Согласие на обработку персональных данных сотрудника закрывает не весь кадровый массив, а только те сведения, которые работодатель обрабатывает вне обязанностей, прямо возложенных на него трудовым договором и ТК РФ. Базовый набор из статьи 65 ТК РФ (паспорт, СНИЛС, сведения о трудовой деятельности, документы воинского учёта, диплом) обрабатывается по пункту 2 части 1 статьи 6 152-ФЗ, отдельное согласие на него не требуется. Письменное согласие нужно там, где появляются сведения о здоровье и судимости, биометрия, данные, полученные у прошлого работодателя, передача данных подрядчику или банку, публикация данных в открытом доступе. Объём документа определяет основание обработки: если основание трудовой договор, эти данные в согласии не перечисляют; если основание только воля работника, каждая категория сведений и каждая цель пишутся дословно.
Разберём объём согласия по группам сведений: что входит по умолчанию, что требует отдельного письменного документа, что нельзя обрабатывать даже с согласием. Покажем состав текста согласия по части 4 статьи 9 152-ФЗ и почему с 1 сентября 2025 года его нельзя вшивать в трудовой договор. Штрафы за неверный объём, сценарная таблица по типовым ситуациям, чек-лист проверки перед подписанием и стоимость подключения на 2026 год — во второй половине статьи.
Конструктор ниже собирает бланк согласия в .docx: вы отмечаете цели и перечень сведений, получаете готовый документ с оговоркой о сроке и порядке отзыва по 152-ФЗ.
Какие сведения о работнике закон относит к персональным данным
К персональным данным работника относятся фамилия, имя и отчество, год, месяц и дата рождения, место рождения, адрес, семейное, социальное и имущественное положение, образование, профессия, доходы, телефон, фотография. Сведения о заработной плате входят в этот перечень наравне с паспортными данными. Типовая ошибка в объёме начинается здесь: зарплату относят к коммерческой тайне компании, а не к персональным данным конкретного человека.
Режим коммерческой тайны на такие сведения не распространяется. По пункту 5 статьи 5 Федерального закона от 29.07.2004 № 98-ФЗ коммерческую тайну не могут составлять сведения о численности и составе работников, о системе оплаты труда, об условиях труда, включая охрану труда, о показателях производственного травматизма и профессиональной заболеваемости, о наличии свободных рабочих мест. Работодатель не вправе закрыть эти сведения режимом тайны, но обязан защищать их как персональные данные там, где они относятся к конкретному работнику.
Факт: ИНН работодатель требовать при приёме не вправе. Налоговая не может отказать в приёме отчётов, в которых ИНН в сведениях о физических лицах отсутствует. Если работник принёс ИНН сам, работать с ним можно.
Проверить себя можно по составу личного дела: всё, что позволяет определить конкретного человека, живёт в режиме 152-ФЗ, независимо от того, названо оно в вашем положении о коммерческой тайне или нет. Разглашение таких сведений идёт по составам главы 13 КоАП РФ, а не по нормам о защите коммерческой тайны.
Когда согласие работника не требуется: обработка в силу трудового договора
Обработка персональных данных без согласия допускается, когда она необходима для исполнения заключённого с работником договора и для исполнения обязанностей, возложенных на работодателя законом. Это пункты 2 и 5 части 1 статьи 6 152-ФЗ. Роскомнадзор в разъяснениях добавляет условие: объём обрабатываемых данных не превышает установленные перечни и соответствует целям обработки, предусмотренным Трудовым кодексом.
Перечень документов при приёме в статье 65 ТК РФ закрытый, и требовать сверх него нельзя. Расширить его могут указ Президента и постановление Правительства, но не приказ министерства, не письмо ведомства и не внутренний регламент компании. Граница проходит по этому перечню: сведения из него обрабатываются по договору, а остальные — либо по прямой обязанности работодателя из другого федерального закона, либо по отдельному согласию с указанной целью.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, юрист со стажем более 20 лет: «Типовая ситуация выглядит так: служба безопасности просит кандидата принести справку о доходах с прошлого места или характеристику. Законного основания для такого требования нет, кандидат вправе отказать, и отказать ему в приёме на работу по этой причине нельзя. Прежде чем вписывать сведения в анкету, сверьте каждую строку со статьёй 65 ТК РФ: всё, чего там нет, вы либо не собираете, либо собираете по отдельному письменному согласию с указанной целью.»
