Согласие на обработку персональных данных — это одно из оснований, по которым закон разрешает организации собирать и использовать сведения о человеке, и далеко не единственное. Подписывая эту фразу, вы разрешаете названному в документе оператору конкретные действия с конкретным перечнем данных ради конкретной цели: шире написанного согласие не читается. Часть 1 статьи 9 152-ФЗ требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным и оформлялось отдельно от других документов. Главное различие, от которого зависит всё остальное: для оформления трудового договора, расчёта зарплаты и отчётности в СФР работодателю ваше согласие не нужно, он опирается на закон и договор; согласие требуется там, где данные выходят за эти цели, — проверка службой безопасности, публикация фото, передача подрядчику.
Разберём, чем согласие отличается от обязательства о неразглашении и режима коммерческой тайны, какие девять позиций обязаны быть в письменном согласии по части 4 статьи 9 и почему галочка по умолчанию и пункт внутри трудового договора не работают. Покажем, что происходит после отзыва согласия и какие данные работодатель всё равно обязан хранить. Штрафы 2026 года по статье 13.11 КоАП, таблица целей и оснований обработки, шаблоны согласий и ответы на частые вопросы — во второй половине статьи.
Конструктор ниже соберёт согласие на обработку персональных данных в формате .docx: с целями, сроком действия и оговоркой об отзыве по 152-ФЗ.
Что юридически означает подпись под согласием на обработку персональных данных
Подпись под согласием переводит обработку ваших данных в законный режим по одному конкретному основанию из одиннадцати, перечисленных в части 1 статьи 6 152-ФЗ. Остальные десять оснований работают без вашего участия: исполнение договора, требование федерального закона, судебный акт, защита жизни и здоровья. Отсюда следует практический вывод, который обычно удивляет: отсутствие вашей подписи не означает, что обработка незаконна, а наличие подписи не делает законной любую обработку.
Оператор персональных данных по статье 3 152-ФЗ — это тот, кто определяет цели и состав обрабатываемых данных. Работодатель всегда оператор. Кадровое агентство, аутсорсер проверки кандидатов, оператор КЭДО и удостоверяющий центр — тоже операторы или лица, обрабатывающие данные по поручению оператора. Числится ли конкретная организация в реестре операторов персональных данных Роскомнадзора, проверяется по ИНН за минуту, и это первое, что стоит сделать, когда согласие просит не работодатель, а сторонний сервис.
Мария Ж, юрист со стажем более 20 лет: «Согласие читается буквально и только в тех границах, которые в нём написаны. Если в документе указана цель «оформление трудовых отношений», проверка кредитной истории по этому же бланку уже не проходит, а обязанность доказать, что согласие вообще получено, часть 3 статьи 9 возлагает на оператора, а не на человека. Посмотрите в своём экземпляре пункт о целях: он и показывает, что именно вы разрешили.»
Чего согласие не даёт оператору
Четыре распространённых заблуждения снимаются сразу:
- Согласие не передаёт права на данные. Вы остаётесь субъектом персональных данных и сохраняете право знать, кто и зачем их обрабатывает.
- Согласие не действует бессрочно. Срок и способ отзыва входят в обязательный состав документа по пункту 8 части 4 статьи 9.
- Согласие на обработку не равно согласию на распространение. Публикация данных в открытом доступе регулируется отдельной статьёй 10.1 и отдельным документом.
- Согласие не отменяет обязанностей оператора по защите данных. Утечка остаётся нарушением независимо от того, подписали вы бланк или нет.
