Вопросы по обработке персональных данных, которые задают на проверке, почти полностью предсказуемы: Роскомнадзор работает по проверочному листу из 67 пунктов, утверждённому приказом Роскомнадзора от 24.12.2021 № 253, а ГИТ смотрит исполнение главы 14 ТК РФ. Проверяющий спросит, подано ли уведомление об обработке, кто назначен ответственным, где опубликована политика, как оформлено согласие на обработку персональных данных, кому вы передаёте данные и как уничтожаете их после достижения цели. С 1 сентября 2025 года согласие оформляется отдельным документом: вписать его в трудовой договор или анкету нельзя. Роскомнадзор проверяет оператора по 152-ФЗ целиком, по всем категориям субъектов, ГИТ — только данные работников в трудовых отношениях и ознакомление с ЛНА.
Ниже вопросы проверяющих сгруппированы по блокам: к каждому указан документ, который его закрывает, и норма, на которую ссылается инспектор. Покажем, где согласие обязательно, а где работодатель обрабатывает данные без него, как отвечать на вопросы о передаче данных облачному провайдеру КЭДО и чем режим персональных данных отличается от коммерческой тайны. Сроки ответов субъектам и уничтожения данных, штрафы по статье 13.11 КоАП в редакции 2025 года, пошаговая подготовка к проверке, образцы документов и ответы на частые вопросы — во второй половине статьи.
Кто проверяет обработку персональных данных и по какому списку вопросов
Плановая проверка Роскомнадзора проходит по проверочному листу: форма утверждена приказом от 24.12.2021 № 253 и изменена приказом от 10.01.2023 № 1. Каждый из 67 вопросов сформулирован так, что ответ «да» или «нет» привязан к конкретной статье 152-ФЗ. Готовиться к проверке удобнее по этому листу, чем по общему пересказу закона: инспектор идёт по тем же пунктам в том же порядке.
ГИТ заходит в тему персональных данных с другой стороны. Инспектор труда проверяет трудовое законодательство, поэтому смотрит статьи 86-90 ТК РФ: получены ли сведения у самого работника, ознакомлен ли он под подпись с документами о порядке обработки, не передавались ли данные третьим лицам без письменного согласия.
Различия между двумя проверками сведены в таблицу.
| Параметр | Роскомнадзор | ГИТ |
|---|---|---|
| Предмет проверки | Соблюдение 152-ФЗ по всем субъектам: работники, кандидаты, родственники работников, клиенты, посетители сайта | Глава 14 ТК РФ: персональные данные работников в трудовых отношениях |
| Перечень вопросов | Проверочный лист, приказ Роскомнадзора от 24.12.2021 № 253 в редакции приказа от 10.01.2023 № 1, 67 вопросов | Вопросы по статьям 86-90 ТК РФ в рамках проверки трудового законодательства |
| Что запрашивают в первую очередь | Уведомление об обработке, приказ о назначении ответственного, политику, ЛНА, согласия, договоры поручения обработки, документы об уничтожении | Положение о персональных данных работников, листы ознакомления, согласия на передачу данных третьим лицам |
| Статья КоАП | Статья 13.11 КоАП | Статья 5.27 КоАП (нарушение трудового законодательства) |
Для работодателя вывод практический: один комплект документов должен отвечать сразу двум регуляторам. Положение о персональных данных, которое закрывает вопросы ГИТ, не заменяет уведомление и политику оператора, о которых спросит Роскомнадзор. Проверьте, что у вас есть документ под каждую строку таблицы.
Вопросы о статусе оператора: уведомление, ответственный, политика
Первый вопрос Роскомнадзора — подано ли уведомление о намерении обрабатывать персональные данные по статье 22 152-ФЗ. С 1 сентября 2022 года, после поправок Федерального закона от 14.07.2022 № 266-ФЗ, уведомлять регулятора обязаны и работодатели, которые обрабатывают данные только по трудовому законодательству. Исключения в части 2 статьи 22 узкие: обработка исключительно без средств автоматизации, данные в государственных информационных системах для защиты безопасности и общественного порядка, обработка по законодательству о транспортной безопасности. Если кадровый учёт ведётся в 1С или в системе КЭДО, исключение не применяется.
Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180. Подать его можно через электронную форму уведомления на портале персональных данных Роскомнадзора: там же размещены формы информационного письма о внесении изменений и о прекращении обработки. Сведения об операторе вносятся в реестр не позднее 30 дней с даты регистрации уведомления.
