Форма согласия на обработку персональных данных для кадрового документооборота

Согласие на обработку персональных данных нужно работодателю не всегда. Обработка в объёме, который требуют Трудовой кодекс и оформление трудового договора, идёт по пункту 2 части 1 статьи 6 152-ФЗ без согласия работника. Согласие требуется там, где цель выходит за пределы трудовых отношений: передача данных страховщику по ДМС, проверка кандидата внешним подрядчиком, публикация фотографии на сайте, получение сведений у третьей стороны по статье 88 ТК РФ. С 1 сентября 2025 согласие оформляется отдельным документом: строка в трудовом договоре и галочка в анкете больше не подходят. Главное различие — основание обработки: данные для исполнения договора с работником собираются без формы согласия, данные для любой посторонней цели — только по отдельной форме на каждую цель.

Разбираем состав формы по части 4 статьи 9 152-ФЗ: девять обязательных сведений, формулировки, из-за которых согласие признают недействительным, и два документа, которые путают чаще всего, — согласие на обработку персональных данных и согласие на электронное взаимодействие по статье 22.2 ТК РФ. Сценарная таблица по целям обработки, порядок отзыва согласия, размеры штрафов по статье 13.11 КоАП на 2026 год, тарифы на подключение КЭДО и ответы на частые вопросы — во второй половине статьи.

Конструктор ниже собирает готовый файл согласия под вашу цель обработки, срок и порядок отзыва по 152-ФЗ — заполните поля и скачайте .docx.

Когда согласие работника нужно, а когда обработка законна без него

Работодатель становится оператором персональных данных с момента, когда получает первое резюме. Это не значит, что под каждое действие с данными нужна подписанная форма. Статья 6 152-ФЗ перечисляет основания обработки, и согласие субъекта — только одно из них. Для кадровых процессов работают ещё два: обработка необходима для исполнения договора, стороной которого является субъект, и обработка предусмотрена законом.

Практический смысл в том, что паспортные данные, СНИЛС, ИНН, сведения об образовании и стаже, номер счёта для перечисления заработной платы собираются без отдельной формы. Они нужны для трудового договора, приказа, ЕФС-1 и расчёта выплат, то есть для исполнения прямых обязанностей работодателя по статьям 65 и 86 ТК РФ. Требовать под это согласие избыточно, а отказ работника его подписать не освобождает работодателя от обязанности оформить документы.

Форма согласия становится обязательной в четырёх ситуациях. Первая: данные получают не у работника, а у третьей стороны — тут статья 86 ТК РФ прямо требует предварительного уведомления и письменного согласия, включая объяснение последствий отказа. Вторая: данные передаются наружу — в страховую компанию, банк по зарплатному проекту сверх минимума реквизитов, подрядчику по проверке кандидатов, оператору обучающей платформы. Третья: цель не связана с трудовой функцией — фото в корпоративном справочнике, поздравления родственников, рассылка вакансий бывшим сотрудникам. Четвёртая: обработка продолжается после увольнения сверх сроков архивного хранения.

Мария Ж, судебный эксперт по трудовому праву: «В споре о персональных данных сначала выясняется, на каком основании компания вообще обрабатывала данные, и только потом — была ли бумага с подписью. Если основание нашлось в статье 6 152-ФЗ и в Трудовом кодексе, отсутствие согласия претензией не становится. Если основания нет, аккуратно оформленное согласие с размытой целью его не заменит. Проверьте по каждому массиву данных у себя: зачем он собран и какой нормой это закрыто.»

Отсюда первое рабочее действие: составьте перечень целей обработки, а не перечень документов. Под каждую цель находится либо норма закона, либо подписанная форма. Цели без того и другого — это то, что инспектор найдёт первым.

Образцы согласий и локальных актов по обработке персональных данных

Комплект собран под разные цели обработки: начните с базовой формы согласия, а дальше добавляйте отдельные формы под те цели, которые реально есть в вашей компании.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Девять обязательных сведений в форме согласия по части 4 статьи 9 152-ФЗ

Письменная форма согласия закрыта перечнем. Отсутствие любого из девяти пунктов даёт формальный повод считать согласие непригодным, а обработку по нему — не подтверждённой волей субъекта. Ниже состав реквизитов и типовые дефекты, из-за которых форма перестаёт работать.

