Обработка персональных данных работников: полный порядок от приема до увольнения

Обработка персональных данных работников начинается не с трудового договора, а с первого документа, который человек приносит на собеседование. Резюме, паспорт, СНИЛС, диплом - все это персональные данные, и закон требует обращаться с ними по конкретным правилам с первого дня, а не после оформления в штат.

Работодатель подпадает сразу под два регулирования. Глава 14 Трудового кодекса, статьи 85-90 ТК РФ, описывает, что можно делать с данными работника внутри трудовых отношений: как собирать, хранить, передавать и защищать. Федеральный закон 152-ФЗ о персональных данных накладывает общие требования оператора: согласие, сроки хранения, ответственность за утечку. Оба закона действуют одновременно, и там, где ТК РФ молчит, применяется 152-ФЗ. Отдельного закона про персональные данные работников ТК РФ не содержит - нормы главы 14 и общие требования 152-ФЗ применяются вместе, и путаница чаще всего возникает именно на стыке этих двух актов.

Дальше по порядку: что можно спрашивать при приеме, когда нужно отдельное согласие, какие документы обязательны, кому можно передавать данные и что делать при увольнении. В конце - сводная таблица по всем этапам и чек-лист для кадровика.

Какие персональные данные работника защищает закон

Персональные данные работника - любая информация, которая относится к нему как к конкретному человеку. Это не только паспортные данные и адрес. Юридически сюда попадают анкета при приеме, результаты аттестаций, дисциплинарные взыскания, размер зарплаты, номер медицинской книжки и даже фотография на пропуске.

ТК РФ негласно делит эти сведения на две группы. Обычные данные - ФИО, дата рождения, образование, стаж, реквизиты для зарплаты. Их работодатель обрабатывает в силу трудового договора, отдельное согласие не нужно. Специальные категории - здоровье, семейное положение сверх необходимого, национальность, религиозные убеждения, членство в профсоюзе - защищены жестче: собирать их можно только если это прямо разрешено законом или работник сам дал письменное согласие.

Показательный пример - что нельзя вписывать в анкету при приеме. Вопросы о вероисповедании, национальности, партийной принадлежности прямо запрещены статьей 86 ТК РФ, даже если кандидат готов ответить добровольно. Кадровик, который использует общую анкету и не убрал такие пункты, создает риск себе сам, и такую анкету инспектор замечает при проверке в первую очередь.

Отдельная категория - данные о состоянии здоровья. Работодатель вправе получить только заключение медкомиссии о годности к работе, а не диагноз. Смешение этих двух вещей - частая ошибка отделов кадров на производстве и в сфере услуг.

Что можно требовать у соискателя при приеме

Список документов, которые работодатель вправе запросить при трудоустройстве, закрыт статьей 65 ТК РФ: паспорт, трудовая книжка или сведения о трудовой деятельности, СНИЛС, документ об образовании, документы воинского учета для военнообязанных, справка об отсутствии судимости - но только для отдельных должностей, где это предусмотрено законом: образование, госслужба, работа с детьми.

Все, что сверх этого списка, - справка о состоянии здоровья без медицинских показаний, характеристика с прежнего места, кредитная история, скриншоты соцсетей - работодатель требовать не вправе, даже если внутренний регламент компании это предусматривает. Внутренний документ не отменяет закон.

Отдельно стоит резюме и анкета, которые кандидат присылает до оформления. Формально трудовые отношения еще не начались, и обрабатывать эти данные компания вправе на основании закона - для решения вопроса о заключении договора, без отдельного согласия. Но если кандидату отказали, а резюме осталось в почте HR-менеджера на неопределенный срок, это уже нарушение: данные нужно либо удалить, либо получить согласие на хранение в кадровом резерве. Подробно о том, что делать с резюме после отказа, разобрано в отдельной статье про персональные данные соискателей.

Практический момент для интернет-магазинов и небольших сервисов, где HR совмещен с администрированием сайта: форма отклика на вакансию на сайте компании - точно такая же форма сбора персональных данных, как форма заказа. Ей нужны согласие на обработку и понятный срок хранения, а не просто поле для файла резюме.

Отдельно стоят категории работников, для которых закон требует дополнительных документов при приеме. Для иностранных граждан это патент или разрешение на работу, для несовершеннолетних - согласие законного представителя на трудоустройство, для сотрудников общепита и медицинских организаций - личная медицинская книжка с результатами обследований. Эти документы тоже персональные данные, и хранить их нужно по тем же правилам, что паспорт и СНИЛС, а не в отдельной папке без учета доступа.