Ниже сведения разложены по группам с основанием обработки. Таблица отвечает на практический вопрос: какую строку вписывать в согласие, а какую там писать не нужно.
| Группа сведений | Основание обработки | Отдельное согласие |
|---|---|---|
| ФИО, дата и место рождения, паспорт, адрес регистрации | п. 2 ч. 1 ст. 6 152-ФЗ, ст. 65 ТК РФ | не требуется |
| СНИЛС, сведения о трудовой деятельности и стаже | исполнение договора и отчётность в Социальный фонд России | не требуется |
| Заработная плата, удержания, налоговые вычеты | п. 2 и п. 5 ч. 1 ст. 6 152-ФЗ | не требуется |
| Документы воинского учёта | обязанность работодателя по закону | не требуется |
| Состояние здоровья, результаты медосмотра, медицинская книжка | ст. 10 152-ФЗ, специальная категория | требуется письменное, кроме случаев из ч. 2 ст. 10 |
| Сведения о судимости и уголовном преследовании | ст. 10 152-ФЗ; для отдельных должностей — ст. 65 ТК РФ | требуется письменное |
| Фотография и биометрия для пропускной системы | ст. 11 152-ФЗ | требуется письменное |
| Данные, полученные у третьей стороны: прошлый работодатель, бюро кредитных историй | ч. 3 ст. 86 ТК РФ | требуется письменное плюс предварительное уведомление работника |
| Передача данных подрядчику, оператору КЭДО, банку | ст. 88 ТК РФ | требуется письменное |
| Размещение данных в открытом доступе: сайт, доска почёта, соцсети компании | приказ Роскомнадзора от 24.02.2021 № 18 | требуется отдельное согласие на распространение |
В согласии перечисляются только те строки, где в третьем столбце стоит требование. Дублировать в нём базовый набор по статье 65 ТК РФ не нужно, а в ряде случаев это ослабляет позицию работодателя при отзыве согласия.
Какие сведения требуют отдельного письменного согласия
Специальные категории персональных данных перечислены в статье 10 152-ФЗ: расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь. Обработка таких сведений запрещена, кроме случаев из частей 2 и 2.1 этой статьи, и один из этих случаев — письменное согласие субъекта. Сведения о судимости стоят в той же статье и попадают под то же правило.
Биометрия живёт по статье 11: данные, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность, и используемые оператором для идентификации, обрабатываются только с письменного согласия. Фотография в личном деле и фотография в системе распознавания лиц на турникете различаются не содержанием файла, а целью использования: во втором случае это идентификация, значит биометрия.
Передача сведений о работнике третьей стороне требует письменного согласия по статье 88 ТК РФ. Исключение — предупреждение угрозы жизни и здоровью работника и другие случаи, предусмотренные Кодексом или федеральными законами. Та же статья запрещает сообщать персональные данные работника в коммерческих целях без его письменного согласия и обязывает предупредить получателя, что данные могут использоваться только в тех целях, для которых сообщены, и потребовать подтверждения соблюдения этого правила.
Получение данных у третьей стороны работает в обратную сторону и регулируется частью 3 статьи 86 ТК РФ: все персональные данные работника следует получать у него самого, а если получить их можно только у третьей стороны, работник уведомляется об этом заранее и даёт письменное согласие. Звонок прошлому работодателю за характеристикой и запрос в бюро кредитных историй подпадают под это правило одинаково.
Внимание: требовать документы, не предусмотренные законом, указом главы государства и постановлениями Правительства, нельзя. Расширить перечень внутренним регламентом или анкетой службы безопасности невозможно, даже если кандидат подписал согласие на обработку.
Отдельный режим действует для сведений, которые работник разрешает распространять. Требования к содержанию такого согласия утверждены приказом Роскомнадзора от 24.02.2021 № 18 о согласии на обработку персональных данных, разрешённых для распространения: там указываются цели обработки, срок действия согласия и сведения об информационных ресурсах оператора, через которые будет предоставляться доступ к данным. Приказ зарегистрирован в Минюсте 21.04.2021 под номером 63204 и действует с 1 сентября 2021 года.
Как определить объём согласия: пошаговая инструкция
- Шаг 1. Выпишите все цели обработки, которые реально есть в компании: приём и кадровый учёт, расчёт зарплаты, пропускной режим, проверка кандидата, обучение, корпоративные рассылки, публикация на сайте.
- Шаг 2. К каждой цели припишите перечень сведений, без которых цель не достигается. Лишние строки в перечне повышают риск претензии, а не снижают его.
