Персональные данные в бухгалтерии: расчетные листки, справки, отчетность

Персональные данные в бухгалтерии - это не только ФИО и телефон, а весь набор чувствительных сведений: номер счета, паспортные данные, ИНН, СНИЛС, суммы дохода и удержаний, данные о детях для налоговых вычетов. Бухгалтер работает с этим массивом каждый день и часто уверен, что раз данные нужны для работы - согласие не требуется вообще ни на что. Отчасти это верно, но не значит, что с данными можно делать что угодно. Разберемся, как бухгалтер должен обращаться с персональными данными сотрудников и физических лиц по гражданско-правовым договорам, как правильно выдавать расчетные листки и справки, что передают в СФР и налоговую без согласия и сколько лет хранить документы после увольнения.

Почему бухгалтерии не нужно согласие на обработку персональных данных

Закон 152-ФЗ разрешает обрабатывать персональные данные без согласия, если это нужно для исполнения обязанности, возложенной на оператора законодательством, либо для исполнения договора, стороной которого выступает сам субъект данных. Для бухгалтерии оба основания работают одновременно. Налоговый кодекс обязывает вести учет доходов и удерживать НДФЛ. Закон 402-ФЗ о бухгалтерском учете обязывает оформлять первичные документы по каждой операции, включая выплату зарплаты. Закон 27-ФЗ о персонифицированном учете обязывает передавать сведения о стаже и заработке в систему обязательного пенсионного страхования. А трудовой договор - это как раз тот договор, стороной которого является сотрудник, поэтому обработка его данных для расчета зарплаты и отпускных отдельного согласия не требует.

Но это основание работает только в границах цели. Если бухгалтерия хранит скан паспорта сотрудника просто на случай, что пригодится, или собирает данные о состоянии здоровья родственников для непонятной статистики - это уже выход за пределы того, что разрешает закон без согласия. Пример: в интернет-магазине бухгалтер завел таблицу с датами рождения детей всех сотрудников не для расчета вычетов, а для рассылки поздравлений от компании. Цель хорошая, но основание для нее другое, и без отдельного согласия на такую обработку лучше не собирать эти данные централизованно.

Отдельная ловушка - зарплатные проекты банков. Когда компания переходит на новый банк и просит сотрудников выбрать зарплатную карту, банк получает не только реквизиты счета, но иногда и паспортные данные, и адрес регистрации. Это уже не обработка бухгалтерией в рамках трудового договора, а передача данных стороннему банку, у которого свои основания и свой договор с сотрудником напрямую. Бухгалтерии стоит участвовать здесь только как передаточное звено, а не собирать и хранить копии анкет банка у себя без необходимости.

Какие данные проходят через бухгалтерию

Список шире, чем кажется на первый взгляд. Через бухгалтерию обычно проходят: ФИО и дата рождения, паспортные данные, ИНН и СНИЛС, номер банковской карты или счета для перечисления зарплаты, адрес регистрации, суммы зарплаты, премий и удержаний, данные о составе семьи и детях для вычетов, сведения об инвалидности для льгот по НДФЛ, данные об алиментных удержаниях.

Отдельно стоит сказать про сведения об инвалидности - формально это специальная категория персональных данных, для которой закон устанавливает более строгие условия обработки. Но и здесь есть законное основание: без такой информации бухгалтер физически не может применить положенный вычет или льготу по взносам, а обязанность предоставить эту льготу установлена налоговым законодательством. Проблема начинается, если справка об инвалидности после увольнения сотрудника продолжает храниться в общей папке бухгалтерии без ограничения доступа - тогда доступ к специальной категории данных получают люди, которым это давно не нужно по работе.

Похожая история с алиментными удержаниями: сведения о том, что с зарплаты сотрудника удерживаются алименты, косвенно раскрывают факт развода или наличие ребенка вне брака. Формально это не специальная категория данных, но по чувствительности сопоставимо, и доступ к исполнительным листам стоит держать так же ограниченно, как доступ к справкам о болезни. Пример: в небольшой школе бухгалтер вслух обсуждала с завучем, у кого из учителей идут удержания по исполнительному листу - формально это не утечка в базу данных, но такое же разглашение персональных данных, как пересылка файла постороннему человеку.

Расчетные листки: как выдавать, чтобы не нарушить закон

Трудовой кодекс обязывает работодателя извещать сотрудника в письменной форме о составных частях зарплаты при каждой выплате - это и есть расчетный листок. Форма выдачи законом не регламентирована жестко, поэтому подходит бумага под роспись, личный кабинет с паролем, персональное письмо на электронную почту или сообщение в мессенджере лично сотруднику. Ключевое слово здесь - лично. Массовая рассылка через общий чат бухгалтерии, публикация ведомости в общей папке на сервере или в таблице, доступной всему отделу кадров, - это уже раскрытие персональных данных о зарплате третьим лицам, которым эта информация не нужна для работы.

