Обработка персональных данных сотрудников: требования и документы 2026

Обработка персональных данных сотрудников регулируется одновременно Федеральным законом № 152-ФЗ «О персональных данных» и главой 14 Трудового кодекса РФ. Работодатель является оператором персональных данных в отношении своих работников и обязан соблюдать особые правила: собирать только необходимые данные, хранить их строго определённое время, ограничивать доступ к ним и уничтожать по истечении сроков хранения.

Нарушения в кадровом учёте обходятся дорого. За обработку без согласия в письменной форме, когда закон требует именно такую форму — специальные категории данных, биометрия, — штраф для юридических лиц от 300 000 до 700 000 рублей (ч. 2 ст. 13.11 КоАП); за обработку без какого-либо другого законного основания — от 150 000 до 300 000 рублей (ч. 1). За неопубликованную политику оператора персональных данных или необеспечение доступа к ней — от 30 000 до 60 000 рублей (ч. 3 ст. 13.11 КоАП). Это суммы за одну проверку; нарушений, как правило, находят несколько.

Что относится к персональным данным сотрудника

Базовое определение — из ст. 3 152-ФЗ: персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу. Применительно к работнику это правило конкретизирует глава 14 ТК РФ (ст. 86–90): работодатель вправе собирать и обрабатывать только те данные работника, которые нужны для соблюдения закона, содействия трудоустройству и продвижению по службе, контроля объёма и качества работы, обеспечения личной безопасности работников и сохранности имущества (ст. 86 п. 1 ТК РФ). Закон не даёт исчерпывающего перечня конкретных сведений, но практика кадрового учёта сформировала следующий состав:

Базовые (собираются всегда):

ФИО
Дата и место рождения
Паспортные данные
ИНН и СНИЛС
Адрес регистрации и фактического проживания
Контактный телефон и email
Сведения об образовании
Трудовой стаж и предыдущие места работы
Семейное положение (для льгот и вычетов)

Специальные (требуют особого обращения):

Сведения о состоянии здоровья (медицинские справки, больничные)
Сведения об инвалидности
Данные о воинском учёте
Биометрические данные (при использовании СКУД по лицу или отпечаткам)

Дополнительные (собираются при необходимости):

Сведения о судимостях (для отдельных должностей)
Сведения об иностранном гражданстве
Реквизиты банковской карты (для перечисления зарплаты)

Принцип минимизации данных

Статья 86 ТК РФ прямо запрещает:

Получать данные о сотруднике у третьих лиц без его ведома
Собирать данные, не необходимые для трудовой деятельности
Требовать данные о политических, религиозных убеждениях и частной жизни (если это не влияет на трудовые отношения)

Пример: работодатель не вправе требовать справку о том, что сотрудник не состоит на учёте в психиатрическом диспансере, если должность этого не требует по закону.

Когда нужно согласие сотрудника

Распространённое заблуждение: «На кадровую обработку согласие всегда нужно». Это не так.

Согласие НЕ нужно, если основание — закон или договор

Большинство кадровых операций имеют основания в ТК РФ, НК РФ, ФЗ «Об обязательном пенсионном страховании» и других законах:

Ведение трудовой книжки (или ЭТК)
Подача отчётности в ФНС, ПФР/СФР, ФСС
Ведение табеля учёта рабочего времени
Выплата заработной платы
Перечисление зарплаты на банковскую карту — основание трудовой договор (ст. 6 ч. 1 п. 5 152-ФЗ); отдельное согласие не требуется

