Персональные данные сотрудников: закон касается каждого работодателя
Персональные данные сотрудников закон защищает не менее строго, чем данные клиентов на сайте, а в кадровой практике даже строже: здесь есть отдельная глава Трудового кодекса, которая работает вместе с ФЗ-152 О персональных данных от 27 июля 2006 года N 152-ФЗ. Работодатель становится оператором персональных данных с первого дня, как только в отделе кадров появляется анкета соискателя, и обязанности у него те же, что у интернет-магазина или клиники: законное основание для обработки, согласия там, где они нужны, документы, ограничение доступа и защита от утечки.
На практике кадровая служба - один из самых уязвимых участков компании с точки зрения ФЗ-152. Здесь одновременно есть паспортные данные, СНИЛС, сведения о здоровье из больничных листов, банковские реквизиты для зарплаты, а иногда данные о судимости, семейном положении, месте жительства детей. Часть этих сведений относится к специальным категориям и требует письменного согласия, часть можно обрабатывать вообще без согласия - на основании трудового договора. Ошибка в этой границе - частая причина претензий Роскомнадзора и жалоб самих работников. Размер компании роли не играет: у индивидуального предпринимателя с одним нанятым сотрудником те же обязанности оператора персональных данных, что и у крупного предприятия с отделом кадров на десять человек, разница только в масштабе последствий, если что-то пойдет не так.
Игнорирование этих правил обходится дорого: административная ответственность по статье 13.11 КоАП РФ, риск жалобы работника в трудовую инспекцию или иск о компенсации морального вреда. Как показывает разбор типичных штрафов РКН за 2025 год, кадровые нарушения встречаются наравне с ошибками на сайтах, а часто идут вместе: жалобу на компанию Роскомнадзор проверяет и по сайту, и по внутренним процессам.
Какие законы регулируют персональные данные сотрудников
Основных документов два. Первый - Трудовой кодекс, глава 14, статьи 86-90 (статья 85 в этой главе утратила силу, ее содержание перенесено в отраслевой закон). Здесь закреплены общие требования к обработке, порядок хранения и использования данных, правила передачи третьим лицам, права работника и ответственность работодателя за нарушения. Второй - ФЗ-152 О персональных данных, он действует как рамочный закон для любого оператора, включая работодателя: определяет, что такое персональные данные, какие у них категории, когда нужно согласие, а когда нет, и что грозит за нарушение.
Эти два закона не конкурируют, а дополняют друг друга. Трудовой кодекс говорит, что именно работодатель обязан делать в рамках трудовых отношений, ФЗ-152 - как оформлять это с точки зрения защиты данных: какие документы нужны, как получать согласие, куда сообщать об утечке. Если в компании уже есть общее положение об обработке персональных данных как локальный акт оператора, кадровый блок логично оформить его разделом, а не вести отдельный документ с нуля: так меньше риск, что общая политика скажет одно, а инструкция кадровика - другое.
Когда работодателю нужно согласие работника на обработку персональных данных, а когда нет
Часть 1 статьи 6 ФЗ-152 разрешает обрабатывать персональные данные без согласия в нескольких случаях, и один из них - когда обработка нужна для исполнения договора, стороной которого выступает сам субъект данных. Трудовой договор для этой цели ничем не отличается от любого другого гражданского договора. Значит, весь базовый кадровый цикл - прием на работу, ведение личной карточки, начисление зарплаты, учет отпусков и больничных, увольнение - работодатель вправе вести без отдельного согласия работника. Требовать подписать общее согласие на обработку персональных данных при трудоустройстве, как это часто делают по привычке, юридически избыточно: основание уже есть в самом трудовом договоре.
Согласие работника на обработку персональных данных становится обязательным в других случаях. Во-первых, когда работодатель обрабатывает специальные категории данных - сведения о здоровье, судимости, иногда о религиозных убеждениях, если они всплывают, например, в контексте отпуска на религиозные праздники. Во-вторых, когда данные передаются тому, кому это не предписано законом напрямую: рекрутинговому агентству после увольнения, стороннему сервису кадрового учета, партнеру для проверки биографии. В-третьих, когда данные используются не для трудовых целей - например, фото сотрудника публикуется на сайте компании в разделе команда или в рекламных материалах.
