Любой работодатель, даже индивидуальный предприниматель с одним сотрудником, по закону считается оператором персональных данных. Из этого статуса вытекает набор обязанностей: получить согласия там, где они нужны, издать политику обработки, уведомить Роскомнадзор, ограничить доступ к данным и уничтожить их, когда цель обработки достигнута.
Ниже разобрано, какие документы работодатель обязан оформить, какие сроки установлены законом и сколько стоит их нарушение по статье 13.11 КоАП РФ в редакции, действующей в 2026 году.
Почему работодатель считается оператором персональных данных
Оператор - это лицо, которое организует или осуществляет обработку персональных данных и определяет цели обработки. Кадровый учёт под это определение попадает целиком: фамилия, паспортные данные, СНИЛС, сведения о заработке и стаже сотрудника - персональные данные, а работодатель определяет, зачем и как их обрабатывать.
Глава 14 Трудового кодекса задаёт рамку. Статья 86 ТК РФ ограничивает цели обработки: соблюдение законов, содействие работникам в трудоустройстве, обучении и продвижении, обеспечение личной безопасности, контроль количества и качества работы, сохранность имущества. Иных целей у работодателя быть не может, и объём собираемых данных он определяет по Конституции, Кодексу и федеральным законам, а не по вкусу кадровой службы.
Второе правило той же статьи: все персональные данные работника следует получать у него самого. Если нужны данные от третьей стороны, работника уведомляют заранее и берут с него письменное согласие, сообщив цели, предполагаемые источники, способы получения и последствия отказа.
Сведения, относящиеся к специальным категориям персональных данных, работодатель получать и обрабатывать не вправе за исключением случаев, прямо предусмотренных Кодексом и другими федеральными законами. Запрашивать информацию о состоянии здоровья работника можно только в части, относящейся к возможности выполнять трудовую функцию (статья 88 ТК РФ).
Согласие работника: когда без него нельзя
Согласие требуется не на всё. Обработка данных, необходимая для исполнения трудового договора и обязанностей, возложенных на работодателя законом, ведётся без отдельной бумаги: ведение табеля, расчёт зарплаты, сдача отчётности в Социальный фонд и налоговую опираются на закон, а не на согласие.
Письменное согласие нужно в ситуациях, где данные выходят за пределы этого минимума:
- получение данных о работнике у третьих лиц - предыдущего работодателя, банка, учебного заведения (пункт 3 статьи 86 ТК РФ);
- передача данных третьей стороне, в том числе в кадровое агентство, страховую компанию по ДМС, подрядчику по обучению (статья 88 ТК РФ);
- размещение фотографии и должности сотрудника на сайте компании или в корпоративных рассылках;
- оформление пропуска и биометрического доступа, если такая система в компании введена.
Требования к письменному согласию собраны в части 4 статьи 9 закона от 27.07.2006 № 152-ФЗ. Согласие должно включать девять элементов: ФИО, адрес и реквизиты паспорта работника; данные представителя и его доверенности, если согласие даёт представитель; наименование и адрес оператора; цель обработки; перечень данных; данные лица, обрабатывающего данные по поручению оператора; перечень действий с данными и описание способов обработки; срок действия согласия и способ его отзыва; подпись.
Отдельное требование добавил закон от 24.06.2025 № 156-ФЗ: согласие оформляется отдельно от иных информации и документов, которые подписывает субъект. Пункт про обработку данных внутри трудового договора или общей анкеты теперь не годится, нужен самостоятельный документ. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, а доказывать факт его получения обязан оператор.
Если в кадровых документах компании такой отдельной бумаги нет, а фото сотрудников уже висят на сайте и данные передаются в страховую по ДМС, дыру закрывают в первую очередь.
Работник подписывает этот лист, когда работодатель хочет обрабатывать его сведения сверх того, что требует Трудовой кодекс, например передавать их банку или другим третьим лицам. Письменное согласие с целями и сроком требует ст. 9 Закона № 152-ФЗ, а с 1 сентября 2025 года его оформляют отдельно от трудового договора. Для фото на сайте нужен ещё отдельный бланк согласия на распространение. Работник вправе отозвать согласие письменно.
Политика обработки и локальные акты
Политика обработки персональных данных - обязательный документ, а не рекомендация. Статья 18.1 закона № 152-ФЗ относит к необходимым мерам издание документов, определяющих политику оператора в отношении обработки персональных данных, и локальных актов по вопросам обработки.