Пример из практики: в небольшой клинике расчетные листки годами лежали в общей папке на сетевом диске, доступной всем администраторам ресепшена, потому что так было удобнее бухгалтеру - не рассылать тридцать писем, а один раз выложить файл. В итоге любой администратор мог открыть таблицу и увидеть зарплату главного врача. Формально это нарушение принципа минимизации: данные должны быть доступны только тем, кому нужны для выполнения их обязанностей.

Расчетный листок через мессенджер - вариант рабочий, если это личный диалог с сотрудником, а не групповой чат отдела, и сам сотрудник согласен получать документы таким способом. Это не согласие на обработку персональных данных в смысле закона, а просто выбор удобного канала связи, который стоит зафиксировать хотя бы в переписке или локальном акте о выдаче расчетных листков.

Отдельный вопрос - сколько хранить сами переписки с расчетными листками. Если письма уходят на личную почту сотрудника, бухгалтерии не нужно вести параллельный архив этой переписки годами: достаточно того, что сама ведомость хранится в учетной системе положенный срок. А вот если компания использует общий почтовый ящик бухгалтерии для рассылки, стоит убедиться, что после увольнения бухгалтера доступ к этому ящику и всей истории переписки не остается у случайных людей при смене пароля.

Справки по запросу работника: 2-НДФЛ, о доходах, с места работы

По Трудовому кодексу работодатель обязан выдать сотруднику документы, связанные с работой, не позднее трех рабочих дней с даты письменного заявления. Речь идет о справке 2-НДФЛ, справке о доходах и суммах налога, справке о среднем заработке для центра занятости или соцзащиты, справке для банка или для оформления визы. Все эти документы бухгалтер готовит по запросу самого работника, и передавать их разрешено только ему лично или его представителю по доверенности.

Частая ошибка - выдать информацию о доходах сотрудника по телефонному звонку от третьего лица. Банк звонит бухгалтеру, представляется сотрудником службы безопасности и просит подтвердить зарплату клиента для одобрения кредита. Без письменного согласия самого работника и оформленного запроса от банка это прямое разглашение персональных данных постороннему лицу. Правильный ответ в такой ситуации простой: предложить банку запросить справку у самого сотрудника или прислать официальный запрос с приложенным согласием клиента.

Отдельно стоит быть аккуратнее со справками, которые пересылаются по электронной почте вложением без пароля на архив. Справка о доходах содержит и паспортные данные, и точные суммы зарплаты за год - если почтовый ящик сотрудника скомпрометирован или письмо случайно уходит не на тот адрес, это уже полноценная утечка персональных данных, а не мелкая техническая ошибка. Практика показывает, что удобнее выдавать такие справки под роспись лично или через личный кабинет, а почту использовать только при явной просьбе сотрудника и с его согласия на такой канал.

То же касается устных запросов коллег, кадровых агентств и даже родственников сотрудника - без письменного обращения самого работника или прямого указания закона справки и подтверждения дохода бухгалтерия не выдает никому, кроме адресата.

Передача данных в СФР и налоговую без согласия

Отчетность - это отдельная история, где согласие не требуется вообще, потому что передача сведений в контролирующие органы установлена законом напрямую. В налоговую бухгалтерия сдает расчет 6-НДФЛ, расчет по страховым взносам, сведения о среднесписочной численности - все это обязательная отчетность, а не добровольная передача данных третьему лицу. В Социальный фонд России уходят сведения о стаже, начисленной зарплате, периодах работы для формирования будущей пенсии, а также данные для назначения больничных и декретных пособий.

Здесь работает то же основание, что описано выше: обязанность возложена законодательством, поэтому институт согласия и даже институт поручения на обработку к такой передаче не применяется - это не бухгалтерия поручает кому-то обработку своих данных, а прямое исполнение обязательной отчетности перед государственным органом. Отдельный разбор того, какие данные и в каком объеме законно уходят к налоговикам, есть в статье про персональные данные и налоговую.

Важная оговорка: это основание покрывает только те сведения и в том объеме, которые требует конкретная форма отчетности. Если налоговый инспектор в телефонном разговоре просит уточнить дополнительные подробности о личной жизни сотрудника, не относящиеся к форме отчета, - обязанность передавать эти данные без официального письменного запроса у бухгалтерии не возникает.