На проверке инспектор сравнивает уведомление с фактической обработкой: цели, категории данных и субъектов, место нахождения базы данных, третьих лиц, трансграничную передачу. Об изменениях оператор сообщает не позднее 15-го числа месяца, следующего за месяцем изменений, о прекращении обработки — в течение 10 рабочих дней. Уведомление, поданное в 2022 году и ни разу не обновлённое после смены кадровой системы или хостинга, вызывает вопрос на проверке. Откройте свою запись в реестре операторов и сверьте её с текущими процессами.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Ответственный за организацию обработки и локальные акты
Статья 18.1 152-ФЗ перечисляет меры, которые оператор обязан принять, и проверочный лист идёт по ним последовательно:
- приказ о назначении ответственного за организацию обработки персональных данных (статья 22.1);
- политика оператора в отношении обработки персональных данных;
- локальные акты по вопросам обработки, в том числе о процедурах выявления и предотвращения нарушений;
- внутренний контроль соответствия обработки 152-ФЗ;
- оценка вреда, который может быть причинён субъектам, по требованиям приказа Роскомнадзора от 27.10.2022 № 178;
- ознакомление работников, которые обрабатывают персональные данные, с требованиями закона и локальными актами.
Политика публикуется или иным образом делается общедоступной. Если данные собираются через сайт, политика размещается на этом сайте. За невыполнение обязанности опубликовать политику часть 3 статьи 13.11 КоАП предусматривает штраф для юрлица от 30 000 до 60 000 рублей. Вопрос «где опубликована политика» задают в начале проверки, ответ на него — ссылка на страницу, где политика открывается без авторизации.
Мария Ж, юрист со стажем более 20 лет: «Хранение кадровых данных — вопрос, за который отвечает конкретный человек и по которому бывают проверки. Поэтому ответственный по приказу должен знать, где физически лежит кадровый массив и кто к нему имеет доступ, а не только подписывать политику. Перед проверкой попросите его перечислить эти места и лица без подсказок.»
Вопросы о согласии на обработку персональных данных
С 1 сентября 2025 года, после поправок Федерального закона от 24.06.2025 № 156-ФЗ в статью 9 152-ФЗ, согласие на обработку персональных данных оформляется отдельно от иных документов, которые подписывает субъект. Пункт о согласии внутри трудового договора, анкеты кандидата или заявления о приёме больше не работает как согласие. Согласия, полученные до 1 сентября 2025 года, закон переоформлять не требует, но всех, кого приняли после этой даты, инспектор проверит по новым правилам.
Письменное согласие по части 4 статьи 9 152-ФЗ содержит 9 обязательных реквизитов:
- ФИО и адрес субъекта, номер основного документа, удостоверяющего личность, дата его выдачи и выдавший орган;
- ФИО, адрес и реквизиты документа представителя, если согласие даёт представитель;
- наименование или ФИО и адрес оператора;
- цель обработки персональных данных;
- перечень персональных данных, на обработку которых даётся согласие;
- наименование или ФИО и адрес лица, которое обрабатывает данные по поручению оператора, если обработка поручена;
- перечень действий с данными и общее описание способов обработки;
- срок действия согласия и способ его отзыва, если иное не установлено федеральным законом;
- подпись субъекта.
Инспектор берёт выборку согласий и проверяет их по этому перечню. Типовые замечания: цель сформулирована как «в целях исполнения законодательства» без конкретики, не указан провайдер, которому поручена обработка, нет срока действия. Согласие в электронной форме, подписанное электронной подписью по 63-ФЗ, признаётся равнозначным согласию на бумаге с собственноручной подписью.
Обработка без письменного согласия там, где оно обязательно, или согласие без обязательных сведений квалифицируются по части 2 статьи 13.11 КоАП: для юрлица штраф от 300 000 до 700 000 рублей, для должностного лица от 100 000 до 300 000 рублей. При повторном нарушении по части 2.1 штраф для юрлица составляет от 1 000 000 до 1 500 000 рублей. Возьмите три согласия, подписанных после 1 сентября 2025 года, и сверьте их с перечнем выше.
Когда согласие работника не требуется
Работодатель обрабатывает большую часть кадровых данных без отдельного согласия: основания даёт часть 1 статьи 6 152-ФЗ, если обработка нужна для исполнения трудового договора и обязанностей, возложенных на оператора законом. Сведения для Социального фонда России, налоговой отчётности и воинского учёта передаются по закону, согласие на такую передачу не собирают.
