Требования к обработке персональных данных чек лист для кадровика

Требования к обработке персональных данных для работодателя собраны в 152-ФЗ и главе 14 Трудового кодекса РФ (статьи 85-90): компания становится оператором персональных данных в тот момент, когда получает анкету кандидата или паспорт работника. Минимальный комплект: уведомление в Роскомнадзор до начала обработки, приказ об ответственном, политика и положение об обработке ПДн, ознакомление работников под подпись, согласия там, где закон их требует, и уничтожение данных в 30-дневный срок после достижения цели. С 1 сентября 2025 года согласие оформляется отдельным документом, а за неподанное уведомление юрлицо платит от 100 000 до 300 000 рублей. Порядок действий определяет основание обработки: сведения для трудового договора, НДФЛ и отчётности в СФР обрабатываются без согласия, а передача третьим лицам вне случаев из закона, публикация фото на сайте и сбор данных о кандидате у третьих лиц требуют письменного согласия.

Материал построен как инструмент самопроверки: чек-лист из 16 пунктов с нормой к каждому, таблица оснований для согласия и сроки, в которые Роскомнадзору сообщают об изменениях и утечке. Отдельно разобрано, что проверить в КЭДО, где суды уже оценивают порядок идентификации работника. Порядок уничтожения данных по приказу Роскомнадзора № 179, штрафы по статье 13.11 КоАП, образцы согласий и ответы на частые вопросы — во второй половине статьи.

Оператор персональных данных: какие нормы распространяются на работодателя

Статус оператора не присваивается и не регистрируется: по статье 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» оператором считается любое лицо, которое организует или осуществляет обработку, определяет её цели и состав данных. Работодатель попадает под это определение автоматически, даже если в штате 3 человека, а кадровый учёт ведёт приходящий бухгалтер.

На работодателя действуют два слоя норм. 152-ФЗ задаёт общие правила для всех субъектов: кандидатов, работников, уволенных, исполнителей по договорам ГПХ, посетителей офиса. Глава 14 ТК РФ добавляет специальные требования только к данным работников по трудовому договору: получать сведения у самого работника (пункт 3 статьи 86), не собирать данные о политических и религиозных убеждениях и частной жизни (пункт 4 статьи 86), знакомить с локальными актами о ПДн под подпись (пункт 8 статьи 86), не передавать данные третьей стороне без письменного согласия, кроме случаев из федерального закона (статья 88). На исполнителей по ГПХ и самозанятых глава 14 ТК РФ не распространяется: для них основание и объём обработки определяются только 152-ФЗ и условиями договора.

Таблица ниже связывает каждое требование с нормой и с документом, который подтверждает его выполнение при проверке Роскомнадзора.

Большинство строк закрываются документами, которые пишутся один раз и обновляются при изменениях. Регулярной работы требуют три пункта: актуальность сведений в реестре операторов, согласия под конкретные цели и уничтожение данных по срокам. Именно они чаще всего расходятся с фактическим положением дел через год-два после первичной настройки.

Чек-лист кадровика: 16 пунктов проверки обработки персональных данных

Каждый пункт сформулирован как вопрос с ответом «да» или «нет». Ответ «нет» означает, что соответствующее требование не выполнено, а рядом указана норма, по которой его восстановить.

Организационные документы

1. Ответственный назначен приказом. Лицо, ответственное за организацию обработки ПДн, получает указания от руководителя и контролирует соблюдение закона внутри компании (статья 22.1 152-ФЗ). Его ФИО и контакты указываются в уведомлении Роскомнадзору.
2. Политика утверждена и опубликована. Если данные собираются через сайт, например через форму отклика на вакансию, политика размещается на этом сайте (статья 18.1 152-ФЗ).
3. Положение об обработке ПДн работников утверждено, работники ознакомлены под подпись. Порядок хранения и использования данных работников устанавливает работодатель (статья 87 ТК РФ), ознакомление обязательно (пункт 8 статьи 86 ТК РФ).
4. Утверждён перечень должностей с доступом к ПДн, у каждого сотрудника из перечня есть обязательство о неразглашении. Доступ получают только те, кому данные нужны для выполнения конкретных функций (статья 88 ТК РФ).
5. Проведена оценка вреда. Оценку вреда, который может быть причинён субъектам при нарушении закона, проводят по требованиям приказа Роскомнадзора от 27.10.2022 № 178 и оформляют актом.

