Согласие на обработку персональных данных при приёме сотрудника — документ узкого назначения. Для кадрового учёта, расчёта зарплаты и отчётности в Социальный фонд России оно не требуется: обработка идёт на основании трудового договора и обязанностей, возложенных на работодателя законом (статья 6 152-ФЗ). Отдельное письменное согласие нужно там, где цель выходит за рамки трудовых отношений: передача данных внешнему оператору КЭДО и удостоверяющему центру, проверка кандидата службой безопасности, публикация фото и должности на сайте, оформление ДМС, обработка сведений о здоровье. Различие определяет состав пакета. Если вы обрабатываете только то, что нужно для исполнения трудового договора, достаточно Положения об обработке персональных данных и листа ознакомления под подпись. Как только появляется третье лицо или сторонняя цель, к пакету добавляется отдельное согласие под каждую цель.
Разберём состав пакета по ролям: что работодатель утверждает до выхода сотрудника, что сотрудник подписывает в первый день и в каком порядке, чтобы ознакомление не оказалось датировано позже трудового договора. Покажем, как заполняются 9 обязательных пунктов согласия по части 4 статьи 9 152-ФЗ и какие формулировки Роскомнадзор считает неконкретными. Во второй половине статьи — сценарная таблица для дистанционных работников, кандидатов и исполнителей по ГПХ, действующие размеры штрафов по статье 13.11 КоАП, стоимость подключения КЭДО и ответы на частые вопросы.
Когда согласие на обработку персональных данных нужно, а когда не требуется
Обработка персональных данных допускается без согласия, если она необходима для исполнения договора, стороной которого выступает сам работник, и для выполнения обязанностей, возложенных на работодателя законодательством. Это пункты 2 и 5 части 1 статьи 6 152-ФЗ. Приём, перевод, табель, приказы, расчёт зарплаты, удержание НДФЛ, подача ЕФС-1, воинский учёт — всё это закрывается трудовым договором и нормами Трудового кодекса, отдельная бумага от работника здесь не нужна.
Практическая проблема не в том, брать согласие или нет, а в том, что цели обработки в реальной компании шире трудовых. Кадровые данные уходят в облачный сервис, в удостоверяющий центр за сертификатом подписи, в страховую по ДМС, в службу безопасности на проверку, на корпоративный сайт в раздел «Команда». Каждая такая цель — самостоятельное основание, и под неё нужен свой документ.
| Цель обработки | Основание | Нужен отдельный документ от работника |
|---|---|---|
| Кадровый учёт, приказы, табель, сведения о трудовой деятельности | п. 2 и 5 ч. 1 ст. 6 152-ФЗ, глава 14 ТК РФ | Нет. Требуется ознакомление с ЛНА под подпись |
| Расчёт зарплаты, НДФЛ, страховые взносы, ЕФС-1 | п. 2 ч. 1 ст. 6 152-ФЗ | Нет |
| Передача данных оператору КЭДО, удостоверяющему центру, владельцу серверов | ст. 9 152-ФЗ, передача третьим лицам | Да, согласие с перечнем получателей |
| Проверка кандидата или работника службой безопасности | ст. 9 152-ФЗ | Да, до начала проверки |
| Фото, ФИО и должность на сайте, в соцсетях, на доске почёта | ст. 10.1 152-ФЗ | Да, отдельное согласие на распространение |
| Сведения о здоровье сверх того, что требует закон, оформление ДМС | ст. 10 152-ФЗ, специальные категории | Да, письменное согласие |
| Биометрия: проход по лицу или отпечатку пальца | ст. 11 152-ФЗ | Да, письменное согласие |
Из таблицы следует рабочее правило: количество согласий равно количеству целей за пределами трудового договора, а не единице. Одно универсальное согласие «на всё» закрывает эти цели хуже, чем три коротких документа под конкретные ситуации, потому что закон требует конкретности цели, а не её широты.
Когда отдельное согласие брать не нужно и даже вредно
Избыточное согласие создаёт риск, а не снимает его. Работник вправе отозвать согласие в любой момент (часть 2 статьи 9 152-ФЗ). Если вы взяли согласие на кадровый учёт, который и без того законен, отзыв формально ставит вас в положение, когда основание обработки исчезло, а обрабатывать данные вы обязаны по закону. Дальше начинается переписка и объяснения вместо ссылки на норму.
