ПДн стажёров и практикантов

С 01.09.2025 требования к согласию на обработку персональных данных ужесточились: документ должен быть отдельным, не объединённым с договором, офертой или политикой. Для HR-департаментов это означает ревизию не только трудовых договоров штатных сотрудников, но и всей документации по стажёрам и практикантам — категории, которую нередко обрабатывают по устаревшим шаблонам. Ниже — пошаговый порядок: от приёма документов до уничтожения ПДн после окончания стажировки.

Шаг 1. Определите правовой статус стажёра и основание обработки его ПДн

Стажёры и практиканты делятся на две группы, и от группы зависит правовое основание обработки персональных данных.

Группа 1 — практикант по договору с образовательной организацией. Проходит практику на основании договора между учебным заведением и работодателем по ст. 13, 14 ФЗ «Об образовании» № 273-ФЗ. Трудовой договор с ним не заключается. Правовое основание обработки ПДн — согласие по ст. 9 ФЗ-152, поскольку иные основания ст. 6 ФЗ-152 (в том числе исполнение договора) здесь не применяются напрямую к физическому лицу.

Группа 2 — стажёр по срочному трудовому договору. Принят по ст. 59 ТК РФ. На него распространяются ст. 86–88 ТК РФ и весь пакет ОРД для работников. Согласие также требуется — отдельным документом, отдельно от договора.

Практическое следствие: для практикантов группы 1 согласие — единственное законное основание. Его отсутствие или встроенность в типовой бланк приёма-сдачи практики образует состав ч. 2 ст. 13.11 КоАП — штраф для юрлица 300 000–700 000 ₽.

Шаг 2. Составьте отдельное согласие с обязательными реквизитами по ст. 9 ФЗ-152

С 01.09.2025 согласие на обработку ПДн не может быть частью другого документа. Это требование введено ФЗ-156 от 24.06.2025 и распространяется на все новые согласия — ранее подписанные переоформлять принудительно не нужно, если они соответствовали действовавшим на тот момент требованиям.

Обязательные реквизиты согласия по ст. 9 ФЗ-152:

• фамилия, имя, отчество субъекта и его контактные данные;
• полное наименование и адрес оператора;
• цель обработки — конкретная, а не общая («для оформления практики», «для учёта стажёров», а не «для деятельности организации»);
• перечень обрабатываемых ПДн — с указанием каждой категории (ФИО, дата рождения, паспортные данные, контакты, сведения об образовании);
• перечень действий с ПДн (сбор, хранение, использование, передача — каждое действие отдельно);
• срок действия согласия или условие прекращения;
• порядок отзыва согласия.

Если компания передаёт ПДн практиканта третьим лицам — например, в кадровое агентство, которое ведёт учёт практикантов, или в систему КЭДО сторонней платформы — в согласии указываются эти получатели или категории получателей.

Шаг 3. Определите состав ПДн, которые вправе запросить у стажёра

Ст. 86 ТК РФ ограничивает круг данных работника, которые работодатель вправе обрабатывать, — только те, что необходимы для трудовых отношений. Для практиканта по договору с вузом действует тот же принцип соответствия объёма ПДн целям обработки (ст. 5 ФЗ-152).

Допустимо запрашивать:

• паспортные данные для оформления пропуска и документов практики;
• данные полиса ОМС — при необходимости медицинского сопровождения;
• контактные данные (телефон, email);
• сведения об образовательной организации, курсе, направлении подготовки;
• ИНН и СНИЛС — только при оформлении стажёра по трудовому договору.

Недопустимо без специального основания:

• сведения о состоянии здоровья, если должность не предполагает медосмотра;
• политические взгляды, религиозная принадлежность;
• данные о судимости — кроме должностей с законодательным ограничением;
• семейное положение и данные о родственниках — без согласия и цели.

Сбор избыточных данных нарушает принцип минимизации по ст. 5 ФЗ-152 и создаёт основание для штрафа по ч. 1 ст. 13.11 КоАП (150 000–300 000 ₽).

Шаг 4. Настройте КЭДО и определите оператора при электронном документообороте

Если компания использует КЭДО для оформления практикантов — необходимо урегулировать вопрос об операторе ПДн. Статус оператора несёт тот, кто самостоятельно определяет цели и способы обработки. Если платформа КЭДО — сторонняя (например, облачный сервис), то компания является оператором, а платформа — лицом, осуществляющим обработку по поручению оператора (ст. 6 ФЗ-152).

