152-ФЗ о персональных данных в работе кадровика сводится к 13 статьям закона и 5 статьям главы 14 ТК РФ. Основание обработки берут из статьи 6 152-ФЗ, требования к согласию — из статьи 9, порядок передачи данных третьим лицам — из статьи 88 ТК РФ, обязанности оператора и уведомление Роскомнадзора — из статей 18.1 и 22. С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельным документом, а пункт о согласии внутри анкеты или трудового договора этому требованию не отвечает. Данные действующего работника в объёме, который требует трудовое законодательство, обрабатываются без согласия; для проверки кандидата службой безопасности, передачи данных на аутсорсинг учёта и публикации сведений в открытом доступе согласие нужно, причём для публикации — отдельное, по статье 10.1.
Ниже собрана сводная таблица: какая статья что регулирует и в каком кадровом документе на неё ссылаются. Отдельно разобраны ситуации, где согласие не нужно и его сбор только добавляет лишний документ, состав согласия после поправок 156-ФЗ, работа с кандидатами и сроки хранения. Сроки ответа работнику, сроки сообщения Роскомнадзору об утечке, штрафы по статье 13.11 КоАП в редакции 2025 года, тарифы и ответы на частые вопросы — во второй половине статьи.
Какие статьи 152-ФЗ и главы 14 ТК РФ нужны кадровику: сводная таблица
Глава 14 ТК РФ о защите персональных данных работника на дату публикации состоит из статей 86-90: статья 85 с определениями утратила силу, поэтому понятия «персональные данные», «оператор», «обработка» в Положении о персональных данных берут из статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Таблица собрана по принципу «норма — что она требует — где на неё ссылаться».
| Статья | Что регулирует | Где кадровик на неё ссылается |
|---|---|---|
| Ст. 3 152-ФЗ | Определения: персональные данные — любая информация, прямо или косвенно относящаяся к определённому или определяемому физлицу; оператор; обработка (сбор, запись, хранение, использование, передача, блокирование, уничтожение); распространение — раскрытие неопределённому кругу лиц | Раздел «Термины» Положения о персональных данных, текст согласия |
| Ст. 5 152-ФЗ | Принципы: только конкретные законные цели, без избыточных сведений, хранение не дольше, чем требует цель, если срок не установлен законом или договором | Обоснование перечня полей анкеты, сроки хранения в Положении |
| Ст. 6 152-ФЗ | Основания обработки: ч. 1 п. 2 — исполнение обязанностей оператора по закону, ч. 1 п. 5 — исполнение договора с субъектом; ч. 3-5 — поручение обработки другому лицу | Отказ от лишних согласий, договор с аутсорсером учёта и сервисом КЭДО |
| Ст. 9 152-ФЗ | Согласие: ч. 1 — оформляется отдельно от иных документов (с 01.09.2025), ч. 4 — обязательные реквизиты письменного согласия | Бланк согласия на обработку персональных данных |
| Ст. 10.1 152-ФЗ | Согласие на распространение: отдельно от иных согласий, молчание согласием не считается, субъект вправе установить запреты и условия | Размещение сведений о работнике в открытом доступе |
| Ст. 11 152-ФЗ | Биометрические данные, используемые для установления личности: только с письменного согласия, кроме исключений ч. 2 | Пропускная система, идентификация по биометрии |
| Ст. 12 152-ФЗ | Трансграничная передача; изменена 265-ФЗ от 26.07.2026 | Использование иностранных HR-систем и серверов |
| Ст. 14 152-ФЗ | Право субъекта получить сведения об обработке: ответ в течение 10 рабочих дней, продление не более чем на 5 рабочих дней с мотивированным уведомлением | Ответ на запрос работника или бывшего работника |
| Ст. 18 152-ФЗ | Обязанности при сборе; ч. 3 — что сообщить субъекту, если данные получены не от него, ч. 4 — исключения | Данные кандидата от кадрового агентства, сведения от прошлого работодателя |
