Оператор персональных данных — это компания, ИП или человек, который сам решает, зачем и какие персональные данные обрабатывать, и отвечает за это перед работником, клиентом и Роскомнадзором. Любой работодатель в отношении своих сотрудников и кандидатов — оператор. До начала автоматизированной обработки он подаёт уведомление в Роскомнадзор, публикует политику, назначает ответственного и получает согласие там, где у обработки нет другого законного основания. Главное различие проходит между оператором и лицом, которое обрабатывает данные по его поручению. Оператор собирает согласия и отвечает перед субъектом. Обработчик (сервис КЭДО, бухгалтерский аутсорсер) действует по поручению, согласие не получает и отвечает перед оператором.
Ниже — четыре вопроса, по которым компания определяет свою роль в каждом процессе, и сценарная таблица для типовых ситуаций: сервис КЭДО, аутсорсинговая служба безопасности, кадровое агентство, группа компаний. Покажем, что обязательно указывается в поручении на обработку, почему ответственность за архив у вендора остаётся на работодателе и как сформулировать согласие, чтобы новый получатель данных не требовал переделки всех документов. Ошибки со штрафами по статье 13.11 КоАП в редакции 2025 года, стоимость КЭДО на 2026 год, образцы согласий и ответы на частые вопросы — во второй половине статьи.
Оператор, обработчик, совместный оператор: какие роли знает 152-ФЗ
Статья 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» называет оператором государственный или муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет её цели, состав данных и действия с ними. Критерий один: кто принимает решения о целях и составе. Где физически лежит база и чьи серверы её обслуживают, статус не определяет.
Кроме оператора закон выделяет лицо, которое обрабатывает данные по поручению оператора (часть 3 статьи 6), и третьих лиц, которым оператор передаёт данные и которые дальше обрабатывают их на собственном основании. Роли различаются по объёму обязанностей и по тому, кто отвечает перед человеком, чьи данные обрабатываются.
| Роль | Кто определяет цели и состав данных | Согласие субъекта | Перед кем отвечает | Пример в кадровой работе |
|---|---|---|---|---|
| Оператор | Сам | Получает сам, если у обработки нет иного основания из части 1 статьи 6 | Перед субъектом и Роскомнадзором | Работодатель в отношении работников и кандидатов |
| Совместные операторы | Несколько лиц вместе | Основание нужно для обработки каждого из них | Каждый — перед субъектом | Компании, которые вместе определяют цели обработки общей базы |
| Лицо, обрабатывающее данные по поручению | Оператор, в поручении | Не получает: это обязанность оператора (часть 4 статьи 6) | Перед оператором (часть 5 статьи 6) | Сервис КЭДО, в который сотрудников загружает работодатель |
| Третье лицо — самостоятельный получатель | Сам, для своих целей | Собственное основание: закон или согласие | Перед субъектом | СФР и ФНС при сдаче отчётности, кадровое агентство |
Одна компания почти всегда совмещает несколько ролей. Сервис КЭДО — оператор данных собственных сотрудников и обработчик данных работников клиента. Поэтому статус определяется для каждого процесса и каждой категории субъектов отдельно, а не для компании в целом.
Как определить, к какому типу оператора относится компания
Роль в конкретном процессе устанавливается четырьмя вопросами, и отвечать на них нужно по фактической схеме работы, а не по названию договора:
- Кто решил, зачем собираются данные? Если цель — ваш кадровый учёт, расчёт зарплаты или подбор, вы оператор.
- Кто определил перечень данных и действия с ними? Если состав полей, сроки хранения и порядок передачи задаёт заказчик, а вы их исполняете, это признак обработки по поручению.
- От кого получены данные и есть ли поручение? Данные, загруженные заказчиком без поручения в договоре, обрабатываются без законного основания, даже если технически работа идёт правильно.
- Может ли компания использовать данные в своих целях? Обработчик действует только в пределах поручения. Как только появляется собственная цель, например рассылка своих предложений по базе клиента, для этой обработки компания становится оператором и ей нужно своё основание.
Сложнее всего с облачными сервисами: одна и та же платформа выступает в разных ролях в зависимости от того, кто завёл человека в систему.
Мария Ж, специалист по цифровой подписи и КЭДО: «Роль сервиса КЭДО определяется тем, кто передал в него данные. Если работник сам регистрируется, принимает пользовательское соглашение и даёт согласие сервису, сервис отвечает за эту обработку самостоятельно. Если работодатель загружает сотрудников массово или через интеграцию с учётной системой, сервис обрабатывает данные по его поручению, а согласие собирает работодатель. До подключения выясните, по какой из двух схем пойдёт регистрация, и под неё готовьте документы.»
