Каким приказом вводится согласие на обработку персональных данных в компании

Согласие на обработку персональных данных в компании вводится приказом руководителя об утверждении формы согласия и порядка его получения — это локальный нормативный акт по статье 8 ТК РФ. Отдельного приказа закон не требует, единой формы для коммерческих компаний нет, а сам приказ не заменяет подписи работника или кандидата: волеизъявление даёт только субъект данных. С 1 сентября 2025 года согласие оформляется отдельно от других документов, которые человек подписывает, а если закон требует письменной формы, в согласие входят 9 реквизитов по части 4 статьи 9 152-ФЗ. Порядок зависит от цели обработки: в пределах целей и перечней трудового законодательства согласие работника не требуется, если объём данных соответствует закону, а для получения данных у третьих лиц, передачи их третьей стороне и распространения нужно письменное или отдельное согласие.

Материал помогает подготовить приказ и форму к нему: какие пункты включить, с кем знакомить под подпись, какой подписью собирать согласия в кадровом электронном документообороте (КЭДО), чтобы электронный документ был равнозначен бумажному. Отдельно разведены согласие на обработку данных и согласие на переход на КЭДО. Образцы документов и пошаговая инструкция — в первой половине, размеры штрафов по части 2 статьи 13.11 КоАП, стоимость сбора согласий в КЭДО и ответы на частые вопросы — во второй.

Каким приказом утверждают форму согласия и чего он не заменяет

Форму согласия утверждает приказ руководителя: этим распорядительным документом работодатель принимает локальный нормативный акт (ЛНА) по статье 8 ТК РФ. Приказ задаёт внутренний стандарт — какую форму использовать, в каких случаях её запрашивать, кто собирает подписи и где хранятся подписанные экземпляры. Само согласие остаётся волеизъявлением человека по части 1 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Приказом работодатель утверждает бланк, но подписать его за работника или кандидата не может.

Единой обязательной формы для коммерческих компаний закон не устанавливает. Статья 18.1 152-ФЗ обязывает оператора персональных данных издать политику в отношении обработки и локальные акты по вопросам обработки, но названия и формы согласия не задаёт. Постановление Правительства РФ от 21.03.2012 № 211 содержит типовую форму согласия только для операторов — государственных и муниципальных органов, коммерческую компанию эта форма не обязывает.

Форму можно утвердить отдельным приказом либо приложением к положению об обработке персональных данных, которое вводится своим приказом. Оба варианта укладываются в статью 8 ТК РФ. Проверьте реестр ЛНА: если положение уже действует, форму удобнее закрепить его приложением.

Когда отдельный приказ о форме согласия не нужен

Если форма уже утверждена приложением к действующему положению и соответствует редакции 152-ФЗ, вступившей в силу 1 сентября 2025 года, второй приказ на ту же форму не издаётся: вводить согласие именно отдельным приказом закон не требует. Новый приказ понадобится, когда форму меняют — добавляют цель обработки, расширяют перечень данных, указывают нового подрядчика, которому поручена обработка, или выводят согласие из анкеты и трудового договора в отдельный документ.

Когда согласие нужно, а когда работодатель обрабатывает данные без него

В трудовых отношениях согласие — не единственное основание обработки. Роскомнадзор разъяснял, что согласие работника не требуется при обработке в пределах перечней и целей, установленных трудовым законодательством, при условии, что объём данных и цели соответствуют закону. За этими пределами ТК РФ прямо требует письменного согласия. Сценарии, которые перечисляются в приказе:

Перечень сценариев в приказе точнее одного согласия на все действия с данными: форма совпадает с целями из политики и локальных актов по статье 18.1, а внутренний доступ закрепляется списком уполномоченных лиц, без подписи работника.

Для кандидата отдельная точка — проверка службой безопасности. Согласие на обработку персональных данных стоит в цепочке вторым шагом, сразу после анкеты и до запросов по государственным базам. Сверьте список сценариев с целями из вашей политики обработки до того, как готовить проект приказа.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Образцы приказа и формы согласия на обработку персональных данных

Комплект закрывает форму согласия, приказ и правила обработки; начните с бланка согласия, а типовой приказ об утверждении ЛНА адаптируйте под утверждение формы.

