Согласие на обработку персональных данных сотрудника — это отдельный письменный документ, в котором работник называет оператора, цель обработки, перечень своих данных, перечень действий с ними, срок действия и порядок отзыва. Часть 4 статьи 9 152-ФЗ перечисляет 9 обязательных реквизитов, и бланк без любого из них перестаёт быть надлежащим согласием. Главное различие, от которого зависит содержание бланка: данные, нужные для исполнения трудового договора и сдачи отчётности, обрабатываются по пункту 5 части 1 статьи 6 152-ФЗ и главе 14 ТК РФ без отдельного согласия, а передача данных третьим лицам, распространение и биометрия требуют отдельных согласий и отдельных бланков.
Разберём бланк построчно: какие формулировки закрывают каждый из 9 реквизитов и почему цель «в целях, предусмотренных законодательством» не проходит проверку. Покажем, чем согласие работника отличается от согласия кандидата и согласия на проверку службой безопасности. Действующие размеры штрафов по статье 13.11 КоАП, сценарная таблица по отдельным согласиям, порядок подписания бланка в электронном виде, сроки хранения и отзыва, образцы документов для скачивания — во второй половине статьи.
Конструктор ниже собирает бланк согласия под ваши реквизиты и выгружает готовый файл DOCX со всеми девятью обязательными пунктами.
Девять обязательных реквизитов бланка согласия по 152-ФЗ
Перечень реквизитов закрытый: часть 4 статьи 9 152-ФЗ называет девять позиций, и добавить к бланку что-то своё можно, а убрать из него нельзя. Ниже — каждый реквизит с формулировкой, которая работает в бланке для сотрудника, и с ошибкой, которая встречается в этом месте чаще всего.
| Реквизит по ч. 4 ст. 9 152-ФЗ | Что пишут в бланке сотрудника | Типовая ошибка |
|---|---|---|
| 1. ФИО, адрес, номер паспорта, дата выдачи и выдавший орган | Полные ФИО, адрес регистрации, серия и номер паспорта, дата выдачи, наименование органа | Бланк сокращают до ФИО и должности |
| 2. Данные представителя и реквизиты доверенности | Заполняется, только если согласие даёт представитель работника | Строку удаляют из шаблона, и подписать за недееспособного работника нечем |
| 3. Наименование и адрес оператора | Полное наименование юридического лица и адрес из ЕГРЮЛ | Пишут «работодатель» или только сокращённое название |
| 4. Цель обработки | Конкретно: оформление полиса ДМС, оформление пропуска, публикация фотографии на корпоративном портале | «В целях, предусмотренных законодательством» — цель неконкретная, согласие не соответствует ч. 1 ст. 9 |
| 5. Перечень персональных данных | Закрытый список: ФИО, дата рождения, паспортные данные, СНИЛС, ИНН, адрес, телефон, сведения об образовании | Хвост «и иные данные» или «вся информация, предоставленная работником» |
| 6. Наименование и адрес лица, обрабатывающего данные по поручению оператора | Оператор системы КЭДО, удостоверяющий центр, страховая компания, аутсорсер расчёта зарплаты | Пункт не заполняют, хотя данные фактически уходят во внешний сервис |
| 7. Перечень действий и общее описание способов обработки | Сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, удаление; с использованием средств автоматизации и без них | «Любые действия с персональными данными» |
| 8. Срок действия согласия и способ его отзыва | Срок плюс адрес и порядок подачи письменного отзыва | «Бессрочно», порядок отзыва не описан |
| 9. Подпись субъекта персональных данных | Собственноручная подпись либо электронная подпись работника | Бланк лежит в личном деле незаполненным или без подписи |
Три реквизита из девяти относятся к оператору и обработчику, а не к работнику, и именно они чаще всего остаются пустыми в скачанных из интернета шаблонах. Закрыть их можно только своими данными: наименованием по ЕГРЮЛ, адресом и названием сервиса, которому вы поручаете обработку.
