Сведения об обработке персональных данных которые компания раскрывает работнику

Сведения об обработке персональных данных, которые компания раскрывает работнику, перечислены в ч. 7 ст. 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: 10 пунктов с отдельным подпунктом 9.1, от подтверждения самого факта обработки до сроков хранения, лиц с доступом к данным и трансграничной передачи. Часть сведений работодатель даёт без запроса: знакомит под роспись с ЛНА о порядке обработки (п. 8 ст. 86 ТК РФ) и обеспечивает неограниченный доступ к политике обработки (ч. 2 ст. 18.1 152-ФЗ). Остальное работник получает по запросу, ответ готовится за 10 рабочих дней с продлением не более чем на 5. Порядок зависит от источника данных: сведения, полученные от самого работника, раскрываются по запросу, а полученные от третьих лиц — до начала обработки, по перечню ч. 3 ст. 18 152-ФЗ, если не действует исключение.

Работнику материал помогает составить запрос, который не вернут из-за отсутствия реквизитов паспорта или подписи, и понять, на что жаловаться в Роскомнадзор. Работодателю — сверить комплект ЛНА, согласий и шаблонов ответа, а также увидеть, почему с 1 сентября 2025 года согласие нельзя вписать в трудовой договор. Граница между персональными данными и коммерческой тайной, таблица штрафов по ст. 13.11 КоАП в редакции с 30 мая 2025 года, образцы документов и ответы на частые вопросы — во второй половине статьи.

Какие сведения об обработке персональных данных работник вправе получить

Перечень ч. 7 ст. 14 152-ФЗ закрытый по структуре, но открытый по последнему пункту: «иные сведения» добавляются, если их предусматривает другой федеральный закон. Работодатель в роли оператора персональных данных отвечает по каждому пункту применительно к конкретному работнику, а не пересказывает общую политику.

Чаще всего в ответах работодателей не хватает пунктов 4 и 9: получатели и лица, обрабатывающие данные по поручению, перечисляются общими словами. Работник вправе получить конкретные наименования и адреса, а работодатель, у которого нет актуального реестра подрядчиков с доступом к кадровым данным, не сможет ответить в срок.

Что добавляет статья 89 ТК РФ к правам по 152-ФЗ

Для работника по трудовому договору действует второй, трудовой, набор прав. Статья 89 ТК РФ даёт право на полную информацию о своих персональных данных и их обработке, свободный бесплатный доступ к ним, включая копии любой записи, содержащей его данные, а также право:

• определять своих представителей для защиты персональных данных;
• получать доступ к медицинской документации через медицинского работника по своему выбору;
• требовать исключения или исправления неверных или неполных данных, а также данных, обработанных с нарушением закона;
• требовать уведомить всех лиц, которым ранее сообщили неверные или неполные данные, о внесённых исправлениях;
• обжаловать в суд неправомерные действия или бездействие работодателя при обработке и защите данных.

Право на копии любой записи шире информационного ответа по ч. 7 ст. 14 152-ФЗ: работник может требовать не описание того, что о нём хранится, а сами записи. Ограничение одно — ст. 86-89 ТК РФ распространяются только на работников. Исполнитель по договору ГПХ или самозанятый пользуется правами по 152-ФЗ, но не нормами главы 14 ТК РФ.

Что работодатель раскрывает без запроса: четыре обязательных момента

Инициатива работника не нужна в четырёх ситуациях: при приёме на работу, постоянно через политику, при получении данных от третьих лиц и при оформлении согласия. В каждой из них свой документ-доказательство, и на проверке Роскомнадзора спрашивают именно его.

Третья строка срабатывает реже, чем кажется: ч. 4 ст. 18 освобождает от уведомления, если работник уже уведомлён оператором, если данные получены на основании федерального закона или в связи с исполнением договора, стороной которого является сам работник, и если раскрытие нарушит права третьих лиц. Работодатель, который получает сведения о кандидате из открытых источников или от прежнего места работы, проверяет применимость исключения до начала обработки, а не после вопроса работника.

