Сроки обработки персональных данных работников закон привязывает не к календарю, а к цели: данные хранятся ровно столько, сколько требуется для цели, ради которой они собраны, если иной срок не установлен федеральным законом или договором с работником (часть 7 статьи 5 152-ФЗ). После достижения цели или отзыва согласия у работодателя есть 30 дней на прекращение обработки и уничтожение данных (части 4 и 5 статьи 21). Главное различие проходит между данными и документами: правило 30 дней работает для анкет, копий, выгрузок и кадрового резерва, а трудовой договор и приказы по личному составу хранятся 50 лет, график отпусков и табель — 5 лет, и отзыв согласия этот срок не сокращает.
Разберём, какие сроки считаются в календарных днях, а какие в рабочих, чем срок действия согласия отличается от срока хранения документа и что делать с анкетами кандидатов, которых не взяли. Покажем, как оформить уничтожение так, чтобы его приняли при проверке: акт, выгрузка из журнала регистрации событий и три года хранения подтверждений. Сценарная таблица по категориям работников, пошаговый порядок уничтожения, размеры штрафов по статье 13.11 КоАП и стоимость подключения на 2026 год — во второй половине статьи.
Конструктор ниже собирает согласие на обработку персональных данных в формате .docx: вы задаёте цели, срок действия и порядок отзыва, а не переписываете чужой бланк, в котором срока нет вовсе.
Чем определяется срок обработки персональных данных работника
Отсчёт идёт от цели, а не от даты приёма на работу. Часть 7 статьи 5 152-ФЗ формулирует это так: хранение допускается не дольше, чем этого требуют цели обработки, а по достижении целей или при утрате необходимости в их достижении данные подлежат уничтожению либо обезличиванию. Из этого следует практическое правило: пока у вас нет письменно зафиксированной цели, у вас нет и срока, а значит, любая проверка читает ситуацию как бессрочное хранение без основания.
Цели у работодателя разные, и сроки к ним привязаны разные. Оформление трудовых отношений живёт до увольнения плюс срок архивного хранения документа. Начисление зарплаты и отчётность в Социальный фонд России — до истечения срока хранения расчётных документов. Пропускной режим и видеонаблюдение — до прекращения доступа человека на территорию. Кадровый резерв — до срока, который вы сами указали в согласии. Одна общая формулировка «в целях кадрового учёта» на все случаи не работает: под ней невозможно определить момент, когда данные пора удалять.
Отдельно стоит основание обработки. Для большинства кадровых операций согласие не требуется: обработка ведётся во исполнение трудового договора и в силу обязанностей, возложенных на работодателя Трудовым кодексом. Согласие нужно там, где вы выходите за эти рамки: проверка кандидата, передача данных третьим лицам, публикация фотографии на сайте, кадровый резерв, обработка биометрии. Разница влияет на срок напрямую: данные, обрабатываемые по договору, отзыв согласия не останавливает, а данные, собранные по согласию, после отзыва подлежат уничтожению.
Факт: форма хранения определяется формой создания. Документ, созданный электронно и подписанный электронной подписью, хранится электронно — распечатка его не заменяет. Документ, подписанный на бумаге, хранится на бумаге, и скан не заменяет оригинал.
Сроки уничтожения и блокирования по 152-ФЗ: полная таблица
Закон задаёт не один срок, а семь, и считаются они по-разному: часть в календарных днях, часть в рабочих, часть в часах. Путаница между ними даёт самые обидные нарушения, когда работодатель уложился бы в срок, но считал его не в тех единицах.
