Участники обработки персональных данных в компании распределяются по ролям из 152-ФЗ: субъект, оператор, лицо, обрабатывающее данные по поручению оператора, работники оператора, получатели сведений и контролирующие органы. Оператор по пункту 2 статьи 3 152-ФЗ определяет цели обработки, состав данных и операции с ними. Для кадровых данных оператор — работодатель. Провайдер КЭДО, бухгалтерский аутсорсер или ИТ-подрядчик, который работает только на задачи работодателя, обрабатывает данные по поручению. Перед работником за его действия отвечает работодатель. Роль контрагента определяют цели. Если он обслуживает цели работодателя, нужен договор поручения с условиями части 3 статьи 6. Если он использует данные в собственных целях, в этом процессе он самостоятельный оператор со своим основанием обработки.
Материал сводит роли в одну таблицу с нормами и разбирает спорные сценарии: провайдер КЭДО, группа компаний с общей базой, сдача отчётности в ФНС и СФР. Отдельно показано, какой доступ к данным работников нужен специалисту по кадрам, бухгалтеру, ИТ-администратору и руководителю по статье 88 ТК РФ. Также разобрано, когда согласие на обработку персональных данных не требуется и почему с 1 сентября 2025 года его оформляют отдельным документом. Во второй половине статьи — сроки уведомления Роскомнадзора об инциденте, пошаговая инструкция, чек-лист проверки ролей, тарифы КЭДО и ответы на частые вопросы.
Кто есть кто в обработке персональных данных: роли и нормы 152-ФЗ
Субъект персональных данных по пункту 1 статьи 3 152-ФЗ — физическое лицо, к которому относятся данные. В кадровых процессах субъекты — кандидат на вакансию и работник. Их сведения собирают, хранят и передают другие участники, а субъект получает права, которые закон даёт ему для контроля над обработкой.
По пункту 2 статьи 3 152-ФЗ оператор организует или выполняет обработку сам либо совместно с другими лицами. При этом он определяет цели обработки, состав персональных данных и действия (операции) с ними. Оператором может быть государственный или муниципальный орган, юридическое лицо или физическое лицо, включая индивидуального предпринимателя. Работодатель становится оператором данных своих работников, когда сам решает, зачем ведутся кадровый учёт, расчёт зарплаты и отчётность и какие сведения для этого собираются. Технический доступ к базе оператором не делает. HR-специалист, который вносит данные в систему, и администратор, который обслуживает сервер, решают задачи, поставленные работодателем.
Мария Ж, юрист со стажем более 20 лет: «Роль контрагента определяют фактические цели, с которыми он использует данные. Одна формулировка договора эту роль не меняет. Подрядчик, который работает только на задачи работодателя, обрабатывает данные по поручению. Если те же данные он использует для собственного маркетинга или подбора персонала, в этом процессе он сам становится оператором. Перед подписанием договора сверьте, для каких целей контрагент будет использовать ваши кадровые данные.»
Совместными операторами становятся организации, которые на деле вместе определяют цели и параметры обработки. Общая группа компаний или единая кадровая база сами по себе не превращают несколько юрлиц в одного оператора. Каждое юрлицо оценивает свои цели и своё основание обработки отдельно.
В таблице указано, какую роль закон отводит каждому участнику и какая норма задаёт его обязанности.
