Персональные данные иностранных работников: миграционный учет и передача в МВД

Персональные данные иностранных работников работодатель собирает не только по трудовому кодексу, но и по миграционному законодательству, и объем документов у иностранного сотрудника всегда больше, чем у российского. К паспорту и трудовому договору добавляются патент или разрешение на работу, миграционная карта, отметка о регистрации по месту пребывания, иногда полис ДМС. Каждый из этих документов - источник персональных данных, и закон 152-ФЗ действует здесь параллельно с миграционным законодательством, а не вместо него.

Есть обязанность, которой нет при приеме российского гражданина: закон 115-ФЗ требует в течение трех рабочих дней уведомить МВД о заключении и о расторжении трудового или гражданско-правового договора с иностранцем. Это отдельное основание для обработки персональных данных мигрантов, не связанное с согласием сотрудника, и кадровые службы часто путают его с обычным документооборотом. Дальше - что именно можно собирать, куда и в какой срок передавать сведения, и что делать с копиями документов, которые оседают в личном деле.

Какие персональные данные иностранного работника обрабатывает компания

Набор документов иностранного сотрудника шире, чем у гражданина России, и каждый пункт в нем - это персональные данные в смысле статьи 3 152-ФЗ: любые сведения, относящиеся к конкретному человеку. Строительная компания, кафе, клининговая фирма или склад при приеме иностранца получают одновременно кадровые и миграционные документы, и разделять их на нужные и не очень не стоит - закон о персональных данных действует одинаково на все.

• паспорт иностранного гражданина - страница с фотографией и данными, при наличии визы - разворот с отметкой;
• патент на работу или разрешение на работу - обязателен для большинства безвизовых трудовых мигрантов, кроме отдельных категорий, освобожденных от патента;
• миграционная карта - подтверждает законность въезда и срок разрешенного пребывания;
• отметка о постановке на учет по месту пребывания;
• полис или договор добровольного медицинского страхования, либо договор с медицинской организацией на платное оказание помощи;
• СНИЛС и документ, подтверждающий присвоение ИНН, если они уже оформлены;
• документ об образовании и, если требуется, его перевод и заверение - для должностей с обязательной квалификацией.

У части иностранных сотрудников набор документов короче, а не длиннее: граждане стран ЕАЭС работают без патента и без разрешения на работу, и требовать эти документы от гражданина Беларуси, Казахстана, Армении или Киргизии - ошибка в обратную сторону, которая тоже приводит к лишнему сбору данных, только под другим предлогом.

Отдельно стоит виза - она нужна не для всех иностранцев, а только для граждан визовых стран, и хранить ее копию имеет смысл ровно на срок действия разрешения на работу. Работодателю не нужно требовать документы сверх этого перечня на всякий случай: лишние копии - паспорта супруга, свидетельства о рождении детей, справки об отсутствии судимости из страны происхождения без должностной необходимости - это уже сбор персональных данных без основания, и при проверке такие копии скорее создадут вопросы, чем снимут их.

Отдельный источник путаницы - смешение статуса патента и статуса высококвалифицированного специалиста. Для высококвалифицированных специалистов патент не нужен, вместо него - разрешение на работу с другими реквизитами, и требовать от такого сотрудника патент, которого в его случае просто не существует, - типичная ошибка небольшой компании, которая один раз оформляла иностранца по патенту и с тех пор повторяет тот же чек-лист документов для всех подряд. Кадровику стоит один раз сверить категорию сотрудника с актуальным перечнем документов, а не работать по памяти.

Зачем нужно основание для обработки, а не только согласие

Работодатели по привычке ищут согласие на обработку персональных данных под любой документ иностранного сотрудника, хотя закон этого не требует. Статья 6 152-ФЗ перечисляет несколько самостоятельных оснований, и заключение трудового договора - одно из них: обработка данных, необходимых для исполнения договора, стороной которого является сам субъект, законна без отдельного согласия. Второе основание, отдельное от первого - исполнение обязанности, возложенной на оператора законом, и именно оно применяется к уведомлению МВД: работодатель не спрашивает у иностранца разрешения сообщить о нем в миграционную службу, потому что обязан это сделать по 115-ФЗ вне зависимости от желания сотрудника.