Два реквизита из таблицы дают больше половины претензий: цель и перечень данных. Закон требует, чтобы согласие было конкретным, предметным, информированным, сознательным и однозначным, и цель вида «для кадровых и связанных с ними целей» этому не отвечает. Проверьте свою форму простым тестом: если по тексту согласия нельзя однозначно сказать, какие именно данные и куда именно уходят, форма сформулирована неверно.

Правило отдельного документа: почему согласие внутри трудового договора не работает

С 1 сентября 2025 действует поправка в часть 1 статьи 9 152-ФЗ: согласие оформляется отдельно от иных информации и документов, которые подписывает субъект персональных данных. Абзац в конце трудового договора, пункт в анкете соискателя, чекбокс под формой отклика, строка в заявлении о приёме — всё это перестало быть надлежащим согласием.

Поправка бьёт по распространённой практике экономии бумаги. Кадровые службы годами вшивали согласие в договор, чтобы не собирать вторую подпись, и формально закрывали вопрос одним документом. Теперь тот же комплект даёт нарушение по части 2 статьи 13.11 КоАП: обработка персональных данных без согласия в письменной форме в случаях, когда такое согласие обязательно.

Отдельный документ не означает отдельный визит работника. Пакет из трудового договора, согласия и ознакомления с локальными актами подписывается за один раз, но каждый документ существует самостоятельно, со своими реквизитами и своей подписью. В сервисе Добыто такие пакеты собираются шаблонами: кадровик выбирает набор, система подставляет данные сотрудника и отправляет весь комплект одним маршрутом, а подписи фиксируются по каждому файлу отдельно.

Сколько согласий нужно одному работнику

Ответ зависит от количества целей обработки, а не от количества сотрудников. Одна цель — одно согласие, объединять цели в одном документе после 1 сентября 2025 нельзя. У производственной компании со столовой, ДМС и пропускной системой целей набирается пять-шесть, у небольшого офиса без внешних сервисов — одна или ни одной.

Из таблицы следует неочевидный вывод для тех, кто собирается наращивать комплект: отказ работника подписать любую форму из строк со второй по седьмую законен и последствий для него не несёт. Работодатель в этом случае просто не выполняет соответствующее действие: не передаёт данные страховщику, не публикует фото, не запрашивает характеристику. Ставить подписание такого согласия условием приёма на работу нельзя.

Согласие на обработку персональных данных и согласие на КЭДО — разные документы

Это ошибка, которую мы видим на внедрениях чаще остальных. Компания собирает согласия по 152-ФЗ, ставит галочку в плане проекта и считает, что подготовка к электронному документообороту закрыта. Через полгода при трудовом споре выясняется, что согласия на само электронное взаимодействие нет.

Статья 22.2 ТК РФ требует письменного согласия каждого работника на взаимодействие с работодателем через кадровый электронный документооборот. Это отдельное волеизъявление по отдельному предмету: не о том, что компания вправе обрабатывать данные, а о том, что работник согласен получать и подписывать кадровые документы в электронном виде. Без него использовать электронные документы и электронную подпись во взаимодействии с конкретным работником нельзя, а ведение КЭДО в таком виде может быть признано незаконным при споре или проверке.

Разводятся и сроки. Согласие на обработку данных действует до отзыва или до наступления условия прекращения, согласие на КЭДО привязано к дате перехода компании на электронный документооборот. В разобранном нами споре работник был уведомлён о переходе 31.01.2022, дал письменное согласие в тот же день, а КЭДО заработал с 01.02.2022. Сама по себе эта цепочка была выстроена корректно, и суд первой инстанции на неё сослался.