| Событие | Срок | Норма |
|---|---|---|
| Цель обработки достигнута: кандидат не принят, проект закрыт, доступ прекращён | 30 дней (календарных) | часть 4 статьи 21 152-ФЗ |
| Работник отозвал согласие на обработку | 30 дней (календарных) | часть 5 статьи 21 152-ФЗ |
| Выявлена неправомерная обработка: прекратить её | 3 рабочих дня | часть 3 статьи 21 152-ФЗ |
| Обеспечить правомерность обработки невозможно: уничтожить данные | 10 рабочих дней | часть 3 статьи 21 152-ФЗ |
| Работник заявил о неточности данных: блокирование на период проверки | не более 7 рабочих дней | часть 1 статьи 21 152-ФЗ |
| Неточность подтвердилась: уточнить данные и снять блокирование | 7 рабочих дней | часть 2 статьи 21 152-ФЗ |
| Запрос работника о его данных: дать ответ | 10 рабочих дней, продление не более чем на 5 рабочих дней | статья 20 152-ФЗ |
| Утечка: уведомление о факте инцидента, затем о результатах внутреннего расследования | 24 часа и 72 часа | часть 3.1 статьи 21 152-ФЗ |
Из таблицы видно, где ломается типовой регламент. Тридцатидневные сроки дают запас и позволяют собрать комиссию, а трёхдневный и семидневный — нет: их придётся отрабатывать в день обращения работника, иначе срок уйдёт на согласование внутри компании. Поэтому в положении об обработке персональных данных ответственный назначается поимённо, а не «отдел кадров».
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Компания, которая обрабатывает данные, обязана была уведомить надзорный орган о намерении их обрабатывать до начала обработки. Числится ли ваша организация в реестре, видно на портале персональных данных Роскомнадзора, там же подаётся уведомление и информационное письмо об изменении сведений.
Почему отзыв согласия не удаляет трудовой договор
Часть 7 статьи 5 152-ФЗ содержит оговорку, которую чаще всего пропускают: правило «хранить не дольше цели» действует, если срок хранения не установлен федеральным законом. Для кадровых документов такой закон есть — 125-ФЗ об архивном деле, а конкретные сроки задаёт Перечень типовых управленческих архивных документов, утверждённый приказом Росархива от 20.12.2019 № 236. Организация хранения, экспертиза ценности, описи и уничтожение регулируются Правилами, утверждёнными приказом Росархива от 31.07.2023 № 77.
Работник, который отзывает согласие и требует «удалить всё», получает отказ в части кадровых документов, и отказ этот законный. Прекращается обработка, которая велась на основании согласия: проверка по базам, рассылка вакансий, фотография на корпоративном портале, участие в оценке. Трудовой договор, приказы, личная карточка остаются в архиве до истечения установленного срока. Ответ работнику при этом даётся письменно, с указанием нормы, а не молчанием.
| Документ | Срок хранения |
|---|---|
| Трудовые договоры, приказы по личному составу, личные карточки, завершённые после 1 января 2003 года | 50 лет |
| Те же документы, завершённые до 1 января 2003 года | 75 лет |
| Журналы вводного инструктажа и инструктажа на рабочем месте | 45 лет |
| Журналы проверки знаний по охране труда, протоколы результатов обучения, программы и списки обучения | 5 лет |
| Графики отпусков, табели учёта рабочего времени | 5 лет |
| Штатные расписания, локальные нормативные акты по месту утверждения | постоянно |
| Акт об уничтожении персональных данных и выгрузка из журнала регистрации событий | 3 года |
Разрыв между 5 и 50 годами и есть рабочая линия удаления. Документы со сроком до 10 лет живут рядом, ими пользуются, их достают; документы свыше 10 лет уходят в архив и понадобятся, скорее всего, в критической ситуации, когда искать будет некогда.
Мария Ж, юрист со стажем более 20 лет: «Если вида документа нет в перечне, это не освобождает от хранения — срок определяется по аналогии с наиболее близким видом, и решение фиксируется в номенклатуре дел через экспертную комиссию. При проверке вы показываете не догадку, а документированный выбор с обоснованием.»
