DATUM-консультация по сложным HR-случаям

Первое действие при любом нестандартном HR-случае — квалифицировать данные. От этого зависит основание обработки и перечень документов.

• Общие ПДн (ФИО, дата рождения, адрес, контакты) — обрабатываются в рамках трудового договора по п. 5 ч. 1 ст. 6 ФЗ-152 без отдельного согласия, если данные необходимы для его исполнения.
• Специальные категории (состояние здоровья, судимости, профсоюзное членство) — обрабатываются только при наличии письменного согласия или в силу прямого указания закона (ч. 2 ст. 10 ФЗ-152). Стандартный пример: справка о медосмотре, сведения о беременности.
• Биометрические ПДн (изображение лица в СКУД, отпечатки пальцев) — требуют отдельного письменного согласия по ст. 11 ФЗ-152. Исключение — случаи, прямо предусмотренные федеральным законом (охрана отдельных категорий объектов).
• Данные сверх цели трудового договора (например, сведения о хобби для корпоративного профиля, персональные фотографии для внутреннего портала) — требуют отдельного согласия по ст. 9 ФЗ-152 в редакции с 01.09.2025.

Практическое правило: если вы не можете назвать конкретную норму ФЗ-152 или ТК РФ, которая разрешает обработку данных без согласия, — согласие требуется.

С 01.09.2025 согласие работника на обработку ПДн, выходящую за рамки трудового договора, должно быть оформлено отдельным документом. Реквизиты согласия по ст. 9 ФЗ-152: ФИО и контактные данные субъекта, наименование и адрес оператора, цель обработки, перечень ПДн, перечень действий с ПДн, срок действия, способ отзыва.

Типовые ошибки при проверке согласий в HR:

• Согласие встроено в оферту КЭДО-платформы или в договор с провайдером — это не согласие работника, это согласие оператора платформы.
• В перечне ПДн указана обобщённая формулировка «персональные данные, необходимые для трудовых отношений» — норма требует конкретного перечня.
• Отсутствует срок действия согласия или способ отзыва — два обязательных реквизита по ст. 9 ФЗ-152.
• Согласие подписано до 01.09.2025 и включено в трудовой договор — переоформлять обратной силы нет, но при первом изменении в обработке нужно получить новое согласие.

Согласия, полученные до 01.09.2025 по старым формам, сохраняют силу в части, соответствующей прежним требованиям. При расширении целей обработки или изменении состава данных — новое согласие обязательно.

КЭДО (кадровый электронный документооборот) — типичная точка риска, которую обнаруживают при аудите. Провайдер КЭДО получает доступ к ПДн работников, однако договор с ним нередко не оформлен как поручение обработки по п. 3 ст. 6 ФЗ-152.

Алгоритм проверки:

• Установите, кто является оператором: работодатель или провайдер платформы. Оператор — тот, кто определяет цели и состав обработки. Как правило, это работодатель.
• Проверьте договор с провайдером КЭДО: в нём должны быть закреплены цели обработки, перечень ПДн, перечень действий, обязательство конфиденциальности, требование уничтожить ПДн по завершении договора — всё это обязательные условия поручения по п. 3 ст. 6 и ч. 3 ст. 6 ФЗ-152.
• Убедитесь, что в политике обработки ПДн компании указан провайдер КЭДО как лицо, осуществляющее обработку по поручению.
• Проверьте, уведомлён ли РКН о новой цели обработки через КЭДО (ст. 22 ФЗ-152) — если уведомление не обновлялось после подключения системы.

Если провайдер КЭДО хранит ПДн на серверах за пределами РФ — это дополнительный риск: нарушение требований локализации по ч. 5 ст. 18 ФЗ-152 карается штрафом 1 000 000 — 6 000 000 ₽ по ч. 8 ст. 13.11 КоАП.

Системы контроля доступа с распознаванием лиц или считыванием отпечатков — биометрические ПДн по ст. 11 ФЗ-152. Обработка биометрии без письменного согласия допустима только в случаях, прямо предусмотренных федеральным законом: охрана отдельных категорий объектов (государственные органы, оборонные предприятия, объекты критической инфраструктуры).

Для коммерческого работодателя с обычным офисом использование СКУД с биометрией без письменного согласия работника — нарушение ч. 1 ст. 11 ФЗ-152. Штраф по ч. 16 ст. 13.11 КоАП — верифицировать перед публикацией по актуальному тексту КоАП.