Как собрать согласия работников в электронном виде: пошаговая инструкция

1. Шаг 1. Составьте перечень целей обработки и определите, какие из них закрыты нормой закона, а какие требуют отдельной формы. Под каждую цель заведите свой шаблон согласия.
2. Шаг 2. Утвердите локальный акт об обработке персональных данных и назначьте ответственного за организацию обработки. Без локального акта отдельная форма согласия остаётся документом без системы.
3. Шаг 3. Подайте уведомление об обработке персональных данных в Роскомнадзор, если это ещё не сделано, и проверьте, что сведения в реестре соответствуют фактическим целям обработки.
4. Шаг 4. Соберите первое согласие — на взаимодействие через КЭДО по статье 22.2 ТК РФ. Его придётся оформить на бумаге или в текущем порядке, поскольку электронного канала на этот момент ещё нет.
5. Шаг 5. Выдайте работникам электронные подписи и разведите во времени дату выдачи подписи и первые кадровые действия с ней. Совпадение этих дат суд оценивает не в пользу работодателя.
6. Шаг 6. Отправьте остальные согласия отдельными файлами по маршруту подписания и сохраните подписанные документы в электронном архиве вместе с журналом действий: дата, время, способ идентификации.

Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы разводим во времени выдачу электронной подписи и первые кадровые действия с ней. Совпадение даты выдачи подписи и даты подписанного работником документа суд читает как обстоятельство не в пользу работодателя, даже когда Положение о КЭДО и перечень документов оформлены правильно. Проверьте по своей системе, что у вас эти даты не совпадают.»

Что проверяет Роскомнадзор и во что обходится ошибка

Проверка начинается не с формы согласия, а с того, стоит ли компания на учёте. С 1 сентября 2022 действует расширенный порядок: оператор направляет уведомление об обработке до её начала, и прежние исключения для работодателей, обрабатывающих данные собственных работников, больше не спасают. Подать уведомление и проверить свою запись можно через портал персональных данных Роскомнадзора, там же публикуется реестр операторов и форма для внесения изменений в ранее поданные сведения.

Дальше смотрят локальный акт, назначение ответственного, состав согласий и соответствие целей заявленным в уведомлении. Расхождение между целями в реестре и целями в подписанных формах — самостоятельный повод для замечаний.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Цена ошибки считается не стоимостью переоформления бумаг. Размеры административных штрафов по статье 13.11 КоАП действуют с 30 мая 2025 года, и разрыв между составами существенный.

• Обработка без правовых оснований (часть 1): на должностных лиц от 50 000 до 100 000 рублей, на юридических лиц от 150 000 до 300 000 рублей.
• Обработка без согласия в письменной форме, когда оно обязательно (часть 2): на должностных лиц от 100 000 до 300 000 рублей, на юридических лиц от 300 000 до 700 000 рублей.
• Отсутствие опубликованной политики обработки (часть 3): на должностных лиц от 6 000 до 12 000 рублей, на юридических лиц от 30 000 до 60 000 рублей.
• Неуведомление о начале обработки (часть 10): на должностных лиц от 30 000 до 50 000 рублей, на юридических лиц от 100 000 до 300 000 рублей.
• Утечка данных от 1 000 до 10 000 субъектов (часть 12): на юридических лиц от 3 до 5 млн рублей.

С 1 января 2026 дела по статье 13.11 КоАП рассматривают мировые судьи независимо от того, кто нарушитель — организация, предприниматель или гражданин. Практический эффект для работодателя один: разбирательство стало процедурно длиннее, а доказывать корректность сбора согласий приходится в суде, а не в переписке с территориальным управлением.

Что проверить до того, как начнёте собирать подписи

Предварительная диагностика занимает один рабочий день и снимает основную часть претензий.

• Подано ли уведомление об обработке персональных данных и совпадают ли цели в нём с фактическими.
• Утверждена ли политика обработки и опубликована ли она в открытом доступе.
• Назначен ли приказом ответственный за организацию обработки персональных данных.
• Есть ли перечень мест хранения данных: кадровая система, бухгалтерия, пропускная система, обучающая платформа, внешние подрядчики.
• Заключены ли поручения на обработку с каждым подрядчиком, который получает данные работников.
• Установлены ли сроки хранения и порядок уничтожения данных после достижения цели.

