Сколько хранить согласие на обработку персональных данных после увольнения

Опубликовано: 10.12.2025

Хранение копий документов в личных делах сотрудников — это элемент системы кадрового документооборота, регламентированный законодательно. За нарушение правил обращения с документами предусмотрен штраф до 50 000 рублей. Избежать наказания удастся, если компания обоснует необходимость наличия бумаг и получит согласие работников на обработку персональных данных.

Условия, при которых хранение копий безопасно

В ст. 86 ТК РФ обозначены цели, для которых работодателям разрешено использование и хранение данных сотрудников. Ими пользуются для:

обеспечения соблюдения законов и иных нормативных актов;
содействия в трудоустройстве; предоставления образования и продвижения по службе;
обеспечения личной безопасности работников;
контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

Во многих организациях, не зная, какие документы нельзя хранить в личном деле работника, держат копии паспортов и иных документов по традиции. И иногда даже после увольнения. Между тем, список целей, для которых работодателям разрешено использовать персональные данные сотрудников, и перечень документов, которые допускается хранить в личных делах сотрудников, закрытые — никак иначе пользоваться копиями нельзя. Например, ксерокопия паспорта поможет заполнить карточку работника, может, еще пару бумаг, но потом она больше не нужна.

Но теперь за хранение персональных данных сотрудника «просто так» штрафуют, и работодатели начали волноваться: что делать? Если в организации такие сведения по какой-либо причине нужны, в ЛНА перечислите, о каких бумагах идет речь, и оговорите, где хранить копии документов сотрудников, получите согласие на их хранение, а затем будьте готовы объяснить проверяющим, для чего они используются.

Кстати, информация, что ввели запрет на 9 документов в личных карточках сотрудников, — не более чем предупреждение, основанное на законодательстве. Но рекомендуем перестраховаться и убрать из дел сотрудников те бумаги, которые не нужны для реализации задач и обязанностей работодателя.

Специалисты Федеральной службы по труду и занятости подчеркивают, что хранение копий паспортов в личном деле сотрудника следует устанавливать с учетом требований нормативных актов, регламентирующих отношения в сфере неприкосновенности частной жизни, сбора и хранения персональной информации. По нормам Федерального закона от 27.07.2006 № 152 «О персональных данных», собирать, хранить, использовать и распространять данные гражданина возможно, только если он сам дал согласие на обработку его личной информации.

Штрафы за незаконное хранение

Чиновники по-своему ответили на вопрос, можно ли хранить копии документов в личном деле работника в 2020 г., но в судебной практике уже имеются случаи, когда хранение копий у работодателя судьи посчитали ненужным. В частности, в постановлении ФАС Северо-Кавказского округа от 11.03.2014 по делу № А53-10287/2013 заявлено, что для обработки персональных данных работников, принимаемых на работу, достаточно сверить сведения с оригиналами, и храниться копия паспорта в личном деле работника не должна.

Вкладывать в дела работников копии их персональных бумаг или нет, решать вам. Напомним только, что за нарушение норм в области персданных штрафуют по ст. 13.11 КоАП РФ. Так, за обработку информации в случаях, не прописанных законодательством, равно как и за обработку, несовместимую с установленными целями, должностных лиц штрафуют на 5000-10 000 рублей, а организацию — на 30 000-50 000 рублей.

В свете разъяснений Роструда работодателей будут штрафовать по п. 2 ст. 13.11 КоАП РФ. По ней, за обработку информации без письменного согласия субъекта персональных данных штраф для должностных лиц повышается до 10 000-20 000 рублей, а для компаний — до 15 000-75 000 рублей.

Правила хранения персональных данных обновят

На едином портале размещения проектов нормативных актов обсуждаются 2 законопроекта, которые поставят точку в вопросе, можно ли хранить копию паспорта в личном деле сотрудника, для всех компаний, обрабатывающих и хранящих персональные данные граждан, в том числе работодателей. Из первого документа следует, что при сборе персональных данных операторов придется обезличивать эти данные.

В ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ говорится, что обезличивание персданных — это комплекс действий, который позволяет частично скрыть принадлежность сведений конкретному субъекту: без дополнительной информации узнать, кому принадлежат данные, невозможно. Сейчас такие мероприятия являются обязательными только для государственных и муниципальных органов, но уже скоро требования по обезличиванию придется выполнять большинству компаний, в том числе работодателям.

Обезличивать информацию предстоит в соответствии с приказом Роскомнадзора от 05.09.2013 № 996, в котором рекомендуют пользоваться следующими методами:

замена части сведений;
изменение состава или семантики данных;
перемешивание (перестановка) отдельных записей или групп записей, что не позволит найти связь между информацией и конкретными субъектами.

