Согласие на обработку персональных данных работника с 1 сентября 2025 года оформляется только отдельным документом: включать его в трудовой договор или анкету запрещено, так требует статья 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ. В бланке обязательны девять реквизитов из части 4 статьи 9: данные работника и его паспорта, наименование и адрес работодателя, цель обработки, перечень данных, перечень действий и способов обработки, обработчик по поручению оператора, срок действия и способ отзыва, подпись. Для большинства кадровых процессов согласие не нужно вовсе: приём, зарплата и отчётность в СФР идут по пункту 2 части 1 статьи 6 152-ФЗ и по нормам ТК РФ. Согласие требуется там, где данные выходят за пределы обязанностей работодателя: проверка кандидата, передача в банк или страховую, публикация фото, сведения о здоровье.
Разберём бланк по реквизитам и покажем формулировки, из-за которых согласие признают недействительным: цель «кадровый учёт и иные цели», перечень с оговоркой «и другие сведения», бессрочность, молчание про обработчика. Отдельно — что делать с согласиями, подписанными до сентября 2025 года, и как оформить согласие электронно. Штрафы по статье 13.11 КоАП, сроки хранения и уничтожения, порядок отзыва работником и ответы на частые вопросы — во второй половине статьи.
Конструктор ниже собирает согласие по составу части 4 статьи 9 152-ФЗ и отдаёт готовый файл .docx с целями, сроком действия и оговоркой об отзыве.
Когда согласие работника нужно, а когда работодатель обходится без него
Кадровик, который берёт с каждого нового сотрудника универсальное согласие «на всё», решает не ту задачу. Обработка персональных данных законна при любом из оснований статьи 6 152-ФЗ, и согласие — только одно из них. Приём на работу, ведение личной карточки, расчёт зарплаты, удержание НДФЛ, сдача ЕФС-1 и воинский учёт держатся на пункте 2 части 1 статьи 6 (исполнение договора, стороной которого является работник) и на прямых обязанностях из ТК РФ. Согласие для этих операций юридически лишнее, а его наличие создаёт иллюзию, что без него обработка встанет.
Отдельное письменное согласие требуется в ситуациях, когда работодатель выходит за периметр трудовых обязанностей. Разграничение удобнее держать перед глазами в виде таблицы: слева ситуация, дальше основание и то, что работодатель должен показать проверяющему.
| Ситуация | Основание обработки | Нужно ли согласие |
|---|---|---|
| Оформление приёма, кадровые приказы, личная карточка | Пункт 2 части 1 статьи 6 152-ФЗ, статьи 65 и 86 ТК РФ | Нет |
| Зарплата, НДФЛ, взносы, ЕФС-1, воинский учёт | Исполнение обязанностей, возложенных на работодателя законом | Нет |
| Получение сведений о работнике у третьей стороны | Часть 3 статьи 86 ТК РФ: согласие плюс уведомление о целях, источниках и последствиях отказа | Да, письменное |
| Передача данных третьим лицам: банк вне зарплатного проекта, страховая по ДМС, аутсорсер | Статья 88 ТК РФ, пункт 6 части 4 статьи 9 152-ФЗ | Да, с указанием получателя |
| Проверка кандидата службой безопасности или подрядчиком | Статья 9 152-ФЗ, обработка по поручению оператора | Да, до начала проверки |
| Сведения о здоровье сверх медосмотра, религиозные и политические взгляды | Статья 10 152-ФЗ, специальные категории | Да, отдельное |
| Фото работника на сайте компании, в рассылке, в соцсетях | Обработка вне целей трудовых отношений | Да, отдельное |
| Хранение резюме соискателя после закрытия вакансии, кадровый резерв | Трудовое законодательство эти отношения не регулирует | Да |
Практический вывод из таблицы: комплект согласий у нормального работодателя не один документ, а три-четыре разных под разные цели. Универсальный бланк «согласен на обработку моих персональных данных» не закрывает ни одну строку из нижней половины таблицы, потому что в нём нет ни конкретной цели, ни получателя данных.
Когда согласие брать не нужно и даже вредно
Есть обратная ошибка: работодатель подстраховывается и берёт согласие там, где обработка идёт по закону. Риск в том, что согласие можно отозвать. Работник, подписавший согласие на ведение личного дела и расчёт зарплаты, через год отзывает его и требует прекратить обработку. Работодатель обязан ответить, что обработка продолжается по другому основанию, и объяснить какому. Если такого основания в документах компании нет, а вся конструкция построена на согласии, спор превращается в разбирательство на пустом месте. Согласие берётся под конкретную цель, которой нет в законе и в трудовом договоре, и не берётся ни под что другое.