Роскомнадзор и место хранения данных

6. Уведомление о намерении обрабатывать ПДн подано, сведения в реестре операторов актуальны. Проверяется по реестру операторов на сайте Роскомнадзора по ИНН компании.
7. Если данные работников передаются за рубеж, подано отдельное уведомление о трансграничной передаче (статья 12 152-ФЗ). Типичный случай — иностранный облачный сервис для HR-процессов или зарубежная материнская компания.
8. Базы с ПДн граждан РФ находятся на серверах в России (часть 5 статьи 18 152-ФЗ). Это касается кадровой программы, облачного КЭДО и сервиса подбора персонала.

Согласия и состав данных

9. Согласие берётся только там, где у обработки нет иного основания, и оформлено отдельным документом (часть 1 статьи 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ, с 01.09.2025). Согласие внутри трудового договора или анкеты этому требованию не соответствует.
10. Для публикации ФИО, фото и должности на сайте или доске почёта получено отдельное согласие на распространение (статья 10.1 152-ФЗ).
11. В анкетах и личных делах нет сведений о политических, религиозных взглядах, частной жизни и членстве в общественных объединениях (пункты 4 и 5 статьи 86 ТК РФ). Сведения о здоровье запрашиваются только в части возможности выполнять трудовую функцию (статья 88 ТК РФ).

Защита, инциденты, запросы работников

12. Определён уровень защищённости информационной системы ПДн и приняты меры по статье 19 152-ФЗ. Уровни защищённости установлены постановлением Правительства РФ от 01.11.2012 № 1119.
13. Есть порядок реагирования на утечку: кто и за какое время готовит уведомление в Роскомнадзор (24 часа на первичное, 72 часа на результаты внутреннего расследования, часть 3.1 статьи 21 152-ФЗ).
14. Есть порядок ответа на запросы работников о своих данных: 10 рабочих дней с продлением не более чем на 5 рабочих дней при мотивированном уведомлении (статьи 14 и 20 152-ФЗ).

Сроки и КЭДО

15. Данные кандидатов, которым отказали, и данные после отзыва согласия уничтожаются в течение 30 дней, уничтожение оформлено актом (части 4 и 5 статьи 21 152-ФЗ, приказ Роскомнадзора от 28.10.2022 № 179).
16. Если кадровые документы подписываются электронно, в ЛНА о КЭДО описан порядок идентификации работника и выдачи ему электронной подписи (статьи 22.1-22.3 ТК РФ).

Важный нюанс из практики: по документам, подписанным простой электронной подписью через код из SMS, суды признают займы, лизинг и договоры услуг, опираясь на часть 2 статьи 5 63-ФЗ. К кадровым документам эта практика не относится: в трудовых отношениях действуют статьи 22.1-22.3 ТК РФ со своим перечнем документов и своими требованиями к виду подписи. В практике Добыто довод «микрофинансовые организации подписывают кодом из SMS, значит и мы можем» — первый признак того, что перечень кадровых документов и виды подписи в компании не разведены, и с этого начинается проверка пункта 16.

Пункты 6, 9 и 15 стоит перепроверять раз в квартал: они меняются вместе со штатом, набором сервисов и воронкой подбора, а остальные — при изменении структуры компании или законодательства.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Согласие на обработку персональных данных: когда нужно и как оформить

Согласие — одно из нескольких оснований обработки по части 1 статьи 6 152-ФЗ, и для большей части кадровых данных оно не требуется. Сведения для заключения трудового договора, расчёта зарплаты и НДФЛ, сдачи ЕФС-1 в Социальный фонд России и воинского учёта работодатель обрабатывает, потому что этого требует закон или договор, стороной которого является работник. Лишнее согласие не нарушение само по себе, но создаёт риск: работник вправе его отозвать, и у кадровой службы появляется формальная обязанность прекратить обработку, которую она всё равно обязана вести по закону.

Письменное согласие должно содержать сведения, перечисленные в части 4 статьи 9 152-ФЗ:

• ФИО, адрес, номер паспорта, сведения о дате выдачи и выдавшем органе;
• наименование или ФИО и адрес оператора;
• цель обработки;
• перечень персональных данных, на обработку которых даётся согласие;
• наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если такое поручение есть;
• перечень действий с данными и общее описание способов обработки;
• срок действия согласия и способ его отзыва;
• подпись субъекта.