| Ст. 18.1 152-ФЗ | Ответственный за организацию обработки, локальные документы: цели, категории данных и субъектов, сроки обработки и хранения, порядок уничтожения | Приказ об ответственном, Положение о персональных данных |
| Ст. 19 152-ФЗ | Правовые, организационные и технические меры защиты, учёт носителей, обнаружение несанкционированного доступа | Разграничение доступа к кадровым папкам и учётной системе |
| Ст. 21 152-ФЗ | Устранение нарушений: ч. 3.1 — сообщение Роскомнадзору об инциденте за 24 часа и о результатах расследования за 72 часа, ч. 5 — уничтожение после отзыва согласия до 30 дней | Порядок реагирования на утечку, работа с отзывом согласия |
| Ст. 22 152-ФЗ | Уведомление Роскомнадзора до начала обработки, реестр операторов (ч. 4); исключение — обработка только без средств автоматизации | Проверка статуса компании перед первым приёмом сотрудника |
| Ст. 86 ТК РФ | Общие требования: данные получают у самого работника, от третьих лиц — с предварительным уведомлением и письменным согласием; запрет на сведения о политических, религиозных и иных убеждениях и частной жизни, кроме случаев, предусмотренных законом | Анкета при приёме, запросы характеристик |
| Ст. 87 ТК РФ | Порядок хранения и использования данных работников устанавливает работодатель | Основание для утверждения Положения как ЛНА |
| Ст. 88 ТК РФ | Передача третьим лицам с письменного согласия, кроме случаев, установленных законом; доступ внутри компании только уполномоченным лицам и только к нужным им данным; сведения о здоровье — только в части возможности выполнять трудовую функцию | Ответы на внешние запросы, перечень допущенных лиц |
| Ст. 89 ТК РФ | Права работника: бесплатный доступ к своим данным и копиям записей, представитель, исправление или исключение неверных и незаконно обработанных данных | Заявление работника о выдаче копий или исправлении данных |
| Ст. 90 ТК РФ | Дисциплинарная, материальная, гражданско-правовая, административная и уголовная ответственность за нарушение правил обработки | Ознакомление допущенных сотрудников с Положением |
Для повседневных кадровых документов чаще всего хватает пяти норм: статей 6 и 9 152-ФЗ для вопроса «нужно ли согласие» и статей 86, 88 и 89 ТК РФ для работы с запросами. Статьи 18.1, 19, 21 и 22 касаются организации обработки в компании в целом, и на них ссылаются в приказах и Положении, а не в документах конкретного работника.
Перед тем как вставлять номер части или пункта в ЛНА, сверьте действующую редакцию: текст 152-ФЗ на сайте Минтруда России удобен для чтения, а на октябрь 2026 года последние изменения в закон внесены 26.07.2026.
Согласие на обработку персональных данных: требования статьи 9 после 1 сентября 2025 года
Федеральный закон от 24.06.2025 № 156-ФЗ изменил часть 1 статьи 9: согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и документов, которые субъект подтверждает или подписывает. Практическое следствие для приёма на работу прямое: строка «даю согласие на обработку персональных данных» в анкете, заявлении о приёме или трудовом договоре больше не считается надлежащим согласием. Нужен самостоятельный документ.
Если закон требует письменной формы, часть 4 статьи 9 называет реквизиты, которые согласие должно включать. Перечень открытый («в частности»), но минимум такой:
- ФИО и паспортные данные субъекта, наименование и адрес оператора;
- цель обработки и перечень персональных данных;
- наименование лица, которое обрабатывает данные по поручению оператора, если такое лицо есть;
- перечень действий и общее описание способов обработки;
- срок действия согласия и способ его отзыва.
Третий пункт чаще всего пропускают в типовых бланках. Если расчёт зарплаты ведёт внешняя бухгалтерия, а кадровые документы подписываются в облачном сервисе, оба лица должны быть названы в согласии: без этого поручение обработки по части 3 статьи 6 опирается на согласие, в котором обработчик не указан.
