Обработку персональных данных работников и кандидатов Роскомнадзор проверяет по устойчивому набору вопросов: есть ли компания в реестре операторов, утверждены ли политика и локальные акты, назначен ли ответственный, на каком основании собраны данные и кто ещё получает к ним доступ. На письменный запрос РКН оператор отвечает в течение 10 рабочих дней, срок продлевается ещё на 5 рабочих дней по мотивированному уведомлению. Для работников большая часть обработки идёт на основании ТК РФ без согласия, а для кандидатов, передачи данных третьим лицам и публикации на сайте нужно письменное согласие, с 1 сентября 2025 года — отдельным документом.
Ниже — комплект документов, который собирают до запроса, и порядок ответа по шагам. Отдельно показываем три места, где работодатели нарушают чаще всего: согласие внутри трудового договора, облачный КЭДО без согласий на передачу данных провайдеру, доступ всей кадровой службы ко всем личным делам. Таблица штрафов по статье 13.11 КоАП в редакции с 30 мая 2025 года, сроки при утечке, сценарии для разных компаний, тарифы на хранение кадровых документов и ответы на частые вопросы — во второй половине статьи.
Как Роскомнадзор проверяет работодателя и сколько времени даётся на ответ
От формы контроля зависит, сколько времени есть на подготовку. Плановая проверка попадает в ежегодный план, который Роскомнадзор публикует до начала года, поэтому компания видит себя в плане заранее. В 2026 году полного моратория на проверки нет: при формировании планов профилактических визитов на 2026 год РКН учитывал операторов, начавших обработку персональных данных в 2025 году, а также компании, которые обрабатывают биометрию или передают данные за рубеж.
Профилактический визит проходит как беседа с инспектором: он запрашивает документы, консультирует и показывает слабые места, но предписание по итогам визита не выдаётся. Внеплановая проверка запускается по конкретному поводу — жалобе работника или кандидата, сведениям об утечке, результатам наблюдения за сайтом компании. Самая частая форма для среднего бизнеса — письменный запрос информации. По части 4 статьи 20 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) оператор отвечает в течение 10 рабочих дней с даты получения запроса; продление ещё на 5 рабочих дней возможно, только если оператор до истечения срока направил в РКН мотивированное уведомление с причинами.
Работник или кандидат вправе запросить у оператора сведения о своих данных по статье 14 152-ФЗ. Срок ответа тот же: 10 рабочих дней с продлением на 5 рабочих дней. Неответ субъекту — самостоятельное нарушение, и именно такие жалобы чаще всего становятся поводом для внеплановой проверки.
Проверьте в корпоративной почте и ЭДО, кто принимает входящие письма от территориального органа РКН и за сколько дней письмо доходит до ответственного за персональные данные. Десять рабочих дней считаются с даты получения, а не с даты, когда запрос увидел юрист.
Какие документы по персональным данным запросит РКН
Запрос Роскомнадзора к работодателю строится по статьям 18.1, 19 и 22 152-ФЗ и статьям 86-88 Трудового кодекса РФ. Инспектор сверяет не наличие папки с документами, а совпадение трёх источников: сведений в реестре операторов, локальных актов компании и фактической обработки в 1С, КЭДО, на сайте и в почте.
