Обучение сотрудников работе с персональными данными закон формулирует мягче, чем принято думать: пункт 6 части 1 статьи 18.1 152-ФЗ обязывает оператора либо ознакомить работников, непосредственно обрабатывающих персональные данные, с положениями законодательства, требованиями к защите, политикой оператора и локальными актами, либо обучить их. Выбор между ознакомлением и обучением остаётся за работодателем, периодичность в законе не установлена, а лицензия на образовательную деятельность для внутреннего курса не нужна. Главное различие, определяющее объём работы, — кто именно обрабатывает данные: кадровая служба, бухгалтерия и администраторы систем закрываются программой с проверкой знаний, остальному штату достаточно ознакомления под роспись по пункту 8 части 1 статьи 86 ТК РФ.
Разберём, как очертить круг обучаемых по ролям и доступам, что включить в программу и чем подтвердить обучение при проверке: приказ, программа, журнал, лист ознакомления, тест. Покажем, почему сертификат внутреннего курса и удостоверение о повышении квалификации закрывают разные задачи. Во второй половине статьи — сценарная таблица по ролям, размеры штрафов по статье 13.11 КоАП в редакции 2025 года, стоимость и сроки подключения на 2026 год и ответы на частые вопросы.
Что требует закон: ознакомление, обучение или и то, и другое
Норма сформулирована через союз «и (или)»: оператор обеспечивает ознакомление работников с законодательством о персональных данных и локальными актами, и (или) обучение этих работников. Формально ознакомления под роспись достаточно. На практике инспектор смотрит не на факт подписи, а на то, способен ли работник объяснить, на каком основании он обрабатывает данные и что делает при инциденте, поэтому у кадровой службы и бухгалтерии ознакомление обычно дополняют проверкой знаний.
Вторая норма, из которой вырастает обучение, — часть 4 статьи 22.1 152-ФЗ. Ответственный за организацию обработки персональных данных обязан доводить до сведения работников положения законодательства, локальных актов и требования к защите данных. То есть в компании есть конкретное должностное лицо, у которого обучение персонала входит в перечень обязанностей, и спрашивать за отсутствие обучения будут в первую очередь с него.
Трудовой кодекс добавляет третье требование, о котором забывают чаще остальных. По пункту 8 части 1 статьи 86 ТК РФ работники и их представители должны быть ознакомлены под роспись с документами работодателя, устанавливающими порядок обработки персональных данных работников, и со своими правами и обязанностями в этой области. Это касается всего штата, а не только тех, кто обрабатывает чужие данные.
| Норма | Что обязывает сделать | Чем подтверждается |
|---|---|---|
| Пункт 6 части 1 статьи 18.1 152-ФЗ | Ознакомить работников, непосредственно обрабатывающих данные, с законодательством, требованиями к защите, политикой и ЛНА и (или) обучить их | Лист ознакомления, программа обучения, журнал учёта, протокол проверки знаний |
| Часть 4 статьи 22.1 152-ФЗ | Возложить на ответственного за организацию обработки доведение до работников норм и требований | Приказ о назначении ответственного, его должностная инструкция |
| Пункт 8 части 1 статьи 86 ТК РФ | Ознакомить под роспись всех работников с порядком обработки их персональных данных, правами и обязанностями | Лист ознакомления с ЛНА, отметка в КЭДО с электронной подписью работника |
| Часть 3.1 статьи 21 152-ФЗ | Уведомить Роскомнадзор об инциденте в течение 24 часов и о результатах внутреннего расследования в течение 72 часов | Инструкция по действиям при инциденте, тема в программе обучения |
| Статья 90 ТК РФ | Установить ответственность за нарушение порядка обработки данных работников | Обязательство о неразглашении, подписанное после ознакомления |
Из таблицы видно, что обучение по персональным данным нельзя закрыть одним документом: каждая норма требует своего следа. Проверить свой статус как оператора и сведения, которые компания сама подала о целях обработки, можно в реестре операторов персональных данных на портале Роскомнадзора: расхождение между заявленными целями и тем, чему вы учите сотрудников, — первое, что бросается в глаза при проверке.
Мария Ж, судебный эксперт по трудовому праву: «Ознакомление и обучение — разные обязанности, и закрывать вторую первой можно только для тех, кто данные не обрабатывает. Для кадровой службы, бухгалтерии и администраторов систем мы всегда добавляем проверку знаний: подпись в листе ознакомления доказывает, что человеку выдали документ, но не доказывает, что он понял порядок действий при утечке. Сверьте свой перечень обрабатывающих работников со списком тех, у кого есть доступ к кадровым системам, — расхождение обычно находится сразу.»