Два вида данных требуют отдельного режима. Биометрия, которую компания использует для установления личности, по статье 11 обрабатывается только с письменного согласия, кроме исключений части 2. Публикация сведений о работнике для неопределённого круга лиц требует согласия на распространение по статье 10.1: оно оформляется отдельно от иных согласий, и молчание или бездействие работника согласием ни при каких обстоятельствах не считается. Нарушение требований к составу согласия квалифицируется отдельно от обработки без согласия, размеры штрафов собраны в разделе об ответственности.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
В форме подписания документов Добыто согласие на обработку персональных данных вынесено отдельным чекбоксом, а не вшито в текст подписываемого файла: так требование части 1 статьи 9 выполняется на уровне интерфейса.
Соберите согласие на обработку персональных данных по реквизитам статьи 9
Когда согласие работника не нужно: статья 6 152-ФЗ и статья 88 ТК РФ
Оператор обязан доказать либо согласие, либо иное законное основание обработки, и статья 6 152-ФЗ перечисляет эти основания. Для кадровой службы ключевые два: пункт 2 части 1 — обработка для выполнения обязанностей, возложенных на оператора законом, и пункт 5 — обработка, необходимая для исполнения договора с субъектом. Формулировка узкая: основание покрывает только ту обработку, которая необходима для названной цели, а не любую работу с данными «в связи с трудовыми отношениями».
Отсюда типовая ошибка обратного направления: компания собирает согласие на всё подряд, включая ведение трудовой книжки и сдачу ЕФС-1. Такое согласие работник вправе отозвать, и тогда возникает вопрос, на каком основании обработка продолжается. Ссылка на статью 6 в Положении снимает этот вопрос заранее. Распределение по типовым ситуациям приведено в таблице.
| Кадровая ситуация | Нужно ли согласие | Норма |
|---|---|---|
| Обработка данных действующего работника в объёме и для целей трудового законодательства | Нет | Ст. 6 ч. 1 п. 2 152-ФЗ, разъяснения Роскомнадзора |
| Передача сведений в государственные органы в случаях, предусмотренных законом | Нет | Ст. 88 ТК РФ, ст. 6 152-ФЗ |
| Передача данных в банк по зарплатному проекту | Нет, если договор выпуска карты заключён с работником и предусматривает передачу данных работодателем, есть доверенность работника или такая система оплаты закреплена коллективным договором; в остальных случаях — да | Разъяснения Роскомнадзора |
| Кадровый или бухгалтерский учёт на аутсорсинге | Да, плюс договор поручения с требованиями к конфиденциальности и защите | Ст. 6 ч. 3 152-ФЗ |
| Получение сведений о работнике у третьих лиц | Да, письменное, с предварительным уведомлением работника | Ст. 86 п. 3 ТК РФ |
| Резюме, которое соискатель сам разместил в открытом доступе | Нет, если резюме доступно неопределённому кругу лиц | Разъяснения Роскомнадзора |
| Данные соискателя после отказа в приёме | Подлежат уничтожению в течение 30 дней; бессрочное хранение без согласия не допускается | Разъяснения Роскомнадзора, ст. 5 152-ФЗ |
| Проверка кандидата службой безопасности | Да, письменное согласие до начала проверки | Ст. 9 152-ФЗ, ст. 86 ТК РФ |
| Публикация сведений о работнике в открытом доступе | Да, отдельное согласие на распространение | Ст. 10.1 152-ФЗ |
| Биометрия для установления личности | Да, письменное, кроме исключений ч. 2 ст. 11 | Ст. 11 152-ФЗ |
Строка про банк показывает, как работают разъяснения Роскомнадзора: исключение действует только при одном из трёх условий и не превращается в общее правило. Если в вашей компании ни одно из условий не выполнено, согласие на передачу данных в банк собирается так же, как для аутсорсера учёта.
