# Персональные данные в бухгалтерии: основания, хранение, доступ

> Источник: https://ftex.pro/blog/pdn-v-buhgalterii/  
> Опубликовано: 07.10.2026  
> Обновлено: 08.10.2026  
> Раздел: Персональные данные  
> Описание: Персональные данные в бухгалтерии: когда не нужно согласие, сколько хранить документы по 402-ФЗ, что указать в договоре с аутсорсером и как закрыть доступ.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: бухгалтерия обрабатывает персональные данные работников, контрагентов-физлиц и подотчётных лиц, и во многих случаях согласие для этого не нужно.** Основание дают закон и договор (пп. 2 и 5 ч. 1 ст. 6 закона № 152-ФЗ). Но остаются обязанности: брать только необходимое, ограничить доступ, хранить документы столько, сколько требует закон о бухгалтерском учёте, и оформить договор, если учёт ведёт сторонняя организация.

 

Разбор, политика, согласия и локальные акты по вашей ситуации · состав пакета называем до оплаты

 

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽, правки до «принимаю» включены

 

[Собрать пакет под мой бизнес →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное для бухгалтерии**

 

- **Согласие нужно не всегда.** Для обязанностей по закону и для исполнения договора есть самостоятельные основания (пп. 2 и 5 ч. 1 ст. 6).
- **Объём данных — по цели.** Лишнее не собирают (ч. 5 ст. 5).
- **Срок хранения учётных документов — не менее 5 лет после отчётного года** (ч. 1 ст. 29 закона № 402-ФЗ).
- **Бухгалтерский аутсорс — это поручение обработки** с обязательными условиями и, по тексту ч. 3 ст. 6, с согласия субъекта, если иное не предусмотрено федеральным законом.
- **Доступ только тем, кому он нужен** для работы (ст. 88 ТК РФ для работников).

 

## Чьи данные обрабатывает бухгалтерия

 

Закон считает персональными данными любую информацию о человеке, которого можно определить (п. 1 ст. 3). В бухгалтерии такие данные есть почти в каждом первичном документе. Состав ниже типичный, у вас он может отличаться.

 

| Чьи данные | Что обычно в документах | Основание обработки (по нашему прочтению) |
|---|---|---|
| Работники | ФИО, паспортные данные, ИНН, СНИЛС, реквизиты счёта, сведения для вычетов, больничные | Обязанности работодателя по закону (п. 2 ч. 1 ст. 6), трудовой договор (п. 5 ч. 1 ст. 6) |
| Контрагенты — ИП и самозанятые | ФИО, ИНН, реквизиты, адрес, подпись в актах | Договор, стороной которого является человек (п. 5 ч. 1 ст. 6) |
| Физлица по договорам (подряд, услуги) | ФИО, паспорт, ИНН, СНИЛС, банковские реквизиты | Договор (п. 5 ч. 1 ст. 6), обязанности по закону (п. 2) |
| Подотчётные лица | ФИО, должность, суммы, документы об оплате | Трудовые отношения, закон |
| Клиенты-физлица | ФИО, адрес, реквизиты платежа, чеки | Договор; подробнее [в статье о согласии клиента](https://ftex.pro/blog/soglasie-klienta-na-obrabotku-pdn/) |

 

Сведения о больничных листах касаются состояния здоровья, а такие данные закон относит к специальным категориям (ч. 1 ст. 10). Их обработка допускается в случаях ч. 2 ст. 10, в частности по п. 2.3 (трудовое и пенсионное законодательство) и п. 8 (страхование). Запрашивать лишние сведения о здоровье не нужно: ст. 88 ТК не позволяет работодателю запрашивать информацию о состоянии здоровья работника, кроме сведений о возможности выполнять трудовую функцию.

 

## Нужно ли согласие и когда

 

Согласие — одно из оснований обработки, но не единственное. Основания перечислены в ч. 1 ст. 6. Для бухгалтерии главные два: обработка нужна для выполнения обязанностей, возложенных законом на оператора (п. 2), и для исполнения договора, стороной которого, либо выгодоприобретателем или поручителем по которому является субъект данных (п. 5). Где закон обязывает вас вести учёт и передавать сведения в налоговые и страховые органы, бухгалтерия действует по п. 2. Конкретные нормы налогового и страхового законодательства в этой статье не разбираем.

