С 30 мая 2025 года штрафы за персональные данные выросли в разы, а за повторные утечки ввели оборотные. Разбираем, когда работодателю нужно согласие сотрудника, какие документы обязательны и как проверить себя за один день.
Коротко
- Для оформления, зарплаты, налогов и отчётов в Социальный фонд согласие работника не нужно: такую обработку требует закон (п. 2 ч. 1 ст. 6 закона № 152-ФЗ).
- Согласие нужно, чтобы передать данные третьим лицам, когда закон этого не требует, — например, банку для зарплатного проекта, — а также для фото на сайте и биометрии. С 1 сентября 2025 года согласие оформляют отдельным документом.
- Почти каждый работодатель обязан уведомить Роскомнадзор об обработке персональных данных. Обойтись без уведомления можно, только если данные обрабатывают без компьютеров и программ.
- Нужны политика обработки, положение о персональных данных работников, приказ об ответственном и подписи работников об ознакомлении. Политику публикуют на сайте, если он собирает данные.
- Об утечке сообщают в Роскомнадзор за 24 часа, о результатах расследования — за 72 часа. Штраф за обработку без согласия — до 700 000 ₽, за повторную утечку — до 3 % выручки.
Персональные данные работников — ФИО, паспорт, СНИЛС, адрес, сведения о детях, больничные листы, банковские реквизиты. Работодатель обрабатывает их каждый день, а с 30 мая 2025 года ошибки здесь стоят в разы дороже: штрафы выросли, за утечки ввели отдельные составы.
Разберём, когда нужно согласие сотрудника, а когда нет, какие документы обязательны, как работать с данными кандидатов и уволенных, что делать при утечке и сколько стоят нарушения.
Когда согласие работника не нужно, а когда нужно
Без согласия данные обрабатывают, если этого требует закон или трудовой договор (п. 2 и 5 ч. 1 ст. 6 закона № 152-ФЗ). Это оформление на работу, расчёт зарплаты, отчёты в налоговую и Социальный фонд, воинский учёт, ответы на запросы инспекции и суда.
Согласие нужно, когда работодатель выходит за эти рамки. Передавать данные третьим лицам без письменного согласия работника нельзя, если закон такой передачи не требует (ст. 88 ТК). Получать сведения о работнике у третьих лиц тоже можно только с его письменного согласия и после уведомления (п. 3 ч. 1 ст. 86 ТК).
| Ситуация | Нужно ли согласие | Основание |
|---|---|---|
| Трудовой договор, приказы, личная карточка | Нет | П. 2 и 5 ч. 1 ст. 6 закона № 152-ФЗ |
| Зарплата, НДФЛ, взносы, ЕФС-1, РСВ | Нет | Обязанность по закону |
| Передача в банк для зарплатного проекта | Да, письменное | Ст. 88 ТК |
| ДМС, корпоративные программы, передача партнёрам | Да, письменное | Ст. 88 ТК |
| Фото и ФИО на сайте или в соцсетях | Да, отдельное — на распространение | Ст. 10.1 закона № 152-ФЗ |
| Проход по распознаванию лица | Да, письменное — на биометрию | Ст. 11 закона № 152-ФЗ |
С 1 сентября 2025 года согласие оформляют отдельно от других документов (ч. 1 ст. 9 закона № 152-ФЗ). Пункт о согласии в трудовом договоре или в анкете больше не подходит. В согласии указывают цель, перечень данных, действия с ними, срок и способ отзыва. Подписать его можно и электронно, если компания перешла на кадровый электронный документооборот.
Согласие на распространение — например, фото на сайте — оформляют отдельно даже от других согласий. Молчание работника согласием не считается. Фото в личном деле — не биометрия, пока по нему не устанавливают личность.
Какие документы нужны работодателю
- Политика обработки персональных данных (ст. 18.1 закона № 152-ФЗ). К ней нужен свободный доступ, а если сайт собирает данные — через формы заявок или вакансии, — политику публикуют на сайте.
- Положение о персональных данных работников (ст. 87 ТК). Какие данные собирают, зачем, кто имеет доступ, где хранят, когда уничтожают. С ним знакомят под подпись. Как принимать такие акты, — в статье «Внутренние документы, без которых компания проигрывает споры».
- Приказ об ответственном за обработку данных (ст. 22.1 закона № 152-ФЗ). Это обязанность компаний; ИП может вести работу с данными сам.
- Список сотрудников с доступом к кадровым данным: доступ — только тем, кому он нужен для работы (ст. 88 ТК).
- Бланки согласий — отдельно на обработку, на распространение и на биометрию, если она есть.
Уведомление Роскомнадзора
Уведомить Роскомнадзор нужно до начала обработки данных (ст. 22 закона № 152-ФЗ). С 1 сентября 2022 года работодатели больше не освобождены от этого из-за того, что обрабатывают данные по трудовому законодательству. Без уведомления можно обойтись, только если данные обрабатывают исключительно без средств автоматизации. Кадровые программы, бухгалтерская база и электронная почта — это уже автоматизация.
Уведомление подают на портале Роскомнадзора. Если сведения изменились, сообщают до 15-го числа следующего месяца, о прекращении обработки — в течение 10 рабочих дней. Не уведомили — штраф для компании 100 000–300 000 ₽.
