Согласие работника на обработку персональных данных: когда оно не нужно

Кадровик получает нового сотрудника и первым делом достает бланк согласия на обработку персональных данных - подписать вместе с трудовым договором, до кучи с остальными бумагами. Логика понятная: чем больше подписей, тем спокойнее. Но по закону этот бланк в большинстве кадровых ситуаций избыточен. Согласие работника на обработку персональных данных не нужно, чтобы завести личное дело, начислить зарплату, отчитаться в налоговую инспекцию или передать сведения в Социальный фонд - все это работодатель делает на основании трудового договора и Трудового кодекса, без отдельной бумаги.

Вопрос нужно ли согласие работника возникает у кадровика почти при каждом действии с личным делом, и универсального ответа тут нет. В одних случаях достаточно трудового договора, в других без письменного согласия не обойтись, а третьи ситуации требуют отдельного документа под конкретную цель - например, передачу данных страховщику по договору ДМС. Разберем, где проходит эта граница и что грозит, если ее перепутать в ту или другую сторону.

Почему для трудовых отношений согласие не требуется

Закон о персональных данных отдельно перечисляет случаи, когда согласие не нужно. Один из них - обработка необходима для исполнения договора, стороной которого выступает сам субъект данных, либо для заключения договора по его инициативе. Трудовой договор - именно такой договор, а работник - его сторона. Поэтому все, что нужно для заключения и исполнения трудового договора, работодатель обрабатывает без отдельного согласия: закон уже дал ему на это право.

Тот же принцип закреплен и в Трудовом кодексе. Глава 14 посвящена защите персональных данных работника и исходит из того, что работодатель собирает и использует данные для целей, связанных именно с трудовыми отношениями: заключение и исполнение договора, продвижение по службе, обучение, обеспечение сохранности имущества, контроль количества и качества выполняемой работы. Статья 65 ТК РФ отдельно перечисляет документы, которые работодатель обязан запросить при приеме: паспорт, трудовую книжку или сведения о трудовой деятельности, СНИЛС, документы воинского учета, документ об образовании, а для ряда должностей - справку об отсутствии судимости. Раз закон обязывает запросить документ, согласие на его обработку избыточно по определению: основание уже есть, это прямая норма закона.

Подробный порядок того, что работодатель обязан и вправе делать с личным делом сотрудника на каждом этапе - от приема до увольнения, собран в материале обработка персональных данных работников: полный порядок от приема до увольнения. Там же - перечень типовых кадровых документов и основание, на котором держится каждый из них.

Отдельно стоит развести работника и самозанятого или подрядчика по гражданско-правовому договору. Для них глава 14 Трудового кодекса не действует, а трудовой договор как основание обработки не подходит - договор здесь другой, гражданско-правовой. Формально работает тот же принцип: это тоже исполнение договора, стороной которого выступает сам человек, и отдельное согласие на обработку паспортных данных и реквизитов для оплаты обычно не требуется. Но переносить кадровые бланки согласий на подрядчиков один в один не стоит: в договоре подряда или оказания услуг лучше сразу прописать, какие данные и для чего обрабатываются, а не полагаться на кадровый шаблон, рассчитанный на другие отношения.

Типичная ошибка кадровика - просить подписать согласие на все подряд, на всякий случай, включая то, что и так покрыто трудовым договором. На проверке это оборачивается не пользой, а обратным эффектом: инспектор видит согласие с размытой формулировкой цели и фиксирует не отсутствие согласия, а нарушение требований к его содержанию, хотя настоящим основанием обработки все это время был договор, а не бумага, подписанная для перестраховки.

От согласия стоит отличать другую обязанность - предупредить работника, для чего и как используются его данные. Эту функцию выполняет не бланк согласия, а локальный акт - положение об обработке персональных данных, с которым сотрудника знакомят под подпись при приеме. Путать эти два документа не стоит: согласие дает право на конкретное действие сверх обычного кадрового учета, а положение информирует о том, что происходит с данными в целом, включая то, что обрабатывается без отдельного согласия.

Хранить сами бланки согласий стоит там же, где остальные кадровые документы - в личном деле, а не в общей папке на сервере, доступной всему отделу. Отдельное согласие на распространение фото логично держать рядом с фото- и видеоматериалами, которые оно покрывает, чтобы при запросе можно было быстро показать инспектору, что публикация конкретного снимка чем-то подтверждена, а не держится на честном слове маркетолога.