Локальный акт по каждой цели обработки должен определять категории и перечень обрабатываемых данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения данных при достижении целей. Отдельно требуются акты о процедурах предотвращения и выявления нарушений и устранения их последствий. Положения, ограничивающие права субъектов данных, в такие документы включать запрещено.
Полный набор мер по статье 18.1 включает шесть пунктов: назначение ответственного за организацию обработки персональных данных, издание политики и локальных актов, применение правовых, организационных и технических мер защиты по статье 19, внутренний контроль или аудит, оценку вреда субъектам по требованиям Роскомнадзора, ознакомление и обучение работников, которые непосредственно обрабатывают данные.
Политику мало написать. Часть 2 статьи 18.1 обязывает опубликовать её или иным образом обеспечить неограниченный доступ к ней, а если данные собираются через интернет - разместить документ на страницах сайта, через которые идёт сбор. Невыполнение этой обязанности наказуется отдельно: по части 3 статьи 13.11 КоАП РФ штраф для юридических лиц составляет от 30 до 60 тысяч рублей, для предпринимателей от 10 до 20 тысяч.
Политику обработки персональных данных утверждает каждая организация или предприниматель, которые собирают сведения о работниках, клиентах или посетителях сайта. Подписывает её руководитель оператора, нотариус не нужен. Оператор обязан обеспечить свободный доступ к политике, а если собирает данные через интернет — опубликовать её на своём сайте (ст. 18.1 закона № 152-ФЗ). За отсутствие политики грозит штраф по КоАП РФ.
Уведомление Роскомнадзора
До начала обработки персональных данных оператор обязан уведомить Роскомнадзор о своём намерении их обрабатывать. Обязанность установлена статьёй 22 закона № 152-ФЗ, и кадровый учёт от неё не освобождает: исключения, которые раньше позволяли работодателям не подавать уведомление, сузились до узкого перечня.
Санкция за пропуск появилась недавно. Часть 10 статьи 13.11 КоАП РФ, введённая законом от 30.11.2024 № 420-ФЗ, устанавливает за невыполнение или несвоевременное выполнение обязанности по уведомлению штраф на граждан от 5 до 10 тысяч рублей, на должностных лиц от 30 до 50 тысяч, на юридических лиц от 100 до 300 тысяч.
Передача данных третьим лицам
Правило простое: без письменного согласия работника его данные третьей стороне не сообщаются. Исключения по статье 88 ТК РФ - предупреждение угрозы жизни и здоровью работника и случаи, прямо предусмотренные Кодексом или федеральными законами. Отдельно запрещено сообщать данные работника в коммерческих целях без его письменного согласия.
Статья 88 добавляет к этому четыре организационных требования:
- Предупредить получателей данных, что информация может использоваться только в целях, для которых сообщена, и потребовать подтверждения соблюдения этого правила.
- Передавать данные внутри организации в соответствии с локальным нормативным актом, с которым работник ознакомлен под роспись.
- Разрешать доступ к данным только специально уполномоченным лицам, причём каждый из них получает лишь те сведения, которые нужны для его конкретных функций.
- Передавать данные представителям работников только в установленном порядке и только в объёме, необходимом для их функций.
Сроки: хранение, уточнение, уничтожение
Закон № 152-ФЗ задаёт четыре разных срока, и все они короткие. Статья 21 обязывает уточнить неточные данные в течение семи рабочих дней со дня представления подтверждающих сведений. При выявлении неправомерной обработки оператор прекращает её в срок не более трёх рабочих дней, а если сделать обработку правомерной невозможно - уничтожает данные в срок не более десяти рабочих дней с даты выявления.
По достижении цели обработки данные уничтожаются в срок, не превышающий тридцати дней, если иное не предусмотрено договором с субъектом или законом. На запрос работника о его данных оператор отвечает в течение десяти рабочих дней (статья 20 закона № 152-ФЗ).
Отдельный режим введён для утечек. При установлении факта неправомерной или случайной передачи данных, повлекшей нарушение прав субъектов, оператор уведомляет Роскомнадзор дважды: в течение 24 часов о самом инциденте, предполагаемых причинах и принятых мерах, и в течение 72 часов о результатах внутреннего расследования (часть 3.1 статьи 21).
Сроки уничтожения не отменяют архивных требований. Документы по личному составу, созданные начиная с 2003 года, хранятся 50 лет, созданные раньше - 75 лет; это правило установлено законом об архивном деле, и приказы о приёме, трудовые договоры и личные карточки под него попадают.