 

Если же обработка выходит за пределы закона и договора, например вы публикуете список с фамилиями и суммами премий на общем стенде, нужно отдельное основание, чаще всего согласие на распространение (ст. 10.1), оформленное отдельно. С 1 сентября 2025 года оно оформляется отдельным документом (ч. 1 ст. 9). Подробнее — в статье «[Обработка ПДн без согласия](https://ftex.pro/blog/obrabotka-pdn-bez-soglasiya/)».

 

## Сколько хранить и когда уничтожать

 

Первичные учётные документы, регистры, отчётность и аудиторские заключения хранят в течение сроков, которые устанавливают в соответствии с правилами организации государственного архивного дела, но не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Документы учётной политики и другие документы по организации учёта — не менее пяти лет после года, в котором они использовались для составления отчётности в последний раз (ч. 2). Хранить документы нужно в безопасных условиях и защищать от изменений (ч. 3). Конкретные сроки по видам документов в этой статье не называем: их нужно брать из актуального перечня для архивного дела.

 

Закон о персональных данных не противоречит этому: хранить данные можно дольше цели, если срок установлен федеральным законом (ч. 7 ст. 5). Когда срок истёк, данные уничтожают, а уничтожение подтверждают актом (ч. 7 ст. 21, приказ Роскомнадзора № 179). Если бумаги много, удобна комиссия (наша рекомендация), см. «[Комиссия по уничтожению ПДн](https://ftex.pro/blog/komissiya-po-unichtozheniyu-pdn/)» и «[Акт уничтожения ПДн](https://ftex.pro/blog/akt-unichtozheniya-personalnyh-dannyh/)». Держать документы «на всякий случай» сверх срока не стоит: цель, на которую вы ссылаетесь, должна оставаться реальной.

 

## Бухгалтерский аутсорс: договор поручения

 

Если учёт ведёт сторонняя фирма или бухгалтер-фрилансер, вы передаёте им данные работников и контрагентов. Закон называет это поручением обработки (ч. 3 ст. 6). Оператор вправе поручить обработку другому лицу на основании договора и с согласия субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6). Для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне, кроме случаев, прямо названных в ТК и федеральных законах; бухгалтерский аутсорс среди них не назван. Поэтому по буквальному тексту безопасный вариант — отдельное письменное согласие работника на передачу данных аутсорсеру (ч. 1 ст. 9). Как это соотносится с основаниями п. 2 и 5 ч. 1 ст. 6, закон прямо не разъясняет, позиции Роскомнадзора по этому вопросу мы не искали. В поручении должны быть определены:

 

- перечень персональных данных;
- перечень действий с ними;
- цели обработки;
- обязанность соблюдать конфиденциальность;
- требования ч. 5 ст. 18 и ст. 18.1;
- обязанность по запросу оператора предоставлять документы, которые подтверждают соблюдение требований;
- обязанность обеспечивать безопасность данных и требования к защите по ст. 19, в том числе об уведомлении оператора о случаях из ч. 3.1 ст. 21 (об инцидентах).

 

Обработчику согласие субъекта получать не нужно (ч. 4 ст. 6), а ответственность перед субъектом за его действия несёт оператор (ч. 5 ст. 6). Часть 3 ст. 6 связывает поручение с согласием субъекта, «если иное не предусмотрено федеральным законом». Как это применить к вашей бухгалтерии, зависит от основания обработки. Наша рекомендация: указывать бухгалтерского обработчика в политике, а там, где согласие всё же берётся, и в согласии. Для работников ст. 88 ТК требует письменного согласия на передачу данных третьей стороне, кроме случаев, предусмотренных ТК и федеральными законами; привлечение аутсорсера стоит разобрать с юристом отдельно. Сведения о таком обработчике указывают и в акте уничтожения (подп. «б» п. 3 приказа № 179).

 

## Доступ и защита данных

 

Данные работников разрешено открывать только специально уполномоченным лицам, и они получают только то, что нужно для их функций (ст. 88 ТК РФ). Если данные в информационной системе, например в 1С, меры безопасности включают правила доступа и регистрацию действий (п. 8 ч. 2 ст. 19). Для четвёртого уровня защищённости ПП № 1119 требует, в частности, защитить помещения, обеспечить сохранность носителей и утвердить руководителем перечень лиц, доступ которых необходим для работы (п. 13). Уровень определяют по ПП № 1119; по нашему прочтению учётная система с данными работников и контрагентов подходит под определение информационной системы персональных данных (п. 10 ст. 3), подробнее в статье «[Перечень ИСПДн](https://ftex.pro/blog/perechen-ispdn/)».

