Обработка персональных данных сотрудников — обязательная процедура для любого работодателя (ИП, ООО, госучреждения), нанимающего трудовые ресурсы. Основным юридическим основанием для легальной работы с конфиденциальной информацией служит письменное согласие субъекта персональных данных (ст. 6, 9 ФЗ-152 «О персональных данных»). Ниже представлена подробная статья с правовыми основаниями, требованиями к форме и готовым образцом документа.

Правовая база: когда требуется согласие, а когда — нет

Согласно статье 6 ФЗ-152, обработка персональных данных допускается при наличии согласия субъекта, за исключением случаев, прямо предусмотренных законом. В трудовых отношениях ключевую роль играет статья 86 ТК РФ и часть 2 статьи 11 ФЗ-152.

Ситуации, когда согласие ОБЯЗАТЕЛЬНО:

• Передача данных третьим лицам: банкам (зарплатные проекты), страховым компаниям (ДМС), аутсорсинговым кадровикам, фондам пенсионных накоплений.
• Распространение данных: публикация фото/ФИО на корпоративном сайте, в СМИ, на стендах «Лучшие сотрудники», во внутренних телеграм-каналах.
• Обработка специальных категорий данных (ст. 10 ФЗ-152): расовая/национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь, биометрия (отпечатки пальцев для СКУД, распознавание лица).
• Трансграничная передача: если серверы 1С, CRM или почты находятся за рубежом (даже если это корпоративная почта на Google/Microsoft).
• Автоматизированное принятие решений: если ИИ или алгоритм оценивает KPI, ранжирует кандидатов на повышение без участия человека.

Ситуации, когда согласие НЕ ТРЕБУЕТСЯ (ст. 6, 11 ФЗ-152, ст. 86 ТК РФ):

1. Исполнение трудового договора (расчет зарплаты, начисление НДФЛ, отпускных, больничных).
2. Выполнение работодателем законных обязанностей (отчетность в ПФР/СФР, ФНС, военкомат, судебные приставы).
3. Обеспечение безопасности (видеонаблюдение в общих зонах, СКУД — при условии информирования сотрудников локальным нормативным актом).
4. Обработка данных, сделанных общедоступными самим сотрудником (публичный профиль в LinkedIn, указанный в резюме).

Обязательные реквизиты согласия (Ст. 9 ФЗ-152)

Согласие, не содержащее перечисленные ниже пункты, признается недействительным (Постановление Пленума ВС РФ № 15, судебная практика). Документ должен содержать:

• ФИО, паспортные данные, СНИЛС, адрес регистрации субъекта (сотрудника).
• Наименование и реквизиты оператора (работодателя: ИП Иванов И.И. / ООО «Ромашка», ИНН, ОГРН, юрадрес).
• Цели обработки (конкретно: «для оформления трудового договора», «для перечисления зарплаты в банк», «для оформления ДМС»). Общие фразы «для кадровых целей» суды считают недопустимыми.
• Перечень персональных данных (ФИО, дата рождения, паспорт, ИНН, СНИЛС, образование, семейное положение, дети, фото 3×4, биометрия и т.д.).
• Перечень действий с данными (сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение).
• Способы обработки: автоматизированная (1С, Excel, CRM) и/или неавтоматизированная (бумажные карточки, журналы).
• Срок действия согласия (например, «на срок действия трудового договора и 75 лет после его прекращения» или конкретная дата).
• Право отзыва согласия с указанием порядка (письменное заявление за 30 дней) и последствий (невозможность исполнения ТД).
• Подпись сотрудника с расшифровкой и датой.

Виды согласий в кадровой практике

На практике удобно использовать не один «общий» документ, а несколько целевых. Это снижает риски при проверках Роскомнадзора и судебных спорах.

Образец универсального письменного согласия (Шаблон)

Ниже приведен структурированный образец, соответствующий требованиям ст. 9 ФЗ-152 и рекомендациям Роскомнадзора. Текст в квадратных скобках […] подлежит замене на реальные данные.

ПИСЬМЕННОЕ СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

[Наименование организации / ФИО ИП]

Я, [ФИО полностью в И.п.], дата рождения [ДД.ММ.ГГГГ], место рождения: [Город/Населенный пункт],

паспорт: серия [XXXX] № [XXXXXX], выдан [Кем выдан] [ДД.ММ.ГГГГ], код подразделения [XXX-XXX],

СНИЛС № [XXX-XXX-XXX XX], ИНН [XXXXXXXXXXXX],

проживающий по адресу: [Пост. адрес регистрации], фактический адрес: [Факт. адрес],

