Обработка персональных данных работников: обязанности работодателя

Работодатель как оператор

Как только вы нанимаете хотя бы одного человека, вы начинаете обрабатывать его персональные данные — ФИО, паспорт, СНИЛС, ИНН, реквизиты, сведения о здоровье в части, нужной для работы, и многое другое. А значит, вы оператор персональных данных со всеми обязанностями: определить цели и основания, обеспечить защиту, назначить ответственного, подготовить документы, соблюдать права работников.

Это в равной мере касается и ООО, и ИП с наёмными сотрудниками. Размер бизнеса роли не играет: обязанности возникают из самого факта обработки данных людей. Полный перечень того, что спрашивают с оператора, — в материале об обязанностях оператора персональных данных; данные работников — их частный, но очень распространённый случай.

Основание: закон, договор или согласие

Главное заблуждение работодателей — что на любую обработку данных сотрудника нужно его согласие. Это не так и даже рискованно: согласие можно отозвать, а вести кадровый учёт вы обязаны независимо от этого. Основания обработки различаются по видам:

Практический вывод: не пытайтесь «одной бумагой» покрыть всё. Разграничьте, что вы делаете на основании закона и договора, а что — требует отдельного согласия на обработку. Так вы не окажетесь в ситуации, когда отзыв согласия «обрушивает» весь кадровый учёт.

Когда согласие всё же нужно

Согласие работника требуется точечно — там, где обработка выходит за пределы трудовых отношений и прямых требований закона:

• Публикация фото и данных сотрудника на сайте, в соцсетях, в рекламных материалах — это ещё и распространение данных.
• Передача данных сторонним организациям для их целей, сверх того, что нужно для исполнения закона и договора.
• Использование данных в целях, не связанных с работой — например, в маркетинге компании.

Какие документы нужны

Проверка почти всегда начинается с вопроса «покажите документы». Базовый пакет работодателя по персональным данным обычно включает:

• Политику обработки персональных данных — общий публичный документ оператора.
• Положение (регламент) об обработке ПДн работников — как именно вы работаете с данными сотрудников.
• Приказ о назначении ответственного за организацию обработки и перечень лиц, допущенных к данным.
• Формы согласий для случаев, где согласие действительно нужно.
• Листы ознакомления — работников под подпись знакомят с порядком обработки и их правами.

Передача данных и публикация

Два сюжета, где чаще всего ошибаются:

• Передача третьим лицам. В банк для зарплатного проекта, в фонды и ФНС для отчётности, бухгалтерскому аутсорсеру — это законно и в необходимом объёме. Но передача сверх этого, для чужих целей, требует отдельного основания. Когда обработку по вашему поручению ведёт подрядчик, отношения с ним оформляют договором с условиями о защите данных.
• Публикация. Любой выход данных сотрудника в открытый доступ — фото, должность, контакты на сайте — это распространение, и для него нужно согласие на распространение.

И помните: работник — такой же субъект персональных данных, как и клиент. Он вправе обратиться к вам с запросом о своих данных — и этот запрос нужно отработать в общем порядке, описанном в материале о правах субъекта и ответе на запрос. Причём и после увольнения тоже.

Как навести порядок: 6 шагов

Собираем всё в единый маршрут — от осознания статуса оператора до защиты данных и соблюдения сроков. Один раз выстроив этот процесс, вы перестаёте гадать, «нужно ли согласие на это», при каждой новой ситуации.

1. Признайте себя оператором и определите цели обработки. Любой работодатель — от ИП с одним сотрудником до компании — обрабатывает персональные данные работников и потому является оператором. Начните с целей: приём на работу и кадровый учёт, начисление зарплаты, налоги и отчётность, оформление доступов, охрана труда. Чётко сформулированные цели задают, какие данные вы вправе собирать и как долго хранить, — «на всякий случай» здесь не работает.
2. Определите основание: чаще это закон и договор, а не согласие. Распространённое заблуждение — что на всё нужно согласие работника. На деле большую часть кадровой обработки вы ведёте на основании трудового законодательства и трудового договора: без этих данных невозможно оформить работника, платить зарплату и сдавать отчётность. Согласие требуется не для всей обработки, а для отдельных случаев, выходящих за эти рамки, — их и нужно выделить отдельно.
3. Соберите только необходимый минимум данных. Действует принцип минимизации: собирайте лишь те данные, которые нужны для заявленных целей, и не требуйте лишнего «про запас». Особую осторожность проявляйте к специальным категориям (здоровье и т. п.) и к данным, которые закон обрабатывать не требует. Избыточные данные — это и нарушение принципа, и лишний объём под утечку, за которую отвечаете вы.
4. Оформите базовый пакет документов по работе с ПДн. У работодателя должен быть набор внутренних документов: политика обработки персональных данных, положение (регламент) об обработке ПДн работников, приказ о назначении ответственного и о лицах, допущенных к данным, формы согласий там, где они нужны. Работников с этими документами и со своими правами знакомят под подпись. Это не бюрократия ради галочки — именно этот пакет спрашивают при проверке.
5. Возьмите отдельное согласие там, где выходите за рамки. Отдельное согласие нужно, когда обработка выходит за пределы трудовых отношений и требований закона: публикация фото и данных сотрудника на сайте или в соцсетях (это ещё и распространение), передача данных сторонним партнёрам сверх необходимого, использование данных в целях, не связанных напрямую с работой. Такие случаи выделяют и оформляют отдельными согласиями, а не «одной бумагой при трудоустройстве».
6. Защитите данные, ограничьте доступ и соблюдайте сроки. Доступ к данным работников должен быть только у тех, кому он нужен по должности; остальным — закрыт. Обеспечьте организационные и технические меры защиты, а по увольнении и истечении сроков — храните и уничтожайте данные по установленным правилам (кадровые документы имеют собственные, порой длительные сроки). Работник остаётся субъектом ПДн и после увольнения — его права никуда не исчезают.

Частые ошибки

• Берут «согласие на всё» и думают, что этого достаточно, — забывая, что его можно отозвать.
• Наоборот, не оформляют согласие там, где оно реально нужно (публикация фото, сторонние цели).
• Публикуют фото и данные сотрудников на сайте без согласия на распространение.
• Собирают лишние данные «про запас», нарушая принцип минимизации.
• Нет базового пакета документов — политики, положения, приказа об ответственном.
• Доступ к данным работников открыт всем в компании, а не только кому нужно по должности.
• Считают, что после увольнения обязанности исчезают — и игнорируют запросы бывших сотрудников.

Общий знаменатель — отношение к данным сотрудников как к чему-то «своему, внутреннему». На деле это ровно те же персональные данные под защитой 152-ФЗ: за нарушения предусмотрены штрафы за персональные данные, а пожаловаться может и сам работник.

Читайте также

• Согласие на распространение персональных данных — что нужно, чтобы опубликовать фото и данные сотрудника.
• Согласие на обработку персональных данных — где согласие работника действительно требуется.
• Политика обработки персональных данных — опорный документ, с которого начинают пакет.
• Обязанности оператора персональных данных — полный набор требований, куда входит и работа с данными сотрудников.
• Права субъекта персональных данных: как ответить на запрос — работник тоже субъект и может обратиться с запросом.
• Штрафы за персональные данные в 2026 — во что обходятся нарушения при работе с данными.
• Роскомнадзор и персональные данные: гайд для бизнеса — обзор всех обязанностей оператора.

Частые вопросы