· 152-ФЗ · 8 мин чтения

Автор: команда ДокументЛаб — сервис, который генерирует юридические документы для сайтов и помогает бизнесу соблюдать 152-ФЗ и GDPR.

Обработка персональных данных сотрудников: обязанности работодателя

Работодатель обязан обрабатывать персональные данные сотрудников по правилам Федерального закона № 152-ФЗ и главы 14 Трудового кодекса РФ: получить согласие там, где оно требуется, издать локальные акты и назначить ответственного. Кадровый учёт, начисление зарплаты и сдача отчётности ведутся без согласия сотрудника, но требуют пакета документов — от положения об обработке ПД до журнала учёта доступа. Нарушение этих правил влечёт административную, дисциплинарную и даже уголовную ответственность. Ниже — полный перечень обязанностей работодателя, сроки хранения документов и актуальные штрафы.

Главное

  • Согласие сотрудника не требуется для кадрового учёта, начисления зарплаты и сдачи отчётности (ст. 6 ч. 1 п. 5 152-ФЗ).
  • Согласие обязательно для передачи данных третьим лицам, обработки биометрических и специальных категорий данных.
  • Работодатель обязан издать положение об обработке ПД и ознакомить с ним каждого сотрудника под подпись (ст. 86 ТК РФ).
  • Личные дела и трудовые договоры хранятся 50 лет (75 лет для документов, созданных до 2003 года).
  • Штраф по ст. 13.11 КоАП РФ достигает 150 000 ₽ на юридическое лицо.

Содержание

  1. Какие данные сотрудников обрабатывает работодатель
  2. На каких основаниях работодатель обрабатывает данные сотрудников?
  3. Какие документы обязан подготовить работодатель?
  4. Как обрабатывать данные на разных этапах работы?
  5. Сроки хранения кадровых документов
  6. Частые нарушения работодателей
  7. Штрафы для работодателей
  8. Подготовьте документы для вашей организации

Какие данные сотрудников обрабатывает работодатель

Работодатель обрабатывает персональные данные сотрудников в девяти основных категориях — от идентификационных сведений до биометрических.

Категория данных Примеры
Идентификационные ФИО, дата и место рождения, гражданство
Документы Паспортные данные, СНИЛС, ИНН, военный билет
Образование Дипломы, сертификаты, квалификация
Трудовая деятельность Трудовая книжка, стаж, предыдущие места работы
Финансовые Банковские реквизиты для зарплаты, оклад
Медицинские Медицинские справки, результаты медосмотров
Семейные Семейное положение, данные детей (для льгот и вычетов)
Контактные Адрес регистрации и проживания, телефон, email
Биометрические Фотография (для пропуска), отпечатки пальцев (для СКУД)

Каждая категория данных требует отдельного правового основания — без него обработка незаконна.

На каких основаниях работодатель обрабатывает данные сотрудников?

Работодатель обрабатывает данные сотрудников на разных правовых основаниях, и выбор основания определяет, нужно ли получать письменное согласие.

Обработка без согласия сотрудника

Согласие сотрудника не требуется, когда обработка необходима для исполнения трудового договора, выполнения обязанностей по закону или требований Трудового кодекса РФ.

  • Исполнение трудового договора (ст. 6 ч. 1 п. 5 152-ФЗ)
  • Выполнение обязанностей, предусмотренных законодательством (налоговая отчётность, воинский учёт, пенсионное страхование)
  • Выполнение требований Трудового кодекса РФ

Для кадрового учёта, начисления зарплаты и сдачи отчётности в ФНС и СФР отдельное согласие на обработку ПД не нужно.

Когда согласие обязательно

Согласие сотрудника обязательно получить в шести случаях — от передачи данных третьим лицам до размещения фотографий на корпоративном сайте.

  • Передача данных третьим лицам, не связанная с исполнением трудового договора (например, в банк для зарплатного проекта)
  • Обработка биометрических данных (фото для пропуска, отпечатки пальцев)
  • Обработка специальных категорий данных (состояние здоровья, за исключением случаев, предусмотренных законом)
  • Размещение фотографии и данных на корпоративном сайте
  • Передача данных при поручении обработки другой организации (аутсорсинг бухгалтерии, кадров)
  • Рекомендательные письма для будущих работодателей

Какие документы обязан подготовить работодатель?