За невыполнение обязанности по обезличиванию персональных данных либо несоблюдение установленных требований или методов планируется ввести иные санкции, нежели штраф за хранение копий паспортов в личных делах: от 1500 рублей — для граждан до 6000 рублей — для должностных лиц. Это предусмотрено вторым законопроектом, обсуждаемым чиновниками. Если его одобрят, в ст. 13.11 КоАП РФ укажут, что за такое нарушение индивидуальным предпринимателям грозит штраф до 10 000 рублей, а организациям — до 30 000.

Как объясняют в Минкомсвязи, где разработали оба документа, защита персональных данных в процессе хранения копий документов в личных делах — это хорошо, но после достижения целей сбора и обработки персональной информации все данные должны уничтожаться либо обезличиваться. У компаний часто накапливается массив информации, от которой необходимо как-то избавляться. И если для государственных и муниципальных органов предусмотрены конкретные требования и методы хранения и обезличивания данных, то для остальных операторов они не обязательны, и компании вправе пользоваться собственными способами. Для урегулирования этой ситуации предложено распространить утвержденные правила на всех операторов. А контроль за выполнением законодательства возложат на Роскомнадзор.

Обязан ли работодатель уничтожить копии документов, на основании которых заполнялась карточка формы N Т-2, после увольнения работника (копия паспорта, ИНН, СНИЛС, диплом и прочее), или они могут храниться вместе с карточкой формы N Т-2 (с работника было получено согласие на обработку персональных данных, которое не отозвано)? Обязан ли работодатель выдать копии этих документов по заявлению работника и в какой срок?

1. Статья 86 ТК РФ предоставляет работодателю право обрабатывать персональные данные работника исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества. Согласно ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон N 152-ФЗ) любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), является его персональными данными. Под обработкой персональных данных понимается в том числе хранение и уничтожение персональных данных. Уничтожением персональных данных признаются в том числе действия, в результате которых уничтожаются материальные носители персональных данных.

В соответствии с ч. 1 ст. 6 Закона N 152-ФЗ обработка персональных данных может осуществляться только в установленных данной статьей случаях. Одним из таких случаев является получение от субъекта персональных данных согласия на их обработку (п. 1 ч. 1 указанной статьи). Буквальное толкование данной нормы позволяет заключить, что в иных случаях получение согласия на обработку персональных данных не требуется. В частности, п. 5 ч. 1 ст. 6 Закона N 152-ФЗ допускает обработку персональных данных в случаях, когда такая обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

Таким образом, если работодатель получает от работника, хранит лишь ту информацию, которая необходима для исполнения трудового договора, получение согласия работника на такие действия не требуется. Однако отсутствие согласия работника исключает возможность осуществления работниками кадровых служб многих стандартных действий, необходимость которых не вытекает из трудового договора. Так, например, без согласия работника работодатель не может получить и хранить копии предоставленных им при приеме на работу документов, содержащих в себе информацию, не требующуюся для исполнения трудового договора (например информацию о месте рождения), в том числе паспорта (постановление ФАС Северо-Кавказского округа от 11.03.2014 N Ф08-480/14 по делу N А53-10287/2013, постановление Пятнадцатого арбитражного апелляционного суда от 28.10.2013 N 15АП-15175/13, решение Арбитражного суда Ростовской области от 14.11.2013 N А53-12557/2013).

Согласно ч. 5, ч. 6 ст. 21 Закона N 152-ФЗ в случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку и уничтожить их, если их сохранение более не требуется для целей обработки персональных данных. Для этого оператору предоставляется срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных данным законом или другими федеральными законами. При отсутствии возможности уничтожить персональные данные в 30-дневный срок оператор должен их блокировать и обеспечить их уничтожение в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами. Отметим, что обязанность оператора уведомлять субъекта персональных данных о прекращении обработки, блокировании или уничтожении его персональных данных действующим законодательством не предусмотрена. Такая обязанность будет возложена на оператора, только если соответствующие положения будут включены им в свои локальные нормативные акты (Положение об обработке персональных данных). При этом часть 2 ст. 9 Закона N 152-ФЗ специально оговаривает, что оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных в случае отзыва им согласия на их обработку при наличии оснований, указанных в пп. 2-11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 данного закона. К таковым относятся случаи обработки персональных данных без согласия работника. Таким образом, только в случае отзыва работником согласия на обработку его персональных данных у работодателя возникает обязанность прекратить их обработку и уничтожить (за исключением тех данных, которые могут обрабатываться без согласия работника).

Поскольку в рассматриваемой ситуации работник не отзывал свое согласие на обработку персональных данных, бывший работодатель не обязан уничтожать копии документов работника в связи с его увольнением.

2. В силу ст. 62 ТК РФ работодатель обязан выдавать работнику по его письменному заявлению копии документов, связанных с работой. Копии должны быть заверены надлежащим образом и предоставлены работнику безвозмездно не позднее трех рабочих дней со дня подачи соответствующего заявления.