Какие данные работодатель законно обрабатывает без согласия

Список того, что входит в кадровое дело без отдельного согласия, шире, чем кажется на первый взгляд. Ниже - основные категории и норма, которая дает право их обрабатывать.

Данные о детях и семейном положении, которые работник сам предоставил вместе с заявлением на налоговый вычет по НДФЛ, тоже не требуют отдельного согласия: обработка идет для исполнения обязанностей налогового агента, а инициатива здесь исходит от самого сотрудника, а не от отдела кадров.

Когда согласие работника обязательно

Согласие требуется там, где работодатель выходит за пределы того, что нужно для трудовых отношений как таковых. Три ситуации встречаются чаще остальных: передача данных внешнему получателю, публикация фото или видео и работа со специальными категориями данных сверх обязательного минимума.

Передача данных третьим лицам

Передача данных в Социальный фонд, налоговую инспекцию или судебным приставам по официальному запросу отдельного согласия не требует - это исполнение обязанности, возложенной на работодателя законом. Другое дело - частные получатели: бухгалтерия на аутсорсе, банк, который ведет зарплатный проект, страховая компания по договору ДМС, курьерская служба, которой поручили доставить трудовую книжку бывшему сотруднику. Закон не называет их получателями напрямую, поэтому согласие работника на передачу данных этому конкретному третьему лицу - отдельный документ, а не строчка внутри общего согласия при приеме на работу. В нем стоит называть получателя поименно, а не общей фразой вроде третьим лицам по мере необходимости.

Похожая логика работает и вне частного бизнеса. Школа передает данные учителя в орган управления образованием по официальному запросу - согласие не нужно, это тоже исполнение обязанности, установленной законом. А вот фотография учителя на сайте школы с полным именем и предметом, который он ведет, - уже публикация, и без согласия она ничем не отличается от истории с клиникой чуть ниже.

Фото и видео сотрудника

Фотография на пропуск и бейдж - внутреннее использование, обычно укладывается в цели трудовых отношений, и отдельного согласия не требует. Совсем другая история - фотография на странице команда на сайте компании, в социальных сетях или в рекламных материалах: как только данные становятся общедоступными, включается отдельный режим - согласие на распространение персональных данных по статье 10.1, где указывается, на каких именно ресурсах будут опубликованы данные и какие сведения из них работник вправе закрыть от третьих лиц. Разница между обычным согласием на обработку и согласием на распространение подробно разобрана в материале согласие на распространение персональных данных по статье 10.1.

Пример из практики: клиника публикует на сайте фотографии врачей с ФИО, должностью и сведениями о дипломе. Если врач два года назад подписал обычное согласие на обработку при трудоустройстве, публикацию на сайте это не покрывает - нужно отдельное согласие на распространение, оформленное именно под эту цель.

Специальные категории и данные о здоровье

Статья 10 закона о персональных данных отдельно выделяет специальные категории - сведения о здоровье, судимости, расовой или национальной принадлежности, политических и религиозных взглядах. Их обработка по общему правилу требует согласия, а исключений немного, и они касаются прямых требований законодательства, а не удобства работодателя. Полная медицинская карта в кадровой системе, передача диагнозов в страховую по ДМС, фиксация сведений о хронических заболеваниях для программ заботы о персонале - все это выходит за пределы обязательного медосмотра и требует отдельного согласия, где прямо указано, что данные касаются здоровья.

Договор ДМС - удобный пример того, как одна ситуация тянет за собой сразу два основания. Сам факт того, что работодатель оплачивает полис, оформляется в рамках трудовых отношений и относится к социальному пакету - здесь согласие не требуется. А передача страховой компании конкретных данных - паспорта, СНИЛС, а при обращении за выплатой еще и сведений о диагнозе - это уже передача третьему лицу и специальная категория данных одновременно, и без согласия работника на оба действия страховая по закону не вправе принять данные к обработке. Похожая логика касается и биометрии - отпечатка пальца для турникета на проходной или скана лица для входа в офис: это тоже специальная категория данных, и подключать такую систему без отдельного согласия каждого сотрудника нельзя, даже если саму систему купили ради безопасности, а не ради обработки персональных данных как таковой.

