Персональные данные работника — это любая информация, которая прямо или косвенно к нему относится. Сюда входят не только паспортные данные и СНИЛС, но и сведения о зарплате, образовании, семейном положении, состоянии здоровья, судимости, месте жительства.

В трудовых отношениях к персональным данным сотрудников относятся:

• фамилия, имя, отчество, дата и место рождения, гражданство;

• паспортные данные, адрес регистрации и проживания;

• контактные данные: телефон, email;

• сведения об образовании, квалификации, повышении квалификации;

• семейное положение, наличие детей, родственные связи;

• данные о предыдущей трудовой деятельности, стаже, судимости, службе в армии;

• финансовое положение, включая сведения о заработной плате;

• деловые и личные качества, носящие оценочный характер;

• сведения о состоянии здоровья в части, относящейся к выполнению трудовой функции.

Персональные данные работника содержатся в анкетах, автобиографиях, личных карточках по форме Т-2, трудовых книжках, трудовых договорах, приказах по личному составу, лицевых счетах, расчетных листках, документах воинского учета, справках о доходах, документах об образовании и других кадровых документах.

Обработка персональных данных работника допускается без согласия, если она необходима для исполнения трудового договора или выполнения обязанностей, возложенных на работодателя законом. Например:

• ведение кадрового учета и бухгалтерии;

• расчет заработной платы и налогов;

• сдача отчетности в СФР, ФНС, военкомат;

• оформление пропускного режима силами самой компании;

• выявление медицинских противопоказаний к работе;

• оформление командировок;

• заполнение данных близких родственников в личной карточке Т-2.

В этих случаях основанием для обработки выступает закон или трудовой договор, а не согласие (п. 2 ч. 1 ст. 6 ФЗ № 152).

Отдельное письменное согласие нужно, если персональные данные сотрудников используются в целях, которые выходят за рамки трудовых отношений. Например:

• передача данных третьим лицам (банку для зарплатной карты, страховой компании для ДМС, аутсорсеру по бухгалтерии);

• получение данных от третьих лиц (например, характеристика с прошлого места работы);

• обработка биометрических данных (фото, видео, отпечатки пальцев, если они используются для идентификации субъекта);

• обработка специальных категорий данных (сведения о здоровье, кроме случаев, предусмотренных законом);

• распространение данных (публикация фото сотрудника на сайте, в соцсетях);

• трансграничная передача данных;

• использование полиграфа.

Согласие должно быть конкретным, информированным, сознательным, предметным и однозначным. В нем указываются: данные оператора, цель обработки, перечень данных, перечень действий, срок действия и способ отзыва. Одна цель — одно согласие. Нельзя объединять в один документ обработку для трудовых отношений и передачу данных третьим лицам.

Пример:

Компания решила оформить сотрудникам полисы ДМС в страховой компании. Данные работников — ФИО, дата рождения, паспортные данные — будут переданы страховщику. Это цель, выходящая за рамки трудового договора. Работодатель оформляет отдельное письменное согласие на передачу данных третьей стороне. В нем указывает: наименование страховой компании, перечень передаваемых сведений, цель передачи и срок действия согласия. Если сотрудник откажется подписать, работодатель не вправе передать его данные страховщику. При этом отказ не может быть основанием для дисциплинарного взыскания — это право работника, а не его обязанность.

Также может понадобиться согласие на обработку ПДн соискателя. Так, если человек сам откликается на вакансию, согласие не нужно. Если же с претендентом на должность хочет связаться HR и предложить заполнить анкету, документ необходимо оформить.

Работодатель вправе получать только те персональные данные работника, которые характеризуют его как сторону трудового договора. Все остальные сведения избыточны.

Что можно запрашивать:

• паспортные данные;

• СНИЛС, ИНН;

• документы об образовании;

• трудовую книжку или сведения о трудовой деятельности;

• документы воинского учета;

• сведения о семейном положении и детях — для предоставления льгот;

• справку о доходах с прошлого места работы — для расчета пособий и иных выплат;

• медицинские заключения — в части, относящейся к возможности выполнения работы.

Что нельзя запрашивать:

• сведения о политических и религиозных убеждениях;

• информацию о членстве в общественных объединениях и профсоюзной деятельности;

• данные о состоянии здоровья, если медкомиссия не нужна для выполнения трудовых функций;

• сведения о судимости, если это не предусмотрено законом для конкретной должности.