Ознакомление под роспись по п. 8 ст. 86 ТК РФ касается и представителей работников. Лист ознакомления подшивается к ЛНА или хранится в личном деле; в КЭДО его функцию выполняет подписанный электронной подписью документ с отметкой о дате ознакомления.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Согласие на обработку персональных данных работника: когда нужно и как оформить

Обработка данных в объёме, необходимом для заключения и исполнения трудового договора, согласия не требует: п. 5 ч. 1 ст. 6 152-ФЗ допускает обработку для исполнения договора, стороной которого является субъект, а п. 2 ч. 1 ст. 6 — для исполнения обязанностей, возложенных на оператора законом. Роскомнадзор разъяснял, что согласие работника не нужно, если объём данных соответствует перечням и целям трудового законодательства. За этими пределами начинается зона согласия.

Ст. 88 ТК РФ требует письменного согласия работника на сообщение его данных третьей стороне, кроме случаев, прямо установленных федеральным законом. Внутри организации данные передаются по ЛНА, с которым работник ознакомлен под роспись. Отдельный случай — зарплатный проект: сведения о заработной плате являются персональными данными, а специального исключения для передачи данных в банк нет. Безопасный порядок — получить согласие работника либо точно определить самостоятельное правовое основание для этой передачи.

Что изменилось с 1 сентября 2025 года

Федеральный закон от 24.06.2025 № 156-ФЗ дополнил ч. 1 ст. 9 152-ФЗ требованием: согласие оформляется отдельно от иной информации и документов, которые субъект подтверждает или подписывает. Пункт о согласии в тексте трудового договора, анкеты или заявления о приёме больше не работает как согласие. Работодатели, у которых согласие было разделом анкеты, переоформляют его отдельным документом для новых работников и для целей, по которым обработка продолжается на основании согласия.

Согласие на распространение персональных данных — третий самостоятельный документ. Ст. 10.1 152-ФЗ и приказ Роскомнадзора от 24.02.2021 № 18 требуют указать оператора, информационные ресурсы, где данные будут опубликованы, цели, категории и перечень данных, а также условия и запреты на распространение. Общее согласие на обработку публикацию данных работника не покрывает.

Реквизиты письменного согласия по ч. 4 ст. 9 152-ФЗ

Письменное согласие содержит 9 элементов, и отсутствие любого из них образует состав ч. 2 ст. 13.11 КоАП:

1. ФИО и адрес работника, номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган;
2. те же данные представителя и реквизиты доверенности или иного документа о полномочиях, если согласие даёт представитель;
3. наименование или ФИО и адрес оператора;
4. цель обработки;
5. перечень персональных данных;
6. наименование или ФИО и адрес лица, обрабатывающего данные по поручению оператора, если оно есть;
7. перечень действий с данными и общее описание способов обработки;
8. срок действия согласия и способ его отзыва;
9. подпись работника.

Электронный документ, подписанный электронной подписью по федеральному закону, равнозначен бумажному согласию с собственноручной подписью. В сервисе Добыто ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, поэтому согласие подписывается в том же контуре, что трудовой договор и лист ознакомления, но отдельным документом, как требует ч. 1 ст. 9.

Соберите согласие на обработку персональных данных под свою цель

Конструктор формирует файл .docx с целями, сроком и оговоркой об отзыве. Перед подписанием сверьте результат с 9 реквизитами из списка выше: особенно с адресом оператора и сведениями о лице, обрабатывающем данные по поручению.

Запрос работника о своих персональных данных: реквизиты, сроки, ограничения

Запрос без реквизитов из ч. 3 ст. 14 152-ФЗ работодатель вправе считать неидентифицированным. В нём указываются номер основного документа, удостоверяющего личность работника или его представителя, дата выдачи и выдавший орган, сведения о трудовых отношениях с оператором (номер и дата трудового договора, табельный номер) или иное подтверждение обработки данных, а также подпись. Запрос в электронной форме подписывается электронной подписью.

Ответ и возможность ознакомиться с данными работодатель предоставляет в течение 10 рабочих дней с даты получения запроса (ч. 1 ст. 20 152-ФЗ). Срок продлевается не более чем на 5 рабочих дней, и только при направлении работнику мотивированного уведомления с причинами продления. Молчаливое продление нормой не предусмотрено. Повторный запрос после полного ответа допускается не ранее чем через 30 дней (ч. 4 ст. 14), но если первый ответ был неполным, работник обращается раньше и обосновывает повторный запрос (ч. 5 ст. 14).