Что происходит, если требовать согласие там, где оно не нужно

Перестраховка с согласием создает несколько проблем, а не ноль. Первая - процедурная: если сотрудник отказывается подписывать бланк на все подряд, кадровик иногда решает, что без него нельзя оформить прием. Это не так: право на заключение трудового договора не зависит от подписи под лишним документом, а отказ в приеме по этой причине - основание для спора о дискриминации при трудоустройстве.

Вторая проблема серьезнее и всплывает не сразу. Когда компания годами прикрывает все подряд одним размытым согласием вместо реального основания - трудового договора и нормы закона, при проверке или судебном споре обнаруживается, что формулировка цели в согласии слишком общая и не соответствует требованиям к содержанию такого документа. Согласие признают недействительным, а настоящее основание - договор - никто вовремя не назвал, потому что вся политика компании годами ссылалась только на согласие. Практика Роскомнадзора и судов по спорам, связанным с персональными данными, показывает, что размытая цель в тексте согласия - частая причина претензии сама по себе, отдельно от вопросов защиты данных: подробнее в материале судебная практика по персональным данным: какие выводы важны оператору.

Есть и третий эффект, менее заметный: сотрудники, которых просят подписать три-четыре согласия сразу при трудоустройстве, часто подписывают не глядя. При проверке это тоже видно - подписи есть, а понимания, на что именно человек согласился, нет, и инспектор вправе спросить, была ли обеспечена возможность ознакомиться с текстом до подписи.

Что грозит за отсутствие согласия там, где оно обязательно

С 30 мая 2025 года за нарушения, связанные с обработкой персональных данных, действуют оборотные штрафы, введенные 420-ФЗ от 30 ноября 2024 года: для юридических лиц сумма считается от выручки, а не фиксируется заранее, и вырастает при повторном нарушении или при утечке данных. Отдельно тем же законом в Уголовный кодекс введена статья 272.1 - ответственность за умышленные незаконные действия с персональными данными, действует с той же даты, 30 мая 2025 года.

Для менее тяжких нарушений - например, разовой передачи данных подрядчику без оформленного согласия - действует статья 13.11 КоАП РФ, там суммы меньше, но именно с нее обычно начинается разбирательство, если жалобу зарегистрировали и назначили проверку.

Уголовная статья касается умышленных действий, а не технической оплошности кадровика, забывшего взять подпись. Но конкретный сценарий встречается регулярно: сотрудник узнает, что его фотография с полным именем и должностью висит на сайте компании без его ведома, и обращается с жалобой в Роскомнадзор. Для компании это формальный повод для проверки, и разбираться придется уже не с одним фактом публикации, а со всем пакетом кадровых документов сразу.

Для отдела кадров это означает конкретную вещь: пробел в согласии, который два года назад казался бумажной формальностью, при проверке или жалобе превращается в основание для штрафа, который считается от выручки всей компании, а не от одного нарушения в личном деле одного сотрудника.

Как оформить согласие сотрудника: форма и обязательные пункты

С 1 сентября 2025 года, после поправок 156-ФЗ от 24 июня 2025 года, согласие на обработку персональных данных оформляется отдельным документом - не пунктом внутри трудового договора и не строкой в общей анкете, а самостоятельной бумагой или отдельной электронной формой, которую человек подписывает осознанно, понимая, что именно он подписывает и зачем.

В тексте согласия должно быть:

• фамилия, имя, отчество и данные документа работника, от которого берут согласие;
• наименование и реквизиты компании-оператора;
• цель обработки, сформулированная конкретно, а не общей фразой вроде в целях трудовых отношений;
• перечень данных, которые будут обрабатываться в рамках этой цели;
• перечень действий с данными - сбор, хранение, передача, уничтожение и так далее;
• срок действия согласия или условие, при котором оно прекращается;
• порядок отзыва согласия - куда обращаться и что произойдет после отзыва.

Готовый образец согласия сотрудника на обработку персональных данных, оформленный с такой структурой, собран в материале согласие на обработку персональных данных: образец 2026 и готовый бланк. Шаблон оттуда можно адаптировать под конкретную кадровую ситуацию, а не переписывать заново для каждого нового случая.