Факт: согласие на обработку персональных данных и согласие на КЭДО — разные документы. Статья 22.2 ТК РФ требует письменного согласия каждого работника на электронное взаимодействие; без него применять электронные документы и электронную подпись в отношениях с этим работником нельзя, даже когда согласие на обработку данных подписано.
Что обязательно в бланке согласия на обработку персональных данных
Часть 4 статьи 9 152-ФЗ задаёт закрытый состав из девяти позиций. Отсутствие любой из них означает, что письменное согласие получено с нарушением требований к его содержанию, а это самостоятельный состав по части 2 статьи 13.11 КоАП. Проверять бланк удобно ровно по этому списку, а не по красивому шаблону из интернета.
Как заполнить согласие на обработку персональных данных: пошаговая инструкция
- Шаг 1. Внесите данные субъекта: фамилию, имя, отчество, адрес, номер основного документа, удостоверяющего личность, дату выдачи и выдавший орган. Для представителя дополнительно указываются его данные и реквизиты доверенности.
- Шаг 2. Укажите оператора: полное наименование организации и её адрес. Обособленное подразделение оператором не является, в бланке пишется юридическое лицо.
- Шаг 3. Сформулируйте цель. Одна цель — одно согласие: «проверка достоверности сведений, представленных при трудоустройстве», «передача данных в страховую организацию для оформления полиса добровольного медицинского страхования». Формулировки «в кадровых и иных целях» цель не обозначают.
- Шаг 4. Перечислите данные поимённо: фамилия, имя, отчество, дата рождения, паспортные данные, СНИЛС, ИНН, адрес, телефон, сведения об образовании. Закрывающая фраза «и иные сведения» делает перечень неконкретным.
- Шаг 5. Перечислите действия и способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, блокирование, удаление, уничтожение, с автоматизацией или без неё. Оставляйте только те, которые компания реально выполняет.
- Шаг 6. Назовите обработчика, если данные передаются по поручению: наименование и адрес аутсорсинговой кадровой компании, подрядчика по проверке кандидатов, оператора КЭДО. Пункт 6 части 4 статьи 9 требует именно наименования и адреса, а не слова «третьи лица».
- Шаг 7. Установите срок действия и способ отзыва. Срок привязывается к цели: на период действия трудового договора, до принятия решения по кандидатуре, три года с даты подписания. Способ отзыва пишется рабочий: письменное заявление в отдел кадров или на адрес компании.
- Шаг 8. Поставьте дату и подпись работника. Для электронной формы вместо собственноручной подписи используется электронная подпись, допустимая для этого документа в вашей системе.
Проверить свой бланк по составу реквизитов можно и по образцу согласия на обработку персональных данных на сайте Роскомнадзора: там же перечислены категории данных и разделы, которые ведомство ожидает увидеть при проверке. Свой шаблон стоит сверить с ним хотя бы один раз, потому что типовые бланки из кадровых программ обновляются с задержкой.
Мария Ж, юрист со стажем более 20 лет: «Первое, что мы выясняем в споре о подписи, — в каком режиме создавался документ. Скан подписанного от руки согласия и файл, подписанный криптографически, живут по разным правилам, и требования к подписи у них разные. Посмотрите на свой файл: если в нём есть изображение собственноручной подписи, перед вами электронный образ, а не электронный документ.»
Правило отдельного документа с 1 сентября 2025 года: что делать со старыми согласиями
Статья 9 152-ФЗ дополнена требованием оформлять согласие отдельно от иной информации и документов, которые субъект подтверждает или подписывает. Практика встраивать абзац о согласии в трудовой договор, в анкету кандидата, в заявление о приёме или в оферту на сайте с 1 сентября 2025 года неправомерна. Изменение внесено Федеральным законом от 24.06.2025 № 156-ФЗ, его статьи 2 и 5 действуют с этой даты.
Согласия, собранные до 1 сентября 2025 года, переоформлять не требуется: закон обратной силы здесь не имеет. Переоформление нужно в двух случаях: если меняется цель обработки либо если истекает срок, на который согласие давалось. Отсюда практическая последовательность: сначала инвентаризация действующих согласий по срокам и целям, потом замена шаблонов на новые, и только затем сбор подписей по тем целям, где старое согласие уже не действует. Массовая пересборка согласий со всего штата ради самой пересборки — лишняя работа, которая ещё и порождает вопросы работников.