| Участник | Кто это в компании | Норма | Обязанности и ответственность |
|---|---|---|---|
| Субъект персональных данных | Кандидат, работник | п. 1 ст. 3, ст. 14 152-ФЗ | Получает предусмотренную законом информацию об обработке, требует уточнения, блокирования или уничтожения данных в установленных случаях |
| Оператор | Работодатель: юрлицо или ИП | п. 2 ст. 3, ч. 1 и ч. 5 ст. 6 152-ФЗ; ст. 86-88 ТК РФ | Определяет цели, состав данных и операции, выбирает основание обработки, отвечает перед субъектом, в том числе за лицо по поручению |
| Ответственный за организацию обработки | Назначенный работник оператора-юрлица | ст. 18.1, ст. 22.1 152-ФЗ | Контролирует соблюдение закона, организует работу с обращениями субъектов |
| Работники оператора | Специалист по кадрам, бухгалтер, ИТ-администратор, руководитель, служба безопасности | ст. 88 ТК РФ, ст. 18.1 152-ФЗ | Работают с данными в пределах полномочий работодателя и только с необходимыми сведениями, знакомятся с ЛНА о порядке обработки |
| Лицо, обрабатывающее данные по поручению | Провайдер КЭДО, ИТ-подрядчик, бухгалтерский аутсорсер | ч. 3-5 ст. 6 152-ФЗ | Действует в целях и параметрах оператора, соблюдает конфиденциальность и меры защиты, отвечает перед оператором |
| Совместные операторы | Организации, которые вместе определяют цели обработки | п. 2 ст. 3 152-ФЗ | Каждая оценивает свои цели и основание обработки |
| Получатели по закону | ФНС, СФР при сдаче отчётности | п. 2 ч. 1 ст. 6, п. 3 ч. 7 ст. 14 152-ФЗ | Получают сведения по своим полномочиям, обработчиками работодателя не становятся |
| Контролирующие органы | Роскомнадзор; ФСТЭК России и ФСБ России | ст. 19, ст. 23 152-ФЗ | Роскомнадзор защищает права субъектов и контролирует обработку. ФСТЭК и ФСБ контролируют требования безопасности в пределах компетенции |
Работники оператора и лицо по поручению различаются договорной основой. Свои сотрудники действуют в пределах полномочий работодателя, и договор поручения с ними не подписывается. Внешнему исполнителю такой договор с условиями части 3 статьи 6 152-ФЗ нужен. Сверьте таблицу со своей оргструктурой и списком подрядчиков: каждый, кто видит данные работников, должен попасть в одну из строк.
Оператор или лицо по поручению: провайдер КЭДО, подрядчики, группа компаний
Поручение обработки оформляется договором с лицом, которое будет обрабатывать данные. В предусмотренных федеральным законом случаях вместо договора принимается соответствующий акт (часть 3 статьи 6 152-ФЗ). В поручении работодатель определяет:
- перечень персональных данных, которые обрабатывает исполнитель;
- действия (операции), которые исполнитель с ними совершает;
- цели обработки;
- обязанность соблюдать конфиденциальность;
- меры безопасности при обработке;
- обязанность подтверждать соблюдение требований закона.
Перед субъектом за действия исполнителя отвечает оператор, а исполнитель отвечает перед оператором (часть 5 статьи 6 152-ФЗ). Исполнитель соблюдает правила обработки из 152-ФЗ, конфиденциальность и требования к защите данных. Согласие субъекта для обработки по поручению он сам не получает: основание обработки обеспечивает оператор.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Провайдер КЭДО, который хранит и передаёт кадровые документы только для целей работодателя, обрабатывает данные по поручению. Работодатель в этой схеме остаётся оператором. Если тот же провайдер использует данные в собственных целях, для своего маркетинга или подбора персонала, в этом отдельном процессе он может быть самостоятельным оператором. Официального разъяснения, которое относило бы любого провайдера КЭДО к лицам по поручению, на дату публикации нет. Роль определяют фактические цели и модель договора.
Платформа Добыто построена под требования 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ. Сервис может вести кадровые документы только по задачам работодателя. В этом случае работодатель закрепляет в договоре перечень данных, операции и цели по части 3 статьи 6 и остаётся оператором.
