Согласие на обработку персональных данных работника требуется не всегда: часть 1 статьи 6 152-ФЗ даёт одиннадцать самостоятельных оснований обработки, и согласие — только одно из них. Приём на работу, кадровый учёт, расчёт зарплаты, отчётность в Социальный фонд России и воинский учёт работодатель ведёт без согласия: обработка нужна для исполнения трудового договора и прямых требований закона. Согласие становится обязательным там, где обработка выходит за рамки трудовых отношений: получение сведений у третьей стороны, передача данных наружу, публикация, проверка кандидата подрядчиком. Главное различие — основание обработки. Если основание есть в законе, согласие не добавляет законности: оно создаёт документ, который работник может отозвать.
Разберём по операциям, какое основание закрывает каждую кадровую процедуру, и дадим таблицу, по которой можно свериться за минуту. Отдельно рассмотрим требования к тексту согласия, действующие с 1 сентября 2025 года, и разницу между согласием на обработку данных и согласием на КЭДО по статье 22.2 ТК РФ. Порядок отзыва и тридцатидневный срок прекращения обработки, образцы кадровых документов, размеры штрафов по статье 13.11 КоАП и тарифы на 2026 год — во второй половине статьи.
Когда согласие работника не нужно: основание вместо подписи
Обработка персональных данных законна, если у неё есть любое из оснований части 1 статьи 6 152-ФЗ. Пункт 1 — согласие субъекта. Пункты 2-11 работают без согласия: обработка во исполнение закона и возложенных на оператора функций, исполнение договора со стороной-субъектом, защита жизни и здоровья, осуществление правосудия и ещё несколько специальных случаев. Кадровая служба почти целиком живёт на пункте 2 и пункте 5.
Практическое следствие простое: прежде чем печатать бланк согласия, назовите операцию и найдите под неё норму. Трудовой договор нельзя заключить без паспортных данных и СНИЛС, потому что этого требует статья 65 ТК РФ. Взносы и НДФЛ нельзя исчислить без данных о работнике, потому что этого требует налоговое законодательство. В обоих случаях согласие не нужно, и его сбор ничего не улучшает.
Ниже — сверка по типовым кадровым операциям. Колонка «Согласие» отвечает на один вопрос: нужен ли отдельный подписанный документ именно для этой операции.
| Кадровая операция | Основание обработки | Согласие |
|---|---|---|
| Приём на работу, оформление трудового договора | п. 2 ч. 1 ст. 6 152-ФЗ, ст. 65 ТК РФ | не требуется |
| Ведение кадровых документов и личного дела | п. 2 ч. 1 ст. 6 152-ФЗ, глава 14 ТК РФ | не требуется |
| Расчёт зарплаты, НДФЛ и страховых взносов | п. 2 ч. 1 ст. 6 152-ФЗ | не требуется |
| Сдача ЕФС-1 в Социальный фонд России | п. 2 ч. 1 ст. 6 152-ФЗ | не требуется |
| Воинский учёт работников | п. 2 ч. 1 ст. 6 152-ФЗ | не требуется |
| Получение сведений о работнике у третьей стороны | ст. 86 ТК РФ | письменное, с предварительным уведомлением |
| Передача данных третьему лицу: ДМС, НПФ, зарплатный проект | ст. 88 ТК РФ | письменное |
| Проверка кандидата внешним подрядчиком | ст. 9 152-ФЗ, ст. 86 и 88 ТК РФ | письменное |
| Публикация данных на сайте и в соцсетях компании | ст. 10.1 152-ФЗ, приказ Роскомнадзора от 24.02.2021 № 18 | отдельное согласие на распространение |
| Обработка биометрических данных | ст. 11 152-ФЗ | письменное |
Верхняя половина таблицы держится на одном пункте закона, нижняя — на четырёх разных нормах с разными требованиями к форме. Проверить себя можно за один проход: возьмите перечень операций из вашей политики обработки и напротив каждой проставьте норму, а не слово «согласие».