Важный нюанс из практики: для отдельных сфер действуют свои перечни, и они имеют приоритет над общим Перечнем № 236 по специфичным для отрасли документам. В здравоохранении хранение медицинской документации регулируют приказы Минздрава, в образовании — ведомственные перечни по личным делам и учебным планам, в финансовом секторе — указания Банка России по договорам и досье клиентов. Порядок действий обратный привычному: сначала отраслевой перечень, потом общий.
Лайфхак: опись документов длительного хранения делайте не по годам, а по людям. При несчастном случае или профзаболевании ищут не «журнал за 2019 год», а конкретного человека за весь период его работы.
Кандидаты, работники, уволенные: сценарная таблица сроков
Универсального срока для «персональных данных сотрудника» не существует: он зависит от того, кем человек вам приходится и на каком основании вы его данные получили. Сценарии ниже покрывают основную часть кадрового массива.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Кандидат откликнулся, но не принят | Цель достигнута в день отказа: анкета, резюме, копии документов и результаты проверки уничтожаются в течение 30 дней | Формат носителя: бумажная анкета и файл в почте уничтожаются одинаково |
| Кандидат оставлен в кадровом резерве | Отдельное согласие с прямо указанным сроком и целью «формирование кадрового резерва» | Объём анкеты: лишние поля проще не собирать, чем потом обосновывать |
| Действующий работник по трудовому договору | Разграничение доступа по ролям и журнал обращений к карточке | Отзыв согласия: на обработку по трудовому договору он не влияет |
| Работник уволился | Разделение массива: документы уходят в архив на 50 лет, рабочие копии и выгрузки уничтожаются | Дата увольнения как точка отсчёта: срок считается от завершения дела делопроизводством |
| Исполнитель по договору ГПХ или самозанятый | Срок привязан к договору и налоговой отчётности, нормы о кадровых документах не применяются | Кадровые формы: личная карточка и приказы на исполнителя не оформляются |
| Данные переданы внешнему провайдеру КЭДО или удостоверяющему центру | Согласие на передачу третьим лицам и условие о возврате либо уничтожении данных при расторжении договора | Место размещения серверов: важно, но вторично по отношению к перечню лиц с доступом |
Самая частая ошибка в этой таблице — первая строка. Резюме отклонённых кандидатов годами лежат в почте рекрутера и в файлах на общем диске, хотя цель их обработки закрылась в момент отказа. В практике Добыто это первое, что всплывает при аудите перед подключением: документы в системе в порядке, а параллельный теневой массив в переписке не учтён нигде.
Мария Ж, HR-эксперт с 13-летним стажем: «Спрашивайте у провайдера не «защищённо ли хранятся данные», а перечень лиц, которые получат к ним доступ. Обычно там не одна компания, а три: сам сервис, владелец инфраструктуры и удостоверяющий центр, выдающий подписи. На каждую передачу нужно согласие работника, и это стоит выяснить до подписания договора, а не после сбора согласий.»
Внимание: доступ ко всему кадровому массиву у кадровой службы целиком — типовая ситуация и типовое нарушение. Разграничение доступа по ролям нужно и в бумажном архиве, и в электронном.
Как зафиксировать срок в согласии и локальных актах
Срок обработки существует в двух документах одновременно, и они не взаимозаменяемы. В согласии по статье 9 152-ФЗ указывается срок его действия и порядок отзыва — это срок обработки конкретно тех данных, которые собраны по согласию. В положении об обработке персональных данных фиксируются сроки хранения по категориям данных и порядок уничтожения — это внутренний регламент, по которому живёт весь массив, включая данные, обрабатываемые без согласия.
Формулировка «до достижения целей обработки» в согласии допустима, но она перекладывает работу на вас: момент достижения цели придётся уметь показать датой и документом. Конкретный срок или событие («до истечения трёх лет с даты подписания», «до прекращения трудовых отношений и истечения срока архивного хранения») проверяется быстрее и снимает спор о том, когда отсчёт закончился.