Сценарии ниже покрывают большую часть ситуаций, с которыми приходят кадровые службы. Строки с одинаковым участником, например сервисом КЭДО, дают разный результат в зависимости от схемы.
| Ситуация | Роль компании | Кто получает согласие | Что оформить в первую очередь |
|---|---|---|---|
| Работодатель ведёт учёт работников и кандидатов | Оператор | Работодатель, если нет иного основания | Уведомление в Роскомнадзор, политика, приказ об ответственном |
| Сервис КЭДО, сотрудников загружает работодатель | Обработчик по поручению | Работодатель | Поручение в договоре по части 3 статьи 6 |
| Сервис КЭДО, работник регистрируется сам | Оператор | Сервис при регистрации | Пользовательское соглашение и согласие в интерфейсе |
| Аутсорсинговая служба безопасности проверяет кандидата | Оператор с уведомлением в Роскомнадзор | Заказчик-работодатель | Согласие кандидата на проверку с указанием проверяющей организации |
| Кадровое агентство ведёт кандидата | Оператор | Агентство, когда берёт кандидата в работу | Согласие кандидата с правом передачи работодателю |
| Работодатель сдаёт ЕФС-1 и отчётность в ФНС | Оператор, передающий данные по закону | Не требуется: основание — закон | Указание получателей в политике обработки |
Если ваша ситуация не попадает ни в одну строку, решающим остаётся первый вопрос: чья цель обработки. Компания, которая исполняет чужую цель и не может выйти за её пределы, — обработчик. Всё остальное — операторская обработка со всеми обязанностями.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как определить тип оператора: пошаговая инструкция
- Шаг 1. Составьте перечень процессов, где появляются персональные данные: подбор, приём, кадровый учёт, расчёт зарплаты, КЭДО, проверка кандидатов, пропускной режим, работа с клиентами.
- Шаг 2. Для каждого процесса запишите категории субъектов: кандидаты, работники, их родственники, уволенные, исполнители по ГПХ, клиенты.
- Шаг 3. По каждой паре «процесс — субъекты» ответьте, кто задаёт цель и состав данных. Если цель и состав задаёте вы, в этом процессе вы оператор.
- Шаг 4. Выпишите всех, кому данные уходят: вендор КЭДО, удостоверяющий центр, бухгалтерский аутсорсер, банк, служба безопасности, СФР, ФНС. Для каждого отметьте основание передачи: поручение, согласие или закон.
- Шаг 5. Сверьте результат с документами: есть ли поручение в договорах с обработчиками, названы ли получатели в согласиях, совпадают ли цели в уведомлении Роскомнадзора с фактическими.
Обязанности оператора: уведомление Роскомнадзора, согласие, политика, ответственный
Уведомление о намерении обрабатывать персональные данные оператор подаёт до начала обработки (часть 1 статьи 22 152-ФЗ). С 1 сентября 2022 года, после поправок Федерального закона от 14.07.2022 № 266-ФЗ, без уведомления можно работать только в трёх случаях: данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка; обработка ведётся исключительно без средств автоматизации; обработка предусмотрена законодательством о транспортной безопасности. Прежнего исключения для данных работников в рамках трудовых отношений в законе больше нет. Работодатель, который ведёт кадры в 1С, в электронных таблицах или в КЭДО, уведомление подаёт.
На портале персональных данных Роскомнадзора размещена форма уведомления о намерении осуществлять обработку персональных данных: её можно распечатать и отправить в территориальное управление, подписать УКЭП или подать через ЕСИА. В уведомлении указываются цели обработки, категории данных и субъектов, правовое основание, меры защиты, ФИО и контакты ответственного, дата начала обработки, сведения о трансграничной передаче и место нахождения базы данных. Если КЭДО-провайдер хранит данные на своих серверах, адрес его центра обработки данных тоже попадает в уведомление, поэтому до подачи запросите его у вендора.
Когда работодателю нужно согласие, а когда хватает закона
Согласие — одно из оснований статьи 6 152-ФЗ, а не обязательный документ на любую операцию. Обработка, без которой нельзя исполнить трудовой договор и требования ТК РФ, налогового и пенсионного законодательства, опирается на пункты 2 и 5 части 1 статьи 6. Согласие нужно для того, что выходит за эти рамки. Статья 88 ТК РФ запрещает передавать данные работника третьей стороне без его письменного согласия, кроме случаев, когда это нужно для предупреждения угрозы жизни и здоровью работника, и случаев, установленных ТК РФ или федеральными законами. Поручение обработки согласие тоже не заменяет: часть 3 статьи 6 разрешает поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом.
