В компании есть трудовые договоры, кадровая программа и подписанные согласия работников. Но копии паспортов лежат в общей папке, доступ к зарплатным ведомостям сохранился у бывшего бухгалтера, а внешний специалист получает документы через личный мессенджер. Формально документы подготовлены, фактически порядок работы с персональными данными не выстроен.
Работодателю нужно связать юридическое оформление с повседневными действиями: какие сведения собирать, кому их открывать, куда передавать и что делать после увольнения. Это касается и организаций, и ИП с работниками.
Разберём основные документы и процедуры, а также ситуации, в которых одного согласия сотрудника недостаточно.
Какие данные работников можно обрабатывать
Работодатель использует персональные данные для конкретных задач: оформления трудовых отношений, расчёта зарплаты, обязательной отчётности, воинского учёта, предоставления гарантий и обеспечения условий труда. Для каждой задачи определяют необходимый состав сведений и правовое основание.
Паспортные реквизиты нужны для кадрового оформления, банковские — для выплаты зарплаты, сведения об образовании — когда квалификация имеет значение для работы. Данные о детях могут потребоваться для вычета или трудовых гарантий. Это не означает, что компания вправе собирать полную информацию обо всех родственниках каждого сотрудника.
Проверять нужно не только право получить документ, но и необходимость сохранить его копию. Предъявление паспорта при приёме на работу не означает автоматической необходимости хранить скан всех страниц.
Данные о здоровье требуют отдельного внимания. Работодатель не должен собирать медицинские сведения без связи с законной задачей. Если требуется заключение о возможности выполнять определённую работу, это само по себе не даёт права запрашивать полную историю лечения.
Полезный вопрос для каждой графы анкеты: «Для какого конкретного действия нам нужны эти сведения?» Если ответ — «так принято» или «вдруг пригодится», состав анкеты стоит пересмотреть.
Нужно ли согласие работника на обработку персональных данных
Универсальное согласие не является обязательным основанием для всей кадровой работы. Необходимую обработку для исполнения предусмотренных законом обязанностей и трудового договора можно осуществлять на соответствующих основаниях без согласия — в пределах применимых требований и необходимого объёма данных.
Например, работодатель не должен ставить расчёт зарплаты или направление обязательной отчётности в зависимость от согласия «на любую обработку».
При этом трудовые отношения не дают общего разрешения использовать сведения сотрудника для любых целей. Для отдельных операций потребуется самостоятельное основание, а в предусмотренных случаях — согласие, в том числе письменное.
| Ситуация | Что проверить |
|---|---|
| Кадровый учёт, зарплата, обязательная отчётность | Законное основание и необходимый объём сведений; согласие не подменяет эти основания |
| Получение сведений у прежнего работодателя | Условия получения данных от третьего лица, предварительное информирование и письменное согласие в предусмотренном ТК РФ случае |
| Передача внешней бухгалтерии или кадровому подрядчику | Основание передачи, письменное согласие при отсутствии применимого исключения и условия поручения обработки |
| Карточка работника на открытом сайте | Основание публикации; при обработке на основании согласия — отдельное согласие на распространение |
| Использование фотографии в рекламе | Основания обработки и распространения данных, а также использования изображения гражданина |
| ДМС, корпоративные мероприятия, дополнительные программы | Реальные условия участия, состав получателей и необходимые согласия для соответствующих операций |
С 1 сентября 2025 года согласие на обработку ПДн должно оформляться отдельно от иной информации и документов, которые человек подтверждает или подписывает. Встроенная в трудовой договор фраза «согласен на обработку всех данных» не заменяет надлежащее оформление необходимого согласия.
Ознакомление с положением и предоставление согласия решают разные задачи. Подпись об ознакомлении подтверждает, что работник узнал правила, но не означает согласия на любую передачу или публикацию.
Подробнее об основаниях и формах — в статье о согласии на обработку персональных данных.