Из этого следует практический вывод: часть документов иностранного личного дела оформляется на основании договора и закона, а не на основании подписи в бланке согласия. Подробнее о том, в каких случаях согласие работника не нужно вовсе, разобрано в отдельной статье: согласие работника на обработку персональных данных. Для иностранных сотрудников это особенно актуально: пытаться закрыть согласием то, что и так законно по прямому указанию закона, - лишняя бумага, которая ничего не добавляет к защите компании.

С 1 сентября 2025 года действует правило: согласие на обработку персональных данных, где оно все же требуется, оформляется отдельным документом, а не пунктом в трудовом договоре или в анкете - изменения внесены 156-ФЗ от 24.06.2025. Для иностранных работников это касается тех данных, которые выходят за рамки договора и прямой обязанности по закону, например фотографии для внутреннего пропуска или публикации на сайте компании.

Если иностранный работник отказывается подписывать документы

Для той части обработки, которая опирается на договор и на прямую обязанность по закону - трудовой договор, уведомление МВД, постановка на миграционный учет, - согласие сотрудника не требуется, и его отказ ничего не меняет: работодатель обязан уведомить МВД вне зависимости от того, готов ли иностранец подписать отдельную бумагу об этом. Иначе обстоит дело с необязательными видами обработки: фотография для внутреннего портала, включение в рассылку компании, публикация имени в новости на сайте. Здесь отказ сотрудника означает, что данные использовать нельзя, и настаивать, ссылаясь на сам факт трудоустройства, - ошибка.

Если сведения о работнике меняются в течение действия договора - продлен патент с новым номером, переоформлена миграционная карта после выезда и въезда, - обновлять нужно не только копию документа, но и данные, которые уже переданы в МВД при первом уведомлении. Закон не требует отдельного повторного уведомления при простом продлении патента без смены места работы, но при переводе на другую должность или в другое структурное подразделение внутри той же компании стоит свериться с территориальным органом МВД: практика разных регионов здесь расходится, и то, что в одном регионе считают технической правкой личного дела, в другом расценивают как основание для нового уведомления.

Уведомление МВД о приеме и увольнении иностранного работника

Норма звучит просто: часть 8 статьи 13 115-ФЗ обязывает работодателя или заказчика работ и услуг в течение трех рабочих дней с даты заключения или расторжения договора с иностранным гражданином уведомить об этом территориальный орган МВД по вопросам миграции. Уведомление о приеме иностранца - персональные данные в чистом виде: ФИО, дата рождения, гражданство, реквизиты патента или разрешения на работу, должность, дата начала работы. Форма уведомления утверждена приказом МВД, бланк можно подать лично, направить почтой с описью вложения или заполнить в электронном виде через личный кабинет на портале Госуслуг для юридических лиц.

Правило распространяется не только на трудовой договор, но и на гражданско-правовой: если иностранец работает по договору подряда или оказания услуг, обязанность уведомить МВД в те же три рабочих дня действует точно так же. На практике это чаще упускают из виду - гражданско-правовые отношения кажутся более гибкими и менее формализованными, чем трудовые, но для целей 115-ФЗ разницы между ними нет.

Срок в три рабочих дня отсчитывается строго с даты подписания договора, а не с даты фактического выхода на работу, и это частая ошибка кадровой службы: сотрудника оформили в пятницу, а уведомление отправили только через неделю, посчитав дни от понедельника. Пропуск срока - это не нарушение 152-ФЗ, а отдельный состав по миграционному законодательству, и разбирается он не по правилам оборотных штрафов за утечку данных, а по своим основаниям. Для темы персональных данных здесь важнее другое: в уведомлении нельзя указывать больше сведений, чем требует утвержденная форма, даже если кажется, что подробнее - значит лучше для проверяющих.

Кто выступает принимающей стороной при миграционном учете

Миграционный учет по 109-ФЗ - отдельная процедура, и работодатель участвует в ней не всегда как оператор, ставящий человека на учет, а часто просто как источник сведений о месте работы. Принимающей стороной, которая обязана зарегистрировать иностранца по месту пребывания, становится тот, кто предоставляет жилое помещение: это может быть сам работодатель, если он размещает сотрудников в общежитии или служебной квартире, а может быть арендодатель, у которого иностранец снимает жилье самостоятельно.