| Ситуация | Нужно ли согласие | Почему |
|---|---|---|
| Прием на работу, ведение личной карточки, расчет зарплаты | Не нужно | Обработка необходима для исполнения трудового договора |
| Передача данных в ПФР, ФНС, ФСС | Не нужно | Обязанность установлена законом напрямую |
| Перечисление зарплаты на карту по выбору самого работника | Как правило не нужно | Условие определено трудовым или коллективным договором |
| Оформление ДМС или страхования жизни через стороннюю страховую | Нужно | Данные передаются организации, не участвующей в трудовых отношениях |
| Сведения о здоровье из больничного, медицинские справки | Нужно, письменное | Специальная категория персональных данных |
| Фото и биография на сайте компании, в презентациях, соцсетях | Нужно | Цель обработки выходит за рамки трудовых отношений |
| Проверка кандидата через рекрутинговое агентство или службу безопасности | Нужно | Обработку ведет третье лицо не по прямому указанию закона |
| Хранение данных уволенного сотрудника дольше архивного срока | Нужно, иначе данные подлежат уничтожению | Цель обработки, ради которой согласие не требовалось, уже достигнута |
Форма согласия работника на обработку персональных данных принципиально не отличается от формы для клиентов сайта: письменный документ (или его электронный аналог) с указанием оператора, перечня данных, целей обработки, срока действия и порядка отзыва. Разница в том, что в кадровом деле такое согласие обычно оформляется не чекбоксом, а отдельным бланком, который работник подписывает лично и который подшивается в личное дело.
Что работодателю запрещено требовать и собирать
Статья 86 Трудового кодекса прямо запрещает работодателю получать и обрабатывать данные о политических, религиозных и иных убеждениях работника, о его частной жизни, о членстве в общественных объединениях, включая профсоюзы, - кроме случаев, прямо предусмотренных законом. На практике это означает: анкета при приеме на работу не должна содержать вопросов о вероисповедании, партийной принадлежности, планах на семью, состоянии здоровья родственников. Даже если работник готов ответить добровольно, собирать и хранить такие сведения не стоит - лишние данные увеличивают ответственность и не дают никакой пользы делу.
Отдельный вопрос - документы при приеме на работу. Перечень, который работодатель вправе запросить, закрыт статьей 65 Трудового кодекса: паспорт, трудовая книжка или сведения о трудовой деятельности, документ об образовании, страховое свидетельство (СНИЛС), документы воинского учета для военнообязанных, а для отдельных должностей - справка об отсутствии судимости. Требовать что-то сверх этого - например, копию паспорта супруга или характеристику с прежнего места работы - можно, только если это отдельно предусмотрено законом, либо сам работник добровольно предоставляет документ для получения льготы. Тогда обработка идет уже по другому основанию, с его согласия.
Права работника в отношении собственных персональных данных
Работник вправе не просто узнать, какие данные о нем хранятся, но и влиять на то, как они используются. У него есть право на полную информацию о своих персональных данных и об их обработке, на свободный бесплатный доступ к ним, включая право получать копии любой записи, содержащей его данные. Он вправе требовать исключения или исправления неверных или неполных данных, а также данных, обработанных с нарушением закона. Работник может назначить представителя для защиты своих персональных данных и обжаловать неправомерные действия или бездействие работодателя, в том числе в суде.
На практике это означает, что у кадровой службы должен быть понятный порядок: куда работник обращается с таким запросом, кто и в какой срок отвечает, как фиксируется сам факт обращения. Удобно вести для этого отдельный журнал - тот же, что упоминался в перечне обязательных документов, - а не полагаться на то, что просьбу передадут на словах и не забудут.
Ответственность работодателя за нарушение правил обработки персональных данных сотрудников
Статья 90 Трудового кодекса устанавливает, что нарушение работодателем норм, регулирующих обработку и защиту персональных данных работника, влечет дисциплинарную и материальную ответственность по правилам самого Трудового кодекса, а также гражданско-правовую, административную и уголовную - по правилам соответствующих федеральных законов. Один и тот же случай - например, утечка личных дел из-за незащищенного облачного хранилища - способен обернуться сразу несколькими видами ответственности: выговором или увольнением виновного сотрудника кадровой службы, штрафом для компании и ее руководителя, иском самого работника о компенсации морального вреда.
За нарушения именно в области персональных данных отвечает статья 13.11 КоАП РФ - она объединяет сразу несколько составов: обработка без законного основания, отсутствие письменного согласия там, где оно обязательно, невыполнение обязанности по уничтожению данных, отсутствие уведомления в Роскомнадзор. Суммы штрафов различаются в зависимости от конкретного состава и от того, кто нарушитель - гражданин, должностное лицо или организация, а по составам, связанным с утечками, речь может идти о суммах, привязанных к выручке компании. Кадровые данные в этом смысле не выведены из-под общих правил: то, что нарушение произошло во внутренних процессах, а не на сайте, ответственности не снимает.