Что проверить до того, как раздавать бланк работникам
Бланк — последнее звено. Если предыдущие звенья не выстроены, подписанное согласие не спасёт при проверке.
- Подано ли уведомление в Роскомнадзор. С 1 сентября 2022 года, после поправок 266-ФЗ, обрабатывать данные без уведомления можно исключительно без средств автоматизации. Кадровая программа, электронная почта и таблица в облаке — это автоматизированная обработка, значит уведомление обязательно. Проверить себя можно по реестру операторов персональных данных Роскомнадзора: поиск идёт по ИНН или наименованию.
- Утверждён ли документ о политике обработки. Правила обработки персональных данных, положение о защите данных работников, приказ о назначении ответственного за организацию обработки.
- Определён ли перечень данных по каждой цели. Для кадрового учёта нужен один состав, для ДМС — другой, для пропускной системы — третий. Один бланк на все цели сразу делает цель неконкретной.
- Разведены ли основания. Выпишите, что вы обрабатываете по трудовому договору и закону, а что — только по согласию. Согласие, подписанное «на всё», закрывает меньше, чем кажется.
- Где будут храниться подписанные бланки. Личное дело, отдельная папка согласий, электронный архив. Отзыв согласия придётся исполнить в 30-дневный срок, и найти бланк нужно быстро.
Мария Ж, юрист со стажем более 20 лет: «Вопрос, который я советую задать провайдеру прямо: перечислите всех, кто получит доступ к данным. Не «данные хранятся защищённо», а список лиц. Обычно там не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр. Всех троих нужно назвать в шестом пункте бланка, иначе перечень обработчиков в согласии не совпадёт с реальностью.»
Образец заполнения бланка: разбор по строкам
Шапка бланка адресная: «Генеральному директору ООО «Ромашка» Иванову И. И. от Петровой Анны Сергеевны, проживающей по адресу: г. Москва, ул. Примерная, д. 1, кв. 1, паспорт 45 00 123456, выдан ОВД района Примерный г. Москвы 10.05.2015». Здесь закрываются первый и третий реквизиты сразу. Паспортные данные в шапке нужны не для формальности: они идентифицируют субъекта, и без них при споре придётся доказывать, что согласие подписал именно этот человек.
Блок целей пишется списком, а не одной фразой. Работающая формулировка: «в целях оформления трудовых отношений, ведения кадрового учёта, начисления и выплаты заработной платы, оформления полиса добровольного медицинского страхования, оформления электронного пропуска и размещения фотографии на внутреннем корпоративном портале». Каждая цель тянет за собой свой перечень данных, поэтому дальше в бланке идёт список: «фамилия, имя, отчество; дата и место рождения; паспортные данные; адрес регистрации и фактического проживания; номер телефона; адрес электронной почты; СНИЛС; ИНН; сведения об образовании; сведения о воинском учёте; данные о составе семьи; номер банковского счёта; фотографическое изображение». Слов «и иные сведения» в этом списке быть не должно: они превращают закрытый перечень в открытый, и согласие перестаёт быть предметным по части 1 статьи 9.
Блок передачи оформляется отдельным абзацем с прямым перечислением получателей: «Даю согласие на передачу моих персональных данных и поручение их обработки следующим лицам: ООО «Оператор КЭДО», адрес; АО «Страховая компания», адрес; АО «Удостоверяющий центр», адрес — в объёме и для целей, указанных выше». Если вы перечисляете получателей ссылкой на приложение, приложение подписывается вместе с бланком.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Финальный блок содержит срок и порядок отзыва: «Согласие действует в течение срока действия трудового договора и 3 лет после его прекращения. Согласие может быть отозвано путём направления письменного заявления по адресу оператора, указанному выше». Ниже — дата и подпись. Дата важна: по ней считается срок действия и срок хранения бланка после отзыва.