 

Для бумажных ведомостей, карточек и платёжных документов действует ПП № 687: определить места хранения и перечень лиц с доступом (п. 13), хранить раздельно носители с разными целями (п. 14), обеспечить условия сохранности (п. 15). За нарушение условий сохранности бумажных носителей, повлёкшее доступ к данным, для организаций предусмотрен штраф от 50 до 100 тысяч рублей (ч. 6 ст. 13.11 КоАП).

 

Наша рекомендация по ролям в бухгалтерии:

 

| Должность | К чему нужен доступ | Ограничение |
|---|---|---|
| Расчётчик заработной платы | Данные работников для начислений | Только работники своей организации, без истории здоровья сверх больничных |
| Главный бухгалтер | Все учётные данные для контроля и отчётности | Права на изменение и выгрузку фиксируются |
| Кассир | Данные получателей выплат | Только в объёме платёжного документа |
| Бухгалтер по контрагентам | Реквизиты ИП и физлиц по договорам | Без доступа к кадровым данным |
| Директор | Сводные данные и отдельные документы | Утверждает перечень лиц с доступом |

 

Уровни защищённости и модель угроз мы готовим отдельной услугой: [модель угроз персональных данных](https://ftex.pro/model-ugroz-pdn/), от 12 900 ₽, только документы (без установки средств защиты и без аттестации).

 

## Минимальный набор документов для бухгалтерии

 

Закон прямо называет не все из них. Что опирается на норму, а что на практику:

 

- **Раздел о бухгалтерии в положении об обработке.** Практика, опора — п. 2 ч. 1 ст. 18.1. См. «[Положение об обработке ПДн](https://ftex.pro/blog/polozhenie-ob-obrabotke-personalnyh-dannyh/)».
- **Перечень лиц с доступом.** Для информационных систем п. 13 ПП № 1119, для бумаги п. 13 ПП № 687.
- **Договор поручения с аутсорсером.** Ч. 3 ст. 6.
- **Обязательство о неразглашении.** Практика: «[Обязательство о неразглашении ПДн](https://ftex.pro/blog/obyazatelstvo-o-nerazglashenii-pdn/)».
- **Порядок хранения и уничтожения.** П. 2 ч. 1 ст. 18.1; акт — ч. 7 ст. 21.
- **Перечень данных по целям.** Практика, опора — ч. 5 ст. 5. См. «[Перечень персональных данных](https://ftex.pro/blog/perechen-personalnyh-dannyh/)».

 

Кадровая сторона разобрана в статье «[Документы по ПДн для кадровой службы](https://ftex.pro/blog/dokumenty-po-pdn-dlya-kadrov/)», общий обзор — в «[Документы по персональным данным](https://ftex.pro/blog/dokumenty-po-personalnym-dannym/)». Как документы утверждают и доводят до работников, объясняет «[Как утвердить документы по ПДн](https://ftex.pro/blog/kak-utverdit-dokumenty-po-pdn/)».

 

## Как мы помогаем

 

В [пакете документов по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) за 9 900 ₽ юрист разбирает, какие данные у вас есть, где они хранятся и кто имеет доступ, и пишет политику, согласия и локальные акты под вашу ситуацию. Правки включены, пока вы не напишете «принимаю». Состав называем после разбора, до оплаты. Ознакомить сотрудников под подпись подскажем. Отдельно договор с бухгалтерским аутсорсером мы не разрабатываем; на разборе проверим, чтобы он не расходился с политикой и согласием.

 

Одним договором и по одной цене · правки включены

 

Пакет «Старт»: уведомление, документы и документы для сайта — 14 900 ₽ вместо 18 700 ₽

 

[Посмотреть пакет →](https://ftex.pro/uslugi/)

 

Как опубликованная политика описывает такую обработку, читайте в хабе «[Политика обработки персональных данных](https://ftex.pro/blog/politika-obrabotki-personalnyh-dannyh/)».