| Документ | Основание | Что сверяет инспектор |
|---|---|---|
| Уведомление о намерении осуществлять обработку персональных данных | ст. 22 152-ФЗ, формы по приказу РКН от 28.10.2022 № 180 | Есть ли запись в реестре операторов; совпадают ли цели, категории данных и субъектов, сведения о трансграничной передаче и месте баз данных с фактом |
| Уведомление об изменении сведений | ч. 7 ст. 22 152-ФЗ | Подано ли не позднее 15-го числа месяца, следующего за месяцем изменений: новая система КЭДО, новый адрес, смена ответственного |
| Политика в отношении обработки персональных данных | ч. 2 ст. 18.1 152-ФЗ | Опубликована ли на сайте, если данные собираются через сайт, или иначе обеспечен неограниченный доступ к ней |
| Приказ о назначении ответственного за организацию обработки | ст. 22.1 152-ФЗ | Назначен ли конкретный работник, совпадают ли его данные со сведениями в реестре |
| Положение или правила обработки персональных данных, перечень обрабатываемых данных и целей | ст. 18.1 152-ФЗ, ст. 87 ТК РФ | Для каждой цели указаны категории данных, субъекты, сроки обработки и хранения, порядок уничтожения |
| Листы ознакомления работников | п. 8 ст. 86 ТК РФ, ст. 18.1 152-ФЗ | Ознакомлены ли под подпись работники с документами о порядке обработки, а кадровики и бухгалтеры — с требованиями к защите |
| Согласия на обработку персональных данных | ст. 9, ст. 10.1 152-ФЗ, ст. 88 ТК РФ | Есть ли согласия там, где закон их требует, оформлены ли они отдельным документом, указаны ли цели, срок и порядок отзыва |
| Акт оценки вреда, который может быть причинён субъектам | приказ РКН от 27.10.2022 № 178 | Проведена ли оценка и определена ли степень вреда |
| Акты и выгрузки из журнала об уничтожении персональных данных | ст. 21 152-ФЗ, приказ РКН от 28.10.2022 № 179 | Уничтожаются ли данные отказанных кандидатов и уволенных работников по истечении сроков |
Большинство претензий возникает не из-за отсутствия документа, а из-за расхождения: в уведомлении указана только 1С, а данные хранятся ещё и в облачном КЭДО; в положении написано «хранение 30 дней», а резюме лежат в почте годами. Прежде чем отвечать на запрос, откройте свою запись в реестре и сравните её с тем, как данные обрабатываются сегодня.
Полезно знать: оценка соответствия системы требованиям 152-ФЗ обязательна, но провести её можно двумя способами. Самостоятельно — тогда итоговый документ называется актом оценки соответствия, или с привлечением лицензиата ФСТЭК — тогда это аттестация, и по её итогам выдаётся аттестат либо замечания.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Кому уведомление в РКН не нужно
С 1 сентября 2022 года прежнее исключение для обработки данных «в рамках трудовых отношений» отменено. Уведомлять Роскомнадзор не нужно только в случаях из части 2 статьи 22 152-ФЗ: данные обрабатываются в целях защиты безопасности государства и общественного порядка, транспортной безопасности, либо оператор обрабатывает их исключительно без средств автоматизации. Компания, которая ведёт кадровый учёт в 1С, считает зарплату в любой программе или хранит список сотрудников в таблице, под исключение не попадает. Форма уведомления, порядок подачи на бумаге, с УКЭП или через ЕСИА и уведомление об изменении сведений размещены на портале персональных данных Роскомнадзора. Сведения об ответственном за организацию обработки, которые вы указываете в уведомлении, становятся общедоступными: согласуйте это с работником до подачи.
Как подготовить ответ на запрос Роскомнадзора: пошаговая инструкция
- Шаг 1. Зарегистрируйте запрос и зафиксируйте дату получения. От неё идёт срок 10 рабочих дней. Если комплект заведомо не успеть собрать, до истечения срока направьте в РКН мотивированное уведомление о продлении на 5 рабочих дней.
- Шаг 2. Передайте запрос ответственному за организацию обработки персональных данных, назначенному приказом. Если приказа нет, его издают до ответа, а не после.
- Шаг 3. Выгрузите свою запись из реестра операторов и сверьте её с фактом: цели, категории субъектов (работники, родственники работников, кандидаты, уволенные), перечень данных, информационные системы, место нахождения баз данных. При расхождении подайте уведомление об изменении сведений.
- Шаг 4. Соберите локальные акты: политику, положение или правила обработки, приказ об ответственном, перечень лиц с доступом, акт оценки вреда, документы по оценке соответствия системы требованиям 152-ФЗ.
- Шаг 5. Проверьте согласия по каждой цели, где они требуются: кандидаты, передача третьим лицам, публикация на сайте. Согласия, оформленные после 1 сентября 2025 года, должны быть отдельными документами.
- Шаг 6. Приложите листы ознакомления работников с документами о порядке обработки и акты об уничтожении данных за последний период.
- Шаг 7. Отвечайте строго на поставленные вопросы, со ссылками на пункты локальных актов, и сохраните копию ответа с отметкой об отправке.