Кандидаты, уволенные и уничтожение данных
Кандидаты. Резюме, которое кандидат прислал сам, можно рассматривать без отдельного согласия: данные нужны для заключения договора по его инициативе. Чтобы оставить резюме в резерве после отказа, нужно согласие. Без него данные уничтожают в течение 30 дней. Проверять кандидата через прежних работодателей — только с его согласия.
Уволенные. Кадровые документы хранят по архивным правилам — 50 лет, а по документам до 2003 года — 75 лет. Согласие на это не нужно: хранение требует закон. А вот фото на сайте, доступы к почте и программам после увольнения убирают.
Уничтожение. Данные, цель обработки которых достигнута, уничтожают в течение 30 дней и оформляют это актом.
Штрафы с 30 мая 2025 года
Штрафы установлены ст. 13.11 КоАП. Самые важные для работодателя:
| Нарушение | Компания | Директор |
|---|---|---|
| Обработка без согласия, когда оно нужно, или согласие без обязательных сведений | 300 000–700 000 ₽ | 100 000–300 000 ₽ |
| То же повторно | 1–1,5 млн ₽ | 300 000–500 000 ₽ |
| Обработка в случаях, не предусмотренных законом | 150 000–300 000 ₽ | 50 000–100 000 ₽ |
| Политика не опубликована | 30 000–60 000 ₽ | 6 000–12 000 ₽ |
| Нет уведомления об обработке | 100 000–300 000 ₽ | — |
| Не сообщили об утечке | 1–3 млн ₽ | — |
| Утечка данных 1 000–10 000 человек | 3–5 млн ₽ | — |
| Повторная утечка | 1–3 % выручки, от 20 до 500 млн ₽ | — |
За неуведомление и утечки директора коммерческой компании отдельно не штрафуют — платит компания. ИП по этим составам отвечают как компании. За незаконное использование и передачу персональных данных с конца 2024 года есть и уголовная ответственность — ст. 272.1 УК, до 4 лет лишения свободы.
Повторная утечка в компании с выручкой 900 млн ₽ за прошлый год
Оборотный штраф — от 1 до 3 % выручки: 9–27 млн ₽.
Нижняя граница не может быть меньше 20 млн ₽, поэтому диапазон — 20–27 млн ₽.
За первую утечку, о которой вовремя не сообщили, штраф был бы 1–3 млн ₽, а за саму утечку данных 5 000 человек — 3–5 млн ₽.
Повторная утечка обходится любой компании не меньше чем в 20 млн ₽.
Как проверить себя за один день
Реестр операторов
Найти компанию в реестре Роскомнадзора по ИНН. Нет — подать уведомление, есть — сверить цели, перечень данных и адреса.
Сайт
Проверить, что политика опубликована и открывается со страниц с формами заявок и вакансиями.
Согласия
Найти согласия внутри трудовых договоров и анкет и заменить их отдельными бланками. Для фото на сайте — отдельное согласие на распространение.
Положение и подписи
Проверить, что положение утверждено, а все работники, включая новых, ознакомлены под подпись.
Доступы
Приказом назначить ответственного и утвердить список сотрудников с доступом. Закрыть доступ уволенным к почте, кадровой и бухгалтерской базе.
План на утечку
Определить, кто сообщает в Роскомнадзор за 24 и 72 часа, и подготовить шаблоны уведомлений.
Частые вопросы
Нужно ли согласие работника на обработку персональных данных?
Для оформления, зарплаты, налогов и отчётов в фонд — нет: эту обработку требует закон. Согласие нужно для передачи данных третьим лицам не по закону, публикации на сайте и биометрии.
Можно ли включить согласие на обработку персональных данных в трудовой договор?
С 1 сентября 2025 года — нет: согласие оформляют отдельным документом. Согласие на распространение, например на фото для сайта, — ещё одним отдельным документом.
Какой штраф за отсутствие согласия на обработку персональных данных?
Компании — 300 000–700 000 ₽, директору — 100 000–300 000 ₽ по ч. 2 ст. 13.11 КоАП. Повторное нарушение обойдётся компании в 1–1,5 млн ₽.
Нужно ли ИП с работниками уведомлять Роскомнадзор?
Да, если данные обрабатывают на компьютере, в 1С или облачном сервисе. Освобождение есть только для обработки полностью на бумаге, без средств автоматизации.
Источники
Закон № 152-ФЗ, ст. 9 — согласие на обработку персональных данных (КонсультантПлюс)
Закон № 152-ФЗ, ст. 22 — уведомление об обработке персональных данных (КонсультантПлюс)
КоАП РФ, ст. 13.11 — нарушение законодательства о персональных данных (Закон РФ)
ТК РФ, ст. 88 — передача персональных данных работника (КонсультантПлюс)
Проверим, как вы работаете с персональными данными
Проверим уведомление в Роскомнадзор, согласия, положение и политику, доступы к кадровым данным и подготовим недостающие документы. Стоимость проверки кадрового учёта — после знакомства с документами.
Оставить заявкуПроверка кадрового учёта
Или напишите сразу: WhatsApp · Telegram · 8 (901) 519-44-03