Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Оформление согласия на обработку персональных данных (ПДн), обязательная процедура для любого работодателя, являющегося оператором персональных данных в соответствии с ФЗ-152 «О персональных данных». С 1 сентября 2025 года в силу вступили значительные изменения, затрагивающие форму, содержание и порядок получения согласий, а также порядок передачи обезличенных данных в государственные информационные системы (ГИС). Ниже представлена подробная статья с актуальным образцом документа.

Правовая база: когда согласие нужно, а когда нет

Согласно ст. 6 ФЗ-152 и ст. 86 ТК РФ, обработка персональных данных работника допускается:

С согласия субъекта ПДн (работника) — в общем случае.
Без согласия — если обработка необходима для исполнения трудового договора, выполнения законодательных обязанностей работодателя (расчет зарплаты, налоги, отчетность в ПФР/ФСС, военский учет и т.д.).

Важно: Даже если для основных кадровых действий (прием, перевод, увольнение, начисление зарплаты) согласие не требуется (п. 4 ч. 1 ст. 6 ФЗ-152), на практике работодатели оформляют универсальное согласие на все остальные цели: оформление пропусков, доступ к ИС, корпоративная почта, ДМС, обучение, видеонаблюдение, передача данных банкам (зарплатные проекты), страховщикам и т.д.

Ключевые изменения с 1 сентября 2025 года

Федеральный закон от № 565-ФЗ внес поправки в ст. 9 ФЗ-152. Основные нововведения:

Единая форма согласия (рекомендательная): Минцифры России утвердило рекомендательный образец согласия. Использование именно этой формы освобождает оператора от необходимости разрабатывать свою, но позволяет использовать собственную, если она соответствует требованиям закона.
Обязательные реквизиты: В согласии теперь жестко прописан перечень данных, которые должны быть указаны (см. раздел 4).
Платформа управления согласиями (Госуслуги): Минцифры ведет работу по созданию единой платформы на портале Госуслуг для учета и управления согласиями граждан. Операторы в будущем могут быть обязаны синхронизировать свои реестры с этой платформой.
Передача обезличенных данных в ГИС: Уточнен порядок передачи обезличенной информации в государственные информационные системы — теперь это требует отдельного упоминания в целях обработки или отдельного согласия, если обезличивание не гарантировано технически.
Срок действия: Согласие может быть бессрочным, но субъект имеет право отозвать его в любой момент (с последствиями — невозможность выполнения определенных функций).

Структура и обязательные реквизиты согласия (по ст. 9 ФЗ-152)

Любой образец согласия (в т.ч. разработанный самостоятельно) должен содержать:

ФИО, адрес, ИНН/ОГРН оператора (работодателя).
ФИО, паспортные данные, адрес, СНИЛС субъекта ПДн (работника).
Цели обработки (перечисляются конкретно: «для оформления трудового договора», «для предоставления ДМС», «для доступа к АСУ» и т.д.).
Перечень обрабатываемых данных (ФИО, паспорт, СНИЛС, ИНН, банковские реквизиты, фото, биометрия, мед. данные, только те, что реально нужны).
Действия с ПДн (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача третьим лицам, обезличивание, блокирование, удаление, уничтожение).
Список третьих лиц, которым данные могут быть переданы (банк, страховая компания, оператор ЭДО, облачный провайдер 1С и т.д.) с указанием оснований.
Срок действия согласия и порядок его отзыва.
Подпись работника (с расшифровкой) и дата.

Актуальный образец согласия (Шаблон 2025/2026)

Ниже приведен универсальный образец, соответствующий требованиям ст. 9 ФЗ-152 в редакции от . Текст в квадратных скобках […] подлежит заполнению.

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

Я, [ФИО работника полностью], дата рождения [ДД.ММ.ГГГГ], место рождения: [Место рождения по паспорту],

паспорт: серия [XXXX] № [XXXXXX], выдан [Кем выдан] [ДД.ММ.ГГГГ], код подразделения [XXX-XXX],

проживающий по адресу: [Адрес регистрации/проживания],

СНИЛС № [XXX-XXX-XXX XX], ИНН [XXXXXXXXXXXX],

действующий от своего имени, свободной воле и в своем интересе, а также в интересах третьих лиц, которым я предоставляю свои персональные данные, даю свое согласие Обществу с ограниченной ответственностью [Полное наименование организации] (ИНН [ИНН], ОГРН [ОГРН], адрес: [Юридический адрес]), именуемому в дальнейшем «Оператор», на обработку моих персональных данных.