Факт: сервис КЭДО обрабатывает кадровые данные по поручению работодателя. Оператором остаётся компания-работодатель, и согласие на передачу данных собирает именно она, а не сервис.
Пять зон, где согласие обязательно
Трудовой кодекс добавляет к 152-ФЗ собственные требования, и они жёстче. Статья 86 ТК РФ: все данные работодатель получает у самого работника, а если сведения можно получить только у третьей стороны — работника уведомляют заранее и берут письменное согласие. Статья 88 ТК РФ: сообщать данные работника третьей стороне без письменного согласия нельзя, кроме предупреждения угрозы жизни и здоровью и случаев, прямо названных в ТК РФ и федеральных законах. В коммерческих целях — только с письменного согласия, без исключений.
Отсюда пять зон, где бланк действительно нужен.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
- Запрос сведений у прежнего работодателя, в вузе, в банке. Работает статья 86 ТК РФ: сначала уведомление, потом письменное согласие, потом запрос.
- Передача данных наружу. Страховая по ДМС, негосударственный пенсионный фонд, банк по зарплатному проекту, аутсорсинговая бухгалтерия, облачный сервис кадрового документооборота — каждый такой получатель требует основания по статье 88 ТК РФ.
- Проверка кандидата. Без подписанного согласия проверка персональных данных кандидата неправомерна, и это касается как штатной службы безопасности, так и подрядчика на аутсорсе.
- Публикация. Фамилия, должность и фото на сайте или в корпоративных соцсетях — это распространение по статье 10.1 152-ФЗ. Нужно отдельное согласие на распространение, содержание которого задано приказом Роскомнадзора от 24.02.2021 № 18, действующим с 1 сентября 2021 года.
- Биометрия и специальные категории. Отпечаток пальца для турникета, распознавание лица, сведения о здоровье — статьи 10 и 11 152-ФЗ со своими правилами.
Важный нюанс из практики: когда проверку ведёт внешний подрядчик, согласие получает заказчик, а подрядчик перед началом работы убеждается, что документ действительно подписан. Сам подрядчик при этом стоит в реестре операторов персональных данных и хранит полученные сведения ограниченный срок, после чего удаляет их у себя: массив остаётся только на стороне заказчика.
Мария Ж, HR-эксперт с 13-летним стажем: «Кандидат почти никогда не знает, что и как о нём проверяют, но само согласие он подписывает до начала проверки, и это единственная точка, где он видит объём. Поэтому в бланке мы перечисляем конкретные источники и цели, а не пишем «любые проверки». Если вы кандидат — прочитайте, что именно вы подписываете, а если работодатель — сверьте перечень в согласии с тем, что реально запрашивает ваш подрядчик.»
Каким должно быть согласие с 1 сентября 2025 года
С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые подписывает субъект. Поправка внесена Федеральным законом от 08.08.2024 № 233-ФЗ в часть 1 статьи 9 152-ФЗ. Пункт «работник согласен на обработку персональных данных» внутри трудового договора, анкеты или пользовательского соглашения больше не считается согласием.
Часть 4 статьи 9 задаёт обязательные реквизиты письменного согласия: фамилия, имя, отчество и адрес субъекта, реквизиты документа, удостоверяющего личность; данные представителя, если согласие подписывает он; наименование и адрес оператора; цель обработки; перечень персональных данных; сведения о лице, обрабатывающем данные по поручению оператора; перечень действий и способы обработки; срок действия и порядок отзыва; подпись.
Согласие в форме электронного документа, подписанного электронной подписью, равнозначно бумажному с собственноручной подписью. В КЭДО это снимает необходимость собирать бумагу по офисам, но не отменяет требование об отдельном документе: согласие остаётся самостоятельным файлом со своим маршрутом подписания, а не галочкой внутри чужой формы. В Добыто мы заводим согласие отдельным типом документа с собственным шаблоном и сроком: так его не приложат к трудовому договору одним файлом и не потеряют при выгрузке для проверки.