Нужно ли согласие работника на обработку данных

Отдельное письменное согласие сотрудника на обработку персональных данных не нужно для того, что прямо связано с исполнением трудового договора: расчет зарплаты, ведение табеля, передача сведений в СФР, отчетность в налоговую. Основание - закон и сам факт трудовых отношений, а не воля работника.

Согласие требуется в трех типичных ситуациях. Первая - обработка специальных категорий данных: здоровье сверх допуска к работе, семейное положение для льгот, если работник сам инициировал их предоставление. Вторая - использование данных за пределами трудовых обязанностей: фото и видео на сайте компании, публикация в корпоративной рассылке, участие в отзывах и кейсах. Третья - передача данных третьим лицам, если это не предусмотрено законом напрямую, например добровольное медицинское страхование от частной компании, а не полис ОМС.

Практический пример: клиника размещает на сайте фото врачей с именами и специализацией. Это использование данных сотрудника за пределами трудовых обязанностей, и нужно отдельное согласие каждого врача на публикацию фото и должности на сайте, даже если эти сведения и так есть в дипломе, вывешенном на стене кабинета. Без такого согласия у клиники будет обработка персональных данных без законного основания, даже если саму фотографию сделал штатный фотограф по заданию работодателя.

С 1 сентября 2025 года действует правило из 156-ФЗ от 24 июня 2025 года: согласие на обработку персональных данных оформляется отдельным документом, а не пунктом внутри трудового договора или другого документа. Пункт о согласии, спрятанный внутри трудового договора, юридической силы уже не имеет - нужен отдельный документ. Если в компании такая практика сохранилась с прошлых лет, шаблоны нужно поменять - для новых сотрудников точно, и по возможности переоформить с действующими.

Отозвать согласие сотрудник может в любой момент, но это не отменяет обработку данных, которая нужна для самого трудового договора: уволить человека нельзя, если он отозвал согласие на обработку зарплатной ведомости, - трудовые отношения продолжают регулироваться ТК РФ.

Положение об обработке персональных данных работников: что должно быть внутри

Базовый документ, без которого не обходится ни одна проверка кадрового делопроизводства, - положение об обработке персональных данных работников. В кадровых документах его часто называют короче: положение об обработке ПДн работников. Это внутренний локальный акт, обязательный по статье 87 ТК РФ, и его отсутствие - одно из самых частых замечаний инспектора Роскомнадзора при проверке организаций с наемным персоналом.

В положении обычно закрывают шесть блоков: какие данные собираются и с какой целью, кто внутри компании имеет к ним доступ, порядок хранения - бумажные носители, электронные базы, срок, порядок передачи третьим лицам, права работника на доступ к своим данным и порядок их исправления, ответственность за нарушение порядка обработки.

Частая ошибка - скачать типовой шаблон из интернета и не адаптировать его под реальные процессы компании. Если в положении написано, что данные хранятся в базе данных с шифрованием, а по факту это обычный файл на рабочем столе бухгалтера, при проверке документ работает против компании: он фиксирует обещание, которое не выполняется.

Каждого работника нужно письменно ознакомить с положением под подпись - это отдельное требование, отличное от согласия на обработку. Обычно это делают при приеме вместе с трудовым договором и должностной инструкцией, но фактически можно и позже, если раньше положения в компании не было. Задним числом переоформлять документы нельзя - актуально ознакомить с даты, когда положение действительно принято.

Структуру и готовый образец такого документа разбирает отдельная статья про положение об обработке персональных данных - удобно свериться пункт за пунктом, если документа в компании еще нет или он не обновлялся несколько лет.

Кому можно передавать данные сотрудника

Передача персональных данных работника третьим лицам разрешена в нескольких случаях без дополнительного согласия. Это государственные органы, куда работодатель обязан отчитываться по закону: СФР, налоговая, военкомат, статистика. Это банк, который выпускает зарплатную карту, при условии, что сотрудник выбрал именно зарплатный проект компании, а не принес карту стороннего банка сам.

Аутсорсинг и подрядчики

Если бухгалтерию или расчет зарплаты ведет внешняя компания по договору, это тоже передача персональных данных, и она требует отдельного договора поручения на обработку данных между работодателем и подрядчиком - документа с перечнем того, что подрядчику разрешено делать с данными. Устная договоренность или просто счет на оплату бухгалтерских услуг такой договор не заменяют.

Отдельно стоит добровольное медицинское страхование через частную страховую компанию, корпоративные скидочные программы у партнеров, зарплатные проекты с кешбэком - это тоже передача третьим лицам не по прямому требованию закона. Здесь нужно либо согласие работника на конкретную передачу, либо участие в программе строится как добровольное, с самостоятельным предоставлением данных сотрудником напрямую партнеру, минуя работодателя.

