Услуги по обработке персональных данных подрядчик оказывает по поручению оператора. Это договор по части 3 статьи 6 152-ФЗ, в котором названы данные, действия с ними, цели и требования к защите по статье 19. Подрядчику можно отдать операции: хранение кадровых документов в облаке, выпуск электронных подписей, кадровые и расчётные функции, проверку кандидатов. У работодателя остаются основания обработки, согласия, уведомление Роскомнадзора, политика, ответственный и сообщение об утечке в течение 24 часов. За действия подрядчика перед работником отвечает оператор, и в январе 2026 года Верховный суд подтвердил это на деле Минтруда. Согласие тоже собирает работодатель: подрядчик по поручению его не получает, а для работника по трудовому договору статья 88 ТК РФ требует письменного согласия на передачу данных третьей стороне.
В материале собраны таблица распределения задач между оператором и подрядчиком, обязательные условия поручения, вопросы к облачному провайдеру КЭДО и к внешней службе безопасности, порядок выхода из договора без потери архива. Отдельно показываем, как проверить подрядчика до передачи первой выгрузки. Штрафы по статье 13.11 КоАП в редакции 2025 года, пошаговая инструкция, образцы согласия и правил обработки, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Оператор и подрядчик по 152-ФЗ: кто за что отвечает
Оператор определяет цели обработки, состав персональных данных и действия с ними. В кадровых процессах оператор — работодатель: он решает, зачем ему паспортные данные, сведения о семье, доходах и здоровье работника и кто будет с ними работать. Подрядчик, которому эту работу поручили, действует в пределах поручения и сам цели не меняет.
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» разрешает оператору поручить обработку другому лицу на основании договора и, если иное не установлено федеральным законом, с согласия субъекта. Распределение ответственности закреплено в части 5 статьи 6: перед работником или кандидатом за действия подрядчика отвечает оператор, а подрядчик отвечает перед оператором. Действующую редакцию закона удобно сверять по тексту 152-ФЗ на официальном сайте Минтруда России: там же перечислены обязанности оператора по статьям 18.1, 19 и 22.1.
21 января 2026 года Верховный суд РФ постановлением № 5-АД25-119-К2 оставил в силе штраф 100 000 рублей Минтруду за нарушение при утечке, которая произошла через инфраструктуру подрядчика. Суд указал: довод о вине подрядчика не снимает с оператора обязанности контролировать обработку и принимать меры защиты. Для работодателя из этого следует практическое правило: претензию к подрядчику можно предъявить по договору, но штраф и требования работника адресованы оператору.
Что обязательно прописать в поручении на обработку
Часть 3 статьи 6 152-ФЗ задаёт закрытый набор условий, без которых договор с подрядчиком не работает как поручение. В действующей редакции в нём должны быть:
- перечень персональных данных, которые передаются подрядчику;
- перечень действий (операций) с этими данными;
- цели обработки;
- обязанность подрядчика соблюдать конфиденциальность персональных данных;
- обязанность соблюдать требования части 5 статьи 18 (локализация баз данных в России) и статьи 18.1 152-ФЗ;
- обязанность по запросу оператора предоставлять документы и информацию, подтверждающие выполнение требований поручения;
- обязанность обеспечивать безопасность персональных данных и требования к их защите по статье 19, в том числе требование уведомлять оператора об инцидентах, предусмотренных частью 3.1 статьи 21.
Типовой договор аутсорсинга или лицензионный договор на облачный сервис часто содержит только общий пункт о конфиденциальности. Такой договор проверяется построчно по списку выше: каждое условие должно найтись в тексте договора или в отдельном приложении-поручении, подписанном сторонами. Если подрядчик отказывается включить обязанность предоставлять документы по запросу оператора, у работодателя не остаётся инструмента контроля, на отсутствие которого указал Верховный суд.
