Персональные данные и налоговая: что передается без согласия

Бухгалтер получает письмо из налоговой с требованием предоставить сведения о сотруднике или клиенте и первым делом идет искать подписанное согласие. В большинстве случаев это лишняя работа: персональные данные и налоговая служба взаимодействуют не по правилам согласия, а по прямому указанию закона. Если ФНС запрашивает сведения в рамках своих полномочий, оператор обязан их передать, и спрашивать разрешения у субъекта персональных данных не нужно. Дальше разберем, на каком основании это работает, что именно вправе запросить инспектор, как правильно оформить ответ на запрос налоговой и что делать, если требование выглядит подозрительно или выходит за рамки полномочий налогового органа. Тема касается не только бухгалтерии: с похожими требованиями сталкиваются кадровая служба, отдел продаж и даже маркетолог, если налоговая интересуется данными из CRM или базы подписчиков.

Нужно ли согласие сотрудника или клиента для передачи данных в ФНС

Короткий ответ - не нужно, если данные запрашивает налоговый орган в пределах полномочий, установленных Налоговым кодексом. Это касается и сведений о сотрудниках: зарплата, отпуска, больничные, вычеты, и сведений о клиентах или контрагентах, если они относятся к предмету налоговой проверки или конкретной сделки.

Разница с обычной передачей персональных данных третьим лицам в том, что здесь оператор не выбирает, отдавать данные или нет. У него есть обязанность, установленная законом, и отказ без законных оснований сам по себе может обернуться штрафом или заморозкой операций по счету. Форма согласия на обработку персональных данных, которую компания собирает от сотрудника при трудоустройстве или от клиента при оформлении заказа, вообще не участвует в этой цепочке - она описывает другие цели обработки и других получателей данных.

Путаница чаще всего возникает у небольших компаний, где согласие воспринимают как универсальный документ на все случаи жизни: раз оно подписано, значит можно передавать данные куда угодно. Обратная логика тоже неверна - раз согласие не собирали, значит налоговой отдавать нечего. Оба заблуждения одинаково опасны. В первом случае компания рискует передать лишнее и нарушить принцип минимизации обработки, во втором - вовремя не ответить на законное требование и получить штраф уже за это.

Кадровик, который получает такое требование в первый раз, часто теряется между двумя крайностями: собрать вообще все документы по сотруднику или, наоборот, отправить письменный отказ и ждать вопросов от юриста. Работает третий вариант - сверить перечень из требования с тем, что реально есть в личном деле, и передать только совпадающее. Если в требовании перечислены зарплата и стаж, а личное дело содержит еще и медицинскую справку или данные о судимости, эти сведения в ответ не идут, даже если так быстрее и проще.

Правовое основание - обязанность, возложенная законом

Федеральный закон 152-ФЗ о персональных данных от 27.07.2006 в статье 6 перечисляет случаи, когда обработка возможна без согласия субъекта. Один из них - обработка необходима для осуществления функций и полномочий, возложенных на оператора федеральным законом (пункт 2 части 1 статьи 6). Именно эта норма закрывает передачу данных в налоговую: Налоговый кодекс прямо наделяет ФНС правом истребовать документы и сведения, а на организацию или ИП накладывает обязанность их предоставить.

Полный перечень оснований для обработки без согласия шире: там есть и исполнение договора, и защита жизни и здоровья, и статистические или исследовательские цели с обязательным обезличиванием. Разбор всех шести оснований с примерами из практики есть в отдельном материале про обработку персональных данных без согласия - если нужно быстро определить, какое основание подходит для конкретной ситуации в компании, проще свериться со списком, чем гадать.

Важная деталь: основание исполнение обязанности по закону не требует локального акта или отдельного пункта в политике конфиденциальности, чтобы начать действовать. Обязанность возникает в момент, когда налоговый орган прислал законный запрос. Но описать этот случай в политике обработки персональных данных все равно стоит, потому что документ должен отражать реальные основания обработки, а не только те, что оператору привычнее объяснять клиентам.

На практике вопрос почти всегда возникает не заранее, а в момент, когда требование уже лежит на столе, и разбираться с основанием приходится в сжатые сроки. Небольшой компании стоит один раз проговорить с бухгалтером или юристом, к кому попадает такое письмо и кто визирует ответ, - тогда при реальном запросе не будет паузы на то, чтобы понять, кто вообще должен этим заниматься.