Все персональные данные работника следует получать у него самого. Если данные можно получить только у третьей стороны, работника нужно уведомить об этом заранее и получить письменное согласие. Работодатель обязан сообщить работнику о целях, предполагаемых источниках и способах получения данных, а также о последствиях отказа дать согласие.

Пример:

Компания принимает на работу бухгалтера. Кандидат предоставил паспорт, СНИЛС, ИНН, диплом и трудовую книжку — эти данные он передал сам, поэтому отдельное согласие на их обработку не требуется. Но для оформления допуска к бухгалтерской тайне служба безопасности хочет запросить сведения о кандидате в его предыдущей компании. Такие данные можно получить только у третьей стороны. Значит, до направления запроса работодатель обязан письменно уведомить кандидата: какие данные запрашиваются, у кого именно и зачем. Без письменного согласия кандидата запрос направлять нельзя. Если кандидат откажется, работодатель вправе не оформлять допуск, но обязан предупредить его об этом заранее.

Доступ к персональным данным сотрудников разрешается только специально уполномоченным лицам. Они вправе получать только те данные, которые необходимы для выполнения конкретных функций.

Проще говоря:

• сотрудники отдела кадров имеют доступ к кадровым документам;

• бухгалтерия — к данным, необходимым для расчета зарплаты и налогов;

• руководитель подразделения — к данным своих подчиненных в необходимом объеме;

• IT-специалисты — к техническим данным, но не к содержанию кадровых документов.

Перечень лиц, допущенных к обработке, утверждается приказом. Каждый допущенный работник подписывает обязательство о неразглашении.

Передача персональных данных работника третьим лицам допускается только с его письменного согласия. Исключения — случаи, прямо предусмотренные законом:

• запросы правоохранительных органов;

• запросы судебных приставов;

• запросы Банка России;

• запросы прокуратуры;

• передача в СФР, ФНС, военкомат;

• предупреждение угрозы жизни и здоровью работника.

Работодатель обязан предупредить получателя данных о том, что их можно использовать только в заявленных целях, и потребовать подтверждения соблюдения этого правила. Получатель обязан соблюдать конфиденциальность.

Точного перечня ни в одном законе нет. Но есть обязательный минимум документов, которые должны быть у каждого работодателя — даже если в штате всего один работник.

Да. Если компания обрабатывает персональные данные сотрудников с использованием средств автоматизации (компьютеры, 1С, Excel), она обязана подать уведомление в Роскомнадзор до начала обработки. Исключение — обработка только на бумаге: в этом случае регистрироваться в РКН необязательно. Но в 2026 году такой способ работы с ПДн — большая редкость.

Рассмотрим пошагово, как подать уведомление.

Шаг 1. Назначьте ответственного за организацию обработки ПДн. Издайте приказ с указанием ФИО и обязанностей. Для юридического лица это обязательное требование.

Шаг 2. Подготовьте локальные акты. Разработайте политику обработки, положение об обработке и защите, формы согласий, приказы и журналы. Сведения из этих документов понадобятся при заполнении формы.

Шаг 3. Проведите аудит процессов. Определите, какие данные сотрудников вы собираете, для каких целей, где храните и кто имеет доступ.

Шаг 4. Зайдите на официальный портал Роскомнадзора.

Шаг 5. Авторизуйтесь. Вход возможен через Госуслуги с подтвержденной учетной записью или по квалифицированной электронной подписи.

Шаг 6. Откройте форму уведомления о намерении осуществлять обработку персональных данных.

Шаг 7. Заполните все разделы. Укажите сведения об операторе, цели обработки, категории данных и субъектов, правовые основания, меры защиты, сведения об ответственном и о месте хранения баз данных.

Шаг 8. Проверьте данные. Сверьте реквизиты с выпиской из ЕГРЮЛ, а цели и категории данных — с подготовленными локальными актами.

Шаг 9. Подпишите уведомление. Используйте КЭП или отправьте документ через Госуслуги.

Шаг 10. Сохраните подтверждение. Зафиксируйте номер заявки и дату отправки.

Шаг 11. Дождитесь рассмотрения. Срок — до 30 календарных дней.