Что отдать подрядчику, а что оставить себе: распределение задач
Граница проходит по типу действия: подрядчику передаются операции с данными, а решения и обязанности перед работником и Роскомнадзором остаются у оператора. Распределение по основным кадровым процессам:
| Задача | Можно поручить подрядчику | Остаётся у работодателя-оператора | Норма |
|---|---|---|---|
| Хранение кадровых документов в облачной системе КЭДО | Хранение и систематизация документов на серверах провайдера | Письменное согласие работников на передачу третьим лицам, выбор провайдера с базами данных в России | ч. 3 ст. 6, ч. 5 ст. 18 152-ФЗ; ст. 88 ТК РФ |
| Выпуск электронных подписей работникам | Выпуск УКЭП аккредитованным удостоверяющим центром, выпуск УНЭП | ЛНА с указанием удостоверяющего центра, соглашение об электронном взаимодействии с кандидатом до подписания трудового договора | ст. 22.1-22.3 ТК РФ |
| Проверка кандидата внешней службой безопасности | Проверка по открытым источникам и базам, заключение со стоп-факторами | Согласие кандидата на обработку и проверку, решение о найме | ч. 1 ст. 9, ч. 3 ст. 6 152-ФЗ |
| Кадровый и расчётный аутсорсинг | Операции с данными работников по перечню из поручения | Письменное согласие работника на передачу, предупреждение получателя о целях передачи | ст. 88 ТК РФ; ч. 3 ст. 6 152-ФЗ |
| Техническая защита информационной системы персональных данных | Организационные и технические меры по приказу ФСТЭК России № 21 | Определение уровня защищённости и актуальных угроз | ст. 19 152-ФЗ; постановление Правительства № 1119 |
| Уведомление Роскомнадзора | Не передаётся | Уведомление до начала обработки, сообщение об изменениях не позднее 15-го числа следующего месяца | ч. 1 и ч. 7 ст. 22 152-ФЗ |
| Политика обработки и ответственный | Подготовка проектов документов | Утверждение политики и ЛНА, назначение ответственного за организацию обработки | ст. 18.1, 22.1 152-ФЗ |
| Инцидент с утечкой | Уведомление оператора об инциденте | Уведомление Роскомнадзора в течение 24 часов, результаты внутреннего расследования в течение 72 часов | ч. 3.1 ст. 21 152-ФЗ |
| Уничтожение данных после достижения цели | Уничтожение данных на своей инфраструктуре | Контроль срока 30 дней и подтверждение уничтожения | ч. 4 ст. 21 152-ФЗ; приказ Роскомнадзора № 179 |
В каждой строке правый столбец сохраняет за оператором хотя бы одно действие, которое нельзя делегировать без потери контроля. Если при подготовке договора для строки нет понятного исполнителя на стороне работодателя, эта обязанность повиснет между сторонами и всплывёт при первой проверке или первом инциденте.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Внимание: внешние подрядчики по проверке кандидатов принимают данные по защищённой почте, на флешках, через мессенджеры — кому как удобно. Способ передачи согласуется при заключении договора, поэтому канал стоит зафиксировать в поручении, а не оставлять на выбор сотрудника.
Когда передавать обработку подрядчику не стоит
Поручение не спасает передачу данных, если её законность не обеспечена на стороне работодателя. Отложите передачу или смените подрядчика в трёх ситуациях:
- письменные согласия работников на передачу третьей стороне не собраны, а законное исключение из статьи 88 ТК РФ документально не подтверждено;
- подрядчик не называет, где физически хранятся данные и кто получает к ним доступ, или использует базы данных за пределами России при сборе данных граждан РФ;
- подрядчик не готов включить в договор обязанность уведомлять оператора об инцидентах в срок, который позволит самому оператору уложиться в 24 часа.
Как передать обработку персональных данных подрядчику: пошаговая инструкция
- Шаг 1. Определите цели, перечень персональных данных и действия, которые нужны подрядчику. Всё, что не нужно для цели, в выгрузку не включается.
- Шаг 2. Проверьте подрядчика: место хранения баз данных, полный перечень лиц с доступом, разграничение доступа по ролям, журнал обращений, для внешней службы безопасности — статус оператора в реестре Роскомнадзора.
- Шаг 3. Подпишите поручение со всеми условиями части 3 статьи 6 152-ФЗ, включая срок уведомления оператора об инциденте в часах и канал передачи данных.
- Шаг 4. Получите письменные согласия работников или кандидатов отдельным документом, назвав в них подрядчика и цель передачи.
- Шаг 5. Обновите политику обработки, ЛНА и, если изменились сведения из уведомления, сообщите о них Роскомнадзору не позднее 15-го числа следующего месяца.
- Шаг 6. Передайте первую выгрузку и зафиксируйте её состав и дату.
- Шаг 7. При окончании договора получите архив в полном комплекте и подтверждение уничтожения данных на стороне подрядчика.
