Персональные данные работников: что можно собирать, хранить и передавать

Коротко: работодатель — оператор персональных данных своих работников. Для обычного кадрового учёта подпись работника под согласием не нужна: основание дают закон и трудовой договор (пп. 2 и 5 ч. 1 ст. 6 закона № 152-ФЗ, ст. 65 и 86 ТК). Но объём данных ограничен целями, доступ получают только уполномоченные лица, а с документами о порядке обработки работников знакомят под роспись (п. 8 ст. 86 ТК). Письменное согласие нужно в отдельных случаях: данные у третьих лиц, передача третьей стороне, биометрия, публикация фото.

Кто оператор и чьи данные обрабатывает работодатель

Оператор — тот, кто организует обработку и сам определяет цели, состав данных и действия с ними (п. 2 ст. 3 закона № 152-ФЗ). Организация или ИП, у которых есть работники, подходят под это определение. Персональные данные — любая информация о человеке, которого можно определить (п. 1 ст. 3). Для работодателя это не только трудовая книжка и паспорт, но и табель, график отпусков, переписка с кадровиком.

Если кадры ведутся в 1С, таблице или другой программе, это обработка с использованием средств автоматизации, и уведомлять Роскомнадзор нужно до начала обработки (ч. 1 ст. 22). Исключения для обработки данных работников и по трудовым договорам утратили силу с 1 сентября 2022 года (ФЗ № 266). Остались три исключения, среди них обработка исключительно без средств автоматизации (п. 8 ч. 2 ст. 22). Подробности — в статьях об уведомлении для ООО и для ИП, общий порядок — в обзоре об уведомлении об обработке персональных данных.

Какие данные работника можно собирать

Статья 86 ТК называет цели, ради которых работодатель вправе обрабатывать данные работника: соблюдение законов, помощь работникам в трудоустройстве, обучении и продвижении, личная безопасность, контроль количества и качества работы, сохранность имущества (п. 1). Объём определяют по Конституции, ТК и федеральным законам (п. 2). Закон о персональных данных добавляет: содержание и объём данных не должны быть избыточными по отношению к целям (ч. 5 ст. 5).

• Данные берут у самого работника. Если их можно получить только у третьей стороны, работника заранее уведомляют, сообщают цель, источник, способ и последствия отказа и берут письменное согласие (п. 3 ст. 86).
• Специальные категории (здоровье, убеждения и другие по ч. 1 ст. 10 закона № 152-ФЗ) работодатель не вправе получать и обрабатывать, кроме случаев, предусмотренных ТК и другими федеральными законами (п. 4 ст. 86).
• Членство в общественных объединениях и профсоюзная деятельность — то же правило с теми же исключениями (п. 5 ст. 86).
• Решения о работнике нельзя основывать исключительно на данных, полученных автоматизированной обработкой или электронным получением (п. 6 ст. 86).
• Документы при приёме — только те, что названы в ТК, федеральных законах, указах Президента и постановлениях Правительства (ст. 65 ТК).

Что собирать на приёме, в работе и при увольнении, разобрано по этапам в статье о составе данных работника. Как оформить состав в виде документа — в статье о перечне персональных данных.

Основание обработки: когда согласие не нужно, а когда нужно

Согласие — одно из оснований в ч. 1 ст. 6. Для работодателя важны два других: обработка нужна для обязанностей, которые закон возлагает на оператора (п. 2), и для исполнения договора, стороной которого, либо выгодоприобретателем или поручителем по которому является субъект (п. 5). Для работника, по нашему прочтению, работают оба: закон (ТК) и трудовой договор. Роскомнадзор в давних разъяснениях занимает ту же позицию: согласие не требуется, если объём данных не выходит за установленные перечни и соответствует целям трудового законодательства. Это позиция ведомства, а не закон.

Про биометрию стоит сказать отдельно. Письменное согласие нужно, когда данные используются оператором для установления личности (ч. 1 ст. 11). Предоставление биометрии не может быть обязательным, кроме случаев ч. 2 ст. 11 (ч. 3). Трудовое законодательство в этом перечне не названо, прямой нормы в ТК для проходной по отпечатку мы не нашли. По нашему прочтению, работнику нужно оставить обычный способ входа.