Есть и обратная сторона. Небольшая компания, которая обрабатывает данные только своих сотрудников на основании трудовых договоров и никому их не передает, в большинстве случаев освобождена от обязанности подавать уведомление об обработке персональных данных в Роскомнадзор. Это отдельное основание из 152-ФЗ, и его часто упускают из виду: отправляют уведомление там, где закон этого не требует, или наоборот - не отправляют там, где передача третьим лицам все же есть. Разобраться, кто именно обязан подавать уведомление, проще по отдельному материалу про уведомление об обработке персональных данных.

Кто отвечает внутри компании

У передачи и хранения данных сотрудников должен быть конкретный ответственный, а не общая формулировка отдел кадров отвечает за все. На практике это либо руководитель кадровой службы, либо отдельно назначенный сотрудник, если компания крупная и данных много, и именно этому человеку логично адресовать вопросы о хранении личных дел, доступе к базе кадрового учета и правках в положении об обработке данных.

Как хранить и защищать данные сотрудников

Требования к защите данных зависят от того, к какому уровню защищенности относится информационная система, где эти данные обрабатываются. Четыре уровня определены постановлением правительства 1119, и большинство небольших компаний, которые ведут кадровый учет в 1С или похожем сервисе без передачи данных за рубеж, попадают в третий или четвертый уровень - не самый строгий, но и не нулевой. Разобраться, какой уровень присвоить своей системе, проще по отдельному разбору требований постановления 1119.

Для малого и среднего бизнеса это означает набор мер, который не требует дорогого оборудования: пароли на доступ к базе кадрового учета, разграничение прав - бухгалтер не должен видеть медицинские данные, а секретарь зарплатные ведомости всех сотрудников, резервное копирование, журнал учета, кто и когда получал доступ к личным делам.

Бумажные носители

Личные дела, копии паспортов, медицинские справки в сейфе или обычном шкафу кадровика - это тоже персональные данные, и доступ к ним должен быть ограничен физически, а не только паролем в компьютере. Инспектор Роскомнадзора при выездной проверке часто начинает именно со шкафа, а не с сервера.

Срок хранения кадровых документов регулируется не 152-ФЗ, а отдельными нормативами архивного дела - для большинства документов это 50 лет после увольнения, для некоторых, например документов о несчастных случаях на производстве, дольше. Уничтожать данные раньше срока нельзя, даже по просьбе бывшего сотрудника, если документ подлежит архивному хранению.

Ошибки, за которые чаще всего штрафуют работодателей

Роскомнадзор проверяет кадровую документацию не так часто, как сайты интернет-магазинов, но именно здесь находят системные нарушения: отсутствие положения об обработке данных, устаревшие согласия без отдельного документа, анкеты с вопросами о религии и национальности, свободный доступ к личным делам без ограничений.

С 30 мая 2025 года действуют оборотные штрафы за нарушения в обработке персональных данных, введенные 420-ФЗ от 30 ноября 2024 года: для компаний размер зависит от оборота, а не от фиксированной суммы, как раньше. За утечку данных, включая кадровые, при отягчающих обстоятельствах предусмотрена и уголовная ответственность по статье 272.1 УК РФ - для должностных лиц, которые допустили передачу данных третьим лицам без оснований.

Для отдела кадров это означает, что прежний подход - когда положение об обработке данных существует формально, согласия собраны много лет назад одной строкой в трудовом договоре, а доступ к личным делам есть у половины офиса, - больше не проходит незамеченным. Штраф за то же нарушение, найденное повторно, в разы выше первого - лишний повод закрыть пробелы сразу, а не после первой проверки.

Типичная картина в небольшой компании: таблица с зарплатами и телефонами всех сотрудников лежит в общей папке облачного диска, доступной секретарю, курьеру и практиканту на стажировке, потому что так удобнее один раз выгрузить данные для бухгалтерии. Такой доступ никто не ограничивал сознательно, он просто так сложился за годы работы - и это ровно то, что понимается под избыточным доступом к персональным данным: у доступа должна быть обоснованная цель, а не право читать все, что есть в компании.

Что делать с данными сотрудника при увольнении

Увольнение не означает, что данные сотрудника нужно немедленно удалить - здесь чаще ошибаются в обе стороны. Часть документов - заявление, приказ, личная карточка, документы о начислениях - подлежит обязательному архивному хранению, и уничтожать их раньше срока нельзя, даже если бывший сотрудник просит об этом напрямую.