С учетом общих норм, регламентирующих понятия "работник" и "работодатель" и их статус (ст.ст. 15, 20-22, 56 ТК РФ), можно прийти к выводу о том, что данная норма действует только в отношении лица, состоящего в трудовых отношениях с работодателем на момент запроса копий документов. Однако при таком подходе указание в ст. 62 ТК РФ на обязанность работодателя выдать приказ об увольнении в течение трех рабочих дней с момента подачи заявления становится бессмысленным: приказ об увольнении можно выдать настоящему (не бывшему) работнику только в день увольнения. В связи с этим мы полагаем, что по смыслу ст. 62 ТК РФ работодатель должен выдавать документы, связанные с работой, в течение трех рабочих дней как лицам, с которыми у него имеются действующие трудовые договоры, так и тем, с которыми трудовые договоры уже прекращены. Судебная практика подтверждает данную позицию (смотрите, например, определение Верховного Суда РФ от 16.12.2016 N 307-ЭС16-15862, апелляционное определение СК по гражданским делам Забайкальского краевого суда от 15.06.2016 по делу N 33-2543/2016 и т.д.).

Примерный перечень документов, подлежащих предоставлению по письменному заявлению работника, приводится в ст. 62 ТК РФ. В их числе указаны копии приказа о приеме на работу, приказов о переводах на другую работу, приказа об увольнении с работы; выписки из трудовой книжки; справки о заработной плате, о начисленных и фактически уплаченных страховых взносах на обязательное пенсионное страхование, о периоде работы у данного работодателя и другое. Как видно, данный перечень является открытым, в связи с чем работник вправе обратиться к работодателю с требованием о выдаче при увольнении любых копий документов (справок, выписок), содержащих информацию о его трудовой деятельности.

Так, в судебной практике имеется точка зрения, согласно которой ст. 62 ТК РФ является основанием предоставления работнику служебной характеристики (смотрите, например, кассационное определение Санкт-Петербургского городского суда от 18.01.2012 N 33-410). В ряде случаев судебная практика исходит из того, что ст. 62 ТК РФ распространяется лишь на те документы, которые содержат сведения, связанные с работой конкретного работника, и не является основанием для представления документов, касающихся работы других работников или деятельности работодателя в целом (смотрите, например, определения Судебной коллегии по гражданским делам Московского городского суда от 17.02.2012 N 33-3019/2012, от 20.06.2011 по делу N 33-18698, постановление президиума Московского областного суда от 08.02.2012 по делу N 44г-24/12, определение Московского городского суда от 25.11.2010 по делу N 4г/8-10206/10). Вместе с тем существует точка зрения, что работодатель обязан предоставить работнику на основании ст. 62 ТК РФ также копии тех документов, которые хотя и не содержат сведений о работе конкретного работника, однако непосредственно затрагивают его права и обязанности. В частности, к таким документам практика иногда относит коллективный договор (смотрите, например, определение Судебной коллегии по гражданским делам Московского городского суда от 24.08.2011 N 33-25677, кассационное определение Судебной коллегии по гражданским делам Московского городского суда от 21.09.2010 N 33-29697).

В то же время нельзя забывать, что на основании части первой ст. 88 ТК РФ работодатель не имеет права представлять документы, содержащие персональные данные работника, без его письменного согласия третьей стороне, в том числе другому работнику. Таким образом, если работник запрашивает документы, содержащие в том числе информацию о других работниках (например приказ о премировании работников), то работодатель вправе представить лишь выписку из этого документа, содержащую информацию, относящуюся конкретно к этому работнику, или обезличенную информацию, относящуюся ко всем работникам организации в целом или к некоторой группе работников, включающей в себя работника, обратившегося с просьбой о выдаче копий документов.

По вопросу об обязанности работодателя выдать бывшему работнику по его требованию копии документов, которые не издавались работодателем, в которые работодатель не вносил какие-либо записи и которые представлялись работодателю самим работником в период действия трудовых отношений (в том числе копий таких документов, как паспорт, диплом об образовании работника, страховое свидетельство обязательного пенсионного страхования), отметим следующее.

Согласно ч. 7 ст. 14 Закона N 152-ФЗ субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе информации, содержащей обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом. В силу ч. 1 ст. 20 Закона N 152-ФЗ оператор обязан сообщить в порядке, предусмотренном ст. 14 Закона N 152-ФЗ, субъекту персональных данных информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя.

Следует также отметить, что работодатель не обязан хранить у себя копии документов, предоставленных ему работником (смотрите также ответ на вопрос: Обязан ли работодатель делать и хранить копии трудовых книжек уволенных работников? (ответ службы Правового консалтинга ГАРАНТ, декабрь 2015 г.)). Поэтому отказ работодателя в предоставлении информации о персональных данных, содержащихся на материальных носителях, которые работодатель хранить не обязан и которые были уничтожены работодателем по собственной инициативе после прекращения трудовых отношений с работником, не является нарушением прав бывшего работника.