Кого учить: роли, доступы и матрица компетенций
Круг обучаемых определяется не должностями из штатного расписания, а фактическим доступом к персональным данным. Разложите его на четыре контура: кто вносит данные, кто их читает, кто администрирует системы хранения и кто передаёт данные наружу — в банк, в СФР, подрядчику по расчёту зарплаты. Один и тот же специалист по кадрам может попасть сразу в три контура, а руководитель отдела продаж, выгружающий базу клиентов, — только в четвёртый, но именно он создаёт максимальный риск утечки.
Матрица компетенций для этой задачи строится проще, чем для развития персонала: по строкам — роли, по столбцам — блоки знаний (основания обработки, работа с согласиями, режим доступа и носителей, действия при инциденте, права субъекта). В ячейке отмечается требуемый уровень: знать и применять, знать и уметь объяснить проверяющему, достаточно ознакомления. Такая матрица заменяет спор о том, всех ли учить: обучается тот, у кого в строке есть хотя бы одна ячейка выше уровня ознакомления.
В практике Добыто перечень обрабатывающих работников расходится с реальностью по двум типовым позициям: не включают руководителей, которые согласуют выгрузки, и не убирают из доступа тех, кого перевели в другое подразделение. Вторая позиция закрывается разграничением прав по отделам и ролям: список пользователей с доступом виден в разделе сотрудников и сверяется с перечнем за несколько минут.
Сценарная таблица ниже собрана по ролям, которые встречаются в большинстве компаний. Она отвечает на вопрос, что критично именно для этой роли, а что можно оставить на уровне общего ознакомления.
| Роль | Что критично | Что вторично | Чем закрывается |
|---|---|---|---|
| Специалист по кадрам | Основания обработки без согласия, состав данных в личном деле, сроки ответа на обращения работника | Технические меры защиты информационных систем | Программа с проверкой знаний, протокол, журнал учёта |
| Бухгалтер по расчёту зарплаты | Передача данных в банк и СФР, поручение обработки подрядчику, спецкатегории в листках нетрудоспособности | Работа с обращениями субъектов | Программа с проверкой знаний, обязательство о неразглашении |
| Администратор кадровой системы | Разграничение прав доступа, журналирование, действия при инциденте в первые 24 часа | Правила оформления согласий | Программа с проверкой знаний, инструкция администратора |
| Руководитель подразделения | Запрет пересылки данных в личные мессенджеры и почту, порядок доступа новых сотрудников | Детали уведомления Роскомнадзора | Короткий курс с тестом, лист ознакомления |
| Рекрутер | Согласие кандидата до начала проверки, срок хранения резюме, отказ от избыточных вопросов в анкете | Порядок работы с данными действующих работников | Программа с проверкой знаний, шаблон согласия |
| Остальной штат | Права работника, порядок обработки его данных, ответственность за разглашение | Внутренние процедуры кадровой службы | Ознакомление под роспись по пункту 8 части 1 статьи 86 ТК РФ |
Обратите внимание на строку рекрутера: именно на подборе чаще всего возникает обработка без основания, потому что кандидат ещё не работник и трудовой договор его данные не легитимирует. Проверьте, в какой момент у вас появляется подписанное согласие кандидата — до направления его данных в службу безопасности или после.
Факт: у компаний с собственными корпоративными университетами норма обучения составляет 40 часов на сотрудника в год при расходах около 1,3% ФОТ. Обучение по персональным данным занимает в этом объёме единицы часов, поэтому вопрос упирается не в бюджет, а в наличие программы и учёта.
Что включить в программу: минимальный состав тем
Состав тем закон не задаёт, его определяет оператор. Опорой служит тот же пункт 6 части 1 статьи 18.1: работник должен знать положения законодательства о персональных данных, требования к защите, политику оператора и локальные акты. Разворачивается это в шесть блоков, под каждым из которых должен стоять рабочий пример из вашей компании, а не абстрактная формулировка.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
- Понятие персональных данных и специальные категории. Где проходит граница: табельный номер и должность — данные, диагноз в листке нетрудоспособности и сведения о судимости — специальная категория с отдельным режимом.
- Основания обработки. Трудовой договор и требование закона как самостоятельные основания, согласие — как основание для всего, что за их пределами: фото на сайт, проверка кандидата, передача данных в сторонние сервисы.
