, алиментов, отпуска по уходу за ребёнком или пособий, работодатель обрабатывает во исполнение закона, согласие родственников не требуется. Если данные родственников нужны для цели, которую закон не устанавливает, например для включения в программу ДМС или приглашения на корпоративное мероприятие, согласие берут у самих родственников, а за несовершеннолетних — у законного представителя.
Можно ли получить согласие через форму на сайте?
Можно, если закон не требует письменной формы: часть 1 статьи 9 152-ФЗ допускает согласие в любой форме, позволяющей подтвердить факт его получения. Отметка должна стоять отдельно от согласия с офертой, пользовательским соглашением и рассылкой, иначе нарушается требование об отдельном оформлении, действующее с 1 сентября 2025 года. Бремя доказывания лежит на операторе по части 3 статьи 9, поэтому система сохраняет дату, время и текст согласия, который видел пользователь. Для проверки кандидата и специальных категорий данных отметки в форме недостаточно.
Можно ли указать в согласии, что оно действует бессрочно?
Пункт 8 части 4 статьи 9 152-ФЗ требует указать срок действия согласия и способ его отзыва. Формулировка «бессрочно» этому требованию не отвечает. Срок задают конкретной датой, периодом, например 3 года для кадрового резерва, или событием, связанным с целью, например до окончания рассмотрения кандидатуры на вакансию. По истечении срока данные уничтожают в течение 30 дней, если нет другого основания.
Что делать, если работник отказывается подписать согласие?
Операции, которые идут по закону или трудовому договору, отказ не останавливает: оформление, зарплата, отчётность в СФР и ФНС продолжаются. Операцию, которая держится только на согласии, выполнить нельзя: не публиковать фото, не передавать данные в банк, если это не предусмотрено договором, не включать в ДМС. Отказ в приёме или увольнение из-за отказа дать согласие, которое закон не требует, будет нарушением. Если предоставление данных обязательно по закону, часть 2 статьи 18 152-ФЗ требует разъяснить работнику последствия отказа их предоставить.
Как долго хранить данные уволенного работника?
Приказы, личная карточка, сведения о зарплате и другие документы по личному составу хранятся 50 лет по статье 22.1 125-ФЗ, согласие уволенного работника на это не нужно. Данные, которые не входят в архивные документы, уничтожают в течение 30 дней после достижения цели: учётную запись в корпоративных системах, данные пропуска, фото на сайте, если согласие на распространение было привязано к периоду работы. Уничтожение оформляют актом по приказу Роскомнадзора № 179.
Кто проверяет обработку персональных данных работников: ГИТ или Роскомнадзор?
Оба органа, каждый в своей части. Соблюдение главы 14 ТК РФ, статей 85-90 о персональных данных работника входит в предмет проверок ГИТ, и инспектор может выдать предписание по нарушениям трудового законодательства. Исполнение 152-ФЗ контролирует Роскомнадзор: реестр операторов, политика, согласия, сроки уничтожения, утечки. Административные дела по статье 13.11 КоАП возбуждает Роскомнадзор, поэтому одно и то же нарушение, например передача данных работника третьему лицу без согласия, может стать предметом внимания обоих органов.