Обработка данных соискателей: с чего начинается кадровый ФЗ-152
Обязанности по ФЗ-152 начинаются не с подписания трудового договора, а раньше - с момента, когда кандидат присылает резюме или заполняет анкету на сайте вакансий. На этом этапе трудового договора еще нет, поэтому основание про исполнение договора не работает: формально это преддоговорные отношения, и для этой стадии обычно нужно отдельное согласие соискателя на обработку резюме - через форму на сайте компании или через саму площадку с вакансиями. Подробно о том, как устроена работа с резюме на сайтах вакансий и в HR-tech сервисах, разобрано в статье об обработке резюме без нарушений ФЗ-152. Как только кандидат становится сотрудником, данные из анкеты кандидата фактически превращаются в данные работника, и дальше действует уже трудовое основание - но саму переписку с этапа отбора стоит хранить отдельно и не дольше, чем нужно для решения о найме.
Какие документы должны быть в компании по кадровым персональным данным
Пакет документов для обработки персональных данных сотрудников совпадает по логике с пакетом для сайта, но состав пунктов другой. Работодателю нужны:
- положение об обработке и защите персональных данных работников - обычно раздел общего локального акта оператора, утверждается приказом руководителя;
- приказ о назначении ответственного за организацию обработки персональных данных;
- письменные согласия работников там, где они требуются по закону, а не по привычке отдела кадров;
- журнал учета обращений субъектов персональных данных, если такие обращения случаются;
- договор поручения на обработку персональных данных с каждым подрядчиком, который получает доступ к кадровым данным - сервис расчета зарплаты, аутсорсинговая бухгалтерия, площадка для электронного документооборота;
- уведомление об обработке персональных данных в Роскомнадзор, если компания подпадает под обязанность его подавать.
Если этот пакет собирается впервые, разумно отталкиваться от общего перечня локальных актов оператора персональных данных и вписывать в него кадровый блок отдельными пунктами, а не вести две параллельные системы документов. Иначе через год-два накопятся расхождения: в общей политике будет заявлен один порядок хранения, а в отделе кадров - другой.
Как хранить личные дела и кадровые документы
Личное дело сотрудника - это картотека персональных данных повышенной чувствительности: паспортные данные, СНИЛС, иногда ИНН, сведения о семье, копии дипломов. Доступ к бумажным личным делам должен быть физически ограничен - запирающийся шкаф или сейф в кадровой службе, а не открытая полка в общем помещении. Электронные копии этих же документов подчиняются тем же требованиям к защищенности, что и любые персональные данные на сайте или в CRM: разграничение прав доступа, журналирование, кто и когда открывал файл, шифрование при передаче.
Отдельный вопрос - резервные копии кадровой базы. Бэкап 1С Зарплата и управление персоналом или любой другой кадровой системы содержит те же чувствительные данные, что и рабочая база, а хранится часто небрежнее: на внешнем диске в столе кадровика, в общей папке на облаке без пароля, на личном ноутбуке бухгалтера, который ведет зарплату по договору подряда. Общие правила о том, где можно и где нельзя хранить резервные копии персональных данных, распространяются на кадровые бэкапы точно так же, как на бэкапы сайта.
Передача данных сотрудников банкам, страховым компаниям и подрядчикам
Зарплатный проект с банком - самый частый пример передачи данных сотрудника третьему лицу. Если работник сам выбрал банк и указал реквизиты, обработка укладывается в рамки трудового договора и отдельного согласия обычно не требует. Если банк для зарплатного проекта выбрал сам работодатель и предложил сотрудникам открыть в нем счета, вопрос сложнее: часть юристов считает, что здесь тоже работает договорное основание, часть настаивает на отдельном согласии. Безопаснее для работодателя - получить согласие явно, тем более что это не требует ни времени, ни денег.
С добровольным медицинским страхованием и страхованием жизни ситуация однозначнее: страховая компания не участвует в трудовых отношениях, поэтому передача ей данных работника - фамилии, даты рождения, а тем более сведений о здоровье при заключении договора - требует согласия. То же самое касается передачи данных в аутсорсинговую бухгалтерию, сервис кадрового электронного документооборота, IT-подрядчика, который администрирует базу сотрудников: по каждому такому подрядчику работодателю нужен договор поручения на обработку персональных данных с условием о конфиденциальности и запретом обработки в иных целях. При этом ответственность перед самим работником и перед Роскомнадзором в любом случае несет работодатель как оператор, даже если утечка произошла у подрядчика, - договор поручения фиксирует внутренние обязательства сторон, но не переносит эту ответственность целиком на исполнителя.