Согласие обязательно в трёх группах случаев, и о каждой инспектор спросит отдельно:
- передача данных третьей стороне, если её не требует закон: статья 88 ТК РФ запрещает сообщать данные работника без его письменного согласия, кроме случаев, когда это нужно для предупреждения угрозы жизни и здоровью работника, и случаев, установленных ТК РФ или федеральными законами;
- распространение данных, то есть раскрытие неопределённому кругу лиц: фото и должность на сайте, поздравления с днём рождения в открытом канале. Для этого по статье 10.1 152-ФЗ нужно отдельное согласие на распространение, общее согласие его не заменяет;
- специальные категории данных, включая сведения о здоровье, сверх того, что обработка допускается по трудовому законодательству (статья 10 152-ФЗ).
Для работника со стороны проверки картина обратная: если работодатель выложил его фото на сайт без согласия на распространение, это нарушение, по которому работник вправе обратиться в Роскомнадзор. Составьте реестр всех мест, где данные работников видны за пределами кадровой службы, и проверьте под каждое наличие согласия на распространение.
Согласие кандидата и проверка службой безопасности
По кандидатам Роскомнадзор задаёт два вопроса: на каком основании вы храните резюме и что делаете с данными после отказа. Если кандидат сам направил резюме работодателю, регулятор исходит из того, что он выразил согласие действием. Если резюме пришло через кадровое агентство, согласие кандидата на передачу данных работодателю должно быть у агентства. После отказа в приёме данные кандидата уничтожаются в течение 30 дней, если он не дал согласия на включение в кадровый резерв.
Проверка кандидата службой безопасности — отдельная цель обработки. Служба безопасности запрашивает сведения из внешних источников, поэтому по статье 86 ТК РФ работодатель заранее уведомляет человека и получает его письменное согласие. В анкете этот пункт не работает: после 1 сентября 2025 года согласие на проверку оформляется отдельным документом.
Факт: без подписанного кандидатом согласия проверка его персональных данных службой безопасности неправомерна. Согласие берут до запросов во внешние источники, а не после получения результата.
Образцы согласий и правил обработки персональных данных
Комплект закрывает вопросы о согласиях и локальных актах; начните с образца согласия на обработку персональных данных и сверьте его с 9 реквизитами из части 4 статьи 9 152-ФЗ.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных (образец, DOCX) | Скачать |
| Согласие кандидата на проверку службой безопасности (образец, DOCX) | Скачать |
| Правила обработки персональных данных (PDF) | Скачать |
Вопросы о передаче, хранении и доступе к персональным данным
Если расчёт зарплаты ведёт аутсорсер, кадровые документы лежат в облачной системе, а медосмотры организует подрядчик, проверяющий попросит договоры с каждым из них. Обработка по поручению оператора допускается по части 3 статьи 6 152-ФЗ, и в договоре поручения должны быть указаны перечень действий с данными, цели обработки, обязанность исполнителя соблюдать конфиденциальность и требования к защите данных по статье 19. Ответственность перед субъектом за действия исполнителя по части 5 статьи 6 несёт оператор.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Отдельный вопрос — где находится база данных. Часть 5 статьи 18 152-ФЗ требует, чтобы при сборе данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение шли с использованием баз данных на территории России. Если данные передаются за рубеж, например иностранному сервису рассылок или головной компании, до начала трансграничной передачи в Роскомнадзор направляется отдельное уведомление по статье 12.
Кадровые документы в облачной системе КЭДО
Когда кадровые документы хранятся у облачного провайдера, у данных появляются третьи лица: сам провайдер, владелец серверов, если инфраструктура арендована, и удостоверяющий центр, если подписи выпускает он. На проверке спросят, кто из них получает доступ и на каком основании.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Кадровые документы содержат чувствительные сведения о семье, здоровье и доходах. Как только они уходят к внешнему провайдеру, появляется третье лицо, и передачу ему данных нужно основать на согласии работника и объяснить людям, кому именно данные передаются. Поэтому у вендора я прошу не формулировку «данные хранятся защищённо», а перечень всех, кто получит доступ. Обычно в нём три компании: провайдер, владелец инфраструктуры и удостоверяющий центр.»