Цели обработки персональных данных:

Исполнение трудового договора и выполнение обязанностей работодателя по трудовому законодательству (расчет и выплата заработной платы, начисление налогов, формирование отчетности в контролирующие органы).
Обеспечение режима доступа на территорию объекта / в помещения организации (оформление пропусков, учет рабочего времени).
Организация корпоративного общения и информационной безопасности (создание корпоративной почты, учетных записей в АСУ/CRM/1С, настройка прав доступа).
Оформление и администрирование программы добровольного медицинского страхования (ДМС) и иных социальных гарантий.
Осуществление видеонаблюдения на территории организации в целях обеспечения безопасности имущества и персонала.
Передача данных в уполномоченные государственные органы (ФНС, СФР, МВД, военкомат и др.) в установленном законом порядке;
[Дополнительные цели: участие в корпоративных мероприятиях, публикация фото на сайте/в соцсетях компании — только при необходимости].

Категории обрабатываемых персональных данных:

Общие данные: ФИО, дата и место рождения, пол, гражданство, контактные данные (телефон, e-mail), семейное положение, данные о детях.
Идентифицирующие документы: серия, номер, дата выдачи паспорта, код подразделения, кем выдан; СНИЛС, ИНН.
Банковские реквизиты для зачисления заработной платы (номер счета/карты, БИК, наименование банка).
Трудовые и кадровые данные: должность, подразделение, табельный номер, дата приема, приказы, данные трудовой книжки/СТР, сведения об образовании, квалификации, наказаниях и поощрениях.
Биометрические данные: фотография для пропуска/баджа/личного дела; [при наличии: отпечатки пальцев для СКУД — требует отдельного выделенного согласия].
Специальные категории данных (при наличии оснований): данные о здоровье (справки 086-У, больничные листы, данные ДМС), расовой/национальной принадлежности, политических взглядах, религиозных убеждениях — только при наличии отдельного письменного согласия на каждую категорию (ст. 10 ФЗ-152).

Действия (операции) с персональными данными, на которые дается согласие:

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ) третьим лицам, обезличивание, блокирование, удаление, уничтожение персональных данных.

Обработка осуществляется как с использованием средств автоматизации (автоматизированная обработка), так и без таковых (бумажные носители).

Передача персональных данных третьим лицам:

Оператор имеет право передавать мои персональные данные следующим категориям третьих лиц на основании договоров или законодательства:

Банку-обслуживателю зарплатного проекта — для зачисления заработной платы.
Страховой организации — для оформления полиса ДМС/НС.
Операторам электронного документооборота (ЭДО) и провайдерам облачных сервисов (1С-Фреш, Контур, Диадок и др.) — для ведения кадрового и бухгалтерского учета.
Государственным органам (ФНС, СФР, Прокуратуре, Судам, МВД, Военкомату) — в случаях, предусмотренных законом.
[Иные получатели: аутсорсинговые кадровые агентства, обучающие центры и т.д.];

Срок действия согласия и порядок отзыва:

Настоящее согласие действует бессрочно с момента подписания до момента прекращения трудовых отношений и исполнения всех связанных с этим обязательств (в т.ч. архивного хранения по срокам, установленным законом и локальными актами), либо до момента его отзыва.

Я осведомлен о том, что настоящее согласие может быть отозвано мной путем направления Оператору письменного уведомления (заявления) не позднее чем за 3 (три) рабочих дня до предполагаемой даты прекращения обработки. Отзыв согласия не влечет незаконности обработки, совершенной до момента получения уведомления об отзыве. Отзыв согласия на обработку данных, необходимых для исполнения трудового договора, может повлечь невозможность продолжения трудовых отношений.

Меры защиты персональных данных:

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

Заключительные положения:

Я подтверждаю, что ознакомлен(а) с правами и обязанностями Оператора и субъекта персональных данных, установленными Федеральным законом от № 152-ФЗ «О персональных данных», а также с локальными нормативными актами Оператора по защите и обработке персональных данных (Политикой конфиденциальности, Положением о защите ПДн и др.), доступными по адресу: [Ссылка на сайт/внутренний портал/место хранения].