1. Положение об обработке персональных данных

Положение об обработке персональных данных — локальный нормативный акт, который определяет порядок обработки ПД в организации.

  • Порядок обработки ПД в организации
  • Перечень обрабатываемых данных и цели обработки
  • Меры защиты данных
  • Права сотрудников и порядок их реализации
  • Ответственность за нарушения

Каждый сотрудник знакомится с положением под подпись (ст. 86 ТК РФ).

2. Приказ о назначении ответственного

Приказ о назначении ответственного определяет лицо, отвечающее за организацию обработки ПД. Обычно это:

  • HR-директор или начальник отдела кадров
  • Юрист
  • Специально назначенный сотрудник (Data Protection Officer)

3. Согласия на обработку ПД

Подготовьте формы согласий для случаев, когда они обязательны:

  • Согласие на обработку данных при передаче третьим лицам
  • Согласие на обработку биометрических данных
  • Согласие на размещение данных на сайте компании
  • Согласие на получение корпоративной рассылки (на личный email)

4. Обязательство о неразглашении

Сотрудники, имеющие доступ к ПД других работников (кадровики, бухгалтеры, IT-специалисты), подписывают обязательство о неразглашении персональных данных.

5. Журнал учёта доступа к ПД

Ведите учёт доступа к ПД:

  • Кто имеет доступ к ПД сотрудников
  • На каком основании предоставлен доступ
  • Когда доступ был предоставлен или прекращён

6. Модель угроз и уровень защищённости

Определите уровень защищённости информационной системы ПД в соответствии с Постановлением Правительства № 1119. Для большинства работодателей это 3-й или 4-й уровень защищённости.

Как обрабатывать данные на разных этапах работы?

Обработка данных сотрудников различается на трёх этапах трудовых отношений — при приёме, в процессе работы и при увольнении.

При приёме на работу

  • Получайте только те данные, которые необходимы для заключения трудового договора
  • Не требуйте лишних документов (например, справка о судимости требуется только для определённых должностей)
  • Ознакомьте сотрудника с положением об обработке ПД под подпись
  • Получите необходимые согласия

В процессе работы

  • Храните личные дела в закрывающихся шкафах или сейфах
  • Ограничьте доступ к кадровым базам данных
  • При изменении данных сотрудника (смена фамилии, адреса) обновляйте документы
  • Не передавайте данные сотрудников третьим лицам без законного основания или согласия

При увольнении

  • Определите сроки хранения данных после увольнения (для разных документов они разные)
  • Личные дела хранятся 50 лет (75 лет для созданных до 2003 года)
  • Данные, не подлежащие обязательному хранению, уничтожьте в установленном порядке
  • Составьте акт уничтожения ПД

Сроки хранения кадровых документов

Сроки хранения кадровых документов различаются — от одного года до 75 лет в зависимости от типа документа.

Документ Срок хранения
Трудовой договор 50 лет (75 лет до 2003 г.)
Личная карточка (Т-2) 50 лет (75 лет до 2003 г.)
Приказы по личному составу 50 лет (75 лет до 2003 г.)
Табели учёта рабочего времени 5 лет
Документы по зарплате 6 лет
Графики отпусков 3 года
Резюме непринятых кандидатов 1 год
Согласия на обработку ПД Весь срок обработки + 3 года

Частые нарушения работодателей

Роскомнадзор чаще всего фиксирует у работодателей шесть типичных нарушений при обработке данных сотрудников.

  • Хранение копий паспортов. Многие работодатели хранят ксерокопии паспортов сотрудников. Это допустимо только при наличии законного основания и указанной цели. После достижения цели копии должны быть уничтожены.

  • Открытый доступ к кадровым данным. Личные дела лежат на столе кадровика, зарплатные ведомости видны всем — грубое нарушение.

  • Передача данных без согласия. Отправка данных сотрудника в страховую компанию для ДМС без его письменного согласия.