Этот перечень переносится в три документа: в согласие работника (реквизит о лице, которому поручена обработка), в уведомление Роскомнадзора (третьи лица и место нахождения базы данных) и в договор поручения. Расхождение между ними инспектор видит сразу. Платформа Добыто работает по требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ, а для компаний, которым нужно держать данные на отдельной инфраструктуре, в тарифе «Корпорация» предусмотрен выделенный сервер.
Внимание: доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Доступ к документам разграничивается по ролям, а обращения к ним фиксируются в журнале.
Согласие на переход на КЭДО по статье 22.1 ТК РФ и согласие на обработку персональных данных — разные документы с разными основаниями, и одно не заменяет другое. Инспектор ГИТ спросит про первое, инспектор Роскомнадзора — про второе.
Мария Ж, специалист по цифровой подписи и КЭДО: «Работники, чья трудовая деятельность началась до 1 января 2022 года, вправе отказаться от перехода на КЭДО, для тех, чей стаж начался позже, отдельное согласие не требуется. Если у вас много людей со стажем до 2022 года, закладывайте на сбор согласий отдельное время. Отказавшихся придётся вести в бумажном режиме параллельно, и это часть плана перехода.»
Согласие на обработку персональных данных в электронном виде тоже оформляется отдельным действием. В сервисе подписания Добыто согласие на обработку персональных данных отмечается отдельным чекбоксом рядом с кнопкой «Подписать», а не подразумевается загрузкой документа.
Персональные данные и коммерческая тайна
Конфиденциальность персональных данных установлена статьёй 7 152-ФЗ и действует независимо от решения работодателя. Коммерческая тайна работает иначе: режим по статье 10 Федерального закона от 29.07.2004 № 98-ФЗ «О коммерческой тайне» считается установленным, только когда обладатель определил перечень информации, ограничил доступ к ней, ведёт учёт лиц с доступом, урегулировал отношения с работниками и контрагентами и нанёс гриф «Коммерческая тайна» с указанием обладателя. Без этих мер уволить работника за разглашение по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ не получится: суд не признает сведения охраняемой тайной.
Роскомнадзор режим коммерческой тайны не проверяет, но на проверке его путают с защитой персональных данных. Положение о коммерческой тайне не заменяет политику обработки персональных данных, а включение персональных данных в перечень коммерческой тайны не снимает требований 152-ФЗ. Проверьте, что у вас два отдельных комплекта документов и два отдельных листа ознакомления.
Вопросы о сроках: запросы субъектов, уничтожение, утечки
В проверочном листе много вопросов о сроках, и ответ на каждый подтверждается датой в журнале или акте. Сроки по 152-ФЗ, о которых спрашивают чаще всего, сведены в таблицу.
| Ситуация | Срок | Норма 152-ФЗ |
|---|---|---|
| Ответ на запрос субъекта о его данных | 10 рабочих дней, продление ещё на 5 рабочих дней с мотивированным уведомлением | Часть 1 статьи 20 |
| Выявлена неправомерная обработка | Прекратить в течение 3 рабочих дней; если обеспечить правомерность невозможно — уничтожить в течение 10 рабочих дней | Часть 3 статьи 21 |
| Достигнута цель обработки | Уничтожить в течение 30 дней, если иное не предусмотрено законом или договором | Часть 4 статьи 21 |
| Субъект отозвал согласие | Прекратить обработку и уничтожить в течение 30 дней, если нет другого законного основания | Часть 5 статьи 21 |
| Утечка персональных данных | Уведомить Роскомнадзор в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов | Часть 3.1 статьи 21 |
Для кадровых данных правило об уничтожении через 30 дней после достижения цели применяется с оговоркой: личные карточки, приказы по личному составу и другие документы, для которых законодательство об архивном деле устанавливает срок хранения, хранятся весь этот срок и после увольнения. Уничтожают то, что собрано сверх обязательного: копии документов, анкеты кандидатов, данные для разовых мероприятий.
Факт уничтожения подтверждается по требованиям приказа Роскомнадзора от 28.10.2022 № 179: при обработке без средств автоматизации составляется акт об уничтожении, при автоматизированной обработке — акт и выгрузка из журнала регистрации событий в информационной системе. Акт и выгрузка хранятся 3 года с момента уничтожения. На проверке их запрашивают вместе с номенклатурой дел.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Спрашивайте у поставщика системы не о том, хранит ли она документы, а о том, выгружает ли она комплект целиком в требуемом формате. При проверке, при споре или при смене оператора вам понадобится не картинка на экране, а файлы. Проверьте выгрузку на одном документе до того, как она понадобится инспектору.»