Получатели данных — вендор КЭДО, удостоверяющий центр, выпускающий подписи, ФНС — называются в согласии поимённо. Формулировка «третьим лицам» без перечня превращает передачу в распространение неопределённому кругу лиц, а для него статья 10.1 требует отдельного согласия с другим набором условий.
Лайфхак: согласия на обработку накладываются друг на друга. Когда появляется новый получатель, берётся отдельное короткое согласие только на передачу ему, а основное согласие на кадровый учёт не переписывается. Работник при этом может отозвать одно согласие, не трогая остальные.
Когда человек сам работает в сервисе без участия работодателя, например подписывает файл в веб-интерфейсе, согласие фиксируется отметкой перед действием, и оператором этой обработки выступает сам сервис.
Важный нюанс из практики: оператор хранит только то, что нужно для заявленной цели. Если работник принёс сведения о личном автомобиле, детях или супруге, а кадровому учёту они не нужны, их удаляют. Трудовой договор с ФИО, паспортными данными, адресом, СНИЛС и ИНН удалить нельзя: работодатель обязан его хранить, и эти сведения остаются в нём.
Политика обработки и ответственный за организацию обработки
Статья 18.1 152-ФЗ обязывает оператора утвердить документ, определяющий политику в отношении обработки персональных данных, и локальные акты по вопросам обработки. Оператор, который собирает данные через интернет, публикует политику на своём сайте. Организация-оператор назначает ответственного за организацию обработки (статья 22.1): он контролирует соблюдение закона внутри компании, знакомит работников с требованиями и принимает обращения субъектов. Для небольшой компании это приказ о назначении и строка в должностной инструкции, отдельная штатная единица не требуется.
Соберите согласие на обработку персональных данных с целями и сроком
Конструктор в Добыто формирует файл .docx согласия на обработку персональных данных с целями, сроком и оговоркой об отзыве по 152-ФЗ. Перед отправкой работнику сверьте перечень получателей с тем, что вы выписали на шаге 4 инструкции выше.
Образцы согласий и правил обработки персональных данных для работодателя
Начните с общего согласия на обработку: к нему привязываются дополнительные согласия на проверку и передачу данных.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Согласие кандидата на проверку службой безопасности | Скачать |
| Правила обработки персональных данных | Скачать |
Работодатель и сервис КЭДО: кто оператор, а кто обработчик
В большинстве внедрений данные в сервис передаёт работодатель: массовой загрузкой, через интеграцию с учётной системой или карточкой, которую заполняет специалист по кадрам. В этой схеме работодатель остаётся оператором, а сервис обрабатывает данные по его поручению. В Добыто модуль для 1С:ЗУП настраивается за один день и синхронизирует документы автоматически, поэтому поручение и согласия работников оформляются до первой синхронизации, а не после неё.
Поручение — это условие договора с сервисом или отдельный документ к нему. Часть 3 статьи 6 152-ФЗ требует указать в поручении:
- перечень персональных данных;
- перечень действий с ними и цели обработки;
- обязанность соблюдать конфиденциальность;
- обязанность соблюдать требования части 5 статьи 18 о локализации и статьи 18.1;
- обязанность по запросу оператора предоставлять документы, подтверждающие принятые меры и соблюдение требований;
- обязанность обеспечивать безопасность данных по статье 19, включая требования к защите;
- обязанность уведомлять оператора об инцидентах по части 3.1 статьи 21.
Типовой договор облачного сервиса обычно уже содержит такой раздел. Проверьте, что перечень данных в нём не уже фактического: если в КЭДО уходят сведения о детях для стандартных вычетов, а в поручении их нет, по этой части обработка идёт без основания.
Технически разделение ролей видно в устройстве обмена: вход работника через ЕСИА, Госуслуги или Госключ, передача персональных данных по зашифрованному каналу, подписание усиленной подписью и хранение подписанных документов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Даже когда документы хранятся в чужой системе, по закону за них отвечает работодатель. Передачу на ответственное хранение закон предусматривает только для бумаги, для электронного архива такого механизма нет. При расторжении договора вендор просит забрать документы, а затем удаляет их. Выгружайте архив регулярно: подписанные документы в формате PDF/A занимают мало места, и полная выгрузка по фильтрам не требует ожидания конца договора.»
Важный нюанс из практики: судьбу личного кабинета уволенного сотрудника решает работодатель как оператор. Распространённая схема — оставить доступ на 6 месяцев только на просмотр и скачивание своих документов. Работник ничего не подписывает и не создаёт, но сам выгружает нужные бумаги для нового работодателя, не обращаясь в кадровую службу.