- Шаг 3. Отметьте цели, которые закрываются исполнением трудового договора и обязанностями работодателя по закону. Эти цели и данные в согласие не идут.
- Шаг 4. Из оставшихся отделите специальные категории по статье 10 152-ФЗ и биометрию по статье 11: под них готовится письменное согласие с прямым указанием категории сведений.
- Шаг 5. Отдельно опишите передачу третьим лицам: перечислите каждого получателя по наименованию, а не формулировкой «партнёры и подрядчики».
- Шаг 6. Для сведений, которые попадут в открытый доступ, подготовьте отдельное согласие на распространение по требованиям приказа Роскомнадзора № 18 и укажите в нём информационные ресурсы, где данные будут размещены.
- Шаг 7. Сверьте итоговый комплект с уведомлением об обработке, поданным в Роскомнадзор: цели в согласии и цели в уведомлении не должны расходиться.
Что должно быть в тексте согласия и почему его нельзя вшить в трудовой договор
Состав письменного согласия задан частью 4 статьи 9 152-ФЗ. Обязательные блоки: фамилия, имя, отчество, адрес субъекта, номер основного документа, удостоверяющего личность, дата выдачи и выдавший орган; те же сведения о представителе и реквизиты подтверждающего полномочия документа, если согласие получено от представителя; наименование или ФИО и адрес оператора; цель обработки; перечень персональных данных, на обработку которых даётся согласие; наименование или ФИО и адрес лица, осуществляющего обработку по поручению оператора, если обработка будет ему поручена; срок, в течение которого действует согласие, и способ его отзыва; подпись субъекта.
С 1 сентября 2025 года действует требование Федерального закона от 24.06.2025 № 156-ФЗ: согласие на обработку персональных данных оформляется отдельно от иной информации и документов, которые подтверждает или подписывает субъект персональных данных. Пункт в трудовом договоре, галочка в общей анкете и абзац в заявлении о приёме этому требованию не отвечают. Согласие становится самостоятельным бланком с отдельной подписью.
Срок действия и способ отзыва — два поля, которые чаще всего оставляют пустыми. Пункт 8 части 4 статьи 9 требует указать оба. Формулировка «до достижения целей обработки» проверку проходит, но при отзыве создаёт спор: работник считает цель достигнутой, оператор нет. Практичнее назвать срок событием, привязанным к кадровому факту, и рядом описать порядок отзыва: куда подаётся заявление, в какой форме и в какой срок оператор прекращает обработку. Что именно указывать субъекту и как отзывать согласие, разобрано в памятке Роскомнадзора о согласии на обработку персональных данных.
Образцы согласий, ЛНА и анкет по персональным данным
Комплект собран под задачу определения объёма: смотрите первым бланк согласия на обработку, а правила обработки берите как основу локального нормативного акта, на который согласие ссылается.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
| Анкета кандидата для службы безопасности | Скачать |
Важный нюанс из практики: в практике Добыто самая частая правка в комплекте документов при приёме — вынести согласие на обработку персональных данных из трудового договора в отдельный бланк и переписать перечень сведений под фактические цели. После этого из перечня уходит от трети до половины строк, потому что значительная часть данных обрабатывается по договору, а не по согласию.
Согласие на КЭДО и передача данных оператору: что добавляется в объём
Согласие на переход на кадровый электронный документооборот по статье 22.2 ТК РФ и согласие на обработку персональных данных — разные документы с разными основаниями. Первое отвечает на вопрос, в какой форме работник взаимодействует с работодателем. Второе отвечает на вопрос, какие сведения о нём обрабатываются и кому передаются. Подмена одного другим встречается регулярно, и в проверке она выглядит как отсутствие нужного документа.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Отдельная развилка касается работников, чей стаж начался до 1 января 2022 года: они вправе отказаться от перехода на КЭДО. Для тех, у кого стаж начался позже, отдельное согласие на электронную форму не требуется, но согласие на обработку персональных данных от этого никуда не исчезает.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Чем моложе коллектив, тем проще переход: значительная часть сотрудников со стажем после 2022 года согласия на электронную форму не даёт вовсе. Если же у вас много людей со стажем, начатым до 2022 года, закладывайте на сбор согласий отдельное время и отдельные усилия, а отказавшихся ведите в бумажном режиме параллельно. Посчитайте численность этой группы до выбора системы, а не после запуска.»
