Оформление трудовых отношений немыслимо без обработки персональных данных (ПДн) сотрудника. Работодатель обязан соблюдать требования Федерального закона от № 152-ФЗ «О персональных данных» и Трудового кодекса РФ (ТК РФ). В статье разбираем‚ когда нужно согласие на обработку ПДн‚ какой объем данных можно запросить‚ как правильно составить документы и избежать штрафов.

Правовая база: что регулирует отношения

• Ст. 86 ТК РФ — определяет перечень сведений‚ которые работодатель имеет право запрашивать у соискателя/работника.
• Ст. 88 ТК РФ, устанавливает обязанность работодателя защищать персональные данные работников.
• ФЗ-152 «О персональных данных» — основной закон‚ регулирующий сбор‚ хранение‚ использование и уничтожение ПДн.
• Постановление Правительства РФ № 1119 — утверждает требования к защите ПДн при их обработке в информационных системах.

Какие данные работодатель имеет право запрашивать (без согласия)

Согласно ч. 1 ст. 86 ТК РФ‚ работодатель может запросить только те сведения‚ которые необходимы для заключения и исполнения трудового договора‚ а также для выполнения обязанностей‚ возложенных на работодателя законом. Для этих целей согласие на обработку ПДн не требуется (п. 2 ч. 1 ст. 6‚ п. 1 ч. 1 ст. 11 ФЗ-152).

Базовый перечень документов (ст. 65 ТК РФ):

1. Паспорт (или иной документ‚ удостоверяющий личность).
2. Трудовая книжка (или сведения о трудовой деятельности в электронном виде — СТД-Р) — для первичного оформления не требуется‚ но нужен для записи о приеме.
3. СНИЛС (страховой номер индивидуального лицевого счета).
4. Военный учетный документ (для лиц‚ подлежащих воинской учете).
5. Документ об образовании/квалификации (если требуется для данной работы).
6. Свидетельство о регистрации места жительства/пребывания (если требуется для оформления);

Примеры данных‚ обрабатываемых без согласия по закону:

• ФИО‚ дата рождения‚ паспортные данные — для идентификации стороны трудового договора.
• Реквизиты банковского счета — для перечисления заработной платы (ст. 136 ТК РФ).
• Сведения о иждивенцах — для предоставления стандартных налоговых вычетов (НДФЛ).
• Данные о состоянии здоровья — только в случаях‚ предусмотренных законом (предварительные медосмотры‚ вредные условия труда).

Когда требуется письменное согласие на обработку ПДн

Согласие обязательно‚ если работодатель планирует обрабатывать данные‚ не входящие в перечень ст. 86 ТК РФ или выходящие за рамки исполнения трудового договора/законных обязанностей.

Типичные случая‚ требующие согласия:

• Хранение и использование копий документов (паспорта‚ СНИЛС‚ диплома)‚ если это не прямо предусмотрено локальными актами для кадрового учета;
• Сбор дополнительной информации: наличие несовершеннолетних детей (для льгот‚ кроме налоговых)‚ хобби‚ знание иностранных языков (если не в требованиях должности)‚ наличие счетов в банках (кроме зарплатного)‚ данные о судимостях (кроме случаев‚ когда закон запрещает работу).
• Обработка специальных категорий ПДн (раса‚ национальность‚ политические взгляды‚ религиозные убеждения‚ состояние здоровья‚ интимная жизнь) — требует письменного согласия (ст. 10 ФЗ-152)‚ за исключением случаев‚ прямо предусмотренных законом (медосмотры).
• Обработка биометрических данных (отпечатки пальцев‚ распознавание лица для СКУД), строго по письменному согласию.
• Публикация фото/видео сотрудника на сайте компании‚ в соцсетях‚ на стенде «Наши сотрудники».
• Передача данных третьим лицам (страховые компании‚ банки для корпоративных карт‚ операторы обучения‚ клиенты, аутстаффинг).
• Обработка данных соискателей‚ не ставших сотрудниками (базы резюме).

Как правильно оформить согласие: структура и обязательные реквизиты

Единой утвержденной формы бланка нет‚ но согласно ст. 9 ФЗ-152‚ согласие должно быть специфическим‚ информированным и сознательным. Рекомендуется оформлять отдельным документом (не частью трудового договора)‚ чтобы работник мог свободно отказать без риска отказа в приеме на работу.