С 1 сентября 2025 года согласие оформляется отдельно от иных документов, которые подписывает субъект (часть 1 статьи 9 152-ФЗ в редакции 156-ФЗ). Пункт «согласен на обработку персональных данных» в тексте трудового договора, анкеты или заявления о приёме это требование не выполняет. Согласие в форме электронного документа, подписанного электронной подписью по 63-ФЗ, равнозначно бумажному с собственноручной подписью.

Мария Ж, специалист по цифровой подписи и КЭДО: «Когда согласие переводят в электронный вид, первым делом выясняю, в каком режиме оно существует. Скан подписанного от руки бланка и файл, подписанный криптографически, живут по разным правилам, и требования к подписи у них разные. Откройте свой файл согласия: если в нём видно изображение собственноручной подписи, у вас электронный образ бумажного документа, а не электронный документ.»

Нужна ли отдельная форма согласия: типовые ситуации кадровика

Ответ зависит от цели обработки и от того, кому уходят данные.

Для работника по трудовому договору согласие нужно в основном на операции за пределами обязанностей работодателя. Для кандидата картина обратная: трудового договора ещё нет, поэтому анкета, проверка и включение в резерв опираются на согласие с конкретной целью и сроком.

Согласие кандидата и проверка при приёме

К кандидату глава 14 ТК РФ не применяется, его данные защищает 152-ФЗ. Если сведения о кандидате получены не от него самого, например из открытых реестров или от прежнего работодателя, оператор до начала обработки сообщает ему источник и цель (часть 3 статьи 18 152-ФЗ). Согласие собирают до проверки, а не после: сначала анкета и согласие, затем запросы по базам, анализ и заключение.

Если кандидату отказали, а согласия на включение в кадровый резерв нет, цель обработки достигнута, и данные уничтожаются в течение 30 дней (часть 4 статьи 21 152-ФЗ). В сервисе подписания Добыто согласие на обработку персональных данных отмечается отдельным чекбоксом до нажатия кнопки «Подписать», поэтому оно не смешивается с подписываемым документом.

Соберите согласие работника или кандидата по 152-ФЗ

Конструктор формирует файл .docx с целями, сроком и порядком отзыва согласия. Для публикации данных на сайте используйте отдельное согласие на распространение: условия и запреты, которые работник устанавливает по статье 10.1 152-ФЗ, в общий бланк не включаются.

Уведомление Роскомнадзора об обработке персональных данных

С 1 сентября 2022 года Федеральный закон от 14.07.2022 № 266-ФЗ отменил исключения для обработки по трудовому законодательству и по договору с субъектом. В части 2 статьи 22 152-ФЗ остались три случая работы без уведомления: данные в государственных информационных системах в целях безопасности государства, обработка по законодательству о транспортной безопасности и обработка исключительно без средств автоматизации. Работодатель, который ведёт кадровый учёт в программе, считает зарплату в учётной системе или сдаёт отчётность в электронном виде, под последнее исключение не подпадает и обязан подать уведомление до начала обработки.

Уведомление содержит сведения, перечисленные в частях 3 и 3.1 статьи 22 152-ФЗ. Для каждой цели обработки отдельно указываются категории данных, категории субъектов (работники, кандидаты, родственники работников, контрагенты), правовое основание, перечень действий и способы обработки. Кроме того, в уведомление включают описание мер защиты по статьям 18.1 и 19, сведения о шифровальных средствах, ФИО и контакты ответственного, дату начала обработки, сведения о трансграничной передаче и о месте нахождения базы данных. Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты поступления, плата не взимается.

Подать уведомление, внести изменения или сообщить о прекращении обработки можно через электронные формы заявлений на портале персональных данных Роскомнадзора: там же размещены актуальные формы, утверждённые ведомством по части 8 статьи 22.

Сроки после подачи зафиксированы в части 7 статьи 22 152-ФЗ. Об изменении сведений сообщают не позднее 15-го числа месяца, следующего за месяцем изменений, одним уведомлением обо всех изменениях за период. О прекращении обработки сообщают в течение 10 рабочих дней. Для кадровика изменением считается новая цель (например, запуск видеонаблюдения или пропускной системы), новая категория субъектов, переход на облачный КЭДО с другим местом хранения базы, смена ответственного.