Мария Ж, юрист со стажем более 20 лет: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно. Отдельно проверяется, был ли у работодателя описанный порядок идентификации и зафиксирован ли он в локальном акте. Если порядок идентификации у вас нигде не описан, спор вы проиграете даже при технически исправной подписи.»

Отзыв согласия: что обязан сделать работодатель

Работник вправе отозвать согласие в любой момент и без объяснения причин. Формально отзыв подаётся в том же виде, в котором давалось согласие, поэтому порядок отзыва и есть один из девяти обязательных реквизитов формы. Если в вашем шаблоне написано «отзыв подаётся в письменной форме по месту нахождения оператора», а работник дистанционный, вы получите спор на пустом месте.

После отзыва обработка прекращается, но не вся. Если у оператора есть иное законное основание из статей 6, 10 и 11 152-ФЗ, обработка в этой части продолжается. Практический пример: работник отозвал согласие на передачу данных страховщику — передача прекращается; работник отозвал согласие на обработку вообще — кадровые документы, налоговая отчётность и архивное хранение продолжаются, потому что держатся на законе, а не на согласии.

Сложность возникает там, где данные уже ушли обработчику. Оператор обязан обеспечить прекращение обработки и на стороне подрядчика, а это работает только если поручение на обработку оформлено договором с соответствующей обязанностью. Поручение без такого пункта означает, что вы отвечаете за чужую обработку без инструментов на неё повлиять.

Когда форма согласия не нужна и когда она не спасёт

Согласие не универсальный инструмент, и в трёх ситуациях его сбор бессмысленен или вреден.

Когда есть другое основание. Собирать согласие «на всякий случай» под обработку, которая уже закрыта статьями 65, 86 и 88 ТК РФ, невыгодно самому работодателю: вы добровольно переводите законную обработку в режим, который работник может прекратить одним заявлением. Отозвал согласие — и формальное основание исчезло, хотя обработка обязательна по закону.

Когда согласие получено под давлением. Подпись, поставленная как условие приёма на работу или продолжения работы, признакам конкретного, информированного и сознательного волеизъявления не отвечает. Пакет из двадцати согласий, который новичок подписывает в первый день не читая, при проверке работает против работодателя, а не за него.

Когда проблема не в согласии, а в процедуре. Эта часть дороже всего обходится компаниям, которые уже перешли на электронный документооборот. В споре, который прошёл четыре инстанции, у работодателя были и положение о КЭДО, и перечень документов, и своевременно полученное письменное согласие. Дело он проиграл, потому что электронную подпись выдали работнику в день подписания заявления об увольнении, работник системой пользоваться не умел, и за него подписывал другой человек. Собственная информационная система всё это зафиксировала и предъявила суду.

Кейс из практики: в ритейле на 3200 сотрудников комплект согласий пересобирали после того, как аудит Добыто показал три формы с объединёнными целями и отсутствие согласия по статье 22.2 ТК РФ у части персонала. Разделили цели на пять отдельных шаблонов, добрали согласия на КЭДО через личные кабинеты и синхронизировали цели с уведомлением в реестре операторов. Работа заняла 4 месяца вместо запланированных двух: дольше всего шло не оформление, а обучение линейного персонала работе в системе.

Мария Ж, специалист по цифровой подписи и КЭДО: «Журнал подписания нужно смотреть до того, как спор начался, а не после. Система фиксирует не только удобные факты: она покажет и дату выдачи ключа, и вход под чужой учётной записью, и отсутствие активности работника при формально подписанном документе. Мы проводим такую сверку перед проверками и перед увольнениями, на которых ожидаем конфликт.»

Стоимость подключения КЭДО и сбора согласий

Стоимость складывается из численности персонала, набора функций и требований к интеграции с учётной системой. Отдельной платы за электронные подписи работников нет.

Итоговая сумма зависит от выбранного тарифа и численности: на «Старте» ограничение в 25 сотрудников, на «Бизнесе» численность не ограничена, но действует минимальная оплата за год. Полные условия по каждому тарифу, включая состав поддержки и электронный архив, опубликованы на странице тарифов ДОБЫТО КЭДО.