Согласие НУЖНО для

Ситуация	Форма согласия	Если согласия нет
Публикация фото сотрудника на сайте (страница «Команда»)	Отдельное согласие на распространение — публикация раскрывает данные неограниченному кругу лиц (ст. 10.1 152-ФЗ, требования — приказ РКН № 18); молчание согласием не считается	Ч. 1 ст. 13.11 КоАП: 150 000–300 000 руб. юрлицам
Обращение в медицинскую организацию за сведениями о здоровье	Письменная — данные о здоровье относятся к специальным категориям (ст. 10 ч. 2 п. 1 152-ФЗ)	Ч. 2 ст. 13.11 КоАП: 300 000–700 000 руб. юрлицам
Использование биометрических данных (СКУД по лицу)	Письменная (ст. 11 ч. 1 152-ФЗ)	Ч. 2 ст. 13.11 КоАП: 300 000–700 000 руб. юрлицам
Передача данных работника третьим лицам, не предусмотренная законом	Письменная — для работников её прямо требует ст. 88 ТК РФ («не сообщать... третьей стороне без письменного согласия»)	Штраф по ст. 13.11 КоАП + нарушение ТК (ст. 5.27 КоАП)
Рекомендательное письмо новому работодателю	Письменная — это передача данных третьей стороне (ст. 88 ТК РФ)	Штраф по ст. 13.11 КоАП + нарушение ТК (ст. 5.27 КоАП)

Важно: повышенный штраф по ч. 2 ст. 13.11 КоАП (300 000–700 000 руб. юрлицам) наступает там, где законодательство прямо требует письменную форму согласия — специальные категории данных (ст. 10 ч. 2 п. 1 152-ФЗ) и биометрия (ст. 11 ч. 1 152-ФЗ). У работников есть кадровая специфика: ст. 88 ТК РФ требует письменного согласия и на передачу данных работника третьей стороне, в том числе в коммерческих целях, — поэтому «простое» согласие, достаточное для клиента, для передачи данных сотрудника не годится.

Отдельно от формы — Роскомнадзор указывал, что работник находится в зависимом положении от работодателя. Поэтому согласие сотрудника, которое является условием трудоустройства, может быть признано недействительным как данное под принуждением. Если обработка необходима для трудовых отношений — используйте законное основание, а не согласие.

С 1 сентября 2025 года согласие должно оформляться отдельным документом — не включаться в трудовой договор или иные формы (ст. 9 ч. 1 152-ФЗ в ред. 156-ФЗ от 24.06.2025).

Обязательные кадровые документы по защите ПД

1. Положение об обработке персональных данных работников

Обязательный документ — основание: ст. 87 ТК РФ (порядок хранения и использования ПД) и ст. 86 п. 8 ТК РФ (ознакомление работников с документами, устанавливающими порядок обработки, под роспись). Должен содержать:

Перечень обрабатываемых данных
Цели и основания обработки
Порядок хранения и защиты
Права работников в отношении своих данных
Порядок обращений и жалоб

Утверждается приказом руководителя. Работник обязан быть ознакомлен с Положением под роспись (ст. 86 п. 8 ТК РФ) — на практике это делают вместе с ознакомлением с другими локальными актами при приёме, до подписания трудового договора (ст. 68 ТК РФ). Отсутствие Положения или неознакомление работника с ним — нарушение ст. 86 п. 8 и ст. 87 ТК РФ, ответственность за которое наступает по ст. 5.27 КоАП («Нарушение трудового законодательства»), а не по ст. 13.11 КоАП. Штраф 30 000–60 000 рублей по ч. 3 ст. 13.11 КоАП относится к другому составу — неопубликованию политики оператора персональных данных или необеспечению неограниченного доступа к ней (ст. 18.1 ч. 2 152-ФЗ). Это отдельная обязанность, обычно закрываемая публичной политикой конфиденциальности компании, и с внутренним кадровым Положением она не связана.

Полная структура и образец такого документа — в статье Положение об обработке персональных данных: образец.

2. Лист ознакомления с Положением

Фиксирует факт ознакомления работника под роспись. Без него при проверке невозможно доказать соблюдение требования ст. 86 п. 8 ТК РФ.

3. Обязательство о неразглашении ПД (NDA)

Сотрудники, имеющие доступ к персональным данным коллег (кадровики, бухгалтеры, секретари, системные администраторы), должны подписать обязательство о неразглашении.

Базис материальной ответственности за разглашение — ст. 243 ч. 1 п. 7 ТК РФ: полная материальная ответственность наступает за разглашение сведений, составляющих охраняемую законом тайну, в случаях, предусмотренных ТК РФ и другими федеральными законами (персональные данные — тайна, охраняемая ст. 7 152-ФЗ). Без такого закреплённого основания работник отвечает по общему правилу ст. 238 ТК РФ — только в пределах прямого действительного ущерба, упущенная выгода с него не взыскивается. Подписанное обязательство о неразглашении — то, что фиксирует эту обязанность персонально для конкретного сотрудника.