Согласие оформляют отдельно от иных документов, которые подписывает работник (ч. 1 ст. 9 в редакции ФЗ № 156 от 24.06.2025). В давних разъяснениях Роскомнадзора допускалось закрепить согласие в тексте трудового договора. По нашему прочтению, после поправок 2025 года так делать не стоит. Полный разбор с образцом — в статье о согласии работника, случаи без согласия — в статье об обработке без согласия. Общая схема согласий — в хабе о согласии на обработку персональных данных.

Доступ, передача и обработчики

Статья 88 ТК задаёт порядок передачи данных работника:

• не сообщать данные третьей стороне без письменного согласия, кроме случаев угрозы жизни и здоровью и других случаев, предусмотренных ТК и федеральными законами;
• не сообщать данные в коммерческих целях без письменного согласия;
• предупредить получателей, что данные можно использовать только в тех целях, для которых они сообщены;
• внутри организации передавать данные по локальному акту, с которым работник ознакомлен под роспись;
• допускать к данным только специально уполномоченных лиц и только к тем данным, которые нужны для их функций;
• не запрашивать сведения о здоровье, кроме относящихся к возможности выполнять трудовую функцию.

Если обработку поручают другой организации (бухгалтерия, кадровый аутсорс, облачная кадровая программа), нужен договор поручения и, по тексту ч. 3 ст. 6, согласие субъекта, если иное не предусмотрено федеральным законом. Для данных работников ст. 88 ТК требует письменного согласия на передачу третьей стороне; бухгалтерский аутсорс среди исключений не назван. Обработчик согласие у работника сам получать не обязан (ч. 4 ст. 6), ответственность перед работником несёт оператор (ч. 5 ст. 6). Запись и хранение данных граждан России в базах за границей не допускаются, кроме случаев пп. 2, 3, 4 и 8 ч. 1 ст. 6 (ч. 5 ст. 18). Бухгалтерию разбирает статья о персональных данных в бухгалтерии.

Документы и ознакомление под роспись

Закона с перечнем «кадровых документов по ПДн» нет: состав мер оператор определяет сам (ч. 1 ст. 18.1). Прямо названы немногие вещи: ознакомление работников под роспись с документами о порядке обработки и об их правах и обязанностях (п. 8 ст. 86 ТК), ознакомление работников, которые обрабатывают данные, с законодательством и локальными актами и (или) их обучение (п. 6 ч. 1 ст. 18.1), публикация политики (ч. 2 ст. 18.1) и назначение ответственного для юридического лица (ст. 22.1). Порядок хранения и использования данных работников устанавливает работодатель с соблюдением ТК и федеральных законов (ст. 87 ТК).

Положение об обработке, перечни, обязательство о неразглашении, приказы — наша рекомендация, а не обязательные названия. Как это выглядит на практике: документы по ПДн для кадров, положение об обработке, приказ об ответственном, обязательство о неразглашении, порядок утверждения документов. Общий обзор — в хабе о документах по персональным данным, о политике — в хабе о политике обработки.

Права работника и запросы

Статья 89 ТК даёт работнику право на полную информацию о его данных и их обработке, бесплатный доступ к данным, включая копии любой записи, содержащей его данные (кроме случаев, предусмотренных федеральным законом), на исправление неверных и неполных данных и обжалование неправомерных действий в суд. Закон о персональных данных добавляет сроки: информацию по запросу предоставляют в течение десяти рабочих дней, срок можно продлить не более чем на пять рабочих дней с мотивированным уведомлением (ч. 3 ст. 14, ч. 1 ст. 20). Изменения вносят в течение семи рабочих дней после подтверждающих сведений (ч. 3 ст. 20). Как принимать и отвечать на обращения: правила рассмотрения запросов и ответ на запрос субъекта.