Согласие на обработку персональных данных: когда оно нужно работодателю, а когда нет
Согласие — одно из оснований обработки по статье 6 152-ФЗ, и не единственное. Данные работника для исполнения трудового договора, расчёта зарплаты, сдачи ЕФС-1 в Социальный фонд России, отчётности в ФНС и воинского учёта работодатель обрабатывает на основании закона и договора, согласие на эти цели не требуется. Письменное согласие нужно в пяти ситуациях:
- передача данных работника третьим лицам, кроме случаев, прямо установленных федеральным законом, — статья 88 ТК РФ; сюда относится облачный провайдер КЭДО и внешняя служба безопасности;
- обработка данных кандидатов: до заключения трудового договора основания «исполнение договора» ещё нет;
- распространение данных, например публикация ФИО, должности и фото сотрудника на сайте, — отдельное согласие по статье 10.1 152-ФЗ;
- получение данных работника у третьей стороны — работника заранее уведомляют и получают письменное согласие по пункту 3 статьи 86 ТК РФ;
- обработка специальных категорий и биометрических персональных данных — статьи 10 и 11 152-ФЗ.
Отдельный документ: требование с 1 сентября 2025 года
Федеральный закон от 24.06.2025 № 156-ФЗ установил, что согласие на обработку персональных данных оформляется отдельно от иных документов, которые субъект подтверждает или подписывает. Пункт о согласии в трудовом договоре, анкете, заявлении о приёме на работу или форме отклика на сайте больше не работает как согласие. Согласия, оформленные до 1 сентября 2025 года, продолжают действовать, переподписывать их не нужно. Новые согласия собирают отдельным листом или отдельным электронным документом, подписанным электронной подписью по 63-ФЗ.
По части 4 статьи 9 152-ФЗ письменное согласие содержит: ФИО, адрес и данные документа, удостоверяющего личность субъекта; наименование и адрес оператора; цель обработки; перечень данных; наименование или ФИО лица, которое обрабатывает данные по поручению оператора, если такое лицо есть; перечень действий и способов обработки; срок действия и порядок отзыва; подпись. Согласие без цели или с формулировкой «для любых целей» инспектор не примет.
Кандидаты и проверка службой безопасности
Проверка кандидата по базам ФССП, МВД, судов и на аффилированность законна только при его письменном согласии на обработку персональных данных по 152-ФЗ. Если кандидату отказали и он не дал согласия на включение в кадровый резерв, его данные уничтожают в течение 30 дней. Резюме, которые годами лежат в почте рекрутера и в общих папках, инспектор найдёт первыми.
Важный нюанс из практики: аутсорсинговые службы безопасности, которые проверяют кандидатов для HR, работают как самостоятельные операторы персональных данных с уведомлением в РКН. ФИО, дату рождения, ИНН и паспортные данные им передаёт заказчик, и согласие кандидата получает тоже заказчик. Канал передачи стороны выбирают сами — защищённая почта, флеш-накопитель, мессенджер, — поэтому канал и срок удаления данных после проверки фиксируют в договоре со службой безопасности.
Лайфхак: прежде чем отправлять данные кандидатов внешней службе безопасности, проверьте, что она есть в реестре операторов персональных данных Роскомнадзора. Добросовестная служба продолжает работу, только когда видит подписанное согласие кандидата.
Чтобы не собирать согласие из разрозненных шаблонов, мы добавили на dobyto.ru конструктор: он формирует DOCX-согласие с целями обработки, сроком действия и оговоркой об отзыве по 152-ФЗ. Готовый файл остаётся отдельным документом, как требует закон с 1 сентября 2025 года.
Соберите согласие работника или кандидата с целями и сроком
Образцы согласий и правил обработки персональных данных для работодателя
Комплект закрывает документы, которые РКН запрашивает первыми; начните с правил обработки персональных данных и сверьте с ними цели в согласиях.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных (PDF) | Скачать |
| Согласие на обработку персональных данных (DOCX) | Скачать |
| Согласие кандидата на проверку службой безопасности (DOCX) | Скачать |
| Положение о проверке кандидатов службой безопасности (DOCX) | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата электронной подписи (DOCX) | Скачать |
Правила обработки в комплекте составлены в 2023 году: перед утверждением сверьте их с требованием об отдельном согласии и новыми штрафами 2025 года.
КЭДО и облачные сервисы: что спросят о третьих лицах и доступе
Если кадровые документы хранятся в облачной системе КЭДО, данные работников уходят провайдеру. Если подписи выпускает сторонний удостоверяющий центр — ещё и ему, если серверы арендованы — владельцу серверов. По части 3 статьи 6 152-ФЗ оператор поручает обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, а статья 88 ТК РФ запрещает передавать данные работника третьей стороне без его письменного согласия. Переход на облачный КЭДО — это ещё и изменение сведений в реестре операторов: меняются информационные системы и место нахождения баз данных.