В таблице показано, как эта логика работает в шести типовых ситуациях.
| Ситуация | Роль контрагента | Что проверить |
|---|---|---|
| Провайдер КЭДО хранит и передаёт кадровые документы только для целей работодателя | Лицо по поручению; работодатель остаётся оператором | Договор с перечнем данных, операций и целей по ч. 3 ст. 6 |
| Тот же провайдер использует данные для собственного маркетинга или подбора персонала | Самостоятельный оператор в этом отдельном процессе | Собственное основание обработки у провайдера по ч. 1 ст. 6 |
| Группа компаний ведёт общую кадровую базу | Каждое юрлицо — оператор по своим целям. Совместные операторы — только если цели действительно определяются вместе | Цели и основание обработки по каждому юрлицу |
| ИТ-подрядчик обслуживает сервер или облако с кадровой базой | Лицо по поручению в объёме технических операций | Перечень операций и меры защиты в договоре поручения |
| Работодатель сдаёт отчётность в ФНС и СФР | Получатель по закону, обработчиком работодателя не становится | Основание по п. 2 ч. 1 ст. 6 и объём сведений, который требует закон |
| Специалист по кадрам и бухгалтер работодателя ведут личные дела и расчёт зарплаты | Работники оператора, договор поручения не нужен | Допуск и состав сведений в ЛНА, ознакомление под роспись |
Во всех строках роль определяется тем, кто поставил цель обработки. Если фактические цели контрагента расходятся с текстом договора, формулировка договора его роль не меняет.
Когда договор поручения не нужен
Договор поручения заключается с внешним лицом, которое выполняет операции с данными по целям оператора. В трёх ситуациях он не требуется:
- свои работники обрабатывают данные в пределах полномочий работодателя: их допуск оформляется ЛНА и ознакомлением с ним;
- работодатель передаёт сведения в ФНС или СФР в предусмотренной законом отчётности: орган получает данные по своим полномочиям;
- получатель сам определяет цели последующей обработки: само получение данных от работодателя не делает его лицом, обрабатывающим их по поручению.
Хранение тоже относится к операциям с персональными данными. Облачная кадровая система, ИТ-подрядчик или бухгалтерский аутсорсер, которые только хранят данные по задачам работодателя, всё равно подпадают под часть 3 статьи 6. Проверьте реестр договоров: условия поручения нужны в каждом договоре, по которому внешний исполнитель работает с данными в ваших целях.
Согласие на обработку персональных данных: кто его получает и когда оно не требуется
Согласие — одно из оснований обработки из части 1 статьи 6 152-ФЗ. Для части кадровых процессов оно не нужно: основание дают закон или договор.
Важный нюанс из практики: в письме от 3 октября 2025 года Роскомнадзор разъяснил порядок выбора основания. Оператор сначала проверяет, есть ли основание обработки по закону или договору. Обработку на основании согласия субъекта он рассматривает в иных случаях.
Согласие не требуется, если применимо другое основание из части 1 статьи 6 152-ФЗ:
- исполнение обязанностей, которые закон возлагает на оператора (пункт 2);
- судебное производство и исполнение судебного акта (пункты 3 и 3.1);
- исполнение договора с субъектом или заключение договора по его инициативе (пункт 5);
- защита жизненно важных интересов субъекта, когда получить его согласие невозможно (пункт 6);
- законный интерес при условии, что права субъекта не нарушаются (пункт 7);
- обработка для исследований при обезличивании данных (пункт 9);
- обязательное раскрытие данных по закону (пункт 11).
Для работодателя главное основание — пункт 2. Кадровый учёт, расчёт зарплаты и сдача отчётности в ФНС и СФР опираются на обязанности, которые закон возлагает на работодателя. Иначе устроена проверка кандидата службой безопасности. В цепочке приёма письменное согласие кандидата стоит вторым шагом: после анкеты и до запросов по государственным базам, анализа данных и решения по найму.
С 1 сентября 2025 года согласие оформляется отдельно от иных информации и документов, которые подтверждает или подписывает субъект. Это часть 1 статьи 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ. Согласие, вписанное пунктом в трудовой договор, анкету кандидата или заявление о приёме, этому требованию не отвечает. Его готовят самостоятельным документом.