Какие документы по персональным данным нужны работодателю
Единого для всех работодателей комплекта с фиксированным количеством файлов нет. Закон устанавливает обязанности и требования к оформлению, а состав документов зависит от деятельности, систем, категорий данных и участников обработки. Несколько процедур можно описать в одном согласованном акте; отдельные документы нужны там, где этого требуют нормы или организация работы.
| Документ или группа материалов | Для чего нужны | Что сделать на практике |
|---|---|---|
| Положение или другие локальные акты о данных работников | Установить порядок получения, использования, хранения, передачи и защиты | Описать реальные процессы и ознакомить работников под роспись в применимом порядке |
| Политика обработки персональных данных | Зафиксировать общие правила оператора и обеспечить предусмотренный законом доступ к ним | Согласовать с внутренними актами; при сборе данных через сайт обеспечить необходимую публикацию |
| Документ о назначении ответственного в организации | Закрепить организацию работы по ПДн | Определить задачи, полномочия и порядок взаимодействия с руководством |
| Перечни допуска, распределение доступа и мест хранения | Установить, кто и с какими данными работает | Проверить кабинеты, шкафы, программы, сетевые папки и фактические права |
| Материалы ознакомления и обучения | Подтвердить доведение правил до работников и подготовку тех, кто обрабатывает данные | Провести ознакомление, объяснить действия и сохранить подтверждения |
| Необходимые формы согласий | Оформить операции, для которых согласие действительно требуется | Получать согласия до соответствующей обработки и хранить подтверждения |
| Договоры и поручения обработки | Урегулировать работу внешней бухгалтерии, сервисов и исполнителей | Определить роли, операции, состав данных, требования защиты и взаимодействие при инцидентах |
| Оценка вреда и документы по защите | Обосновать применимые меры и их организацию | Провести оценку, проверить информационные системы и реализовать меры с техническими специалистами |
| Порядок хранения, уничтожения, обращений и инцидентов | Определить сроки, исполнителей и последовательность действий | Организовать выполнение процедур и предусмотренные подтверждения |
| Уведомление РКН и сведения об изменениях | Выполнить обязанность по уведомлению при отсутствии исключения | Проверить необходимость подачи и соответствие реестра фактической обработке |
Назначение ответственного не переносит на него всю ответственность работодателя. Директор должен обеспечить условия для выполнения обязанностей: доступ к информации, участие кадровой службы, бухгалтерии и технических специалистов.
Для ИП состав организационного оформления определяют с учётом его статуса: не все требования, прямо адресованные юридическим лицам, автоматически применяются к предпринимателю в том же виде.
Как распределить доступ к кадровым данным
Основа — доступ только к сведениям, необходимым для конкретных функций. Нельзя просто включить в перечень все должности из штатного расписания.
Кадровику могут понадобиться документы о приёме, переводах и увольнении. Бухгалтеру — сведения для расчётов и отчётности. Руководителю отдела — информация для управления работой подразделения. Для этого ему не обязательно видеть паспортные сканы, сведения о вычетах и документы о здоровье.
Технический администратор может иметь техническую возможность доступа, но она требует правил, ограничений и контроля. Само обслуживание программы не означает свободного использования её содержимого.
Перечень допуска должен совпадать с настройками систем. Если по приказу доступ ограничен, а папка открывается всем сотрудникам, бумажное оформление не устраняет проблему.
Распределение доступа юрист помогает оформить на основании фактических сведений компании. Штатное расписание показывает названия должностей, но не объясняет, кто ведёт зарплату, где расположен архив и какие учётные записи существуют.
Неразглашение и разрешённые каналы передачи
Для сотрудников, работающих с чужими данными, закрепляют обязанности по конфиденциальности и подтверждают ознакомление. В комплект можно включить обязательство о неразглашении. Оно должно дополнять понятные правила: куда можно отправлять документы, какие носители использовать и кому сообщать об ошибке.