В положении описываются четыре вещи: перечень категорий обрабатываемых данных, цель по каждой категории, срок по каждой категории и порядок уничтожения с указанием ответственного. Отсылки «в соответствии с действующим законодательством» в этих четырёх пунктах не работают: проверяющий сверяет ваш внутренний срок с фактическим содержимым системы.
В Добыто мы разводим эти два документа по разным шагам внедрения: сначала утверждается положение с перечнем категорий и сроками, и только после этого собираются согласия. В обратном порядке согласия приходится переподписывать, потому что срок в них не совпадает с тем, что потом записали в локальный акт.
Образцы согласий и локальных актов по обработке данных работников
Начните с положения о ведении КЭДО: в нём задаётся контур, внутри которого дальше живут согласия и сроки.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Согласие на обработку данных для выпуска сертификата электронной подписи | Скачать |
| Согласие на проверку кандидата службой безопасности | Скачать |
| Положение о ведении КЭДО | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
Уничтожение персональных данных: что именно проверяет надзор
Удалить файл недостаточно: проверяется не факт отсутствия данных, а документальное подтверждение уничтожения. Требования к подтверждению установлены приказом Роскомнадзора от 28.10.2022 № 179, он действует с 1 марта 2023 года. При обработке с использованием средств автоматизации подтверждающих документов два: акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе. Акт и выгрузка хранятся 3 года.
Акт составляется не в свободной форме: в нём фиксируются данные субъекта, перечень категорий уничтоженных данных, наименование информационной системы, основание и дата уничтожения, состав комиссии. Если система не умеет выгружать журнал событий по конкретному человеку, подтвердить уничтожение автоматизированной обработки вы не сможете, и акт останется односторонним документом без технической опоры. Проверить это стоит до внедрения: в Добыто мы прогоняем такой запрос на пилотной группе, потому что на десятке сотрудников недостающая выгрузка обнаруживается за час, а на всей численности — уже во время проверки.
Как уничтожить персональные данные работника: пошаговая инструкция
- Шаг 1. Зафиксируйте основание и дату: достижение цели, отзыв согласия, требование работника, истечение срока по положению. От этой даты пойдёт отсчёт 30 дней или 10 рабочих дней.
- Шаг 2. Определите объём. Выпишите все места, где данные лежат: учётная система, система КЭДО, почта, общий диск, бумажное личное дело, резервные копии, выгрузки у подрядчиков. Пропущенное хранилище обнуляет всю процедуру.
- Шаг 3. Отделите то, что уничтожать нельзя. Документы с архивными сроками по Перечню № 236 остаются, уничтожается остальное. Разделение фиксируется письменно, чтобы потом не объяснять, почему часть данных осталась.
- Шаг 4. Уничтожьте данные способом, исключающим восстановление, и получите выгрузку из журнала регистрации событий по каждой информационной системе.
- Шаг 5. Составьте акт об уничтожении с подписями комиссии, приложите выгрузки и положите комплект на хранение на 3 года. Отдельно уведомите работника, если уничтожение шло по его обращению.
Мария Ж, специалист по цифровой подписи и КЭДО: «Вопрос вендору формулируется как «выгружает ли система комплект целиком», а не «хранит ли». При проверке, в споре или при смене оператора вам понадобится не картинка на экране, а файлы: сам документ, отдельный файл подписи и машиночитаемая доверенность, если подписывали по ней.»
Важный нюанс из практики: когда на профильных мероприятиях спрашивают, что важно при выборе системы кадрового документооборота, хранение персональных данных на собственных серверах стабильно оказывается в числе самых популярных ответов — вместе с гибкостью системы, стоимостью и интерфейсом. Причина простая: за хранение отвечает конкретный человек и по нему бывают проверки, а остальные критерии всплывают уже в работе.
Когда удалять данные не нужно и не следует
Досрочное уничтожение — такое же нарушение, как избыточное хранение, только последствия у него другие. Ситуации, в которых удалять нельзя:
- Документ имеет архивный срок по Перечню № 236. Уничтожение трудового договора до истечения 50 лет лишает бывшего работника подтверждения стажа, а вас — доказательства в трудовом споре.
