Оформление отношений по обработке персональных данных (ПДн) сотрудников, одна из ключевых обязанностей работодателя․ Нарушения в этой сфере влекут за собой серьезные штрафы (до 18 млн руб․ за повторные нарушения по ст․ 13․11 КоАП РФ), проверки Роскомнадзора и репутационные риски․ С 1 сентября 2025 года вступили в силу кардинальные изменения в Федеральный закон от N 152-ФЗ «О персональных данных», которые принципиально изменили подход к получению согласия․

В этой статье подробно разберем, как построить правовую базу обработки ПДн сотрудников, как оформить согласие отдельно от трудового договора и какие документы должны быть в кадровом деле каждого работника․

Правовая база: зачем работодателю обрабатывать данные?

Согласно ст․ 6 Закона N 152-ФЗ, обработка персональных данных допускается при наличии одного из оснований․ В трудовых отношениях используются два основных:

1. Исполнение трудового договора (ч․ 1 ст․ 6, п․ 2 ч․ 1 ст․ 6 152-ФЗ)․ Работодатель обязан обрабатывать данные без согласия для: расчета зарплаты, начисления страховых взносов, ведения трудовой книжки (электронной), оформления отпусков, больничных, предоставления данных в ПФР/СФР, налоговую инспекцию и т․д․ Для этих целей согласие НЕ требуется․
2. Согласие субъекта ПДн (п․ 1 ч․ 1 ст․ 6 152-ФЗ)․ Требуется для целей, не связанных напрямую с исполнением ТК РФ и трудового договора․ Например: передача данных страховой компании (ДМС), банку (зарплатный проект, если не входит в обязательства по договору), оператору доступа (пропуска), публикация фото на сайте/в соцсетях компании, мониторинг корпоративной почты/мессенджеров, биометрия (СКУД), профилактика коррупции и т․д․

Главное изменение с : Согласие, только отдельным документом

До сентября 2025 года практика допускала включение согласия в текст трудового договора (пунктом или приложением)․ Сейчас это прямо запрещено․

Что требует закон (ч․ 1 ст․ 9 152-ФЗ в ред․ от 2025 г․):

• Согласие должно быть оформлено в виде отдельного документа (бумажного или электронного)․
• Оно не может быть объединено с трудовым договором, заявлением о приеме на работу, договором о материальной ответственности, политикой конфиденциальности или любыми другими документами․
• Согласие должно быть специфическим, информированным, сознательным и выражаемым свободной волей․

Обязательные реквизиты согласия (ст․ 9 152-ФЗ):

1. ФИО, адрес, паспортные данные, СНИЛС субъекта (сотрудника)․
2. Наименование и адрес оператора (работодателя), ФИО уполномоченного лица․
3. Цели обработки (перечисляются конкретно: «для оформления ДМС- полиса», «для выдачи пропуска в СКУД», «для рассылки корпоративных новостей»)․ Общие фразы «для кадровых целей» или «для целей трудового права» — недопустимы для согласия (они покрываются основанием исполнения договора)․
4. Перечень обрабатываемых данных (ФИО, телефон, email, фото, биометрия, мед․ данные и т․д․)․
5. Способы обработки (сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача третьим лицам, обезличивание, блокирование, удаление, уничтожение)․
6. Срок действия согласия или условие его отзыва (обычно: «на срок действия трудового договора и 50/75 лет после его прекращения для архива» или «до отзыва»)․
7. Подпись сотрудника (с расшифровкой) и дата․
8. Информация о праве отозвать согласие и последствиях отзыва․

Структура документов в личном деле сотрудника (Чек-лист)

Для соответствия законодательству в 2026 году пакет документов по ПДн должен выглядеть так:

Как правильно составить «Согласие на обработку ПДн» (Пример структуры)

Ниже приведена рекомендуемая структура документа, соответствующая требованиям ст․ 9 152-ФЗ и позициям Роскомнадзора․

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

г․ [Город] «___» __________ 202_ г․

Я, [ФИО полностью], паспорт: [серия, номер, кем выдан, дата], регистрация: [адрес], СНИЛС: [номер], действующий свободно, в своем имени, выражаю свое специфическое, информированное и сознательное согласие Обществу с ограниченной ответственностью «[Название компании]» (ИНН/ОГРН, адрес: [юрадрес]), именуемому в дальнейшем «Оператор», на обработку моих персональных данных на следующих условиях:

1. Цели обработки:
   • Передача данных в АО «Страховая компания [Название]» для оформления полиса ДМС․
   • Передача данных в ПАО «Банк [Название]» для включения в зарплатный проект (если не предусмотрено ТД)․
   • Использование фото/видео с моим участием на сайте компании, в соцсетях, на стенде/в буклетах․
   • Обработка биометрических данных (отпечаток пальца/лицо) для доступа в СКУД офиса по адресу: [адрес]․
   • Мониторинг корпоративной почты и чатов для обеспечения ИБ и профилактики утечек․
2. Состав персональных данных: ФИО, дата рождения, контактный телефон, личный email, фото, биометрические данные (шаблон лица/отпечатка), данные о зарплате (для банка), диагнозы (только для страховщика в запечатанном конверте) и т․д․
3. Способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (предоставление, доступ) третьим лицам (АО «СК․․․», ПАО «Банк․․․», ООО «Охрана․․․»), обезличивание, блокирование, удаление, уничтожение․ Обработка осуществляется с использованием средств автоматизации и без таковых․
4. Срок действия согласия: На срок действия трудового договора № [Номер] от [Дата] и 50 (пятидесяти) лет после его прекращения (срок хранения архивных документов), либо до момента отзыва согласия․
5. Право отзыва: Мною известно, что настоящее согласие может быть отозвано мною (или моим представителем) путем направления Оператору письменного уведомления не позднее чем за 3 (три) рабочих дня до предполагаемой даты прекращения обработки․ Отзыв согласия влечет прекращение обработки данных для целей, указанных в п․ 1, в течение 3 (трех) рабочих дней с момента получения уведомления, за исключением случаев, когда дальнейшая обработка необходима для исполнения ТД/закона․
6. Последствия отзыва: В случае отзыва согласия Оператор прекратит обработку для указанных целей, что может повлечь невозможность оформления ДМС, выдачи пропуска СКУД, участия в корпоративных мероприятиях и т․д․, но не повлечет нарушения обязательств по выплате зарплаты, начислению отпусков, отчислениям в СФР․

Подпись субъекта ПДн: _______________ / [ФИО полностью] /

Политика конфиденциальности (Уведомление), обязательный документ

Многие работодатели путают «Согласие» и «Политику конфиденциальности»․ Это разные документы․

• Политика (Уведомление) — это информация ОТ работодателя К сотруднику: «Вот какие данные мы собираем, зачем, кому передаем, как храним, какие у вас права»․ Она охватывает ВСЮ обработку (и по ТД, и по согласию)․ Подписывается под роспись (или ЭП) обязательно всеми сотрудниками․
• Согласие — это воля ОТ сотрудника К работодателю: «Я разрешаю вам делать то, что не обязательно по закону/договору»․ Подписывается только если сотрудник согласен на добровольные цели․

Что должно быть в Политике (ст․ 8․1, 18․1 152-ФЗ):

• Наименование и адрес оператора․
• Цели обработки (все: кадровый учет, зарплата, безопасность, ДМС, маркетинг и т․д․)․
• Категории субъектов и категории ПДн․
• Сроки обработки / критерии определения сроков․
• Получатели ПДн (СФР, ФНС, банки, страховщики, аутсорсеры, МВД/суд по запросу)․
• Меры защиты (технические/организационные, уровень защищенности по Приказу ФСТЭК N 17)․
• Права субъекта (доступ, исправление, блокирование, удаление, отзыв согласия, жалоба в Роскомнадзор)․
• Контакты ДСП (Должностного лица по защите ПДн) или ответственного за обработку․

Особенности электронного документооборота (ЭДО)

С 2023-2024 гг․ активнее внедряется ЭДО с использованием усиленной (НЭП) или квалифицированной (КЭП) электронной подписи․

• Трудовой договор: Можно заключить в электронной форме с КЭП сотрудника (если он ее имеет) или через оператора ЭДО (Диадок, СБИС, Контур и др․) с НЭП по соглашению сторон (ст․ 57 ТК РФ)․
• Согласие на ПДн: Можно получить в электронной форме․ Критерий: ЭП должна позволять достоверно установить личность подписавшего (КЭП или НЭП по соглашению, зафиксированному в Политике/Локальном акте)․
• Ознакомление с Политикой: Подтверждается росписью в бумажном журнале/экземпляре или статусом «Ознакомлен» в системе ЭДО/ЭКМ (1С, Directum, Bitrix24 HR и т․д․) с фиксацией ЭП сотрудника․