Переход между тарифами возможен в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.

Выводы

Форма согласия работает тогда, когда под ней есть система: перечень целей обработки, локальный акт, поданное уведомление в реестр операторов и отдельный документ под каждую цель. Обработка для исполнения трудового договора согласия не требует, и собирать его на такие данные скорее вредно. Правило отдельного документа с 1 сентября 2025 закрыло привычную практику вшивать согласие в трудовой договор, а согласие на обработку данных и согласие на электронное взаимодействие по статье 22.2 ТК РФ остаются двумя самостоятельными документами с разными предметами и разными сроками.

В практике Добыто комплект согласий собирается шаблонами и уходит работнику одним маршрутом, но подписывается по каждому файлу отдельно, а журнал действий с датой, временем и способом идентификации остаётся в электронном архиве. Это та часть, которую в спорах и проверках смотрят раньше самой формы.

Частые вопросы

Можно ли собрать согласие на обработку персональных данных до заключения трудового договора, на этапе отклика?

Да, и на практике это нужно: обработка резюме кандидата, который в итоге не будет принят, основанием «исполнение договора» не закрывается. Форма для соискателя отличается составом: цель — рассмотрение кандидатуры на конкретную вакансию, срок — обычно до 30 дней после закрытия вакансии либо до отзыва, перечень данных ограничен тем, что содержится в резюме и анкете. Если кандидат не прошёл отбор, а вы хотите сохранить его в кадровом резерве, это отдельная цель и отдельное согласие.

Как быть с согласиями работников, подписанными до 1 сентября 2025 внутри трудового договора?

Ранее собранные согласия автоматически недействительными не становятся, но обработка по ним продолжается на свой риск: при проверке претензия по части 2 статьи 13.11 КоАП вероятна. Рабочий порядок — переоформить формы по целям, начав с тех, где данные уходят наружу: передача страховщику, подрядчику по проверке, удостоверяющему центру. Обработку, закрытую статьями 65 и 86 ТК РФ, переоформлять не требуется вовсе.

Нужно ли согласие на обработку данных членов семьи работника?

Да, и подписывает его сам член семьи либо законный представитель несовершеннолетнего, а не работник. Данные детей для налогового вычета, данные супруга для оформления полиса ДМС, контакты для экстренной связи — это данные другого субъекта, и работник не вправе распоряжаться ими за него. Исключение — сведения, прямо предусмотренные налоговым законодательством в объёме, необходимом для предоставления вычета.

Можно ли подписать согласие на обработку персональных данных простой электронной подписью?

Можно, если между сторонами заключено соглашение об использовании простой электронной подписи и в нём определён порядок определения подписанта. УКЭП равнозначна собственноручной подписи в силу закона, для ПЭП и УНЭП равнозначность возникает только из соглашения. На практике первое согласие — на само электронное взаимодействие по статье 22.2 ТК РФ — подписывается на бумаге или в текущем порядке, поскольку электронного канала на этот момент ещё нет.

Сколько хранить подписанные согласия и что делать с ними после увольнения?

Срок хранения определяется целью: согласие живёт столько, сколько существует основание для обработки, и уничтожается вместе с данными после достижения цели. Согласия, относящиеся к личному делу, хранятся по срокам кадровых документов, а согласия под разовые цели вроде корпоративной фотосъёмки прекращаются раньше. Ключевое условие — порядок уничтожения должен быть описан в локальном акте, иначе подтвердить прекращение обработки при проверке нечем.

Обязательно ли уведомлять Роскомнадзор, если в компании пять человек и данные только своих работников?

Да. С 1 сентября 2022 прежнее исключение для операторов, обрабатывающих данные исключительно своих работников, не действует, и уведомление подаётся до начала обработки независимо от численности. Неуведомление — самостоятельный состав по части 10 статьи 13.11 КоАП со штрафом на юридическое лицо от 100 000 до 300 000 рублей. Численность персонала на обязанность не влияет, влияет только факт обработки.