Облачное решение добавляет в объём согласия передачу данных третьим лицам. Когда кадровые документы уходят к внешнему провайдеру, появляется не одно третье лицо, а обычно три: сам оператор сервиса, владелец инфраструктуры, где размещены серверы, и удостоверяющий центр, выдающий сотрудникам подписи. Каждого из них перечисляют в согласии по наименованию.
Мария Ж, специалист по цифровой подписи и КЭДО: «Вопрос вендору я советую задавать прямо: перечислите всех, кто получит доступ к данным. Не «данные хранятся защищённо», а список лиц, потому что от этого списка зависит формулировка согласия, которое вы будете собирать с каждого сотрудника. В практике Добыто мы даём такой список клиенту до подписания договора, чтобы согласия не пришлось переподписывать после запуска.»
Хранение персональных данных и коммерческой тайны на внутренних серверах остаётся самым частым критерием выбора системы КЭДО: в опросах кадровых служб он опережает и гибкость системы, и стоимость, и интерфейс. Механика защиты внутри системы важна не меньше: трудовой договор может быть зашифрован так, чтобы доступ к нему имели только специалист отдела кадров и сам работник, и чтобы даже на внутреннем сервере документы лежали в зашифрованном виде.
Мария Ж, руководитель HR-отдела: «Доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Разграничение доступа по ролям относится к мерам защиты, которые оператор обязан обеспечить, и проверяется отдельно от наличия согласий. Откройте журнал обращений к личным делам и посмотрите, сколько сотрудников имеют доступ к делам, которые они не ведут.»
Лайфхак: при выборе облачного сервиса спрашивайте не о защите данных в общих словах, а полный перечень лиц, получающих доступ. Обычно их трое: провайдер, владелец инфраструктуры и удостоверяющий центр. Этот список идёт прямо в текст согласия.
Когда отдельное согласие не нужно и почему лишний бланк ослабляет работодателя
Согласие как основание обработки слабее, чем исполнение договора и обязанность по закону. Работник вправе отозвать согласие в любой момент, и после отзыва оператор обязан прекратить обработку тех данных, которые держались только на этом согласии. Если же основание — пункт 2 или пункт 5 части 1 статьи 6 152-ФЗ, отзыв согласия ничего не меняет: обработка продолжается, потому что держится на договоре и законе.
Отсюда практическое следствие для базового набора. Когда работодатель на всякий случай вписывает в согласие паспортные данные, СНИЛС, сведения о стаже и зарплате, он добровольно переводит их из сильного основания в слабое. Работник отзывает согласие, и у работодателя появляется формальный спор о правомерности дальнейшей обработки данных, которые он обязан обрабатывать по закону.
Отдельное согласие не нужно в трёх ситуациях. Первая: данные собираются строго в объёме статьи 65 ТК РФ и обрабатываются для кадрового учёта, расчётов и отчётности. Вторая: сведения передаются в государственный орган в силу прямой обязанности работодателя, например в Социальный фонд России в составе ЕФС-1. Третья: обработка необходима для предупреждения угрозы жизни и здоровью работника, что прямо оговорено в статье 88 ТК РФ как исключение из правила о письменном согласии на передачу.
Уведомление об обработке персональных данных при этом подаётся в Роскомнадзор независимо от наличия согласий. Работодатель, который обрабатывает данные только своих сотрудников, от этой обязанности не освобождён: уведомление направляется до начала обработки, и в нём указываются наименование оператора, цель обработки, описание мер защиты, сведения об ответственном лице, дата начала обработки и сведения о трансграничной передаче.
Ошибки в объёме согласия и цена каждой
Обработка персональных данных без согласия в письменной форме, когда такое согласие обязательно, наказывается по части 2 статьи 13.11 КоАП РФ. С 30 мая 2025 года санкции составляют от 10 000 до 15 000 рублей для граждан, от 100 000 до 300 000 рублей для должностных лиц и от 300 000 до 700 000 рублей для юридических лиц. Норма введена Федеральным законом от 30.11.2024 № 420-ФЗ, которым статья 13.11 была переписана полностью.
Неисполнение или несвоевременное исполнение обязанности уведомить Роскомнадзор о начале обработки идёт по части 10 той же статьи: для юридических лиц это от 100 000 до 300 000 рублей. Утечка персональных данных стоит дороже всего: штрафы для юридических лиц начинаются от 3 млн рублей, а при повторной утечке применяется оборотный штраф в процентах от годовой выручки.