Таким образом, на работодателе, являющемся оператором персональных данных бывшего работника, лежит обязанность ознакомить бывшего работника по его просьбе с теми персональными данными, которые он сообщал работодателю и которые имеются у работодателя в наличии. Обязательных требований к форме ознакомления с этими данными не установлено, поэтому мы полагаем, что работодатель вправе в указанный в ст. 20 Закона N 152-ФЗ срок самостоятельно сделать копию с копии документа и представить ее работнику или сообщить бывшему работнику о способах ознакомления с интересующими его данными, в том числе и о возможности самому воспроизвести копию документа с помощью любых доступных ему технических средств. При этом заверять воспроизведенные изображения печатью организации-работодателя или подписью какого-либо должностного лица организации не требуется.

Ответ подготовил:
Эксперт службы Правового консалтинга ГАРАНТ
Мазухина Анна

Контроль качества ответа:
Рецензент службы Правового консалтинга ГАРАНТ
Комарова Виктория

С убъектам хозяйствования, независимо от формы собственности, необходимо собирать, обрабатывать, хранить персональные данные (ПДн) работников, партнеров по бизнесу и других лиц. Получать согласия на обработку персональных данных нужно с соблюдением требований законодательства. Оператору также нужно знать, сколько может действовать такое согласие, чтобы при выполнении любых действий с ПДн не нарушать требования законодательных актов.

Срок действия согласия

Хранить и обрабатывать личные данные оператор может на протяжении некоторого срока. Для этого нужно получить у субъекта ПДн одобрение на их использование, в котором указывается период его действия. Но в законе о персональных данных № 152 не указываются эти граничные сроки (гл. 2 з-на). Соответственно, нужно установить этот срок, опираясь на взаимно подписанное соглашение.

Предусматривается три варианта фиксации срока такого разрешения:

1. Можно установить ограниченное время на использование и хранение ПДн, прописав конкретную дату, до которой разрешение будет юридически законным. В таком случае нужно учитывать, что по окончании этого срока может понадобиться применить личные сведения гражданина. Но до оформления нового разрешения воспользоваться ими не разрешается, поэтому можно потерять много времени на документальные проволочки, что иногда тянет за собой проблемы. Нужно постоянно контролировать граничные сроки действия разрешения и до окончания указанной в нем даты оформить новое одобрение.

2. Следующий способ: вписать в разрешение срок действия данного документа – до реализации условий, при которых обработка ПДн будет прекращена. В согласии гражданина на обработку его ПДн нужно указать какое-либо событие вместо конкретного числа. Это может быть дата увольнения сотрудника, выполнение какой-либо услуги. Такой формат срока действия разрешения более приемлем в плане уменьшения затрат времени на бумажную фиксацию этого разрешения. Пока сотрудник не уволился, не нужно контролировать его сведения, чтобы отслеживать срок действия полученного от него согласия. Также не требуется подписывать новое разрешение, если срок старого истек.

3. Можно воспользоваться комбинированным вариантом определения срока действия согласия, при котором устанавливается дата окончания и наступления конкретного события. Примером такого способа может служить оформление займа в банке. Кредитор рассчитывает использовать сведения о заемщике на протяжении трех лет после закрытия кредита. Соответственно, в соглашении указывается срок – на протяжении трех лет с даты окончания действия договора кредитования.

Содержание согласия

В законе о ПДн № 152-ФЗ прописан ряд обязательных требований в отношении оформления согласия на пользование личными сведениями, которые нельзя игнорировать. Во время формирования согласия важно тщательно проработать и внести следующую информацию:

цель – не каждый гражданин хочет, чтобы его личные сведения были доступны всем. Нужно указать в одобрении, с какой целью требуется обрабатывать ПДн, кто будет иметь доступ к этой информации. К примеру, если работник будет выходить на пенсию, кадровик должен передать его документы Пенсионному фонду. От оперативности передачи данных будет зависеть своевременность назначения пенсии. Но если сотрудник рассчитывает на действия с его личными данными исключительно для работы, он может проявить свое недовольство тем, что его руководством переданы сведения о нем для действий, не связанных с работой;
отрезок времени, на протяжении которого ПДн гражданина будут использоваться. Нужно прописывать срок действия согласия на обработку персональных данных. К примеру, работник два года назад прекратил трудовые отношения с компанией, а бывший работодатель предоставляет его личные сведения в целях оформления карты для зачисления заработной платы в определенном банке. Это может привести к недовольству бывшего сотрудника. Не нужно игнорировать необходимость установки периода обработки ПДн, чтобы избежать проблем с обращением работника в судебные органы или прокуратуру;
срок хранения документов с ПДн. Если согласие на использование персональных данных было дано для каких-либо конкретных целей, то их уничтожение должно быть произведено на протяжении 1 месяца после того, как цель достигнута. Это требование регламентировано статьей 21 ФЗ № 152. Как только стороны выполнят свои обязательства в отношении друг друга, сведения хранить не имеет смысла.