Что вправе запросить налоговая у оператора персональных данных

Полномочия ФНС ограничены Налоговым кодексом, и запрос должен укладываться в один из двух сценариев: проверка самого оператора либо истребование информации о конкретной сделке или контрагенте. От того, какой это случай, зависят и объем данных, который можно передать, и срок на ответ.

Запрос в рамках налоговой проверки

Если в отношении компании идет камеральная или выездная проверка, инспектор вправе затребовать документы, которые связаны с исчислением и уплатой налогов: расчетные листки, табели учета рабочего времени, договоры с сотрудниками и подрядчиками, документы по вычетам и льготам. Срок на ответ - 10 рабочих дней с момента получения требования по статье 93 Налогового кодекса, для консолидированной группы налогоплательщиков - 20 дней. Продлить срок можно, но для этого нужно письменно уведомить инспекцию и указать причину, по которой уложиться в срок не получается, до того как срок истечет, а не после.

На практике это выглядит так: клиника, у которой проверяют правильность удержания НДФЛ с зарплаты врачей, получает требование предоставить расчетные листки и табели за конкретный период. Данные пациентов в этот перечень не входят, и включать их в ответ не нужно, даже если они физически хранятся в той же базе.

Запрос вне рамок проверки

Отдельный случай - истребование сведений о конкретной сделке у участников этой сделки или у тех, кто ей располагает, даже если проверка идет не у самого адресата запроса (статья 93.1 Налогового кодекса). Срок здесь короче - 5 рабочих дней. Именно по этому основанию налоговая чаще всего запрашивает данные у контрагентов проверяемой компании: кто подписывал документы, кто получал оплату, кто указан в качестве представителя при заключении договора.

Пример: интернет-магазин указан контрагентом в документах компании, которую сейчас проверяют. Налоговая присылает требование предоставить данные о сделке - договор, накладные, контакты лица, которое вело переговоры. Персональные данные здесь передаются не потому, что налоговая проверяет сам магазин, а потому что она собирает информацию о чужой сделке, и закон обязывает всех ее участников содействовать в пределах, которые указаны в требовании.

Что не относится к полномочиям налоговой

Отдельно стоит определить границу: сведения, которые не связаны с исчислением налогов и страховых взносов, в требование попадать не должны. Личная переписка сотрудников, содержимое CRM с историей обращений клиентов, данные о состоянии здоровья, если проверка не касается пособий по больничным листам, - это уже за пределами того, что вправе запросить инспектор в рамках статьи 93 или 93.1 Налогового кодекса. Требование, которое включает такие сведения, можно и нужно оспаривать в части, которая превышает полномочия, а не игнорировать целиком.

Школа, которая ведет электронный дневник и получает запрос от налоговой по зарплате учителя, не обязана предоставлять оценки или персональные данные учеников - эти сведения к предмету проверки не относятся, даже если хранятся в той же информационной системе, что и расчетные ведомости.

Какие данные ФНС получает без отдельного запроса

Часть сведений попадает в налоговую вообще без запроса - это регулярная отчетность, которую оператор обязан подавать сам. Работодатель ежеквартально сдает расчет по страховым взносам с персональными данными каждого сотрудника, а по итогам года - справку о доходах в составе расчета 6-НДФЛ. Обе формы содержат ФИО, ИНН, СНИЛС, суммы дохода и удержанного налога, и подаются без отдельного согласия сотрудника, потому что это прямая обязанность налогового агента. Полный список того, что обязан делать работодатель с персональными данными сотрудников, шире одной отчетности перед налоговой - он включает и хранение, и сроки, и доступ третьих лиц.

Банки сообщают в налоговую об открытии и закрытии счетов, а по отдельным операциям - о движении средств (статья 86 Налогового кодекса). Банк выступает здесь оператором персональных данных, который исполняет не разовое требование инспектора, а постоянную обязанность, встроенную в саму суть его деятельности. У самозанятых похожая логика: сведения о доходах уходят в налоговую автоматически через приложение, которым они формируют чеки, и отдельного согласия на эту передачу тоже никто не просит.

Похожий механизм работает и для интернет-магазинов. Онлайн-касса передает данные о каждой покупке в налоговую через оператора фискальных данных, и если чек оформлен на конкретного покупателя, в этот поток попадают его фамилия и номер телефона. Формально это тоже передача персональных данных без отдельного согласия, потому что применение контрольно-кассовой техники - обязанность продавца, установленная законом, а не решение, которое можно обойти уведомлением на кассе.