Четыре ошибки в объёме встречаются чаще остальных. Первая: согласие вшито в трудовой договор или общую анкету, что с 1 сентября 2025 года требованию об отдельном оформлении не отвечает. Вторая: перечень сведений сформулирован обобщённо, через «иные данные, необходимые работодателю», из-за чего согласие не подтверждает конкретную категорию. Третья: получатели данных названы группой, а не по наименованию, и передача оператору КЭДО или в банк формально согласием не закрыта. Четвёртая: не указан срок действия и способ отзыва, хотя пункт 8 части 4 статьи 9 требует оба поля.
Кейс из практики: спор об увольнении работника, подавшего заявление через систему кадрового электронного документооборота, прошёл четыре инстанции. У работодателя было и положение о КЭДО, и перечень документов, и согласие работника. Кассационный суд общей юрисдикции акты отменил: в материалах не оказалось сведений о порядке идентификации работника. При новом рассмотрении работник спор выиграл. Перевесили три обстоятельства: подпись выдали работнику в день подписания заявления об увольнении, фактически подписывал другой человек, и всё это зафиксировала собственная информационная система работодателя.
Мария Ж, судебный эксперт по трудовому праву: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно: суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Комплект из согласия и положения о КЭДО сам по себе не спасает, если порядок идентификации в локальном акте не описан. Проверьте по своему локальному акту, есть ли там этот раздел, и заодно сверьте, не совпадает ли дата выдачи подписи с датой первого кадрового действия.»
Мы разводим во времени выдачу электронной подписи и первые кадровые действия с ней и отдельно проверяем, что работник действительно способен пользоваться системой. Пилотную группу перед раскаткой на всю компанию закладываем по той же причине: она снимает основную часть ошибок настройки и показывает, где формулировки согласия расходятся с фактическим маршрутом документа.
Что критично в объёме согласия для разных ситуаций
Универсальный бланк проигрывает конкретному: в разных ситуациях критичны разные поля. Таблица ниже разводит обязательное и второстепенное по типовым сценариям.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Приём в штат на обычную должность | объём данных не выходит за статью 65 ТК РФ, цели закреплены в локальном акте | отдельный бланк на базовый набор данных |
| Проверка кандидата службой безопасности | письменное согласие получено до начала проверки, перечислены источники и категории сведений | форма подачи заключения нанимающему руководителю |
| Должность с требованием справки об отсутствии судимости | основание по статье 10 152-ФЗ и норма, ограничивающая допуск к должности | формат справки, электронный или бумажный |
| КЭДО на облачном сервисе | согласие на передачу третьим лицам с перечнем всех получателей по наименованию | интерфейс системы и набор шаблонов |
| Пропускная система с распознаванием лица | письменное согласие по статье 11 152-ФЗ и альтернативный способ пропуска без биометрии | качество и разрешение фотографии |
| Зарплатный проект в банке | согласие на передачу по статье 88 ТК РФ и состав реестра на выплату | канал обмена реестрами |
| Публикация фотографии и должности на сайте компании | отдельное согласие на распространение с указанием информационных ресурсов | место размещения блока на странице |
Сценарии из строк 4, 5 и 7 объединяет одно: базовое согласие при приёме их не закрывает, нужен отдельный документ под конкретную цель. В практике Добыто мы собираем не один универсальный бланк, а комплект: локальный акт об обработке данных, базовое согласие и отдельные согласия под проверку кандидата, биометрию и передачу данных каждому получателю.
Чек-лист проверки согласия перед подписанием
- Согласие оформлено отдельным документом, а не пунктом договора, заявления или анкеты.
- Указаны ФИО, адрес, номер документа, удостоверяющего личность, дата его выдачи и выдавший орган.
- Названы наименование и адрес оператора, а при обработке по поручению — наименование и адрес лица, которое обрабатывает данные.
- Цели перечислены конкретно, без формулировок «и иные цели деятельности организации».
- Перечень сведений закрытый, без оговорки «иные данные, необходимые работодателю».
- Каждый получатель данных назван по наименованию.
- Указан срок действия согласия и описан способ его отзыва.
- Специальные категории по статье 10 и биометрия по статье 11 выделены отдельно, а не смешаны с базовым перечнем.
Полезно знать: свидетельства о рождении детей — документ не для приёма на работу, а для налогового вычета. Их место в бухгалтерии, а не в личном деле, и требовать их при оформлении работодатель не вправе.
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость зависит от численности сотрудников, набора допустимых видов подписи и необходимости интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | по мере подключения сотрудников |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности и выбранного набора функций, а электронные подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах. Условия по каждому тарифу и состав включённых функций опубликованы на странице тарифов ДОБЫТО КЭДО, там же указан порядок перехода между тарифами с пропорциональным пересчётом разницы.