В Добыто ПЭП и УНЭП выпускаются сотрудникам на всех тарифах. Для выпуска сертификата электронной подписи в сервисе есть отдельный шаблон согласия на обработку ПДн, и цель выпуска сертификата не смешивается с целями кадрового учёта.
Полезно знать: в согласии на обработку персональных данных фиксируются цели обработки, срок действия и оговорка об отзыве по 152-ФЗ. Проверка кандидата и выпуск сертификата электронной подписи оформляются разными согласиями.
Соберите согласие на обработку персональных данных под свои цели
Образцы согласий и правил обработки персональных данных для кадровой службы
Начинайте с правил обработки персональных данных: они задают цели и порядок, под которые пишутся оба согласия.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных (PDF) | Скачать |
| Согласие на обработку персональных данных (DOCX) | Скачать |
| Согласие на обработку ПДн для выпуска сертификата ЭП (DOCX) | Скачать |
Работники оператора: доступ специалиста по кадрам, бухгалтера, ИТ и руководителя
Статья 88 ТК РФ требует разрешать доступ к персональным данным работников только специально уполномоченным лицам. Эти лица вправе получать лишь те сведения, которые нужны для выполнения конкретных функций. Формулировку нормы можно сверить по тексту Трудового кодекса РФ, опубликованному на сайте Роструда.
Обязанности оператора-юрлица перед собственными работниками задаёт статья 18.1 152-ФЗ. Оператор назначает ответственного за организацию обработки и ведёт внутренний контроль. Он доводит правила обработки до работников и знакомит их с ЛНА и требованиями к защите данных либо организует обучение. Ответственный по статье 22.1 контролирует соблюдение закона и организует работу с обращениями субъектов. Статья 86 ТК РФ добавляет ещё одну обязанность: знакомить работников под роспись с документами о порядке обработки их персональных данных.
Закон не устанавливает перечень должностей с автоматическим правом доступа. Объём доступа работодатель обосновывает функцией и закрепляет в ЛНА. На практике раскладка такая:
- специалист по кадрам — кадровые документы;
- бухгалтер — сведения для расчёта выплат и отчётности;
- ИТ-администратор — технический доступ в объёме, необходимом для обслуживания систем;
- руководитель — сведения, необходимые для управления.
Мария Ж, HR-эксперт с 13-летним стажем: «Закон не содержит перечня должностей, которым доступ к данным работников положен автоматически. Работодатель обосновывает объём доступа функцией сотрудника и ограничивает его локальными правилами. Должность руководителя или главного бухгалтера сама по себе не даёт права просматривать все личные дела. Сверьте перечень допущенных лиц в ЛНА с фактическими правами учётных записей в кадровой системе.»
Кадровые данные часто находятся сразу в нескольких системах. Модуль Добыто для 1С:ЗУП синхронизирует документы автоматически. Поэтому перечень лиц, допущенных к данным по ЛНА, должен совпадать с правами и в 1С, и в сервисе КЭДО.
Важный нюанс из практики: в решении от 21 декабря 2025 года суд рассмотрел обработку работодателем личного телефона и личной электронной почты сотрудника для трудовых задач. Суд признал, что согласие работника по части 1 статьи 6 152-ФЗ в этом случае не было обязательным условием: у работодателя имелось иное основание из статьи 6. Вывод сделан по обстоятельствам конкретного дела. Он не означает, что согласие на обработку таких данных не нужно никогда.
Служба безопасности и нанимающий руководитель при проверке кандидата
Сотрудник службы безопасности обрабатывает данные кандидата как работник оператора, в пределах полномочий работодателя. Кандидат — субъект персональных данных, и проверка начинается с его письменного согласия по 152-ФЗ. Затем служба безопасности проверяет подлинность документов. После этого идёт проверка по открытым базам: ФССП, Единому федеральному реестру сведений о банкротстве (ЕФРСБ) и реестру дисквалифицированных лиц. Итог — заключение с оценкой рисков, которое получает нанимающий руководитель.