4. Приказ об организации обработки ПД

Назначает ответственного за организацию обработки ПД и регламентирует права доступа к данным.

5. Журнал учёта обращений субъектов

Фиксирует запросы работников о предоставлении информации, исправлении данных, блокировании.

6. Согласия (там, где требуются)

Оформляются на отдельных бланках для каждого конкретного случая — биометрия, фото на сайте и т.д. С 01.09.2025 — обязательно отдельным документом.

Образец согласия и все обязательные элементы — в статье Согласие на обработку персональных данных: образец и требования.

Передача данных сотрудников третьим лицам

Разрешена без согласия

По закону работодатель обязан передавать данные:

В ФНС — НДФЛ, справки 2-НДФЛ
В СФР (ПФР/ФСС) — персонифицированный учёт, больничные
В военкомат — воинский учёт
В прокуратуру, суд, следствие — по запросу
В банк — реквизиты для перечисления зарплаты (основание — трудовой договор, ст. 6 ч. 1 п. 5 152-ФЗ; отдельное согласие не требуется)
В профсоюз — если предусмотрено коллективным договором

Требует согласия

Страховой компании — для ДМС: письменное согласие (данные о здоровье — спецкатегория, ст. 10 ч. 2 п. 1 152-ФЗ; передача третьей стороне — ст. 88 ТК РФ)
Образовательным организациям — для обучения по направлению работодателя
Третьим работодателям — рекомендации, справки (письменное согласие — ст. 88 ТК РФ)

Запрещена

Продажа данных сотрудников
Передача персональных данных без законного основания и согласия
Сообщение данных родственникам без согласия самого работника (за исключением случаев угрозы жизни)

Аутсорс кадровой обработки (расчёт зарплаты, бухгалтерия, HRMS)

Если данные сотрудников обрабатывает внешний подрядчик — бухгалтерская фирма, сервис расчёта зарплаты, облачная HRMS — это поручение обработки по ст. 6 ч. 3 152-ФЗ, а не разовое «раскрытие третьему лицу». В договоре с подрядчиком должны быть прямо прописаны: перечень передаваемых данных и перечень действий с ними, цели обработки, обязанность подрядчика соблюдать конфиденциальность и меры защиты по ст. 19 152-ФЗ, обязанность подтверждать документами принятие этих мер по запросу работодателя. Подрядчик не запрашивает отдельное согласие сотрудника — он работает в рамках основания, на которое уже опирается работодатель (ч. 4 ст. 6). Перед сотрудником за действия подрядчика отвечает работодатель (ч. 5 ст. 6); если подрядчик — иностранное лицо, ответственность несут оба (ч. 6 ст. 6).

Хранение персональных данных сотрудников: сроки

Сроки хранения определяются Перечнем типовых документов (Приказ Росархива № 236 от 20.12.2019) и ст. 22.1 125-ФЗ «Об архивном деле»:

Документ	Срок хранения
Личное дело сотрудника	50 лет (для принятых на работу с 01.01.2003, ст. 22.1 125-ФЗ)
Трудовой договор	50 лет
Приказы о приёме, переводе, увольнении	50 лет
Расчётные листки, ведомости по зарплате	6 лет
Документы о командировках	5 лет
Журналы учёта рабочего времени	5 лет
Медицинские справки (не специальная оценка)	5 лет
Согласия на обработку ПД	В течение срока хранения данных + 3 года

Важно: срок хранения в 50 лет применяется к документам, включённым в состав архивного фонда (документы о трудовой деятельности). Для электронных систем (HRMS, CRM) действуют те же сроки.

23-ФЗ и локализация баз данных. С 01.07.2025 запрещена запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных, находящихся за рубежом (23-ФЗ от 28.02.2025). Если кадровые данные ведутся в зарубежной HRMS или облачном сервисе с серверами вне РФ — это риск по ч. 8 ст. 13.11 КоАП: для юридических лиц штраф от 1 000 000 до 6 000 000 рублей. Первичный сбор и хранение кадровых данных сотрудников должны идти в российских базах данных.