Второй случай, когда согласие не работает, — попытка вписать его в трудовой договор отдельным пунктом. Часть 1 статьи 9 152-ФЗ прямо требует оформлять согласие отдельно от иной информации и документов. Пункт в договоре и галочка в анкете этому требованию не отвечают.
Факт: при работе через облачный сервис КЭДО доступ к кадровым документам получают минимум три внешних участника: сам провайдер, владелец серверной инфраструктуры и удостоверяющий центр, выдающий подписи. Передача данных каждому из них — основание для отдельного согласия работника.
Образцы и бланки документов по персональным данным для оформления сотрудника
Комплект собран под задачу первого рабочего дня: начинать стоит с Правил обработки персональных данных, потому что остальные документы ссылаются на них.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
| Согласие на проверку кандидата службой безопасности | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Анкета кандидата для службы безопасности | Скачать |
Пакет документов по персональным данным при приёме нового сотрудника
Пакет делится на две части, и путать их не стоит: одна готовится один раз для всей компании, вторая оформляется на каждого человека. Ошибка, из-за которой пакет разваливается при проверке, — когда персональное согласие есть, а базового локального акта, на который оно ссылается, нет.
Что работодатель готовит до выхода сотрудника
- Политика обработки персональных данных. Публикуется в открытом доступе. Её отсутствие — самостоятельный состав по части 3 статьи 13.11 КоАП.
- Положение об обработке и защите персональных данных работников. Локальный нормативный акт, с которым сотрудника знакомят под подпись.
- Приказ о назначении ответственного за организацию обработки персональных данных. Его ФИО и контакты указываются в уведомлении Роскомнадзора.
- Перечень лиц, допущенных к обработке, и их должностей. Именно он закрывает вопрос разграничения доступа.
- Перечень обрабатываемых данных и сроки их хранения по каждой категории. Без него невозможно корректно заполнить пункт о сроке в согласии.
- Уведомление в Роскомнадзор о намерении обрабатывать персональные данные. Подаётся до начала обработки.
Мария Ж, руководитель HR-отдела: «Типовая картина при аудите: доступ ко всему кадровому массиву открыт всей кадровой службе целиком, потому что так удобнее. Это нарушение разграничения доступа, и оно всплывает не на проверке, а при утечке, когда нужно назвать круг лиц, имевших доступ к конкретному документу. Начните с перечня допущенных лиц по категориям данных: он делается за один день и снимает половину вопросов.»
Что оформляется на конкретного сотрудника
На человека оформляются: лист ознакомления с Положением об обработке персональных данных и другими ЛНА, отдельные согласия под каждую стороннюю цель, обязательство о неразглашении, если сотрудник сам получает доступ к чужим данным. Анкета кандидата и согласие на проверку службой безопасности подписываются раньше остальных документов, ещё до оформления, иначе проверка окажется незаконной.
Важный нюанс из практики: ознакомление с локальными актами по части 3 статьи 68 ТК РФ проводится до подписания трудового договора. Дата на листе ознакомления, которая позже даты договора, читается инспектором однозначно: работник подписал договор, не зная правил обработки своих данных. В сервисе Добыто маршрут собирается так, что лист ознакомления уходит сотруднику первым шагом, а трудовой договор становится доступен для подписания только после отметки об ознакомлении.
Внимание: перечень документов, которые можно требовать при приёме, в статье 65 ТК РФ закрытый. Расширить его вправе только федеральный закон, указ Президента и постановление Правительства. Ни приказ министерства, ни внутренний регламент компании, ни требование службы безопасности такого права не дают.
Мария Ж, юрист со стажем более 20 лет: «Типовая ситуация: служба безопасности просит кандидата принести справку о доходах с прошлого места работы или характеристику. Законного основания для такого требования нет, кандидат вправе отказать, и отказать ему в приёме по этой причине нельзя. Проверьте свою анкету на предмет полей, которые вы не имеете права заполнять принудительно: их выносят в отдельное добровольное согласие или убирают.»
Как заполнить согласие на обработку персональных данных: 9 обязательных пунктов
Часть 4 статьи 9 152-ФЗ задаёт закрытый состав письменного согласия. Пропуск любого пункта делает согласие дефектным, а обработку по нему — обработкой без согласия, то есть составом по части 2 статьи 13.11 КоАП. Разберём, что реально писать в каждом пункте.