Как оформить согласие работника, которое выдержит проверку: пошаговая инструкция
- Шаг 1. Составьте перечень операций с данными и напротив каждой поставьте основание по части 1 статьи 6 152-ФЗ. Останутся строки без нормы — это и есть кандидаты на согласие.
- Шаг 2. Разделите согласия по целям: обработка для трудовых отношений сверх минимума, передача конкретным третьим лицам, распространение, биометрия. Одна цель — один документ.
- Шаг 3. Впишите обязательные реквизиты из части 4 статьи 9 целиком, включая срок действия и порядок отзыва. Пропуск любого реквизита делает согласие дефектным.
- Шаг 4. Уберите формулировки «и иные данные», «в иных целях», «любым способом». Согласие должно быть конкретным, предметным и однозначным, размытая цель нарушает это требование.
- Шаг 5. Оформите документ отдельно от трудового договора и анкеты, а при подписании в электронном виде — отдельным файлом с электронной подписью работника.
- Шаг 6. Заведите учёт: кто, когда и на какой срок подписал, когда истекает, где хранится оригинал. Без учёта вы не ответите Роскомнадзору на запрос и не отработаете отзыв в срок.
Соберите согласие по действующим требованиям 152-ФЗ
Лайфхак: спрашивайте у поставщика КЭДО не «как защищены данные», а полный перечень лиц, которые получат к ним доступ. Ответом обычно оказывается не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр.
Согласие на КЭДО и согласие на обработку данных: два разных документа
Статья 22.2 ТК РФ требует от работодателя получить письменное согласие работника на взаимодействие через кадровый электронный документооборот. Этот документ не заменяет согласие на обработку персональных данных и не поглощается им: у них разные основания, разный предмет и разные последствия отказа. Работник вправе согласиться на КЭДО и при этом отказать в передаче данных в стороннюю страховую компанию.
Дистанционные работники живут по отдельным правилам. Порядок электронного взаимодействия с ними регулируется главой 49.1 ТК РФ, и отдельное письменное согласие на электронный документооборот с них не собирают: условия обмена закрепляются в локальном нормативном акте о дистанционной работе и в трудовом договоре. Для остальных категорий Минтруд последовательно читает норму буквально: согласие письменное.
Полезно знать: с дистанционного работника письменное согласие на электронный документооборот не берут — достаточно ЛНА о дистанционной работе с разделом об электронном взаимодействии. Смешивать этот поток с общим порядком КЭДО не стоит: режимы разные.
Отдельный сюжет — облако. Когда кадровые документы уходят внешнему провайдеру, появляется третье лицо, и передача ему данных должна быть основана либо на поручении обработки по части 3 статьи 6 152-ФЗ, либо на согласии работника. При поручении оператором остаётся работодатель: он отвечает перед Роскомнадзором и он же собирает согласия. В практике Добыто мы прописываем в договоре с клиентом состав поручения и перечень действий, которые сервис совершает с данными, чтобы работодатель перенёс этот перечень в свои согласия и политику дословно.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Выбор облачного решения — не только технический выбор. Кадровые документы содержат сведения о семье, здоровье и доходах, и как только они уходят внешнему провайдеру, у вас появляется обязанность объяснить работникам, кому именно вы их передаёте. Попросите вендора назвать поимённо всех, кто получит доступ, и перенесите этот список в согласие.»
Образцы согласий и кадровых документов по персональным данным
Комплект собран под задачу «проверить и переписать свои бланки»: начните с базового согласия на обработку, дальше сверяйте специальные.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных | Скачать |
| Согласие на проверку службой безопасности | Скачать |
| Согласие на обработку ПДн для выпуска сертификата электронной подписи | Скачать |
| Положение о ведении КЭДО | Скачать |
Отзыв согласия: что происходит с данными после заявления работника
Работник вправе отозвать согласие в любой момент, это часть 2 статьи 9 152-ФЗ. После отзыва оператор прекращает обработку в срок, не превышающий тридцати дней с даты поступления отзыва, — часть 5 статьи 21. Тридцать дней даны на организационную работу: найти все места хранения, снять доступы, уничтожить или обезличить данные и оформить это документально.
Работает и обратная сторона. Если у обработки есть основание из пунктов 2-11 части 1 статьи 6, отзыв согласия её не прекращает: компания продолжает вести кадровый учёт, платить взносы и сдавать ЕФС-1. Именно поэтому опасно собирать согласие там, где оно не нужно: вы добровольно создаёте себе повод для спора о том, на чём именно держалась обработка.
Таблица ниже показывает, что в каждом сценарии критично, а что второстепенно.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Штатный офисный работник переводится на КЭДО | Письменное согласие по ст. 22.2 ТК РФ и ЛНА о КЭДО | Выбор вида подписи до определения перечня документов |
| Дистанционный работник | ЛНА о дистанционной работе с разделом об электронном взаимодействии | Отдельное письменное согласие на электронный документооборот |
| Кандидат до заключения трудового договора | Согласие на обработку и на проверку, соглашение об электронном взаимодействии | Внутренние регламенты службы безопасности |
| Исполнитель по договору ГПХ, самозанятый | Соглашение об электронном документообороте и согласие на обработку | Нормы главы 14 ТК РФ, к исполнителю они не применяются |
| Работник отозвал согласие | Наличие иного основания по ст. 6 и соблюдение 30-дневного срока | Форма заявления об отзыве |
Строка про самозанятых стоит здесь не случайно: требования, написанные для работников по трудовому договору, на исполнителей по ГПХ не переносятся, и обратное тоже верно.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, судебный эксперт по трудовому праву: «В спорах о кадровых электронных документах суд смотрит не на саму подпись, а на процедуру: описан ли в локальном акте порядок идентификации, зафиксированы ли дата и обстоятельства выдачи подписи. С согласиями история такая же — важен не факт наличия бланка, а то, подтверждаете ли вы, кто и когда его подписал. Проверьте, выгружает ли ваша система комплект целиком: документ, файл подписи и сведения о подписанте.»
Ошибки, из-за которых согласие не работает, и цена вопроса
Самая частая ошибка — согласие «на всё». Работодатель вписывает в бланк любые данные, любые цели и любые способы обработки, рассчитывая закрыть вопрос одной бумагой. Мотив понятен: так проще, чем описывать каждую цель. Результат обратный: размытая цель противоречит требованию конкретности и предметности из части 1 статьи 9, а с 1 сентября 2025 года к этому добавляется требование отдельного документа.
Вторая ошибка — согласие вместо основания. Компания берёт подпись под обработкой, которая и так законна по пункту 2 части 1 статьи 6, а потом получает отзыв и не понимает, что делать с кадровым учётом. Третья — молчание перед регулятором: обязанность уведомить о намерении обрабатывать персональные данные распространяется практически на всех работодателей, а проверить, числится ли компания в перечне, можно в реестре операторов персональных данных Роскомнадзора, где на сегодняшний день более 2,6 миллиона записей.
Цена ошибки считается по статье 13.11 КоАП РФ в редакции, действующей с 30 мая 2025 года. Обработка без письменного согласия там, где оно обязательно, — от 300 000 до 700 000 ₽ на юридическое лицо и от 100 000 до 300 000 ₽ на должностное. Обработка без правового основания — от 150 000 до 300 000 ₽ на юрлицо. Неопубликованная политика обработки — от 30 000 до 60 000 ₽. Неуведомление Роскомнадзора — от 100 000 до 300 000 ₽ на юрлицо. С 1 января 2026 года дела по этой статье рассматривают мировые судьи.
Когда согласие не спасёт
Подпись работника не легализует обработку, которая противоречит принципам статьи 5 152-ФЗ. Избыточный объём данных остаётся избыточным, даже если человек согласился их дать: содержание и объём обрабатываемых данных должны соответствовать заявленным целям.
Сведения о судимости — отдельный случай. По части 3 статьи 10 152-ФЗ их обрабатывают государственные и муниципальные органы в рамках своих полномочий, а иные лица — только в случаях и в порядке, определяемых федеральными законами. Если закон не требует для должности справку об отсутствии судимости, согласие кандидата само по себе права на обработку этих сведений не даёт.
Не работает и согласие, полученное под давлением. Закон требует, чтобы решение принималось свободно, своей волей и в своём интересе. Формулировка «без подписи этого бланка мы не оформим приём» превращает согласие в условие трудоустройства, и в споре это играет против работодателя.
Что проверить до сбора согласий
Подготовка занимает больше времени, чем печать бланков, и определяет результат проверки. Перед тем как рассылать согласия по компании, пройдите семь пунктов.
- Перечень операций с данными. Выпишите все процессы, где данные собираются, хранятся, передаются и уничтожаются, включая подбор, обучение, пропускной режим и корпоративные сервисы.
- Основание под каждой операцией. Норма закона или пункт договора, а не слово «согласие».
- Список получателей. Все внешние стороны: страховые, фонды, банки, подрядчики, поставщик КЭДО, удостоверяющий центр, владелец инфраструктуры.
- Политика обработки и её публикация. Документ должен существовать и быть доступен, иначе состав по части 3 статьи 13.11 КоАП образуется без всякой жалобы.
- Уведомление Роскомнадзора. Подано ли, актуальны ли сведения, нужно ли вносить изменения после запуска новых систем.
- Разграничение доступа. Роли, права и журнал обращений вместо общего доступа кадровой службы ко всему массиву.
- Порядок отзыва. Кто принимает заявление, кто снимает доступы, как фиксируется прекращение обработки в тридцатидневный срок.
Мы закладываем пилотную группу перед раскаткой на всю компанию: на 20-30 сотрудниках видно, какие формулировки согласий вызывают вопросы и где маршрут подписания ломается. После пилота правки вносятся один раз, а не по каждому подразделению отдельно.
Внимание: доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Права раздаются по ролям, а обращения к документам фиксируются в журнале.
Мария Ж, юрист со стажем более 20 лет: «Момент, который чаще всего упускают при старте КЭДО, — массовая регистрация сотрудников в сервисе силами работодателя. Компания сама передаёт данные людей в систему, и это отношение нужно урегулировать до запуска, а не после первой партии документов. Проверьте, кто у вас заводит учётные записи и на каком основании данные попадают в сервис: если регистрирует работодатель, основание оформляет он.»
Стоимость перевода согласий и кадровых документов в электронный вид
Стоимость зависит от численности сотрудников и набора функций: интеграции с учётной системой, электронного архива, кастомных шаблонов документов.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | выпуск при подключении |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма считается от числа подключённых сотрудников и выбранного набора модулей, поэтому для компании на 40 человек и на 4000 человек экономика отличается не только масштабом, но и структурой: актуальные условия по каждому тарифу и состав включённых функций опубликованы на странице тарифов ДОБЫТО КЭДО. Данные приведены на дату публикации.
Отдельная строка расходов, которую редко закладывают, — переоформление согласий под требования, действующие с 1 сентября 2025 года. Если бланки в компании встроены в трудовой договор или анкету, их придётся собирать заново, и электронный маршрут подписания здесь экономит не деньги, а недели календарного времени.