- Права субъекта и сроки реакции. Работник вправе запросить сведения о своих данных, и на ответ у оператора 10 рабочих дней с возможностью продления. Отдельно проговаривается, кто в компании принимает такой запрос, если он пришёл на общую почту.
- Режим доступа, носителей и рабочих мест. Кому и какие разделы кадровой системы открыты, что нельзя выгружать в личное облако, как передаются сканы внутри компании.
- Действия при инциденте. Кого работник уведомляет в первый час, кто готовит уведомление в Роскомнадзор в течение 24 часов и отчёт о расследовании в течение 72 часов.
- Ответственность. Административная по статье 13.11 КоАП РФ, уголовная по статье 272.1 УК РФ, дисциплинарная вплоть до увольнения за разглашение персональных данных другого работника.
Важный нюанс из практики: руководители тратят до 90% времени обучения на пересказ регламентов и инструкций своими словами, и взрослый человек такой формат почти не удерживает. По персональным данным это видно особенно ясно: после часового монолога сотрудник помнит слово «152-ФЗ» и не помнит, кому сообщать об утечке. Работает обратная схема: выдать материал, назначить срок, проверить через 3 дня коротким тестом на действиях, а не на определениях.
Мария Ж, юрист со стажем более 20 лет: «Взрослый учится лучше, когда добывает знание сам, поэтому мы не собираем аудиторию на лекцию по 152-ФЗ. Материал выдаётся на самостоятельное изучение со сроком, а через 3 дня идёт проверка. Второй приём — разбор в микрогруппе: несколько реальных ситуаций из вашей же практики обсуждаются вместе, и это даёт больше, чем монолог тренера. Возьмите последние спорные запросы на выдачу данных и сделайте из них учебные кейсы.»
Синхронный и асинхронный формат: что выбрать под каждую роль
Синхронное обучение идёт в реальном времени: очный семинар, вебинар, разбор кейсов с ведущим, где вопросы задаются здесь и сейчас. Асинхронное сотрудник проходит сам в удобное время: записанный курс, текстовый модуль, тест в системе обучения. Для темы персональных данных это не вопрос вкуса, а вопрос доказуемости: асинхронный формат оставляет машинный след — дату входа, время прохождения, результат теста, а синхронный требует ручной фиксации в журнале и протоколе.
Доля компаний, совмещающих онлайн и очное обучение, держится в диапазоне 71-82% по разным опросам, и чистый офлайн стал нишевым форматом. Практическая раскладка для персональных данных выглядит так: массовое ознакомление всего штата — асинхронно, обучение кадров, бухгалтерии и администраторов — смешанно, разбор инцидентов и изменений в законе — синхронно, потому что там нужны вопросы и уточнения по конкретным ситуациям компании.
Правило 70-20-10 описывает распределение развития взрослого: 70% приходится на реальные рабочие задачи, 20% — на обучение у коллег и наставника, 10% — на формальные курсы. Для навыков модель рабочая, для персональных данных её приходится ограничивать. Практика не научит сотрудника действовать в первые 24 часа после утечки, если он никогда не видел этой инструкции, а обучение у коллеги в комплаенсе превращается в передачу чужих привычек, включая привычку переслать скан паспорта в мессенджер. Формальные 10% здесь становятся обязательным минимумом с фиксируемым результатом, а роль практики сводится к разбору инцидентов постфактум.
Лайфхак: заложите на обучение от 5 часов в неделю и закрепите это в регламенте. Незакреплённое обучение всегда проигрывает текущим задачам, и программа по персональным данным зависает на этапе «изучим, когда будет время».
Как оформить обучение документально
Документальный след важнее содержания курса: при проверке оценивают не качество слайдов, а комплект бумаг. Минимальный набор — приказ, программа, журнал учёта, лист ознакомления и результат проверки знаний. Всё это ведётся и в электронном виде, если у работников есть электронные подписи и настроен маршрут ознакомления.
Как организовать обучение по персональным данным: пошаговая инструкция
- Шаг 1. Составьте перечень работников, непосредственно обрабатывающих персональные данные, сверив его со списком учётных записей в кадровой и бухгалтерской системах. Утвердите перечень приложением к приказу.
- Шаг 2. Проверьте, назначен ли ответственный за организацию обработки персональных данных и указано ли в его обязанностях доведение норм до работников. Без этого пункта обучение остаётся ничьей задачей.
- Шаг 3. Актуализируйте локальные акты: политику обработки, правила обработки персональных данных, положение о защите данных работников. Учить по устаревшему ЛНА хуже, чем не учить вовсе.