Внимание: проверки кандидата делятся на три группы: допустимые с согласия, недопустимые без согласия и спорные. Проверка без письменного согласия на обработку персональных данных влечёт для работодателя риск штрафа.
Закрепите в ЛНА, кто в службе безопасности запрашивает сведения, кто готовит заключение и в каком объёме его видит нанимающий руководитель.
Третьи лица, получатели данных и контролирующие органы
Бывает, что сведения о работнике можно получить только у третьей стороны. Тогда работодатель заранее уведомляет работника и получает его письменное согласие, кроме случаев, установленных законом (статья 86 ТК РФ). Под это правило попадает и запрос сведений у прежнего работодателя.
ФНС и СФР получают сведения от работодателя в предусмотренной законом отчётности. Основание такой передачи — пункт 2 части 1 статьи 6 152-ФЗ, а объём сведений ограничен тем, что требует закон. Получатель, который сам определяет цели дальнейшей обработки, не становится обработчиком работодателя только потому, что получил от него данные. Это следует из пункта 2 части 1 статьи 6 и пункта 3 части 7 статьи 14 152-ФЗ.
Роскомнадзор по статье 23 152-ФЗ — уполномоченный орган по защите прав субъектов персональных данных. Он контролирует соблюдение закона операторами и получает от них уведомления, в том числе об инцидентах. Оператором кадровой базы компании Роскомнадзор не становится. Требования к операторам ведомство публикует в разделе для юридических лиц на сайте Роскомнадзора.
ФСТЭК России и ФСБ России контролируют выполнение требований безопасности персональных данных в пределах своей компетенции (статья 19 152-ФЗ). Остальные государственные органы получают сведения в случаях, предусмотренных законом. Если запрос пришёл из органа, проверьте норму, на которую он ссылается, и передавайте только тот объём сведений, который она называет.
Персональные данные и коммерческая тайна: разные режимы защиты
Персональные данные могут быть конфиденциальными, но коммерческой тайной автоматически не становятся. Статья 5 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» запрещает относить к коммерческой тайне ряд сведений о работниках, в том числе:
- численность и состав работников;
- систему и условия оплаты труда;
- сведения об охране труда;
- сведения о вакансиях;
- задолженность по заработной плате.
Режим коммерческой тайны на кадровой базе не освобождает работодателя от обязанностей оператора по 152-ФЗ. Основание обработки, согласие там, где оно нужно, ЛНА о доступе и уведомление Роскомнадзора требуются в любом случае. Положение о коммерческой тайне и положение об обработке персональных данных действуют параллельно и друг друга не заменяют. Проверьте перечень коммерческой тайны: сведения из статьи 5 98-ФЗ коммерческой тайной не становятся, даже если они в него включены.
Ответственность при ошибке в ролях: инцидент у подрядчика и сроки уведомления
Обработку данных может вести подрядчик, но за утечку или неправомерную передачу перед работником отвечает работодатель как оператор. Подрядчик отвечает уже перед работодателем по договору. Договор поручения распределяет последствия только между своими сторонами: работник предъявляет требования оператору.
При инциденте, который нарушил права субъектов, оператор уведомляет Роскомнадзор в два этапа (часть 3.1 статьи 21 152-ФЗ):
- в течение 24 часов — о произошедшем инциденте;
- в течение 72 часов — о результатах внутреннего расследования.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Договор с подрядчиком не снимает с работодателя ответственность перед работниками: за действия лица, которому поручена обработка, перед субъектом отвечает оператор. Первое уведомление Роскомнадзора оператор направляет в течение 24 часов. Об утечке на стороне подрядчика он при этом узнаёт только от самого подрядчика. Включите в договор поручения обязанность исполнителя оперативно сообщать об инциденте и укажите, кому в компании он направляет это сообщение.»