В практике Добыто самый частый дефект при переходе на новую редакцию — галочка о согласии внутри общей формы приёма на работу. Форма закрывает три задачи сразу: анкету, ознакомление с ЛНА и согласие. После 1 сентября 2025 года такую форму приходится разбирать на самостоятельные документы, каждый со своим маршрутом подписания.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Образцы согласий и локальных актов оператора персональных данных
Комплект для сборки своего пакета: смотрите первым базовое согласие, дальше подбирайте специальные под проверку кандидата и выпуск подписи.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных (локальный акт оператора) | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
Типовые ошибки в согласии и цена каждой
Ошибки в согласии обнаруживаются не в момент подписания, а при проверке Роскомнадзора или в трудовом споре, когда исправлять поздно: согласие с дефектом содержания приравнивается к отсутствию согласия. Ниже — дефекты, которые встречаются в кадровых пакетах чаще всего, и то, чем каждый оборачивается.
| Ошибка в бланке | Последствие | Как исправить |
|---|---|---|
| Согласие вшито в трудовой договор или анкету | Нарушение статьи 9 152-ФЗ в редакции с 01.09.2025 | Вынести в самостоятельный документ с отдельной подписью |
| Цель сформулирована как «кадровый учёт и иные цели» | Согласие не считается конкретным и предметным | Разбить на отдельные согласия по каждой цели |
| Перечень данных заканчивается словами «и другие сведения» | Объём обработки не определён, нарушен пункт 5 части 4 статьи 9 | Оставить закрытый перечень по фактическим процессам |
| Не указан обработчик по поручению | Передача данных подрядчику без правового основания | Внести наименование и адрес каждого обработчика |
| Срок действия не указан или написано «бессрочно» | Нарушен пункт 8 части 4 статьи 9, непонятен момент уничтожения | Привязать срок к цели и к сроку хранения документа |
| В перечне данных сведения о здоровье, которые компания не собирает | Заявленная обработка специальных категорий без реальной цели | Удалить лишние категории из шаблона |
Цена ошибки считается не стоимостью переоформления бланка. Обработка персональных данных без согласия, когда оно требуется по закону, либо с нарушением требований к его составу — это часть 2 статьи 13.11 КоАП: от 100 000 до 300 000 рублей на должностное лицо и от 300 000 до 700 000 рублей на организацию. Обработка без правового основания вообще обойдётся организации в 150 000-300 000 рублей. Неуведомление Роскомнадзора о намерении обрабатывать персональные данные с 2025 года выделено в самостоятельный состав со штрафом для юридического лица от 100 000 до 300 000 рублей: с сентября 2022 года работодатели подают такое уведомление на общих основаниях, исключения для обработки данных работников больше нет.
Отдельная линия рисков — утечка. Если данные утекли и в инциденте от 1 000 до 10 000 субъектов, штраф для организации составляет от 3 до 5 миллионов рублей, при массиве свыше 100 000 субъектов — от 10 до 15 миллионов. Несообщение об инциденте в течение суток стоит организации от 1 до 3 миллионов рублей, а повторная утечка тарифицируется от годовой выручки: от 1 до 3 процентов. На этом фоне спор о формулировке цели в бланке выглядит мелочью ровно до момента, пока Роскомнадзор не пришёл с проверкой по жалобе работника.
Согласие на проверку кандидата и передачу данных подрядчику
Проверка соискателя по базам ФССП, ЕГРЮЛ, реестру дисквалифицированных лиц и открытым источникам законна только после того, как кандидат подписал согласие. До подписи нет ни правового основания, ни возможности передать данные проверяющей стороне. Аутсорсинговая служба безопасности при этом работает как лицо, обрабатывающее данные по поручению оператора: заказчик получает согласие, передаёт исполнителю фамилию, имя, отчество, дату рождения и паспортные данные и отвечает за то, что согласие действительно есть. В самом бланке такой исполнитель должен быть назван по пункту 6 части 4 статьи 9.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Проверка «по-тихому», пока кандидат ждёт ответа после собеседования, — это обработка без основания, и жалоба соискателя в Роскомнадзор доказывается элементарно: у работодателя нет документа, а сведения он откуда-то взял.
Если вы работник или кандидат и читаете этот раздел с вопросом, что подписываете: смотрите цель и перечень действий. Согласие на проверку достоверности представленных сведений даёт работодателю право сверять то, что вы сами указали в анкете. Согласие с целью «оценка благонадёжности» и перечнем «иные сведения» открывает существенно больший объём. Спорные пункты вычёркиваются до подписи, а не после.
Мария Ж, HR-эксперт с 13-летним стажем: «Согласие на проверку кандидата и согласие на обработку данных работника мы принципиально держим разными документами с разными сроками. Первое действует до принятия решения по кандидатуре и уничтожается вместе с материалами проверки, второе живёт весь срок работы. Проверьте у себя, что оба срока прописаны в бланках, иначе через год вы не сможете объяснить проверяющему, почему храните материалы по человеку, которого не наняли.»