Когда согласие обязательно, а когда работодателю оно не нужно
Разграничение простое по логике и сложное на практике: обработка для исполнения договора, стороной которого является сам человек, идёт по пункту 2 части 1 статьи 6 152-ФЗ и согласия не требует. Трудовой договор — это договор. Поэтому приём на работу по статье 65 ТК РФ, начисление зарплаты, ведение личной карточки, сдача ЕФС-1 в Социальный фонд России и удержание НДФЛ обходятся без отдельного бланка. Согласие включается там, где появляется цель за пределами трудовых отношений или третье лицо.
| Цель обработки данных работника | Основание | Отдельное согласие |
|---|---|---|
| Оформление приёма, трудовой договор, приказы, личная карточка | п. 2 ч. 1 ст. 6 152-ФЗ, ст. 65 ТК РФ | Не требуется |
| Расчёт зарплаты, НДФЛ, отчётность в СФР и ФНС, воинский учёт | Исполнение обязанности, возложенной законом | Не требуется |
| Проверка кандидата службой безопасности: судимости, исполнительные производства, кредитная история | ст. 9 152-ФЗ, ст. 86 ТК РФ | Требуется, письменное |
| Получение сведений о работнике у третьей стороны, включая прежнего работодателя | ст. 86 ТК РФ | Требуется, с предварительным уведомлением работника |
| Передача данных третьим лицам: аутсорсер проверки, страховая компания, партнёр по обучению | ст. 88 ТК РФ | Требуется, письменное |
| Публикация фотографии, должности и контактов на сайте и в соцсетях компании | ст. 10.1 152-ФЗ | Требуется отдельное согласие на распространение |
| Оценка 360, корпоративное обучение через внешнюю платформу | ст. 9 152-ФЗ, поручение на обработку | Требуется, письменное |
Из таблицы видно, где проходит граница: согласие нужно там, где данные покидают контур обязательных кадровых процедур. Тот же принцип объясняет, почему отказ подписать согласие на проверку службой безопасности законен, а отказ предъявить паспорт при трудоустройстве — нет.
Мария Ж, HR-эксперт с 13-летним стажем: «Компании массово собирают согласия там, где достаточно трудового договора и прямых требований ТК РФ, и одновременно не берут его там, где оно действительно нужно: на проверку службой безопасности и на передачу данных подрядчику. Это не осторожность, а перепутанные основания. Выпишите свои цели обработки в столбик и напротив каждой поставьте норму, а не название бланка.»
Когда требовать согласие избыточно и даже рискованно
Избыточное согласие вредит обеим сторонам. Работодатель, который берёт бланк там, где закон даёт ему самостоятельное основание, фактически ставит законность процесса в зависимость от воли работника: отозвал согласие — и формально основание исчезло, хотя обязанность сдавать отчётность никуда не делась. Работник, подписывая универсальное согласие «на любые действия с любыми данными», получает документ, который не защищает его ни от чего, потому что не описывает ни цели, ни перечень.
В практике Добыто самый частый дефект пакета — одно универсальное согласие вместо набора документов под каждую цель. Оно не спасает при проверке и не помогает в споре: раскрыть, на что именно человек согласился, по такому тексту невозможно.
Внимание: статья 22.2 ТК РФ требует отдельного письменного согласия каждого работника на взаимодействие через КЭДО. Согласие на обработку персональных данных его не заменяет: это два разных документа, и без второго ведение кадровых документов в электронном виде может быть признано незаконным при проверке или споре.
Обязательный состав согласия: девять позиций части 4 статьи 9
Когда закон требует письменной формы, содержание бланка задано жёстко. Часть 4 статьи 9 152-ФЗ перечисляет девять позиций: фамилия, имя, отчество, адрес субъекта и реквизиты документа, удостоверяющего личность; те же сведения о представителе и реквизиты его доверенности, если согласие даёт представитель; наименование и адрес оператора; цель обработки; перечень персональных данных; наименование и адрес лица, которому обработка поручена; перечень действий с данными и общее описание способов обработки; срок действия согласия и способ его отзыва; подпись субъекта.
Отсутствие любой из позиций делает документ уязвимым. Самые частые пропуски — способ отзыва и наименование обработчика: без второго передача данных в стороннюю систему проверки или на платформу обучения оказывается не подкреплённой ничем.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как проверить бланк согласия до того, как его подписать: пошаговая инструкция
- Шаг 1. Найдите пункт о целях. Формулировки вида «и в иных целях», «для нужд компании», «в любых законных целях» означают, что цель не определена, а значит согласие не конкретное по части 1 статьи 9.