Нужно знать, что законодательство требует хранить документацию, касающуюся сотрудника, на протяжении 75 лет. Это касается и личной информации.

Продление сроков

Если необходимо продлить срок действия согласия на какой-либо период после окончания указанной в нем даты, выполнить это можно следующим образом:

заключить дополнительное соглашение;
сделать новое разрешение;
внести в его текст возможность автоматического продления на конкретный период.

Чтобы избежать конфликтов, недоразумений между сторонами, лицо, уполномоченное на обработку ПДн, должно владеть знаниями о требованиях актуального законодательства и обеспечить их выполнение.

1 марта 2021 года вступили в силу изменения в Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных" (далее – Закон № 152-ФЗ). Введено новое понятие "персональные данные, разрешенные для распространения". Речь идет о распространении персональных данных неограниченному кругу лиц. Этот новый термин, по сути, пришел на смену прежнему – "общедоступные персональные данные". Судя по пояснительной записке к законопроекту, главная цель поправок – ограничить неконтролируемое использование персданных, размещенных на сайтах и в других открытых источниках. Получив персональные данные, оператор не вправе распространять их, как это было раньше. В связи с этим для обработки персональных данных, разрешенных для распространения, нужно получать отдельное согласие лица, предоставившего такие данные. Далее по тексту под оператором персональных данных (также далее – оператор, оператор персданных) будет подразумеваться лицо, которое обрабатывает персональные данные. Под субъектом персональных данных (далее – субъект персданных, гражданин) понимается физическое лицо, к которому прямо или косвенно относятся персональные данные, обрабатываемые оператором.

Рассмотрим новые правила работы с персданными подробнее.

Для распространения данных нужно получить новое согласие

Прежде оператор персональных данных мог обрабатывать и распространять (публиковать или передавать третьим лицам) персональные данные физлица-работника, получив от него только один документ – письменное согласие на обработку его персданных. Теперь этого недостаточно. Если оператор хочет распространять данные (например, разместить их на сайте компании), ему придется получить не только согласие на обработку, но и новый документ – согласие на распространение персональных данных (далее – согласие на распространение). Этому посвящена новая статья 10.1 Закона о персональных данных № 152-ФЗ.

Если физлицо подписало согласие на обработку персональных данных, но не дало своего согласия на их распространение, оператор может их обрабатывать (хранить, уточнять, использовать и т. д.), но не имеет права передавать их кому-либо еще (п. 4 ст. 10.1 Закона № 152-ФЗ). Это не касается передачи персональных данных государственным структурам, то есть военкомату, ФНС, ФСС, полиции, следственным органам и т. д. Персональные данные физического лица можно передавать им без его согласия (п. 2 – 11 ч. 1 ст. 6 Закона № 152-ФЗ).

Молчание или бездействие субъекта персданных ни при каких обстоятельствах не может считаться согласием на распространение его персональных данных (п. 8 ст. 10.1 Закона № 152-ФЗ).

Согласие на распространение может быть предоставлено оператору персональных данных (п. 6 ст. 10.1 Закона № 152-ФЗ):

например, непосредственно на бумаге с личной подписью (это можно сделать уже сейчас);
через информационную систему Роскомнадзора (эта возможность будет реализована только с 1 июля 2021 года).

Уведомлять Роскомнадзор о намерении начать обработку персональных данных, разрешенных для распространения, не нужно (пп. 4 п. 2 ст. 22 Закона № 152-ФЗ).

Содержание согласия на распространение персональных данных

Требования к содержанию нового согласия на распространение персональных данных устанавливаются Роскомнадзором (п. 9 ст. 9 Закона № 152-ФЗ). На данный момент документ еще не утвержден, он находится на этапе общественного обсуждения, а текст проекта доступен на портале проектов нормативных актов.

Из текста проекта следует, что новое согласие на распространение персданных должно содержать:

Ф. И. О. субъекта персональных данных;
контактную информацию субъекта персональных данных (телефон, электронная почта или почтовый адрес);
наименование или Ф. И. О. и адрес оператора, получающего согласие;
цель обработки персональных данных;
категории и перечень персональных данных, на обработку которых дается согласие или обработка которых запрещена;
условия разрешения и запрета обработки персональных данных;
срок, в течение которого действует согласие;
сведения об информационных ресурсах оператора, посредством которых они будут предоставлены неограниченному кругу лиц (например, адрес сайта).

