Копии паспортов сотрудников в личных делах: позиция Роскомнадзора и судов

Копии паспортов сотрудников лежат в личных делах почти в каждой компании: кадровик привык подшивать ксерокопию при приеме на работу и хранить ее рядом с трудовым договором. Вопрос, можно ли хранить копию паспорта в личном деле, звучит на проверках и в жалобах бывших работников чаще, чем кажется владельцу бизнеса. Роскомнадзор и суды отвечают на него одинаково: копия без правового основания - это избыточные персональные данные, и за нее реально получить штраф за копии паспортов сотрудников. Разбираемся, что говорит закон, когда копия все же законна и что делать с уже накопленным архивом ксерокопий в отделе кадров.

Проблема касается не только крупных компаний с большим кадровым документооборотом. Интернет-магазин с пятью сотрудниками, частная клиника, небольшая школа или студия, кадровое агентство, которое ведет учет для нескольких заказчиков, - у всех в папках личных дел годами копится один и тот же набор бумаг: паспорт, СНИЛС, ИНН, диплом. И везде вопрос один и тот же: какие из этих копий вообще нужны компании, а какие - просто привычка, доставшаяся от прежнего кадровика. Полностью убрать копии из оборота часто мешает не умысел, а инерция бумажного делопроизводства, где документ подшивали в дело просто потому, что так было заведено много лет назад и никто с тех пор не пересматривал порядок.

Что говорит статья 65 Трудового кодекса о паспорте при приеме на работу

Статья 65 Трудового кодекса перечисляет документы, которые работник обязан предъявить работодателю при приеме на работу: паспорт или иной документ, удостоверяющий личность, трудовую книжку, если она ведется, документ об образовании, документы воинского учета для военнообязанных. Ключевое слово в этой норме - предъявить, а не сдать в копиях. Работодатель вправе посмотреть паспорт, сверить данные с анкетой и трудовым договором, переписать нужные реквизиты в личную карточку и приказ о приеме. Требовать копию паспорта закон не обязывает и такого права прямо не дает.

Та же логика касается СНИЛС и ИНН: работодателю нужен номер, а не скан документа целиком. На практике кадровые службы часто копируют весь пакет документов разом, потому что так исторически сложилось в бумажном делопроизводстве, и никто не разделяет, какие сведения действительно нужно перенести в дело, а какие можно просто посмотреть и вернуть.

На практике эта разница часто теряется. Отдел кадров привык, что копия - способ подстраховаться: если данные в трудовом договоре не совпадут с паспортом, копия послужит доказательством при споре. На деле подстраховка оборачивается лишним хранением персональных данных, за которое отвечает не сотрудник, который принес паспорт, а компания, которая ксерокопию оставила у себя и не смогла объяснить, зачем.

Можно ли хранить копию паспорта в личном деле сотрудника: принцип минимизации

Ответ зависит от того, есть ли под этим хранением правовое основание. Это прямо следует из статьи 5 закона о персональных данных: обработка не должна быть избыточной по отношению к заявленным целям, а хранить данные можно не дольше, чем это необходимо для этих целей. Закон требует, чтобы объем обрабатываемых данных соответствовал заявленным целям обработки, а хранение сверх этого объема считается избыточным. Если цель - оформить трудовой договор и внести данные в кадровые документы, для нее достаточно переписать реквизиты паспорта: серию, номер, дату выдачи, код подразделения, кем выдан. Хранить сам скан или ксерокопию для этой цели избыточно, потому что все нужные сведения уже перенесены в трудовой договор, личную карточку и приказ о приеме.

Есть и практический аргумент. Копия паспорта - это не только фамилия и дата рождения, а еще фотография, подпись, отметки о регистрации и семейном положении, сведения о ранее выданных документах и воинской обязанности на некоторых страницах. Хранение такого объема данных ради подтверждения нескольких строк реквизитов не выдерживает проверку на соразмерность, а именно ее в первую очередь смотрит Роскомнадзор при плановых и внеплановых проверках кадровой документации.

Отдельный вопрос - согласие. Даже если бы компания решила собирать письменное согласие на хранение копий паспортов про запас, это не спасает ситуацию: закон требует не только согласия, но и соответствия объема данных цели обработки. Согласие не превращает избыточные данные в законные, оно лишь легализует обработку в рамках уже определенной и обоснованной цели.

Частая ошибка - путать согласие на обработку персональных данных клиента с основанием для хранения копии паспорта сотрудника: это разные субъекты и разные документы, и согласие клиента клиники или посетителя сайта никак не легализует копию в личном деле работника.