С аутсорсингом связан и вопрос о сервисе КЭДО. Сервис, которому работодатель передаёт данные сотрудников, получает их по поручению оператора, и требования части 3 статьи 6 распространяются на него так же, как на внешнюю бухгалтерию.
Важный нюанс из практики: роль сервиса КЭДО зависит от того, кто заводит данные. При массовой регистрации сотрудников через интеграцию с учётной системой данные передаёт работодатель, сервис обрабатывает их по его поручению, а согласие собирает работодатель как оператор. Если работник регистрируется в сервисе сам как физическое лицо, сервис собирает согласие самостоятельно и отвечает за эту обработку.
Мария Ж, специалист по цифровой подписи и КЭДО: «Обработчик по поручению сам согласие у работников не собирает, это обязанность оператора, то есть работодателя. Чаще всего данные в сервис попадают при подключении интеграции, когда сотрудников регистрируют пачкой, и тогда передачу данных нужно урегулировать между работодателем и работником. Откройте договор с сервисом и проверьте, кто в нём назван оператором, а кто действует по поручению, и совпадает ли это с текстом согласия, которое подписали ваши сотрудники.»
Шаблоны согласий и локальных актов по персональным данным и КЭДО
Начните с бланка согласия на обработку персональных данных: остальные документы комплекта ссылаются на него.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Правила обработки персональных данных | Скачать |
| Согласие кандидата на проверку службой безопасности | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
| Положение о ведении КЭДО | Скачать |
Оператор персональных данных: обязанности по статьям 18.1, 19 и 22
Работодатель, который сам организует обработку данных работников и кандидатов, является оператором по статье 3 152-ФЗ. Статус возникает не из уведомления Роскомнадзора, а из факта обработки, поэтому уведомление по части 1 статьи 22 подаётся до её начала, то есть до первого приёма сотрудника. Исключение, сохранившееся после поправок, — обработка исключительно без средств автоматизации. Компания, которая ведёт кадровый учёт в учётной системе или передаёт сведения в СФР в электронном виде, под это исключение не подпадает.
Проверить, есть ли компания в реестре, можно по ИНН в реестре операторов персональных данных на портале Роскомнадзора. Если записи нет, уведомление подаётся через электронную форму на том же портале; форма утверждена приказом Роскомнадзора от 28.10.2022 № 180.
Статья 18.1 требует от юрлица-оператора двух вещей: назначить ответственного за организацию обработки и утвердить локальные документы, где описаны цели, категории данных и субъектов, сроки обработки и хранения и порядок уничтожения. Статья 87 ТК РФ даёт работодателю право самому установить порядок хранения и использования данных работников, поэтому Положение о персональных данных утверждается как ЛНА. Статья 19 добавляет правовые, организационные и технические меры защиты: выявление угроз, учёт машинных носителей, обнаружение несанкционированного доступа.
Как привести обработку персональных данных в отделе кадров в соответствие с 152-ФЗ: пошаговая инструкция
- Шаг 1. Найдите компанию в реестре операторов Роскомнадзора по ИНН. Если записи нет и обработка ведётся с использованием средств автоматизации, подайте уведомление по статье 22 152-ФЗ до приёма следующего сотрудника.
- Шаг 2. Издайте приказ о назначении ответственного за организацию обработки персональных данных и утвердите Положение с целями, категориями данных и субъектов, сроками хранения и порядком уничтожения (статья 18.1).
- Шаг 3. Сверьте анкету при приёме с целями обработки: уберите поля, которых не требует трудовое законодательство, и сведения о политических, религиозных убеждениях и частной жизни (статья 5 152-ФЗ, пункт 4 статьи 86 ТК РФ).
- Шаг 4. Для каждой цели определите основание. Где работает пункт 2 или 5 части 1 статьи 6, согласие не собирайте; где оно нужно, оформите его отдельным документом с реквизитами части 4 статьи 9.