Как работнику запросить сведения об обработке своих персональных данных: пошаговая инструкция

1. Шаг 1. Определите, что нужно: информационный ответ по ч. 7 ст. 14 152-ФЗ или копии записей по ст. 89 ТК РФ. Можно запросить оба сразу, перечислив пункты.
2. Шаг 2. Укажите реквизиты паспорта (номер, дата выдачи, выдавший орган) и данные, подтверждающие трудовые отношения: должность, подразделение, дату и номер трудового договора.
3. Шаг 3. Перечислите сведения из ч. 7 ст. 14 по номерам пунктов, отдельно назовите получателей данных и лиц, обрабатывающих их по поручению.
4. Шаг 4. Подпишите запрос собственноручно или электронной подписью и подайте так, чтобы осталась дата получения: вторым экземпляром с отметкой кадровой службы, заказным письмом или через систему КЭДО.
5. Шаг 5. Отсчитайте 10 рабочих дней с даты получения. Если пришло уведомление о продлении, проверьте, что в нём указаны причины и новый срок не превышает 5 рабочих дней.
6. Шаг 6. При отказе или неполном ответе направьте повторный запрос с обоснованием либо обращение в Роскомнадзор или в суд по ч. 1 ст. 17 152-ФЗ.

Когда в доступе к данным могут отказать

Ч. 8 ст. 14 152-ФЗ ограничивает право доступа в закрытом перечне случаев: обработка в целях обороны, безопасности государства и охраны правопорядка; обработка органами, задержавшими лицо или предъявившими обвинение; обработка по законодательству о противодействии отмыванию доходов и финансированию терроризма; цели транспортной безопасности; нарушение прав и законных интересов третьих лиц. Для обычного работодателя применим в основном последний пункт. Если в документе есть данные других работников, например в материалах служебной проверки, работнику выдают свои сведения, а чужие закрывают, но не отказывают в ответе целиком.

Жалоба на нераскрытие сведений подаётся через электронную приёмную Роскомнадзора с темой обращения «Защита прав субъектов ПД». К обращению прикладывают копию запроса с отметкой о дате получения и ответ работодателя, если он был.

Если вы работодатель и видите, что запросы работников у вас приходят на бумаге и теряются между кадровой службой и юристом, это решается маршрутом согласования: в КЭДО запрос регистрируется с датой, а срок ответа контролируется до истечения 10 рабочих дней. Платформа Добыто построена под требования 152-ФЗ, статей 22.1-22.3 ТК РФ и 377-ФЗ, поэтому запрос, ответ и подписанные листы ознакомления лежат в одном электронном архиве.

Персональные данные и коммерческая тайна: что работодатель не вправе закрыть от работника

Режим коммерческой тайны не основание отказать работнику в сведениях о его собственных данных. Доступ к ним регулируют ст. 14 152-ФЗ и ст. 89 ТК РФ, а исключения из этого доступа перечислены в ч. 8 ст. 14 152-ФЗ, и коммерческой тайны среди них нет.

Ч. 1 ст. 5 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» прямо запрещает устанавливать режим коммерческой тайны в отношении сведений о численности и составе работников, системе оплаты труда, условиях и охране труда, производственном травматизме, профессиональной заболеваемости и наличии свободных рабочих мест, а также о задолженности работодателя по заработной плате и социальным выплатам. Положение об оплате труда, которое компания пометила грифом «коммерческая тайна», работник вправе получить, если оно касается его зарплаты.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Обратная ситуация — работник с доступом к персональным данным коллег. Для него работодатель вводит отдельный режим: по ч. 1 ст. 11 98-ФЗ знакомит под расписку с перечнем информации, составляющей коммерческую тайну, с установленным режимом и мерами ответственности. Персональные данные других работников при этом защищаются по 152-ФЗ независимо от того, включены ли они в перечень коммерческой тайны. Проверка для кадровой службы простая: если в перечне коммерческой тайны есть пункты про оплату труда или численность, перечень противоречит ст. 5 98-ФЗ и подлежит правке.