контактный телефон: [+7 XXX XXX XX XX], e-mail: [email@domain.ru],

действующий на основании [Паспорт / Трудовой договор № [Номер] от [Дата]],

настоящим добровольно, в своем интересе и в интересе исполнения трудовой функции даю свое согласие [Наименование организации / ФИО ИП] (далее — «Оператор»), расположенному по адресу: [Юридический адрес Оператора], ИНН [ИНН], ОГРН [ОГРН], на обработку моих персональных данных со следующими условиями:

Цели обработки персональных данных:

1. Исполнение трудового договора (расчет и выплата заработной платы, компенсаций, начисление НДФЛ, формирование личного дела, трудовой книжки/СТД-Р).
2. Выполнение работодателем обязанностей по трудовому, налоговому, страховому и пенсионному законодательству (отчетность в СФР, ФНС, военкомат, судебные приставы).
3. Обеспечение режима коммерческой тайны и информационной безопасности (СКУД, видеонаблюдение, учет доступа к ИС).
4. Оформление и администрирование социальных гарантий: ДМС (страхователь: [Название страховой компании]), корпоративное обучение, командировки.
5. Взаиморасчеты с банком зарплатного проекта [Наименование Банка] (перечисление зарплаты на карту № [Номер карты / Номер счета]).

Состав персональных данных, подлежащих обработке:

• Общие данные: ФИО, дата и место рождения, пол, гражданство, семейное положение, данные о детях/иждивенцах.
• Идентификационные документы: паспорт РФ, СНИЛС, ИНН, Водительское удостоверение (при наличии), Военный билет/Свидетельство призывника.
• Контактные данные: адреса регистрации/проживания, телефоны, e-mail, адреса мессенджеров (для служебной связи).
• Трудовые и квалификационные данные: образование, квалификация, стаж, предыдущие места работы, награды, наказания, данные ТД/СТД-Р.
• Финансовые данные: банковские реквизиты для зарплатного перевода.
• Данные о состоянии здоровья (только в объеме, необходимом для предоставления гарантий по ТК РФ: медосмотры, отпуска по Б/Р, квоты для инвалидов) — специальная категория, ст. 10 ФЗ-152.
• Изображение (фотография 3×4 для пропуска, личного дела, корпоративного портала — без права распространения в открытые источники).

Перечень действий с персональными данными, на которые дается согласие:

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) третьим лицам (указанным в п.1), обезличивание, блокирование, удаление, уничтожение персональных данных.

Способы обработки персональных данных:

• Автоматизированная: с использованием АРМ кадровика, программы «1С:ЗУП», CRM-системы, корпоративной почты, СКУД, систем видеонаблюдения.
• Неавтоматизированная: ведение бумажных личных дел, карточек учетных листов Т-2, журналов регистрации, заказов и приказов.

Передача персональных данных третьим лицам:

Оператор вправе передавать мои персональные данные следующим категориям получателей исключительно в целях, указанных в п.1:

• Кредитным организациям (Банк зарплатного проекта) — для перечисления заработной платы;
• Страховым организациям (Страхователь ДМС) — для оформления полиса;
• Органам государственной власти (ФНС, СФР, суды, приставы, военкоматы) — в рамках исполнения законодательства;
• Аутсорсинговым компаниям (бухгалтерия, кадровик, юристы) — на основании договоров с условиями защиты ПДн (ст. 22.1 ФЗ-152).

Срок действия согласия:

Настоящее согласие действует на срок действия трудового договора и 75 (семьдесят пять) лет после его прекращения (срок хранения личных дел по ОКВД), либо до момента отзыва мной в установленном законом порядке.

Порядок отзыва согласия:

Я информирован о праве отозвать настоящее согласие путем направления письменного заявления Оператору не позднее чем за 30 (тридцать) календарных дней до предполагаемой даты прекращения обработки. Отзыв согласия влечет за собой невозможность исполнения работодателем трудового договора и обязанностей по законодательству, что может послужить основанием для прекращения трудового договора (ст. 83 ТК РФ) или отказа в предоставлении социальных гарантий (ДМС, командировки).

Права субъекта персональных данных:

Я ознакомлен со своими правами в соответствии со ст. 14 ФЗ-152: право на доступ к своим данным, право на уточнение/блокирование/уничтожение неполных/неверных данных, право на обжалование действий Оператора в Роскомнадзор или суд.

Настоящее согласие составлено в двух экземплярах: один — у Оператора (в личном деле), второй — у меня на руках.

Подпись субъекта ПДн: _________________ / [ФИО полностью] /

Особенности оформления отдельных блоков

Биометрические данные (СКУД, распознавание лица)

Если в организации используется вход по лицу/отпечатку пальца, обязательно нужно отдельное согласие на обработку биометрии (ст. 11 ФЗ-152, Постановление Правительства РФ № 803). В нем нужно указать: цель (доступ в офис), способ (сканирование лица), срок хранения шаблона (обычно до увольнения + 30 дней), меры защиты (шифрование, изолированный сервер). Отказ в подписании — основание предоставить альтернативу (пропуск-карту, пин-код), но не основание для отказа в найме.