Например, кадровик решил переслать документы на личную почту, чтобы закончить работу дома. Даже если он не собирался передавать их посторонним, данные покидают контролируемую среду компании. Правила удалённой работы и разрешённые инструменты нужно определить заранее. Вопрос дисциплинарной ответственности решают по конкретным обстоятельствам и с соблюдением установленной процедуры.
Бумажные документы и расчётные листки
Нужно определить места хранения, лиц с ключами и порядок выдачи материалов. Конкретные способы защиты выбирают по условиям обработки: универсального требования установить сейф в каждом офисе нет, но свободный доступ посторонних необходимо исключить.
При выдаче расчётных листков важно не раскрывать зарплаты другим работникам. Если листки передаёт руководитель подразделения, его полномочия и обязанности по конфиденциальности должны быть оформлены, а способ выдачи — исключать ознакомление посторонних. Оставленная на общем столе стопка листков создаёт иную ситуацию, чем адресная выдача уполномоченным сотрудником.
Что проверить при передаче данных подрядчикам
Внешняя бухгалтерия, кадровый сервис и облачное хранилище могут участвовать в обработке по-разному. Сначала нужно определить, кто получает данные, для каких задач и принимает ли самостоятельные решения об их использовании.
Если исполнитель обрабатывает сведения по поручению работодателя, в договоре закрепляют предусмотренные законом условия: данные и операции, цели, конфиденциальность, требования к защите, подтверждение принятых мер и взаимодействие при инцидентах. Обычной фразы «стороны соблюдают 152-ФЗ» для полноценного поручения недостаточно.
Отдельно проверяют основание передачи данных работников. Договор работодателя с исполнителем не заменяет необходимое письменное согласие работника, когда применимого исключения из требований трудового законодательства нет.
Нужно также согласовать доступ, привлечение других исполнителей и действия по завершении договора. Если внешнему бухгалтеру перестали платить, его учётная запись не должна оставаться активной бессрочно.
Для банковских операций, ДМС и обязательного обмена сведениями с государственными органами анализируют конкретный процесс и специальные правила. Формулировка «любая передача требует согласия» слишком широка, но и освобождение всей передачи под предлогом трудовых отношений будет ошибкой.
Копии документов, фотографии и видеонаблюдение
Копии паспорта и других документов
Не стоит комплектовать личное дело копиями всех предъявленных документов по умолчанию. Для каждой копии нужно понимать цель, правовое основание, необходимый объём и срок хранения. Иногда достаточно перенести реквизиты и проверить оригинал; в других случаях хранение определённых материалов предусмотрено специальными требованиями.
Согласие не устраняет избыточность обработки. Практический подход — сначала определить, зачем нужна копия и можно ли выполнить задачу без неё.
Фотография на сайте и в социальных сетях
Фото для внутреннего пропуска и портрет в рекламной публикации — разные процессы. Для публичного размещения проверяют требования к распространению персональных данных и использованию изображения гражданина. Одного общего кадрового согласия может быть недостаточно.
Если работник отказался участвовать в рекламной съёмке, нельзя автоматически приравнивать это к отказу выполнять трудовые обязанности.
Видеонаблюдение
До установки камер определяют цель, зоны наблюдения, доступ к записям и сроки хранения, оформляют правила и информируют работников. Камеры не дают права на неограниченный контроль частной жизни. Обычная видеозапись и использование изображения для установления личности требуют разграничения.
Биометрический СКУД: что оформить до запуска
Если система распознаёт лицо или использует биометрический шаблон для установления или подтверждения личности, юридическую проверку проводят до запуска. Нужно выяснить, какие сведения получает СКУД, где они хранятся, кто имеет доступ и получает ли их поставщик при удалённом обслуживании.
Одного приказа о новом пропускном режиме недостаточно. Проверяют основания обработки биометрии, необходимые письменные согласия, локальные акты, сведения уведомления РКН и применимость специальных правил Закона № 572-ФЗ. В обычной ситуации отказ от предоставления биометрии не должен лишать работника возможности пройти на рабочее место: альтернативный способ прохода предусматривают заранее.