При этом данные, которые обрабатывались только для целей, переставших существовать после увольнения - доступ к внутренним сервисам, корпоративная почта, пропуск, участие в рассылках, - нужно прекратить обрабатывать и, где это возможно, удалить или заблокировать в разумный срок. Держать активную учетную запись уволенного сотрудника в CRM или почтовом сервисе про запас - лишняя обработка данных без основания.

Отдельный вопрос - что отвечать на запрос бывшего сотрудника о своих данных уже после увольнения. Право на такой запрос у него сохраняется, и отказать нельзя просто потому, что трудовые отношения закончились: 152-ФЗ действует независимо от статуса трудового договора.

Подробный разбор, что именно уничтожать сразу, а что хранить годами и даже десятилетиями по каждому виду документов, - в отдельной статье про персональные данные при увольнении.

Сводная таблица: этапы обработки персональных данных работника

Чтобы не листать статью заново каждый раз, когда нужно вспомнить, что происходит на конкретном этапе, - сводная таблица по всему циклу работы с данными сотрудника: от отклика на вакансию до архивного хранения после увольнения.

Этап	Что происходит с данными	Нужно ли согласие	Ключевой документ
Отклик на вакансию	Сбор ФИО, контактов, опыта работы из резюме	Не нужно - для решения вопроса о заключении договора	-
Отказ в приеме	Хранение или удаление резюме	Нужно, если хранят дольше разумного срока для кадрового резерва	Согласие на хранение в резерве
Оформление на работу	Сбор паспортных данных, СНИЛС, диплома, документов воинского учета	Не нужно - основание трудовой договор	Трудовой договор, положение об обработке ПДн
Работа в штате, обычные данные	Табель, зарплата, отчетность в СФР и налоговую	Не нужно	Положение об обработке персональных данных работников
Работа в штате, спецкатегории	ДМС, данные о здоровье сверх допуска к работе, фото на сайте компании	Нужно, отдельным документом	Отдельное письменное согласие
Передача подрядчику	Аутсорсинг бухгалтерии, зарплатный банк, сервисы ДМС	Отдельное согласие работника обычно не нужно, но нужен договор с подрядчиком	Договор поручения на обработку данных
Увольнение	Прекращение текущей обработки, часть документов уходит в архив	Не нужно	Приказ, личная карточка, акт об уничтожении
После увольнения	Архивное хранение установленный срок, ответы на запросы бывшего сотрудника	Не требуется	Номенклатура дел компании

Из таблицы видно, что согласие сотрудника - не универсальное требование на каждом шаге, а точечная мера для конкретных ситуаций: спецкатегории данных, передача не по закону, использование за пределами трудовых обязанностей. Основной объем обработки идет по другому основанию - исполнению трудового договора, и именно поэтому положение об обработке персональных данных работников важнее одной лишь формы согласия: оно описывает весь цикл, а не одну точку в нем. Таблицу удобно использовать как чек-лист при передаче дел новому кадровику или при подготовке к проверке: пройтись по строкам и свериться, на месте ли документ для каждого этапа.

Что проверить в первую очередь

Если из документов ниже в компании ничего не оформлено, разбирать лучше в этом порядке.

1. Убедиться, что положение об обработке персональных данных работников существует, актуально и с ним под подпись ознакомлены все действующие сотрудники.
2. Проверить анкету при приеме и форму отклика на вакансию на сайте: нет ли в них вопросов сверх статьи 65 ТК РФ и полей о религии, национальности, партийной принадлежности.
3. Свериться с 156-ФЗ: согласие на обработку данных оформлено отдельным документом, а не строкой внутри трудового договора.
4. Проверить договоры с подрядчиками, которые получают доступ к данным сотрудников - бухгалтерия на аутсорсе, зарплатный банк, сервисы ДМС.
5. Определить уровень защищенности своей системы кадрового учета и закрыть базовые технические меры: пароли, разграничение доступа, ограничение доступа к бумажным личным делам.
6. Свериться со сроками архивного хранения перед тем, как уничтожать документы уволенных сотрудников.

Каждый пункт тянет за собой отдельный комплект документов, и переделать все за один день не получится - реалистичнее закрывать по одному в неделю, начиная с положения об обработке данных: оно фигурирует в любой проверке первым и на него ссылаются почти все остальные документы кадрового учета.

Отдельный вопрос - собственные силы или помощь со стороны. Небольшая компания без штатного юриста обычно способна закрыть анкеты и порядок хранения сама, но положение об обработке персональных данных, согласия под новые требования 156-ФЗ и договоры поручения с подрядчиками проще собрать по образцу, который уже проверен на других компаниях, чем писать с нуля и потом переделывать после первого замечания инспектора. На 152fzpro.ru дорабатывают именно такой комплект документов под структуру конкретной компании, а не выдают обезличенный шаблон на все случаи.