Обязательные поля в бланке согласия:

1. Название: «Согласие на обработку персональных данных» (или «Согласие на обработку персональных данных соискателя» — на этапе собеседования).
2. Реквизиты Оператора (работодателя): Полное наименование ООО/ИП‚ юр. адрес‚ ИНН/КПП‚ ОГРН/ОГРНИП.
3. Данные Субъекта (работника/соискателя): ФИО полностью‚ дата рождения‚ паспортные данные (серия‚ номер‚ кем выдан‚ когда)‚ адрес регистрации‚ СНИЛС.
4. Цели обработки: Перечислить конкретно (не абстрактно «для целей трудового договора»‚ а: «для оформления трудового договора»‚ «для расчета и выплаты зарплаты»‚ «для учета рабочего времени»‚ «для оформления медстраховки ДМС»‚ «для предоставления доступа к СКУД по биометрии» и т.д.).
5. Перечень обрабатываемых ПДн: Конкретный список (ФИО‚ паспорт‚ СНИЛС‚ ИНН‚ банковские реквизиты‚ фото‚ биометрия‚ данные о детях и т.д.).
6. Действия с ПДн: Сбор‚ запись‚ систематизация‚ накопление‚ хранение‚ уточнение (обновление)‚ извлечение‚ использование‚ передача (третьим лицам — указать кому и зачем)‚ обезличивание‚ блокирование‚ удаление‚ уничтожение.
7. Срок действия согласия: Обычно указывают: «На срок действия трудового договора и 75 лет после его прекращения (срок хранения кадровых документов)» или конкретную дату. Важно: бессрочное согласие допускается‚ но субъект может отозвать его в любой момент.
8. Сведения о правах субъекта: Отсылка к ст. 14 ФЗ-152 (право на доступ‚ исправление‚ блокирование‚ удаление‚ отзыв согласия).
9. Подпись субъекта: Расшифровка подписи‚ дата.

Пример заполнения цели (для сотрудника ООО «Ромашка»):

Цель обработки: исполнение трудового договора № 123 от г.‚ расчет и выплата заработной платы‚ исчисление страховых взносов‚ предоставление гарантий и компенсаций по ТК РФ‚ оформление доступа в помещения организации (СКУД)‚ оформление полиса ДМС.

Особенности оформления на этапе приема (соискатель)

До заключения трудового договора человек является соискателем. Обработка его данных (резюме‚ результаты тестов‚ собеседований) требует отдельного согласия — «Согласия на обработку персональных данных соискателя».

• Оно подписывается до заполнения анкеты или прохождения тестирования.
• Цели: «подбор персонала‚ оценка профессиональной пригодности‚ принятие решения о приеме на работу».
• Если отказ в приеме, данные должны быть уничтожены в срок‚ установленный локальным актом (обычно сразу или в течение нескольких дней)‚ если соискатель не дал согласия на хранение в кадровом резерве.

Отказ от подписания согласия: права работника и действия работодателя

Согласно ст. 9 ФЗ-152 и разъяснениям Роскомнадзора‚ отказ в подписании согласия не может быть основанием для отказа в приеме на работу или увольнении‚ если речь идет о данных‚ необходимых для исполнения трудового договора (базовый пакет ст. 86 ТК РФ).

Что делать‚ если сотрудник отказался подписать согласие на «дополнительные» данные:

• Не собирать эти данные (не просить справку о детях для ДМС‚ не фотошопить для сайта‚ не брать биометрию для СКУД — выдавать пропуск/ключ).
• Составить акт отказа от подписания согласия (подписывается сотрудником‚ членом профсоюза/комиссии‚ HR).
• Обеспечить выполнение трудовой функции без этих данных.

Отзыв согласия на обработку ПДн

Субъект ПДн имеет право отозвать согласие в любой момент (ст. 9 ФЗ-152). Отзыв должен быть письменным.