Отдельно определяют действия при отзыве согласия и увольнении: кто сообщает об изменении статуса, прекращает доступ и организует уничтожение данных при отсутствии оснований для дальнейшего хранения. Эти действия должны быть выполнимы в используемой системе.
В одном из наших проектов порядок альтернативного прохода по обычному пропуску был прямо закреплён в документах предприятия. Подробнее о технической модели, правах работников и юридическом оформлении — в статье «Биометрический СКУД на предприятии: какие юридические вопросы нужно решить до запуска».
Нужно ли уведомлять Роскомнадзор, если данные только кадровые
С 1 сентября 2022 года обработка в рамках трудового законодательства перестала быть самостоятельным общим исключением из обязанности уведомлять РКН. Поэтому прежний вывод «у нас только сотрудники, уведомление не требуется» нужно пересмотреть.
Исключения в законе сохраняются, но их применимость проверяют отдельно. Использование кадровой программы или электронной таблицы имеет значение при оценке автоматизированной обработки.
Если уведомление уже подано, нужно проверить, отражены ли в нём кадровые цели и другие необходимые сведения. При изменении сообщаемых сведений применяют предусмотренные законом порядок и сроки актуализации.
Что делать при приёме, в период работы и после увольнения
При приёме
Определить необходимые сведения, проверить документы и основания обработки. С локальными актами, непосредственно связанными с трудовой деятельностью, работника при приёме знакомят под роспись до подписания трудового договора. Это нужно включить в процедуру оформления, а не откладывать на неопределённый срок. Получить необходимые согласия для дополнительных операций. Предоставить рабочий доступ в пределах обязанностей.
Соискателей не следует автоматически включать в те же процедуры, что и принятых работников. Сохранение резюме в кадровом резерве после завершения подбора требует самостоятельного обоснования.
В период работы
Поддерживать актуальность данных, пересматривать права при переводах, контролировать передачу подрядчикам и обработку обращений. Не направлять полные ведомости в общий чат и не загружать реальные кадровые документы во внешний ИИ-сервис без предварительной правовой и технической оценки.
Нужно предусмотреть, кому сообщать об ошибочной рассылке или постороннем доступе. Для инцидентов, подпадающих под часть 3.1 статьи 21 Закона № 152-ФЗ, действуют сроки уведомления РКН: 24 часа об инциденте и 72 часа о результатах внутреннего расследования с момента выявления. Внутренняя передача информации должна позволять соблюсти эти сроки.
После увольнения
Прекратить ненужный рабочий доступ, организовать передачу дел и носителей, пересмотреть публичные карточки сотрудника. Одновременно определить, какие данные продолжают храниться по законным основаниям.
Увольнение и отзыв согласия не означают немедленного уничтожения всех кадровых документов. Для документов по личному составу, бухгалтерскому и налоговому учёту действуют соответствующие сроки хранения. Их определяют по виду документа и применимым правилам; единого срока для всего личного дела нет.
После окончания необходимых сроков и при отсутствии иных оснований данные уничтожают с предусмотренным подтверждением. Для автоматизированной обработки требования к подтверждению уничтожения могут включать не только акт, но и выгрузку из журнала регистрации событий.
Как отвечать на обращения работников
Не все обращения имеют одинаковый срок исполнения. Внутренний порядок должен помогать определить содержание запроса, ответственного исполнителя и применимую норму.
| Обращение | Что учесть |
|---|---|
| Письменное заявление о выдаче копий документов, связанных с работой | По статье 62 ТК РФ — не позднее трёх рабочих дней со дня подачи заявления; копии предоставляются бесплатно и заверяются надлежащим образом |
| Запрос информации об обработке персональных данных | По статье 20 Закона № 152-ФЗ — десять рабочих дней; продление не более чем на пять рабочих дней допускается с мотивированным уведомлением |
| Сообщение о неверных или устаревших данных | Проверить сведения, применить предусмотренные законом меры уточнения и при необходимости уведомить получателей об исправлении |
| Отзыв согласия | Определить, какая обработка основана на согласии, а какая продолжается по другим законным основаниям |
Обращения полезно регистрировать, чтобы не терять сроки и подтверждения исполнения. При выдаче выписки или копии нужно учитывать данные других людей: право работника получить сведения о себе не означает свободного доступа ко всей зарплатной ведомости.
