Персональные данные работников: что нужно работодателю (2026)

Почему это касается любой организации

Даже компания без сайта и клиентов-граждан — оператор персональных данных, если у неё есть хотя бы один работник. Кадровый учёт, расчёт зарплаты, отчётность, пропускная система, корпоративная почта — всё это обработка. Для работодателя к 152-ФЗ добавляется глава 14 Трудового кодекса (ст. 85–90): она устанавливает свои правила, которые нельзя изменить локальным актом в худшую для работника сторону.

Что требует Трудовой кодекс

• Цели ограничены — содействие в трудоустройстве, получении образования и продвижении по службе, личная безопасность работников, контроль количества и качества работы, сохранность имущества, исполнение законов (ст. 86).
• Данные получают у самого работника. Если их можно получить только у третьей стороны, работника уведомляют заранее и получают его письменное согласие (ст. 86).
• Не собирают лишнего — сведения о политических и религиозных убеждениях, частной жизни, членстве в общественных объединениях, кроме случаев, прямо предусмотренных законом (ст. 86).
• Не принимают решения только по результатам автоматизированной обработки (ст. 86).
• Знакомят под подпись с документами о порядке обработки, правах и обязанностях работников в этой области (ст. 86).
• Не передают третьим лицам без письменного согласия, кроме случаев угрозы жизни и здоровью и случаев, установленных законом (ст. 88). Внутри организации доступ — только у работников, которым он нужен для выполнения обязанностей.
• Права работника — получать информацию о своих данных, копии записей, требовать исправления (ст. 89).

Когда согласие не нужно, а когда нужно

Не нужно — для исполнения трудового договора и обязанностей, установленных законом: кадровое делопроизводство, расчёт и выплата зарплаты, налоговая и пенсионная отчётность, воинский учёт, охрана труда и медосмотры. Обработка сведений о здоровье в рамках трудового законодательства тоже допускается без согласия (ст. 10 152-ФЗ).

Нужно:

• публикация на сайте, в соцсетях, на стенде — фото, Ф. И. О., должность, контакты сверх обязательного; это распространение, согласие оформляется отдельно (ст. 10.1);
• получение данных у третьих лиц — например, запрос характеристики с прежнего места работы (ст. 86 ТК);
• передача третьим лицам не по закону — корпоративный ДМС, туроператор для корпоративной поездки, партнёры по программам скидок;
• зарплатный проект — если работник не заключал договор с банком сам и условие не закреплено в коллективном договоре, безопаснее получить согласие на передачу данных банку.

Согласие работника оформляется отдельно от трудового договора — образец согласия.

Личные дела и сроки хранения

Порядок хранения и использования данных работников устанавливает работодатель с соблюдением ТК (ст. 87). Сроки хранения кадровых документов — по Перечню типовых управленческих архивных документов (приказ Росархива от 20.12.2019 № 236). Документы по личному составу, законченные делопроизводством после 1 января 2003 года, хранятся 50 лет, до этой даты — 75 лет (ст. 22.1 закона об архивном деле). По истечении срока документы уничтожают, а уничтожение подтверждают актом по требованиям приказа Роскомнадзора № 179.

Личные дела и карточки хранят в запираемых шкафах или в помещении с ограниченным доступом; перечень мест хранения и допущенных работников утверждается приказом.

Соискатели и резюме

Резюме, полученное с сайта поиска работы или по почте от самого кандидата, можно рассматривать для конкретной вакансии. Если кандидату отказали, данные нужно уничтожить в течение 30 дней после достижения цели (ч. 4 ст. 21 152-ФЗ), а для кадрового резерва — получить его согласие. Анкета кандидата, тест, запись собеседования — тоже персональные данные; передавать их кадровому агентству можно по поручению или с согласия.

Какие документы нужны

• Политика обработки с целями «кадровый учёт», «расчёт зарплаты», «подбор персонала» — образец политики.
• Приказ об ответственном за организацию обработки — образец приказа.
• Положение о персональных данных работников или раздел политики с правилами главы 14 ТК и листом ознакомления.
• Согласие работника для целей сверх трудового договора и согласие на распространение, если данные публикуются.
• Уведомление в Роскомнадзор — образец уведомления, оценка вреда — образец акта.

Частые ошибки

• Согласие на обработку — пунктом трудового договора. С сентября 2025 года согласие оформляется отдельно.
• Копии паспортов, СНИЛС и дипломов «на всякий случай». Хранить копии стоит только там, где это требуется по закону или для конкретной цели.
• Фото сотрудников на сайте без согласия на распространение — и не снятые после увольнения.
• Сведения о сотруднике сообщают по телефону банку, коллекторам или «новому работодателю».
• Резюме кандидатов копятся годами в почте рекрутера.

Чем рискуете

Суммы — для организаций по ст. 13.11 КоАП:

• обработка без законного основания или не по целям — от 150 до 300 тысяч рублей, повторно — от 300 до 500 тысяч;
• обработка без письменного согласия, когда оно нужно, — от 300 до 700 тысяч рублей, повторно — от 1 до 1,5 млн;
• данные не уничтожены в срок по требованию человека или Роскомнадзора — от 50 до 90 тысяч рублей;
• не обеспечена сохранность бумажных носителей, что привело к утечке или порче, — от 50 до 100 тысяч рублей.

Посчитать для своей ситуации — в калькуляторе штрафов.

С чего начать

1. Составьте перечень данных работников и соискателей, мест их хранения и тех, у кого есть доступ.
2. Проверьте, что из обработки выходит за трудовой договор, и оформите для этого отдельные согласия.
3. Утвердите положение или политику и ознакомьте работников под подпись.
4. Проверьте сайт и соцсети: есть ли согласия на распространение у всех, кто опубликован.
5. Наведите порядок с резюме и копиями документов, оформите уничтожение актами.