Внимание: работа с иностранной HR-платформой противоречит 152-ФЗ, по которому персональные данные должны храниться на территории Российской Федерации. Место хранения базы проверяется до подписания договора, а не после внедрения.
Если требования компании к размещению данных строже типовых, в Добыто для этого есть тариф «Корпорация» с выделенным сервером.
Когда аттестация информационной системы не требуется
Оценка соответствия требованиям 152-ФЗ обязательна для оператора, но форм у неё две. Оператор проводит её самостоятельно и оформляет акт оценки соответствия либо привлекает лицензиата ФСТЭК: тогда процедура называется аттестацией, а результат — аттестатом или перечнем замечаний. Аттестация и сертифицированные средства защиты обязательны для государственных организаций и для операторов, которым закон устанавливает высокие уровни защищённости. Для остальных обязательность аттестации определяется нормативными актами, применимыми к конкретной системе. Компании без собственного подразделения информационной безопасности надёжнее получить этот вывод у лицензиата, чем делать его самостоятельно.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Лицензии ФСТЭК на техническую защиту конфиденциальной информации и на разработку средств защиты получает вендор, а проверять их наличие приходится покупателю. Любая система, где проверяется хотя бы пароль пользователя, уже реализует функцию безопасности. Регулятор вправе прекратить деятельность разработчика или запретить использование продукта, и тогда компания остаётся без системы. Запросите копии лицензий до подписания договора, а если нужен сертификат, сверьте, на какую версию продукта он выдан.»
Служба безопасности, кадровое агентство, группа компаний: пограничные случаи
Внешняя служба безопасности получает от работодателя ФИО, дату рождения, ИНН и паспортные данные кандидата, проверяет их по открытым источникам и возвращает заказчику отчёт. Сами данные кандидат передаёт работодателю вместе с согласием. После сдачи отчёта проверяющая организация удаляет сведения по истечении установленного срока: результат остаётся только у заказчика.
Мария Ж, HR-эксперт с 13-летним стажем: «Без подписанного согласия проверка кандидата неправомерна, кто бы её ни проводил: собственная служба безопасности или внешняя. Внешние проверяющие работают как операторы с уведомлением в Роскомнадзоре и начинают проверку, только когда видят согласие, полученное заказчиком. Поэтому согласие кандидат подписывает до передачи данных, и в нём прямо названа цель — проверка при приёме на работу.»
Кадровое агентство берёт согласие у кандидата, когда принимает его в работу, и передаёт резюме работодателю на этом основании. С момента получения работодатель сам становится оператором этих данных и отвечает за их хранение и удаление, если кандидата не взяли.
Отдельного режима для группы компаний 152-ФЗ не содержит. Каждое юрлицо группы — оператор данных своих работников. Если головная компания ведёт кадровый учёт за дочерние по договору, это обработка по поручению, и на неё нужно согласие работников. Если компании группы используют общую базу в собственных целях, например для единого кадрового резерва, они становятся совместными операторами, и у каждой должно быть своё основание обработки.
Ошибки при определении статуса оператора и штрафы за них
Большинство нарушений вырастает из неверно определённой роли: компания считает себя обработчиком там, где она оператор, или переносит ответственность на подрядчика. Суммы ниже — для юридических лиц по статье 13.11 КоАП в редакции, действующей с 30 мая 2025 года.
| Ошибка | Почему так делают | Последствие |
|---|---|---|
| Не подано уведомление в Роскомнадзор | Опираются на исключение для трудовых отношений, отменённое с 1 сентября 2022 года | Часть 10: от 100 000 до 300 000 руб. |
| Данные переданы сервису или подрядчику без поручения и согласия | Подрядчик воспринимается как часть собственной кадровой службы | Часть 1, обработка без законного основания: от 150 000 до 300 000 руб. |
| Согласие без перечня получателей или без обязательных сведений | Используют старый бланк, составленный до подключения КЭДО | Часть 2: от 300 000 до 700 000 руб. |
| Кадровые данные в зарубежной системе без локализации | Привычный интерфейс или цена иностранной платформы | Часть 8: от 1 000 000 до 6 000 000 руб. |
| Ответственность за архив считают перешедшей к вендору | Документы физически хранятся на чужих серверах | Перед работником за действия обработчика отвечает оператор (часть 5 статьи 6 152-ФЗ) |
Три первые строки закрываются бумажной работой до запуска процесса: уведомление, поручение в договоре и согласие с поимённым перечнем получателей. Последние две требуют решения при выборе системы, потому что поменять место хранения базы после внедрения сложнее, чем проверить его до подписания договора.