Штраф за копии паспортов сотрудников: практика Роскомнадзора и судов

Основание для штрафа - часть 1 статьи 13.11 КоАП РФ: обработка персональных данных в случаях, не предусмотренных законом, либо обработка, несовместимая с целями сбора данных. Копия паспорта, которая хранится без правового основания и сверх заявленной цели, попадает именно под эту формулировку.

На практике дела похожи друг на друга. Работник увольняется, забирает трудовую книжку и параллельно направляет жалобу в Роскомнадзор: в личном деле осталась копия паспорта, согласия на ее хранение никто не подписывал, а объяснить цель хранения кадровая служба не может. Роскомнадзор запрашивает у работодателя документы, подтверждающие законность хранения копии, и если внятного основания нет - составляет протокол. Суды в таких спорах, как правило, встают на сторону надзорного органа: сам факт хранения копии без указанной цели и срока хранения расценивается как нарушение принципа минимизации данных, даже если утечки как таковой не произошло и данные никуда не попали.

Похожая картина складывается и там, где жалобу подает не сам сотрудник, а третье лицо - например, клиент небольшой клиники или школы, который случайно увидел стопку личных дел на столе администратора и решил, что персональные данные хранятся небрежно. Формально нарушение то же самое: копия документа без обоснованной цели и срока хранения, только теперь его находит не работник, а сторонний наблюдатель.

Штраф по части 1 статьи 13.11 КоАП для юридического лица исчисляется десятками и сотнями тысяч рублей за эпизод, а при повторном нарушении санкция вырастает кратно. Отдельно стоит помнить, что с 30 мая 2025 года действуют оборотные штрафы за утечки персональных данных и статья 272.1 УК РФ за незаконный оборот такой информации - они введены федеральным законом от 30 ноября 2024 года номер 420-ФЗ и касаются уже не формального хранения лишней копии, а случаев, когда данные из личных дел попадают наружу. Копия паспорта, которая лежит в личном деле без причины, увеличивает и этот риск: чем больше избыточных данных хранит компания, тем больше она теряет при утечке и тем сложнее объяснить проверяющим, зачем эти данные вообще собирались.

Частые оправдания, которые не работают на проверке

У привычки хранить копии паспортов всегда находится объяснение, и почти ни одно из них не выдерживает проверки закона.

Мы же копию никому не показываем, она просто лежит в шкафу. Хранение без причины уже нарушение само по себе, разглашать данные третьим лицам для этого не нужно: достаточно факта, что копия лежит без обоснованной цели и срока хранения.

Бухгалтерия просит копию для отчетности. Бухгалтеру нужны реквизиты паспорта для расчета НДФЛ и заполнения справок, а не изображение документа целиком. Эти сведения можно взять из личной карточки, если туда изначально внесены полные данные.

Вдруг сотрудник обратится в суд, а мы не сможем сверить его паспорт. Для суда достаточно данных, уже зафиксированных в трудовом договоре, приказе о приеме и личной карточке - именно эти документы суд запросит в первую очередь, а не копию, которая хранится в кадровой папке без отметки, когда и зачем она туда попала.

Так делают все, и раньше никто не штрафовал за это. Число жалоб бывших сотрудников на кадровые персональные данные выросло, а плановые и внеплановые проверки Роскомнадзора все чаще доходят и до небольших компаний. Штраф не требует утечки данных наружу - достаточно факта хранения без основания.

Когда копия паспорта нужна и законна

Правило про предъявление без снятия копии общее, но не абсолютное. Есть ситуации, где закон или требования третьей стороны прямо предполагают копию, и тогда ее хранение обосновано - если оформлено правильно и ограничено конкретной целью.

Иностранный работник и миграционный учет

Если в компании оформлен иностранный гражданин, работодатель ведет миграционный учет и уведомляет территориальный орган МВД о заключении и расторжении трудового договора с ним. Для этой процедуры нужны реквизиты документа, удостоверяющего личность иностранца, вид на жительство, патент или разрешение на работу, и на практике кадровая служба снимает копии, чтобы корректно заполнить уведомление и подтвердить основание пребывания в России. Здесь цель обработки прямо связана с исполнением обязанностей работодателя по миграционному законодательству, и копия этой цели соответствует, а значит хранить ее можно ровно на тот срок, что действует трудовой договор с этим работником.