- Шаг 4. Разработайте программу с разбивкой по ролям и укажите объём в часах, формат и способ проверки знаний по каждому блоку.
- Шаг 5. Издайте приказ о проведении обучения: кто обучается, в какие сроки, кто проводит, чем подтверждается результат.
- Шаг 6. Проведите обучение и зафиксируйте прохождение в журнале учёта: дата, тема, форма проведения, состав участников, результат.
- Шаг 7. Проверьте знания тестом и оформите результат протоколом. Тест стройте на действиях: куда сообщать об инциденте, в какой срок ответить работнику на запрос, что делать с резюме отклонённого кандидата.
- Шаг 8. Соберите подписи в листе ознакомления с ЛНА и обязательство о неразглашении, а даты следующего цикла обучения поставьте на контроль вместе с датами пересмотра политики.
В сервисе Добыто лист ознакомления и обязательство о неразглашении оформляются как обычные типы документов: создаётся шаблон, задаётся маршрут с последовательностью подписантов, документ уходит группе сотрудников, а статусы прохождения видны в общей таблице. Кто ознакомился, у кого документ висит в статусе «требует действий», по кому истекает срок — это фильтруется по типу документа и сотруднику, без ручной сверки списков.
После исполнения документ уходит в архив и остаётся доступным сотрудникам с соответствующими правами. Для проверки это принципиально: когда инспектор запрашивает подтверждение ознакомления по конкретному работнику за конкретный год, поиск занимает минуты, а не день перебора папок.
Шаблоны локальных актов и учётных форм по персональным данным
Комплект собран под задачу запуска обучения с нуля: начните с правил обработки персональных данных, потому что именно они задают содержание программы.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Положение об обучении персонала | Скачать |
| Журнал учёта обучения персонала | Скачать |
| Тест проверки знаний после обучения | Скачать |
Сертификат, удостоверение или лист ознакомления: что чем доказывается
Три документа, которые постоянно путают, имеют разную юридическую природу. Удостоверение о повышении квалификации — документ о дополнительном профессиональном образовании по статье 76 Федерального закона от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации». Выдать его вправе только организация с лицензией на образовательную деятельность, а минимальный объём программы повышения квалификации — 16 часов. Сертификат такого статуса не имеет: его выдаёт любая организация и за любой объём, включая внутреннее обучение работодателя.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Документ | Кто выдаёт | Что подтверждает | Когда нужен по теме персональных данных |
|---|---|---|---|
| Удостоверение о повышении квалификации | Организация с лицензией на образовательную деятельность | Освоение программы ДПО объёмом от 16 часов | Для ответственного за организацию обработки и специалиста по защите информации |
| Сертификат о прохождении курса | Любая организация, в том числе сам работодатель | Факт прохождения обучения, статуса документа об образовании не имеет | Для внутреннего курса кадровой службы и бухгалтерии |
| Протокол проверки знаний и журнал учёта | Работодатель | Проведение обучения и его результат по каждому работнику | Основной след выполнения пункта 6 части 1 статьи 18.1 152-ФЗ |
| Лист ознакомления с ЛНА | Работодатель | Доведение до работника документов и его прав под роспись | Для всего штата по пункту 8 части 1 статьи 86 ТК РФ |
Вывод из таблицы простой: удостоверение закрывает квалификацию конкретного специалиста, а обязанность оператора закрывают протокол и лист ознакомления. Компания, купившая 200 сертификатов внешнего курса, но не оформившая журнал и листы ознакомления, требование 152-ФЗ не выполнила.
Сколько стоит не обучать: штрафы, уголовная статья и провал увольнения
Цена ошибки считается не по стоимости курса. По части 1 статьи 13.11 КоАП РФ обработка персональных данных в случаях, не предусмотренных законом, обходится организации в 150 000 — 300 000 рублей, должностному лицу и ИП — в 50 000 — 100 000 рублей. Утечка данных от 1 000 до 10 000 субъектов — 3-5 млн рублей. Неуведомление Роскомнадзора об инциденте в установленный срок — 1-3 млн рублей, при повторном нарушении сумма доходит до 15 млн рублей. За повторную утечку предусмотрен оборотный штраф от 1 до 3% годовой выручки.