Штрафы по статье 13.11 КоАП РФ
Суммы выросли после закона от 30.11.2024 № 420-ФЗ, и утечка данных теперь стоит на порядок дороже, чем нарушение формальностей. Актуальные размеры для юридических лиц:
| Нарушение | Норма | Штраф для юридического лица |
|---|---|---|
| Обработка в случаях, не предусмотренных законом, или несовместимая с целями сбора | ч. 1 | 150-300 тыс. руб. |
| То же нарушение повторно | ч. 1.1 | 300-500 тыс. руб. |
| Обработка без письменного согласия, когда оно обязательно, либо согласие с неполным составом сведений | ч. 2 | 300-700 тыс. руб. |
| То же нарушение повторно | ч. 2.1 | 1-1,5 млн руб. |
| Политика обработки не опубликована | ч. 3 | 30-60 тыс. руб. |
| Не предоставлена информация субъекту об обработке его данных | ч. 4 | 40-80 тыс. руб. |
| Не уведомлен Роскомнадзор о намерении обрабатывать данные | ч. 10 | 100-300 тыс. руб. |
| Не уведомлен Роскомнадзор об утечке | ч. 11 | 1-3 млн руб. |
| Утечка данных от 1 000 до 10 000 субъектов | ч. 12 | 3-5 млн руб. |
Ответственность работников, виновных в нарушении, идёт параллельно. Статья 90 ТК РФ предусматривает для них дисциплинарную и материальную ответственность по Кодексу, а также гражданско-правовую, административную и уголовную по федеральным законам.
Коммерческая тайна - отдельный контур
Персональные данные и коммерческая тайна защищаются разными законами и разными документами. Согласие на обработку данных и политика оператора закрывают требования закона № 152-ФЗ, но никак не защищают клиентскую базу, расчёт себестоимости или условия договоров с поставщиками.
Для этого нужен режим коммерческой тайны по закону от 29.07.2004 № 98-ФЗ: перечень охраняемых сведений, ограничение доступа, учёт лиц, получивших доступ, регулирование отношений с работниками и нанесение грифа. Договорной частью этого контура служит соглашение о конфиденциальности с сотрудником, где зафиксированы состав закрытой информации и последствия её разглашения.
Путать два документа не стоит. NDA не заменит согласия на обработку персональных данных, а согласие не даст оснований взыскать убытки за ушедшую к конкуренту базу клиентов.
Частые вопросы
Почему работодатель считается оператором персональных данных?
Оператор — лицо, которое организует или осуществляет обработку персональных данных и определяет цели обработки. Кадровый учёт под это определение попадает, поэтому любой работодатель, даже ИП с одним сотрудником, по закону № 152-ФЗ считается оператором. Статья 86 ТК РФ ограничивает цели обработки, а данные следует получать у самого работника.
Когда нужно письменное согласие работника на обработку данных?
Согласие не требуется для обработки, необходимой для исполнения трудового договора и обязанностей по закону. Письменное согласие нужно, когда данные выходят за этот минимум: при получении данных у третьих лиц (п. 3 ст. 86 ТК РФ), передаче данных третьей стороне, например страховой по ДМС (ст. 88 ТК РФ), публикации фото и должности на сайте и оформлении биометрического доступа. Согласие оформляется отдельно от иных документов (закон от 24.06.2025 № 156-ФЗ). Образец: согласие на обработку персональных данных работника.
Обязательна ли политика обработки персональных данных?
Да, это обязательный документ, а не рекомендация (ст. 18.1 закона № 152-ФЗ). Её нужно опубликовать или иным образом обеспечить неограниченный доступ к ней (ч. 2 ст. 18.1). Локальный акт по каждой цели обработки определяет категории данных и субъектов, способы, сроки обработки и хранения.
Нужно ли уведомлять Роскомнадзор об обработке персональных данных?
До начала обработки оператор обязан уведомить Роскомнадзор о намерении обрабатывать данные (ст. 22 закона № 152-ФЗ). За невыполнение или несвоевременное выполнение этой обязанности предусмотрена санкция по ч. 10 ст. 13.11 КоАП РФ, введённая законом от 30.11.2024 № 420-ФЗ.
Можно ли передавать данные работника третьим лицам?
Без письменного согласия работника нельзя. Исключения по ст. 88 ТК РФ — предупреждение угрозы жизни и здоровью и случаи, установленные законом. Получателей данных нужно предупредить, что информацию можно использовать только в целях, для которых она сообщена, доступ внутри организации открывать только уполномоченным лицам в необходимом им объёме.