Кейс штрафа за передачу ПДн в неуполномоченный банк

Зарплатный проект — стандартная практика, которая создаёт нестандартные правовые риски. HR-департамент передаёт банку ФИО, паспортные данные, ИНН, СНИЛС, сведения о размере заработной платы. Если банк не указан в уведомлении оператора в реестре РКН, а согласие работника не оформлено отдельным документом, каждая такая передача — самостоятельный состав правонарушения. Ниже — пошаговый разбор типичного кейса, карта рисков и конкретные шаги для HRD.

Что произошло: анатомия типичного нарушения

В кейсе, который воспроизводит типичную проверочную историю, производственная компания (Сибирский ФО, осень 2025) перешла на зарплатный проект нового банка. HR передал реестр сотрудников — порядка 400 человек — по защищённому каналу. Согласия были вшиты в трудовой договор образца 2019 года: единый документ, в котором одновременно упоминались цели обработки, право на передачу третьим лицам и подпись под условиями найма.

РКН провёл внеплановую проверку по жалобе одного из сотрудников, который не хотел обслуживаться в указанном банке. Инспектор зафиксировал два нарушения: отсутствие отдельного согласия по ст. 9 ФЗ-152 в редакции ФЗ-156 и отсутствие банка в уведомлении о намерении обрабатывать ПДн (ст. 22 ФЗ-152). Компания получила штраф по ч. 2 ст. 13.11 в диапазоне сотен тысяч рублей и предписание переоформить документацию.

Ключевая ошибка HR-департамента — не технический сбой, а организационный: шаблоны документов не были обновлены после вступления в силу ФЗ-156, а юридическая служба не получила задачу проверить, соответствует ли зарплатный проект актуальным требованиям.

Как проверить, есть ли нарушение в вашей компании: пять контрольных точек

Следующие пять шагов позволяют HRD самостоятельно оценить риск до прихода инспектора. Каждая точка — самостоятельный состав возможного нарушения.

Какие ещё HR-ситуации создают риск передачи ПДн без основания?

Зарплатный проект — наиболее частый, но не единственный источник нарушений в HR. Три типичные ситуации из практики проверок РКН 2025–2026 годов.

Ситуация 1. КЭДО через внешний оператор. Компания подключает систему кадрового электронного документооборота у стороннего провайдера. ПДн работников — ФИО, должность, реквизиты документов — поступают к оператору КЭДО. Если договор с провайдером не содержит условий о поручении обработки по ст. 6 ФЗ-152, провайдер формально становится самостоятельным оператором, а работодатель — источником незаконной передачи. Доказательство: договор с КЭДО-провайдером с разделом об обработке ПДн. Вероятный исход без договора: штраф по ч. 1 ст. 13.11 (150 000–300 000 ₽) и предписание привести договор в соответствие. Стратегия: проверить все SaaS-интеграции HR-стека и включить условие поручения в каждый договор.

Ситуация 2. Биометрия в СКУД без письменного согласия. Компания устанавливает систему контроля доступа с распознаванием лица или отпечатка пальца. По ст. 11 ФЗ-152 биометрические ПДн обрабатываются только с письменного согласия. Если работник подписал общее согласие в трудовом договоре без явного указания на биометрию — согласие ничтожно. Вероятный исход: штраф по ч. 16 ст. 13.11 (точный диапазон для юрлиц верифицировать по КонсультантПлюс). Стратегия: получить отдельное письменное согласие с указанием типа биометрического идентификатора, системы-получателя и цели — разграничение зон доступа.

Ситуация 3. Личные дела при увольнении. После прекращения трудовых отношений работодатель обязан хранить личное дело 75 лет (типовой срок для документов по личному составу). Но работник вправе потребовать уничтожения или блокирования данных, обработка которых вышла за рамки целей трудового договора. Если HR передал сведения из личного дела бывшего работника в коллекторское агентство, страховую компанию или новому работодателю без согласия — это нарушение ст. 88 ТК РФ в связке со ст. 7 ФЗ-152. Вероятный исход: штраф по ч. 1 или ч. 2 ст. 13.11 в зависимости от того, требовалось ли письменное согласие. Стратегия: закрепить в регламенте HR-процессов список допустимых получателей ПДн уволенного работника и сроки блокирования данных.

Как применяется практика судов и РКН в 2025–2026 годах

Кейс 1. Торговая компания (Уральский ФО, лето 2025) передала ПДн 320 сотрудников в банк-партнёр при смене зарплатного проекта. Согласия были получены в 2022 году в составе трудовых договоров. После жалобы двух работников РКН возбудил дело по ч. 2 ст. 13.11 КоАП. На стадии рассмотрения дела HR-директор представил доказательства того, что новые согласия уже подписаны, и приказ об обновлении шаблонов. Мировой суд назначил штраф в нижней части диапазона, приняв меры по устранению как смягчающее обстоятельство по ст. 4.2 КоАП.