С 11 декабря 2024 года действует статья 272.1 УК РФ: незаконные использование, передача, сбор или хранение компьютерной информации, содержащей персональные данные, наказываются штрафом до 300 000 рублей либо лишением свободы на срок до четырёх лет. Если речь о специальных категориях, биометрии или данных несовершеннолетних, штраф достигает 700 000 рублей. Ответственность здесь персональная, и наступает она для рядового сотрудника, выгрузившего базу. Этот факт в программе обучения работает сильнее любых организационных аргументов.
Третья статья расходов — несостоявшееся увольнение. Разглашение персональных данных другого работника даёт основание для увольнения по подпункту «в» пункта 6 части 1 статьи 81 ТК РФ, но по пункту 43 постановления Пленума Верховного Суда РФ от 17.03.2004 № 2 работодатель обязан доказать, что сведения относятся к охраняемой законом тайне, стали известны работнику в связи с исполнением трудовых обязанностей и что работник обязывался их не разглашать. Нет подписанного обязательства и листа ознакомления — увольнение разваливается в суде, а компания платит за время вынужденного прогула.
Внимание: годовое обучение линейного сотрудника обходится в среднем в 22 845 рублей, а замена уволившегося — в 6-9 месячных окладов, то есть 360 000-540 000 рублей при окладе 60 000. Спор о бюджете на обучение почти всегда проигрывает арифметике удержания.
Как проверить, что обучение работает
Формально требование выполнено, когда собраны подписи. Фактически — когда сотрудник в нужный момент делает правильное действие. Разрыв между этими состояниями измеряется тремя показателями: доля работников из перечня, прошедших обучение в срок; доля правильных ответов в тесте по блоку действий при инциденте; фактический срок ответа на обращение субъекта в сравнении с нормативными 10 рабочими днями. Четвёртый показатель, который стоит вести отдельно, — число выявленных случаев пересылки данных по неразрешённым каналам.
По данным опросов, обратную связь после обучения собирают 71% компаний, эффект через KPI измеряют 43%, модель Киркпатрика применяют 12%. Для персональных данных достаточно первых двух уровней: реакция участников и проверка знаний. Дальше вглубь имеет смысл идти там, где обработка данных — основной бизнес-процесс, например в колл-центре или медицинской организации.
Кейс из практики: компания с большим штатом вела адаптацию двумя способами — сажали новичка рядом с опытным сотрудником и выдавали список из 130-140 вопросов для самостоятельной проработки. Оба способа отнимали продуктивность у наставника и плохо искались. Выстроили внутреннюю академию на базе системы обучения: наполняли около полугода, сделали адаптационные треки примерно под 66 должностей и встроили тесты в рабочий процесс, в том числе после очного обучения. Отдельный вывод для комплаенс-тем: тест после очного занятия показывает не удовлетворённость сотрудника, а факт усвоения.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Наполнение внутренней академии — это месяцы работы, а не неделя: на выгрузку курсов и регламентов уходит около полугода. По персональным данным логика та же: сначала актуальные локальные акты, потом программа, и только потом платформа. И закладывайте курирование запуска: первые 1,5-2 недели процесс приходится вести руками, иначе он не выходит на самоход.»
Когда отдельный курс по персональным данным избыточен
Микрокомпании, где кадровый учёт ведёт один человек, а бухгалтерия на аутсорсинге, полноценная программа с тестированием не нужна: обязанность закрывается ознакомлением этого сотрудника с законодательством и локальными актами под роспись плюс обязательством о неразглашении. Наращивать вокруг этого учебный контур — трата времени, которая не добавит защиты.
Не нужен собственный курс и для работников подрядчика, которому вы поручили обработку. Обучает их свой работодатель как оператор, а ваша зона ответственности — условия поручения обработки в договоре и проверка того, что подрядчик эти меры принял. Требовать от исполнителя по договору ГПХ прохождения вашей внутренней программы бессмысленно: он не работник, и нормы трудового законодательства об ознакомлении под роспись на него не распространяются.
Третий случай — обучение ради удостоверения там, где оно не требуется. Программа ДПО объёмом от 16 часов оправдана для ответственного за организацию обработки и специалиста по защите информации. Отправлять на неё весь отдел кадров — это расходы, которые не улучшают ни один из показателей выше.
Стоимость и сроки: тарифы Добыто КЭДО на 2026 год
Стоимость зависит от численности штата и набора функций: электронные подписи для сотрудников входят в тариф и отдельной покупки не требуют.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
| Электронный архив документов | входит в тариф «Бизнес» | доступен после подключения |
Итоговая сумма складывается из численности и выбранного набора функций: электронный архив, кастомные шаблоны и интеграция с 1С входят в тариф «Бизнес», выделенный сервер и SLA считаются отдельно. Действующие условия и состав каждого тарифа опубликованы на странице тарифов Добыто КЭДО, там же указано соответствие платформы требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ.