Нельзя применять общий срок в десять рабочих дней к любому письму сотрудника. Например, заявление о выдаче копии приказа по статье 62 ТК РФ требует другого срока.
Чек-лист работодателя
- Понятно, какие данные работников используются и для каких целей.
- Необходимая кадровая обработка отделена от дополнительных программ и публикаций.
- Локальные акты описывают реальную работу, работники ознакомлены с ними.
- Ответственные и допущенные лица определены, права в системах соответствуют их функциям.
- Кадровые документы и копии не доступны посторонним.
- Согласия получаются для нужных операций и оформляются надлежащим образом.
- Передача подрядчикам имеет основание и договорное оформление.
- Необходимость уведомления РКН проверена, сведения актуальны.
- Установлены сроки хранения и работающие процедуры обращений, уничтожения и реагирования на инциденты.
- При увольнении закрываются доступы, а дальнейшее хранение документов проверяется отдельно.
Если документы подготовлены давно, полезно сопоставить их с изменениями требований и текущими процессами. Простая замена даты утверждения не подтверждает такую проверку.
Как помогает «Софист»
Можно заказать новые документы под действующие процессы либо проверить и исправить имеющийся комплект в рамках аудита. Выбор зависит от состояния материалов и необходимой глубины проверки.
Пакет «Универсальный» — 50 000 руб. Предусматривает расширенное оформление внутренних процедур, включая обработку данных работников, распределение обязанностей, хранение, уничтожение, внутренний контроль, работу с подрядчиками и ознакомление сотрудников. Включает состав базового пакета и пошаговую инструкцию по применению подготовленных материалов: какие акты утвердить, кого назначить, кого ознакомить, какие фактические сведения заполнить и какие действия организовать. Инструкция помогает внедрить комплект, но не заменяет действия руководителя и сотрудников. Точный перечень согласовываем с учётом деятельности.
Пакет «Базовый» — 35 000 руб. Включает основные документы, подготовку или проверку уведомления РКН, необходимые согласия, правовую проверку сайта и локализации. Его не следует воспринимать как полное оформление всех внутренних кадровых процедур.
Полный аудит персональных данных организации — от 95 000 руб. Подходит для проверки действующих документов и процессов. Определяем, что можно сохранить, какие положения исправить и каких мер не хватает. Глубину проверки, выезд при необходимости и объём исправлений закрепляем до начала работы.
Юридическое сопровождение внедрения биометрического СКУД — от 55 000 руб. Проверяем правовую модель системы, основания обработки и необходимые согласия, оформляем внутренние правила и порядок взаимодействия с работниками, включая альтернативный проход и действия при прекращении обработки. Состав услуг определяем по характеристикам системы и предприятия. Подробнее — в статье о биометрическом СКУД. Техническая установка и настройка в юридическую услугу не входят.
Консультация — 5 000 руб. за час. Подходит для отдельного вопроса: передачи внешней бухгалтерии, хранения копий, публикации фотографий или пересмотра доступа. Отдельные документы и специальные процессы оцениваем по задаче.
Юридическая работа не заменяет настройку информационных систем и техническую защиту: соответствующие задачи выполняют специалисты компании или привлечённые исполнители. Подробный состав услуг — на странице сопровождения по 152-ФЗ.
Наши гарантии и преимущества
Работаем с 2016 года. Проводили аудиты обработки персональных данных на крупных предприятиях Татарстана, сопровождаем бизнес и НКО. Учитываем связь кадровых документов, договоров, цифровых систем и фактического доступа.