Субъект персональных данных наделен правом самостоятельно выбирать, какие именно персональные данные и на каких условиях может распространять оператор, получивший к ним доступ. Это правило закреплено в п. 9 ст. 10.1 Закона № 152-ФЗ. Например, он может разрешить опубликовать только его фото и Ф. И. О., а дату рождения запретить публиковать. Либо он может разрешить передачу персональных данных третьим лицам, но только при условии, что они являются сотрудниками той же компании, в которой работает он сам.

Установленные субъектом персональных данных запреты и условия их обработки не действуют, когда их обработка осуществляется в государственных, общественных или иных публичных интересах (п. 11 ст. 10.1 Закона № 152-ФЗ). Например, несмотря на запрет, оператор может передать персональные данные в налоговую, ПФР, военкомат, полицию, следственный комитет и т. д.

Если в согласии прямо не указано, что субъект персональных данных не установил запреты и условия обработки персданных, их не следует передавать неограниченному кругу лиц (ч. 5 ст. 10.1 Закона № 152-ФЗ).

Нельзя распространять общедоступные персональные данные без согласия

Если субъект персональных данных самостоятельно разместил в общедоступном месте (например, в соцсетях) свои персональные данные, взять их оттуда для дальнейшей обработки и распространения не получится. Дело в том, что теперь это прямо запрещено законом. Каждое лицо, обрабатывающее или распространяющее размещенные самим субъектом персональные данные, должно доказать законность их обработки. Таким образом, даже в этом случае понадобится письменное согласие субъекта персданных на обработку и/или распространение его персональных данных (п. 2 ст. 10.1 Закона № 152-ФЗ). Раньше такие персональные данные считались общедоступными, не нужно было получать дополнительное согласие на их распространение.

Третьи лица должны быть оповещены о запретах и условиях обработки персональных данных

Получив согласие на распространение персональных данных, содержащее условия или запреты на их обработку, оператор должен опубликовать информацию о таких условиях или запретах. Сделать это необходимо в течение трех рабочих дней (п. 10 ст. 10.1 Закона № 152-ФЗ). Где именно должна быть опубликована такая информация, в законе не уточняется, однако логично предположить, что она должна быть доступна в том же месте, где опубликованы персональные данные (например, на той же веб-странице, на которой размещены фото и Ф. И. О. гражданина).

Субъект может отозвать согласие на распространение персональных данных

Оператор персональных данных обязан прекратить распространение (передачу, предоставление, доступ) персональных данных по требованию субъекта персданных. Для этого гражданин должен написать заявление об отзыве согласия на их распространение. В таком заявлении должны быть указаны (п. 12 ст. 10.1 Закона № 152-ФЗ):

Ф. И. О.;
контакты (номер телефона, адрес электронной почты или почтовый адрес);
перечень персональных данных, обработка которых должна быть прекращена.

Прекратить распространение нужно в течение трех рабочих дней с момента получения заявления. В противном случае субъект персональных данных вправе обратиться в суд с этим же требованием (п. 14 ст. 10.1 Закона № 152-ФЗ).

Работодателям придется соблюдать новые правила в полном объеме

Все перечисленные выше новые правила обработки персональных данных полностью распространяются на процесс обработки персональных данных работников работодателями. Это означает, что для распространения персональных данных работников (например, для размещения их на сайте работодателя) при приеме на работу или после заключения трудового договора придется брать с работника дополнительное согласие на распространение его персональных данных. В противном случае персональные данные работника можно будет передать только при наличии условий, когда согласие работника на их передачу не требуется. Подробнее об этом читайте здесь.

Что касается передачи персональных данных работника в банк с целью оформления зарплатной карты, полагаем, что передавать такие сведения в банк без согласия работника можно только в исключительных случаях, а именно:

когда договор заключается непосредственно между банком и работником;
когда у работодателя есть доверенность на представление интересов работника в банке;
когда выплата зарплат на банковскую карту работника предусмотрена коллективным договором.

Об этом мы писали здесь. Но даже в перечисленных случаях во избежание возможных разногласий рекомендуется получить предварительное согласие работника на распространение его персональных данных.

Нужно ли переоформлять согласие на обработку персональных данных, полученное до 1 марта 2021 года?

В законе нет норм, которые обязывали бы операторов персданных переоформлять полученные ранее согласия на обработку их персональных данных, оформленных по старым правилам. Но рекомендуется это сделать во избежание возможных претензий со стороны контролирующих органов. Если нужно передать персональные данные другим лицам или опубликовать их в открытом доступе, целесообразно оформить согласие на их распространение с учетом перечисленных выше правил. Сделать это следует еще и потому, что с 27 марта 2021 года вдвое увеличены штрафы за нарушение законодательства о защите персональных данных. Подробнее об этом читайте здесь.

Не пропускайте последние новости - подпишитесь
на бесплатную рассылку сайта:

Персональные данные работников: как работодателю не нарушить закон

У предпринимателя хранится стандартная информация о работниках: имя, контакты, номер паспорта, прошлые места работы. Такая информация — персональные данные людей. Собирать, хранить и удалять её нужно по правилам из закона.