Трансграничная передача и утечки

Передача данных работников за рубеж требует отдельного уведомления Роскомнадзора по статье 12 152-ФЗ, одной отметки о трансграничной передаче в основном уведомлении недостаточно. На утечку закон отводит два срока (часть 3.1 статьи 21 152-ФЗ): в течение 24 часов с момента выявления оператор сообщает Роскомнадзору об инциденте, предполагаемых причинах, вреде и принятых мерах, в течение 72 часов — о результатах внутреннего расследования и лицах, действия которых стали причиной. Проверьте, что в положении об обработке ПДн назначен человек, который отвечает за эти уведомления, и указано, как с ним связаться в нерабочее время.

Локальные акты по персональным данным и коммерческая тайна

Политика и положение об обработке ПДн решают разные задачи. Политика по статье 18.1 152-ФЗ — публичный документ: её публикуют или иным способом дают к ней неограниченный доступ, и Роскомнадзор проверяет её в первую очередь, потому что она доступна без запроса. Положение (правила) об обработке ПДн работников — внутренний ЛНА по статье 87 ТК РФ: в нём описан порядок хранения и использования данных, круг лиц с доступом, порядок передачи внутри компании и третьим лицам, сроки хранения и процедура уничтожения.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Комплект для проверки выглядит так: приказ о назначении ответственного, политика, положение, перечень должностей с доступом, обязательства о неразглашении, акт оценки вреда, документы об уровне защищённости информационной системы, журнал или реестр согласий, акты об уничтожении. Если хотя бы один из документов существует только в проекте, при проверке он не засчитывается: ЛНА вступает в действие с даты утверждения и ознакомления работников.

Персональные данные и коммерческая тайна: где проходит граница

Персональные данные конфиденциальны в силу закона: статья 7 152-ФЗ запрещает оператору раскрывать и распространять их без согласия субъекта, если иное не предусмотрено федеральным законом. Отдельный режим для этого вводить не нужно. Коммерческая тайна устроена иначе: по Федеральному закону от 29.07.2004 № 98-ФЗ «О коммерческой тайне» режим возникает только после мер из статьи 10 — утверждён перечень сведений, ограничен доступ, ведётся учёт допущенных лиц, отношения с работниками урегулированы, на носителях стоит гриф «Коммерческая тайна» с указанием обладателя.

Включать данные работников в перечень сведений, составляющих коммерческую тайну, нет смысла: защита по 152-ФЗ действует и без этого, а обязанности оператора перед работником режим тайны не отменяет. Для дисциплинарной ответственности разницы нет: подпункт «в» пункта 6 части 1 статьи 81 ТК РФ прямо называет разглашение персональных данных другого работника основанием для увольнения, если сведения стали известны в связи с трудовыми обязанностями. Обязательство о неразглашении, которое подписывают сотрудники с доступом, должно называть оба вида информации, если у компании введён режим коммерческой тайны.

Образцы согласий и правил обработки персональных данных

Начните с правил обработки: они задают цели и сроки, под которые затем заполняются согласия.

Персональные данные в КЭДО: что проверить отдельно

При переходе на электронный документооборот у работника появляются два разных согласия. Согласие на взаимодействие с работодателем в электронном виде даётся по статье 22.2 ТК РФ и касается формы кадровых документов. Согласие на обработку ПДн для выпуска сертификата электронной подписи касается данных, которые передаются для сертификата. Объединять их в один бланк нельзя: с 01.09.2025 согласие на обработку ПДн оформляется отдельным документом.

Облачный сервис КЭДО обрабатывает данные работников по поручению работодателя. По части 3 статьи 6 152-ФЗ в поручении указываются перечень действий, цели обработки, обязанность обработчика соблюдать конфиденциальность и требования к защите по статье 19. Оператором перед работником остаётся работодатель, поэтому в уведомлении Роскомнадзору указываются сведения о месте нахождения базы данных, а сервер сервиса должен находиться в России.

Важный нюанс из практики: спор об увольнении работника, подавшего заявление через систему КЭДО, прошёл 4 этапа. Районный суд решением от 03.06.2022 по делу № 2-213/2022 работнику отказал: у работодателя было Положение о КЭДО, утверждённый перечень документов и порядок подписания. Девятый кассационный суд общей юрисдикции по делу № 8Г-10825/2022 (88-10853/2022) акты отменил, указав на отсутствие в материалах сведений о порядке идентификации. При новом рассмотрении решением от 20.01.2023 по делу № 2-33/2023 работник выиграл: подпись выдали ему в день подписания заявления, сам он системой пользоваться не умел, за него подписывал другой человек, и всё это зафиксировала информационная система работодателя.