Что подготовить работодателю до запроса работника или проверки Роскомнадзора

Ответ работнику за 10 рабочих дней собирается только из документов, которые уже существуют. Если реестра получателей, перечня сроков хранения или списка подрядчиков нет, срок уходит на их создание.

Чек-лист документов и сведений оператора персональных данных

1. ЛНА о порядке обработки персональных данных работников с листами ознакомления под роспись или электронной подписью (п. 8 ст. 86 ТК РФ).
2. Политика обработки персональных данных, опубликованная или доступная без ограничений; при сборе данных через сайт — на страницах сбора (ч. 2 ст. 18.1 152-ФЗ).
3. Уведомление Роскомнадзора о намерении обрабатывать персональные данные, поданное до начала обработки (ч. 1 ст. 22 152-ФЗ).
4. Согласия отдельными документами там, где обработка выходит за пределы трудового договора и закона: передача третьим лицам, распространение, иные цели.
5. Реестр получателей и лиц, обрабатывающих данные по поручению, с наименованиями и адресами — это пункты 4 и 9 ч. 7 ст. 14.
6. Перечень сроков хранения по видам документов. Согласия на обработку хранятся 3 года после истечения срока действия или отзыва (ст. 441 Перечня, утверждённого приказом Росархива от 20.12.2019 № 236), личные дела и личные карточки работников — 50/75 лет (ст. 444 и 445).
7. Порядок уничтожения данных: акт для бумажных носителей и выгрузка из журнала регистрации событий для автоматизированной обработки по приказу Роскомнадзора от 28.10.2022 № 179, действующему с 01.03.2023 по 01.03.2029.
8. Шаблон ответа на запрос и журнал сроков: дата получения, дата ответа, отметка о продлении с причиной.
9. Порядок реагирования на инцидент: уведомление Роскомнадзора в течение 24 часов об инциденте и в течение 72 часов о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ).

Уведомление по третьему пункту нужно почти всем работодателям. С 01.09.2022 в ч. 2 ст. 22 152-ФЗ осталось три исключения: данные в государственных информационных системах, созданных для безопасности государства и общественного порядка, обработка исключительно без средств автоматизации и цели транспортной безопасности. Исключение для обработки по трудовому законодательству отменено Федеральным законом от 14.07.2022 № 266-ФЗ. Наличие компании можно проверить по ИНН в реестре операторов персональных данных Роскомнадзора; эту же проверку может выполнить и работник, прежде чем писать запрос.

Образцы согласий и правил обработки персональных данных

Начните с правил обработки: из них берутся цели, сроки и перечень получателей, которые затем переносятся в согласия.

Согласие для выпуска сертификата электронной подписи нужно отдельно от кадрового: у него своя цель и свой получатель данных — удостоверяющий центр. При переходе на КЭДО работник подписывает оба документа, и в ответе на запрос удостоверяющий центр указывается среди получателей.

Штрафы по ст. 13.11 КоАП за нераскрытие сведений и нарушения обработки персональных данных

Отказ ответить работнику стоит дешевле всех остальных нарушений, но проверка Роскомнадзора по жалобе работника редко ограничивается одним составом: проверяют и согласия, и политику, и уведомление. Суммы для юридических лиц в редакции, действующей с 30 мая 2025 года после Федерального закона от 30.11.2024 № 420-ФЗ:

Пороги чч. 12-14 считаются по всем субъектам в базе оператора, включая кандидатов и бывших работников, поэтому численность штата их не определяет. Согласие, оформленное внутри трудового договора после 1 сентября 2025 года, относится к третьей строке: нижняя граница штрафа за него, 300 000 руб., почти вчетверо выше верхней границы штрафа за неотвеченный запрос работника. Риск проверяется сверкой трёх фактов: есть ли компания в реестре операторов, опубликована ли политика, лежат ли согласия отдельными документами.

Стоимость КЭДО для согласий и ознакомления работников с ЛНА о персональных данных

Стоимость зависит от численности сотрудников, нужных видов электронной подписи и того, требуется ли электронный архив и интеграция с 1С.