С 2023 года основным отчетом в Социальный фонд стала единая форма ЕФС-1, которая объединила несколько прежних отчетов о приеме, увольнении, переводах и стаже сотрудника. Она подается в электронном виде и тоже относится к обязательной отчетности, для которой согласие не требуется. А вот запрос от коллекторского агентства или частного детектива с просьбой подтвердить место работы должника - это уже не отчетность перед государственным органом, а обращение постороннего лица, и без официального запроса от приставов или суда отвечать на него бухгалтерия не обязана и не должна.

Данные физлиц по ГПХ и самозанятых

С исполнителями по гражданско-правовым договорам и самозанятыми работает другое основание - не трудовой договор, а сам договор подряда или оказания услуг, стороной которого выступает физическое лицо. Закон разрешает обрабатывать данные без согласия, если это нужно для заключения и исполнения договора, стороной которого является сам субъект данных. Для расчета оплаты, подготовки акта выполненных работ и уплаты налогов этого основания достаточно.

С самозанятыми есть дополнительный нюанс: перед каждой выплатой стоит проверять актуальный статус исполнителя через сервис ФНС Мой налог, потому что отсутствие такой проверки - частая причина переквалификации отношений в трудовые при проверке. Это не про персональные данные напрямую, но данные для этой проверки - ИНН исполнителя - обрабатываются в рамках того же договорного основания.

Объем данных для самозанятого обычно меньше, чем для обычного исполнителя по ГПХ: не нужен номер СНИЛС, не нужны сведения для расчета страховых взносов, потому что самозанятый платит налог на профессиональный доход сам за себя. Для оплаты достаточно ИНН, банковских реквизитов и чека из приложения Мой налог. Если бухгалтерия по привычке запрашивает у самозанятого те же документы, что и у штатного сотрудника - копию паспорта, СНИЛС, заявление на вычеты, - это уже сбор данных сверх необходимого для этой формы сотрудничества.

Если компания хочет использовать данные исполнителя по ГПХ не для расчетов по текущему договору, а, например, для рассылки предложений о новых проектах через полгода после его завершения, - это уже другая цель обработки, для которой нужно отдельное основание, а не автоматическое продолжение договорного. Проще всего в момент окончания сотрудничества уточнить у человека, хочет ли он получать такие предложения, и зафиксировать ответ.

Сроки хранения документов бухгалтерии и кадров

Один из вопросов, который бухгалтерия решает практически на ощупь, - сколько на самом деле хранить документы после того, как сотрудник уволился или договор с исполнителем закрыт. Общий разбор логики сроков хранения есть в статье про то, какие сроки хранения персональных данных устанавливает закон, а для бухгалтерии и кадров цифры такие.

Разница между пятью годами для налоговых документов и полувеком для расчетных ведомостей объясняется просто: от ведомостей и приказов зависит будущий размер пенсии сотрудника, и государство обязывает хранить их значительно дольше, чем обычную бухгалтерскую первичку. Работодатель, который уничтожает личные дела и лицевые счета через пять лет по аналогии с накладными, рискует тем, что бывший сотрудник спустя двадцать лет не сможет подтвердить стаж и заработок для расчета пенсии, а формально нарушение с точки зрения хранения персональных данных ляжет уже на компанию.

После истечения срока хранения документы нужно не просто убрать подальше, а уничтожить с оформлением акта - хранить расчетные ведомости и приказы бессрочно на случай, что понадобятся, тоже нарушение, только в другую сторону. Для налоговой первички и договоров по ГПХ пять лет обычно наступают быстро, и в компаниях с большим документооборотом стоит завести график, по которому раз в год бухгалтерия и кадровая служба сверяют, какие папки уже можно списывать.

Аутсорсинг бухгалтерии: как оформить поручение на обработку

Если компания передает ведение учета внешней бухгалтерской фирме или бухгалтеру-фрилансеру, эта внешняя сторона получает доступ к персональным данным сотрудников не как самостоятельный оператор, а по поручению работодателя. Для такой передачи закон требует письменный договор, в котором прямо указаны цели обработки, перечень действий с данными, обязанность соблюдать конфиденциальность и требования к защите информации, а также то, что подрядчик отвечает перед оператором за нарушение этих условий. Как правильно оформить такое соглашение, подробно разобрано в статье про договор поручения на обработку персональных данных.

Частая ошибка небольших компаний - подписать обычный договор оказания бухгалтерских услуг, где о персональных данных нет ни слова, и открыть подрядчику полный доступ к базе 1С с зарплатой и паспортными данными всех сотрудников. Пример: интернет-магазин нашел бухгалтера-фрилансера через биржу, за один день предоставил ему логин и пароль от облачной 1С с полной базой сотрудников и заказчиков, а договор ограничился общими фразами про оказание бухгалтерских услуг за вознаграждение. При проверке такая передача квалифицируется как передача данных третьему лицу без надлежащего оформления - формально ответственность за это несет именно работодатель, а не подрядчик.