Выводы
Согласие работника — одно из одиннадцати оснований обработки, и далеко не самое частое в кадровой работе. Кадровый учёт, зарплата, отчётность и воинский учёт держатся на прямом требовании закона, и подпись под ними не нужна. Согласие включается там, где данные получают у третьей стороны, передают наружу, публикуют или относят к специальным категориям, причём с 1 сентября 2025 года оно оформляется отдельным документом с полным набором реквизитов по части 4 статьи 9 152-ФЗ.
Ошибки в этой части обходятся дорого: до 700 000 ₽ по части 2 статьи 13.11 КоАП, плюс переоформление комплекта по всей численности. В Добыто мы разводим эти документы по разным маршрутам подписания и ведём учёт сроков действия и отзывов, чтобы кадровая служба видела статус каждого согласия, а не искала бумагу по папкам перед проверкой.
Частые вопросы
Можно ли уволить или не принять работника за отказ подписать согласие?
Отказ подписать согласие там, где обработка идёт по другому основанию, ни на что не влияет: приём и кадровый учёт ведутся по пункту 2 части 1 статьи 6 152-ФЗ и статье 65 ТК РФ. Если отказ касается операции, законной только с согласия, компания эту операцию не выполняет: не запрашивает сведения у прежнего работодателя, не передаёт данные в страховую, не публикует фото. Отказ от дополнительной обработки не является дисциплинарным проступком и не может быть причиной отказа в трудоустройстве по деловым качествам.
Нужно ли переподписывать согласия, собранные до 1 сентября 2025 года?
Требование об отдельном оформлении применяется к согласиям, которые даются после вступления поправки в силу. Практический критерий другой: если ваше старое согласие было пунктом внутри трудового договора или анкеты либо содержало формулировку «любые данные в любых целях», оно дефектно по существу, а не только по форме. Такие бланки переоформляют, остальные проверяют на полноту реквизитов из части 4 статьи 9.
Как долго хранить подписанное согласие?
Срок хранения определяется целью обработки и сроком действия, указанным в самом согласии. Хранить документ нужно как минимум до истечения периода, в течение которого возможен спор об обработке, поскольку бремя доказывания наличия согласия лежит на операторе. При отзыве согласие не уничтожается вместе с данными: оно остаётся подтверждением того, что до отзыва обработка была законной.
Требуется ли согласие на обработку данных членов семьи работника?
Сведения о супруге и детях работодатель обрабатывает для целей, прямо предусмотренных законом: стандартные вычеты по НДФЛ, пособия, отпуск по уходу за ребёнком. Здесь основание общее, по пункту 2 части 1 статьи 6. Если компания идёт дальше и включает членов семьи в корпоративную программу ДМС или в новогодние мероприятия, это уже обработка данных других субъектов, и она требует их собственного согласия, а за несовершеннолетних — согласия законного представителя.
Что делать при утечке данных работников?
Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента и направляет результаты внутреннего расследования в течение 72 часов. Регламент лучше утвердить заранее и назначить ответственного: за сутки собрать состав утёкших данных, определить круг затронутых субъектов и подготовить уведомление без заготовки почти нереально.
Нужно ли согласие, если данные обрабатывает внешний бухгалтерский аутсорсинг?
Передача данных обслуживающей организации оформляется поручением обработки по части 3 статьи 6 152-ФЗ: в договоре фиксируются перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите. Оператором остаётся работодатель, он отвечает перед субъектом и перед регулятором. Работника при этом уведомляют о привлечённом лице, а сведения о нём входят в обязательные реквизиты письменного согласия, если обработка по конкретной операции строится на согласии.
Заменяет ли согласие на КЭДО согласие на обработку персональных данных?
Нет. Согласие по статье 22.2 ТК РФ относится к форме взаимодействия: работник соглашается получать и подписывать кадровые документы в электронном виде. Согласие по 152-ФЗ относится к операциям с данными. Работник может согласиться на электронный документооборот и отказать в передаче данных стороннему подрядчику, и наоборот. Хранить и учитывать эти документы нужно раздельно.