Полезно знать: электронный кадровый документ хранится комплектом: сам документ, отдельный файл подписи и доверенность, если документ подписан по ней. Машиночитаемая доверенность входит в комплект хранения, а не прикладывается к процессу отдельно.
Сколько стоит ошибка: штрафы по статье 13.11 КоАП
Федеральный закон от 30.11.2024 № 420-ФЗ с 30 мая 2025 года повысил штрафы по статье 13.11 КоАП и ввёл отдельные составы за утечки. Суммы по вопросам, которые задают на проверке, приведены ниже.
| Нарушение | Часть статьи 13.11 | Должностное лицо, руб. | Юридическое лицо, руб. |
|---|---|---|---|
| Обработка без законного основания или несовместимая с целями сбора | Ч. 1 | 50 000-100 000 | 150 000-300 000 |
| Обработка без письменного согласия или согласие без обязательных сведений | Ч. 2 | 100 000-300 000 | 300 000-700 000 |
| Повторное нарушение по части 2 | Ч. 2.1 | 300 000-500 000 | 1 000 000-1 500 000 |
| Политика не опубликована | Ч. 3 | 6 000-12 000 | 30 000-60 000 |
| Не выполнено требование субъекта об уточнении, блокировании или уничтожении | Ч. 5 | 8 000-20 000 | 50 000-90 000 |
| Не обеспечена сохранность бумажных носителей | Ч. 6 | 8 000-20 000 | 50 000-100 000 |
| Уведомление Роскомнадзора об обработке не подано или подано не в срок | Ч. 10 | 30 000-50 000 | 100 000-300 000 |
| Роскомнадзор не уведомлён об утечке | Ч. 11 | 400 000-800 000 | 1 000 000-3 000 000 |
Штраф для должностного лица назначается конкретному человеку, обычно ответственному за организацию обработки или руководителю, и назначается наряду со штрафом для компании. Сами утечки наказываются по частям 12-15 в зависимости от числа затронутых субъектов, при повторной утечке штраф оборотный: до 3% выручки, но не менее 20 000 000 рублей. Нарушения по частям 3 и 10, а также по форме согласия закрываются документом до прихода инспектора: опубликованной политикой, уведомлением в реестре, согласием по новой форме.
Как подготовиться к проверке по персональным данным
Подготовка начинается с проверочного листа, а не с шаблонов из интернета: к каждому из 67 вопросов нужен конкретный документ или запись в журнале. Если документа нет, ответ «нет» будет зафиксирован в листе, и заменить его устным пояснением на проверке не получится.
Как подготовить ответы к проверке Роскомнадзора и ГИТ: пошаговая инструкция
- Шаг 1. Возьмите проверочный лист по приказу Роскомнадзора от 24.12.2021 № 253 в редакции приказа от 10.01.2023 № 1 и напротив каждого вопроса впишите документ, который его закрывает, и место, где этот документ лежит.
- Шаг 2. Откройте запись компании в реестре операторов и сверьте цели, категории данных, третьих лиц и место нахождения базы данных с фактической обработкой. При расхождении направьте информационное письмо об изменениях не позднее 15-го числа следующего месяца.
- Шаг 3. Проверьте приказ о назначении ответственного, политику и её публикацию на сайте, положение о персональных данных работников, документы о внутреннем контроле и оценке вреда, листы ознакомления работников под подпись.
- Шаг 4. Возьмите выборку согласий, подписанных после 1 сентября 2025 года: каждое должно быть отдельным документом и содержать 9 реквизитов из части 4 статьи 9 152-ФЗ. Отдельно проверьте согласия на распространение для всех данных, опубликованных на сайте и в открытых каналах.
- Шаг 5. Соберите договоры со всеми, кому поручена обработка: расчёт зарплаты, облачная система КЭДО, удостоверяющий центр, медицинские организации. Перечень этих лиц должен совпадать в согласиях, уведомлении и договорах.
- Шаг 6. Поднимите акты об уничтожении персональных данных и выгрузки из журнала регистрации событий за последние 3 года, журнал запросов субъектов с датами ответов, данные по кандидатам, которым отказали.
- Шаг 7. Проверьте разграничение доступа к кадровым документам по ролям и выгрузите из системы КЭДО один полный комплект документа: файл, файл подписи, доверенность, если она была.