Как заполнить и оформить бланк согласия: пошаговая инструкция
- Шаг 1. Выпишите цели обработки, которые не закрыты трудовым договором и законом: ДМС, пропускная система, корпоративный портал, передача данных провайдеру КЭДО, проверка службой безопасности.
- Шаг 2. Для каждой цели составьте закрытый перечень данных. Если для пропуска достаточно ФИО и фотографии, паспортные данные в этот перечень не включаются.
- Шаг 3. Внесите в бланк реквизиты оператора по ЕГРЮЛ и реквизиты каждого лица, которое обрабатывает данные по вашему поручению, с адресами.
- Шаг 4. Опишите действия и способы обработки: сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение, с использованием средств автоматизации и без них.
- Шаг 5. Укажите срок действия согласия и порядок его отзыва с конкретным адресом для подачи заявления.
- Шаг 6. Дайте работнику подписать бланк собственноручно либо электронной подписью, если у вас внедрён КЭДО и вид подписи для этого документа определён локальным нормативным актом.
- Шаг 7. Зарегистрируйте бланк в журнале учёта согласий и положите в место хранения, которое вы определили заранее.
Лайфхак: доступ ко всему кадровому массиву сразу у всей кадровой службы — типовая ситуация и типовое нарушение. Разграничьте права по ролям и включите в систему журнал обращений: это тот пункт, который проверяющий смотрит после бланков согласий.
Когда согласие не нужно, а когда без него нельзя
Согласие — одно из оснований обработки, а не единственное. Пункт 5 части 1 статьи 6 152-ФЗ разрешает обработку, необходимую для исполнения договора, стороной которого является субъект. Глава 14 ТК РФ описывает обработку данных работника работодателем как самостоятельный режим. Данные, без которых невозможно оформить приём, начислить зарплату и сдать ЕФС-1, обрабатываются на этих основаниях, и отдельный бланк для них закон не требует.
Практический смысл разграничения в том, что происходит при отзыве. Если согласие было единственным основанием, после отзыва обработку нужно прекратить в срок не более 30 дней. Если основание — трудовой договор и требования закона, отзыв согласия обработку не останавливает: работодатель продолжает вести кадровый учёт и сдавать отчётность. Компании, которые собирают одно согласие «на всё», сами загоняют себя в первую ситуацию.
Письменное согласие обязательно в четырёх случаях, которые встречаются в кадровой работе постоянно. Первый: получение данных работника у третьей стороны — часть 3 статьи 86 ТК РФ требует уведомить работника заранее и получить письменное согласие. Второй: передача данных третьей стороне — статья 88 ТК РФ запрещает сообщать их без письменного согласия, кроме случаев, прямо названных в ТК РФ и федеральных законах. Третий: обработка биометрических данных — статья 11 152-ФЗ. Четвёртый: распространение данных, то есть открытие доступа неограниченному кругу лиц, — статья 10.1 152-ФЗ, и это согласие оформляется отдельно от всех остальных, а требования к его содержанию утверждены приказом Роскомнадзора от 24.02.2021 № 18.
Мария Ж, HR-эксперт с 13-летним стажем: «Когда проверку кандидата ведёт внешний подрядчик, работает связка из двух условий: подрядчик состоит в реестре операторов персональных данных, а согласие кандидата на обработку получает заказчик и показывает его подрядчику до начала работы. Данные кандидата — ФИО, дата рождения, паспорт — передаёт работодатель, а не сам подрядчик их собирает. Проверьте по своему договору с подрядчиком, кто по документам получает согласие: если этот пункт не прописан, его нет ни у кого.»