Если персональные данные хранить неправильно, бизнес оштрафует Роскомнадзор. В ещё худшей ситуации личная информация утечёт к банкам, конкурентам и бывшим супругам работников. Тогда к штрафу добавится обязанность компенсировать моральный вред.

Чтобы избежать штрафов и судов, нужно один раз настроить работу с персональными данными сотрудников. Хорошая новость в том, что это несложно сделать самостоятельно. Рассказываем как.

Основная информация о персональных данных:

Глава 14 Трудового кодекса РФ

Закон № 152-ФЗ О персональных данных

Положение об особенностях обработки персональных данных без средств автоматизации

Каких работодателей касаются правила о персональных данных

Каждый человек сам решает, что и кому сообщать о себе. Это его частная жизнь, она конфиденциальна.

Чтобы информация о частной жизни не распространялась, действуют правила работы с персональными данными. Это следует из ст. 2 Закона № 152-ФЗ.

Предприниматели и организации, заключившие хотя бы один трудовой договор, отвечают за утечку сведений о частной жизни работников. Считается, что работодатели — операторы персональных данных. Они собирают информацию, хранят её в кадровых документах, передают в налоговую и пенсионный фонд. Основание — ст. 3 и 7 Закона № 152-ФЗ.

Правила работы с персональными данными не изменятся, если число работников вырастет до десяти или двух тысяч по всей стране.

Бизнесу без наёмного персонала в этом плане меньше хлопот. За свои паспортные данные и номера банковских карт предприниматели отвечают сами. Требований нет, составлять документы не надо.

Что такое персональные данные работника

Персональные данные — это любая информация о человеке, из которой можно понять, о ком речь — ст. 3 Закона № 152-ФЗ.

Более ясного определения нет. Поэтому работодатели обязаны следить за всеми документами, где есть имена, даты рождения, адреса и подобные сведения о работниках.

Вот список для ориентира:

Кадровые документы — трудовые договоры, трудовые книжки, личные карточки, приказы об отпусках и выговорах, заявления на отпуск.

Копии документов от работника — паспорта, СНИЛСа, свидетельства о рождении детей.

Бухгалтерские документы — расчётные листы по зарплате и премиям. Любые сведения о зарплате — это в принципе персональные данные, они секретны. Так сказано в Письме Роскомнадзора от 07.02.2014 № 08КМ-3681.

Фото работника — например, на пропуск.

Отпечатки пальцев — это биометрические персональные данные. Для них те же правила.

Неформальные документы — резюме, анкеты, характеристики, тесты на психологическую совместимость скорпиона и змееносца в активной фазе луны.

Сдавайте отчётность без бухгалтерских знаний

Эльба — бухгалтерия, с которой справится любой. Сервис подготовит платёжки на зарплату, налоги и взносы — а потом сам сформирует отчётность.

Что будет за нарушение закона о персональных данных

За утечку персональных данных и даже формальные ошибки работодатели отвечают по административной, гражданской и уголовной ответственности.

Административная ответственность: штрафы

Работу с персональными данными контролируют Роскомнадзор и прокуратура. С внеплановой проверкой приходят по жалобе работника, в том числе бывшего.

Штрафуют за избыточный сбор данных, отсутствие в кадровой документации согласия работника, утечку и отказ уточнить сведения по ст. 13.11 КоАП РФ. Размер штрафа — до 75 000 ₽.

Попасть на административную ответственность можно за сам факт нарушения закона. Проверяющие не будут разбираться, была ли реальная опасность, что мошенники оформят микрозайм по копии паспорта.

Компания использовала копии документов людей как черновики. Это незаконное распространение персональных данных. Прокуратура назначила штраф 25 000 ₽ — дело № 44а-1189/2018.

Гражданско-правовая ответственность: моральный вред работнику

Если по вине работодателя стали известны факты из частной жизни, работнику полагается компенсация морального вреда.

Дела о моральном вреде рассматривает суд по иску работника. Сумма компенсации зависит от последствий и бывает ощутимой.

Скриншот трудового договора с размером зарплаты работника попал в интернет. Компания не уследила или не придала этому значения. По всей видимости, был резонансный спор, но правило секретности персональных данных действует и тут. Работник отсудил 25 000 ₽ — дело № 33-4172/13.

Уголовная ответственность

В тяжёлом случае утечки данных о человеке через СМИ, интернет или как-то ещё публично на руководителя заводят уголовное дело по ст. 137 УК РФ.

В уголовном деле смотрят на реальный вред личной и семейной жизни человека. Например, на ютуб слили видео с камер в офисе — так жена менеджера узнала об измене.

Наказание грозит вплоть до лишения свободы на четыре года. Но такие дела, конечно, редкость.