Кейс 2 (из реестра практики). Принцип, неоднократно применённый мировыми судами: оператор несёт полную ответственность за утечку или незаконную передачу ПДн через подрядчика или смежный сервис, даже если фактическое нарушение допустил контрагент. Для HR это означает: передача данных в банк, аутстаффинговую компанию или КЭДО-платформу без надлежащего договора-поручения — ответственность работодателя, а не подрядчика. Доказательством добросовестности служит только письменный договор с перечнем разрешённых действий.

Важен контекст 2025 года. По данным InfoWatch (февраль 2026), в 2025 году РКН назначил шесть административных штрафов по новым нормам ст. 13.11 на общую сумму около 570 тысяч рублей. Правоприменительная практика по ФЗ-420 накапливается: суды уточняют применение смягчающих обстоятельств, в том числе по ст. 4.1.1 КоАП для субъектов малого предпринимательства. Для среднего и крупного бизнеса замена штрафа на предупреждение по этому основанию недоступна.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка кадровой документации по 38 пунктам, отчёт с планом устранений
• Комплект ОРД под ключ — согласия работников, политика, приказы, регламенты по актуальным требованиям ФЗ-156
• DPO-аутсорсинг — ответственный по ст. 22.1 ФЗ-152 на абонентском обслуживании, ответы на запросы субъектов

Частые вопросы

1. Нужно ли переподписывать согласия работников после 01.09.2025?

Согласия, полученные до 01.09.2025, переоформлять не требуется — ФЗ-156 не имеет обратной силы. Но если после 01.09.2025 вы принимаете новых работников или заключаете дополнительные соглашения — все новые согласия должны быть оформлены отдельным документом по ст. 9 ФЗ-152 в актуальной редакции. Проблема возникает, когда компания по-прежнему использует шаблон трудового договора с вшитым согласием: такие согласия уязвимы при проверке РКН.

2. Какие данные нельзя спрашивать в анкете кандидата?

По ст. 86 ТК РФ и ст. 10 ФЗ-152 работодатель не вправе запрашивать у кандидата сведения, не связанные с трудовой деятельностью: политические и религиозные взгляды, членство в профсоюзах, национальность, состояние здоровья (кроме случаев, когда это требует закон). Сведения о судимости запрашиваются только в случаях, прямо предусмотренных федеральным законодательством. Нарушение — специальные категории ПДн по ст. 10 ФЗ-152, обработка которых без основания квалифицируется по ч. 1 ст. 13.11 КоАП.

3. Можно ли вести видеонаблюдение в офисе?

Видеонаблюдение допустимо, если работодатель уведомил работников об этом до начала наблюдения по ст. 22.2 ТК РФ, включил цели обработки видеозаписей в политику обработки ПДн и зафиксировал сроки хранения видеоархива. Если система распознаёт лица — это биометрическая обработка по ст. 11 ФЗ-152, требующая письменного согласия каждого работника. Без уведомления о видеонаблюдении — нарушение ст. 5 ФЗ-152 (принцип прозрачности) и ст. 88 ТК РФ.

4. Сколько хранить согласия после увольнения?

Согласие на обработку ПДн — документ по личному составу. Типовой срок хранения — 75 лет. До истечения этого срока согласие нельзя уничтожать. Однако само хранение ПДн работника после увольнения допустимо только в объёме и на срок, необходимый для целей, указанных в согласии или в законе (налоговая отчётность, воинский учёт, архив). Избыточная обработка после увольнения нарушает ст. 5 ФЗ-152 (принцип не дольше необходимого).

5. Кто оператор при использовании КЭДО?

Работодатель остаётся оператором ПДн работников при любой схеме КЭДО. Провайдер КЭДО-платформы действует как лицо, осуществляющее обработку по поручению оператора, по п. 3 ст. 6 ФЗ-152. Это требует заключения договора-поручения с перечнем разрешённых действий с ПДн, требованиями конфиденциальности и запретом на передачу данных третьим лицам. Если такого договора нет — работодатель несёт риск штрафа по ч. 1 ст. 13.11 КоАП за незаконную передачу данных.

Итог

Передача ПДн работников в банк, КЭДО-провайдер или в любую другую организацию — не технический процесс, а юридически значимое действие, требующее трёх условий одновременно: правового основания по ст. 6 ФЗ-152, отдельного согласия по ст. 9 ФЗ-152 (с 01.09.2025) и корректного уведомления в реестре РКН по ст. 22 ФЗ-152. Отсутствие любого из трёх — самостоятельный состав нарушения. Пять шагов из этой инструкции позволяют HRD выявить проблемные точки до прихода инспектора.

Практика DATUM по сопровождению HR-подразделений в рамках 152-ФЗ охватывает проверку кадровой документации, подготовку отдельных согласий по требованиям ФЗ-156, выстраивание процесса работы с КЭДО-провайдерами и сопровождение проверок РКН в HR-департаментах.

14 января 2028 года