Разница с разовым запросом в том, что для регулярной отчетности не нужно проверять полномочия инспектора и сверять форму требования - порядок сдачи закреплен в законе и не меняется от компании к компании. Обязанности оператора персональных данных здесь пересекаются с обязанностями налогового агента, и на практике одна и та же служба в компании, бухгалтерия, отвечает и за то, и за другое.

Как оформить ответ на запрос налоговой

Получить требование - не значит автоматически отправить все, что есть в базе. Ответ стоит собирать по тому же принципу, что и ответ на запрос из другого контролирующего органа: сверить полномочия, ограничить объем предметом запроса, зафиксировать факт передачи. Порядок действий при обращении из Роскомнадзора построен на похожей логике, хотя основания и сроки у двух ведомств разные.

Ниже - порядок, который снимает большую часть спорных моментов и годится и для проверки, и для истребования сведений о сделке.

1. Проверить, что требование подписано уполномоченным лицом налогового органа и содержит ссылку на статью Налогового кодекса, по которой оно направлено.
2. Сверить объем запроса: инспектор вправе получить данные, которые относятся к предмету проверки или сделки, а не всю карточку сотрудника или клиента целиком.
3. Собрать документы и данные строго по перечню из требования, без добавления сведений на всякий случай.
4. Указать в сопроводительном письме дату получения требования и опись переданных документов - это фиксирует, что именно и когда ушло из компании.
5. Уложиться в срок: 10 рабочих дней при проверке, 5 рабочих дней при истребовании информации о сделке. Если не успеваете, направить письмо о продлении до истечения срока, а не после.
6. Сохранить копию ответа и опись у себя - она пригодится, если позже возникнет спор о том, что именно и когда было передано.
7. Если в требовании встречаются сведения о здоровье, судимости или других специальных категориях данных, оценить связь с предметом проверки отдельно, прежде чем включать их в ответ.

Что можно передавать налоговой, а что нет

Ниже - типичные ситуации, с которыми сталкивается бизнес, отвечая на запросы налоговой службы. Таблица не заменяет чтение самого требования, но помогает быстро сориентироваться, к какой категории относится конкретный случай, прежде чем собирать документы.

Ситуация	Нужно ли согласие субъекта	Комментарий
Зарплата, вычеты, отпуска сотрудника по требованию в рамках проверки	Не нужно	Основание - обязанность, возложенная законом, пункт 2 части 1 статьи 6 закона 152-ФЗ
Данные о сделке с контрагентом по статье 93.1 Налогового кодекса	Не нужно	Запрос ограничен конкретной сделкой, а не всей историей контрагента
Медицинские сведения сотрудника при проверке, которая касается только НДФЛ	Требует отдельной оценки	Спецкатегория данных, связь с предметом проверки нужно проверить отдельно
Устная просьба предоставить данные для налоговой без официального требования	Нельзя передавать	Нет документа - нет обязанности, это уже разглашение персональных данных
Передача сведений в налоговую службу другой страны	Отдельный порядок	Это трансграничная передача, регулируется другими нормами закона

Если ситуация не укладывается ни в одну строку из таблицы, разумный способ действий - не гадать, а письменно уточнить у налогового органа, на каком основании запрошены именно эти сведения, и уже после этого готовить ответ.

Где заканчиваются полномочия налогового органа

Полномочия ФНС - не карт-бланш на любые данные компании. Инспектор вправе запросить то, что связано с исчислением и уплатой налогов, а не любую информацию, которая есть в базе оператора. Если требование сформулировано широко, например, предоставить все персональные данные сотрудников за три года без уточнения цели, у компании есть право уточнить у налогового органа, какая именно информация нужна и в связи с чем, прежде чем собирать и передавать данные.

Отказ от передачи того, что выходит за пределы предмета проверки, не равен уклонению от исполнения законного требования - это разграничение объема ответа. Оператор вправе передать документы по перечню, а по остальным пунктам письменно попросить уточнить основание. Такая переписка занимает время, но снимает риск, что компания сама превратится в источник избыточной передачи персональных данных, а это уже вопрос к самому оператору, а не к налоговой.

На практике конфликт чаще возникает не из-за намерения инспектора получить лишнее, а из-за шаблонного текста требования, где перечень сведений скопирован из типовой формы и не адаптирован под конкретную ситуацию. Уточняющее письмо в таких случаях снимает проблему быстрее, чем спор по существу, и не портит отношения с инспекцией, которая продолжит проверять компанию и после этого запроса.