Алгоритм действий работодателя при получении отзыва:

1. Зарегистрировать заявление (входящий номер/дата).
2. Проверить: можно ли прекратить обработку? Если данные нужны для исполнения трудового договора или исполнения закона (налог‚ страховые взносы‚ отчетность в ПФР/ФНС) — обработку прекратить нельзя‚ об этом уведомляют работника.
3. Если обработка основана только на согласии (фото на сайте‚ ДМС‚ биометрия‚ кадровый резерв) — прекратить обработку и уничтожить данные в течение 30 дней (если иной срок не установлен законом/договором).
4. Уведомить субъекта о результатах (уничтожено / продолжается по закону).

Хранение и защита ПДн в кадровых документах

Трудовые договоры‚ личные карточки (Т-2)‚ приказы о приеме, это документы‚ содержащие ПДн. Их защита обязательна.

• Сроки хранения: Кадровые документы — 75 лет (до 2003 г., вечно). Личные дела — 75 лет.
• Доступ: Только уполномоченные лица (HR‚ руководитель‚ бухгалтерия по назначению). Приказ об уполномоченных лицах — обязателен.
• Носители: Бумага (запертые шкафы‚ ограниченный доступ) и Электронный вид (ИСПДн — информационная система ПДн: пароли‚ шифрование‚ антивирус‚ учет доступа‚ резервное копирование).
• Перевод в архив: После прекращения трудового договора документы переводятся в архив организации. Согласие на хранение архивных документов не требуется (п. 5 ч. 1 ст. 6 ФЗ-152‚ разъяснения Роскомнадзора).

Передача ПДн третьим лицам (аутсорсинг‚ банки‚ страховщики)

Передача допускается только при наличии:

1. Согласия субъекта (в самом согласии должно быть указано: «передача в ООО «Бухсервис» для расчета зарплаты»‚ «передача в СК «СтрахГарант» для оформления ДМС»).
2. Договора с оператором (получателем данных)‚ в котором прописаны обязанности по защите ПДн (ст. 24.2 ФЗ-152). Договор может быть приложением к основному договору (ГПХ/Договор оказания услуг).

Чек-лист HR-специалиста при оформлении сотрудника (2026)

Ответственность за нарушения (актуально на 2026 год)

Нарушение законодательства о ПДн влечет административную ответственность (КоАП РФ):

• Ст. 13.11 КоАП РФ: Нарушение прав субъектов ПДн (отказ в предоставлении доступа к своим данным‚ неправомерный отказ в исправлении/удалении) — штраф на юрлиц 15 000 – 75 000 руб. (для повторного — до 500 000 руб.);
• Ст. 13.11.1 КоАП РФ: Нарушение обязанностей оператора/уполномоченного (отсутствие политики‚ приказа‚ меры защиты‚ утечка данных) — штраф на юрлиц 30 000 – 100 000 руб. (повторное, до 1 000 000 руб. или до 3 млн руб. для критической инф. инфраструктуры).
• Ст. 5.27 ТК РФ: Нарушение трудового законодательства (в т.ч. незаконный сбор сведений) — штраф на юрлиц 50 000 – 80 000 руб.

Важно: Роскомнадзор активно проверяет наличие согласий на обработку биометрии‚ фото на сайтах‚ передачу данных в аутсорсинг без договоров и уведомлений в реестр операторов (если требуется).

Резюме: ключевые правила «золотого стандарта»

1. Разделяйте потоки: Базовые данные (ст. 86 ТК РФ) — без согласия по закону. Все остальное — только по письменному согласию.
2. Не кладите согласие в трудовой договор. Оно должно быть добровольным‚ отдельным документом.
3. Конкретизируйте цели и перечень данных. Фраза «для целей трудового договора» в согласии, риск признания недействительным судом/РКН.
4. Пропишите передачу третьим лицам в теле согласия и заключайте с ними доп. соглашения о защите ПДн.
5. Ведите учет уполномоченных лиц и ознакомляйте их с локальными актами по защите ПДн под роспись.
6. Уничтожайте данные соискателей после отказа‚ если нет согласия на кадровый резерв.
7. Готовьтесь к отзыву согласия — имейте регламент действий за 30 дней.

Грамотное оформление персональных данных — это не только про штрафы‚ но и про репутацию работодателя и информационную безопасность бизнеса. Используйте актуальные бланки 2026 года‚ следите за разъяснениями Роскомнадзора и судебной практикой.