- ФИО, адрес и реквизиты основного документа субъекта. Серия, номер, кем и когда выдан. Не «паспортные данные», а конкретные реквизиты.
- ФИО и адрес представителя, реквизиты доверенности. Заполняется, если согласие подписывает представитель, в том числе законный представитель несовершеннолетнего.
- Наименование и адрес оператора. Полное наименование юридического лица и адрес из ЕГРЮЛ.
- Цель обработки. Самый частый дефект. «Для кадровых целей» или «для обеспечения деятельности организации» — не цель. Цель звучит как «оформление и выпуск сертификата электронной подписи для подписания кадровых документов».
- Перечень персональных данных. Поимённо: ФИО, дата рождения, СНИЛС, реквизиты паспорта, номер телефона. Формулировка «иные данные, необходимые оператору» перечнем не считается.
- Наименование и адрес лица, осуществляющего обработку по поручению оператора. Здесь указывается оператор КЭДО, удостоверяющий центр, владелец серверов — каждый своим наименованием.
- Перечень действий с данными и описание способов обработки. Сбор, запись, хранение, передача, удаление; с использованием средств автоматизации или без них.
- Срок действия согласия и способ его отзыва. Срок привязывается к цели, а не берётся произвольно. Способ отзыва описывается так, чтобы работник мог им воспользоваться: заявление в отдел кадров, письмо на указанный адрес.
- Подпись субъекта персональных данных. Собственноручная либо электронная, если вид подписи допустим для такого документа.
В практике Добыто чаще всего спотыкаются на пунктах 4 и 8: цель пишут широко, чтобы одно согласие закрывало любые будущие сценарии, а срок ставят «бессрочно». Обе формулировки работают против оператора, потому что закон требует конкретности, а бессрочность спорна при проверке соразмерности цели и срока.
Как оформить пакет по персональным данным нового сотрудника: пошаговая инструкция
- Шаг 1. Составьте перечень целей обработки для конкретной должности: кадровый учёт, зарплата, пропускная система, ДМС, КЭДО, проверка службой безопасности, публикация на сайте.
- Шаг 2. Разделите цели на два списка: закрытые трудовым договором и законом — и все остальные. Под первый список документы от работника не нужны.
- Шаг 3. На каждую цель из второго списка подготовьте отдельное согласие с заполненными 9 пунктами части 4 статьи 9 152-ФЗ.
- Шаг 4. До подписания трудового договора ознакомьте сотрудника под подпись с Положением об обработке персональных данных и внесите запись в лист ознакомления с ЛНА.
- Шаг 5. Соберите подписи под согласиями. Анкету кандидата и согласие на проверку подписывайте до начала проверки, остальные — в день оформления.
- Шаг 6. Внесите сотрудника в перечень лиц, допущенных к обработке, если по должности он получает доступ к чужим данным, и оформите обязательство о неразглашении.
- Шаг 7. Заведите учёт согласий с датой подписания, целью, сроком действия и отметкой об отзыве. Без такого реестра вы не сможете вовремя прекратить обработку и уничтожить данные.
Подпишите согласие и лист ознакомления электронной подписью
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Мария Ж, специалист по цифровой подписи и КЭДО: «Кандидат на момент подписания первых документов ещё не работник, и локальный акт компании на него не распространяется. Поэтому до трудового договора нужно соглашение об электронном взаимодействии: без него неквалифицированная подпись кандидата не создаёт равнозначности собственноручной. Проверьте, в какой момент ваш процесс выдаёт человеку подпись, и что он подписывает раньше этого момента.»
Ознакомление под подпись: лист ознакомления и порядок по главе 14 ТК РФ
Глава 14 Трудового кодекса добавляет к требованиям 152-ФЗ отдельную обязанность: работодатель знакомит работников и их представителей под подпись с документами, устанавливающими порядок обработки персональных данных, и с их правами и обязанностями в этой области. Это не дублирование согласия, а самостоятельное требование, и проверяется оно отдельно.
Лист ознакомления оформляется как приложение к трудовому договору либо ведётся отдельным журналом по каждому ЛНА. Второй вариант удобнее при изменении актов: при выходе новой редакции Положения нужно повторное ознакомление, и журнал позволяет увидеть, кто из сотрудников новую редакцию ещё не видел.