Работаем официально по договору. Закрепляем состав услуг, результат, сроки и стоимость. Для аудита отдельно определяем охват проверки и объём исправлений, чтобы клиент понимал границы поручения.
Василий Кустов лично участвует в юридической работе. Решения готовим с учётом сведений кадровой службы, бухгалтерии и технических специалистов. Не заполняем фактические сведения только по названиям должностей.
Объясняем применение документов. Разделяем утверждение актов, ознакомление сотрудников, необходимые согласия и технические действия. Клиент получает предусмотренные договором материалы и рекомендации.
Соблюдаем конфиденциальность и работаем дистанционно по России. Практика находится в Казани; личные встречи и выезд согласовываются по проекту. Для первичного обсуждения обычно достаточно описания процессов и перечня документов без полной выгрузки кадровой базы.
Гарантируем выполнение принятых договорных обязательств. Заранее обещать отсутствие любых претензий или определённое решение надзорного органа невозможно.
Опыт сотрудничества подтверждают благодарственные письма АО «ПОЗИС» и Казанского хлебозавода № 3. Другие письма и сведения о практике — на странице «О нас».
Смежный пример из практики: документы и архитектура обработки
В проекте для ИИ-стартапа работа включала модель обезличивания и актуализацию действующих локальных актов и политики. Это пример согласования юридического оформления с реальным способом обработки. Он не заменяет анализ кадровых процессов, но показывает, почему при подключении нового инструмента недостаточно одного универсального согласия. Подробнее — в кейсе по обезличиванию данных для ИИ-стартапа.
Часто задаваемые вопросы
У нас один работник. Нужен полный комплект из 25 документов?
Статус микропредприятия сам по себе не освобождает от требований к персональным данным. Само количество работников не определяет число документов. Нужно выполнить применимые обязанности, а объём оформления зависит от процессов, систем и получателей данных. Для небольшой компании возможен более компактный состав, если он действительно охватывает её работу.
Достаточно скачать положение и собрать согласия?
Нет. Положение нужно привести в соответствие с деятельностью, работников ознакомить, доступы настроить, передачу подрядчикам проверить. Подпись под шаблоном не подтверждает выполнение всех этих действий.
Документы уже есть. Придётся платить за весь комплект заново?
Не обязательно. Можно заказать проверку и исправление существующих материалов в рамках аудита, сохранив подходящие положения. Если выгоднее подготовить новые согласованные документы, обсудим этот вариант. До начала работы закрепляем охват проверки и объём доработок; полную замену не предлагаем только из-за того, что комплект готовил другой специалист.
Нам нужен только один документ. Обязательно покупать пакет?
Нет. Можно согласовать отдельную задачу или начать с консультации. Если для подготовки документа нужно проверить связанный процесс, объясним, какие сведения необходимы и почему. Например, согласие для СКУД невозможно корректно составить без понимания работы системы.
После получения документов мы сможем внедрить их самостоятельно?
Пакет «Универсальный» включает пошаговую инструкцию по применению материалов: утверждение актов, назначение ответственных, ознакомление и необходимые организационные действия. Компания предоставляет фактические сведения и выполняет действия со своей стороны. Если требуется дополнительное участие во внедрении или отдельная консультация команды, объём такого сопровождения согласовываем заранее.
Что потребуется от нас и как избежать неожиданных доплат?
На старте нужны имеющиеся документы, описание кадровых процессов, перечень систем и подрядчиков. Затем уточняем сведения с ответственными сотрудниками. Стоимость, результат и границы работы закрепляем в договоре. Если обнаружится дополнительная задача — например, оформление биометрического СКУД, — сначала согласуем её состав и стоимость с клиентом.
После увольнения нужно удалить сотрудника из всех документов?
Нет. Доступ к рабочим системам и хранение кадровых документов — разные вопросы. Ненужные полномочия прекращают, а документы хранят и уничтожают по применимым основаниям и срокам.