  • Нет положения об обработке ПД. Организация обязана иметь этот документ и ознакомить с ним каждого сотрудника.

  • Сбор избыточных данных. Запрос вероисповедания, политических взглядов, информации о хобби, если это не связано с трудовой деятельностью.

  • Публикация фото сотрудников без согласия. Размещение фотографий на корпоративном сайте, в презентациях или в социальных сетях без письменного согласия.

Штрафы для работодателей

Нарушение правил обработки ПД сотрудников влечёт ответственность по нескольким основаниям — от административной до уголовной.

  • КоАП 13.11 — нарушение законодательства о ПД: штраф до 150 000 ₽ на юрлицо
  • КоАП 13.14 — разглашение информации с ограниченным доступом: штраф до 50 000 ₽
  • ТК РФ ст. 90 — дисциплинарная ответственность для сотрудников, нарушивших правила обработки ПД (вплоть до увольнения)
  • УК РФ ст. 137 — при незаконном сборе сведений о частной жизни: до 2 лет лишения свободы

Подготовьте документы для вашей организации

Правильная организация работы с персональными данными сотрудников начинается с документов. Генератор документов Порядок поможет создать политику обработки персональных данных, адаптированную под вашу организацию. Этот документ станет основой для всех внутренних процедур по работе с ПД сотрудников. Дополнительно вы можете сгенерировать политику конфиденциальности для корпоративного сайта и формы согласий — всё необходимое для соответствия 152-ФЗ. В ПоряДке документы формируются под конкретный сайт с учётом актуальной редакции 152-ФЗ.

Частые вопросы

Нужно ли согласие сотрудника на обработку персональных данных?

Не всегда. Для кадрового учёта, начисления зарплаты и сдачи отчётности согласие не требуется (ст. 6 ч. 1 п. 5 152-ФЗ). Согласие обязательно для передачи данных третьим лицам, обработки биометрических и специальных категорий данных, а также для размещения фото на сайте компании.

Какой штраф грозит работодателю за нарушение правил обработки ПД?

По ст. 13.11 КоАП РФ штраф на юридическое лицо достигает 150 000 ₽. За разглашение информации с ограниченным доступом по ст. 13.14 КоАП РФ — до 50 000 ₽. Незаконный сбор сведений о частной жизни по ст. 137 УК РФ грозит лишением свободы до 2 лет.

Сколько хранятся личные дела сотрудников?

Личные дела и трудовые договоры хранятся 50 лет, а документы, созданные до 2003 года, — 75 лет. Табели учёта рабочего времени — 5 лет, документы по зарплате — 6 лет, графики отпусков — 3 года, а согласия на обработку ПД — весь срок обработки плюс 3 года.

Кто может быть ответственным за обработку персональных данных?

Закон не устанавливает жёстких требований к должности. Обычно назначают HR-директора, юриста или специального сотрудника (Data Protection Officer). В компаниях до 10–15 человек ответственным, как правило, становится сам директор.

Итоги

Работодатель обрабатывает персональные данные сотрудников по правилам 152-ФЗ и главы 14 ТК РФ, а значит обязан оформить локальные акты, получить согласия там, где они нужны, и соблюдать сроки хранения.

  • Согласие не требуется для кадрового учёта, зарплаты и отчётности (ст. 6 ч. 1 п. 5 152-ФЗ).
  • Согласие обязательно для передачи третьим лицам, биометрии и специальных категорий данных.
  • Обязательные документы: положение об обработке ПД, приказ об ответственном, согласия, обязательство о неразглашении, журнал доступа, модель угроз.
  • Каждый сотрудник знакомится с положением об обработке ПД под подпись (ст. 86 ТК РФ).
  • Личные дела хранятся 50 лет (75 лет до 2003 года), табели — 5 лет, документы по зарплате — 6 лет.
  • Штраф по ст. 13.11 КоАП РФ достигает 150 000 ₽, по ст. 137 УК РФ — до 2 лет лишения свободы.

Сформируйте недостающие документы по обработке ПД сотрудников в ПоряДке, чтобы закрыть требования 152-ФЗ и главы 14 ТК РФ.