Полезно знать: ИНН и свидетельства о рождении детей работодатель требовать не вправе — работник приносит их по своей инициативе, обычно ради налогового вычета. Место таких документов в бухгалтерии, а не в личном деле, и в перечень обрабатываемых кадровой службой данных они не включаются.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Важный нюанс из практики: согласие работника на сам переход к электронным кадровым документам и согласие на обработку персональных данных — разные документы с разным правовым режимом. Сотрудники, у которых на 31 декабря 2021 года не было трудового стажа, согласия на КЭДО не дают: им достаточно уведомления. Работники, принятые раньше, дают согласие на КЭДО обязательно, и отказ не является основанием для увольнения или иных санкций.
Коммерческая тайна и персональные данные: два разных обязательства
Эти режимы регулярно смешивают в одном документе, хотя они опираются на разные законы и защищают разное. Персональные данные охраняются 152-ФЗ и главой 14 ТК РФ, режим коммерческой тайны вводится по 98-ФЗ. Сведения о работниках сами по себе коммерческой тайной не являются: их конфиденциальность вытекает из статуса персональных данных.
Для сотрудника, который по должности работает с чужими данными, нужны оба документа. Обязательство о неразглашении персональных данных других работников опирается на статью 90 ТК РФ и Положение об обработке. Обязательство о неразглашении коммерческой тайны требует, чтобы в компании был введён режим: утверждён перечень сведений, нанесён гриф, организован учёт лиц, получивших доступ. Без этих условий подписанное обязательство не даст оснований ни для дисциплинарного взыскания, ни для взыскания убытков.
Практический вывод для пакета при приёме: если режим коммерческой тайны в компании не введён, соответствующее обязательство подписывать преждевременно. Сначала перечень и гриф, потом подписи сотрудников.
Оператор персональных данных: уведомление Роскомнадзора и обязанности работодателя
Любая компания, которая наняла хотя бы одного сотрудника и ведёт кадровый учёт в программе, — оператор персональных данных. С 1 сентября 2022 года исключение для данных, полученных в рамках трудовых отношений, из статьи 22 152-ФЗ убрано. Уведомлять не нужно только в трёх случаях: обработка ведётся без средств автоматизации, данные включены в государственные информационные системы защиты безопасности государства и общественного порядка, обработка предусмотрена законодательством о транспортной безопасности. Кадровый учёт в 1С или в облачном сервисе ни под одно из исключений не подпадает.
Уведомление подаётся до начала обработки. Подать его можно на бумаге, в электронном виде с УКЭП или через средства аутентификации ЕСИА: электронная форма уведомления об обработке персональных данных на портале Роскомнадзора заполняется по составу сведений из части 3 статьи 22 152-ФЗ, включая цели обработки, категории данных, меры защиты и ответственное лицо. При изменении сведений подаётся информационное письмо.
Вторая обязанность, о которой вспоминают поздно, — реакция на инцидент. При утечке оператор уведомляет Роскомнадзор в течение 24 часов о самом факте и в течение 72 часов о результатах внутреннего расследования (часть 3.1 статьи 21 152-ФЗ). Эти сроки считаются с момента обнаружения, а не с момента, когда служба безопасности закончила разбираться.
Лайфхак: задавайте вендору не вопрос «как защищены данные», а требование «перечислите всех, кто получит к ним доступ». Ответ списком юридических лиц — это готовая фактура для пункта 6 согласия: наименование и адрес каждого лица, осуществляющего обработку по поручению оператора.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Выбор облачного решения — не только технический вопрос. Как только кадровые документы уходят внешнему провайдеру, появляется третье лицо, и передача данных ему должна быть основана на согласии работника. Обычно получателей не один, а три: сам сервис, владелец инфраструктуры и удостоверяющий центр. Запросите этот список у вендора до подписания договора и перенесите его в текст согласия дословно.»
Цена ошибки: штрафы по статье 13.11 КоАП в 2026 году
С 30 мая 2025 года санкции по статье 13.11 КоАП пересобраны: составы разделены детальнее, а суммы для юридических лиц выросли в разы. Ниже действующие размеры по тем частям, которые касаются кадрового пакета.