- Шаг 5. Проверьте договоры с аутсорсером учёта, сервисом КЭДО и внешней службой безопасности: в них должно быть поручение обработки с перечнем действий, целей и требований к защите (часть 3 статьи 6).
- Шаг 6. Утвердите перечень лиц, допущенных к персональным данным, с объёмом доступа по их функциям (статья 88 ТК РФ), и ознакомьте их с Положением под подпись.
- Шаг 7. Пропишите порядок действий при инциденте: кто и в какой срок сообщает в Роскомнадзор, кто проводит внутреннее расследование, кто уничтожает данные после отзыва согласия (статья 21).
Запрос работника о его данных: сроки по статье 14 152-ФЗ и права по статье 89 ТК РФ
На запрос о том, какие данные обрабатываются, с какой целью и кому передаются, оператор отвечает в течение 10 рабочих дней с даты обращения или получения запроса. Срок продлевается не более чем на 5 рабочих дней, и только если работнику направлено мотивированное уведомление о причинах. Статья 20 152-ФЗ описывает те же обязанности со стороны оператора: предоставить сведения или дать мотивированный отказ со ссылкой на норму.
Статья 89 ТК РФ добавляет права, которых нет в общем законе. Работник получает доступ к своим данным и копии записей бесплатно, может назначить представителя, получает медицинские сведения через выбранного им медицинского работника и вправе требовать исправить или исключить неверные, неполные или обработанные с нарушением данные. Запрос бывшего работника обрабатывается по тем же правилам, пока его документы хранятся у работодателя.
Отдельный случай — данные пришли не от самого человека, например резюме передало кадровое агентство. По части 3 статьи 18 до начала обработки оператор сообщает субъекту своё наименование и адрес, цель и правовое основание, перечень данных, предполагаемых пользователей, права субъекта и источник получения данных. Часть 4 освобождает от этой обязанности, если данные получены на основании закона или в связи с исполнением договора с субъектом. Проверить, нужна ли такая информационная записка, можно по договору с агентством: если в нём нет согласия кандидата на передачу данных вам, вопрос не только в уведомлении, но и в законности получения резюме.
Персональные данные кандидата и проверка службой безопасности
Пункт 3 статьи 86 ТК РФ требует получать данные у самого работника, а сведения от третьих лиц — только после предварительного уведомления и с письменного согласия. Проверка кандидата службой безопасности по открытым и закрытым источникам — это получение сведений о человеке из внешних баз, поэтому она начинается с подписанного согласия. Пункт 4 той же статьи задаёт границу содержания: сведения о политических, религиозных и иных убеждениях и о частной жизни не запрашиваются, кроме случаев, прямо предусмотренных законом.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: без подписанного согласия проверка персональных данных кандидата неправомерна. Это касается и внешней службы безопасности: она работает с данными, которые ей передал заказчик, и законность передачи держится на согласии кандидата.
Схема ниже разводит проверки на три группы: что допустимо с согласия кандидата, что недопустимо без него и где начинаются спорные зоны.
Важный нюанс из практики: внешние службы безопасности, которые проверяют кандидатов для малого и среднего бизнеса, работают как операторы персональных данных с уведомлением в Роскомнадзоре. Заказчик передаёт им ФИО, дату рождения, ИНН и паспортные данные вместе с согласием кандидата; без согласия проверка не начинается. Способ передачи данных согласуется при заключении договора, а после передачи отчёта подрядчик через определённый срок удаляет данные у себя, и они остаются только у заказчика.
Мария Ж, HR-эксперт с 13-летним стажем: «Работодатель, который отдаёт проверку кандидатов на аутсорсинг, остаётся тем, кто собрал данные и передал их дальше. Поэтому до подписания договора стоит найти подрядчика в реестре операторов Роскомнадзора и прописать в договоре, каким каналом передаются данные и в какой срок подрядчик их удаляет. Согласие кандидата берите до передачи данных, а не после того, как отчёт уже пришёл.»
