Персональные данные

Персональные данные в бухгалтерии: основания, хранение, доступ

Редактор ФТИ 7 октября 2026 9 мин чтения

Коротко

Какие персональные данные обрабатывает бухгалтерия, когда нужно согласие, сколько хранить документы по закону № 402-ФЗ, что включить в договор с бухгалтерским аутсорсером и как ограничить доступ.

Коротко: бухгалтерия обрабатывает персональные данные работников, контрагентов-физлиц и подотчётных лиц, и во многих случаях согласие для этого не нужно. Основание дают закон и договор (пп. 2 и 5 ч. 1 ст. 6 закона № 152-ФЗ). Но остаются обязанности: брать только необходимое, ограничить доступ, хранить документы столько, сколько требует закон о бухгалтерском учёте, и оформить договор, если учёт ведёт сторонняя организация.

Разбор, политика, согласия и локальные акты по вашей ситуации · состав пакета называем до оплаты

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽, правки до «принимаю» включены

Собрать пакет под мой бизнес →

Главное для бухгалтерии

Согласие нужно не всегда. Для обязанностей по закону и для исполнения договора есть самостоятельные основания (пп. 2 и 5 ч. 1 ст. 6).
Объём данных — по цели. Лишнее не собирают (ч. 5 ст. 5).
Срок хранения учётных документов — не менее 5 лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ).
Бухгалтерский аутсорс — это поручение обработки с обязательными условиями и, по тексту ч. 3 ст. 6, с согласия субъекта, если иное не предусмотрено федеральным законом.
Доступ только тем, кому он нужен для работы (ст. 88 ТК РФ для работников).

Чьи данные обрабатывает бухгалтерия

Закон считает персональными данными любую информацию о человеке, которого можно определить (п. 1 ст. 3). В бухгалтерии такие данные есть почти в каждом первичном документе. Состав ниже типичный, у вас он может отличаться.

Чьи данные	Что обычно в документах	Основание обработки (по нашему прочтению)
Работники	ФИО, паспортные данные, ИНН, СНИЛС, реквизиты счёта, сведения для вычетов, больничные	Обязанности работодателя по закону (п. 2 ч. 1 ст. 6), трудовой договор (п. 5 ч. 1 ст. 6)
Контрагенты — ИП и самозанятые	ФИО, ИНН, реквизиты, адрес, подпись в актах	Договор, стороной которого является человек (п. 5 ч. 1 ст. 6)
Физлица по договорам (подряд, услуги)	ФИО, паспорт, ИНН, СНИЛС, банковские реквизиты	Договор (п. 5 ч. 1 ст. 6), обязанности по закону (п. 2)
Подотчётные лица	ФИО, должность, суммы, документы об оплате	Трудовые отношения, закон
Клиенты-физлица	ФИО, адрес, реквизиты платежа, чеки	Договор; подробнее в статье о согласии клиента

Сведения о больничных листах касаются состояния здоровья, а такие данные закон относит к специальным категориям (ч. 1 ст. 10). Их обработка допускается в случаях ч. 2 ст. 10, в частности по п. 2.3 (трудовое и пенсионное законодательство) и п. 8 (страхование). Запрашивать лишние сведения о здоровье не нужно: ст. 88 ТК не позволяет работодателю запрашивать информацию о состоянии здоровья работника, кроме сведений о возможности выполнять трудовую функцию.

Нужно ли согласие и когда

Согласие — одно из оснований обработки, но не единственное. Основания перечислены в ч. 1 ст. 6. Для бухгалтерии главные два: обработка нужна для выполнения обязанностей, возложенных законом на оператора (п. 2), и для исполнения договора, стороной которого, либо выгодоприобретателем или поручителем по которому является субъект данных (п. 5). Где закон обязывает вас вести учёт и передавать сведения в налоговые и страховые органы, бухгалтерия действует по п. 2. Конкретные нормы налогового и страхового законодательства в этой статье не разбираем.

Если же обработка выходит за пределы закона и договора, например вы публикуете список с фамилиями и суммами премий на общем стенде, нужно отдельное основание, чаще всего согласие на распространение (ст. 10.1), оформленное отдельно. С 1 сентября 2025 года оно оформляется отдельным документом (ч. 1 ст. 9). Подробнее — в статье «Обработка ПДн без согласия».

Сколько хранить и когда уничтожать

Первичные учётные документы, регистры, отчётность и аудиторские заключения хранят в течение сроков, которые устанавливают в соответствии с правилами организации государственного архивного дела, но не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Документы учётной политики и другие документы по организации учёта — не менее пяти лет после года, в котором они использовались для составления отчётности в последний раз (ч. 2). Хранить документы нужно в безопасных условиях и защищать от изменений (ч. 3). Конкретные сроки по видам документов в этой статье не называем: их нужно брать из актуального перечня для архивного дела.