| Нарушение | Часть ст. 13.11 | Должностное лицо | Юридическое лицо |
|---|---|---|---|
| Обработка без законного основания или в целях, несовместимых с целями сбора | ч. 1 | 50 000-100 000 ₽ | 150 000-300 000 ₽ |
| Обработка без согласия, когда согласие обязательно, либо дефектное согласие | ч. 2 | 100 000-300 000 ₽ | 300 000-700 000 ₽ |
| Нет опубликованной политики обработки персональных данных | ч. 3 | 6 000-12 000 ₽ | 30 000-60 000 ₽ |
| Не подано уведомление о намерении обрабатывать персональные данные | ч. 10 | 30 000-50 000 ₽ | 100 000-300 000 ₽ |
| Не выполнена обязанность уведомить об утечке данных | ч. 11 | 400 000-800 000 ₽ | 1 000 000-3 000 000 ₽ |
Составы складываются. Компания, которая не подала уведомление, не опубликовала политику и берёт согласия с незаполненной целью, получает не один штраф, а три по разным частям. Отдельно считается повторность: за повторную утечку персональных данных для юридических лиц предусмотрен оборотный штраф от 1 до 3 процентов совокупной выручки, но не менее 25 миллионов и не более 500 миллионов рублей.
Денежная часть — не единственные потери. Дефектное согласие обнуляет доказательственную базу в споре с работником: если проверка кандидата проводилась без корректного согласия, её результаты нельзя предъявить ни в суде, ни в объяснении причин отказа по статье 64 ТК РФ.
Что меняется для дистанционных работников, кандидатов и исполнителей по ГПХ
Универсального пакета не существует: состав документов зависит от того, кем человек является в момент подписания и как он взаимодействует с компанией.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Штатный сотрудник в офисе | Ознакомление с Положением об обработке до подписания трудового договора | Форма листа ознакомления: журнал или приложение к договору |
| Дистанционный работник | Согласие на передачу данных оператору КЭДО и удостоверяющему центру, допустимый вид электронной подписи для каждого документа | Бумажный экземпляр листа ознакомления |
| Кандидат до трудоустройства | Отдельное согласие до начала любой проверки, срок хранения резюме и его уничтожение по достижении цели | Состав анкеты, если поля сверх перечня добровольные |
| Исполнитель по ГПХ, самозанятый | Основанием служит гражданско-правовой договор, нормы главы 14 ТК РФ на исполнителя не распространяются | Лист ознакомления с кадровыми ЛНА |
| Несовершеннолетний работник | Согласие законного представителя, реквизиты представителя в пункте 2 согласия | Способ подписания |
Строка про ГПХ — та, где чаще всего переносят кадровые шаблоны без изменений. Исполнитель не работник, его данные обрабатываются для исполнения гражданско-правового договора, и подсовывать ему лист ознакомления с Правилами внутреннего трудового распорядка не просто бессмысленно: это один из признаков, по которым отношения переквалифицируют в трудовые.
Электронное оформление пакета: что меняет КЭДО
Перевод пакета в электронный вид решает не задачу экономии бумаги, а задачу доказуемости. В бумажном процессе вы доказываете факт ознакомления датой и подписью на листе; в электронном — фиксируется штамп времени, вид подписи и статус каждого участника маршрута. При споре о том, знал ли работник порядок обработки своих данных, это разные по силе доказательства.
Ограничения тоже есть, и их стоит знать до перехода. Трудовые книжки, акты о несчастных случаях на производстве, приказы об увольнении и документы о прохождении инструктажей по охране труда в электронный вид не переводятся. Остальные кадровые документы, включая согласия и листы ознакомления, могут существовать только электронно, без дублирования на бумаге.
Мы закладываем пилотную группу перед раскаткой на всю компанию: на ней проверяются шаблоны согласий, маршруты подписания и порядок выдачи подписей. Это снимает основную часть ошибок настройки до того, как в систему заводятся сотни человек.
Стоимость подключения КЭДО для оформления документов по персональным данным
Стоимость зависит от численности сотрудников и набора функций: базовые шаблоны и два вида подписи или кастомные шаблоны, интеграция с 1С и электронный архив.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск электронных подписей ПЭП и УНЭП для сотрудников | входит в тариф | рассчитывается индивидуально |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма складывается из численности и выбранного набора функций: кастомные шаблоны согласий, интеграция с учётной системой и электронный архив доступны с тарифа «Бизнес». Действующие условия и состав каждого пакета указаны на странице тарифов ДОБЫТО КЭДО, там же уточняется порядок перехода между тарифами: при повышении разница пересчитывается пропорционально оставшемуся периоду.
УКЭП в тарифы не входит и получается через партнёров-удостоверяющих центров. Данные по стоимости приведены на дату публикации.