Платформа соответствует требованиям Федерального закона № 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и 152-ФЗ о персональных данных, поэтому набор согласий, который нужно собрать при подключении, определяется составом получателей данных, а не отдельной доработкой сервиса.
Выводы
Объём согласия определяется не длиной перечня, а основанием обработки. Всё, что работодатель обрабатывает во исполнение трудового договора и обязанностей по закону, в согласие не идёт и остаётся на сильном основании. Отдельный письменный документ нужен под специальные категории сведений, биометрию, получение данных у третьей стороны, передачу данных подрядчикам и банкам, а также под публикацию данных в открытом доступе. С 1 сентября 2025 года такое согласие оформляется отдельно от других документов, а срок действия и способ отзыва в нём обязательны.
Мы в Добыто разбираем эту развилку на каждом внедрении: сначала считаем перечень получателей данных и цели обработки, потом собираем комплект согласий и локальных актов, и только после этого настраиваем маршруты подписания. Такой порядок избавляет от переподписания согласий после запуска, когда выясняется, что фактический маршрут документа шире, чем описанный в бланке.
Частые вопросы об объёме согласия на обработку персональных данных
Может ли работник отказаться подписывать согласие и откажут ли ему в приёме на работу
Отказ подписать согласие не влияет на обработку данных, которая нужна для исполнения трудового договора и обязанностей работодателя по закону: паспортные данные, СНИЛС, сведения о стаже и зарплате обрабатываются по пунктам 2 и 5 части 1 статьи 6 152-ФЗ без согласия. Отказ закрывает только те цели, которые держатся на согласии: проверку через бюро кредитных историй, биометрический пропуск, публикацию фотографии. Отказ в приёме на работу по мотиву непредоставления документа, не предусмотренного статьёй 65 ТК РФ, неправомерен.
Нужно ли согласие на обработку данных членов семьи работника
Данные супруга и детей — это персональные данные других субъектов, и работник не может дать согласие за них, кроме случая законного представительства несовершеннолетних. Когда работник приносит свидетельство о рождении ребёнка для налогового вычета, обработка идёт по обязанности работодателя, возложенной налоговым законодательством. Для остальных целей, например для корпоративной программы страхования членов семьи, требуется согласие каждого совершеннолетнего члена семьи с реквизитами его документа, удостоверяющего личность.
Сколько действует согласие и когда его нужно переоформлять
Срок действия указывает сам оператор в тексте согласия по пункту 8 части 4 статьи 9 152-ФЗ, единого нормативного срока нет. Переоформление требуется при появлении новой цели обработки, нового получателя данных или новой категории сведений: расширить действующее согласие задним числом нельзя. Смена наименования или адреса оператора тоже требует нового бланка, поскольку эти реквизиты входят в обязательный состав.
Является ли размер заработной платы работника коммерческой тайной компании
Нет. По пункту 5 статьи 5 Федерального закона от 29.07.2004 № 98-ФЗ сведения о системе оплаты труда, численности и составе работников, об условиях труда и о наличии свободных рабочих мест режимом коммерческой тайны закрыть нельзя. Размер зарплаты конкретного работника защищается как его персональные данные: разглашение третьим лицам требует письменного согласия по статье 88 ТК РФ, а внутри компании ограничивается разграничением доступа.
Нужно ли согласие исполнителю по договору ГПХ и самозанятому
Требования главы 14 ТК РФ на исполнителей по гражданско-правовому договору не распространяются: они не работники, и статьи 86-88 ТК РФ к ним не применяются. Обработка их данных идёт по 152-ФЗ, и основанием служит пункт 2 части 1 статьи 6, то есть исполнение самого договора, в объёме, необходимом для расчётов и отчётности. Отдельное письменное согласие нужно там же, где и у работников: под специальные категории, биометрию и передачу данных третьим лицам.
Что делать, если работник отозвал согласие на обработку персональных данных
После отзыва прекращается обработка тех данных и по тем целям, которые держались только на согласии. Обработка, необходимая для исполнения трудового договора и обязанностей работодателя, продолжается, и прекращать её по заявлению работника оператор не обязан. Практический порядок: зафиксировать дату получения отзыва, разделить цели по основаниям, остановить те, что опирались на согласие, и письменно уведомить работника, какие данные продолжают обрабатываться и на каком основании.