Мария Ж, судебный эксперт в сфере трудового права: «Установить, что заявление сформировано в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он. Если в вашем локальном акте порядок идентификации не описан, спор можно проиграть и при технически исправной подписи.»

Для кадровика из этого дела следуют три пункта проверки: описан ли в ЛНА порядок идентификации работника при подписании, фиксирует ли система дату и обстоятельства выдачи подписи, есть ли регламент действий при поступлении заявления об увольнении. Мы в Добыто разводим во времени выдачу подписи работнику и первые кадровые действия с ней и отдельно проверяем, что работник действительно способен пользоваться системой.

Сроки хранения и уничтожение персональных данных работников и кандидатов

По части 7 статьи 5 152-ФЗ данные хранятся не дольше, чем этого требует цель обработки, если срок не установлен федеральным законом. Для кадровых документов такой срок есть: по статье 22.1 Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле» документы по личному составу, законченные делопроизводством до 1 января 2003 года, хранятся 75 лет, после этой даты — 50 лет. Увольнение работника не даёт оснований уничтожать личное дело, приказы и лицевые счета, но снимает цель для данных вне этих документов: фото на внутреннем портале, данные пропуска, контакты в корпоративных сервисах.

Для остальных случаев часть 4 статьи 21 152-ФЗ даёт 30 дней с даты достижения цели, часть 5 — 30 дней с даты отзыва согласия, если у оператора нет другого основания продолжать обработку. Порядок подтверждения уничтожения установлен приказом Роскомнадзора от 28.10.2022 № 179: при обработке без средств автоматизации составляется акт об уничтожении, при автоматизированной обработке — акт и выгрузка из журнала регистрации событий в информационной системе. Акт и выгрузка хранятся 3 года с момента уничтожения.

Как уничтожить персональные данные кандидатов и уволенных: пошаговая инструкция

1. Шаг 1. Составьте список данных, цель обработки которых достигнута: кандидаты с отказом без согласия на кадровый резерв, согласия с истёкшим сроком, отозванные согласия, данные уволенных вне документов по личному составу.
2. Шаг 2. Сверьте каждую позицию с обязательными сроками хранения: документы по личному составу хранятся 50 или 75 лет по 125-ФЗ и уничтожению не подлежат.
3. Шаг 3. Поручите уничтожение ответственному за обработку ПДн или комиссии и уложитесь в 30 дней с даты достижения цели или отзыва согласия.
4. Шаг 4. Уничтожьте данные на всех носителях: бумажные анкеты, файлы в почте и мессенджерах, записи в кадровой программе и сервисе подбора.
5. Шаг 5. Оформите акт по требованиям приказа Роскомнадзора № 179, а для электронных систем приложите выгрузку из журнала регистрации событий.
6. Шаг 6. Сохраните акт и выгрузку на 3 года и отметьте уничтожение в реестре согласий.

Мария Ж, юрист со стажем более 20 лет: «Переход на электронные документы не означает, что бумага не понадобится никогда. Суд вправе истребовать подлинник, если только он способен подтвердить обстоятельство дела, а при сомнениях в подлинности назначается экспертиза. Планируя отказ от бумажного архива, посмотрите, какие кадровые документы у вас существуют только в электронном виде и чем вы подтвердите их подлинность.»

Штрафы Роскомнадзора и цена ошибки кадровика

С 30 мая 2025 года статья 13.11 КоАП действует в редакции с новыми составами для операторов и штрафами, рассчитанными на юридических лиц. Суммы ниже указаны для организаций.

Штраф за неподанное уведомление об утечке сопоставим со штрафом за саму утечку небольшого объёма, поэтому регламент на 24 и 72 часа стоит дешевле любого из этих составов. Для компании до 1 000 работников неподанное уведомление о начале обработки — самый вероятный штраф: реестр операторов открыт, и отсутствие компании в нём видно без выездной проверки.

Ответственность работника, который нарушил порядок обработки, наступает отдельно: статья 90 ТК РФ предусматривает дисциплинарную, материальную, гражданско-правовую, административную и уголовную ответственность, а разглашение данных другого работника — основание для увольнения по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ. Штраф для компании от этого не снимается.