Бывшие работники: сколько хранить данные

Одного срока «для всех личных дел» в законе о персональных данных нет. Общее правило: хранить не дольше, чем требуют цели обработки, если срок хранения не установлен федеральным законом или договором (ч. 7 ст. 5). Когда цель достигнута, обработку прекращают и данные уничтожают в срок не более тридцати дней, если иное не предусмотрено договором или соглашением либо если оператор не вправе обрабатывать данные без согласия (ч. 4 ст. 21).

Для кадровых документов срок хранения задаёт архивное законодательство, перечень типовых документов утверждает Росархив. Цифры мы здесь не приводим: текст перечня мы для этой статьи не открывали, сверьте сроки по действующему перечню. Для бухгалтерских документов закон о бухучёте называет минимум: не менее пяти лет после отчётного года, в сроки по правилам архивного дела (ч. 1 ст. 29 закона № 402-ФЗ). Роскомнадзор в разъяснениях пишет, что данные уволенного работодатель вправе обрабатывать в случаях и в сроки, предусмотренные федеральным законодательством, согласие тогда не нужно (п. 2 ч. 1 ст. 6).

• В день увольнения работодатель выдаёт трудовую книжку или сведения о трудовой деятельности и производит расчёт, а по письменному заявлению выдаёт заверенные копии документов, связанных с работой (ст. 84.1 ТК).
• Закон о персональных данных не применяется к организации хранения, комплектования, учёта и использования архивных документов по законодательству об архивном деле (п. 2 ч. 2 ст. 1). По нашему прочтению, речь о документах, которые уже стали архивными.
• Когда срок вышел, данные уничтожают, а уничтожение подтверждают (ч. 7 ст. 21, приказ Роскомнадзора № 179): акт об уничтожении обязателен (при автоматизированной обработке к нему добавляется выгрузка из журнала, хранить документы 3 года с момента уничтожения). Комиссия по уничтожению — наша рекомендация, закон её не требует: комиссия по уничтожению.

Соискатели и резюме

Соискатель ещё не работник, и ст. 86 ТК о нём прямо не говорит. Роскомнадзор в разъяснениях считает, что согласие нужно на срок принятия решения о приёме или отказе. Исключение по тем же разъяснениям: резюме прислало кадровое агентство, с которым у соискателя договор. Про резюме, которое человек сам разместил в интернете, в старых разъяснениях говорилось, что согласие не нужно, но норма об общедоступных данных (п. 10 ч. 1 ст. 6) утратила силу с 1 марта 2021 года; по ст. 10.1 доказывать законность обработки раскрытых данных должен оператор (ч. 2), поэтому мы советуем брать согласие. После отказа сведения уничтожают в течение 30 дней, что совпадает с ч. 4 ст. 21. Резюме неизвестного автора по разъяснениям уничтожают в день поступления. Кадровый резерв — по тем же разъяснениям только с согласия соискателя (для действующих сотрудников возможно, если предусмотрено их трудовыми договорами). Подробно — в статье о согласии соискателя. Это позиция ведомства, а не норма закона, и мы советуем брать согласие.

Иностранные работники

Определение персональных данных не зависит от гражданства (п. 1 ст. 3), поэтому принципы и права те же. Основание для приёма и миграционных обязанностей работодателя — закон и трудовой договор. Согласие нужно там, где этих оснований нет: передача данных подрядчику, публикация фото, рассылки, биометрия. Запрет на базы за границей сформулирован для данных граждан России (ч. 5 ст. 18); если база общая, мы рекомендуем хранить её целиком в России. Требований к языку согласия в ст. 9 мы не нашли, но согласие должно быть информированным. Таблица и образцы — в статье о согласии иностранного гражданина. Миграционные уведомления мы не оформляем.

Кадровое агентство и подбор персонала

Если подбор поручен агентству, действует ч. 3 ст. 6: поручение обработки идёт на основании договора, с согласия субъекта, если иное не установлено законом. Обработчик обязан соблюдать конфиденциальность и обеспечивать безопасность, а в поручении определяют перечень данных, действия и цели. Отдельный случай по разъяснениям Роскомнадзора: агентство действует от имени соискателя по его договору, тогда согласие соискателя работодателю не требуется. Что именно передаёт агентство работодателю, фиксируйте в договоре.