- Шаг 8. Назначьте одного сотрудника, который общается с инспектором и передаёт документы по описи с датой передачи.
После восьмого шага у вас остаётся список вопросов, на которые пока нет документа. Этот список и есть план работ до проверки, начинать стоит с пунктов, за которые предусмотрены самые высокие штрафы: согласия и уведомление.
Стоимость КЭДО с хранением кадровых документов: тарифы 2026 года
Стоимость зависит от численности сотрудников, нужных видов электронной подписи и требований к месту хранения данных.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес; минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | по запросу |
| ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входят в тариф |
| УКЭП через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Для задач проверки по персональным данным на выбор тарифа влияют две вещи: нужен ли электронный архив с выгрузкой комплектов и допустимо ли хранение в общей облачной инфраструктуре или нужен выделенный сервер. Условия по своей численности и смене тарифа уточняйте на странице тарифов Добыто КЭДО: при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Выводы
К проверке по персональным данным готовятся по проверочному листу Роскомнадзора и статьям 86-90 ТК РФ: каждому вопросу инспектора соответствует документ, дата или запись в журнале. Больше всего претензий вызывают согласия, оформленные внутри других документов после 1 сентября 2025 года, устаревшее уведомление в реестре операторов и расхождение перечня третьих лиц между согласием, уведомлением и договорами. Сроки уничтожения и ответов субъектам подтверждаются только актами и журналами, поэтому их собирают заранее.
Добыто ведёт кадровые документы в электронном виде с отдельным согласием на обработку персональных данных, разграничением доступа и электронным архивом, из которого комплект документа выгружается для проверки целиком.
Ответы на частые вопросы
Нужно ли согласие на обработку персональных данных от исполнителя по договору ГПХ?
Для исполнения самого договора согласие не требуется: пункт 5 части 1 статьи 6 152-ФЗ разрешает обработку, необходимую для исполнения договора, стороной которого является субъект. Статья 88 ТК РФ на исполнителя не распространяется, но требования 152-ФЗ действуют полностью: для передачи его данных третьим лицам без законного основания, публикации на сайте или проверки службой безопасности нужно отдельное согласие.
Что делать, если работник отозвал согласие на обработку персональных данных?
По части 2 статьи 9 152-ФЗ оператор вправе продолжить обработку без согласия, если для неё есть другое основание из статьи 6, например исполнение трудового договора или обязанностей по налоговому и пенсионному законодательству. Обработку, которая держалась только на согласии, прекращают, а данные уничтожают в течение 30 дней. Документы по личному составу хранятся в сроки, установленные законодательством об архивном деле, отзыв согласия их не сокращает.
Можно ли подписать согласие простой электронной подписью?
Часть 4 статьи 9 152-ФЗ признаёт равнозначным письменному согласие в электронной форме, подписанное электронной подписью по 63-ФЗ. Квалифицированная подпись равнозначна собственноручной в силу закона, для простой и неквалифицированной нужно соглашение между участниками обмена и локальный акт с правилами определения лица по его подписи. Без такого соглашения согласие, подписанное ПЭП, на проверке оспаривается.
Сколько длится выездная проверка Роскомнадзора?
По статье 73 Федерального закона от 31.07.2020 № 248-ФЗ срок выездной проверки не превышает 10 рабочих дней. Для малого предприятия общий срок взаимодействия с проверяющими ограничен 50 часами, для микропредприятия — 15 часами. Время, которое компания тратит на подготовку запрошенных документов, в эти лимиты не входит, поэтому комплект лучше держать собранным.
Штрафуют компанию или ответственного сотрудника?
Могут оштрафовать обоих: по части 3 статьи 2.1 КоАП назначение наказания юридическому лицу не освобождает от ответственности виновное физическое лицо. По статье 13.11 КоАП отдельные размеры установлены для юрлиц и должностных лиц. Кроме административного штрафа, статья 90 ТК РФ допускает дисциплинарную и материальную ответственность работника, который нарушил правила обработки персональных данных.
В какой срок работник вправе получить копии своих данных и документов?
Статья 89 ТК РФ даёт работнику право на бесплатный доступ к своим персональным данным и получение копии любой записи, содержащей их. Копии документов, связанных с работой, по статье 62 ТК РФ выдаются не позднее 3 рабочих дней со дня подачи заявления. Запрос о самой обработке по 152-ФЗ исполняется в течение 10 рабочих дней с возможным продлением на 5 рабочих дней.