Если компания не предоставляет жилье, ей не нужно собирать и хранить данные о фактическом адресе проживания сотрудника - это не ее обязанность, и требование принести копию регистрации без реальной необходимости превращается в сбор избыточных данных. Иначе выглядит ситуация на стройке или в сельскохозяйственном предприятии с вахтовым методом: там работодатель почти всегда сам выступает принимающей стороной, потому что размещает бригаду в общежитии при объекте, и тогда обязанность по постановке на учет и связанная с ней обработка персональных данных - его прямая забота, а не факультативная.

Список сотрудников, размещенных в общежитии при объекте, - тоже персональные данные, и вести его нужно с тем же вниманием, что и основное личное дело: не вывешивать на общем стенде с полными паспортными данными, не пересылать всей бригаде в общем чате мессенджера. Проверяющий Роскомнадзора, если доходит до объекта, смотрит не только на кадровые документы в офисе, но и на то, как организован быт вахтовой бригады.

Какие копии документов законны, а какие избыточны

Универсального перечня, что обязательно копировать, закон не дает, но практика проверок и логика статьи 5 152-ФЗ о минимизации данных подсказывают рабочий принцип: в личном деле должно быть ровно столько копий, сколько нужно, чтобы подтвердить право иностранца работать на этой должности и легальность его пребывания. Копия паспорта иностранного работника - разворот с фотографией и, если есть, страница с визой - входит в этот минимум почти всегда, а вот копии документов членов семьи, если они не устраиваются на работу в ту же компанию, нет.

Есть и обратный перекос: часть компаний из осторожности сканирует весь паспорт целиком, включая пустые страницы и старые визы в другие страны, которые к работе в России отношения не имеют. Это работает против самой компании: чем больше персональных данных в деле, тем больше объем, который нужно защищать, и тем заметнее вопрос при проверке, зачем работодателю виза в третью страну человека, которого он нанял делать ремонт или готовить еду.

Копии стоит хранить в бумажном личном деле или в защищенной цифровой системе, но не пересылать сканы по обычной электронной почте между отделами - это один из самых частых источников случайной утечки, которую потом сложно объяснить проверяющему как техническую случайность.

Хранение персональных данных иностранных сотрудников

Сроки хранения кадровых документов не зависят от гражданства работника: личные дела, копии паспортов и миграционных документов хранятся столько же, сколько и остальные кадровые дела, и регулирует это не 152-ФЗ, а архивное законодательство и внутренние акты компании. Подробный разбор сроков - в отдельной статье: хранение персональных данных: какие сроки на самом деле устанавливает закон.

Практическая особенность иностранных работников в том, что часть документов - патент, миграционная карта, полис ДМС - имеет собственный срок действия и продлевается или заменяется в течение года. Кадровая служба обновляет копии, но старые версии нередко остаются в деле на всякий случай. Правильный порядок - заменять устаревшую копию новой, а не копить архив из пяти версий одного и того же патента за разные годы: каждая лишняя копия увеличивает объем данных, которые компания обязана защищать, без какой-либо пользы.

Доступ к цифровым копиям стоит ограничивать по принципу необходимости: бухгалтеру нужен номер патента для расчета налога, а не скан миграционной карты целиком, менеджеру по персоналу - вся папка, а линейному руководителю - обычно вообще ничего из этого набора. Разграничение доступа - не формальность для внутреннего аудита, а способ уменьшить число людей, через которых документ может случайно утечь.

Передача данных иностранного работника за рубеж

Трансграничная передача возникает чаще, чем кажется на первый взгляд. Иностранный сотрудник числится в штате российской компании, но сведения о нем может запрашивать зарубежная материнская структура, если бизнес - часть международной группы, консульство или посольство при продлении визы, а иногда и служба проверки биографических данных, если компания заказывает такую проверку у иностранного подрядчика. Каждый такой случай - это трансграничная передача персональных данных со своими правилами: нужно проверить, входит ли страна получателя в перечень государств, обеспечивающих адекватную защиту данных, и до фактической передачи уведомить Роскомнадзор, если она выходит за рамки уже поданного ранее уведомления.