Согласие на распространение (фото на сайте/соцсетях)

Это отдельный документ. В нем должно быть четко написано: «Даю согласие на публикацию моей фотографии и ФИО на официальном сайте компании [URL], в группах ВКонтакте/Telegram, на информационных стендах». Сотрудник может поставить подпись только напротив разрешенных каналов (например: «Сайт — да, Соцсети — нет»).

Сроки хранения и уничтожение

Согласие хранится в личном деле сотрудника (формы Т-2 или электронный архив) на весь срок действия ТД и 75 лет после увольнения (для личных дел) или 5 лет (для приказов/заявлений) согласно ОКВД (Приказ Минкультуры № 236). После истечения сроков — акт экспертизы и уничтожение (шредер/программа вайпинга).

Типичные ошибки работодателей (Чек-лиск для аудита)

• Отсутствие цели: фраза «для кадровых нужд» — грубое нарушение ст. 9 ФЗ-152. Цель должна быть конкретной.
• Отсутствие перечня получателей: написано «третьим лицам» без перечисления банка, страховщика, СФР.
• Объединение несовместимых согласий: основное + биометрия + распространение в одном листе. Суды признают такое недействительным для спец. категорий.
• Пропуск пункта об отзыве: нет описания процедуры и последствий отзыва.
• Подпись без расшифровки и даты: документ не имеет юридической силы.
• Принуждение к подписанию «Распространения»: удержание премии или угроза увольнением за отказ в публикации фото — нарушение ст. 10 ФЗ-152 и ст. 64 ТК РФ (дискриминация).
• Использование устаревших бланков: не учитывающие изменения ФЗ-152 от 2022–2024 гг. (трансграничная передача, уведомление Роскомнадзора, биометрия).

Электронное согласие (ЭДО / ЭЦП / Госуслуги)

Согласие может быть получено в электронном виде (ст. 9 ФЗ-152, ст. 310 ТК РФ):

• Через систему ЭДО (Диадок, СБИС, Контур) с усиленной/квалифицированной ЭЦП сотрудника.
• Через портал «Госуслуги» (ЕСИА) — при удаленном приеме на работу.
• В корпоративной HR-системе (Bitrix24, 1С:Кадры) — только при условии идентификации сотрудника (логин/пароль + СМС/пуш-код, привязка к профилю).

Важно: Простая галочка в чек-боксе на сайте («Я согласен») не является письменным согласием для трудовых отношений (Позиция Роскомнадзора, судебная практика). Нужен атрибут авторства (ЭЦП, вход по ЭСИА, скан рукописной подписи).

Действия при отказе сотрудника подписывать

1. Письменно разъяснить цели и последствия отказа (невозможность перевести зарплату на карту, оформить ДМС, допуск к СКУД).
2. Составить Акт об отказе (комиссия из 3 лиц: кадровик, юрист, начальник отдела) с указанием даты, ФИО, сути отказа.
3. Если отказ касает исполнение ТД (зарплата, налоги) — работодатель имеет право не допускать к работе (ст. 76 ТК РФ) или расторгнуть ТД по п. «б» ч. 1 ст. 83 ТК РФ (неявка/неисполнение обязанностей), но только после исчерпания процедуры разъяснения.
4. Если отказ касает добровольных действий (ДМС, фото на сайте, биометрия) — последствий для трудового договора быть не должно. Предоставляется альтернатива (наличные зарплата через кассу, пропуск-карта вместо лица).

Грамотно оформленное письменное согласие, это не просто «бумажка для инспектора», а главный инструмент защиты работодателя от штрафов Роскомнадзора (до 18 млн руб. за повторные нарушения ст. 13.11 КоАП РФ) и судебных исков сотрудников о компенсации морального вреда.

Рекомендации:

• Проводите аудит бланков согласий ежегодно (изменения в 152-ФЗ частые).
• Используйте раздельные формы для разных целей (Основное, Банк, ДМС, Биометрия, Публичность).
• Внедряйте локальный нормативный акт «Политика конфиденциальности / Положение о защите ПДн» и ознакомляйте с ним под роспись до подписания согласия.
• Храните оригиналы в личных делах (Т-2), сканы — в защищенном электронном архиве с контролем доступа.

Используя приведенный выше образец как базу, адаптируйте его под структуру своей организации, перечень используемого ПО и специфику бизнеса. При сомнениях — проконсультируйтесь с юристом по защите персональных данных или ДПО (Должностным лицом по защите ПДн).

Данная статья носит информационный характер и не является правовой консультацией. Законодательство может меняться. Актуальность норм проверена на 2024–2025 гг. (ФЗ-152 ред. от 2024 г., ТК РФ, Постановления Пленума ВС РФ).