Положение о персональных данных работников

Цели обработки и состав данных

К персональным данным работника относятся любые сведения, прямо или косвенно его идентифицирующие. В кадровом учёте это типовой набор: ФИО, дата и место рождения, паспортные данные, ИНН, СНИЛС, адрес регистрации и фактического проживания, телефон, сведения об образовании и предыдущих местах работы, состав семьи, реквизиты счёта для зарплаты, данные о здоровье в части, необходимой для допуска к работе.

Цели обработки в положении формулируют исчерпывающе и без размытых «иных кадровых целей». Допустимые цели для кадров:

• оформление трудовых отношений и ведение кадрового учёта;
• начисление и выплата заработной платы, исчисление налогов и взносов;
• формирование отчётности в СФР, ФНС, Росстат, военкоматы;
• обеспечение установленных законом гарантий и компенсаций;
• организация пропускного режима и охраны труда;
• проведение обучения, аттестации, медосмотров;
• ведение воинского учёта;
• разрешение трудовых споров и подтверждение стажа.

Под каждую цель работодатель определяет правовое основание: трудовой договор, требование закона, согласие работника, защита жизненно важных интересов. Принципы минимизации (только необходимый объём) и срочности обработки закреплены ст. 5 ФЗ-152 — лишние сведения собирать нельзя даже с согласия работника.

Согласие работника и его форма

Согласие на обработку оформляют в письменной форме — отдельным документом, подписанным работником собственноручно либо усиленной квалифицированной (квалифицированной неквалифицированной) электронной подписью. Минимальные реквизиты согласия закреплены ст. 9 ФЗ-152: ФИО работника, паспортные данные, наименование и адрес работодателя, цели обработки, перечень данных, перечень действий с данными, срок действия согласия, порядок отзыва, подпись.

Один шаблон «согласия на всё» — типичная ошибка. На каждую самостоятельную цель оформляют отдельное согласие либо явно перечисляют их в одном документе. Согласие на передачу данных третьим лицам (банк для зарплатного проекта, страховщик ДМС, оператор электронных трудовых книжек, провайдер ЭКДО) — отдельный пункт с указанием получателя и объёма передаваемых сведений.

Работник вправе в любой момент отозвать согласие. Работодатель обязан прекратить обработку и уничтожить данные в течение 30 дней, кроме сведений, которые он хранит по требованию закона (трудовая книжка, отчётность, налоговые регистры). После увольнения часть данных переходит в архивное хранение по срокам Приказа Росархива от 20.12.2019 № 236.

Защита данных и передача третьим лицам

Работодатель — оператор по смыслу ФЗ-152, поэтому обязан выполнять полный набор требований оператора. В положении описывают применяемые меры защиты:

• назначение ответственного за организацию обработки персональных данных (приказом, с описанием полномочий);
• утверждение перечня лиц, допущенных к обработке, под подпись о неразглашении;
• разграничение прав доступа к кадровым системам;
• организационно-технические меры: парольная защита, шифрование при передаче по открытым каналам, антивирус, резервное копирование;
• порядок реагирования на инциденты — уведомление Роскомнадзора в течение 24 часов о факте инцидента и в течение 72 часов о результатах расследования (требование ФЗ-152 в редакции с 30.05.2025);
• проведение оценки вреда субъектам и периодический аудит соблюдения.

Передача данных третьим лицам без согласия работника допускается только по основаниям закона: в СФР, ФНС, военкомат, суд, правоохранительные органы по их запросу. Передача в банк для перечисления зарплаты, в страховую компанию по полису ДМС, в учебный центр для обучения — только с согласия работника либо при заключённом договоре поручения на обработку по ст. 6 ФЗ-152, где работодатель остаётся ответственным за действия поручателя.

Права работника и ответственность работодателя

Работник имеет право знать, кто и в каких целях обрабатывает его данные, получать копии своих данных, требовать уточнения неточных сведений, блокирования или уничтожения данных при отзыве согласия, обжаловать действия работодателя в Роскомнадзор и суд. Запрос работника о составе данных и целях обработки рассматривают не позднее десяти рабочих дней с возможностью продления ещё на пять рабочих дней.

Работодатель не вправе принимать решения, затрагивающие интересы работника, исключительно на основании автоматизированной обработки (ст. 86 ТК РФ). Любое автоматическое решение — отказ в приёме, понижение, увольнение — требует подтверждения уполномоченным должностным лицом.

С 30 мая 2025 года штрафы по ст. 13.11 КоАП РФ ужесточены. На 2026 год действуют такие санкции для юрлиц:

• обработка без согласия — от 300 000 до 700 000 ₽, при повторе — от 1 000 000 до 1 500 000 ₽;
• неуведомление об инциденте — от 1 000 000 до 3 000 000 ₽;
• утечка данных от 1 до 10 тысяч субъектов — от 5 000 000 до 10 000 000 ₽;
• утечка свыше 100 тысяч субъектов или специальных категорий — от 15 000 000 до 18 000 000 ₽;
• невыполнение обязанности по локализации баз данных в РФ — от 1 000 000 до 6 000 000 ₽, при повторе — от 6 000 000 до 18 000 000 ₽.

Дисциплинарная ответственность работников за разглашение персональных данных коллег — отдельный сюжет: см. Навигатор по дисциплинарным взысканиям. Связь положения с трудовым договором — на странице Трудовой договор: образец 2026, оформление приёма — в Приказе о приёме на работу.

После увольнения часть данных хранят по нормативным срокам: трудовой договор и приказы по личному составу — 50 лет (для документов после 2003 года) или 75 лет (до 2003), личная карточка — 50/75 лет, документы о начислении зарплаты — 5 или 50/75 лет в зависимости от наличия лицевых счетов. По истечении срока документы уничтожают по акту, электронные базы — гарантированной перезаписью, бумажные — измельчением.