Согласие в электронном виде: подпись, КЭДО и доказательства
Согласие на обработку персональных данных допустимо подписывать электронной подписью, и норма части 4 статьи 9 152-ФЗ этому не мешает. Ограничение приходит с другой стороны: чтобы вообще обмениваться кадровыми документами электронно, компания должна ввести КЭДО по правилам статей 22.1-22.3 ТК РФ и получить письменное согласие работника на электронное взаимодействие. Это второй документ, не тот же самый. Работник вправе его не давать, и отказ не может быть основанием для отказа в приёме на работу или для увольнения.
При споре доказывается не одно обстоятельство, а четыре: получено ли согласие работника на КЭДО, ознакомлен ли он с локальным актом о КЭДО, использовал ли он электронную подпись, получил ли электронный документ. Порядок здесь имеет значение. Сначала подтверждается право компании вести кадровые документы электронно, и только потом — что конкретный файл подписан этим человеком.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Обратите внимание на очерёдность доказывания. Если рассыпается право компании вообще вести кадровые документы электронно, до вопроса о конкретной подписи дело не доходит, каким бы аккуратным ни был журнал подписания. Поднимите свой пакет и посмотрите, есть ли в нём положение о КЭДО, перечень документов и категорий работников и согласие каждого работника: без этой связки электронное согласие на обработку данных защищать нечем.»
В сервисе Добыто согласия собираются по шаблону с маршрутом подписания: кадровик формирует документ из готовой формы, система подставляет данные сотрудника, направляет на подпись и складывает подписанный файл в электронный архив с фиксацией статуса. Мы закладываем пилотную группу перед раскаткой на всю компанию: на первых десятках сотрудников видно, какие поля шаблона заполняются неверно и какие цели обработки в бланке лишние.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Лайфхак: выгружайте журнал действий по согласиям до проверки, а не после неё. Система фиксирует всё подряд, включая дату выдачи ключа и вход под чужой учётной записью, и при споре эти записи работают против работодателя так же охотно, как и в его пользу.
Хранение, отзыв и уничтожение согласия
Срок хранения самого согласия — 3 года после истечения срока его действия или после отзыва, если иное не установлено федеральным законом или договором. Это статья 441 Перечня, утверждённого приказом Росархива от 20.12.2019 № 236. Если в бланке написано, что согласие действует в течение срока трудового договора, отсчёт трёх лет начинается с даты увольнения. Согласие, подшитое в личное дело, попадает под срок хранения личного дела, то есть 50 лет, и извлекать его оттуда ради отдельного учёта смысла нет.
Отзыв согласия работник подаёт письменно, в свободной форме. С даты поступления отзыва у работодателя 30 дней на то, чтобы прекратить обработку, которая держалась только на согласии, и уничтожить данные, если нет иного основания для их хранения. Иное основание чаще всего есть: трудовой договор, требования налогового и архивного законодательства. Правильный ответ на отзыв — не молчание и не автоматическое уничтожение, а письмо, где перечислено, какая обработка прекращена и какая продолжается с указанием основания.
Уничтожение подтверждается документально. При обработке без средств автоматизации это акт об уничтожении персональных данных, при автоматизированной обработке к акту добавляется выгрузка из журнала регистрации событий в информационной системе. Требования установлены приказом Роскомнадзора от 28.10.2022 № 179. Практически это значит, что кнопка «удалить» в кадровой программе сама по себе доказательством не является. В практике Добыто сверку журнала подписания и состава хранимых согласий мы проводим перед проверками и при увольнениях, на которых ожидаем конфликт, а не после поступления запроса.
Полезно знать: распечатка электронного согласия остаётся копией электронного документа, а не оригиналом. Чтобы такая распечатка что-то значила, её заверяют оператором электронного документооборота, удостоверяющим центром, нотариусом либо самой организацией с отметкой о верности копии.
Мария Ж, судебный эксперт по трудовому праву: «Переход на электронные документы не означает, что бумага не понадобится никогда: суд вправе истребовать подлинник, если только он способен подтвердить обстоятельство дела, а при сомнениях в подлинности назначается экспертиза. Планируя отказ от бумажного архива согласий, посмотрите, какие документы у вас существуют только в электронном виде и чем вы подтвердите их подлинность.»