Отдельное правило, которое часто нарушают: разные цели - разные документы. Согласие на публикацию фото на сайте, согласие на передачу данных в страховую по ДМС и согласие на передачу данных аутсорсинговой бухгалтерии - это три разных бумаги с разными получателями и разными сроками действия, а не один универсальный бланк на все случаи сразу.

Заявление об отзыве согласия нужно обработать быстро: если основанием было именно согласие, а не договор или закон, компания обязана прекратить обработку и уничтожить данные, собранные на этом основании, в разумный срок, а не откладывать до следующей внутренней проверки. Если основанием был договор, отзыв согласия, которое фактически и не требовалось, ни на что не влияет: данные как обрабатывались в рамках трудовых отношений, так и продолжают обрабатываться.

Особый случай - соискатели и уже уволенные сотрудники

До момента приема на работу человек - не работник, а соискатель, и его резюме или анкета собеседования обрабатываются на другом основании: обычно по его собственной инициативе, когда он сам направил отклик на вакансию. Правила для этого этапа отличаются от кадрового учета действующего сотрудника - что делать с резюме тех, кому отказали, разобрано в материале персональные данные соискателей: что делать с резюме после отказа.

Пример: интернет-магазин публикует вакансию менеджера, получает через сайт с объявлениями сотню откликов, а берет одного человека. Оставшиеся девяносто девять анкет нельзя хранить бессрочно просто потому, что жалко удалять - для хранения на будущее нужно отдельное согласие соискателя, а без него анкету полагается удалить в разумный срок после отказа.

После увольнения бывший сотрудник формально выходит из-под действия статьи 65 ТК РФ, но обязанность хранить часть документов не исчезает - она переходит на другие сроки, установленные архивным законодательством и правилами расчета пенсии. При этом лишние данные, не связанные с обязательным хранением - черновики оценок, личная переписка, устаревшие контакты - нужно уничтожать, а не держать про запас. Что именно уничтожать сразу, а что хранить десятилетиями, разобрано в материале персональные данные при увольнении: что уничтожить, а что хранить десятилетиями.

Что делать: порядок действий для кадровика

Проверить пакет кадровых документов на предмет лишних и недостающих согласий можно за несколько шагов.

1. Составить перечень операций с персональными данными по кадровому циклу - от приема до увольнения - и для каждой определить основание: договор и закон или согласие.
2. Убрать из пакета документов при приеме бланк согласие на все и оставить только то, что действительно требует отдельной бумаги - фото для сайта, передачу в ДМС, работу с аутсорсинговой бухгалтерией.
3. Переписать формулировку цели в каждом оставшемся согласии конкретно под ситуацию, без общих фраз про трудовые отношения в целом.
4. Разделить согласие на распространение - фото и видео в открытом доступе - и обычное согласие на обработку: это разные документы с разными получателями.
5. Прописать в положении об обработке персональных данных основание для каждой категории сведений, а не только факт наличия подписанных согласий.
6. Настроить процедуру отзыва согласия: куда поступает заявление, кто и в какой срок обязан прекратить обработку по этому конкретному основанию.
7. Отдельно проверить фотографии и видео сотрудников, уже опубликованные на сайте и в соцсетях компании: если согласие на распространение под них не оформлено, привести в порядок в первую очередь - это самый частый повод для жалобы самого работника.

Проверять пакет согласий имеет смысл не реже раза в год и обязательно при любом изменении процессов - например, когда компания меняет банк для зарплатного проекта, подключает новую CRM или начинает публиковать фотографии сотрудников в социальных сетях впервые. Именно в момент таких изменений чаще всего забывают взять новое согласие под новую цель, хотя старое к этой ситуации уже не относится.

Если формулировки согласий и локальные акты собирались годами из разных источников, шаблонов из интернета и версий, доставшихся от предыдущего кадровика, разобраться, что из этого набора актуально, а что дублирует друг друга или прямо противоречит закону, проще с готовой доработкой документов - с этим помогают на сайте 152fzpro.ru, без обещаний того, чего сайт не делает: аттестации ИСПДн или курсов по защите данных здесь нет, есть работа с документами и доработка сайта под требования закона.