Уничтожение данных сотрудников после увольнения

После увольнения сотрудника:

Данные не уничтожаются сразу — хранятся по установленным срокам (50 лет — личное дело)
Данные, не подпадающие под архивные сроки (например, cookie, аналитика) — уничтожаются
По истечении сроков составляется акт об уничтожении документов

Уничтожение электронных данных означает безвозвратное удаление — не перемещение в корзину, а применение специальных методов (перезапись, физическое уничтожение носителя).

Права сотрудника и сроки ответа работодателя

По ст. 89 ТК РФ и ст. 14 152-ФЗ работник вправе:

Получить бесплатный доступ к своим данным, хранящимся у работодателя
Потребовать исправления неверных данных
Потребовать уничтожения данных по истечении срока или при отзыве согласия
Обратиться в Роскомнадзор с жалобой на неправомерную обработку
Требовать возмещения убытков и морального вреда при нарушении своих прав

Срок ответа на запрос работника — 10 рабочих дней (ст. 14 ч. 3 152-ФЗ). Этот срок может быть продлён ещё на 5 рабочих дней при направлении работнику мотивированного уведомления о причинах продления.

Отдельный срок: если работник отозвал согласие на обработку и данные более не нужны для иных целей — оператор обязан прекратить обработку и уничтожить данные в течение 30 дней с даты получения отзыва (ст. 21 ч. 5 152-ФЗ). Эти 30 дней — не срок ответа на запрос, а срок фактического уничтожения данных после отзыва согласия.

Штрафы за нарушения при кадровом учёте ПД

Санкции по ст. 13.11 КоАП РФ (в ред. 420-ФЗ от 30.11.2024, действует с 30.05.2025):

Нарушение	Статья	ИП	Юрлица
Обработка без согласия в письменной форме (когда оно обязательно)	ч. 2	100 000 — 300 000 руб.*	300 000 — 700 000 руб.
Повторное нарушение ч. 2	ч. 2.1	500 000 — 1 000 000 руб.	1 000 000 — 1 500 000 руб.
Нет опубликованной политики оператора или сведений о защите ПД	ч. 3	10 000 — 20 000 руб.	30 000 — 60 000 руб.
Непредоставление информации субъекту по его запросу	ч. 4	20 000 — 30 000 руб.	40 000 — 80 000 руб.
Нарушение сроков исправления/уничтожения данных по требованию	ч. 5	20 000 — 40 000 руб.	50 000 — 90 000 руб.
Обработка без оснований (общий состав)	ч. 1	50 000 — 100 000 руб.*	150 000 — 300 000 руб.

* По чч. 1 и 2 ИП отвечает как должностное лицо (примечание к ст. 2.4 КоАП) — приравнивания к юрлицу здесь нет. По ч. 2.1, 3, 4, 5 суммы для ИП установлены отдельно текстом статьи.

Скидка 50% за уплату административного штрафа в сокращённый срок (ст. 32.2 КоАП) к составам ст. 13.11 не применяется: 420-ФЗ включил статью в перечень исключений ч. 1.3-3 ст. 32.2.

Практика: при плановой проверке Роскомнадзор нередко фиксирует несколько нарушений одновременно. Даже минимальный набор — нет положения о ПД работников + нет листа ознакомления + биометрия без согласия — может суммироваться в сотни тысяч рублей штрафов.

Базовый кадровый комплект — Положение с листом ознакомления, согласия для случаев, где они обязательны, NDA для сотрудников с доступом к данным — закрывает большинство составов из таблицы. В ПдПро он формируется за 3 980 рублей, что заметно дешевле минимального штрафа по ч. 2 ст. 13.11. Попробовать →

Типичные нарушения в кадровом учёте

1. Отсутствие Положения об обработке ПД работников Часто есть только Политика конфиденциальности для сайта (внешний документ для клиентов и посетителей), но нет внутреннего Положения для работников — нарушение ст. 87 ТК РФ и ст. 86 п. 8 ТК РФ. Ответственность — по ст. 5.27 КоАП о нарушении трудового законодательства, а не по ст. 13.11 КоАП: последняя карает за другое — неопубликование политики оператора (ч. 3, 30 000–60 000 руб. юрлицам).