Стоимость перевода согласий и кадровых документов в электронный вид
Стоимость зависит от численности сотрудников и набора функций: видов электронной подписи, кастомных шаблонов, интеграции с 1С и электронного архива. Тарифы на дату публикации:
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции, персональный менеджер | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф, выпускаются бесплатно | рассчитывается индивидуально |
| Готовый модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
| УКЭП через партнёров-удостоверяющие центры | по запросу | рассчитывается индивидуально |
Итоговая сумма складывается из численности, выбранного тарифа и того, нужны ли кастомные шаблоны и интеграция: на численности до 25 человек хватает базового набора, дальше вопрос упирается в архив и обмен с учётной системой. Полный состав функций по каждому пакету и условия перехода между ними разобраны на странице тарифов ДОБЫТО КЭДО.
Тариф меняется в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду, поэтому начинать с пилотной группы на минимальном пакете дешевле, чем сразу покупать функции под весь штат.
Выводы
Согласие работника — узкий инструмент, а не универсальная подстраховка: большинство кадровых операций законны и без него, а там, где оно требуется, работает только конкретный бланк с одной целью, закрытым перечнем данных, названным обработчиком и понятным сроком. С сентября 2025 года такой бланк существует исключительно как самостоятельный документ, а его дефект содержания приравнивается к отсутствию согласия со штрафом до 700 000 рублей на организацию. Хранение, отзыв и уничтожение — такая же часть процедуры: три года после окончания действия, 30 дней на реакцию по отзыву, акт и выгрузка журнала в подтверждение уничтожения.
Мы в Добыто собираем согласия как отдельные документы с собственными шаблонами, маршрутами подписания и сроками хранения, чтобы кадровая служба не пересобирала пакет вручную при каждом изменении закона. Тот же контур закрывает и сбор согласий на КЭДО, и хранение подписанных файлов с журналом действий, который потребуется при проверке.
Частые вопросы
Нужно ли переподписывать согласия, полученные до 1 сентября 2025 года?
Нет, ранее собранные согласия сохраняют силу: требование оформлять согласие отдельным документом применяется к тем, что подписаны после вступления изменений в силу. Переоформление нужно, если меняется цель обработки или истекает срок, на который согласие давалось. Практический порядок: инвентаризация действующих согласий по целям и срокам, замена шаблона, сбор подписей только по тем целям, где старый документ больше не действует.
Можно ли отказать кандидату, который не подписывает согласие на проверку?
Отказ в приёме на работу оформляется по деловым качествам, а не по факту непредоставления согласия: статья 64 ТК РФ запрещает необоснованный отказ. При этом без согласия работодатель просто не вправе запускать проверку и передавать данные подрядчику, поэтому решение принимается по тем сведениям, которые кандидат представил сам. Письменный отказ по требованию соискателя выдаётся в течение семи рабочих дней.
Как оформить согласие, если кадровый учёт ведёт сторонняя компания?
Аутсорсер обрабатывает данные по поручению оператора, значит его наименование и адрес указываются в бланке по пункту 6 части 4 статьи 9 152-ФЗ. Дополнительно нужен договор поручения с перечнем действий, целями обработки и обязанностью соблюдать конфиденциальность и требования к защите данных. Ответственность перед работником при этом остаётся на работодателе как на операторе.
Нужно ли согласие на обработку данных родственников работника?
Сведения о детях для стандартного вычета и о супруге в анкете — это данные третьих лиц, и работодатель получает их от работника. Для целей, прямо предусмотренных налоговым и трудовым законодательством, обработка идёт по закону, для остальных, например корпоративного ДМС на членов семьи или новогодних подарков детям, берётся согласие субъекта или его законного представителя. Практичнее оформить отдельный бланк, где работник как законный представитель даёт согласие за несовершеннолетних детей.
Что делать с согласиями уволенных работников?
Обработка после увольнения продолжается по архивному и налоговому законодательству, а не по согласию, поэтому уничтожать личное дело сразу нельзя. Само согласие хранится три года после истечения срока его действия, а если оно подшито в личное дело — вместе с делом. Материалы, которые не имеют самостоятельного срока хранения, например отчёт проверки кандидата, уничтожаются по акту с фиксацией даты и состава уничтоженных сведений.
Сколько можно хранить резюме соискателя, которому не ответили?
Трудовое законодательство отношения с несостоявшимся кандидатом не регулирует, поэтому хранение резюме и анкеты возможно только с его согласия и в пределах указанного в согласии срока. Если согласия на хранение в кадровом резерве нет, данные уничтожаются после закрытия вакансии, а факт уничтожения подтверждается актом либо выгрузкой из журнала событий системы. Отдельно проверьте, не осталось ли копий резюме в почте и в мессенджерах рекрутеров: при жалобе Роскомнадзор смотрит на фактическую обработку, а не на регламент.