Мария Ж, специалист по цифровой подписи и КЭДО: «Кадровые документы — это персональные данные, причём чувствительные: сведения о семье, здоровье, доходах. Как только они уходят к внешнему провайдеру, появляется третье лицо, и передача ему данных должна быть основана на согласии работника. Поэтому спрашивайте у вендора не «данные хранятся защищённо», а список всех, кто получит доступ. Обычно там не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр.»
Внимание: выбор облачного КЭДО — не только технический выбор. Вместе с ним появляется обязанность собрать согласия работников на передачу данных третьим лицам и объяснить людям, кому именно данные передаются.
Важный нюанс из практики: на вебинаре по выбору системы КЭДО, который мы разбирали для базы знаний Добыто, самым популярным критерием у кадровиков оказалось хранение персональных данных только на своих серверах — выше гибкости системы, стоимости и интерфейса. За хранение данных отвечает конкретный человек, и по нему бывают проверки. Для компаний с таким требованием в Добыто есть тариф с выделенным сервером.
Согласие на переход на КЭДО по статье 22.2 ТК РФ и согласие на обработку персональных данных — разные документы с разными основаниями. Первое фиксирует выбор работника между бумагой и электронным документом, второе нужно только для целей, где закон требует согласия, например для передачи данных провайдеру.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Второй вопрос инспектора к КЭДО — разграничение доступа. Роскомнадзор смотрит перечень лиц, допущенных к обработке, и сравнивает его с ролями в системе.
Мария Ж, юрист со стажем более 20 лет: «Доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Требование разграничения доступа одинаково работает и для архива, и для системы КЭДО. До проверки выгрузите роли пользователей и сверьте их с приказом о допуске к персональным данным.»
Перед ответом на запрос РКН запросите у вендора КЭДО три вещи: где физически хранятся данные, полный перечень лиц с доступом к ним и журнал обращений к документам с разбивкой по ролям.
Хранение и уничтожение персональных данных работников
Персональные данные хранятся не дольше, чем требуют цели обработки, но кадровые документы подчиняются архивным срокам, и эти два требования работают вместе. Пункт 2 статьи 13 Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации» разрешает организации самостоятельно создавать архив и организовывать хранение документов. Сроки задаёт перечень Росархива: графики отпусков и табели хранятся 5 лет, трудовые договоры и приказы по личному составу — 50 или 75 лет, локальные нормативные акты и штатные расписания — постоянно. В КЭДО сроки те же, что для бумаги.
По статье 21 152-ФЗ при достижении цели обработки или отзыве согласия данные уничтожают в течение 30 дней, если нет другого законного основания их хранить. Неправомерную обработку прекращают в течение 3 рабочих дней с момента выявления, а данные, которые невозможно обработать правомерно, уничтожают в течение 10 рабочих дней. Подтверждение уничтожения оформляется по приказу РКН № 179: при обработке без средств автоматизации — актом, при автоматизированной обработке — актом и выгрузкой из журнала регистрации событий информационной системы. Отзыв согласия работником не отменяет хранения трудового договора и приказов: здесь основание — закон, а не согласие.
Факт: форматы кадровых электронных документов задаёт Минтруд, а сроки и правила хранения — Росархив. Если кадровый документ подписан уполномоченным работником по доверенности, машиночитаемая доверенность входит в комплект хранения документа.
Мария Ж, соучредитель сервиса КЭДО Добыто: «При проверке, при споре или при смене оператора вам понадобится не картинка на экране, а файлы. Поэтому вопрос к системе не «хранит ли она», а выгружает ли она комплект целиком: сам документ, файл подписи отдельно и доверенность, если подписано по ней. И если кадровые документы подписывает уполномоченный работник, при его увольнении первой отзывается доверенность.»
В Добыто электронный архив входит в тариф «Бизнес» вместе с интеграцией с 1С. Проверьте в своей системе, можно ли выгрузить личное дело одного работника с файлами подписей за один приём.