Похожая ситуация встречается у интернет-магазинов: требование в рамках встречной проверки контрагента иногда сформулировано так, что просит выгрузку всей базы покупателей за несколько лет, хотя сделка, которая интересует инспектора, касается одной поставки. В таком случае логично ответить по существу сделки и отдельно уточнить, нужна ли остальная база и на каком основании.

Как проверить, что запрос настоящий

Требование от налоговой - это не звонок и не письмо на личную почту бухгалтера. У документа должна быть исходящая форма, номер, подпись уполномоченного лица инспекции, печать или электронная подпись, если требование пришло через личный кабинет налогоплательщика или систему электронного документооборота. Запрос, который пришел по телефону или в мессенджере с просьбой срочно прислать данные сотрудников для сверки, почти наверняка не имеет отношения к настоящей налоговой службе.

Цена ошибки выросла. С 30 мая 2025 года за утечку и незаконное распространение персональных данных в крупном размере грозит не только оборотный штраф, но и уголовная ответственность по статье 272.1 Уголовного кодекса - нормы введены федеральным законом 420-ФЗ от 30.11.2024. Передача данных мошеннику, который представился инспектором, юридически ничем не отличается от утечки: согласия на такую передачу нет, законного основания тоже нет, и отвечать будет оператор, а не тот, кто позвонил.

Похожие схемы социальной инженерии в последние годы отрабатывают и через поддельные письма якобы от личного кабинета налогоплательщика - с похожим дизайном и доменом, который отличается от настоящего на одну букву. Сотрудников, которые работают с такими письмами, стоит научить проверять домен отправителя и не переходить по ссылкам на ввод логина и пароля от личного кабинета, даже если письмо выглядит убедительно.

Простое правило снимает большую часть риска: любой запрос персональных данных, который пришел не через официальный канал, личный кабинет, электронную почту инспекции или бумажное письмо с печатью, стоит перепроверить встречным звонком по номеру с сайта налоговой службы, а не по номеру, указанному в самом письме или сообщении.

Нужно ли отражать передачу данных в налоговую в политике обработки

Формально закон не требует получать согласие на эту передачу, но требует, чтобы политика обработки персональных данных описывала реальные цели и основания обработки, включая передачу третьим лицам. Налоговая формально не совсем третье лицо в том смысле, который закон вкладывает в передачу данных для целей оператора: она получает данные не в его интересах, а в силу собственных полномочий. Но пользователю сайта или сотруднику компании стоит понимать, что его данные могут уйти в контролирующий орган в силу закона.

Обычно для этого достаточно одной фразы в разделе о правовых основаниях обработки: данные могут передаваться государственным органам в случаях, предусмотренных законодательством, без дополнительного уведомления субъекта. Это не превращает документ в длинный юридический текст, но закрывает вопрос при проверке: инспектор, который читает политику компании, увидит, что случай передачи в контролирующие органы учтен, а не забыт.

Если политика на сайте писалась давно и такого пункта нет, лучше добавить его при ближайшем обновлении, а не ждать отдельного повода. Обновление формулировок, которое не меняет цели обработки, само по себе не требует нового согласия и отдельного уведомления пользователей.

На практике формулировку проще всего добавить туда же, где уже описана передача данных в Роскомнадзор или другие контролирующие органы по их законным запросам - так политика не разрастается на десяток новых абзацев, а закрывает сразу несколько похожих ситуаций одной фразой.

Что делать дальше

Три шага, которые снимают большую часть вопросов при следующем запросе от налоговой.

• Проверьте, есть ли в политике обработки персональных данных пункт о передаче данных государственным органам по закону. Если нет, добавьте его при ближайшем обновлении документа.
• Заведите короткую внутреннюю инструкцию для бухгалтерии и отдела кадров: как проверять подлинность требования, куда его пересылать на согласование, кто в компании подписывает ответ.
• Не путайте это основание с согласием на обработку. Обязанности оператора персональных данных здесь работают параллельно с обязанностями налогового агента, а не вместо них.
• Не отвечайте на запросы, которые пришли не через официальный канал, пока не перепроверите их подлинность встречным звонком в инспекцию.

Сложность в этой теме обычно не в самом факте передачи - тут закон говорит однозначно, а в границах: сколько отдать, в какой срок и как отделить настоящий запрос от подделки под него. Если в компании до сих пор нет процедуры на такой случай или политика обработки не обновлялась после последних изменений закона, специалисты 152fzpro.ru приведут документы и процессы сайта в соответствие с действующими требованиями. Это не разовая консультация, а конкретный результат: обновленные документы и настройки, которые потом можно предъявить проверяющему без спешки.