Каждый работодатель — оператор ПДн. При приёме сотрудника, публикации вакансии, сборе резюме обязательны определённые процедуры по 152-ФЗ. Проверки РКН в HR-отделах в 2025-2026 году участились — приходят по жалобе работника. Разбираем полный процесс.

Категории кадровых ПДн

По ст. 86 ТК РФ и 152-ФЗ HR обрабатывает:

Общие данные

ФИО, дата рождения, паспортные данные, СНИЛС, ИНН, адрес регистрации/проживания, семейное положение, дети, образование, стаж, номер телефона, email.

Специальные категории (ст. 10 152-ФЗ)

Данные о состоянии здоровья (медсправки, больничные), национальность (не сама принадлежность, а факт заполнения) — обрабатываются с ограничениями.

Биометрические (ст. 11 152-ФЗ)

Фото сотрудника, сканы отпечатков пальцев для СКУД, распознавание лица — только с явным письменным согласием + отдельным документом.

Обязательные документы

1. Согласие сотрудника на обработку ПДн

Отдельный документ (не в трудовом договоре). Подписывается при приёме. Что должно быть:

  • ФИО сотрудника
  • Наименование оператора (работодателя) + ИНН
  • Перечень обрабатываемых данных
  • Цели обработки (кадровый учёт, начисление ЗП, соцгарантии, взаимодействие с ФНС/СФР/ФСС)
  • Правовое основание (ст. 6 ч. 1 п. 5 152-ФЗ — исполнение возложенных обязанностей)
  • Согласие на передачу третьим лицам (банк для ЗП, страховые, СФР, ФНС)
  • Согласие на трансграничную передачу (если работаете с зарубежными HR-сервисами)
  • Срок действия (на срок трудовых отношений + 3 года после увольнения)
  • Право отозвать согласие (кроме случаев когда обработка обязательна по закону)

Пример шаблонной формулировки есть в отдельной статье про согласие.

2. Согласие на распространение ПДн (ст. 10.1 152-ФЗ)

Если вы:

  • Публикуете фото сотрудников на сайте компании
  • Указываете ФИО и должности на странице «Наша команда»
  • Публикуете отзывы клиентов о конкретном сотруднике
  • Размещаете информацию в социальных сетях компании

— обязательно отдельное согласие на распространение. Не покрывается общим согласием на обработку.

3. Положение об обработке ПДн работников

Локальный акт. Утверждается приказом руководителя. Обязательный документ по ст. 22.1 152-ФЗ. Что должно быть:

  • Цели обработки
  • Категории субъектов и данных
  • Порядок доступа сотрудников HR к базе
  • Меры защиты (шкафы с замком, парольная защита, шифрование)
  • Порядок передачи третьим лицам
  • Порядок реагирования на запросы работников
  • Порядок реагирования на инциденты

4. Приказ о назначении ответственного за обработку ПДн

Обязателен по ст. 22.1. Часто ответственный — HR-директор или юрист. Подробнее — Ответственный за ПДн.

5. Уведомление в Роскомнадзор

Обязательно для юрлиц и ИП с работниками. Если вы обрабатываете ПДн работников без размещения в реестре операторов ПДн — штраф до 500 000 ₽. Как подать — пошаговая инструкция.

ПДн в вакансиях

Публикуемая вакансия по 152-ФЗ — оферта. Соискатель, отправляя резюме, соглашается с условиями обработки. Что должно быть в тексте вакансии:

  • Наименование работодателя (не «крупная компания», а конкретно)
  • Указание что резюме будет обработано в целях подбора персонала
  • Срок хранения резюме (обычно 3 месяца или до момента отказа)
  • Ссылка на политику конфиденциальности сайта
  • Email для запросов кандидатов

Если размещаете на HeadHunter/SuperJob/Хабр Карьера — сама площадка передаёт вам данные соискателя с их согласия, но вы становитесь вторым оператором и несёте свою ответственность.

Резюме кандидатов

Одна из частых причин штрафов РКН у HR:

Проблема 1: не удаляют резюме отказников

Резюме кандидатов, которым отказали, часто «лежат в базе» годами. По 152-ФЗ хранить резюме можно только на срок необходимый для целей обработки — обычно 3 месяца после отказа. Дальше — удалить или получить отдельное согласие на «резерв кандидатов».

Проблема 2: делятся резюме без согласия

Отправка резюме кандидата в другое подразделение или дружественную компанию без согласия кандидата — нарушение ст. 6 152-ФЗ. Штраф до 100 000 ₽ за раз.

Проблема 3: собирают лишние данные

Просят паспорт до найма, семейное положение, планы на детей — потенциальное нарушение принципа минимизации ПДн (ст. 5 152-ФЗ). Обрабатываются только данные необходимые для трудоустройства.

Кадровое делопроизводство

Хранение

  • Личные дела — 50 лет с момента увольнения (для тех кто устроился с 2003) или 75 лет (более ранние)
  • Резюме кандидатов — 3 месяца после отказа
  • Расчётные листки — 5 лет
  • Приказы по личному составу — 50/75 лет

Кто имеет доступ

Только HR + непосредственный руководитель + бухгалтерия по ЗП. Другие сотрудники — по решению ответственного, с логированием.

Электронное кадровое делопроизводство (КЭДО)

С 2023 разрешено (ФЗ-377). Требования:

  • Согласие каждого сотрудника на КЭДО (можно электронной подписью)
  • Использование квалифицированной или простой ЭП
  • Хранение подписанных документов минимум 5 лет в защищённом хранилище
  • Возможность выгрузить бумажную копию по запросу работника

Штрафы

  • Отсутствие согласия работника на обработку ПДн: 30 000-300 000 ₽
  • Отсутствие положения об обработке: 60 000-100 000 ₽
  • Обработка без основания: 60 000-300 000 ₽ / 300 000-700 000 ₽ повторно
  • Использование фото/данных без согласия на распространение (ст. 10.1): до 700 000 ₽
  • Утечка кадровых данных: по общим правилам ст. 13.11 ч. 8

Что делать сейчас

  1. Проверьте свой сайт — вакансии, страница «Команда», формы обратной связи с HR должны иметь ссылку на политику.
  2. Обновите шаблон согласия на обработку ПДн для новых сотрудников.
  3. Если публикуете фото сотрудников — сделайте отдельное согласие на распространение.
  4. Утвердите положение об обработке ПДн работников.
  5. Оформите приказ о назначении ответственного.
  6. Если ещё нет — подайте уведомление в РКН.
  7. Пересмотрите базу резюме: удалите отказные старше 3 месяцев или получите согласие на «резерв».

Связанные материалы