Согласие на обработку персональных данных при работе с подрядчиком
С 1 сентября 2025 года часть 1 статьи 9 152-ФЗ требует оформлять согласие на обработку персональных данных отдельно от иных документов, которые субъект подписывает или подтверждает. Пункт о согласии внутри трудового договора, анкеты кандидата или заявления о приёме больше не работает. Доказать, что согласие или иное законное основание есть, обязан оператор.
Подрядчик по поручению согласие не собирает: часть 4 статьи 6 прямо освобождает его от этой обязанности. Поэтому бланк на обработку персональных данных и порядок его подписания — зона работодателя. Для работников по трудовому договору к этому добавляется статья 88 ТК РФ: сообщать их данные третьей стороне без письменного согласия нельзя, кроме прямо установленных исключений, а получателя работодатель обязан предупредить о целях передачи и потребовать использовать данные только для этих целей. Официального разъяснения Роскомнадзора или Минтруда именно для бухгалтерского аутсорсинга и облачного КЭДО на дату публикации нет, поэтому надёжный вариант — письменное согласие, где названы подрядчик и цель.
Мария Ж, юрист со стажем более 20 лет: «Кадровые документы содержат чувствительные сведения: о семье, здоровье, доходах. Как только они уходят внешнему провайдеру, появляется третье лицо, и передача должна опираться на согласие работника. Поэтому выбор облачного решения — не только технический выбор: вместе с ним вы берёте обязанность собрать согласия и объяснить людям, кому именно передаёте их данные.»
Требования к работникам по трудовому договору не переносятся автоматически на исполнителей по договору ГПХ и самозанятых: статья 88 ТК РФ на них не распространяется, для них основание обработки и передачи определяется по 152-ФЗ. Кандидат тоже не работник, и для проверки его данных внешней службой безопасности нужен отдельный документ о согласии на проверку.
Важный нюанс из практики: внешние службы безопасности, работающие с кандидатами, как правило, сами являются операторами персональных данных с уведомлением в Роскомнадзоре. Согласие кандидата получает заказчик, а подрядчик начинает проверку, только убедившись, что согласие действительно есть. Отчёт о кандидате остаётся между заказчиком и подрядчиком: кандидату сообщают итог, а причины отказа обычно не раскрывают.
Соберите согласие на обработку персональных данных с целями и сроком
Шаблоны согласий и правил обработки персональных данных
Начните с согласия на обработку: его форма понадобится для любого подрядчика, а правила обработки задают внутренний порядок, на который ссылается поручение.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных (DOCX) | Скачать |
| Согласие кандидата на проверку службой безопасности (DOCX) | Скачать |
| Правила обработки персональных данных (PDF) | Скачать |
Облачный КЭДО: где хранятся данные и кто получает к ним доступ
При облачной модели кадровые документы уходят провайдеру системы. Если подписи выпускает другой удостоверяющий центр, данные получает и он, а если провайдер арендует серверы — ещё и владелец инфраструктуры. Каждый из них — третье лицо, которое нужно назвать работнику в согласии и учесть в поручении.
С 1 июля 2025 года часть 5 статьи 18 152-ФЗ запрещает при сборе данных граждан РФ записывать, систематизировать, накапливать, хранить, уточнять и извлекать их с использованием баз данных за пределами России, кроме прямо перечисленных в законе случаев. Для облачного сервиса это означает простой вопрос к договору: в какой стране физически расположены серверы с основной базой и её резервными копиями.
Мария Ж, специалист по цифровой подписи и КЭДО: «Формулировка «данные хранятся защищённо» ничего не проверяет. Задайте вендору прямой вопрос: перечислите всех, кто получит доступ к данным, и попросите именно список лиц. Обычно в нём оказывается не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр.»
До подписания договора с провайдером КЭДО стоит получить письменные ответы на шесть вопросов:
- где физически хранятся данные и полный перечень лиц, получающих к ним доступ;
- какие виды подписи поддерживаются с обеих сторон и можно ли их комбинировать;
- есть ли интеграция с сервисом государственных электронных подписей;
- выгружается ли комплект документа в требуемом формате: документ, файл подписи, доверенность;
- есть ли разграничение доступа по ролям и журнал обращений;
- что происходит с архивом при расторжении договора и в каком виде отдаются документы.
В Добыто ПЭП и УНЭП для сотрудников выпускаются на всех тарифах, а УКЭП работник получает через партнёров — удостоверяющие центры. Это пример цепочки, в которой у работодателя появляется ещё одно третье лицо, и его нужно назвать в согласии. Для компаний, которым нужна отдельная инфраструктура, в тарифе «Корпорация» Добыто предусмотрен выделенный сервер.
