ПДн волонтёров
HRD, который управляет волонтёрскими программами, нередко сталкивается с пробелом: кадровые регламенты настроены под трудовые отношения, а волонтёры оказываются в правовой серой зоне. Между тем организация собирает ФИО, паспортные данные, телефоны, иногда биометрию для СКУД и медицинские справки — то есть обрабатывает полный набор ПДн, включая специальные категории. В этой инструкции — пошаговый порядок выстраивания комплаенса по ФЗ-152 применительно к волонтёрам: от определения правового основания до хранения документов после окончания сотрудничества.
Чем волонтёр отличается от работника с точки зрения ФЗ-152?
Волонтёрство регулируется ФЗ-135 «О благотворительной деятельности» и ФЗ-ограниченно ТК РФ. Трудовые отношения отсутствуют, значит статьи 86–88 ТК РФ, которые напрямую регулируют обработку ПДн работников, к волонтёрам не применяются. Применяются нормы ФЗ-152 в полном объёме, как к любому субъекту персональных данных.
Практический вывод: правовым основанием обработки ПДн волонтёра является согласие по ст. 9 ФЗ-152, а не п. 5 ч. 1 ст. 6 ФЗ-152 (исполнение договора). Договор о добровольческой деятельности — не трудовой договор, и автоматически «включать» обработку через него нельзя.
До 01.09.2025 организации включали согласие в договор о волонтёрской деятельности. После этой даты — нарушение. Переоформить нужно все согласия, получаемые с 01.09.2025; согласия, полученные ранее, обратной силы поправки не имеют.
Шаг 1. Определите перечень данных и правовые основания
Первое, что нужно зафиксировать — какие именно ПДн вы собираете и зачем. Типовой перечень для волонтёрской программы:
- Общие ПДн: ФИО, дата рождения, контактный телефон, email, паспортные данные.
- Специальные категории (ст. 10 ФЗ-152): состояние здоровья, если организация требует медицинскую справку или допуск к отдельным видам работ.
- Биометрические ПДн (ст. 11 ФЗ-152): фотография или скан лица для пропускной системы (СКУД), если в ней используется распознавание.
- Иные сведения: место жительства, образование, опыт, экстренный контакт.
Для каждой категории данных фиксируется отдельное правовое основание. Общие ПДн — согласие по ст. 9 ФЗ-152. Специальные категории — отдельное согласие по ч. 2 ст. 10 ФЗ-152. Биометрия — письменное согласие по ч. 1 ст. 11 ФЗ-152. Совмещать эти согласия в один документ — допустимо, если каждая категория прямо выделена и субъект расписывается за каждую.
Согласия волонтёров ещё включены в договор?
Если HRD не разделил согласие и договор до 01.09.2025 — каждый новый волонтёрский набор создаёт нарушение ч. 2 ст. 13.11 КоАП с санкцией до 700 000 ₽. Срок подготовки отдельных форм согласий и актуализации ОРД — 2–3 недели. Чем позже вы начинаете, тем меньше времени до следующей проверки РКН.
Заказать аудит 152-ФЗОтветим за 2 часа · +7 (983) 510-38-76 · info@vitveteam.ru · Telegram
Шаг 2. Подготовьте формы согласий по требованиям ФЗ-156
Согласие по ст. 9 ФЗ-152 содержит обязательные реквизиты: ФИО и контактные данные субъекта, наименование и адрес оператора, цель обработки, перечень ПДн, перечень действий с ними, срок действия согласия или условие его прекращения, способ отзыва.
Типичные ошибки в согласиях для волонтёров:
- Цель — «организация волонтёрской деятельности» без детализации. РКН при проверке требует конкретные цели: учёт участников, выдача справок, безопасность на объекте.
- Отсутствует перечень третьих лиц-получателей, если данные передаются партнёрам мероприятия.
- Нет срока хранения данных после окончания программы.
- Согласие на распространение фотографий (публикация в социальных сетях, на сайте) не выделено отдельно по ст. 10.1 ФЗ-152.
Согласие на распространение — отдельный документ в любом случае. Молчание или включение в общее согласие означает запрет публикации по умолчанию.
Шаг 3. Настройте работу с биометрией в СКУД
Если на объекте проведения мероприятия установлена СКУД с распознаванием лиц, обработка биометрии волонтёров требует отдельного письменного согласия по ч. 1 ст. 11 ФЗ-152. Исключений для временных участников нет.
Обязательные условия при работе с биометрией в СКУД:
- Письменная форма согласия, даже если всё остальное собирается в электронном виде.
- Указание конкретной системы и оператора СКУД, если это подрядчик.
- Срок хранения биометрических шаблонов — не дольше срока участия в программе плюс разумный период для технического удаления.
- Порядок уничтожения шаблонов при отзыве согласия — прописан в регламенте.
Уровень защищённости ИСПДн при обработке биометрии определяется по ПП РФ №1119. При числе субъектов до 100 000 и угрозах 2-го типа — как правило УЗ-3, что требует конкретного набора организационных и технических мер по Приказу ФСТЭК №21.
Шаг 4. Определите порядок хранения и уничтожения данных
Для волонтёров специального срока хранения документов, аналогичного 75-летнему хранению личного дела работника, не установлено. Срок определяет сам оператор в локальных актах, исходя из принципа «не дольше необходимого» по ст. 5 ФЗ-152.