- Шаг 2. Сверьте перечень данных с целью. Паспорт, СНИЛС и ИНН для оформления приёма уместны, сведения о родственниках, кредитная история и медицинские данные для той же цели избыточны.
- Шаг 3. Проверьте, названы ли третьи лица. Если данные уйдут аутсорсеру или в облачный сервис, его наименование и адрес должны быть в тексте.
- Шаг 4. Найдите срок действия и порядок отзыва. Отсутствие этого пункта — основание требовать переделки бланка.
- Шаг 5. Убедитесь, что согласие оформлено отдельным документом. Пункт внутри трудового договора, оферты или анкеты требованию части 1 статьи 9 об оформлении отдельно от других документов не соответствует.
- Шаг 6. Заберите свой экземпляр. Доказывать факт получения согласия обязан оператор, но в споре о содержании бланка ваш экземпляр закрывает вопрос быстрее переписки.
Шаблоны согласий для кадрового оформления и проверки кандидатов
Комплект закрывает основные цели обработки в кадровом процессе; начните с базового согласия на обработку, остальные добавляются под конкретную задачу.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Согласие на проверку кредитной истории | Скачать |
| Согласие на обработку ПДн для выпуска сертификата электронной подписи | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
Согласие на обработку и согласие на распространение: два разных документа
Статья 10.1 152-ФЗ ввела отдельный режим для случая, когда данные становятся доступны неограниченному кругу лиц. Молчание или бездействие субъекта согласием на распространение не считается, а требования к содержанию такого согласия установлены приказом Роскомнадзора от 24.02.2021 № 18. Практически это значит, что фотография сотрудника на корпоративном сайте, ФИО и должность в открытом разделе «Наша команда», публикация в соцсетях компании и запись выступления на конференции требуют не того бланка, который человек подписал при приёме.
Второй режим, который путают с согласием, — передача данных третьей стороне внутри закрытого контура. Статья 88 ТК РФ прямо запрещает работодателю сообщать персональные данные работника третьей стороне без его письменного согласия, кроме случаев предупреждения угрозы жизни и здоровью и других случаев, установленных ТК РФ и федеральными законами. Аутсорсинговая проверка кандидата попадает именно сюда: данные человека уходят исполнителю, и без согласия эта передача неправомерна.
Полезно знать: компания, которая проверяет кандидатов на аутсорсе, должна состоять в реестре операторов персональных данных, а согласие получает заказчик и передаёт исполнителю вместе с данными. После передачи отчёта данные у исполнителя не остаются: их удаляют по истечении оговорённого в договоре срока.
Согласие на персональные данные, коммерческая тайна и обязательство о неразглашении
Три документа, которые в кадровых пакетах лежат рядом и регулируют разное. Согласие на обработку персональных данных по 152-ФЗ разрешает оператору действия с данными человека. Обязательство о неразглашении по статье 11 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» запрещает работнику раскрывать сведения работодателя. Направления противоположные, и один документ вторым не закрывается.
Режим коммерческой тайны работает только при полном комплекте: утверждён перечень сведений, составляющих коммерческую тайну, введён режим с учётом носителей и ограничением доступа, работник ознакомлен с перечнем и режимом под подпись. Без этого требовать от работника ответственности за разглашение бессмысленно. Статья 5 98-ФЗ отдельно перечисляет, что коммерческой тайной быть не может: численность и состав работников, система оплаты труда, условия труда, охрана труда, наличие свободных рабочих мест, задолженность по заработной плате. Персональные данные коллег в перечень коммерческой тайны тоже не входят: они защищаются главой 14 ТК РФ как конфиденциальная информация с собственным режимом доступа.