Для корректного оформления потребуется:

• договор поручения обработки ПДн с провайдером КЭДО с обязательными условиями по ст. 6 ФЗ-152 (перечень действий, цели, конфиденциальность, уничтожение);
• отражение платформы КЭДО в политике конфиденциальности как получателя ПДн;
• указание КЭДО-платформы в согласии практиканта, если его данные туда передаются.

Проверьте уведомление в реестре РКН: если КЭДО добавляет новую цель или новый способ обработки — уведомление подлежит обновлению (ст. 22 ФЗ-152, форма по Приказу РКН № 180).

Шаг 5. Урегулируйте биометрию СКУД и видеонаблюдение

Если для прохода на объект используется биометрия (отпечаток пальца, распознавание лица), то обработка биометрических ПДн практиканта требует письменного согласия по ст. 11 ФЗ-152. Это отдельный документ — он не включается в общее согласие на обработку ПДн.

Согласие на биометрию должно содержать: перечень биометрических данных, цель (идентификация для прохода), указание оператора СКУД, срок хранения шаблона, порядок уничтожения при прекращении доступа.

Видеонаблюдение в офисе — отдельный вопрос. Запись видео с работниками и практикантами образует обработку ПДн при наличии возможности идентификации. Роскомнадзор квалифицирует изображение лица как биометрические данные в контексте СКУД; при общем видеонаблюдении без идентификации — позиция неоднозначна. Практика: компании информируют сотрудников и стажёров о видеонаблюдении через локальный нормативный акт (ЛНА) и условие в согласии.

Обработка биометрии без письменного согласия образует состав ч. 2 ст. 13.11 КоАП (300 000–700 000 ₽). Повторное нарушение — ч. 2.1 той же статьи (1 000 000–1 500 000 ₽).

Как это выглядит на практике: два сценария для HR-директора

Сценарий 1. Практика оформлена через договор с вузом, согласие встроено в анкету практиканта. Ситуация: HR заставляет практиканта подписать анкету, в нижней части которой — абзац «Подписывая настоящую анкету, я даю согласие на обработку персональных данных». Доказательства нарушения: единый документ, нет перечня действий, нет срока. Вероятный исход при проверке РКН: протокол по ч. 2 ст. 13.11, штраф 300 000–700 000 ₽. Стратегия: разработать отдельный бланк согласия со всеми реквизитами ст. 9 ФЗ-152; анкету оставить как информационный документ без правовых последствий.

Сценарий 2. Стажёр по срочному трудовому договору проходит доступ через СКУД по отпечатку пальца, согласие на биометрию не получено. Ситуация: служба безопасности зарегистрировала шаблон при первом проходе без отдельного письменного согласия. Доказательства нарушения: отсутствие документа на бумажном носителе или в КЭДО с усиленной КЭП. Вероятный исход: протокол по ч. 2 ст. 13.11 (до 700 000 ₽) или ч. 16 (биометрия, диапазон уточняется). Стратегия: до регистрации шаблона — подписать отдельное согласие на биометрию; при прекращении стажировки — уничтожить шаблон и зафиксировать это актом.

Сколько хранить ПДн стажёра и когда их уничтожить?

Срок хранения определяется целью обработки и нормативными требованиями. После окончания практики без заключения трудового договора цель обработки считается достигнутой. По ст. 5 ФЗ-152 оператор обязан уничтожить или обезличить данные, как только они перестали быть нужны для цели, ради которой собирались.

Для практикантов, не оформленных по трудовому договору, обязанности хранить личное дело 75 лет нет — это требование ст. 22.1 Федерального закона № 125-ФЗ распространяется на документы по личному составу работников. Рекомендуемый срок хранения документов практики — срок исковой давности по ГК РФ (3 года) или в соответствии с номенклатурой дел организации.

Для стажёров по срочному трудовому договору применяется стандартный режим: личное дело хранится 75 лет (если принят на работу после 2003 года). После истечения срока — уничтожение с составлением акта.