После расторжения трудового договора с иностранным работником копия, собранная для миграционного учета, тоже теряет свое основание: разумно уничтожать ее в разумный срок после того, как уведомление о расторжении принято миграционным органом, а не оставлять в архиве бессрочно вместе с остальными документами личного дела.

Похожая логика применима к патентам на работу для иностранцев, прибывающих в безвизовом порядке: копия патента и миграционной карты хранится ровно на период его действия, а не бессрочно после того, как работник уволился и покинул компанию.

Зарплатный проект и требование банка

Второй частый случай - зарплатный проект. Банк, который открывает сотрудникам счета для перечисления зарплаты, запрашивает копии паспортов как часть процедуры идентификации клиента по требованиям законодательства о противодействии отмыванию доходов. Работодатель в этой цепочке выступает посредником: собирает копии и передает их в банк, а не хранит их у себя бессрочно ради собственных нужд.

Передача данных третьему лицу - банку - требует отдельного согласия работника, и с 1 сентября 2025 года такое согласие на передачу персональных данных оформляется отдельным документом, а не строкой внутри трудового договора - это установил закон от 24 июня 2025 года номер 156-ФЗ. Без такого согласия даже целевая передача копии в банк превращается в нарушение, а компания рискует получить претензию сразу по двум основаниям: за передачу без согласия и за хранение копии дольше, чем нужно для отправки в банк.

Самозанятый исполнитель и договор подряда

Похожая, но более узкая ситуация возникает, когда компания заключает договор не с работником, а с самозанятым исполнителем по гражданско-правовому договору. Здесь ситуация ближе к обычной сделке между организацией и физическим лицом: паспортные данные нужны, чтобы правильно указать сторону в договоре, но это тоже не повод хранить полную копию годами после того, как договор исполнен и оплата прошла. Реквизиты, перенесенные в текст договора и акт, закрывают эту задачу без отдельного архива копий.

Если компания все же решает временно сохранить копию паспорта исполнителя для сверки расчетов, стоит прямо прописать это основание и срок хранения во внутреннем регламенте работы с самозанятыми или в самом договоре - тогда при проверке будет что показать, а не объясняться постфактум.

Таблица: в каких случаях нужна копия паспорта, а в каких нет

Распространенные ситуации проще свести в таблицу - она пригодится и кадровику, и юристу, который проверяет личные дела перед аудитом или готовится к плановой проверке Роскомнадзора.

Ситуация	Нужна ли копия	Основание
Прием на работу гражданина РФ по трудовому договору	Нет, только предъявить оригинал	статья 65 ТК РФ
Иностранный работник, миграционный учет	Да, на срок действия основания	требования миграционного законодательства
Зарплатный проект в банке	Да, с отдельным согласием на передачу	требование банка, закон 156-ФЗ
Договор подряда с самозанятым	Не требуется, достаточно реквизитов	данные фиксируются в договоре
Хранение в личном деле про запас	Нет, избыточные данные	статья 5 закона о персональных данных
Запрос контрагента показать паспорт сотрудника	Нет, нет правового основания	у третьей стороны нет права требовать

Что делать вместо копии - выписка реквизитов паспорта

Если цель - подтвердить и зафиксировать данные паспорта, а не саму копию, разумная альтернатива - выписка реквизитов. В личную карточку работника и без того вносятся серия, номер, дата выдачи и код подразделения; этого достаточно, чтобы в дальнейшем свериться с любым документом, где нужны паспортные данные. Отдельный лист-выписка, который сверяется с оригиналом при приеме и подписывается кадровиком, закрывает ту же практическую задачу, что и копия, но не создает избыточного архива фотографий и подписей.

Такой подход снимает вопрос и на проверке: инспектор видит, что компания собирает ровно тот объем данных, который нужен для трудовых отношений, а не хранит копию документа целиком на всякий случай. Для небольшой компании переход на выписки занимает один день: достаточно обновить форму личной карточки, один раз проинструктировать кадровика и внести правку в локальный акт об обработке персональных данных, чтобы формулировки совпадали с реальной практикой.

Есть и промежуточный вариант для компаний покрупнее, где полностью отказаться от сканов сразу сложно: хранить копию временно, только на период оформления, а после внесения реквизитов в кадровые документы - уничтожать ее в течение нескольких дней. Такой порядок стоит закрепить письменно, иначе временное хранение на практике превращается в постоянное.

Что делать с уже накопленными копиями в личных делах

Если в личных делах компании уже лежат сотни копий паспортов, собранных за годы без разбора, разумный порядок такой.