Персональные данные и коммерческая тайна: два разных режима
Персональные данные конфиденциальны в силу статьи 7 152-ФЗ: оператор не раскрывает их без согласия субъекта, если иное не предусмотрено законом, и для этого не нужен ни перечень, ни гриф. Режим коммерческой тайны по Федеральному закону от 29.07.2004 № 98-ФЗ «О коммерческой тайне» возникает только после мер из статьи 10: перечня сведений, ограничения доступа, учёта лиц, получивших доступ, условий в трудовых и гражданско-правовых договорах и грифа «Коммерческая тайна» с указанием обладателя. Включение данных работников в перечень коммерческой тайны не освобождает компанию от обязанностей оператора: уведомления, политики, согласий и сроков уничтожения. Если локальные акты о коммерческой тайне и о персональных данных у вас объединены в один документ, проверьте, что в нём отдельно описаны цели, категории и сроки обработки персональных данных.
Утечка и штрафы по статье 13.11 КоАП: во что обходится ошибка
При утечке персональных данных работодатель уведомляет Роскомнадзор дважды по части 3.1 статьи 21 152-ФЗ: в течение 24 часов — о самом инциденте, предполагаемых причинах, возможном вреде и принятых мерах, в течение 72 часов — о результатах внутреннего расследования и о лицах, чьи действия привели к утечке. Утечка у провайдера КЭДО или внешней службы безопасности не снимает этой обязанности с работодателя как оператора.
С 30 мая 2025 года действует редакция статьи 13.11 КоАП по Федеральному закону от 30.11.2024 № 420-ФЗ. Размеры штрафов для юридических лиц и должностных лиц:
| Нарушение | Юридическое лицо | Должностное лицо |
|---|---|---|
| Обработка без законных оснований (ч. 1) | 150 000-300 000 руб. | 50 000-100 000 руб. |
| Обработка без письменного согласия, когда оно обязательно (ч. 2) | 300 000-700 000 руб. | 100 000-300 000 руб. |
| То же повторно (ч. 2.1) | 1 000 000-1 500 000 руб. | 300 000-500 000 руб. |
| Неопубликование политики или необеспечение доступа к ней (ч. 3) | 30 000-60 000 руб. | 6 000-12 000 руб. |
| Непредоставление субъекту информации о его данных (ч. 4) | 40 000-80 000 руб. | 8 000-12 000 руб. |
| Неуведомление РКН о начале обработки (ч. 10) | 100 000-300 000 руб. | — |
| Неуведомление РКН об утечке (ч. 11) | 1 000 000-3 000 000 руб. | 400 000-800 000 руб. |
| Утечка данных 1 000-10 000 субъектов | 3 000 000-5 000 000 руб. | 200 000-300 000 руб. |
| Повторная утечка | 1-3% выручки, не более 500 млн руб. | — |
Для работодателя средней численности самые вероятные строки — вторая и шестая. Согласие кандидата, спрятанное в анкету после 1 сентября 2025 года, формально означает обработку без письменного согласия: 300 000-700 000 руб. за первое нарушение и до 1 500 000 руб. за повторное. Штраф не отменяет предписания: согласия всё равно придётся собрать заново, а данные кандидатов, собранные без основания, — уничтожить с актом.
Что проверить в первую очередь: четыре типовые ситуации
Набор приоритетов зависит от того, где и как компания собирает данные. Сценарии ниже закрывают основные конфигурации работодателей.
| Ситуация | Критично | Вторично |
|---|---|---|
| Небольшая компания, кадры и зарплата в 1С, сайта с формами нет | Уведомление в РКН, приказ об ответственном, положение об обработке, ознакомление работников под подпись | Отдельные согласия: для целей по ТК РФ они не нужны |
| На сайте есть форма отклика на вакансию | Политика на сайте, отдельное согласие кандидата, уничтожение данных отказанных кандидатов в течение 30 дней | Согласие на распространение, если данные кандидатов не публикуются |
| Кадровые документы в облачном КЭДО | Согласия на передачу третьим лицам, список лиц с доступом, роли пользователей, изменения в реестре операторов, выгрузка комплекта документов | Аттестация системы, если оценку соответствия допустимо провести самостоятельно |
| Кандидатов проверяет внешняя служба безопасности | Согласие кандидата на проверку, служба в реестре операторов, канал передачи и срок удаления данных в договоре | Положение о проверке кандидатов, если проверка разовая |
Если компания обрабатывает данные исключительно на бумаге, без средств автоматизации, уведомление в РКН не подаётся, но положение, ответственный, согласия и сроки уничтожения остаются обязательными. Для самозанятых и исполнителей по договору ГПХ статьи 86-88 ТК РФ не применяются: их данные обрабатываются на основании договора по 152-ФЗ.