Отдельно стоит проверить, что доступ к базе ограничен ролью бухгалтера: если аутсорсер видит не только зарплатный блок, но и, скажем, медицинские справки сотрудников или данные о судимости, которые для расчета зарплаты не нужны, - это тоже избыточный объем передаваемых данных.

Тот же принцип работает, если учет ведет не сторонняя фирма, а, например, супруг или родственник собственника бизнеса неофициально, без оформления как сотрудника или подрядчика. Формально такой человек все равно получает доступ к персональным данным всего штата, и для компании это точно такой же риск, как и с внешним аутсорсером без договора - просто он не оформлен вообще никак. Даже в семейном бизнесе доступ к базе 1С стоит выдавать по трудовому договору, договору услуг или хотя бы по приказу с указанием, кто и на каком основании работает с данными.

Типичные нарушения в работе бухгалтерии

Практика проверок и жалоб показывает набор одних и тех же ошибок, которые повторяются в компаниях самого разного размера.

• Общий доступ к ведомости зарплаты у всех сотрудников бухгалтерии и отдела кадров, включая тех, кому эта информация не нужна по должностным обязанностям.
• Пересылка сканов паспортов, СНИЛС и справок о болезни по незащищенной личной почте или в общий рабочий чат вместо личного канала связи с ответственным сотрудником.
• Хранение бумажных расчетных ведомостей и личных дел в незапертом шкафу, к которому есть доступ у уборщицы, курьеров и посетителей офиса.
• Устная передача сведений о зарплате коллеги на вопрос другого сотрудника - формально это тоже разглашение персональных данных, а не безобидный офисный разговор.
• Перенос базы 1С на личную флешку для работы из дома без шифрования и без учета того, что флешка может потеряться.

У бухгалтера, помимо обязанностей по 152-ФЗ, часто есть и отдельная обязанность о неразглашении сведений, закрепленная в трудовом договоре или должностной инструкции. Разница между этими обязанностями и требованиями закона о том, что относится к конфиденциальности персональных данных, разобрана в статье про конфиденциальность персональных данных по статье 7 закона. Похожая логика применима и к медицинским справкам, которые проходят через бухгалтерию при оплате больничных, - подробнее об этом в материале про медицинские данные сотрудников.

Ответственность за такие нарушения предусмотрена статьей 13.11 КоАП РФ, и штрафы отличаются в зависимости от того, что именно нарушено - неправомерная обработка, отсутствие согласия там, где оно нужно, или невыполнение обязанности по уничтожению данных. Для бухгалтерии практический вывод простой: большинство нарушений в этой сфере происходит не из злого умысла, а из привычки делать как удобнее здесь и сейчас, а не как положено по инструкции. Разграничение доступа и письменные правила снимают большую часть этого риска без дополнительных затрат.

Что сделать бухгалтеру и работодателю: чек-лист

Большинство разобранных выше нарушений устраняются без сложных технических решений - достаточно навести порядок в процессах.

1. Ограничить доступ к ведомостям зарплаты и базе 1С только теми сотрудниками, кому это нужно по должностной инструкции, и разграничить роли внутри самой бухгалтерии.
2. Настроить выдачу расчетных листков персонально: личное письмо на почту, личный кабинет с паролем или бумага под роспись - не общий чат и не открытая папка на сервере.
3. Оформить письменный договор поручения на обработку персональных данных с бухгалтером-аутсорсером до того, как он получит доступ к базе, а не постфактум.
4. Прописать сроки хранения документов в номенклатуре дел компании: пять лет для налоговых и первичных документов, пятьдесят или семьдесят пять лет для расчетных ведомостей и приказов по личному составу.
5. Не подтверждать доход и не выдавать справки третьим лицам по телефонному звонку без письменного запроса самого сотрудника.
6. Проверять актуальный статус самозанятого перед каждой выплатой и хранить данные исполнителей по ГПХ только в рамках цели самого договора.
7. Закрыть физический доступ к бумажным ведомостям и личным делам - запирающийся шкаф вместо открытой полки.

Большая часть этих правил не требует новых программ или подписки на сервисы - только письменного порядка, договора поручения с аутсорсером и разграничения доступа внутри компании. Если нужно подготовить сам договор поручения, положение об обработке персональных данных для бухгалтерии или проверить, как оформлены остальные документы компании, это можно сделать через сайт 152fzpro.ru.