Сроки хранения и уничтожение персональных данных работников
Статья 5 152-ФЗ запрещает хранить данные в форме, позволяющей определить человека, дольше, чем требует цель обработки, но делает оговорку: если срок не установлен федеральным законом или договором. Для кадровых документов такой срок установлен архивным законодательством, поэтому принцип «не дольше цели» не даёт права уничтожить личную карточку после увольнения. Базовый перечень сроков — приказ Росархива от 20.12.2019 № 236; порядок хранения, экспертизы ценности и уничтожения — Правила, утверждённые приказом Росархива от 31.07.2023 № 77.
Факт: личные карточки, трудовые договоры и приказы по личному составу хранятся 50 лет, если дела завершены после 1 января 2003 года, и 75 лет для более ранних. Журналы вводного инструктажа и инструктажа на рабочем месте — 45 лет.
Другие данные живут по своим правилам. После отзыва согласия оператор прекращает обработку, основанную на нём, и, если хранение больше не требуется и иного законного основания нет, уничтожает данные в срок до 30 дней с даты получения отзыва (часть 5 статьи 21). Данные соискателя, которому отказали, по разъяснениям Роскомнадзора уничтожаются в течение 30 дней. Для документов, которых нет в перечне, срок определяют по аналогии с ближайшим видом и фиксируют решение экспертной комиссии в номенклатуре дел.
Мария Ж, юрист со стажем более 20 лет: «Кадровые документы хранятся 50 лет не для работодателя: они нужны самому человеку, причём тогда, когда компании может уже не существовать. Форма хранения определяется формой создания: документ, подписанный электронной подписью, хранится в электронном виде, а бумажный оригинал скан не заменяет. Решение о форме принимается один раз, на входе, поэтому определите его в Положении о персональных данных до того, как начнёте оформлять документы.»
Коммерческая тайна и персональные данные работников
Режим коммерческой тайны вводится по Федеральному закону от 29.07.2004 № 98-ФЗ «О коммерческой тайне», а данные работников защищаются по 152-ФЗ и главе 14 ТК РФ, и обязанности по второму режиму действуют независимо от того, введён ли первый. Пункт 5 статьи 5 98-ФЗ прямо запрещает относить к коммерческой тайне сведения о численности и составе работников, системе оплаты труда, условиях труда, включая охрану труда. Перечень сведений, составляющих коммерческую тайну, с такими пунктами не соответствует закону.
Для кадровика это означает раздельную документацию: Положение о коммерческой тайне и Положение о персональных данных — разные ЛНА с разными основаниями, а ознакомление сотрудника с одним не заменяет ознакомления с другим. Проверьте свой перечень сведений, составляющих коммерческую тайну, на строки о численности, зарплатной системе и условиях труда: если они там есть, их нужно исключить.
Персональные данные в КЭДО: согласие на электронный документооборот и согласие на обработку данных
При переходе на КЭДО у работника появляются два разных документа: согласие на взаимодействие в электронном виде по статьям 22.1-22.3 ТК РФ и согласие на обработку персональных данных по статье 9 152-ФЗ. Первое не заменяет второе, и после 1 сентября 2025 года их нельзя объединять в один бланк.
Полезно знать: с дистанционными работниками письменное согласие на КЭДО не требуется: обмен электронными документами с ними регулирует глава ТК РФ о дистанционной работе, а условия можно закрепить в ЛНА об удалённой работе. С остальными работниками согласие на КЭДО собирается в письменной форме.
Сам по себе электронный формат в споре работодателя не подводит. Проигрывают из-за процедуры: момента выдачи подписи, отсутствия порядка идентификации, фактической неспособности работника пользоваться системой.