2. Сотрудники не ознакомлены с Положением Документ есть, но подпись работника не собрана. Нарушение требования ст. 86 п. 8 ТК РФ, ответственность — по ст. 5.27 КоАП.

3. Неограниченный доступ к данным К личным делам имеют доступ все сотрудники офиса, а не только уполномоченные лица.

4. Данные хранятся в общедоступных папках На корпоративных дисках нет разграничения прав доступа к папкам с ПД.

5. Биометрия без согласия СКУД с распознаванием лица установлена, но письменные согласия сотрудников не получены (ч. 2 ст. 13.11 КоАП: 300 000–700 000 руб.).

6. Передача данных без оснований Менеджер по персоналу по телефону сообщает информацию о сотруднике, не проверив личность и права запрашивающего.

Практические рекомендации

Разработайте и внедрите Положение об обработке ПД работников до приёма следующего сотрудника — это базовый документ, требуемый ст. 86 п. 8 и ст. 87 ТК РФ
Собирайте листы ознакомления — без подписи работника факт ознакомления не доказать при проверке
Проведите инвентаризацию — где хранятся данные, кто имеет доступ
Ограничьте доступ — принцип наименьших привилегий: кадровик видит личные дела, бухгалтер — платёжные данные, остальные — только необходимое
Уничтожайте по расписанию — создайте регламент плановой очистки устаревших данных
Обучите ответственных — особенно новых кадровых сотрудников

Частые вопросы

Нужно ли отдельное согласие на обработку персональных данных при приёме на работу? Нет, если данные собираются для целей, вытекающих из трудового договора, — ведение трудовой книжки, начисление зарплаты, отчётность в ФНС и СФР. Основание для этих операций — сам трудовой договор и требования закона (ст. 6 ч. 1 п. 5 152-ФЗ), а не согласие. Отдельное согласие нужно только там, где обработка выходит за рамки трудовых отношений, — фото на сайте, биометрия, рекомендательное письмо.

Что грозит, если сотрудник не ознакомлен под роспись с Положением об обработке ПД? Это нарушение ст. 86 п. 8 ТК РФ, а не ст. 13.11 КоАП — ответственность наступает по ст. 5.27 КоАП о нарушении трудового законодательства. Ч. 3 ст. 13.11 КоАП касается другого: неопубликования политики оператора персональных данных или необеспечения к ней доступа (ст. 18.1 ч. 2 152-ФЗ).

Можно ли вести кадровый учёт в зарубежной HRMS или облачном сервисе? С 01.07.2025 действует запрет обрабатывать персональные данные граждан РФ с использованием баз данных, расположенных за рубежом (23-ФЗ от 28.02.2025). Первичный сбор и хранение кадровых данных должны идти в российских базах данных — иначе риск штрафа по ч. 8 ст. 13.11 КоАП (для юрлиц 1 000 000–6 000 000 рублей).

Сколько хранить личное дело уволенного сотрудника? 50 лет — для сотрудников, принятых на работу с 01.01.2003 (ст. 22.1 125-ФЗ «Об архивном деле»). Данные не уничтожаются сразу после увольнения: они хранятся установленный срок, а затем уничтожаются по акту.

Готовые документы для кадрового блока 152-ФЗ

Разрабатывать Положение об обработке ПД работников с нуля — несколько часов юридической работы. В ПдПро кадровый блок документов формируется за ~10 минут через мастер: вы отвечаете на вопросы о компании, система определяет нужный состав документов и генерирует готовые файлы Word.

Кадровый блок ПдПро включает:

Положение об обработке персональных данных работников (ст. 86 п. 8, ст. 87 ТК РФ)
Согласие сотрудника на обработку ПД (для случаев, где оно обязательно)
Лист ознакомления с Положением
Обязательство о неразглашении ПД (NDA) для сотрудников с доступом к данным

Всего в ПдПро — 18 обязательных документов плюс условные по 152-ФЗ, под ваш профиль. Тариф: 3 980 руб. на 6 месяцев или 8 980 руб. на 2 года. Повторная генерация при изменениях — без доплат.

Полный перечень всех обязательных документов — в статье Перечень документов по 152-ФЗ: полный список для бизнеса.

Сформировать кадровые документы — pd-pro.ru/wizard