Отдельный, менее очевидный случай - зарубежная HR-система или сервис проверки данных, к которому компания подключает весь штат, включая иностранных сотрудников, без отдельного анализа именно этой категории данных. Если сервер такой системы физически находится за пределами России, туда автоматически уходят персональные данные каждого сотрудника, которого в нее внесли, и это трансграничная передача независимо от того, кто ее инициировал - HR-отдел, бухгалтерия или IT-служба при внедрении нового инструмента.

Подробно о списке стран и порядке уведомления РКН - в отдельном материале: трансграничная передача ПДн в 2026. Для отдела кадров здесь важно не путать физическое присутствие иностранца в России с тем, где физически находится сервер или офис получателя данных: гражданство сотрудника не влияет на квалификацию передачи, значение имеет только то, куда именно уходят сведения.

Ответственность за нарушения при работе с данными иностранных сотрудников

Нарушения в этой сфере разбираются по двум разным дорожкам, и их не стоит смешивать. Утечка или незаконная обработка персональных данных - это статья 13.11 КоАП, а с 30 мая 2025 года к ней добавились оборотные штрафы и статья 272.1 УК за незаконные действия с данными в крупном размере - нормы введены 420-ФЗ от 30.11.2024. Отдельно от этого существует ответственность за нарушение миграционного законодательства - несвоевременное уведомление МВД, работа без патента, нарушение правил постановки на учет, и она находится вне периметра 152-ФЗ, хотя фактически связана с теми же документами и той же кадровой службой.

Для миграционных нарушений предусмотрена в том числе приостановка деятельности и дисквалификация должностных лиц при повторных случаях, и суммы здесь определяются по своим правилам, отдельным от 152-ФЗ. Смешивать два реестра ответственности не стоит даже во внутренних инструкциях компании: сотрудник, который отвечает за миграционный учет, и сотрудник, который отвечает за защиту персональных данных, - формально разные зоны, даже если на практике этим занимается один и тот же кадровик.

Общий разбор штрафов по 152-ФЗ, включая то, как они считаются для небольших компаний и ИП, - в отдельной статье: штрафы для ИП за нарушение 152-ФЗ. На практике риск для работодателя иностранных сотрудников редко приходит с одной стороны: проверка миграционного учета нередко вскрывает и то, как компания хранит и передает персональные данные - лишние копии, незащищенные архивы сканов, пересылка документов через мессенджеры без всякой защиты.

Что сделать работодателю: порядок действий

Работа с персональными данными иностранного сотрудника укладывается в несколько шагов, которые проще выполнить один раз при приеме, чем разбирать задним числом при проверке.

• определить точный перечень документов под конкретную должность и страну происхождения сотрудника, не собирать все подряд;
• подать уведомление в МВД о заключении договора не позднее трех рабочих дней, отсчитывая срок от даты подписания, а не выхода на работу;
• проверить, кто выступает принимающей стороной по месту пребывания, и не требовать копию регистрации, если это не работодатель;
• хранить копии документов в защищенном виде и обновлять их по мере продления патента, визы или полиса ДМС, удаляя устаревшие версии;
• заранее выяснить, не возникает ли при работе с иностранным сотрудником трансграничная передача данных - материнской компании, консульству, подрядчику по проверке биографии;
• при увольнении подать уведомление в МВД в те же три рабочих дня и определить, что из личного дела подлежит уничтожению, а что хранится по общим кадровым срокам.

Ревизию стоит закрепить не разовым событием, а периодической процедурой: раз в квартал или при приеме каждого нового иностранного сотрудника сверять фактический состав личного дела с этим перечнем, а не полагаться на то, что кадровик и так все помнит.

Если в компании уже был случай, когда миграционные документы собирали с запасом, а копии годами лежали без учета сроков, стоит один раз провести ревизию личных дел иностранных сотрудников и привести их к минимально необходимому составу. С документами и процессами по 152-ФЗ, включая политику обработки данных и формы согласия под конкретный набор кадровых ситуаций, можно обратиться через 152fzpro.ru - сайт занимается доработкой документов и сайтов под этот закон.