Закон о персональных данных не противоречит этому: хранить данные можно дольше цели, если срок установлен федеральным законом (ч. 7 ст. 5). Когда срок истёк, данные уничтожают, а уничтожение подтверждают актом (ч. 7 ст. 21, приказ Роскомнадзора № 179). Если бумаги много, удобна комиссия (наша рекомендация), см. «Комиссия по уничтожению ПДн» и «Акт уничтожения ПДн». Держать документы «на всякий случай» сверх срока не стоит: цель, на которую вы ссылаетесь, должна оставаться реальной.

Бухгалтерский аутсорс: договор поручения

Если учёт ведёт сторонняя фирма или бухгалтер-фрилансер, вы передаёте им данные работников и контрагентов. Закон называет это поручением обработки (ч. 3 ст. 6). Оператор вправе поручить обработку другому лицу на основании договора и с согласия субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6). Для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне, кроме случаев, прямо названных в ТК и федеральных законах; бухгалтерский аутсорс среди них не назван. Поэтому по буквальному тексту безопасный вариант — отдельное письменное согласие работника на передачу данных аутсорсеру (ч. 1 ст. 9). Как это соотносится с основаниями п. 2 и 5 ч. 1 ст. 6, закон прямо не разъясняет, позиции Роскомнадзора по этому вопросу мы не искали. В поручении должны быть определены:

перечень персональных данных;
перечень действий с ними;
цели обработки;
обязанность соблюдать конфиденциальность;
требования ч. 5 ст. 18 и ст. 18.1;
обязанность по запросу оператора предоставлять документы, которые подтверждают соблюдение требований;
обязанность обеспечивать безопасность данных и требования к защите по ст. 19, в том числе об уведомлении оператора о случаях из ч. 3.1 ст. 21 (об инцидентах).

Обработчику согласие субъекта получать не нужно (ч. 4 ст. 6), а ответственность перед субъектом за его действия несёт оператор (ч. 5 ст. 6). Часть 3 ст. 6 связывает поручение с согласием субъекта, «если иное не предусмотрено федеральным законом». Как это применить к вашей бухгалтерии, зависит от основания обработки. Наша рекомендация: указывать бухгалтерского обработчика в политике, а там, где согласие всё же берётся, и в согласии. Для работников ст. 88 ТК требует письменного согласия на передачу данных третьей стороне, кроме случаев, предусмотренных ТК и федеральными законами; привлечение аутсорсера стоит разобрать с юристом отдельно. Сведения о таком обработчике указывают и в акте уничтожения (подп. «б» п. 3 приказа № 179).

Доступ и защита данных

Данные работников разрешено открывать только специально уполномоченным лицам, и они получают только то, что нужно для их функций (ст. 88 ТК РФ). Если данные в информационной системе, например в 1С, меры безопасности включают правила доступа и регистрацию действий (п. 8 ч. 2 ст. 19). Для четвёртого уровня защищённости ПП № 1119 требует, в частности, защитить помещения, обеспечить сохранность носителей и утвердить руководителем перечень лиц, доступ которых необходим для работы (п. 13). Уровень определяют по ПП № 1119; по нашему прочтению учётная система с данными работников и контрагентов подходит под определение информационной системы персональных данных (п. 10 ст. 3), подробнее в статье «Перечень ИСПДн».

Для бумажных ведомостей, карточек и платёжных документов действует ПП № 687: определить места хранения и перечень лиц с доступом (п. 13), хранить раздельно носители с разными целями (п. 14), обеспечить условия сохранности (п. 15). За нарушение условий сохранности бумажных носителей, повлёкшее доступ к данным, для организаций предусмотрен штраф от 50 до 100 тысяч рублей (ч. 6 ст. 13.11 КоАП).

Наша рекомендация по ролям в бухгалтерии:

Должность	К чему нужен доступ	Ограничение
Расчётчик заработной платы	Данные работников для начислений	Только работники своей организации, без истории здоровья сверх больничных
Главный бухгалтер	Все учётные данные для контроля и отчётности	Права на изменение и выгрузку фиксируются
Кассир	Данные получателей выплат	Только в объёме платёжного документа
Бухгалтер по контрагентам	Реквизиты ИП и физлиц по договорам	Без доступа к кадровым данным
Директор	Сводные данные и отдельные документы	Утверждает перечень лиц с доступом

Уровни защищённости и модель угроз мы готовим отдельной услугой: модель угроз персональных данных, от 12 900 ₽, только документы (без установки средств защиты и без аттестации).