Шаг 12. Проверьте запись в реестре операторов. Найдите компанию по ИНН на сайте Роскомнадзора.

Место хранения зависит от носителя: бумажные документы и электронные данные требуют разных условий.

• Бумажные документы. Личные дела, личные карточки Т-2, трудовые договоры, приказы по личному составу, лицевые счета хранятся в сейфах или запирающихся металлических шкафах. Доступ к ним имеет только уполномоченный сотрудник — обычно это работник отдела кадров. Помещение, где находятся такие шкафы, должно закрываться на ключ. Если в компании есть несколько подразделений с кадровыми документами, каждое оборудуется отдельным местом хранения.

• Электронные данные. Кадровые программы, 1С, Excel-файлы с данными сотрудников размещаются на серверах, физически расположенных на территории России. Это требование локализации (ч. 5 ст. 18 ФЗ № 152). Хранение на зарубежных серверах считается нарушением, за которое штрафуют на сумму до 6 млн рублей.

• Разграничение доступа. Каждый сотрудник получает доступ только к тем данным, которые нужны ему для работы. Бухгалтер видит зарплатные сведения, кадровик — личные дела, руководитель подразделения — данные своих подчиненных в необходимом объеме. Расширенный доступ «на всякий случай» запрещен.

• Парольная защита. Учетные записи защищены паролями. Пароли не передаются по открытым каналам, не хранятся в текстовом виде. Смена паролей проводится регулярно.

• Учет носителей. Флешки и внешние диски, на которых могут храниться данные сотрудников, учитываются в журнале по заводским номерам. Вынос носителей за пределы офиса — только по разрешению ответственного.

• Резервное копирование. Электронные данные регулярно копируются. Резервные копии хранятся отдельно от основных носителей, чтобы защитить информацию при сбое оборудования.

• Уничтожение. Когда цель обработки достигнута или истек срок хранения, данные уничтожаются. Бумажные документы — через шредер, электронные — гарантированным стиранием. Факт уничтожения оформляется актом.

Сроки хранения зависят от категории документов.

Длительное хранение (50 или 75 лет):

• личные дела: 75 лет, если начаты до 01.01.2003; 50 лет, если после;

• трудовые договоры: 50 или 75 лет в зависимости от даты;

• личные карточки Т-2: 50 или 75 лет;

• приказы по личному составу: 50 или 75 лет;

• лицевые счета по зарплате: 75 лет.

Короткое хранение (3–5 лет):

• табели учета рабочего времени: 5 лет;

• графики отпусков: 3 года;

• заявления на отпуск, больничные листы: 5 лет;

• документы о командировках: 3 года;

• приказы о поощрениях и взысканиях: 3–5 лет;

• расчетные листки: 5 лет;

• бухгалтерские документы: не менее 5 лет.

Отсчет срока хранения для кадровых документов начинается с 1 января года, следующего за годом закрытия дела. Например, если сотрудник уволен в 2026 году, отсчет идет с 1 января 2027 года.

Согласие на обработку персональных данных работника после увольнения хранится 3 года, если иной срок не установлен договором.

После увольнения основания для обработки сужаются. Работодатель больше не вправе использовать данные для кадрового учета и оценки эффективности. Данные хранятся только в объеме, необходимом для исполнения требований закона: подтверждения стажа, расчета налогов, ответов на запросы госорганов.

Шаг 1. Закройте личное дело. Систематизируйте документы, сформированные в период работы: заявления, приказы, договоры, дополнительные соглашения. Личное дело закрывается в день увольнения или в последний рабочий день.

Шаг 2. Определите, какие данные подлежат хранению. Не все сведения уничтожаются сразу. Часть документов 50/75 лет — подробнее о сроках мы писали выше.

Шаг 3. Уничтожьте данные, не подлежащие хранению. Это сведения, которые больше не нужны для целей обработки: черновики, дубликаты, рабочие записи, данные, собранные для разовых задач. Уничтожение оформляется актом с указанием способа: шредирование бумаг, гарантированное стирание электронных файлов.

Шаг 4. Удалите личные данные из информационных систем. Проверьте CRM, бухгалтерскую программу, кадровый модуль, корпоративную почту. Учетные записи сотрудника блокируются в день увольнения.

Шаг 5. Закройте доступ к данным. Если у уволившегося оставались пароли или ключи, их нужно сменить. Доступ к серверам и базам отзывается.