Для хранения согласий, листов ознакомления и ответов на запросы работников нужен электронный архив, он входит в тариф «Бизнес». Условия по своей численности и пересчёт при смене тарифа видны на странице тарифов Добыто КЭДО: при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.

Выводы

Работник получает сведения об обработке своих данных двумя путями. Без запроса работодатель знакомит его с ЛНА под роспись, держит политику в открытом доступе, уведомляет о данных, полученных от третьих лиц, и оформляет согласие отдельным документом. По запросу работник получает ответ по 10 пунктам ч. 7 ст. 14 152-ФЗ и копии записей по ст. 89 ТК РФ, срок ответа — 10 рабочих дней плюс не более 5 при мотивированном продлении. Коммерческая тайна этот доступ не ограничивает, а самые дорогие ошибки связаны с согласием и уведомлением Роскомнадзора, а не с самим ответом.

В Добыто согласия, листы ознакомления и запросы работников проходят через один маршрут подписания с ПЭП или УНЭП и хранятся в электронном архиве, из которого кадровая служба собирает ответ в пределах установленного срока.

Частые вопросы

Может ли бывший работник запросить сведения об обработке своих персональных данных?

Да. Право по ч. 7 ст. 14 152-ФЗ принадлежит субъекту персональных данных, а не только действующему работнику, и сохраняется, пока работодатель обрабатывает его данные, в том числе хранит. Личные дела и личные карточки хранятся 50/75 лет по ст. 444 и 445 Перечня Росархива № 236, поэтому запрос после увольнения обычен. В запросе вместо табельного номера указываются период работы и реквизиты трудового договора.

Нужно ли отдельное согласие для передачи данных в банк по зарплатному проекту?

Сведения о заработной плате являются персональными данными, а ст. 88 ТК РФ требует письменного согласия работника на сообщение его данных третьей стороне, кроме случаев, установленных федеральным законом. Специального исключения для банков нет. Если работодатель передаёт банку ФИО, паспортные данные и суммы выплат без согласия, он должен указать самостоятельное правовое основание этой передачи; без него безопаснее получить согласие отдельным документом.

Что происходит с данными, если работник отозвал согласие?

Оператор прекращает обработку на основании согласия и уничтожает данные в срок не более 30 дней с даты получения отзыва, если хранение больше не нужно для целей обработки (ч. 5 ст. 21 152-ФЗ). Обработка продолжается без согласия, если для неё есть основания из пп. 2-11 ч. 1 ст. 6 152-ФЗ (ч. 2 ст. 9), например исполнение трудового договора и обязанностей по закону. Отдельное требование прекратить обработку по ч. 5.1 ст. 21 исполняется за 10 рабочих дней с возможным продлением на 5.

Может ли представитель запросить сведения вместо работника?

Да. Ч. 3 ст. 14 152-ФЗ допускает запрос от представителя: в нём указываются номер, дата выдачи и выдавший орган документа, удостоверяющего личность представителя, а также подтверждение полномочий. Ст. 89 ТК РФ отдельно даёт работнику право определять своих представителей для защиты персональных данных. Без документа о полномочиях работодатель вправе не раскрывать сведения представителю.

Распространяются ли эти правила на исполнителей по договору ГПХ и самозанятых?

Права по 152-ФЗ, включая запрос по ч. 7 ст. 14 и срок ответа 10 рабочих дней, действуют для любого субъекта персональных данных. Нормы ст. 86-89 ТК РФ — ознакомление с ЛНА под роспись и право на бесплатные копии любой записи — касаются только работников по трудовому договору. Для исполнителя по ГПХ обработка его данных строится на п. 5 ч. 1 ст. 6 152-ФЗ как исполнение договора, стороной которого он является.

Можно ли выдать ответ на запрос в электронном виде?

Да, если запрос пришёл в электронной форме, подписанной электронной подписью, как допускает ч. 3 ст. 14 152-ФЗ. Ответ подписывается электронной подписью уполномоченного лица работодателя. Срок ответа от этого не меняется: 10 рабочих дней с даты получения запроса, продление не более чем на 5 рабочих дней с мотивированным уведомлением.