Мария Ж, судебный эксперт по трудовому праву: «Согласие на обработку данных и обязательство о неразглашении решают разные задачи и не заменяют друг друга. Режим коммерческой тайны по 98-ФЗ появляется только когда утверждён перечень сведений, введён режим и работник ознакомлен с ним под подпись, а персональные данные коллег в этот перечень не входят и защищаются по главе 14 ТК РФ. Проверьте, есть ли у вас оба документа, а не один вместо другого.»
Электронное согласие: когда файл равен бумаге
Часть 4 статьи 9 приравнивает к письменному согласию на бумаге согласие в форме электронного документа, подписанного электронной подписью по правилам 63-ФЗ. Ограничение при этом сохраняется: подпись должна быть той, которая допустима для этого документа, а сам факт подписания должен подтверждаться. Галочка в веб-форме, проставленная по умолчанию, ни тем ни другим не является: закон требует активного и однозначного действия субъекта.
В кадровом контуре согласия живут внутри КЭДО, и здесь появляется вторая связка требований. Электронные кадровые документы признаются доказательствами, если КЭДО введён по правилам статей 22.1-22.3 ТК РФ: есть локальный акт, перечень документов и категорий работников, порядок создания личного кабинета и подписания, письменное согласие каждого работника на электронное взаимодействие и подтверждённое ознакомление с локальным актом. В сервисе Добыто согласие приходит работнику в личный кабинет и подписывается с телефона, а факт подписания фиксируется в журнале действий, который выгружается для проверки или спора.
Кейс из практики: спор об увольнении работника, подавшего заявление через систему КЭДО, прошёл четыре инстанции и закончился восстановлением работника. У работодателя были и Положение о КЭДО, и перечень документов, и согласие работника. Перевесили три обстоятельства: электронную подпись выдали работнику в день подписания заявления об увольнении, фактически за него подписывал другой человек, и всё это зафиксировала собственная информационная система работодателя.
Мария Ж, специалист по цифровой подписи и КЭДО: «Согласие в форме электронного документа равнозначно бумажному, если подписано электронной подписью по правилам 63-ФЗ, и это прямо написано в части 4 статьи 9. В споре смотрят не на саму подпись, а на обстоятельства её выдачи: совпадение даты выдачи ключа с датой подписания документа суд читает не в пользу работодателя. Разведите эти даты и проверьте, описан ли в вашем локальном акте порядок идентификации работника при подписании.»
Лайфхак: первые дни работы человека в системе КЭДО — зона повышенного риска ошибочных действий, и суды это прямо учитывают. Выдачу электронной подписи и подписание пакета кадровых документов имеет смысл разнести по датам, а значимые действия в первую неделю подтверждать вне системы.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Отзыв согласия: срок, последствия и что удалить не получится
Право отозвать согласие закреплено частью 2 статьи 9 и ничем не обусловлено: объяснять причины не нужно. Отзыв подаётся тому оператору, который указан в бланке, в свободной форме. По общему правилу статьи 21 152-ФЗ оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней с момента получения отзыва.
Дальше начинается то, чего в типовых статьях обычно нет. Отзыв прекращает только ту обработку, которая держалась исключительно на согласии. Часть 2 статьи 9 прямо оставляет оператору право продолжить обработку без согласия при наличии оснований из пунктов 2-11 части 1 статьи 6. Для работника это означает: заявление об отзыве не остановит сдачу ЕФС-1, начисление зарплаты, ведение личной карточки и хранение документов по личному составу, потому что всё это стоит на договоре и требованиях закона. Прекратится проверка службой безопасности, публикация фото на сайте, рассылка от партнёров, передача данных в стороннюю платформу обучения.