Сколько бланков нужно на самом деле: сценарии и отдельные согласия
Один универсальный бланк покрывает не все ситуации. Таблица показывает, где хватит общего согласия работника, а где нужен отдельный документ со своей формой.
| Ситуация | Что нужно | Норма |
|---|---|---|
| Кадровый учёт, зарплата, отчётность в СФР и ФНС | Отдельное согласие не требуется, основание — трудовой договор и требования закона | п. 5 ч. 1 ст. 6 152-ФЗ, гл. 14 ТК РФ |
| Запрос характеристики у прежнего работодателя, проверка кандидата | Письменное согласие плюс предварительное уведомление работника о целях и источниках | ч. 3 ст. 86 ТК РФ |
| Передача данных в страховую по ДМС, провайдеру КЭДО, аутсорсеру расчёта | Письменное согласие на передачу с поимённым перечнем получателей | ст. 88 ТК РФ, п. 6 ч. 4 ст. 9 152-ФЗ |
| Фотография и должность на публичном сайте компании | Отдельное согласие на распространение по утверждённой форме, оформляется отдельно от других согласий | ст. 10.1 152-ФЗ, приказ Роскомнадзора от 24.02.2021 № 18 |
| Отпечаток пальца или изображение лица для пропускной системы | Отдельное письменное согласие на обработку биометрических данных | ст. 11 152-ФЗ |
| Выпуск сертификата электронной подписи работнику | Согласие на обработку данных удостоверяющим центром как самостоятельным оператором | ст. 9 152-ФЗ, 63-ФЗ |
Из шести строк только первая обходится без подписи работника. Остальные пять дают либо отдельный бланк, либо отдельный раздел в общем согласии с самостоятельным перечнем данных и получателей.
Образцы согласий и сопутствующих кадровых документов
Комплект собран под разбор выше: начните с основного бланка согласия, а правила обработки возьмите как документ, с которым бланк должен совпадать по целям и перечню данных.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных (основной бланк) | Скачать |
| Правила обработки персональных данных | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
| Согласие кандидата на проверку службой безопасности | Скачать |
| Анкета кандидата: перечень собираемых сведений | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
Во что обходятся ошибки в бланке
Санкции по статье 13.11 КоАП РФ выросли с 30 мая 2025 года по Федеральному закону от 30.11.2024 № 420-ФЗ. Для юридического лица обработка без согласия в письменной форме либо согласие с нарушением требований к составу сведений — это от 300 000 до 700 000 рублей, повторное нарушение — от 1 000 000 до 1 500 000 рублей. Неправомерная обработка по части 1 стоит от 150 000 до 300 000 рублей, повторная — от 300 000 до 500 000 рублей.
Отдельно наказывается то, что к бланку прямого отношения не имеет, но всплывает в той же проверке. Отсутствие опубликованной политики обработки — от 30 000 до 60 000 рублей. Неуведомление Роскомнадзора о начале обработки — от 100 000 до 300 000 рублей. Невыполнение или несвоевременное выполнение обязанности уведомить регулятора об утечке — от 1 000 000 до 3 000 000 рублей. За утечку данных от 1000 до 10 000 субъектов — от 3 000 000 до 5 000 000 рублей, от 10 000 до 100 000 субъектов — от 5 000 000 до 10 000 000 рублей.
Считать цену ошибки только штрафом неверно. Дефектное согласие обнуляет и то, ради чего его собирали: если в бланке не назван провайдер КЭДО, а данные работников в этот сервис уже переданы, вы одновременно получаете и передачу без согласия, и необходимость переподписать бланки со всем штатом. На численности в несколько сотен человек это отдельный проект на недели, а не правка шаблона.
Факт: при работе в облачном сервисе кадровые документы уходят как минимум трём внешним лицам: провайдеру системы, владельцу серверной инфраструктуры и удостоверяющему центру, выдающему подписи. Каждого из них называют в бланке согласия поимённо.
Как подписать бланк согласия в электронном виде
Пункт 9 части 4 статьи 9 152-ФЗ допускает подпись субъекта в виде электронной подписи, и бумажный бланк здесь не обязателен. Ограничение лежит в другой плоскости: подпись должна быть равнозначна собственноручной, а основания равнозначности у разных видов подписи разные. Усиленная квалифицированная подпись равнозначна собственноручной в силу 63-ФЗ. Для простой и усиленной неквалифицированной нужно соглашение между сторонами и локальный нормативный акт, где описан порядок определения лица по его подписи. Выбирая для согласий простую подпись, вы берёте на себя обязанность иметь эти два документа, а не экономите на оформлении.
Полезно знать: согласие на обработку персональных данных и согласие на переход на КЭДО — два разных документа с разными основаниями. Работники, начавшие трудовую деятельность до 1 января 2022 года, вправе отказаться от электронного документооборота, и их придётся вести на бумаге параллельно.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Что зафиксировать в локальном акте до перевода согласий в электронный вид
Технически исправная подпись спор не выигрывает. Суд отдельно смотрит, был ли у работодателя порядок идентификации работника при подписании и зафиксирован ли он в локальном акте, а также фиксирует ли система дату и обстоятельства выдачи подписи. В практике Добыто мы разводим во времени выдачу подписи работнику и первые кадровые действия с ней: совпадение этих дат читается не в пользу работодателя даже при правильно оформленном положении о КЭДО.
Мария Ж, судебный эксперт по трудовому праву: «Установить, что документ сформирован в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Если в вашем локальном акте порядок идентификации не описан, спор вы проиграете при технически исправной подписи.»
Срок действия, хранение и отзыв согласия
Срок действия согласия работодатель определяет сам и пишет в бланке. Рабочая привязка — срок действия трудового договора плюс период, в течение которого данные ещё нужны для хранения кадровых документов. После истечения срока или отзыва подписанный бланк хранится 3 года: это статья 441 Перечня, утверждённого приказом Росархива от 20.12.2019 № 236. Уничтожать бланк вместе с личным делом в день увольнения нельзя, и наоборот — держать его бессрочно тоже не нужно.
Отзыв согласия подаётся письменно. Оператор обязан прекратить обработку в срок не более 30 дней с даты поступления отзыва, если нет другого основания из части 1 статьи 6 152-ФЗ. На практике это означает три действия: остановить обработку по целям, которые держались только на согласии, направить требование о прекращении обработки лицам, которым данные передавались по поручению, и зафиксировать дату исполнения. На запрос самого работника о том, какие его данные вы обрабатываете, ответ даётся в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней.
Отдельная обязанность касается утечки. О факте неправомерной передачи персональных данных оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов. Срок считается от момента обнаружения, поэтому порядок действий описывается заранее, а не в день инцидента. В сервисе Добыто журнал обращений к документам ведётся автоматически, и это тот источник, из которого восстанавливается картина для такого уведомления.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Оценивается не подпись работника в журнале ознакомления, а фактическая способность работать в системе. Когда за работника документы подписывает кто-то другой, потому что сам он не разобрался, работодатель теряет всю доказательственную конструкцию. Мы закладываем пилотную группу перед раскаткой на всю компанию именно поэтому.»
Стоимость перевода согласий и кадровых документов в электронный вид
Стоимость зависит от численности сотрудников и от того, какие виды подписи и интеграции нужны.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | при подключении |
| УКЭП через партнёров-удостоверяющих центров | по запросу | по запросу |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | 1 день |
Итоговая сумма складывается из численности, выбранного набора подписей и потребности в выделенном сервере. Полный состав пакетов и условия по каждому из них указаны на странице тарифов ДОБЫТО КЭДО, там же видно, что входит в стоимость подписи для сотрудника.
Сравнивать эту сумму имеет смысл не с нулём, а с текущими расходами на бумагу, печать и курьерскую доставку документов удалённым сотрудникам. По кейсам внедрений экономия на курьерской доставке в компании на 235 человек составила 60 000 рублей за первые месяцы работы, а срок прохождения кадровой задачи сократился с 3-5 дней до половины рабочего дня.