Что включить в приказ об утверждении формы согласия

Обязательного состава приказа закон не задаёт, поэтому каждый его пункт опирается на норму, которую приказ исполняет. Рабочий состав — 8 пунктов:

1. Утверждение формы согласия. Форма идёт приложением к приказу, оформляется отдельным документом по части 1 статьи 9 152-ФЗ и содержит реквизиты части 4 статьи 9.
2. Утверждение формы согласия на распространение. Нужна, если компания публикует данные работников; основание — статья 10.1 152-ФЗ и приказ Роскомнадзора от 24.02.2021 № 18.
3. Случаи, когда согласие запрашивается. Получение данных у третьих лиц, передача третьей стороне, распространение, проверка кандидатов — по пункту 3 статьи 86 и статье 88 ТК РФ.
4. Момент и способ получения. На бумаге или электронным документом; для электронного — вид подписи, при котором документ равнозначен письменному по части 4 статьи 9 152-ФЗ.
5. Ответственный за организацию обработки. Назначается по статье 22.1 152-ФЗ отдельным приказом или этим же; в приказе о форме достаточно ссылки на назначение.
6. Порядок приёма отзыва согласия. Кто принимает отзыв и как проверяет, есть ли иное основание продолжать обработку, — по части 2 статьи 9 и части 5 статьи 21 152-ФЗ.
7. Ознакомление работников. Всех работников знакомят под подпись с документами о порядке обработки персональных данных (пункт 8 статьи 86 ТК РФ). Тех, кто непосредственно обрабатывает данные, дополнительно знакомят с законодательством, политикой и локальными актами и (или) обучают (пункт 6 части 1 статьи 18.1 152-ФЗ).
8. Хранение подписанных согласий. Кто хранит экземпляры, в каком виде и как их предъявить при проверке или в споре.

Кейс из практики: работник оспаривал увольнение после несогласия работать в новых условиях и утверждал, что уведомлять его в электронном виде было нельзя. При приёме на работу он заключил с работодателем соглашение об использовании усиленной неквалифицированной электронной подписи (УНЭП) и ознакомился с положением об электронном документообороте, по которому знакомился с документами в электронном виде. Суд учёл оба документа при оценке его довода. Для приказа о форме согласия вывод прямой: соглашение о подписи и ознакомление оформляются при приёме, до первого электронного согласия.

Мария Ж, спикер на конференциях по КЭДО и юриспруденции: «Практика по займам и лизингу, где договор подписан кодом из SMS, к кадровым документам не относится. В трудовых отношениях действуют статьи 22.1-22.3 ТК РФ со своим перечнем документов и своими требованиями к виду подписи, и простая электронная подпись допустима не для всего. Если в компании звучит довод, что микрофинансовые организации подписывают договоры кодом, значит и кадровые документы можно так оформлять, проверьте, разведены ли у вас перечень документов и виды подписи.»

Как ввести форму согласия приказом: пошаговая инструкция

1. Шаг 1. Выпишите цели обработки и сценарии, где нужно согласие: получение данных у третьих лиц, передача третьей стороне, распространение, проверка кандидатов. Обработка в пределах трудового законодательства в этот список не попадает.
2. Шаг 2. Подготовьте форму согласия отдельным документом с 9 реквизитами части 4 статьи 9 152-ФЗ. Если компания публикует данные работников, подготовьте вторую форму — согласие на распространение.
3. Шаг 3. Сверьте цели и перечни данных в форме с политикой и локальными актами по статье 18.1 152-ФЗ.
4. Шаг 4. Подготовьте проект приказа: утверждение формы приложением, случаи запроса согласия, способ подписания, порядок приёма отзыва, ответственного, дату введения.
5. Шаг 5. Подпишите приказ у руководителя и ознакомьте работников под подпись по пункту 8 статьи 86 ТК РФ.
6. Шаг 6. Соберите согласия в утверждённых сценариях отдельными документами; в КЭДО — подписью, при которой электронный документ равнозначен письменному.
7. Шаг 7. Проверьте уведомление в Роскомнадзор: подано ли оно и указаны ли в нём все цели обработки из формы.

Обязательные реквизиты формы согласия по части 4 статьи 9 152-ФЗ

С 1 сентября 2025 года часть 1 статьи 9 152-ФЗ действует в редакции Федерального закона от 24.06.2025 № 156-ФЗ, официальная публикация которого доступна на портале правовой информации. Норма короткая: «Согласие на обработку персональных данных должно быть оформлено отдельно» — от других документов и информации, которые человек подтверждает или подписывает. Пункт о согласии внутри трудового договора, анкеты кандидата или заявления этому требованию не отвечает.

Когда федеральный закон требует письменной формы, согласие включает, в частности, 9 реквизитов:

1. Фамилию, имя, отчество и адрес субъекта, данные документа, удостоверяющего его личность.
2. При необходимости — данные представителя субъекта и реквизиты документа, подтверждающего его полномочия.
3. Наименование или фамилию, имя, отчество и адрес оператора.
4. Цель обработки персональных данных.
5. Перечень персональных данных, на обработку которых даётся согласие.
6. Наименование или фамилию, имя, отчество и адрес лица, которое обрабатывает данные по поручению оператора, если обработка ему поручена.
7. Перечень действий с данными и общее описание способов обработки.
8. Срок действия согласия и способ его отзыва.
9. Подпись субъекта персональных данных.

Перечень не означает, что любое согласие оформляется письменно: письменная форма нужна там, где её требует федеральный закон, в трудовых отношениях — в сценариях статей 86 и 88 ТК РФ. Согласие на распространение данных неограниченному кругу лиц в эту форму не встраивается: по статье 10.1 152-ФЗ оно оформляется отдельно. Перед утверждением приказа пройдите по форме построчно и отметьте место каждого из 9 реквизитов.

Соберите форму согласия на обработку персональных данных под цели компании

Конструктор Добыто формирует файл .docx согласия с целями обработки, сроком и оговоркой об отзыве по 152-ФЗ. Перед тем как прикладывать файл к приказу, сверьте его со всеми 9 реквизитами части 4 статьи 9, включая данные лица, которому поручена обработка.

Электронное согласие: какая подпись делает его равнозначным бумажному

Согласие в форме электронного документа, подписанного электронной подписью в соответствии с федеральным законом, признаётся равнозначным письменному согласию с собственноручной подписью — это часть 4 статьи 9 152-ФЗ. Условие равнозначности задаёт 63-ФЗ об электронной подписи, а не настройки кадровой системы.

Для КЭДО, который ввёл Федеральный закон от 22.11.2021 № 377-ФЗ (статьи 22.1-22.3 ТК РФ), правило по иным электронным документам такое: работник подписывает их простой электронной подписью (ПЭП) в информационной системе работодателя при условии, что соглашение обеспечивает идентификацию подписанта и конфиденциальность ключа, либо УНЭП. Из одних правил КЭДО не следует, что ПЭП автоматически делает согласие равнозначным письменному по 152-ФЗ. Поэтому в приказе вид подписи для согласия указывается прямо, а соглашение об использовании подписи заключается до сбора согласий.

Мария Ж, специалист по цифровой подписи и КЭДО: «УКЭП равнозначна собственноручной подписи в силу закона, дополнительно оформлять ничего не нужно. Для ПЭП и УНЭП равнозначность появляется только при соглашении между участниками электронного обмена, без него её нет. Это условие теряют чаще всего. Прежде чем собирать согласия в системе, проверьте, что соглашение об использовании подписи подписано с каждым работником.»

В Добыто ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, УКЭП можно получить через партнёров — удостоверяющие центры. Вид подписи для согласия компания выбирает сама и закрепляет его в приказе вместе с соглашением об использовании подписи.

Согласие на переход на КЭДО и согласие на обработку персональных данных — разные документы

Статья 22.2 ТК РФ требует письменного согласия работника на переход на электронное взаимодействие. Это согласие касается формы документооборота: оно не подтверждает, что работник разрешил обработку своих данных, и не заменяет форму, утверждённую приказом по 152-ФЗ. Объединить их в один лист нельзя: по части 1 статьи 9 152-ФЗ согласие на обработку оформляется отдельно от других документов, которые работник подписывает. В дорожной карте внедрения согласие по статье 22.2 стоит третьим этапом, после локального акта с приказом и выбора вида подписи, поэтому форму согласия на обработку данных удобно утвердить на первом этапе.

Идентификация работника при подписании согласия в системе

Важный нюанс из практики: спор об увольнении через систему КЭДО прошёл 4 этапа в 2022-2023 годах. Работодатель разработал положение о кадровом электронном документообороте, утвердил перечень документов и категорий работников, получил письменное согласие работника на переход, и первые 2 инстанции поддержали работодателя. Кассационный суд общей юрисдикции акты отменил: в деле не было сведений о том, как проводилась идентификация. При новом рассмотрении работник выиграл: подпись ему выдали в день подписания заявления об увольнении, сам он системой пользоваться не умел, за него подписывал другой человек, а система зафиксировала, кто выдал подпись и под чьим контролем она находилась.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Мария Ж, судебный эксперт в сфере трудового права: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Если в вашем локальном акте порядок идентификации не описан, спор вы проиграете даже при технически исправной подписи. Найдите этот раздел в своём ЛНА об электронном документообороте до того, как запускать сбор согласий.»

Мы в Добыто разводим во времени выдачу подписи работнику и первые кадровые действия с ней, а перед развёртыванием на всю компанию закладываем пилотную группу: одно подразделение проходит маршрут подписания целиком, и до массового сбора согласий видно, может ли каждый работник сам войти в систему и подписать документ. Суд оценивает фактическую способность пользоваться системой, а не подпись в журнале ознакомления.

Что оформить вместе с приказом: политика, ответственный, уведомление Роскомнадзора

Форма согласия опирается на цели обработки и перечни данных, а их закрепляют другие документы оператора. Состав комплекта и роль каждого документа:

Политику, локальные акты по статье 18.1 и назначение ответственного оператор оформляет независимо от того, собирает ли он согласия, уведомление — по общему правилу статьи 22. Согласие на распространение и согласие на КЭДО нужны только при соответствующих процессах.

Юридическое лицо — оператор обязано назначить ответственного за организацию обработки персональных данных (части 1-4 статьи 22.1 152-ФЗ). Он подотчётен исполнительному органу, организует внутренний контроль и доводит до работников требования законодательства и локальных актов, поэтому контроль сбора согласий по приказу удобно возложить на него.

До начала обработки оператор по общему правилу уведомляет Роскомнадзор (статья 22 152-ФЗ). Подать уведомление можно на портале операторов персональных данных Роскомнадзора, где заполняется официальная форма. С 1 сентября 2022 года Федеральный закон от 14.07.2022 № 266-ФЗ отменил прежние широкие исключения из этой обязанности, сохранились исключения пунктов 7-9 части 2 статьи 22. Сведения в уведомлении указываются по каждой цели обработки (часть 3.1 статьи 22), и новая цель в форме согласия — повод сверить уведомление. О прекращении обработки Роскомнадзору сообщают в течение 10 рабочих дней (часть 7 статьи 22).

Коммерческая тайна и персональные данные: разные режимы и разные документы

Режим коммерческой тайны устанавливается по части 1 статьи 10 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне»: обладатель информации определяет её перечень, ограничивает доступ и ведёт учёт лиц с доступом, регулирует отношения с работниками и контрагентами, наносит гриф «Коммерческая тайна» на носители. Режим считается установленным после принятия этих мер. Работника с доступом знакомят под расписку с перечнем информации, режимом и мерами ответственности (пункты 1-2 части 1 статьи 11).

Ознакомление с режимом коммерческой тайны и согласие на обработку персональных данных — документы с разными основаниями, и с 1 сентября 2025 года согласие не объединяется с другими документами, которые подписывает работник. Проверьте, что в листе ознакомления с режимом коммерческой тайны нет формулировок согласия на обработку данных.

Ошибки при вводе формы согласия и цена каждой из них

С 30 мая 2025 года действуют штрафы в редакции Федерального закона от 30.11.2024 № 420-ФЗ. По части 2 статьи 13.11 КоАП РФ обработка без письменного согласия, когда оно обязательно, либо с нарушением требований к составу сведений в согласии стоит гражданам 10 000-15 000 руб., должностным лицам 100 000-300 000 руб., юридическим лицам 300 000-700 000 руб. Отдельного размера для ИП часть 2 не содержит. За неуведомление Роскомнадзора с той же даты действует отдельный штраф по части 10 статьи 13.11.

• Согласие пунктом анкеты или трудового договора. Так делают, чтобы работник подписал один документ вместо двух, или продолжают использовать шаблоны, составленные до сентября 2025 года. Такое оформление не соответствует части 1 статьи 9 152-ФЗ: форму придётся выделять в отдельный документ и утверждать заново.
• Форма без части реквизитов. Бланк берут из открытых источников и не дописывают адрес оператора или подрядчика, которому поручена обработка. Если письменное согласие обязательно, это нарушение требований к составу сведений: для юридического лица — до 700 000 руб. по части 2 статьи 13.11 КоАП РФ.
• Приказ издан, согласия не собраны. Приказ считают достаточным, раз форма утверждена. Волеизъявление он не заменяет: получение данных у третьих лиц или передача им без письменного согласия подпадает под часть 2 статьи 13.11.
• Одно согласие на обработку и распространение. Объединяют, чтобы не готовить вторую форму. Статья 10.1 152-ФЗ требует отдельного согласия на распространение, и общее согласие это требование не закрывает.
• Электронное согласие на ПЭП без соглашения. Подписывают кодом в системе, потому что так быстрее. Без соглашения, которое обеспечивает идентификацию и конфиденциальность ключа, электронное согласие не равнозначно письменному, и в сценариях статей 86 и 88 ТК РФ компания остаётся без письменного согласия.