Тариф меняется в любой момент: при повышении разница пересчитывается пропорционально оставшемуся периоду, понижение тоже доступно. Для программы обучения по персональным данным это означает, что начать можно с минимального набора и расширяться по мере того, как в электронный вид переходят листы ознакомления и обязательства о неразглашении.
Выводы
Требование 152-ФЗ закрывается не курсом, а системой следов: перечень обрабатывающих работников, актуальные локальные акты, программа под роли, журнал учёта, протокол проверки знаний и подписи в листе ознакомления. Массовому штату достаточно ознакомления под роспись, кадрам, бухгалтерии и администраторам систем нужна проверка знаний, а удостоверение о повышении квалификации имеет смысл для ответственного за организацию обработки. Цена пропущенного шага измеряется не стоимостью обучения, а штрафами по статье 13.11 КоАП РФ, персональной ответственностью работника по статье 272.1 УК РФ и проигранным спором о восстановлении на работе.
В Добыто мы ведём кадровый документооборот так, чтобы ознакомление и обучение не жили отдельно от остальной кадровой работы: маршруты, шаблоны, статусы прохождения и электронный архив позволяют собрать подтверждения по любому работнику за минуты, а подписи для сотрудников входят в тариф.
Частые вопросы
Нужно ли обучать сотрудников, которые видят персональные данные случайно
Курьер, охранник на пропускном пункте или уборщик в кабинете кадровой службы персональные данные не обрабатывают в смысле 152-ФЗ, поэтому программа с проверкой знаний для них избыточна. Но если по должностной инструкции человек вносит данные посетителей в журнал или сверяет паспорт, он попадает в перечень обрабатывающих со всеми последствиями. Проверяется это просто: есть ли у работника доступ к носителю или системе, где данные хранятся, и совершает ли он с ними хотя бы одно действие из перечня в статье 3 152-ФЗ.
Обязан ли проходить обучение генеральный директор
Если руководитель имеет доступ к кадровым системам и лично согласует передачу данных подрядчикам, он входит в перечень обрабатывающих и обучается наравне с остальными. Отдельная причина не пропускать директора: подписи под уведомлением в Роскомнадзор и решениями по инцидентам ставит он, а срок на первое уведомление составляет 24 часа с момента выявления. Именно на этом этапе теряются часы, когда ответственный ждёт согласования, а срок идёт.
Как оформить ознакомление дистанционного работника
По статье 312.1 ТК РФ взаимодействие с дистанционным работником допускается в электронной форме, поэтому лист ознакомления и обязательство о неразглашении подписываются электронной подписью в системе КЭДО. Важно не смешивать две вещи: ознакомление с ЛНА в электронном виде и подписание документов, для которых закон требует конкретный вид подписи. Для исполнителя по договору ГПХ эта схема не применяется вовсе: он не работник, и порядок ознакомления регулируется договором, а не Трудовым кодексом.
Нужно ли повторное обучение после изменения локальных актов
Периодичность закон не устанавливает, но обязанность ознакомить работников с действующей редакцией документов никуда не исчезает. Практический ориентир: повторное ознакомление проводится при каждом изменении политики обработки или правил, при переводе работника на должность с другим уровнем доступа и при существенных поправках в законодательстве. Отдельно стоит фиксировать дату следующего пересмотра ЛНА, чтобы обучение и актуализация документов шли одним циклом.
Можно ли считать ознакомлением публикацию политики на корпоративном портале
Размещение документа на внутреннем портале само по себе ознакомлением не является: пункт 8 части 1 статьи 86 ТК РФ требует росписи работника. Электронный аналог росписи — подпись в системе документооборота с фиксацией даты и времени. Если портал только показывает документ и не собирает подтверждение, при проверке подтвердить исполнение обязанности будет нечем.
Что делать, если работник отказывается подписывать лист ознакомления
Отказ фиксируется актом за подписями двух-трёх работников с указанием даты, места и факта зачитывания документа вслух. Акт заменяет подпись как доказательство доведения информации, а сам отказ не освобождает работника от обязанности соблюдать порядок обработки данных. Дальше стоит выяснить причину: чаще отказ означает несогласие с конкретным пунктом ЛНА, а не отказ от ознакомления как такового, и снимается это разъяснением, а не дисциплинарной процедурой.