Отдельный поток данных возникает при интеграции КЭДО с учётной системой. Кадровые данные, штатное расписание и документы живут в 1С, а подписание, маршруты и архив — в системе КЭДО, и между ними идёт встречный обмен: документ уходит на подпись и возвращается подписанным со статусом. В Добыто для этого есть готовый модуль для 1С:ЗУП, документы синхронизируются автоматически. Для поручения это значит, что в перечне операций должна быть и синхронизация, а в перечне данных — те поля, которые реально уходят из 1С.
Важный нюанс из практики: на вебинаре разработчика КЭДО аудиторию спросили о критериях выбора системы. Самым популярным ответом стало хранение персональных данных только на своих серверах, а интеграция с сервисом государственных подписей набрала меньше голосов, чем интерфейс. Хранение данных — вопрос, за который в компании отвечает конкретный человек и по которому бывают проверки, поэтому он и оказался наверху списка.
Внешняя служба безопасности: какие данные кандидата передавать
Компании малого и среднего бизнеса, которым невыгодно содержать собственную службу безопасности, отдают проверку кандидатов на аутсорсинг. Базовая проверка включает судимость, административные правонарушения, задолженности по налогам и перед банками, аффилированность кандидата и его родственников с другими бизнесами, исполнительные производства ФССП, розыск МВД, действительность паспорта и водительского удостоверения. На подробный отчёт по одному человеку подрядчик тратит в среднем около часа.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Для такой проверки подрядчику передают ФИО, дату рождения, ИНН и паспортные данные, которые кандидат предоставил работодателю вместе с согласием на обработку. Остальное проверяющий находит в открытых источниках. Проверка идёт онлайн, без участия кандидата; личное собеседование с сотрудником службы безопасности назначают выборочно, если онлайн-проверка оставила спорные вопросы.
Ручной анализ здесь не формальность. Автоматизированные сервисы проверки физических лиц выдают совпадения по однофамильцам и ошибкам в одной букве фамилии, и без сверки кандидату можно приписать чужие штрафы или долги. В поручении подрядчику стоит закрепить, что заключение готовит специалист, а не только система.
Полезно знать: внешняя служба безопасности даёт экспертное заключение со стоп-факторами и рисками, а решение о найме принимает заказчик. Данные кандидата подрядчик после выполнения задачи через определённый срок удаляет, и сведения остаются только у заказчика.
Перед первой передачей проверьте, что подрядчик включён в реестр операторов Роскомнадзора, и запросите у него срок удаления данных в днях. Этот срок переносится в поручение.
Что работодатель не передаёт никому: уведомление, политика, инциденты
По части 1 статьи 22 152-ФЗ оператор по общему правилу уведомляет Роскомнадзор о намерении обрабатывать персональные данные до начала обработки, а ведомство вносит сведения в реестр в течение 30 дней после получения уведомления. Об изменении сведений оператор сообщает не позднее 15-го числа месяца, следующего за месяцем изменений, о прекращении обработки — в течение 10 рабочих дней. Подать уведомление можно через форму уведомления оператора на портале персональных данных Роскомнадзора.
Статьи 18.1 и 22.1 обязывают оператора назначить ответственного за организацию обработки персональных данных, утвердить политику и локальные акты, а статья 19 — принимать правовые, организационные и технические меры защиты. Технические меры по приказу ФСТЭК России от 18.02.2013 № 21 может выполнять подрядчик, но уровень защищённости информационной системы определяется по постановлению Правительства от 01.11.2012 № 1119: оно устанавливает 4 уровня в зависимости от категорий данных, числа субъектов и типа актуальных угроз. Оценку вреда, который может быть причинён субъектам, оператор проводит по требованиям приказа Роскомнадзора от 27.10.2022 № 178, действующего с 1 марта 2023 года до 1 марта 2029 года.
Мария Ж, судебный эксперт по трудовому праву: «Требование разграничения доступа одинаково работает и для бумажного архива, и для облачной системы. Доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Настройте роли так, чтобы каждый сотрудник видел только документы своего участка, и проверьте, что система ведёт журнал обращений.»
Инцидент с неправомерной или случайной передачей данных, нарушивший права субъектов, оператор сообщает Роскомнадзору в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21). Если утечка произошла у подрядчика, отсчёт для оператора от этого не сдвигается. В поручении фиксируется срок уведомления оператора в часах и контактное лицо на стороне работодателя, которое принимает сообщение в любое время.