Где чек-листа кадровика недостаточно

• Техническая защита информационных систем. Уровень защищённости по постановлению Правительства РФ № 1119 и выбор средств защиты определяет специалист по информационной безопасности. Кадровик проверяет, что эта работа проведена и оформлена, но сам её не выполняет.
• Биометрия и сведения о здоровье. Для пропусков по лицу и медицинских данных действуют статьи 10 и 11 152-ФЗ с отдельными требованиями к согласию и защите.
• Группа компаний. Каждое юрлицо группы — отдельный оператор. Передача данных работника между компаниями группы — передача третьему лицу по статье 88 ТК РФ.
• Исполнители по ГПХ и самозанятые. Пункты чек-листа, опирающиеся на главу 14 ТК РФ, к ним не применяются: основание и объём обработки определяются 152-ФЗ и договором.

Стоимость КЭДО Добыто для работы с документами сотрудников

Цена зависит от численности сотрудников, нужных видов электронной подписи и требований к интеграции и хранению.

Итоговая сумма складывается из числа сотрудников и тарифа: для компании до 25 человек подходит «Старт», при большей численности и потребности в УКЭП и электронном архиве — «Бизнес». Условия пересчёта при смене тарифа и состав каждого пакета описаны на странице тарифов Добыто КЭДО.

Выводы

Работодатель отвечает за данные работников и кандидатов как оператор с первого дня, и большая часть требований закрывается разовым комплектом документов: приказом, политикой, положением, уведомлением в Роскомнадзор. Постоянного внимания требуют согласия, которые с сентября 2025 года оформляются отдельно, актуальность сведений в реестре операторов и уничтожение данных в 30-дневный срок. При переходе на КЭДО к этому добавляется порядок идентификации работника, который суды уже проверяют.

В Добыто мы подключаем КЭДО с отдельным согласием на обработку ПДн, выпуском подписи для сотрудников и хранением документов в электронном архиве, а выдачу подписи и первые кадровые действия с ней разводим во времени.

Частые вопросы

Нужно ли согласие на обработку персональных данных исполнителя по договору ГПХ?

Для исполнения договора ГПХ согласие не требуется: основанием служит пункт 5 части 1 статьи 6 152-ФЗ, обработка для исполнения договора, стороной которого является субъект. Согласие понадобится для целей за пределами договора, например для публикации данных на сайте (статья 10.1). Нормы главы 14 ТК РФ на исполнителя не распространяются.

Можно ли хранить копию паспорта работника в личном деле?

Статья 65 ТК РФ обязывает работника предъявить паспорт при приёме, изготовление копии кодекс не предусматривает. По части 5 статьи 5 152-ФЗ объём данных не должен быть избыточным по отношению к цели. Если копия нужна, цель и основание её хранения фиксируются в положении об обработке ПДн, а при отсутствии основания копия возвращается работнику или уничтожается с оформлением акта.

Сколько можно хранить резюме кандидата, которому отказали?

После отказа цель обработки достигнута, и данные уничтожаются в течение 30 дней (часть 4 статьи 21 152-ФЗ). Хранить резюме дольше можно только при согласии кандидата на включение в кадровый резерв с указанным сроком. По окончании срока уничтожение оформляется актом по приказу Роскомнадзора № 179.

Что делать, если работник отозвал согласие на обработку персональных данных?

Обработку, которая опиралась на это согласие, прекращают, а данные уничтожают в течение 30 дней с даты отзыва (часть 5 статьи 21 152-ФЗ). По части 2 статьи 9 оператор вправе продолжить обработку, если есть другое основание из пунктов 2-11 части 1 статьи 6: данные для трудового договора, НДФЛ и отчётности в СФР продолжают обрабатываться по закону.

Можно ли передать данные работников аутсорсинговой бухгалтерии?

Это поручение обработки по части 3 статьи 6 152-ФЗ: оно допускается с согласия субъекта, если иное не предусмотрено федеральным законом, и оформляется договором. В договоре указывают перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите по статье 19. Перед работником за действия бухгалтерии отвечает работодатель как оператор.

Равнозначно ли электронное согласие бумажному?

Да, если оно оформлено как электронный документ и подписано электронной подписью по 63-ФЗ: такое согласие часть 4 статьи 9 152-ФЗ признаёт равнозначным бумажному с собственноручной подписью. Скан бумажного бланка с подписью от руки — электронный образ, и при споре может потребоваться подлинник.