Другая ошибка — принять самостоятельного оператора за лицо по поручению. Если контрагент использует кадровые данные в собственных целях, договор поручения его обработку не покрывает. Для своего процесса контрагенту нужно собственное основание по части 1 статьи 6, а работодателю — основание для передачи данных такому получателю. Сопоставьте каждый договор с контрагентом со сценарной таблицей выше и проверьте, совпадает ли роль по договору с ролью по фактическим целям.
Как закрепить роли участников обработки в документах компании
Распределение ролей фиксируется в ЛНА оператора, в договорах с внешними исполнителями и в уведомлении, которое оператор направляет в Роскомнадзор.
Как распределить роли участников обработки персональных данных: пошаговая инструкция
- Шаг 1. Составьте перечень процессов, в которых компания работает с персональными данными: подбор, кадровый учёт, расчёт зарплаты, отчётность, КЭДО. По каждому процессу запишите цель, состав данных и операции. Это признаки оператора из пункта 2 статьи 3 152-ФЗ.
- Шаг 2. Для каждого процесса определите основание по части 1 статьи 6 152-ФЗ. Сначала проверьте основание по закону или договору. Согласие оформляйте отдельным документом для процессов, где других оснований нет.
- Шаг 3. Назначьте лицо, ответственное за организацию обработки персональных данных (статья 22.1 152-ФЗ). Закрепите за ним контроль соблюдения закона и работу с обращениями субъектов.
- Шаг 4. Утвердите ЛНА об обработке персональных данных. Укажите в нём перечень лиц, допущенных к данным работников, и состав сведений по каждой функции (статья 88 ТК РФ). Ознакомьте работников с ЛНА под роспись (статья 86 ТК РФ) или организуйте обучение (статья 18.1 152-ФЗ).
- Шаг 5. Разделите внешних контрагентов на три группы: лица по поручению, самостоятельные операторы и получатели по закону. С лицами по поручению подпишите договор с условиями части 3 статьи 6 и обязанностью оперативно сообщать об инциденте.
- Шаг 6. Проверьте, где расположены базы данных, в которые записываются сведения при сборе (часть 5 статьи 18 152-ФЗ). Убедитесь, что уведомление в Роскомнадзор направлено до начала обработки (статья 22 152-ФЗ).
- Шаг 7. Утвердите порядок реагирования на инцидент. Назначьте, кто готовит уведомление Роскомнадзора в течение 24 часов и кто проводит внутреннее расследование, результаты которого направляются в течение 72 часов.
Чек-лист проверки распределения ролей
- по каждому процессу с персональными данными названы цель, состав данных и операции;
- согласие используется только там, где нет основания по закону или договору, и подписано отдельно от трудового договора и анкеты;
- ответственный за организацию обработки назначен;
- перечень допущенных лиц в ЛНА совпадает с правами учётных записей в кадровой системе, 1С и сервисе КЭДО;
- каждый работник с доступом ознакомлен с ЛНА под роспись;
- у каждого внешнего контрагента определена роль, а с лицами по поручению подписаны договоры по части 3 статьи 6;
- в договорах поручения есть обязанность исполнителя оперативно сообщать об инциденте;
- в перечень коммерческой тайны не включены сведения из статьи 5 98-ФЗ.
Стоимость кадрового электронного документооборота: тарифы на октябрь 2026 года
Стоимость КЭДО зависит от численности сотрудников, нужных видов электронной подписи и интеграций. Цены действуют на 23 октября 2026 года.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив, приоритетная поддержка | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
| Модуль для 1С:ЗУП с автоматической синхронизацией документов | в составе тарифа «Бизнес» | установка и настройка за один день |
| УКЭП для сотрудников через партнёров — удостоверяющие центры | по запросу | по запросу |
Итоговая сумма зависит от числа подключённых сотрудников и от того, нужна ли УКЭП. Тариф можно повысить или понизить в любое время. При повышении разница пересчитывается пропорционально оставшемуся периоду. Состав каждого тарифа приведён на странице тарифы Добыто КЭДО.