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Закон № 152-ФЗ, ст. 3 (основные понятия)](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Закон № 152-ФЗ, ст. 5 (принципы обработки)](https://www.consultant.ru/document/cons_doc_LAW_61801/96fbc469f91f57235cc842a85e0516a99f23dc85/)
- [Закон № 152-ФЗ, ст. 6 (условия обработки, поручение)](https://www.consultant.ru/document/cons_doc_LAW_61801/315f051396c88f1e4f827ba3f2ae313d999a1873/)
- [Закон № 152-ФЗ, ст. 10 (специальные категории данных)](https://www.consultant.ru/document/cons_doc_LAW_61801/26edb2934b899bf9c74c3a8f7e574651c6565e6d/)
- [Закон № 152-ФЗ, ст. 18.1 (меры оператора)](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Закон № 152-ФЗ, ст. 19 (меры по обеспечению безопасности)](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Закон № 152-ФЗ, ст. 21 (уничтожение данных)](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Закон № 402-ФЗ, ст. 29 (хранение документов бухгалтерского учёта)](https://www.consultant.ru/document/cons_doc_LAW_122855/eb7eaf7415d317fa9daf978473137c9209c1e1d7/)
- [Трудовой кодекс РФ, ст. 88 (передача данных работника)](https://www.consultant.ru/document/cons_doc_LAW_34683/693c16ad10f7f494a958cb007737bd678c221d4c/)
- [Постановление Правительства № 687 (обработка без средств автоматизации)](https://base.garant.ru/193875/)
- [Постановление Правительства № 1119 (требования к защите данных в информационных системах)](https://base.garant.ru/70252506/)
- [Приказ Роскомнадзора от 28.10.2022 № 179 (подтверждение уничтожения)](https://base.garant.ru/405821247/)
- [КоАП РФ, ст. 13.11](https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/)

## Частые вопросы

### Нужно ли бухгалтерии согласие работника на обработку персональных данных?

Не всегда. Обработка, которая нужна для обязанностей работодателя по закону (п. 2 ч. 1 ст. 6) и для трудового договора (п. 5 ч. 1 ст. 6), идёт без отдельного согласия. Согласие нужно там, где другого основания нет. Оформляется оно отдельно от иных документов (ч. 1 ст. 9).

### Сколько хранить документы бухгалтерии с персональными данными?

Первичные документы, регистры и отчётность — по правилам архивного дела, но не менее пяти лет после отчётного года (ч. 1 ст. 29 закона № 402-ФЗ). Сроки по видам документов смотрите в актуальном перечне для архивного дела, в этой статье мы их не приводим.

### Можно ли передать данные работников бухгалтерскому аутсорсеру?

Да, это поручение обработки на основании договора и с согласием субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6). В нём должны быть перечень данных, действия, цели, конфиденциальность, требования безопасности и обязанность уведомлять об инцидентах. Для работников учтите и ст. 88 ТК: безопасный вариант — отдельное письменное согласие работника на передачу данных аутсорсеру.

### Нужно ли согласие, если мы платим физлицу по договору подряда?

Для самого исполнения договора согласие, как правило, не требуется: основание есть в п. 5 ч. 1 ст. 6. Если вы собираетесь использовать данные для других целей, например для рассылки, нужно отдельное основание.

### Является ли 1С информационной системой персональных данных?

По нашему прочтению да, если в ней хранятся данные людей: закон определяет такую систему как совокупность данных в базах и технологий обработки (п. 10 ст. 3). Уровень защищённости определяют по ПП № 1119.

### Какие меры защиты нужны для бумажных ведомостей?

ПП № 687 требует определить места хранения и перечень лиц с доступом (п. 13), хранить носители раздельно при разных целях (п. 14) и обеспечить сохранность без несанкционированного доступа (п. 15). Перечень мер и ответственных устанавливает оператор.

### Кому в бухгалтерии давать доступ к данным?

Только тем, кому нужно по работе, и в нужном объёме (ст. 88 ТК для работников). Наша рекомендация: закрепить перечень приказом и настроить права в учётной системе по ролям.

### Что делать с документами, когда срок хранения истёк?

Уничтожить данные и подтвердить уничтожение актом (ч. 7 ст. 21; приказ Роскомнадзора № 179). Для автоматизированной обработки к акту добавляют выгрузку из журнала событий.

### Поможете оформить документы для бухгалтерии?

Да. В пакете документов по 152-ФЗ за 9 900 ₽ юрист пишет политику, согласия и локальные акты под вашу ситуацию, правки до «принимаю» включены. Отдельный договор с аутсорсером мы не разрабатываем, но на разборе проверим стык с политикой и согласием.

### Грозит ли штраф за небезопасное хранение бумажных документов?

Если нарушены условия сохранности носителей при обработке без автоматизации и это повлекло доступ к данным, их уничтожение или иные неправомерные действия, применяется ч. 6 ст. 13.11 КоАП: для организаций от 50 до 100 тысяч рублей.