Срок хранения кадровых документов отзыв согласия тоже не сокращает. Документы по личному составу, созданные после 2003 года, хранятся 50 лет, созданные ранее — 75 лет, и это обязанность работодателя, а не его выбор.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Отзыв согласия не обнуляет всё, что работодатель о вас знает: обработка, которая опирается на трудовой договор и требования закона, продолжается, прекращается только то, что стояло исключительно на согласии. По общему правилу у оператора на это 30 дней. Указывайте в заявлении конкретную цель, от которой отказываетесь, иначе оператор прочитает документ по-своему и объём прекращённой обработки окажется не тем, на который вы рассчитывали.»
Ошибки в согласиях и цена нарушения: штрафы 2026 года
Четыре ошибки дают подавляющую часть проблем с проверками. Первая — согласие пунктом внутри трудового договора или анкеты вместо отдельного документа. Вторая — предзаполненная галочка на сайте: закон требует активного действия, поэтому отметка по умолчанию согласием не считается. Третья — универсальный бланк без целей и перечня данных. Четвёртая — отсутствие уведомления Роскомнадзора об обработке персональных данных, которое обязаны подавать практически все работодатели.
| Нарушение по ст. 13.11 КоАП РФ | Должностное лицо | Юридическое лицо |
|---|---|---|
| Обработка данных не в соответствии с законодательством (ч. 1) | 50 000-100 000 руб. | 150 000-300 000 руб. |
| Обработка без письменного согласия, когда оно обязательно (ч. 2) | 100 000-300 000 руб. | 300 000-700 000 руб. |
| Повторная обработка без письменного согласия (ч. 2.1) | 300 000-500 000 руб. | 1 000 000-1 500 000 руб. |
| Неуведомление Роскомнадзора об обработке данных (ч. 10) | 30 000-50 000 руб. | 100 000-300 000 руб. |
| Повторная утечка персональных данных, оборотный штраф | по составу нарушения | 1-3% выручки, в пределах 20-500 млн руб. |
С 1 января 2026 года дела по статье 13.11 КоАП рассматривают мировые судьи, независимо от того, кто нарушитель. Для работодателя это означает, что срок от проверки до постановления сократился, а возможность закрыть вопрос перепиской с надзорным органом уменьшилась.
Если вы работодатель и читаете этот раздел с мыслью, что пакет согласий в компании собирали несколько лет назад и с тех пор не пересматривали, штатный юрист для ревизии не обязателен: перечень целей обработки с указанием основания напротив каждой сводится за один рабочий день, и он же показывает, каких бланков не хватает. В Добыто мы начинаем внедрение именно с этой таблицы, а не с настройки маршрутов согласования.
Важный нюанс из практики: перевод работников на КЭДО без письменного согласия каждого — отдельная категория споров, которая формируется прямо сейчас. Статья 22.2 ТК РФ не допускает электронного взаимодействия с работником, который согласия не дал, и ведение КЭДО в таком виде может быть признано незаконным при проверке или в суде.
Стоимость перевода кадровых согласий в электронный вид: тарифы Добыто КЭДО
Цена зависит от численности сотрудников и набора функций: интеграция с 1С, кастомные шаблоны документов, электронный архив и уровень поддержки. Электронные подписи для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 руб. за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 руб. за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 руб. в год | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф | на всех тарифах |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма собирается из численности, выбранного набора функций и периода оплаты, а переход между тарифами возможен в любое время с пропорциональным пересчётом разницы. Актуальные условия по каждому пакету и состав функций разобраны на странице тарифов ДОБЫТО КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных, поэтому сбор согласий и хранение подписанных бланков идут в одном контуре с остальными кадровыми документами.
Выводы
Фраза «даю согласие на обработку персональных данных» означает разрешение названному оператору совершать перечисленные действия с перечисленными данными ради указанной цели, и ничего сверх этого. Для оформления трудовых отношений и обязательной отчётности работодатель обходится без согласия, а само согласие включается там, где данные уходят за пределы этих целей: проверка кандидата, передача подрядчику, публикация в открытом доступе. Отзыв работает только в отношении обработки, которая держалась на согласии, и по общему правилу закрывается за 30 дней. Документ без цели, перечня данных, срока и порядка отзыва не защищает ни работника, ни работодателя.