Выводы
Пакет по персональным данным собирается не из одного универсального бланка, а из двух уровней: общекорпоративного, где живут политика, положение, приказ об ответственном и уведомление Роскомнадзора, и персонального, где на каждую цель за пределами трудового договора приходится своё согласие с заполненными 9 пунктами. Порядок важен не меньше состава: ознакомление с локальными актами идёт раньше трудового договора, а согласие на проверку — раньше самой проверки. Штрафные составы по статье 13.11 КоАП складываются, поэтому дешевле проверить пакет целиком, чем закрывать нарушения по одному.
В сервисе Добыто маршруты подписания настраиваются так, чтобы очерёдность документов соблюдалась автоматически, а статус ознакомления и подписания по каждому сотруднику был виден в одном реестре. Шаблоны согласий настраиваются под конкретные цели обработки, включая передачу данных удостоверяющему центру при выпуске подписи.
Частые вопросы
Что делать, если работник отозвал согласие на обработку персональных данных
Отзыв прекращает обработку по тем целям, которые опирались на это согласие, но не по тем, которые основаны на трудовом договоре и законе. Кадровый учёт, расчёт зарплаты и сдача отчётности продолжаются, потому что их основание — пункты 2 и 5 части 1 статьи 6 152-ФЗ. Прекратить нужно передачу данных третьим лицам, публикацию на сайте и иные цели из отозванного согласия, а данные, обрабатываемые только по нему, уничтожить. Ответ работнику стоит оформить письменно, со ссылкой на конкретное основание продолжения обработки.
Сколько хранить подписанные согласия и когда их уничтожать
Если согласия ведутся отдельным делом, срок хранения — 3 года после истечения срока действия согласия или его отзыва по статье 441 перечня, утверждённого приказом Росархива от 20.12.2019 № 236. Если согласия подшиты в личное дело работника, они хранятся вместе с делом, то есть 50 лет. Решение о способе хранения принимается заранее: от него зависит и срок, и порядок уничтожения.
Можно ли использовать одну форму согласия для кандидатов и для принятых сотрудников
Нет, потому что различаются цели и срок. У кандидата цель — рассмотрение на вакансию и проверка, срок логично привязывать к решению по вакансии и последующему хранению резюме. У принятого сотрудника цели другие: выпуск сертификата подписи, передача данных оператору КЭДО, ДМС. Переиспользование формы приводит к тому, что в согласии остаётся цель, которая уже достигнута, а данные продолжают обрабатываться.
Нужно ли согласие на передачу данных работника в бухгалтерию на аутсорсинге
Да. Аутсорсинговая бухгалтерия — лицо, осуществляющее обработку по поручению оператора, и её наименование с адресом указывается в пункте 6 согласия. Дополнительно оформляется поручение на обработку с перечнем действий и требованиями к конфиденциальности и безопасности. Сам договор на бухгалтерское обслуживание согласие работника не заменяет.
Что проверяет Роскомнадзор при проверке работодателя по персональным данным
Проверяется наличие опубликованной политики обработки, локальных актов и приказа о назначении ответственного, соответствие поданного уведомления фактическим целям и категориям данных, состав согласий по части 4 статьи 9 152-ФЗ, наличие листов ознакомления, разграничение доступа и перечень допущенных лиц, а также сроки хранения и порядок уничтожения данных. Несовпадение уведомления с реальным набором целей — частая причина замечаний: уведомление подали один раз при регистрации, а потом подключили КЭДО, видеонаблюдение и пропускную систему по биометрии.
Можно ли подписать согласие на обработку персональных данных электронной подписью
Да, при условии, что вид подписи допустим для этого документа и между сторонами есть основание считать электронную подпись равнозначной собственноручной. Для квалифицированной подписи равнозначность возникает в силу 63-ФЗ. Для простой и неквалифицированной нужно соглашение сторон либо локальный акт, а с кандидатом, который ещё не работник, — отдельное соглашение об электронном взаимодействии, подписанное до основного пакета.
Обязательно ли назначать ответственного за обработку, если в компании 5 человек
Да, обязанность назначить ответственного за организацию обработки персональных данных не зависит от численности. В небольшой компании им обычно становится руководитель или единственный кадровый специалист, и это оформляется приказом. Его ФИО и контактные данные указываются в уведомлении, поэтому при смене ответственного подаётся информационное письмо об изменении сведений.