Выводы
Роль участника зависит от того, кто ставит цели обработки. Работодатель как оператор отвечает перед кандидатами и работниками за весь процесс, включая действия исполнителей, которым поручена обработка. Собственные сотрудники получают доступ по функции через ЛНА, внешние исполнители — через договор поручения. ФНС, СФР и Роскомнадзор действуют в рамках собственных полномочий. Согласие нужно там, где закон или договор основания не дают, и с сентября 2025 года оно подписывается отдельным документом.
Добыто ведёт кадровые документы, отдельные согласия и подписание ПЭП, УНЭП и УКЭП в одном сервисе КЭДО с интеграцией с 1С:ЗУП. Работодатель закрепляет роли в ЛНА и договоре поручения, а документооборот по ним идёт в сервисе.
Частые вопросы об участниках обработки персональных данных
Нужно ли согласие работников, чтобы передать кадровый учёт подрядчику или головной компании группы?
Часть 3 статьи 6 152-ФЗ допускает поручение обработки другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом. Основание самой обработки оператор проверяет отдельно, по части 1 статьи 6. Кадровый учёт и отчётность опираются на обязанности, которые закон возлагает на работодателя. Поэтому утверждение, что согласие обязательно для любой передачи подрядчику, без этих оговорок неверно, как и обратное утверждение. Головная компания может вести учёт дочерних обществ по их задачам. Тогда каждое дочернее общество остаётся оператором своих данных, и поручение оформляется с каждым юрлицом.
Обязан ли работодатель уведомлять Роскомнадзор, если обрабатывает только данные работников?
Да. Часть 1 статьи 22 152-ФЗ обязывает оператора уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. С 1 сентября 2022 года Федеральный закон от 14.07.2022 № 266-ФЗ отменил пункты 1-6 части 2 статьи 22, в том числе прежнее исключение для обработки по трудовому законодательству. Освобождение от уведомления сохраняется только в случаях, которые остались в части 2 статьи 22. Их перечень проверяйте по действующей редакции закона на дату подачи.
Что работник вправе потребовать от работодателя как оператора?
По статье 14 152-ФЗ работник вправе получить предусмотренную законом информацию об обработке своих данных. В установленных законом случаях он может требовать уточнения, блокирования или уничтожения данных. Требование направляется работодателю, даже если данные хранит провайдер КЭДО или другой исполнитель, поскольку перед субъектом за исполнителя отвечает оператор. Работу с такими обращениями организует ответственный за организацию обработки по статье 22.1 152-ФЗ. Права субъекта действуют в установленных законом случаях и не означают владения данными как вещью.
Распространяются ли правила статей 86-88 ТК РФ на исполнителей по ГПХ и самозанятых?
Статьи 86-88 ТК РФ регулируют обработку данных работников, с которыми заключён трудовой договор. Исполнитель по договору ГПХ и самозанятый работниками не становятся. Их данные заказчик обрабатывает по правилам 152-ФЗ, и основанием служит исполнение договора с субъектом или заключение договора по его инициативе (пункт 5 части 1 статьи 6). Обязанности оператора при этом сохраняются полностью: основание обработки, конфиденциальность, меры защиты, работа с обращениями субъекта.
Можно ли вести кадровую базу в зарубежном облачном сервисе?
С 1 июля 2025 года действует часть 5 статьи 18 152-ФЗ в редакции Федерального закона от 28.02.2025 № 23-ФЗ. При сборе персональных данных граждан РФ она не допускает их запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение с использованием баз данных за пределами России, кроме исключений, установленных законом. Зарубежный облачный сервис, в который кадровые данные записываются при сборе, под этот запрет попадает. Трансграничную передачу регулирует статья 12 152-ФЗ. Её изменил Федеральный закон от 26.07.2026 № 265-ФЗ, вступивший в силу 26 июля 2026 года, а часть его положений вступает в силу 1 марта 2027 года.