Минимальный набор документов для бухгалтерии

Закон прямо называет не все из них. Что опирается на норму, а что на практику:

Раздел о бухгалтерии в положении об обработке. Практика, опора — п. 2 ч. 1 ст. 18.1. См. «Положение об обработке ПДн».
Перечень лиц с доступом. Для информационных систем п. 13 ПП № 1119, для бумаги п. 13 ПП № 687.
Договор поручения с аутсорсером. Ч. 3 ст. 6.
Обязательство о неразглашении. Практика: «Обязательство о неразглашении ПДн».
Порядок хранения и уничтожения. П. 2 ч. 1 ст. 18.1; акт — ч. 7 ст. 21.
Перечень данных по целям. Практика, опора — ч. 5 ст. 5. См. «Перечень персональных данных».

Кадровая сторона разобрана в статье «Документы по ПДн для кадровой службы», общий обзор — в «Документы по персональным данным». Как документы утверждают и доводят до работников, объясняет «Как утвердить документы по ПДн».

Как мы помогаем

В пакете документов по 152-ФЗ за 9 900 ₽ юрист разбирает, какие данные у вас есть, где они хранятся и кто имеет доступ, и пишет политику, согласия и локальные акты под вашу ситуацию. Правки включены, пока вы не напишете «принимаю». Состав называем после разбора, до оплаты. Ознакомить сотрудников под подпись подскажем. Отдельно договор с бухгалтерским аутсорсером мы не разрабатываем; на разборе проверим, чтобы он не расходился с политикой и согласием.

Одним договором и по одной цене · правки включены

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

Посмотреть пакет →

Как опубликованная политика описывает такую обработку, читайте в хабе «Политика обработки персональных данных».

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Нужно ли бухгалтерии согласие работника на обработку персональных данных?

Не всегда. Обработка, которая нужна для обязанностей работодателя по закону (п. 2 ч. 1 ст. 6) и для трудового договора (п. 5 ч. 1 ст. 6), идёт без отдельного согласия. Согласие нужно там, где другого основания нет. Оформляется оно отдельно от иных документов (ч. 1 ст. 9).

Сколько хранить документы бухгалтерии с персональными данными?

Первичные документы, регистры и отчётность — по правилам архивного дела, но не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Сроки по видам документов смотрите в актуальном перечне для архивного дела, в этой статье мы их не приводим.

Можно ли передать данные работников бухгалтерскому аутсорсеру?

Да, это поручение обработки на основании договора и с согласием субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6). В нём должны быть перечень данных, действия, цели, конфиденциальность, требования безопасности и обязанность уведомлять об инцидентах. Для работников учтите и ст. 88 ТК: безопасный вариант — отдельное письменное согласие работника на передачу данных аутсорсеру.

Нужно ли согласие, если мы платим физлицу по договору подряда?

Для самого исполнения договора согласие, как правило, не требуется: основание есть в п. 5 ч. 1 ст. 6. Если вы собираетесь использовать данные для других целей, например для рассылки, нужно отдельное основание.

Является ли 1С информационной системой персональных данных?

По нашему прочтению да, если в ней хранятся данные людей: закон определяет такую систему как совокупность данных в базах и технологий обработки (п. 10 ст. 3). Уровень защищённости определяют по ПП № 1119.

Какие меры защиты нужны для бумажных ведомостей?

ПП № 687 требует определить места хранения и перечень лиц с доступом (п. 13), хранить носители раздельно при разных целях (п. 14) и обеспечить сохранность без несанкционированного доступа (п. 15). Перечень мер и ответственных устанавливает оператор.

Кому в бухгалтерии давать доступ к данным?

Только тем, кому нужно по работе, и в нужном объёме (ст. 88 ТК для работников). Наша рекомендация: закрепить перечень приказом и настроить права в учётной системе по ролям.

Что делать с документами, когда срок хранения истёк?

Уничтожить данные и подтвердить уничтожение актом (ч. 7 ст. 21; приказ Роскомнадзора № 179). Для автоматизированной обработки к акту добавляют выгрузку из журнала событий.

Поможете оформить документы для бухгалтерии?

Да. В пакете документов по 152-ФЗ за 9 900 ₽ юрист пишет политику, согласия и локальные акты под вашу ситуацию, правки до «принимаю» включены. Отдельный договор с аутсорсером мы не разрабатываем, но на разборе проверим стык с политикой и согласием.

Грозит ли штраф за небезопасное хранение бумажных документов?

Если нарушены условия сохранности носителей при обработке без автоматизации и это повлекло доступ к данным, их уничтожение или иные неправомерные действия, применяется ч. 6 ст. 13.11 КоАП: для организаций от 50 до 100 тысяч рублей.