Шаг 6. Уведомите лиц, которым передавались данные. Если персональные данные работника передавались третьим лицам — банку, страховой, аутсорсеру, — направьте уведомление об увольнении и прекращении обработки. Получатель обязан прекратить обработку и уничтожить данные, если иное не предусмотрено законом.

Шаг 7. Проверьте, нет ли исключений для дальнейшей обработки. Если работник остался в кадровом резерве, продолжает получать выплаты или с ним заключен гражданско-правовой договор, обработка продолжается на других основаниях. Уничтожать данные в этом случае нельзя.

Шаг 8. Составьте акт об уничтожении. В акте укажите: дату, основание (увольнение), перечень уничтоженных данных, способ уничтожения, состав комиссии. Если данные обрабатывались автоматизированно, приложите выгрузку из журнала событий ИСПДн.

Шаг 9. Передайте документы в архив. Личные дела и кадровые документы передаются в архив организации не ранее чем через год и не позднее чем через три года после завершения делопроизводства.

Пример:

Сотрудник уволился 15 сентября 2026 года. В день увольнения закрыли личное дело, заблокировали учетную запись и сменили пароль корпоративной почты. Черновики и рабочие записи уничтожили по акту. Личное дело передали в архив в 2027 году. Данные для ДМС удалили из страховой компании по уведомлению. Согласие на обработку оставили на хранение до 2029 года.

Работник имеет право:

• на полную информацию о своих данных и их обработке;

• на бесплатный доступ к своим данным, включая получение копий;

• на определение своих представителей для защиты данных;

• на доступ к медицинской документации через выбранного медработника;

• на исправление неверных или неполных данных;

• на извещение всех лиц, которым ранее были сообщены неверные данные;

• на обжалование действий работодателя в суд.

При отказе работодателя исправить данные работник вправе подать письменное несогласие с обоснованием или пожаловаться в Роскомнадзор.

Ответственность за нарушения при работе с персональными данными сотрудников установлена статьей 13.11 КоАП.

Правила обработки мы разобрали. Но на практике ошибки возникают не из-за незнания закона, а из-за привычек, которые годами складывались в кадровой работе. Мы подготовили несколько советов, которые помогут снизить риски.

• Ведите реестр целей обработки. Для каждой цели — свой набор данных и свое основание. Не собирайте сведения «на будущее»: если данные не нужны для конкретной задачи, не запрашивайте их.

• Разделяйте согласия. Одна цель — одно согласие. Не объединяйте в один документ обработку для трудовых отношений и передачу данных третьим лицам.

• Фиксируйте каждое действие. Сохраняйте подтверждения получения согласий, уведомления работников, отметки об ознакомлении. При проверке именно эти документы подтверждают законность обработки.

• Ограничивайте доступ точечно. Каждый сотрудник должен видеть только те данные, которые нужны ему для работы. Не давайте доступ «для удобства» — расширенный доступ сложно контролировать.

• Обучайте сотрудников при приеме и повторно. Инструктаж при трудоустройстве — это не формальность. Проводите повторные разъяснения при изменении процессов.

• Проверяйте подрядчиков. Если данные передаются банку, страховой или аутсорсеру, убедитесь, что у них есть договор поручения обработки и обязательства по конфиденциальности.

• Уничтожайте данные вовремя. Когда цель обработки достигнута, данные нужно уничтожить. Хранение «на всякий случай» — прямое нарушение.

• Реагируйте на обращения работников. Запросы о доступе к данным, исправлении или удалении должны обрабатываться в срок — не более 10 рабочих дней.

• Проводите внутренний контроль. Раз в полгода проверяйте, соответствуют ли реальные процессы документам: те ли цели указаны, нет ли лишних доступов, актуальны ли согласия.

• Храните документы в защищенном виде. Бумажные — в сейфах, электронные — на серверах в России с разграничением доступа и паролями.

Работодателю для снижения рисков в первую очередь нужна дисциплина. Начните с реестра целей и разграничения доступа: это фундамент. Когда документы соответствуют реальным процессам работы с ПДн, вам не будут страшны проверки Роскомнадзора.

Реклама: АО «Консалтинг онлайн», ИНН: 2310203967, erid: 2W5zFJKaKof