Полезно знать: согласие на обработку персональных данных и согласие на переход на КЭДО — разные документы. Первое работник вправе отозвать по правилам 152-ФЗ, а механизм отзыва согласия на КЭДО в ТК РФ не прописан.
Стоимость КЭДО с обработкой данных по поручению: тарифы Добыто на 2026 год
Цена зависит от численности штата, нужных видов подписи, интеграции с учётной системой и требований к размещению данных.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника в месяц, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | — |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
| УКЭП для сотрудников через партнёров — удостоверяющие центры | по запросу | рассчитывается индивидуально |
Итоговая сумма складывается из численности сотрудников и выбранного тарифа. При переходе на тариф выше разница пересчитывается пропорционально оставшемуся периоду. Состав каждого тарифа и актуальные условия опубликованы на странице тарифов Добыто КЭДО.
Выводы
Тип оператора определяется по процессу, а не по компании в целом. Кто задаёт цель и состав данных, тот оператор и отвечает перед человеком. Исполнитель чужой цели работает по поручению и отвечает перед заказчиком. По кадровым данным работодатель всегда оператор: уведомление в Роскомнадзор, политика, ответственный и согласия с поимённым перечнем получателей остаются на нём и после переезда архива к вендору.
При подключении Добыто через интеграцию с 1С:ЗУП сервис обрабатывает данные сотрудников по поручению работодателя. Конструктор согласия и электронный архив закрывают две задачи оператора, с которых начинается любая проверка обработки кадровых данных.
Частые вопросы об операторах персональных данных
Нужно ли согласие кандидата, который откликнулся через hh.ru или «Работу России»?
Роскомнадзор в разъяснениях 2014 года указывал: если кандидат сам разместил резюме в открытом доступе, отдельное согласие на рассмотрение резюме не требуется; если кандидата привело кадровое агентство, согласие уже получило агентство; если кандидата привели лично, согласие нужно. Разъяснения выпущены до поправок 2021 года о распространении персональных данных, поэтому на анкету со сведениями сверх резюме и на проверку службой безопасности согласие берётся всегда.
Является ли ИП оператором персональных данных?
Да. Статья 3 152-ФЗ относит к операторам и физических лиц. ИП с работниками — оператор их данных, а ИП, который принимает заказы через сайт, — оператор данных клиентов. Уведомление в Роскомнадзор ИП подаёт на общих основаниях, если обработка ведётся с использованием средств автоматизации, и публикует политику, если собирает данные через интернет.
Что делать при смене КЭДО-провайдера или места хранения базы?
По части 7 статьи 22 152-ФЗ оператор сообщает в Роскомнадзор об изменении сведений из уведомления не позднее 15-го числа месяца, следующего за месяцем изменений. Место нахождения базы данных входит в эти сведения. Одновременно заключается поручение с новым вендором, у работников берётся дополнительное согласие на передачу ему данных, а у прежнего вендора — выгрузка архива до удаления документов.
Сколько времени у оператора, чтобы сообщить об утечке?
Часть 3.1 статьи 21 152-ФЗ даёт 24 часа на первичное уведомление Роскомнадзора об инциденте и 72 часа на сообщение о результатах внутреннего расследования. Если утечка произошла у обработчика, он обязан известить оператора, а в Роскомнадзор сообщает оператор. За неуведомление об утечке юрлицу грозит штраф от 1 000 000 до 3 000 000 руб. по части 11 статьи 13.11 КоАП.
Персональные данные работников — это коммерческая тайна?
Нет, это разные режимы. Конфиденциальность персональных данных установлена статьёй 7 152-ФЗ и действует без дополнительных действий оператора. Режим коммерческой тайны по Федеральному закону от 29.07.2004 № 98-ФЗ вводит обладатель информации: утверждает перечень, ограничивает доступ, ведёт учёт допущенных лиц, ставит гриф. Сведения о численности и составе работников, системе оплаты труда и условиях труда, в том числе об охране труда, по статье 5 98-ФЗ коммерческой тайной быть не могут.
Кто оператор данных исполнителя по договору ГПХ?
Заказчик. Основание обработки — исполнение договора, стороной которого является исполнитель (пункт 5 части 1 статьи 6 152-ФЗ). Согласие на КЭДО с исполнителя не берётся: договор ГПХ — не кадровый документ. Если стороны подписывают договор и акты УНЭП, по статье 6 63-ФЗ нужно соглашение о признании такой подписи, исключение — Госключ.