- Идёт трудовой спор, проверка ГИТ, расследование несчастного случая или запрос правоохранительных органов. Данные нужны как доказательство, и их отсутствие толкуется против работодателя.
- Не истёк срок исковой давности по спорам, связанным с расчётами. Данные о начислениях подтверждают вашу позицию.
- Обработка ведётся не по согласию, а во исполнение трудового договора или обязанности, возложенной законом. Отзыв согласия такую обработку не прекращает.
- Речь о журналах инструктажа по охране труда. Закончился журнал — он уходит в архив, а не в утиль: срок хранения 45 лет, и выписки из него запрашивают при расследовании через много лет после увольнения человека.
Проверить себя просто: перед уничтожением сверьте перечень с номенклатурой дел и убедитесь, что по каждой позиции указана статья перечня. Позиция без статьи — повод остановиться и разобраться, а не удалять.
Цена ошибки: штрафы за нарушение сроков в 2026 году
Обработка данных без согласия, когда оно требуется, по части 1.1 статьи 13.11 КоАП обходится юридическому лицу в 150 000 — 300 000 рублей. Если закон требует именно письменного согласия, а его нет, санкция по части 2 той же статьи составляет 300 000 — 700 000 рублей, при повторном нарушении — от 1 000 000 до 1 500 000 рублей. Нарушение срока уведомления надзорного органа об утечке образует самостоятельный состав и наказывается отдельно от самой утечки.
Параллельно работает трудовое законодательство: нарушение требований к хранению кадровых документов при проверке ГИТ квалифицируется по части 1 статьи 5.27 КоАП и стоит организации от 30 000 до 50 000 рублей. Суммы складываются, потому что составы разные: Роскомнадзор смотрит на обработку данных, инспекция труда — на кадровые документы.
Нематериальная часть цены ошибки бывает тяжелее штрафа. Удалённые раньше срока документы разваливают позицию работодателя в суде: доказывать правомерность увольнения или факт ознакомления с локальным актом приходится вам, и отсутствие документа читается не в вашу пользу. В обратную сторону работает избыточный массив: чем больше копий данных живёт вне контролируемого контура, тем выше вероятность утечки и тем дороже она обходится.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Перед раскаткой на всю компанию мы закладываем пилотную группу — именно на ней видно, где сроки и цели в положении расходятся с тем, что реально делает система. Проверьте на пилоте одну вещь: можно ли по конкретному работнику получить список всех документов и дату, после которой каждый из них подлежит уничтожению.»
Полезно знать: при переходе в облачный сервис данные видят как минимум три стороны — провайдер системы, владелец инфраструктуры и удостоверяющий центр. Передача каждой из них должна быть основана на согласии работника, а не только на договоре с подрядчиком.
Стоимость подключения КЭДО с контролем сроков обработки данных
Стоимость зависит от численности и набора функций: электронный архив, интеграция с учётной системой и виды электронной подписи входят в разные тарифы.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | период 12 месяцев |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | по запросу |
| Получение УКЭП через партнёров-удостоверяющих центров | по запросу | по запросу |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма считается от численности и выбранного набора функций, поэтому электронный архив и интеграция с 1С доступны начиная с тарифа «Бизнес»: полные условия по каждому тарифу собраны на странице тарифов ДОБЫТО КЭДО. Электронные подписи ПЭП и УНЭП для сотрудников выпускаются без отдельной оплаты на всех тарифах.
Выводы
Срок обработки персональных данных работника считается от цели, а не от даты приёма: достигли цели или получили отзыв согласия — 30 дней на прекращение обработки и уничтожение, выявили неправомерную обработку — 3 рабочих дня на прекращение и 10 рабочих дней на уничтожение. Кадровые документы живут по другим правилам: 5 лет для графиков отпусков и табелей, 45 лет для журналов инструктажа, 50 лет для трудовых договоров и приказов по личному составу. Уничтожение подтверждается актом и выгрузкой из журнала событий, которые сами хранятся 3 года.