Не уследивших за персональными данными кадровика, бухгалтера и директора можно уволить и переложить на них убытки от штрафов. Посмотрите нашу статью про дисциплинарную и материальную ответственность работников.

Правила работы с персональными данными работника

Правила о персональных данных разбросаны по разным законам. Мы собрали их в один столбик и упростили:

🔐 Персональные данные работника обрабатывают только с его письменного согласия.

🔐 Персональные данные работника нельзя никому сообщать без его согласия — ст. 7 Закона № 152-ФЗ. Даже коллегам и членам семьи. Но есть исключения, связанные с угрозой жизни и здоровью. Например, врачам скорой помощи можно сказать про аллергию.

🔐 Работодатель берёт от работника только нужные для работы сведения — ст. 86 ТК РФ.

О политических взглядах, вероисповедании и сексуальной ориентации расспрашивать нельзя. Про здоровье можно выяснить только то, что нужно для конкретной рабочей функции.

🔐 Персональные данные получают у самого работника. Когда нужные сведения есть только у третьей стороны, с работника берут письменное согласие.

🔐 Работодатель на свои деньги обеспечивает физическую сохранность документов с персональными данными. Хранить документы в надёжном месте — одна из главных его обязанностей.

🔐 Данные о работнике должны быть точными и свежими. Работодатель обязан заменять, обновлять и удалять информацию по просьбе работника — ст. 5 Закона № 152-ФЗ.

🔐 Работник в любое время может получить бесплатно копию документов с персональными данными — ст. 89 ТК РФ.

🔐 В фирме назначают ответственного за персональные данные. Этого специалиста знакомят с правилами работы из закона.

Как настроить работу с персональными данными: инструкция

Чтобы законно собирать и хранить информацию о персонале, надо составить несколько скучных документов и кому-то поручить постоянную бумажную работу (возможно, самому себе). Это не так сложно, как кажется на первый взгляд.

1. Составьте и утвердите локальный нормативный акт — Положение о защите персональных данных работников.

Обычно положение дублирует закон. Знакомьте с ним письменно каждого работника. Подписи удобно собирать на обратной стороне положения.

2. Назначьте ответственного за персональные данные.

Так нужно в силу ст. 22.1 Закона № 152-ФЗ.

Назначенный человек будет отвечать за сбор согласий с работников и физическую защиту документов. Возьмите с него обязательство о неразглашении данных. Брать трудовые книжки, договоры и копии паспортов сможет только он.

ИП и организации с одним учредителем ответственным назначают себя.

3. Берите с каждого работника письменное согласие на обработку персональных данных.

Отсутствие согласия — популярный повод для штрафа. Отдельно оформлять согласие не надо, если пользуетесь типовой формой трудового договора для микропредприятия. В форме есть строка о согласии на обработку.

Если планируете получать сведения о человеке у третьих лиц, например, рекомендации с прошлых мест работы или справки о судимости, возьмите согласие и на это.

4. Храните документы с персональными данными в надёжном месте.

Критериев надёжности нет. Какие конкретно нужны меры безопасности и как не допустить утечку, решает работодатель. Это его право по ст. 18.1 Закона № 152-ФЗ и п. 15 Положения.

Для хранения подойдёт сейф или ящик на замке. К такому месту не должно быть доступа у других людей, кроме ответственного за персональные данные.

Хранить информацию в электронном виде разрешено только на сервере в России по ст. 18 Закона № 152-ФЗ.

5. Уничтожайте персональные данные полностью.

Ненужные резюме, заявления и копии паспортов уничтожают. Сделать это надо так, чтобы никто не смог посмотреть и взять данные из них. Такое требование прописано в п. 10 Положения. Пользуйтесь шредером или мелко порвите бумаги.

Аналогичное требование к удалению данных с сервера: чтобы не осталось копий.

6. Если нужно, уведомляйте Роскомнадзор.

По общему правилу работодатель не обязан сообщать Роскомнадзору о сборе и хранении персональных данных.

Однако при использовании информации о людях не только в кадрах и бухгалтерии, работодатель отправляет уведомление — ст. 22 Закона № 152-ФЗ.

Например, когда сообщает банку о заработке сотрудника или подтверждает визовому центру место работы. В обоих случаях это передача персональных данных. Надо уведомлять Роскомнадзор.

А при работе через сайт с именами и контактами клиентов, вам совершенно точно нужен важный документ — Политика конфиденциальности.

Сделали все документы? Пройдите самопроверку на сайте Роструда. Это бесплатно и штрафов за найденные нарушения не будет.

7. Исполняйте требования закона не только формально.

Работодатель в курсе личной жизни подчинённых. Он давал справку о доходах для кредита, видел больничный лист на ребёнка и знает о недавнем разводе администратора.

Постарайтесь никому не рассказывать о жизни работников. Так вы не нарушите закон.

Читайте также: