Разрешение на обработку персональных данных от работника как его получить

Разрешение на обработку персональных данных от работника в 152-ФЗ называется согласием субъекта, и для большей части кадровых операций оно не требуется: трудовой договор, личная карточка, расчёт зарплаты, сведения в СФР и ФНС обрабатываются на основании пунктов 2 и 5 части 1 статьи 6 закона. Письменное согласие работодатель получает, когда выходит за эти рамки: передаёт данные третьей стороне по статье 88 ТК РФ, запрашивает их у третьих лиц по статье 86 ТК РФ, публикует на сайте, собирает биометрию. В согласии 9 обязательных реквизитов из части 4 статьи 9 152-ФЗ, подписать его можно на бумаге или электронной подписью. Согласие на распространение данных оформляется отдельно от всех остальных согласий по статье 10.1, общий бланк его не заменяет.

Материал поможет разделить операции вашей компании на те, что идут без согласия, и те, что без него незаконны, и собрать бланк без ошибок в составе сведений. Отдельно разобраны передача кадровых документов облачному провайдеру КЭДО, подписание согласия ПЭП и УНЭП, действия при отказе и отзыве. Штрафы по статье 13.11 КоАП в редакции 2025 года, тарифы на электронное подписание, образцы документов и ответы на частые вопросы — во второй половине статьи.

Конструктор ниже собирает согласие работника в формате .docx с целями обработки, сроком действия и порядком отзыва по 152-ФЗ.

Когда работодателю нужно согласие работника, а когда достаточно закона

Согласие субъекта — только одно из оснований обработки, перечисленных в части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Если обработка нужна для исполнения обязанностей, которые на работодателя возлагают ТК РФ, налоговое и пенсионное законодательство (пункт 2), или для исполнения трудового договора, стороной которого является сам работник (пункт 5), отдельное разрешение не нужно. Роскомнадзор в разъяснениях по обработке данных работников придерживается той же позиции.

На практике многие компании при приёме дают подписать универсальное согласие на две страницы, где перечислено всё подряд: от ведения личной карточки до публикации фотографии на сайте. Такой документ лишней защиты не даёт. Если работник его отзовёт, обработка по закону и договору продолжится, а вот всё, что держалось только на согласии, придётся прекратить. Кроме того, согласие «на всё» плохо сочетается с требованием части 1 статьи 9 152-ФЗ: с 1 сентября 2022 года согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.

Таблица показывает типовые кадровые ситуации и основание обработки для каждой.

Из восьми строк согласие требуется в четырёх, и все четыре связаны с выходом данных за пределы трудового договора: к другим организациям, в открытый доступ или в биометрическую систему. Если операция в вашей компании не попадает ни в одну строку, её основание стоит определить до того, как вписывать её в бланк.

Кандидаты и резюме

Соискатель ещё не работник, поэтому пункт 5 части 1 статьи 6 к нему применим только в части будущего договора. По разъяснениям Роскомнадзора, если кандидат сам направил резюме на конкретную вакансию, отдельное согласие на его рассмотрение не требуется. Резюме, полученное через кадровое агентство, обрабатывается на основании согласия, которое кандидат дал агентству. Если в приёме отказано, а согласия на включение в кадровый резерв нет, данные кандидата подлежат уничтожению.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Составьте список всех операций с данными работников и кандидатов, которые есть в компании, и напротив каждой впишите основание из таблицы. Всё, что осталось без основания, и есть содержание будущего согласия.

Что должно быть в согласии: 9 реквизитов по части 4 статьи 9 152-ФЗ

Письменное согласие, в котором не хватает хотя бы одного обязательного сведения, законодатель приравнивает к нарушению требований к составу согласия: это отдельный состав в части 2 статьи 13.11 КоАП. Перечень закрытый, и каждый пункт в бланке должен быть заполнен применительно к конкретному работнику и конкретной цели.

1. Фамилия, имя, отчество, адрес работника, номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган.
2. Фамилия, имя, отчество, адрес представителя, номер его документа, реквизиты доверенности или иного документа о полномочиях — если согласие даёт представитель.
3. Наименование или фамилия, имя, отчество и адрес оператора, то есть работодателя.
4. Цель обработки персональных данных.
5. Перечень персональных данных, на обработку которых даётся согласие.
6. Наименование или фамилия, имя, отчество и адрес лица, которое обрабатывает данные по поручению оператора, если обработка ему поручена.
7. Перечень действий с персональными данными и общее описание способов обработки, которые использует оператор.
8. Срок, в течение которого действует согласие, и способ его отзыва, если иное не установлено федеральным законом.
9. Подпись работника.

Шестой пункт чаще всего оказывается пустым. Работодатель передал расчёт зарплаты бухгалтерскому аутсорсеру или перевёл кадровые документы в облачную систему, а в согласии указал только себя. Каждый обработчик по поручению называется в согласии поимённо, с адресом.

Формулировки, которые не проходят проверку

• Цель «для реализации трудовых отношений» в согласии на передачу данных страховщику: цель не совпадает с операцией, для которой нужно согласие.
• Перечень данных «любая информация, относящаяся ко мне»: нарушает требование предметности из части 1 статьи 9.
• Срок «бессрочно» без указания способа отзыва: восьмой пункт считается незаполненным.
• Согласие вписано пунктом в трудовой договор: работник не может отказаться от него, не отказавшись от договора, а согласие по части 1 статьи 9 даётся свободно, своей волей и в своём интересе. В практике согласие оформляют отдельным документом.
• Согласие на распространение объединено с общим согласием: статья 10.1 прямо требует оформлять его отдельно.

Сверьте свой действующий бланк с девятью пунктами выше. Если какого-то пункта нет, согласие по нему нужно переподписать, а не дополнить приложением без подписи работника.

Отдельные согласия: распространение, биометрия, передача третьим лицам

Для трёх видов обработки общего согласия недостаточно: у каждого свои требования к форме и содержанию, и объединять их в один бланк с остальными целями рискованно или прямо запрещено.

Согласие на распространение по статье 10.1 152-ФЗ

Распространение — это раскрытие данных неопределённому кругу лиц: фотография и должность на странице «Наша команда», поздравление с днём рождения в открытом канале компании, ФИО сотрудника в рекламном буклете. Согласие на такие действия оформляется отдельно от иных согласий работника на обработку его персональных данных. Требования к его содержанию утверждены приказом Роскомнадзора от 24.02.2021 № 18. В согласии работник вправе установить запреты и условия: например, разрешить публикацию фото на сайте, но запретить её передачу партнёрам.

Молчание или бездействие работника согласием на распространение не считается. Согласие можно передать работодателю напрямую или через информационную систему Роскомнадзора. Действие такого согласия прекращается с момента, когда работодатель получает требование работника о прекращении распространения, поэтому процедуру снятия фотографий и упоминаний с сайта лучше описать в ЛНА заранее.

Биометрия по статье 11

Биометрическими считаются сведения о физиологических и биологических особенностях человека, по которым устанавливается его личность, если оператор использует их именно для установления личности. Лицо или отпечаток пальца в турникете — биометрия, и для неё нужно письменное согласие. Фотография в личной карточке, которую никто не использует для идентификации, по позиции Роскомнадзора биометрией не является.

Передача третьей стороне и поручение обработки

Статья 88 ТК РФ запрещает сообщать персональные данные работника третьей стороне без его письменного согласия, кроме случаев, когда это нужно для предупреждения угрозы жизни и здоровью работника, и случаев, установленных ТК РФ или федеральными законами. Передача в СФР, ФНС или ГИТ по запросу идёт без согласия. Передача страховщику по ДМС, организатору корпоративного обучения, стороннему провайдеру кадровой системы требует согласия.

Облачный КЭДО относится ко второй группе. По части 3 статьи 6 152-ФЗ оператор вправе поручить обработку другому лицу с согласия субъекта, и такой обработчик указывается в шестом реквизите согласия. Если кадровые документы уходят провайдеру, согласие нужно на эту передачу, даже когда все документы внутри системы подписываются корректно.

Мария Ж, юрист со стажем более 20 лет: «В кадровых документах есть чувствительные сведения: о семье, о здоровье, о доходах. Как только они уходят внешнему провайдеру, появляется третье лицо, и передавать ему данные можно только на основании согласия работника. Поэтому выбор облачного решения тянет за собой обязанность собрать согласия и объяснить людям, кому именно уходят их данные. Попросите вендора перечислить всех, кто получит доступ: как правило, это не одна компания, а три — сам провайдер, владелец инфраструктуры и удостоверяющий центр.»

Отдельный случай — получение данных о работнике не от него самого. Пункт 3 статьи 86 ТК РФ требует заранее уведомить работника и получить письменное согласие, если сведения можно получить только у третьей стороны. В уведомлении работодатель сообщает цели, предполагаемые источники и способы получения, характер запрашиваемых сведений и последствия отказа. Запрос характеристики у прежнего работодателя без такого уведомления — нарушение, даже если работник устно не возражал.

Выпишите всех внешних получателей данных ваших работников: банки, страховщики, провайдеры, аутсорсеры, удостоверяющие центры. Для каждого проверьте, есть ли основание в законе, а если нет — назван ли получатель в подписанном согласии.

Как получить согласие работника: бумага, ПЭП, УНЭП или УКЭП

Часть 4 статьи 9 152-ФЗ приравнивает к бумажному согласию с собственноручной подписью согласие в форме электронного документа, подписанного электронной подписью по закону. Какая именно подпись подойдёт, определяет 63-ФЗ об электронной подписи: УКЭП равнозначна собственноручной в силу закона, а ПЭП и УНЭП — только при наличии соглашения между участниками электронного взаимодействия или нормативного акта.

Мария Ж, специалист по цифровой подписи и КЭДО: «Виды подписи различаются основанием равнозначности, а не степенью защиты. Квалифицированная равнозначна собственноручной в силу закона, для простой и неквалифицированной нужно соглашение между участниками обмена, и без него равнозначности нет. Выбирая простую подпись, вы берёте на себя обязанность иметь соглашение и локальный акт с правилами определения лица по его подписи. Проверьте, что оба документа подписаны до первой рассылки согласий.»

С кандидатом сложнее: он ещё не работник, и локальные акты компании на него не распространяются. Для электронного подписания с человеком, с которым на момент подписания нет никаких отношений, нужно соглашение об электронном взаимодействии. Порядок такой: сначала соглашение, затем согласие на обработку данных и проверку, затем трудовой договор.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

В Добыто ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, УКЭП выдаётся через партнёров — удостоверяющие центры. Поэтому согласие на обработку данных можно подписать электронно с первого дня, без отдельной закупки ключей для каждого сотрудника.

Важный нюанс из практики: в одном из трудовых споров работник оспаривал увольнение и утверждал, что уведомлять его в электронном виде было нельзя. Суд учёл, что при приёме истец заключил соглашение об использовании УНЭП и ознакомился с положением об электронном документообороте, по которому должен был знакомиться с документами электронно. Соглашение, подписанное при приёме, закрыло спор о форме.

Как получить согласие работника на обработку персональных данных: пошаговая инструкция

1. Шаг 1. Составьте перечень операций с данными работников и определите, какие из них идут на основании пунктов 2-11 части 1 статьи 6, статей 10 и 11 152-ФЗ без согласия.
2. Шаг 2. Для оставшихся операций решите, сколько документов нужно: согласие на распространение всегда оформляется отдельно, биометрию и передачу конкретным третьим лицам удобнее выделить в самостоятельные согласия с собственной целью.
3. Шаг 3. Заполните бланк по девяти реквизитам части 4 статьи 9, назовите поимённо всех, кто обрабатывает данные по поручению, укажите срок и способ отзыва.
4. Шаг 4. Выберите форму. Для бумаги нужна собственноручная подпись. Для ПЭП и УНЭП проверьте, что с работником подписано соглашение об электронном взаимодействии и утверждён ЛНА с правилами определения подписанта.
5. Шаг 5. Если данные нужно получить у третьей стороны, до запроса направьте работнику уведомление по пункту 3 статьи 86 ТК РФ: цели, источники, способы, характер сведений, последствия отказа.
6. Шаг 6. Получите подпись до начала соответствующей обработки. Согласие, подписанное задним числом, не легализует уже состоявшуюся передачу.
7. Шаг 7. Сохраните подписанный экземпляр и при смене целей, состава данных или обработчиков получите новое согласие, а не правьте старое.

Образцы согласий и локальных актов по обработке персональных данных

Комплект начинается с бланка согласия работника, остальные документы закрывают кандидатов, электронную подпись и внутренние правила оператора.

Согласие на обработку персональных данных и согласие на КЭДО: два разных документа

Статья 22.2 ТК РФ, введённая Федеральным законом от 22.11.2021 № 377-ФЗ, требует письменного согласия работника на переход к кадровому электронному документообороту. Отсутствие такого согласия считается отказом, кроме лиц, принятых на работу после 31.12.2021 и не имевших трудового стажа на эту дату. Это согласие касается формы кадровых документов и ничего не говорит о передаче данных провайдеру системы. Обратное тоже верно: согласие на обработку персональных данных не переводит работника на КЭДО.

При внедрении электронного документооборота работодатель получает оба документа, и путать их в названии или объединять в один бланк не стоит. Проверка ГИТ смотрит на согласие по статье 22.2 ТК РФ, Роскомнадзор — на согласие по 152-ФЗ, и каждый ведомственный контроль ищет свой документ.

Кейс из практики: работодатель перешёл на КЭДО с 01.02.2022, работника уведомили 31.01.2022, и в тот же день он дал письменное согласие. Положение о КЭДО, перечень документов и категорий работников, порядок создания личного кабинета были утверждены. Заявление об увольнении работник подал через систему 23.03.2022. Районный суд и апелляция признали увольнение законным, кассационный суд общей юрисдикции акты отменил: в деле не оказалось сведений о порядке идентификации. При новом рассмотрении в январе 2023 года работник выиграл. Подпись ему выдали в день подписания заявления, пользоваться системой он не умел, за него подписывал другой человек, и всё это зафиксировала система работодателя. Согласие на КЭДО было получено вовремя и спор не решило.

Мария Ж, судебный эксперт в сфере трудового права: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Если в вашем локальном акте порядок идентификации не описан, спор можно проиграть и при технически исправной подписи. Проверьте, что он прописан в положении о КЭДО и что система фиксирует дату и обстоятельства выдачи подписи.»

Мы в Добыто разводим во времени выдачу подписи работнику и первые кадровые действия с ней и закладываем пилотную группу перед раскаткой на всю компанию. Суд оценивает фактическую способность работника пользоваться системой, а не подпись в журнале ознакомления, и пилот показывает, кому нужна помощь, до того как через систему пойдут юридически значимые документы.

Отказ и отзыв согласия: что делает работодатель

Работник вправе отозвать согласие в любой момент (часть 2 статьи 9 152-ФЗ). После отзыва работодатель продолжает обработку, если у него есть другое основание из пунктов 2-11 части 1 статьи 6, — а для трудового договора, отчётности и архивного хранения оно есть. Прекращается только то, что держалось на согласии: публикация на сайте, передача страховщику, биометрический проход.

По части 5 статьи 21 152-ФЗ после отзыва оператор прекращает обработку и, если сохранение данных больше не требуется для целей обработки, уничтожает их в срок не более 30 дней с даты поступления отзыва. Документы по личному составу под это правило не попадают: по 125-ФЗ документы, законченные делопроизводством после 1 января 2003 года, хранятся 50 лет, до этой даты — 75 лет.

Отказ подписать согласие не является основанием для увольнения: такого основания в ТК РФ нет. Работодатель просто не выполняет операции, для которых согласие обязательно. Если работник отказался от согласия на передачу данных страховщику, его не включают в список по ДМС; если отказался от биометрии, ему выдают пропуск другого типа.

На запрос работника о том, какие его данные обрабатываются, оператор отвечает в течение 10 рабочих дней с даты обращения. Срок продлевается не более чем на 5 рабочих дней, если работнику направлено мотивированное уведомление о причинах продления. Параллельно статья 89 ТК РФ даёт работнику право на полную информацию о своих данных и бесплатный доступ к ним, включая копии записей.

Если вы работник и вам дали на подпись согласие, прочитайте три места: цель, перечень третьих лиц и срок с порядком отзыва. Согласие на публикацию фотографии или на передачу данных конкретной организации можно не подписывать, и на трудовой договор это не повлияет. Если спорный пункт стоит в одном документе с обязательными, попросите разделить его на отдельное согласие.

Оператор персональных данных: уведомление Роскомнадзора, доступ и коммерческая тайна

Работодатель, который обрабатывает данные хотя бы одного работника, является оператором персональных данных по пункту 2 статьи 3 152-ФЗ. До начала обработки оператор направляет в Роскомнадзор уведомление по статье 22. С 1 сентября 2022 года исключение для компаний, обрабатывающих только кадровые данные в рамках трудового законодательства, из закона убрано, поэтому уведомление подаёт и организация без клиентских баз. Заполнить и отправить его можно через форму уведомления об обработке персональных данных на портале Роскомнадзора, там же обновляются сведения в реестре операторов при их изменении.

Кроме уведомления, оператор утверждает политику обработки персональных данных и публикует её или иным способом обеспечивает к ней неограниченный доступ (статья 18.1), назначает ответственного за организацию обработки (статья 22.1) и знакомит работников под подпись с документами, которые устанавливают порядок обработки их данных (пункт 8 статьи 86 ТК РФ). Ознакомление и согласие — разные действия: подпись в листе ознакомления с политикой согласием на обработку не считается.

Персональные данные и коммерческая тайна

Персональные данные защищены режимом конфиденциальности по статье 7 152-ФЗ независимо от того, введён ли в компании режим коммерческой тайны. Коммерческая тайна — отдельный режим по Федеральному закону от 29.07.2004 № 98-ФЗ: он действует только после мер из статьи 10 этого закона, включая перечень сведений, ограничение доступа, учёт допущенных лиц и гриф на документах. Сведения о численности и составе работников, системе оплаты труда и условиях труда по пункту 6 статьи 5 98-ФЗ коммерческой тайной быть не могут.

Работники, у которых есть доступ к данным коллег, подписывают обязательство о неразглашении. Разглашение персональных данных другого работника — самостоятельное основание для увольнения по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ, а статья 90 ТК РФ предусматривает дисциплинарную, материальную, административную, гражданско-правовую и уголовную ответственность за нарушение норм об обработке данных работника.

Платформа Добыто заявлена как соответствующая требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ; для компаний, которым нужно держать кадровые данные на отдельной инфраструктуре, в корпоративном тарифе предусмотрен выделенный сервер. Проверьте по реестру операторов на портале Роскомнадзора, что ваша компания в нём есть и что указанные цели обработки совпадают с целями в согласиях.

Штрафы за обработку данных работника без согласия по статье 13.11 КоАП

Федеральный закон от 30.11.2024 № 420-ФЗ переписал статью 13.11 КоАП, новые размеры применяются с 30 мая 2025 года. Для работодателя значимы две группы составов: связанные с согласием и уведомлением и связанные с утечками.

Часть 2 охватывает оба сценария из этой статьи: согласия нет там, где оно обязательно, и согласие есть, но в нём не хватает реквизитов из части 4 статьи 9. Бланк без названного обработчика по поручению или без способа отзыва подпадает под ту же санкцию, что и отсутствие согласия. Для должностных лиц по части 2 штраф составляет 100 000-300 000 руб., и он назначается отдельно от штрафа организации.

Штраф — не единственная цена. Согласие, собранное с нарушением, придётся переподписывать со всем штатом, а операции, которые на нём держались, остановить до получения новых подписей. Сверьте согласия с таблицей из первого раздела и девятью реквизитами до проверки, а не после неё.

Стоимость электронного подписания согласий в КЭДО Добыто

Цена зависит от численности сотрудников и нужных видов подписи: ПЭП и УНЭП для работников включены во все тарифы, УКЭП и интеграция с 1С доступны с тарифа «Бизнес».

Итоговый платёж складывается из численности штата и выбранного тарифа, при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия и состав каждого пакета — на странице тарифов ДОБЫТО КЭДО, цены приведены на сентябрь 2026 года.

Выводы

Трудовой договор, зарплата, отчётность и архивное хранение обходятся без согласия работника: основание для них дают 152-ФЗ и ТК РФ. Согласие нужно там, где данные уходят за пределы трудовых отношений: к сторонним организациям, в открытый доступ, в биометрические системы. В нём 9 обязательных реквизитов, согласие на распространение всегда подписывается отдельно, а электронная форма равнозначна бумажной, если для ПЭП и УНЭП заранее заключено соглашение об электронном взаимодействии.

В Добыто согласия на обработку данных, согласия на переход к КЭДО и соглашения об электронном взаимодействии подписываются в одной системе с разделением по видам документов, а подписи для сотрудников выпускаются в рамках тарифа. Так кадровая служба получает раздельные, датированные и проверяемые документы для ГИТ и Роскомнадзора.

Частые вопросы

Нужно ли согласие на обработку персональных данных от исполнителя по договору ГПХ?

Статьи 86-88 ТК РФ на исполнителя по договору ГПХ не распространяются, к нему напрямую применяется 152-ФЗ. Обработка, необходимая для исполнения договора, стороной которого является исполнитель, идёт без согласия по пункту 5 части 1 статьи 6. Согласие понадобится для тех же операций, что и у работника: передача третьим лицам вне договора, распространение по статье 10.1, биометрия по статье 11. Совместитель остаётся работником, и для него действуют общие правила ТК РФ.

Нужно ли согласие родственников работника, чьи данные вносятся в личную карточку?

По разъяснениям Роскомнадзора, сведения о членах семьи в объёме, который предусмотрен унифицированной формой Т-2, а также данные, нужные для предоставления работнику гарантий и налоговых вычетов, обрабатываются без согласия родственников. Если работодатель собирает о членах семьи больше, например для корпоративных программ или ДМС родственников, нужно согласие самого родственника, а не работника.

Нужно ли новое согласие при смене провайдера КЭДО или удостоверяющего центра?

Да. Шестой реквизит части 4 статьи 9 152-ФЗ требует указывать наименование и адрес лица, которое обрабатывает данные по поручению оператора. Новый провайдер или удостоверяющий центр — новый обработчик, и прежнее согласие на передачу данных ему не распространяется. Новые согласия собирают до начала миграции данных.

Действует ли согласие после увольнения работника?

Согласие действует в пределах срока, указанного в нём самом. После увольнения документы по личному составу хранятся на основании закона 50 или 75 лет в зависимости от даты окончания делопроизводства, согласие для этого не требуется. Обработку, которая держалась только на согласии, например фото на сайте, прекращают: при достижении цели обработки данные уничтожаются в срок не более 30 дней по части 4 статьи 21 152-ФЗ.

Можно ли получить согласие устно или галочкой в корпоративном мессенджере?

Письменная форма обязательна там, где её требует закон: получение данных у третьих лиц и передача третьей стороне по статьям 86 и 88 ТК РФ, биометрия, специальные категории данных. В остальных случаях 152-ФЗ допускает любую форму, но по части 3 статьи 9 обязанность доказать получение согласия лежит на операторе. Галочка в мессенджере без идентификации подписанта этот вопрос не закрывает, поэтому работодатели используют бумагу или электронную подпись по 63-ФЗ.

Может ли работник подать согласие на распространение через Роскомнадзор?

Часть 6 статьи 10.1 152-ФЗ позволяет передать согласие на распространение оператору напрямую или через информационную систему Роскомнадзора. Содержание согласия в обоих случаях должно соответствовать требованиям приказа Роскомнадзора от 24.02.2021 № 18, в том числе с перечнем запретов и условий, которые установил работник.