Кейс из практики: работник оспорил увольнение по заявлению, поданному через систему КЭДО. У работодателя было Положение о КЭДО, утверждённый перечень документов и порядок создания личного кабинета, и районный суд в 2022 году работнику отказал, апелляция это решение оставила в силе. Кассационный суд акты отменил: в деле не оказалось сведений о порядке идентификации, а работодатель не выяснил причины увольнения при поступлении электронного заявления. При новом рассмотрении в январе 2023 года работник выиграл: подпись выдали в день подписания заявления, работник не умел пользоваться системой, и за него подписывал другой человек, что зафиксировала собственная система работодателя.
Мария Ж, судебный эксперт по трудовому праву: «Установить, что заявление сформировано в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он в локальном акте. Проверьте у себя три вещи: описан ли в ЛНА порядок идентификации работника при подписании, фиксирует ли система дату и обстоятельства выдачи подписи, есть ли регламент действий при поступлении заявления об увольнении.»
В практике Добыто мы разводим во времени выдачу подписи работнику и первые кадровые действия с ней и отдельно проверяем, что работник действительно способен пользоваться системой. По той же причине мы закладываем пилотную группу перед раскаткой на всю компанию: на ней видно, кто из сотрудников не справляется с подписанием сам.
Ответственность за нарушения: штрафы по статье 13.11 КоАП и статья 90 ТК РФ
С 30 мая 2025 года действуют составы и размеры штрафов статьи 13.11 КоАП в редакции Федерального закона от 30.11.2024 № 420-ФЗ. Для юридических лиц они выглядят так:
| Часть ст. 13.11 | Нарушение | Штраф для юрлица |
|---|---|---|
| Ч. 1 | Обработка без законного основания или несовместимая с целями сбора | 150 000-300 000 руб. |
| Ч. 2 | Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к составу согласия | 300 000-700 000 руб. |
| Ч. 2.1 | Повторное нарушение по ч. 2 | 1 000 000-1 500 000 руб. |
| Ч. 10 | Неисполнение или несвоевременное исполнение обязанности уведомить Роскомнадзор о начале обработки | 100 000-300 000 руб. |
| Ч. 12 | Утечка данных от 1 000 до 10 000 субъектов | 3-5 млн руб. |
| Ч. 13 | Утечка данных от 10 000 до 100 000 субъектов | 5-10 млн руб. |
| Ч. 14 | Утечка данных свыше 100 000 субъектов | 10-15 млн руб. |
| Ч. 15 | Повторная утечка | 1-3% выручки, но не менее 20 млн и не более 500 млн руб. |
Для кадровой службы самый частый риск — части 2 и 10: согласие, вшитое в анкету, или отсутствие компании в реестре операторов. Штраф по части 2 за одно неправильно оформленное согласие выше, чем по части 1 за обработку вовсе без основания, поэтому лишнее и неверно составленное согласие опаснее отсутствующего там, где работает статья 6.
Порог части 12 для кадровых данных достижим быстрее, чем кажется: архив за 50 лет у работодателя с текучестью персонала легко содержит данные больше 1 000 человек. При инциденте с неправомерной передачей данных, повлёкшей нарушение прав субъектов, часть 3.1 статьи 21 152-ФЗ требует уведомить Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования сообщить в течение 72 часов. Статья 90 ТК РФ дополняет административную ответственность компании дисциплинарной, материальной, гражданско-правовой и уголовной ответственностью виновных сотрудников, поэтому допуск к данным оформляется ознакомлением с Положением под подпись.
Стоимость КЭДО Добыто: тарифы на 2026 год
Стоимость зависит от численности сотрудников, нужных видов электронной подписи и интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес; минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за 1 день |
Итоговая сумма определяется числом сотрудников в КЭДО и тем, нужна ли УКЭП и интеграция с 1С:ЗУП; при смене тарифа разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия по каждому тарифу опубликованы на странице тарифов КЭДО Добыто.
Выводы
Кадровику не нужен весь 152-ФЗ наизусть: основание обработки определяет статья 6, форму и состав согласия — статья 9, передачу данных за пределы компании — статья 88 ТК РФ, организационные обязанности — статьи 18.1, 19 и 22. Согласие оформляется только там, где у обработки нет законного основания, и всегда отдельным документом. Сроки хранения кадровых документов задаёт архивное законодательство, а не принцип минимального хранения, а реакция на утечку измеряется часами.