Сначала стоит провести ревизию личных дел и определить, для каких сотрудников хранение копии обосновано: иностранные работники, участники зарплатных проектов с оформленным согласием, отдельные случаи по договорам подряда, если основание зафиксировано письменно. Для остальных копий нужно подготовить акт уничтожения персональных данных, который фиксирует, какие документы уничтожены, по какой причине и в какую дату - без такого акта сама ревизия юридически ничего не доказывает.

Дальше копии нужно уничтожить способом, исключающим восстановление: шредер для бумажных экземпляров, безвозвратное удаление файлов для сканов и фотографий в электронных личных делах. Параллельно стоит актуализировать локальный акт о персональных данных или положение об обработке персональных данных, чтобы описанный там перечень документов совпадал с тем, что компания хранит фактически, а не с тем, что записано когда-то давно и с тех пор не пересматривалось.

Акт уничтожения - не формальность для галочки, а единственное доказательство на будущей проверке, что лишние копии не потерялись, а были удалены осознанно и в срок. Без такого акта инспектор вправе предположить, что документы просто передали кому-то еще или потеряли, а это уже вопрос об утечке, а не об избыточном хранении, и объясняться в этом случае придется куда дольше.

Как Роскомнадзор узнает о копиях паспортов в отделе кадров

Жалоба бывшего или действующего сотрудника - самый частый повод для проверки, но не единственный. Уволенный сотрудник, недовольный расчетом или конфликтом при увольнении, нередко вспоминает именно про личное дело и копию паспорта, потому что это самый простой пункт для жалобы: доказать факт хранения легко, а объяснить его законность работодателю обычно нечем.

Роскомнадзор в последние годы использует и дистанционный мониторинг сайтов и открытых источников: если персональные данные всплывают в открытом доступе из-за утечки у контрагента или подрядчика, это тоже становится поводом запросить документы у работодателя, даже если сама компания никаких форм на сайте не публиковала. Отдельно от жалоб и мониторинга есть плановые проверки по графику, где инспектор поднимает личные дела выборочно и смотрит, какие данные там хранятся сверх необходимого, не дожидаясь ни одной жалобы.

Разница между этими сценариями для компании не принципиальна: в любом случае должны быть готовы ответы на вопросы, зачем хранится каждый документ и сколько по времени. Личное дело, где рядом с трудовым договором лежит копия паспорта без всякого основания, одинаково плохо выглядит что при жалобе, что при плановой проверке, что при случайной проверке контрагента.

Проверить, включена ли компания в план проверок Роскомнадзора на текущий год, можно в едином реестре проверок по ИНН - профиль организации показывает даты и основания предстоящей проверки заранее, и это время стоит использовать для собственной ревизии личных дел, а не дожидаться прихода инспектора.

Порядок действий для кадровика: чек-лист

Что стоит сделать в ближайшее время, если в компании до сих пор действует привычка копировать паспорт при каждом приеме на работу.

Первое - пересмотреть кадровую процедуру приема на работу: заменить снятие копии на сверку и внесение реквизитов в личную карточку, а форму личной карточки привести в соответствие с этим порядком. Второе - выделить исключения: иностранные работники и участники зарплатных проектов, и держать для них отдельные, оформленные согласиями основания, а не общее правило на всю компанию. Третье - провести ревизию уже накопленных личных дел, уничтожить лишние копии по акту и обновить локальный акт об обработке персональных данных с реальным перечнем документов.

Четвертое - проверить, не пересекаются ли паспортные данные с другими специальными категориями персональных данных, которые требуют более строгого режима хранения и отдельных оснований для обработки: это особенно актуально для клиник и школ, где в личных делах часто соседствуют паспорт, медицинские справки и данные о детях сотрудников. Пятое - закрепить ответственного за кадровые персональные данные и срок хранения каждого вида документа во внутреннем положении, чтобы через год-два не пришлось повторять всю ревизию заново. Шестое - при следующем обновлении локальных документов свести в один список все основания, по которым компания законно хранит копии: миграционный учет, зарплатные проекты, отдельные договоры подряда с письменным обоснованием. Так при следующей проверке или ревизии не придется поднимать историю по каждому личному делу заново - достаточно свериться с готовым перечнем.

Если в компании накопился широкий круг вопросов не только про паспорта, а про порядок работы с персональными данными сотрудников в целом, разумно начать с внешнего аудита процессов и документов, а не чинить каждую жалобу по отдельности. На сайте 152fzpro.ru можно заказать доработку кадровых документов и сайта под требования закона о персональных данных без лишних формальностей.