• Согласие должно быть оформлено отдельным документом с обязательными реквизитами по ст. 9 ФЗ-152.
• Работник вправе отозвать согласие: оператор обязан прекратить обработку биометрии и уничтожить данные в сроки, установленные ст. 21 ФЗ-152.
• Отказ от биометрической идентификации не может быть основанием для отказа в трудоустройстве или применения дисциплинарных мер — ст. 86 ТК РФ запрещает обработку ПДн, не обусловленную трудовой функцией.
• Альтернатива: карточная СКУД без биометрии — согласие не требуется, если карта является инструментом доступа, а не содержит биометрические образцы.

После увольнения работник вправе потребовать прекратить обработку ПДн, на которую он давал согласие (ч. 2 ст. 9 ФЗ-152). Однако право на уничтожение ограничено случаями, когда обработка продолжается на основании согласия, а не закона.

Ключевое разграничение:

• Документы, хранение которых обязательно по закону (личное дело, трудовая книжка, расчётные ведомости, копии приказов) — уничтожать нельзя до истечения нормативных сроков. Личное дело госслужащего — 75 лет; коммерческие организации ориентируются на перечни типовых управленческих документов (Приказ Росархива).
• ПДн, обрабатываемые на основании согласия (фотография для корпоративного портала, биометрические данные СКУД, адрес для доставки корпоративных подарков) — уничтожаются в течение 30 дней с момента отзыва согласия или прекращения обработки, если иное не установлено законом.
• ПДн для судебных и административных споров — работодатель вправе сохранить данные на период рассмотрения спора (ч. 3 ст. 21 ФЗ-152).

Ответить на запрос работника о судьбе его ПДн нужно в течение 10 рабочих дней с даты обращения по ст. 20 ФЗ-152. Срок может быть продлён ещё на 5 рабочих дней при направлении уведомления работнику. Молчание — основание для жалобы в РКН и штрафа по ч. 4 ст. 13.11 КоАП (40 000 — 80 000 ₽).

Ситуация А: Анкета кандидата содержит вопросы о семейном положении и наличии детей.

Ст. 86 ТК РФ запрещает запрашивать ПДн, не обусловленные трудовой функцией. Сведения о семье — специальные или общие данные, сбор которых без согласия и обоснования незаконен. Доказательство нарушения — сам бланк анкеты. Вероятный исход при проверке: протокол по ч. 1 ст. 13.11 КоАП (150 000 — 300 000 ₽). Стратегия: исключить вопросы из анкеты, если сведения не нужны для трудовой функции; при необходимости — оформить отдельное согласие с конкретной целью.

Ситуация Б: КЭДО-платформа хранит ПДн сотрудников на серверах в Германии.

Нарушение ч. 5 ст. 18 ФЗ-152 (локализация). Первичная запись и хранение ПДн граждан РФ должны осуществляться в базах на территории РФ. Доказательство нарушения устанавливается при проверке серверной инфраструктуры провайдера. Вероятный исход: предписание РКН + штраф по ч. 8 ст. 13.11 КоАП — 1 000 000 — 6 000 000 ₽. Повторное нарушение — 6 000 000 — 18 000 000 ₽. Стратегия: проверить договор и SLA провайдера, потребовать локализацию или сменить платформу.

Ситуация В: Работник отозвал согласие на обработку биометрических данных в СКУД, доступ не ограничен.

После отзыва согласия оператор обязан прекратить обработку биометрии и уничтожить данные. Продолжение обработки после отзыва — нарушение ч. 1 ст. 9 ФЗ-152 и ч. 5 ст. 9 ФЗ-152. Доказательство: зафиксированная дата отзыва + данные в системе после неё. Вероятный исход: штраф по ч. 16 ст. 13.11 КоАП. Стратегия: разработать регламент отзыва согласия с фиксацией срока удаления биометрического образца; при невозможности ограничить доступ к системе — переключить работника на карточную идентификацию немедленно.

Любое решение по нестандартному HR-случаю должно быть задокументировано. Это снижает риск при проверке и позволяет обосновать позицию в арбитраже. Минимальный набор документации:

• Служебная записка с описанием ситуации, применённой нормой и принятым решением — подписывает ответственный по ст. 22.1 ФЗ-152.
• Обновлённое согласие или отказ от его получения с обоснованием правового основания обработки.
• Фиксация в журнале обращений субъектов — если ситуация инициирована запросом работника.
• Обновление локального акта (политики, приказа) — если ситуация выявила системный пробел, а не разовый случай.

Обновление ОРД после нестандартного кейса — не разовая мера: документы нужно проверять при каждом изменении в HR-процессах (подключение нового КЭДО-провайдера, внедрение СКУД, передача функции подбора аутсорсеру, ввод системы прокторинга для удалённых сотрудников).