Я подтверждаю достоверность предоставленных мною персональных данных и соглашаюсь на их проверку Оператором.

Примечание: Настоящий образец является рекомендательным. Работодатель вправе адаптировать его под специфику своей деятельности, добавив или исключив пункты, при условии сохранения всех обязательных реквизитов ст. 9 ФЗ-152.

Особенности оформления в 2025–2026 гг.: на что обратить внимание

Биометрические данные и фото

Фотография для пропуска/баджа считается биометрическими данными (постановление Пленума ВС РФ). Их обработка требует отдельного выделенного согласия (можно в том же документе, но отдельным пунктом/подписью). Нельзя смешивать согласие на фото для пропуска с согласием на публикацию фото на сайте компании, это разные цели.

Специальные категории данных (медицина)

Справки 086-У, больничные листы, данные ДМС, это специальные категории ПДн (ст. 10 ФЗ-152). Для их обработки обязательно отдельное письменное согласие (часто оформляется отдельным приложением или чек-боксом в основном документе с отдельной подписью).

Передача данных за границу (трансграничная передача)

Если используются облачные сервисы с серверами за рубежом (Microsoft 365, Google Workspace, Zoom, Slack и др.), необходимо:

Указать это в согласии (страна-получатель).
Обеспечить адекватную защиту (СКЗИ, стандартные договорные условия, BCR).
Уведомить Роскомнадзор о трансграничной передаче (до начала передачи).

Электронная форма согласия

Допускается получение согласия в электронной форме (ЭЦП, СМЭВ, Госуслуги, корпоративный портал с идентификацией сотрудника). С Минцифры рекомендует интеграцию с единой платформой согласий на Госуслугах для ведения реестра.

Хранение и учет согласий

Оригиналы бумажных согласий хранятся в личных делах сотрудников (карточка Т-2) или в отдельном файле/журнале.
Ведите Реестр согласий (журнал учета): дата, ФИО, цель, срок, статус (действует/отозвано).
При отзыве согласия работником, фиксируйте дату получения заявления, дату прекращения обработки в системах, меры по удалению/обезличиванию;

Ответственность за нарушения

Нарушение порядка получения, хранения или обработки ПДн влечет административную ответственность (КоАП РФ):

Ст. 13.11 КоАП РФ: Нарушение законодательства о персональных данных — штраф на должностных лиц до 20 000 руб., на юрлиц — до 75 000 руб. (за повторное — выше).
Ст. 13.11.1 КоАП РФ: Неисполнение требований Роскомнадзора — штраф до 500 000 руб.
Ст. 19.7.12 КоАП РФ: Нарушение требований по защите критической информационной инфраструктуры (если применимо).

Также возможны гражданско-правовые иски от сотрудников о компенсации морального вреда.

Чек-лист для HR и юриста перед внедрением

[ ] Актуализирован ли текст согласия под требования ст. 9 ФЗ-152 (ред. от )?
[ ] Выделены ли отдельные блоки для биометрии (фото/СКУД) и спец. категорий (медицина)?
[ ] Указаны ли конкретные третьи лица (банк, страховщик, ЭДО) с наименованием и ИНН?
[ ] Есть ли ссылка на Политику конфиденциальности и локальные акты по защите ПДн?
[ ] Обеспечена ли возможность отзыва согласия (простая форма заявления)?
[ ] Проведена ли оценка уязвимостей и категорирование объектов ПДн (1-4 уровень)?
[ ] Уведомлен ли Роскомнадзор о начале обработки (если не освобождены)?
[ ] Обучены ли сотрудники, имеющие доступ к ПДн, требованиям безопасности?

Грамотно оформленное согласие на обработку персональных данных — это не просто формальность для инспекции Роскомнадзора, а инструмент управления рисками компании. Использование актуального образца с учетом поправок 2025 года, четкое разделение целей и категорий данных, а также внедрение процедуры отзыва и учета согласий позволяют избежать штрафов, судебных исков и утечек данных. Регулярно аудируйте свои шаблоны и локальные акты в связи с развитием законодательства и практики применения норм ФЗ-152.