Какая ответственность у работодателя

Суммы взяты из текста статьи 13.11, это границы диапазонов, а не фиксированные штрафы. В частях 1 и 2 у ИП своей строки нет: он отвечает как должностное лицо (ст. 2.4 КоАП). Срок давности — один год (ст. 4.5). По ТК лица, виновные в нарушении норм об обработке данных работника, привлекаются к дисциплинарной, материальной, гражданско-правовой, административной и уголовной ответственности в порядке, установленном законами (ст. 90). Работника, который разгласил данные другого работника, можно уволить по подп. «в» п. 6 ч. 1 ст. 81 ТК: об ответственности работника за разглашение ПДн. Общая картина штрафов — в статье о штрафах за персональные данные.

Как мы помогаем работодателям

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России. Что можно заказать:

• Документы по 152-ФЗ — 9 900 ₽. Юрист разбирает, какие данные сотрудников вы собираете, зачем, где храните и кто имеет доступ, затем пишет политику, согласия для сотрудников и форм, положение об обработке, приказ об ответственном, перечни, инструкции. Правки включены, пока вы не напишете «принимаю». Состав называем после разбора, до оплаты.
• Уведомление в Роскомнадзор под ключ — 4 900 ₽. Подадим за вас.
• Сопровождение по персональным данным — 1 990 ₽ в месяц или 19 900 ₽ в год. Изменения в реестре, обновление документов, консультации.

Пакет «Старт» — уведомление, документы по 152-ФЗ и документы для сайта — стоит 14 900 ₽ вместо 18 700 ₽. Все услуги ФТИ собраны на одной странице. Для ответственного за персональные данные есть курс «Защита персональных данных»: повышение квалификации, 72 часа, дистанционно, удостоверение с записью в ФИС ФРДО. Курс не выдаёт готовых документов и не подаёт уведомление. На программу принимают с образованием не ниже среднего профессионального (ч. 3 ст. 76 закона № 273-ФЗ).

Данные по группам людей и отраслям: карта цикла

Эта статья — хаб. Данные других групп людей и отраслей разобраны отдельно:

• Какие данные сотрудника можно собирать — по этапам: приём, работа, увольнение.
• Персональные данные клиентов — основания, состав, хранение.
• Персональные данные детей — кто решает и где публиковать.
• Персональные данные родителей и законных представителей.
• Персональные данные контрагентов и их представителей.
• Персональные данные в школе и в детском саду.
• Колледж и вуз: абитуриенты и студенты.
• Медицинская организация и врачебная тайна и персональные данные.
• Гостиница и хостел; интернет-магазин; управляющая компания и ТСЖ.
• Салон красоты и фитнес-клуб; видеонаблюдение; учебный центр.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

• Трудовой кодекс РФ, статья 65 — документы, предъявляемые при заключении трудового договора
• Трудовой кодекс РФ, статья 86 — общие требования при обработке персональных данных работника
• Трудовой кодекс РФ, статья 87 — хранение и использование персональных данных работников
• Трудовой кодекс РФ, статья 88 — передача персональных данных работника
• Трудовой кодекс РФ, статья 89 — права работников в целях защиты персональных данных
• Трудовой кодекс РФ, статья 90 — ответственность за нарушение норм об обработке данных работника
• Трудовой кодекс РФ, статья 84.1 — общий порядок оформления прекращения трудового договора
• Трудовой кодекс РФ, статья 81 — расторжение договора по инициативе работодателя, подпункт «в» пункта 6
• Федеральный закон № 152-ФЗ, статья 6 — условия обработки, пункты 2 и 5 части 1, часть 3
• Федеральный закон № 152-ФЗ, статья 10 — специальные категории, пункт 2.3 части 2
• Федеральный закон № 152-ФЗ, статья 11 — биометрические персональные данные
• Федеральный закон № 152-ФЗ, статья 21 — уничтожение данных, части 4 и 7
• Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, ознакомление работников
• Федеральный закон № 402-ФЗ, статья 29 — хранение документов бухгалтерского учёта
• КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных
• Разъяснения Роскомнадзора о данных работников, соискателей и лиц в кадровом резерве (позиция ведомства)