Мария Ж, юрист со стажем более 20 лет: «Переход на электронные документы не означает, что бумага не понадобится никогда. Суд вправе истребовать подлинник, если только он способен подтвердить обстоятельство дела, а при сомнениях в подлинности назначается экспертиза документа, его отдельных реквизитов или подписи. Прежде чем отказываться от бумажных экземпляров согласий, посмотрите, какие из них существуют только в электронном виде и чем вы подтвердите их подлинность.»

Сверьте действующую форму и приказ с этими пятью ошибками до того, как запускать сбор согласий.

Стоимость КЭДО для сбора согласий на обработку персональных данных

Стоимость зависит от численности сотрудников, нужных видов подписи и интеграции с 1С:ЗУП.

Тариф подбирается по численности и видам подписи: в описании тарифа «Старт» указаны ПЭП и УНЭП, в описании тарифа «Бизнес» — ПЭП, УНЭП и УКЭП. Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду. Состав каждого тарифа и условия подключения приведены на странице тарифов Добыто КЭДО, цены указаны на октябрь 2026 года.

Выводы

Приказ руководителя утверждает форму согласия и порядок её применения, а подпись под согласием даёт только сам человек, и требуется она в определённых сценариях: получение данных у третьих лиц, передача третьей стороне, распространение, проверка кандидатов. С сентября 2025 года форма оформляется отдельным документом с полным набором реквизитов. Электронное согласие приравнивается к бумажному, когда подпись отвечает 63-ФЗ, а порядок идентификации подписанта описан в локальном акте.

В Добыто согласия на обработку данных собираются в КЭДО отдельными документами: форма готовится в конструкторе, подписи для сотрудников выпускаются в сервисе, а выдачу подписи и первые кадровые действия мы разводим во времени, чтобы у компании были доказательства идентификации на случай спора.

Частые вопросы о согласии на обработку персональных данных

Что делать, если работник отозвал согласие на обработку персональных данных?

Отзыв не всегда останавливает обработку. По части 2 статьи 9 152-ФЗ оператор вправе продолжить её без согласия, если есть основания из пунктов 2-11 части 1 статьи 6, части 2 статьи 10 или части 2 статьи 11 закона. Если иного основания нет, оператор прекращает обработку и уничтожает данные в срок не позднее 30 дней (часть 5 статьи 21). Перед ответом работнику проверьте, на каком основании ведётся каждая цель обработки: согласие или требование трудового законодательства.

Нужно ли указывать в согласии подрядчика, который ведёт кадровый учёт или расчёт зарплаты?

Да, если согласие оформляется письменно и обработка поручена другому лицу. Часть 4 статьи 9 152-ФЗ требует указать наименование или фамилию, имя, отчество и адрес лица, которое обрабатывает данные по поручению оператора. При смене подрядчика этот реквизит устаревает, и форму согласия обновляют.

Нужно ли отдельное согласие, чтобы разместить фото и должность сотрудника на сайте компании?

Публикация на сайте открывает данные неограниченному кругу лиц, а для распространения статья 10.1 152-ФЗ требует отдельного согласия. Молчание или бездействие работника согласием не считается. В согласии он вправе установить запреты и условия: разрешить публикацию должности и запретить публикацию фото. Требования к содержанию такого согласия — сведения о субъекте и операторе, цель, категории и перечень данных, срок, условия и запреты — установлены приказом Роскомнадзора от 24.02.2021 № 18.

Действует ли приказ о форме согласия для исполнителей по договорам ГПХ и самозанятых?

ЛНА по статье 8 ТК РФ регулируют трудовые отношения, а статьи 86-88 ТК РФ касаются работников. Для исполнителя по договору ГПХ или самозанятого действуют общие правила 152-ФЗ: основание обработки определяется по статье 6 закона, а письменное согласие содержит те же 9 реквизитов части 4 статьи 9. Разъяснение Роскомнадзора об обработке без согласия в пределах трудового законодательства на исполнителей не распространяется, поэтому для них утверждают отдельную форму с целями, связанными с договором.

Можно ли получить сведения о работнике у прежнего работодателя без его согласия?

Нет. Если данные можно получить только у третьей стороны, пункт 3 статьи 86 ТК РФ требует заранее уведомить работника и получить его письменное согласие. Прежний работодатель связан статьёй 88 ТК РФ: передать данные третьей стороне без письменного согласия он вправе только при угрозе жизни и здоровью и в иных случаях, предусмотренных федеральным законом.