Стоимость КЭДО с хранением персональных данных работников: тарифы Добыто
Стоимость зависит от численности, нужных видов подписи и требований к размещению данных: для выделенного сервера действует отдельный тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес; минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | — |
| Модуль для 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
| УКЭП для сотрудников | через партнёров — удостоверяющие центры | — |
Цены действуют на дату публикации. Итог определяется численностью штата и тем, нужны ли компании УКЭП, интеграция с 1С и отдельный сервер для хранения персональных данных; актуальные условия опубликованы на странице тарифов Добыто КЭДО. Тариф можно повысить или понизить в любое время, разница при повышении пересчитывается пропорционально оставшемуся периоду.
Выводы
К запросу Роскомнадзора работодатель готов, когда запись в реестре операторов совпадает с реальными системами, а локальные акты описывают каждую цель обработки со сроками и порядком уничтожения. Согласие нужно не везде: для целей по ТК РФ хватает закона и договора, но кандидаты, облачные провайдеры, внешняя служба безопасности и публикация на сайте требуют отдельного письменного документа. Самые дорогие ошибки 2025-2026 годов связаны не с отсутствием бумаг, а с неучтённой передачей данных третьим лицам и несвоевременным уведомлением об утечке.
В Добыто согласия, ЛНА и кадровые документы подписываются электронной подписью и хранятся в электронном архиве с выгрузкой комплекта для проверки, поэтому ответ на запрос инспектора собирается из одной системы, а не из почты и сетевых папок.
Частые вопросы
Кто отвечает перед Роскомнадзором: компания, директор или ответственный за обработку?
Штраф по статье 13.11 КоАП могут наложить и на юридическое лицо, и на должностное лицо, чья обязанность нарушена: обычно это ответственный за организацию обработки, назначенный приказом по статье 22.1 152-ФЗ, или руководитель, если ответственный не назначен. По статье 90 ТК РФ лица, виновные в нарушении норм об обработке и защите персональных данных работника, несут дисциплинарную, материальную, административную, гражданско-правовую или уголовную ответственность.
Нужно ли подавать уведомление в РКН, если в компании работают только исполнители по договорам ГПХ?
Да, если данные исполнителей обрабатываются с использованием средств автоматизации: исключения части 2 статьи 22 152-ФЗ не зависят от вида договора. В уведомлении такие лица указываются как отдельная категория субъектов, а основанием обработки служит исполнение договора по пункту 5 части 1 статьи 6 152-ФЗ.
Можно ли подписать согласие на обработку персональных данных простой электронной подписью?
Часть 4 статьи 9 152-ФЗ признаёт равнозначным письменному согласие в форме электронного документа, подписанного электронной подписью по 63-ФЗ. Для ПЭП и УНЭП равнозначность возникает только при соглашении между участниками обмена и локальном акте с правилами определения лица по его подписи. Для кандидата, который ещё не работник, такое соглашение нужно заключить до подписания согласия.
Сколько хранить подписанные согласия?
По части 3 статьи 9 152-ФЗ обязанность доказать получение согласия лежит на операторе. Поэтому согласие хранят весь срок обработки данных, на которую оно получено, и при отзыве — вместе с документом об отзыве и актом об уничтожении данных.
Может ли ГИТ проверить персональные данные работников вместо РКН?
Да. Государственная инспекция труда проверяет соблюдение главы 14 ТК РФ — статей 85-90 о персональных данных работника, включая ознакомление с документами о порядке обработки и передачу данных третьим лицам. Нарушения ГИТ квалифицирует по статье 5.27 КоАП, Роскомнадзор — по статье 13.11 КоАП, и проверки этих органов не исключают друг друга.
Утечка произошла у провайдера КЭДО. Кто уведомляет РКН?
Уведомляет оператор, то есть работодатель: по части 5 статьи 6 152-ФЗ ответственность перед субъектом за действия лица, обрабатывающего данные по поручению, несёт оператор. Провайдер отвечает перед работодателем по договору поручения, поэтому в нём фиксируют срок, за который провайдер сообщает об инциденте, чтобы работодатель уложился в 24 часа.