Коммерческая тайна и соглашение о конфиденциальности с подрядчиком
Режим коммерческой тайны по статье 10 Федерального закона от 29.07.2004 № 98-ФЗ требует 5 мер: определить перечень сведений, ограничить доступ и установить порядок обращения с ними, вести учёт лиц, получивших доступ, урегулировать использование сведений работниками и контрагентами, нанести на носители гриф «Коммерческая тайна» с указанием обладателя. Соглашение о конфиденциальности с подрядчиком закрывает четвёртую меру, но не заменяет поручение: условия части 3 статьи 6 152-ФЗ (перечень данных и действий, цели, требования статьи 19, уведомление об инцидентах) в типовом NDA обычно отсутствуют. Практичнее оформить оба документа или одно поручение, которое включает и обязательства по коммерческой тайне.
Во что обходится ошибка в распределении зон
С 30 мая 2025 года статья 13.11 КоАП РФ в редакции Федерального закона от 30.11.2024 № 420-ФЗ предусматривает для юридических лиц следующие штрафы:
| Нарушение | Часть ст. 13.11 КоАП РФ | Штраф для юрлица |
|---|---|---|
| Обработка без письменного согласия, когда оно обязательно | ч. 2 | 300-700 тыс. руб. |
| То же, повторно | ч. 2.1 | 1-1,5 млн руб. |
| Неуведомление Роскомнадзора о намерении обрабатывать данные | ч. 10 | 100-300 тыс. руб. |
| Нарушение сроков или порядка уведомления об инциденте | ч. 11 | 1-3 млн руб. |
| Нарушение локализации баз данных | ч. 8 / повторно ч. 9 | 1-6 млн руб. / 6-18 млн руб. |
| Утечка данных 1 000-10 000 субъектов или 10 000-100 000 идентификаторов | ст. 13.11 | 3-5 млн руб. |
| Повторные нарушения, указанные в ч. 15 | ч. 15 | 1-3% годовой выручки, не менее 20 млн и не более 500 млн руб. |
Все санкции из таблицы адресованы оператору. Подрядчик отвечает перед работодателем по договору, поэтому в поручение стоит включить порядок возмещения штрафов и расходов, если инцидент произошёл на его стороне: без такого пункта взыскание пойдёт по общим правилам о договорной ответственности.
Как завершить работу с подрядчиком и забрать кадровый архив
Окончание договора с подрядчиком запускает сразу две обязанности оператора. По части 4 статьи 21 152-ФЗ при достижении цели обработки данные уничтожаются не позднее 30 дней, если не действуют исключения, установленные законом. Уничтожение на стороне подрядчика подтверждается по требованиям приказа Роскомнадзора от 28.10.2022 № 179, который действует с 1 марта 2023 года.
Вторая обязанность — сохранить кадровые документы на весь срок хранения. Графики отпусков и табели хранятся 5 лет, трудовые договоры и приказы по личному составу — 50 или 75 лет, штатные расписания и ЛНА — постоянно, и в КЭДО эти сроки те же. Срок работы с провайдером почти всегда короче срока хранения, поэтому выгрузка архива — обязательная часть выхода из договора.
Форматы кадровых электронных документов задаёт Минтруд, а сроки и правила хранения — Росархив. Для документа, подписанного усиленной электронной подписью, в комплект хранения входят файл в XML, отдельный файл подписи, PDF и доверенность, если документ подписан по ней.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Спрашивайте у вендора не о том, хранит ли система документы, а о том, выгружает ли она комплект целиком в требуемом формате. При проверке, при споре или при смене оператора вам понадобится не картинка на экране, а файлы: сам документ, файл подписи и доверенность. Попросите тестовую выгрузку одного личного дела ещё до подписания договора.»
Факт: если кадровый документ подписывает уполномоченный работник, машиночитаемая доверенность становится обязательной частью кадрового документа и входит в комплект хранения. При увольнении такого работника первой отзывается доверенность.
При расторжении договора получите от подрядчика три результата: полный архив в формате, пригодном для загрузки в другую систему, подтверждение уничтожения данных на его стороне и перечень лиц, у которых оставался доступ до даты уничтожения. В Добыто документы синхронизируются с 1С:ЗУП через готовый модуль, поэтому перед выгрузкой архива полезно сверить, какой комплект хранится в каждой из систем.