Сложность не в знании сроков, а в том, чтобы система показывала по каждому работнику, какие документы у вас есть и когда каждый из них подлежит уничтожению. В Добыто кадровые документы, согласия и сроки живут в одном контуре с разграничением доступа и журналом событий, поэтому подготовка ответа на запрос работника или на требование надзора не превращается в ручную сверку почты, дисков и бумажных папок.
Частые вопросы о сроках обработки персональных данных
Нужно ли уведомлять работника об уничтожении его данных?
Если уничтожение идёт по обращению работника — по отзыву согласия, по требованию об уничтожении или по заявлению о неправомерной обработке, — ответ ему направляется обязательно, в пределах того же срока: 30 дней при отзыве согласия, 10 рабочих дней при ответе на запрос о его данных с возможным продлением ещё на 5 рабочих дней. Плановое уничтожение по истечении внутреннего срока отдельного уведомления не требует, но акт составляется в любом случае.
Что делать с резервными копиями, если данные уже уничтожены в основной системе?
Резервная копия — такое же место обработки, как и рабочая база, поэтому её нужно либо включить в процедуру уничтожения, либо закрыть регламентом ротации с указанием предельного срока хранения копии. Второй вариант практичнее: в положении фиксируется срок жизни бэкапа, и данные исчезают из него автоматически при перезаписи. Без такого регламента любая выгрузка годовой давности становится массивом с истёкшим сроком обработки.
Можно ли хранить сканы паспорта работника в электронном виде?
Копия паспорта хранится, если у вас есть цель, для которой она нужна, и эта цель зафиксирована. Практика надзора последних лет исходит из избыточности сплошного копирования документов: сведения из паспорта вносятся в кадровые документы и этого достаточно для большинства целей. Если копия всё же нужна, обоснование и срок её хранения прописываются в положении отдельной строкой, а доступ к сканам ограничивается ролью, а не открывается всей кадровой службе.
Срок обработки считается в календарных или рабочих днях?
Зависит от нормы. Тридцатидневные сроки по частям 4 и 5 статьи 21 152-ФЗ — календарные. Трёхдневный и десятидневный сроки при неправомерной обработке, семидневные сроки при блокировании и уточнении данных, десятидневный срок ответа на запрос — рабочие. Сроки уведомления об утечке считаются в часах: 24 часа на сообщение о факте и 72 часа на результаты внутреннего расследования.
Что происходит с данными при расторжении договора с провайдером КЭДО?
Порядок должен быть описан в договоре до его подписания: в каком виде передаётся архив, в какой срок и что провайдер делает со своей копией. Комплект выгрузки включает сам документ, отдельный файл электронной подписи и машиночитаемую доверенность, если документ подписывался по ней. Уничтожение данных на стороне провайдера подтверждается теми же документами, что и у вас, — актом и выгрузкой из журнала событий.
Кто в компании отвечает за соблюдение сроков уничтожения?
Ответственный за организацию обработки персональных данных назначается приказом, и в этом же приказе разумно закрепить контроль сроков. Практическая рекомендация — назначать поимённо, а не на подразделение: трёхдневные и семидневные сроки отрабатываются в день обращения работника, и при формулировке «отдел кадров» срок уходит на внутреннее согласование. Экспертная комиссия по экспертизе ценности документов назначается отдельно и решает вопросы архивных сроков.
Как быть с данными, для которых срок в перечне не установлен?
Срок определяется по аналогии с наиболее близким по смыслу видом документа, а решение фиксируется в номенклатуре дел с обоснованием. Формально свободного выбора здесь нет: отсутствие вида документа в перечне не означает, что его можно не хранить или уничтожить по усмотрению. При проверке показывается документированное решение экспертной комиссии, а не устное объяснение.