Выводы
Бланк согласия держится на девяти реквизитах из части 4 статьи 9 152-ФЗ, и слабое место почти всегда одно и то же: размытая цель, открытый перечень данных и незаполненный пункт про лиц, которые обрабатывают данные по поручению работодателя. Разделите, что вы обрабатываете по трудовому договору и закону, а что только по согласию: от этого зависит, остановится ли обработка при отзыве. Отдельные бланки нужны для передачи третьим лицам, распространения и биометрии, а подписать их можно электронно, если вид подписи и порядок идентификации закреплены локальным актом.
Мы в Добыто подключаем компании к кадровому электронному документообороту вместе с юридической обвязкой: сбором согласий, проверкой перечня обработчиков и настройкой разграничения доступа к кадровому архиву. Это та часть работы, которую обычно откладывают на потом, а обнаруживают при первой же проверке.
Частые вопросы
Работник отказался подписывать бланк согласия — можно ли не принимать его на работу?
Отказ от подписания согласия не входит в перечень оснований для отказа в приёме по статье 64 ТК РФ. Данные, необходимые для заключения и исполнения трудового договора, обрабатываются без отдельного согласия по пункту 5 части 1 статьи 6 152-ФЗ и главе 14 ТК РФ, поэтому приём оформляется в обычном порядке. Отказ закрывает только те цели, которые держались на согласии: ДМС, корпоративный портал, передача данных внешнему подрядчику.
Нужно ли переподписывать согласия при реорганизации или смене наименования компании?
Наименование и адрес оператора — обязательный реквизит по пункту 3 части 4 статьи 9 152-ФЗ. Если оператор стал другим юридическим лицом, ранее подписанные бланки указывают на организацию, которой больше нет, и согласия собираются заново. При смене только наименования без смены юридического лица достаточно оформить изменения к бланкам, но на практике проще собрать новый комплект вместе с документами о переходе в новую структуру, которые работники подписывают в обязательном порядке.
Требуется ли согласие на обработку данных членов семьи работника?
Сведения о супруге и детях — персональные данные других субъектов, и работник не может дать согласие за совершеннолетних членов семьи. Если вы обрабатываете эти данные для целей, прямо предусмотренных законом (стандартный вычет по НДФЛ, гарантии по ТК РФ), основание даёт закон. Для остальных целей — новогодние подарки детям, ДМС на членов семьи — берётся согласие самого субъекта, а за несовершеннолетних его подписывает родитель как законный представитель, и тогда заполняется второй реквизит бланка о представителе.
Нужно ли брать согласие с самозанятого или исполнителя по гражданско-правовому договору?
Глава 14 ТК РФ на исполнителей по ГПХ и самозанятых не распространяется: они не работники. Обработка их данных для заключения и исполнения договора идёт по пункту 5 части 1 статьи 6 152-ФЗ, то есть отдельного согласия на это не требуется. А вот передача их данных в сервис электронного документооборота, банк-эквайер или иную внешнюю систему согласия требует, и оформляется оно тем же бланком с перечнем получателей.
Можно ли включить согласие отдельным пунктом в трудовой договор?
Часть 4 статьи 9 152-ФЗ не запрещает включать согласие в состав другого документа, но предъявляет к нему требование конкретности и предметности по части 1 той же статьи. Согласие внутри трудового договора почти всегда проваливается по двум причинам: работник не может отказаться от него, не отказавшись от договора, и отозвать его отдельно от договора тоже нельзя. Согласие на распространение данных по статье 10.1 152-ФЗ включать в договор запрещено прямо: оно оформляется отдельно от иных согласий.
Работник отозвал согласие, а данные уже переданы в страховую компанию. Что делать?
Прекратить собственную обработку по этой цели нужно в срок не более 30 дней с даты поступления отзыва. Одновременно направляется требование лицу, которому данные передавались по поручению, о прекращении обработки и уничтожении данных. Если данные передавались не по поручению, а страховая выступает самостоятельным оператором, отзыв адресуется ей отдельно, и об этом работника следует уведомить письменно, указав, куда именно подавать второй отзыв.