Биометрические шаблоны СКУД уничтожаются в день прекращения доступа. Хранение шаблона после окончания стажировки — нарушение ст. 11 ФЗ-152 и принципа минимизации ст. 5 ФЗ-152.

Важно: согласие как документ хранится в течение всего срока обработки плюс срок, необходимый для подтверждения правомерности обработки. Рекомендуется хранить согласие не менее 3 лет после уничтожения самих ПДн — на случай жалобы субъекта или проверки РКН.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка всей документации HR по чек-листу из 38 пунктов
• Комплект ОРД под ключ — пакет согласий, политики, регламентов для HR
• DPO-аутсорсинг — ответственный по ст. 22.1 ФЗ-152 на абонентском обслуживании

Частые вопросы

1. Нужно ли переподписывать согласия работников после 01.09.2025?

Согласия, подписанные до 01.09.2025, сохраняют силу, если соответствовали требованиям, действовавшим на момент подписания. Переоформление не требуется принудительно. Однако все новые согласия — включая согласия новых практикантов и стажёров после 01.09.2025 — обязаны быть отдельным документом по требованию ст. 9 ФЗ-152 в редакции ФЗ-156 от 24.06.2025. Старые формы для новых субъектов недостаточны.

2. Какие данные нельзя спрашивать в анкете у практиканта?

Без специального основания нельзя запрашивать: состояние здоровья (кроме случаев обязательного медосмотра), политические и религиозные взгляды, данные о судимости (кроме должностей с законодательным ограничением), сведения о членах семьи. Сбор таких данных нарушает принцип минимизации по ст. 5 ФЗ-152 и ограничения ст. 86 ТК РФ. При проверке РКН это основание для штрафа по ч. 1 ст. 13.11 КоАП (150 000–300 000 ₽).

3. Можно ли вести видеонаблюдение в офисе без согласия стажёра?

Позиция неоднозначна. Обычное видеонаблюдение без функции биометрической идентификации большинство судов не квалифицирует как обработку биометрических ПДн, если цель — охрана имущества и безопасность. Достаточно уведомить сотрудника и практиканта через локальный нормативный акт и условие в согласии на обработку ПДн. Если камера подключена к СКУД с распознаванием лица — требуется письменное согласие на биометрию по ст. 11 ФЗ-152.

4. Сколько хранить согласия после окончания практики?

Согласие хранится в течение всего срока обработки ПДн. После уничтожения самих ПДн практиканта согласие рекомендуется хранить не менее 3 лет — на случай жалобы субъекта или проверки РКН. Это подтверждает правомерность обработки на момент её осуществления. Биометрические шаблоны СКУД уничтожаются в день прекращения доступа практиканта.

5. Кто является оператором при использовании КЭДО для практикантов?

Оператором является компания-работодатель, которая определяет цели и способы обработки. Провайдер КЭДО — лицо, осуществляющее обработку по поручению оператора по ст. 6 ч. 3 ФЗ-152. Это требует заключения договора поручения с перечнем допустимых действий, условием конфиденциальности и обязанностью уничтожить ПДн по истечении поручения. Без такого договора передача данных в КЭДО-платформу незаконна.

6. Что делать, если практикант отозвал согласие в середине стажировки?

По ст. 9 ФЗ-152 субъект вправе отозвать согласие в любое время. Оператор обязан прекратить обработку и уничтожить ПДн в разумный срок — если нет иного законного основания для продолжения обработки (например, исполнение обязанностей по закону). При отзыве согласия практикантом по договору с вузом дальнейшее ведение личного дела становится невозможным, что фактически означает прекращение практики. Уведомьте образовательную организацию.

Итог

ПДн стажёров и практикантов — отдельный контур обработки внутри HR: статус субъекта, правовое основание, состав данных и сроки хранения отличаются от режима штатных работников. С 01.09.2025 согласие обязательно оформляется отдельным документом — это требование распространяется на все новые согласия, включая согласия практикантов. Биометрия СКУД, КЭДО и уничтожение данных после окончания стажировки — три зоны повышенного риска, где нарушения выявляются при проверках РКН чаще всего.

Юристы DATUM сопровождают HR-департаменты среднего и крупного бизнеса по всему комплексу вопросов 152-ФЗ: от разработки согласий и ОРД до представления интересов при проверках Роскомнадзора.

21 января 2029 года