Для основных кадровых данных - паспорт, СНИЛС, ИНН, адрес, сведения об образовании - отдельное согласие сотрудника не требуется: законным основанием служит сам трудовой договор и обязанность работодателя вести кадровый учет по Трудовому кодексу. А вот для действий за пределами этой прямой обязанности согласие нужно получать отдельно.
Отдельное согласие потребуется, если вы: публикуете фото и должность сотрудника на сайте компании или в соцсетях, передаете данные подрядчику, с которым нет соответствующего условия в договоре (например, стороннему бухгалтеру на аутсорсе без такого пункта), обрабатываете биометрию для пропускной системы, или используете данные сотрудника в целях, не связанных с трудовыми отношениями, вроде маркетинговых материалов компании.
Независимо от того, нужно согласие или нет, у работодателя все равно остаются обязательные документы: политика обработки персональных данных, приказ о лицах, допущенных к обработке, обязательства о неразглашении для тех, кто с этими данными работает. Их наличие проверяют в первую очередь, а не только факт подписанных согласий.
И еще момент, который часто упускают: обязанность подать уведомление об обработке персональных данных в Роскомнадзор возникает уже с момента найма первого сотрудника, а не только когда на сайте компании появляется форма для клиентов. С 1 сентября 2022 года исключений из этого правила почти не осталось, так что стоит проверить, подано ли уведомление вообще, если компания этим раньше не занималась.