Специальные категории данных: Биометрия, Медданные, Дети

Для особо защищаемых данных (ст․ 10, 11 152-ФЗ) требования строже:

Биометрия (СКУД, доступ к системам)

• Требуется отдельное письменное согласие (нельзя включить в общее согласие)․
• Обязательно указание: цель (доступ), способ (считывание отпечатка/лица), срок хранения шаблона, меры защиты․
• С г․ операторы биометрических систем (ЕБС) обязаны уведомлять Роскомнадзор․ Если вы используете свою локальную СКУД (не ЕБС) — уведомление в Роскомнадзор не нужно, но защита по уровню 1-3 (Приказ ФСТЭК 17) обязательна․

Медицинские данные (ДМС, медосмотры)

• Передача в страховую компанию требует отдельного согласия на обработку специальных категорий ПДн (здоровье)․
• Диагнозы в справках для СФР (больничные) передаются по закону (без согласия), но для ДМС — только по согласию․

Данные несовершеннолетних (стажеры 14-18 лет)

• Согласие дает законный представитель (родитель/опекун) + собственное согласие ребенка (с 14 лет)․
• Оформляется отдельно от договора стажировки/трудового договора․

Локальные нормативные акты (ЛНА) — фундамент защиты

Без ЛНА штрафы неизбежны․ Минимальный пакет ЛНА по ПДн (утверждается приказом директора):

1. Политика в отношении обработки ПДн (Публичная, для сайта) + Политика для сотрудников (Внутренняя)․
2. Порядок обработки и защиты ПДн (описание процессов, ролей, уровней доступа)․
3. Модель угроз ИСПДн (по методике ФСТЭК)․
4. Перечень мер защиты информации (организационных и технических) для соответствующего уровня защищенности (1-4)․
5. Журналы учета: носителей ПДн, доступа к ИСПДн, инцидентов, выдачи ПДн третьим лицам, ознакомления сотрудников․
6. Положение о ДСП (Должностное лицо по защите ПДн) или назначение ответственного лица․
7. Акт категорирования ИСПДн (определение уровня защищенности 1-4)․

Типичные ошибки и штрафы (Практика 2025-2026 гг․)

Пошаговый алгоритм HR-специалиста при приеме на работу (2026)

1. Подготовка: Распечатать/подготовить в ЭДО: ТД, Уведомление (Политику для сотрудника), бланк Согласия (если есть цели за пределами ТД), ЛНА для ознакомления (Порядок защиты, Инструкция по ИБ)․
2. Ознакомление под роспись: ДО допуска к работе, ознакомить с Политикой конфиденциальности, ЛНА по защите ПДн, описанием ИСПДн․ Поставить роспись в журнале или ЭП․
3. Получение Согласия (Отдельно!): Выдать бланк Согласия․ Объяснить каждую цель: «Это для ДМС — добровольно․ Это для пропуска по лицу — добровольно․ Отказ не повлияет на зарплату/отпуск»․
4. Проверка: Убедиться, что в Согласии заполнены ВСЕ реквизиты ст․ 9 (цели, состав данных, срок, подпись, дата)․ Пустые бланки подписывать нельзя․
5. Учет: Зарегистрировать документы в журнале учета согласий / в HR-системе․ Сканы/оригиналы в личное дело․
6. Настройка доступа: Дать доступы в ИС (1С, почта, CRM, СКУД) только после подписания документов и назначения роли/прав доступа по приказу․

Ключевой принцип 2026 года: Разделение сущностей․ Трудовой договор регулирует трудовые отношения и дает базу для обязательной обработки․ Согласие на обработку ПДн — это отдельный документ-волевой акт для всего «лишнего» (ДМС, биометрия, фото, маркетинг, передача аутсорсерам)․ Политика конфиденциальности, это ваш отчет перед сотрудником о том, что вы делаете с его данными вообще․

Грамотное оформление этого «треугольника» (ТД + Политика + Согласия) + актуальные ЛНА по защите — это 90% защиты от штрафов Роскомнадзора и судебных исков сотрудников․ Регулярно аудируйте свои бланки согласий: цели меняются, законы меняются (последние поправки 2025 г․ — яркое доказательство)․

Данная статья носит информационный характер и не является правовой консультацией․ Для оформления документов с учетом специфики вашей организации рекомендуется обратиться к трудовому юристу или ДСП․