Что делать с персональными данными после увольнения
Увольнение не означает, что данные нужно сразу удалить. Часть сведений работодатель обязан хранить определенный срок в силу архивного законодательства: Федеральный закон от 22.10.2004 N 125-ФЗ Об архивном деле в Российской Федерации устанавливает, что кадровые документы, созданные после 2003 года, хранятся 50 лет, а более ранние - 75 лет. Это касается личных карточек, приказов по личному составу, лицевых счетов по зарплате. Обработка на этот период тоже опирается на закон, а не на согласие, поэтому отзывать его после увольнения бессмысленно - для этой части данных его и не спрашивали.
А вот то, что не подпадает под архивные сроки - переписка с рекрутером на этапе отбора, черновики резюме, доступы в корпоративные сервисы, - нужно закрывать и по возможности удалять по мере того, как отпадает цель обработки. На практике удобно завести внутренний регламент: в какой срок после увольнения деактивируется учетная запись, когда данные из рабочих систем переносятся в архив, а когда уничтожаются полностью с оформлением акта.
Чек-лист кадровика по персональным данным сотрудников
Проверить состояние кадровых персональных данных в компании можно по короткому списку. Если хотя бы на треть пунктов ответ отрицательный, стоит пересмотреть кадровые процессы, прежде чем этим займется проверка.
- В компании есть положение об обработке персональных данных работников, утвержденное приказом.
- Назначен ответственный за организацию обработки персональных данных, есть приказ о назначении.
- Анкета при приеме на работу не содержит вопросов о политических, религиозных взглядах, частной жизни.
- Перечень запрашиваемых при трудоустройстве документов не выходит за рамки установленного законом.
- Согласие на обработку специальных категорий данных (здоровье, судимость) оформляется письменно и отдельно от прочих документов.
- С банком, страховой, аутсорсинговой бухгалтерией и другими подрядчиками подписан договор поручения на обработку персональных данных.
- Бумажные личные дела хранятся в запираемом шкафу или сейфе, доступ ограничен кадровой службой.
- Резервные копии кадровой базы не лежат на личных устройствах и в открытых облачных папках.
- Фото и биографии сотрудников публикуются на сайте и в соцсетях только с отдельным согласием.
- Есть регламент, что происходит с данными и доступами сотрудника после увольнения.
- Сроки хранения кадровых документов после увольнения соответствуют архивному законодательству.
- Компания подала уведомление в Роскомнадзор об обработке персональных данных, если это требуется по закону.
Последний пункт стоит проверить в первую очередь: отсутствие обязательного уведомления - одно из немногих нарушений ФЗ-152, которое Роскомнадзор способен увидеть без всякой проверки сайта или жалобы, просто сверяя реестр операторов с открытыми данными о компании. Разбор того, чем грозит отсутствие уведомления и как его избежать, будет полезен даже тем, кто занимался только сайтом и не думал, что кадровый блок тоже требует уведомления.
Как привести кадровые персональные данные в порядок
Полный список обязанностей выглядит длинным, но на практике сводится к трем вещам: понять, какие данные и на каком основании обрабатываются, оформить это в документах, а не только в памяти кадровика, и ограничить доступ к тому, что действительно чувствительно. Часто оказывается, что фактических нарушений немного, а основная проблема в том, что процессы никогда не описывались письменно и держатся на том, что в отделе кадров помнят, как правильно. Начать удобно с малого: свести в один список, какие данные и о ком собирает компания на каждом этапе - от отклика на вакансию до личного дела уволенного пять лет назад сотрудника, - и сверить каждый пункт с тем, есть ли для него законное основание и нужный документ.
Если кадровый блок разбирается вместе с остальным сайтом и документами компании, картина получается полнее: одни и те же принципы применяются и к форме заявки на сайте, и к личному делу в отделе кадров, а комплект локальных актов не дублируется. Специалисты 152fzpro.ru проводят аудит именно в таком объеме - от сайта и форм до внутренних кадровых процессов - и помогают довести документы и практику обработки данных до состояния, которое выдержит проверку Роскомнадзора.