В Добыто согласие на обработку персональных данных и согласие на КЭДО разведены по отдельным документам, а выдача подписи и порядок идентификации фиксируются в системе: эти требования мы закладываем при подключении компании, а не после первой проверки.
Частые вопросы
Нужно ли согласие на обработку персональных данных с исполнителя по договору ГПХ или самозанятого?
Для обработки, необходимой для исполнения договора с самим исполнителем, согласие не требуется: это основание пункта 5 части 1 статьи 6 152-ФЗ. Глава 14 ТК РФ на исполнителей не распространяется, так как касается работников по трудовому договору, но общие правила 152-ФЗ действуют полностью. Если данные исполнителя передаются третьему лицу по поручению, например аутсорсеру учёта, применяется часть 3 статьи 6 и согласие нужно.
Работник отозвал согласие: можно ли продолжать начислять зарплату и сдавать отчётность?
Да. Отзыв прекращает только ту обработку, которая была основана на согласии. Начисление зарплаты, сдача ЕФС-1 и ведение кадровых документов опираются на пункты 2 и 5 части 1 статьи 6 152-ФЗ, и отзыв согласия на них не влияет. Данные, обработка которых держалась только на согласии, уничтожаются в срок до 30 дней с даты получения отзыва по части 5 статьи 21.
Что изменилось в 2026 году для компаний, которые используют иностранные HR-системы?
Федеральный закон от 26.07.2026 № 265-ФЗ изменил статью 12 152-ФЗ о трансграничной передаче. При включении иностранного государства в перечень стран, обеспечивающих адекватную защиту, теперь учитывается соответствие его регулирования и применяемых мер основополагающим принципам защиты, конфиденциальности и безопасности данных по Конвенции Совета Европы. Если серверы HR-системы находятся за рубежом, проверьте, в какой стране обрабатываются данные работников и входит ли она в действующий перечень.
Работник потребовал убрать его данные с сайта компании: в какой срок это сделать?
По статье 10.1 152-ФЗ лицо, распространяющее данные, прекращает их передачу в течение 3 рабочих дней с момента получения требования субъекта. Тот же срок, не позднее 3 рабочих дней, установлен для публикации оператором условий и запретов, которые работник указал в согласии на распространение. Если согласия на распространение не было вовсе, публикация с самого начала шла без основания.
Кто отвечает перед работником, если данные утекли у аутсорсера учёта?
Перед субъектом персональных данных отвечает оператор, то есть работодатель, поручивший обработку: это прямо следует из статьи 6 152-ФЗ. Лицо, обрабатывающее данные по поручению, отвечает перед оператором. Поэтому в договор поручения включают требования к конфиденциальности и защите данных, а также порядок взаимодействия при инциденте, чтобы уложиться в 24 часа для уведомления Роскомнадзора.
Какая ответственность за отказ работнику в доступе к его персональным данным?
Право на бесплатный доступ и копии записей закреплено статьёй 89 ТК РФ, срок ответа — 10 рабочих дней по статье 14 152-ФЗ. Статья 5.39 КоАП предусматривает для должностного лица штраф от 5 000 до 10 000 рублей за неправомерный отказ в предоставлении информации, несвоевременный или заведомо недостоверный ответ, если обязанность предоставить информацию установлена федеральным законом.
В старом Положении о персональных данных есть ссылка на статью 85 ТК РФ: это ошибка?
Статья 85 ТК РФ утратила силу, и действующая глава 14 начинается со статьи 86. Определения, которые раньше брали из статьи 85, теперь даются по статье 3 152-ФЗ. Ссылку нужно заменить при ближайшей редакции Положения; заодно стоит проверить, не объединено ли в нём согласие с другими документами вопреки части 1 статьи 9 в редакции 156-ФЗ.