Стоимость КЭДО с хранением кадровых данных: тарифы Добыто на 2026 год
Стоимость зависит от численности сотрудников, видов подписи и требований к инфраструктуре: для отдельного сервера и SLA условия рассчитываются по запросу.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, электронный архив, интеграция с 1С | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата тарифа «Бизнес» (50 сотрудников) | 30 000 ₽ в год | год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | в рамках тарифа |
| Модуль для 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
| УКЭП для сотрудников через партнёров — удостоверяющие центры | по запросу | по запросу |
Итоговая сумма складывается из численности сотрудников, выбранного тарифа и нужных видов подписи; тариф можно повысить или понизить в любое время, разница при повышении пересчитывается пропорционально оставшемуся периоду. Актуальные условия по каждому уровню опубликованы на странице тарифов Добыто КЭДО, цены в таблице приведены на дату публикации.
Выводы
Подрядчик может хранить, систематизировать, проверять и защищать персональные данные, но делает это только в рамках поручения, где названы данные, операции, цели и требования к защите. Основания обработки, согласия, уведомления Роскомнадзора, политика, реакция на инцидент в пределах 24 и 72 часов и контроль уничтожения остаются за работодателем, и штрафы по статье 13.11 КоАП адресованы ему же. Проверка подрядчика до первой выгрузки и выгрузка архива при расторжении договора закрывают две точки, где контроль чаще всего теряется.
Добыто работает как раз в этой зоне: сервис берёт на себя хранение кадровых документов, выпуск подписей сотрудникам и обмен с 1С, а работодатель сохраняет управление доступом, согласиями и архивом.
Частые вопросы
Можно ли отнести сведения о зарплатах работников к коммерческой тайне?
Нет. Пункт 5 статьи 5 Федерального закона № 98-ФЗ запрещает относить к коммерческой тайне сведения о численности и составе работников, системе оплаты труда, условиях и охране труда, показателях производственного травматизма и вакантных рабочих местах. Защищать эти данные при передаче подрядчику нужно через поручение и требования 152-ФЗ, а не через гриф «Коммерческая тайна».
Что делать с данными кандидата, которому отказали в найме?
Цель обработки достигнута, поэтому по части 4 статьи 21 152-ФЗ данные уничтожаются не позднее 30 дней, если закон не устанавливает исключение или кандидат не дал отдельное согласие на включение в кадровый резерв. Если проверку проводил подрядчик, срок удаления данных на его стороне фиксируется в поручении, а уничтожение подтверждается по приказу Роскомнадзора № 179.
Какой уровень защищённости нужен кадровой системе, если её обслуживает подрядчик?
Уровень определяется по постановлению Правительства от 01.11.2012 № 1119: всего их 4, и выбор зависит от категорий обрабатываемых данных, числа субъектов и типа актуальных угроз. Кадровые системы содержат сведения о здоровье работников, что влияет на категорию. Подрядчик выполняет меры из приказа ФСТЭК России № 21, но исходные данные для расчёта уровня и итоговое решение остаются у оператора.
Можно ли передать кадровые данные подрядчику за рубежом?
Первичная запись, хранение и обновление данных граждан РФ по части 5 статьи 18 152-ФЗ идут только в базах данных на территории России, за нарушение юрлицу грозит штраф 1-6 млн руб. по части 8 статьи 13.11 КоАП. Передача за рубеж возможна только как трансграничная передача по статье 12 152-ФЗ. С 26 июля 2026 года, после изменений по Федеральному закону № 265-ФЗ, при включении страны в перечень государств с адекватной защитой учитываются её нормы о персональных данных и применяемые меры защиты, соответствующие Конвенции Совета Европы.
Нужно ли сообщать Роскомнадзору о смене подрядчика?
Если смена подрядчика меняет сведения, указанные в уведомлении оператора, например место нахождения базы данных, изменения подаются не позднее 15-го числа месяца, следующего за месяцем изменений (часть 7 статьи 22 152-ФЗ). Если сведения уведомления не меняются, повторная подача не требуется, но новое поручение и обновлённые согласия работников оформляются в любом случае.
Отвечает ли подрядчик перед работником, если утечка произошла у него?
Перед работником отвечает оператор, подрядчик отвечает перед оператором (часть 5 статьи 6 152-ФЗ). Работник предъявляет требования работодателю, а тот взыскивает убытки с подрядчика по договору. Верховный суд в постановлении № 5-АД25-119-К2 от 21.01.2026 подтвердил, что ссылка на вину подрядчика не освобождает оператора от административной ответственности.