Мы в Добыто собираем и храним кадровые согласия там же, где идут остальные кадровые документы: с фиксацией даты подписания, видом подписи и выгружаемым журналом действий, который пригодится при проверке Роскомнадзора или ГИТ. Это снимает основную часть вопросов о том, чем подтверждается факт получения согласия, ведь доказывать его обязан именно оператор.
Частые вопросы о согласии на обработку персональных данных
Могут ли отказать в приёме на работу, если не подписать согласие?
Отказ по мотиву несогласия с проверкой службой безопасности не относится к деловым качествам, и по статье 64 ТК РФ необоснованный отказ в заключении трудового договора запрещён. На практике кандидату чаще сообщают об отказе без указания причин, и оспорить его сложно: по требованию кандидата работодатель обязан сообщить причину отказа в письменной форме в течение семи рабочих дней. При этом отказ подписать согласие на обработку данных, необходимых для самого оформления приёма, ситуацию не меняет: эти данные обрабатываются по пункту 2 части 1 статьи 6 152-ФЗ без согласия.
Действует ли согласие, которое я дал галочкой при отклике на вакансию?
Если галочка была проставлена по умолчанию, согласия нет: часть 1 статьи 9 требует конкретного, однозначного и активного волеизъявления. Самостоятельно поставленная отметка при наличии полного текста согласия работает, но только в границах описанной там цели, обычно это рассмотрение отклика и связь с кандидатом. Для проверки по государственным базам и передачи резюме третьим лицам такого согласия недостаточно.
Нужно ли согласие на обработку данных самозанятого или исполнителя по договору ГПХ?
Данные, необходимые для заключения и исполнения договора ГПХ, обрабатываются по тому же пункту 2 части 1 статьи 6 152-ФЗ, что и данные работника по трудовому договору. Но нормы главы 14 ТК РФ на исполнителя не распространяются: он не работник, и порядок работы с его данными описывается в договоре и в политике оператора, а не в кадровых ЛНА. Проверка исполнителя по базам и передача его данных третьим лицам требуют отдельного письменного согласия так же, как и у работника.
Нужно ли подписывать новое согласие, если компания сменила название или реорганизовалась?
Наименование и адрес оператора входят в обязательный состав согласия по пункту 3 части 4 статьи 9. При смене наименования юридического лица без смены ИНН данные оператора в документе становятся неактуальными, и корректнее переоформить бланк. При реорганизации с созданием нового юридического лица оператор меняется, и согласие собирается заново: старый документ выдан другому лицу.
Как узнать, какие данные обо мне обрабатывает работодатель?
Статья 14 152-ФЗ даёт право на доступ к своим данным: субъект вправе получить сведения об операторе, целях и способах обработки, сроках, обрабатываемых данных и источнике их получения. Запрос подаётся оператору письменно, ответ предоставляется в срок, установленный законом. Глава 14 ТК РФ дополнительно закрепляет за работником право на свободный бесплатный доступ к своим персональным данным и на исключение или исправление неверных сведений.
Считается ли согласие на обработку данных согласием на рекламные звонки и рассылки?
Нет. Реклама по сетям связи требует предварительного согласия абонента по статье 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе», и это отдельное основание. Если в бланке согласия на обработку не указана цель «информирование о товарах и услугах», звонки и рассылки по нему неправомерны, а обязанность доказать наличие согласия лежит на том, кто рекламу распространяет.
Что делать, если данные обработали без согласия?
Сначала направьте оператору требование прекратить обработку и уничтожить данные: по статье 21 152-ФЗ на это отводится срок до 30 дней. Если требование не исполнено, обращение подаётся в территориальный орган Роскомнадзора, который ведёт реестр операторов и рассматривает такие жалобы. Материальные последствия взыскиваются отдельно в суде: статья 17 152-ФЗ даёт право на возмещение убытков и компенсацию морального вреда.