Рекомендуемая логика для волонтёрских программ:
- Период активного участия + срок исковой давности по возможным претензиям (3 года по ГК РФ) — для общих ПДн.
- Биометрические шаблоны — уничтожаются в течение 30 дней после окончания программы или отзыва согласия.
- Медицинские справки (специальные категории) — уничтожаются сразу после подтверждения допуска, если дальнейшее хранение не требуется по специальному закону.
Порядок уничтожения фиксируется актом. Журнал учёта уничтожения — обязательный элемент ОРД.
Если HR-директор не зафиксировал сроки хранения и порядок уничтожения ПДн волонтёров в политике и регламентах — это типичное нарушение ч. 1 ст. 13.11 КоАП (до 300 000 ₽). Юристы DATUM соберут полный пакет ОРД по вашей программе за 2–3 недели.
Собрать ОРД под ключШаг 5. Подготовьте уведомление в реестр РКН и внутренние регламенты
Если организация ранее не включена в реестр операторов ПДн или волонтёрская программа выходит за рамки заявленных целей — необходимо подать уведомление по ст. 22 ФЗ-152. Подача — через pd.rkn.gov.ru с использованием ЕСИА или УКЭП. Срок включения в реестр — до 30 дней.
Параллельно актуализируются внутренние документы:
- Политика обработки ПДн — раздел про волонтёров или отдельная политика.
- Приказ о назначении ответственного за обработку ПДн по ст. 22.1 ФЗ-152.
- Регламент реагирования на запросы субъектов: ответ — в течение 10 рабочих дней с возможностью продления на 5 рабочих дней при уведомлении субъекта (ст. 20 ФЗ-152).
- Регламент реагирования на инциденты: первичное уведомление РКН — в течение 24 часов с момента обнаружения утечки (ч. 3.1 ст. 21 ФЗ-152), отчёт — в течение 72 часов (Приказ РКН №187).
Что подготовить для волонтёрской программы
- Отдельное согласие на обработку ПДн (ст. 9 ФЗ-152 в ред. ФЗ-156): общие данные, специальные категории, биометрия — каждая группа выделена.
- Отдельное согласие на распространение (публикация фото на сайте, в соцсетях) по ст. 10.1 ФЗ-152.
- Политика обработки ПДн с разделом о волонтёрах или отдельная политика — опубликована на сайте (ст. 18.1 ФЗ-152).
- Регламент уничтожения данных: сроки, ответственное лицо, форма акта.
- Актуальное уведомление в реестре РКН, отражающее цели и категории обработки для волонтёрской программы.
Как это применяется на практике
Кейс 1. Некоммерческая организация Центрального ФО (лето 2025) проводила ежегодный волонтёрский форум. Согласия участников были включены в договор добровольческой деятельности — распространённая практика до ФЗ-156. После проверки РКН, инициированной жалобой участника, организация получила предписание и административный протокол по ч. 2 ст. 13.11 КоАП. Штраф составил несколько сотен тысяч рублей. Переоформление согласий заняло две недели, однако штраф за уже допущенное нарушение остался в силе.
Кейс 2. Крупная организация Северо-Западного ФО (осень 2024) использовала СКУД с распознаванием лиц для контроля доступа волонтёров на спортивный объект. Письменного согласия на обработку биометрии не было — исходили из устного информирования. Внеплановая проверка РКН выявила нарушение ст. 11 ФЗ-152. HR-директор инициировал подготовку отдельных письменных согласий и регламента работы с биометрическими шаблонами; параллельно юристы обжаловали размер штрафа, ссылаясь на отсутствие умысла и оперативное устранение нарушений.
Типовые ситуации: сценарии для HR-директора
Сценарий 1. Волонтёр требует удалить его данные после завершения программы. Ситуация: участник направил письменное требование об уничтожении всех ПДн. Доказательства: срок хранения в локальных актах не установлен. Вероятный исход: если данные обрабатываются без правового основания — оператор обязан уничтожить их по ст. 21 ФЗ-152. Стратегия: заранее прописать срок хранения в согласии и политике; при получении требования — исполнить в течение 7 рабочих дней и зафиксировать актом.
Сценарий 2. Организация передаёт список волонтёров партнёру мероприятия. Ситуация: партнёр — юридическое лицо, которому нужны контактные данные для координации. Доказательства: в согласии третьи лица не упомянуты. Вероятный исход: передача без правового основания — нарушение ст. 6 и ст. 9 ФЗ-152, штраф по ч. 1 ст. 13.11 КоАП до 300 000 ₽. Стратегия: включить в согласие перечень третьих лиц-получателей или оформить поручение на обработку по ст. 6 ФЗ-152.
Сценарий 3. Волонтёрский набор ведётся через сторонний digital-сервис. Ситуация: анкетирование через платформу, зарегистрированную за рубежом. Доказательства: данные хранятся на серверах вне РФ. Вероятный исход: нарушение ч. 5 ст. 18 ФЗ-152 (локализация) — штраф по ч. 8 ст. 13.11 КоАП от 1 до 6 млн ₽. Стратегия: проверить, где физически хранятся данные, и при необходимости перенести первичный сбор на российскую платформу или получить уведомление о трансграничной передаче.
Услуги DATUM по теме
- Аудит соответствия 152-ФЗ — проверка документов и процессов волонтёрской программы по чек-листу из 38 пунктов.
- Комплект ОРД под ключ — согласия, политика, регламенты, приказы для волонтёрского направления.
- DPO-аутсорсинг — ответственный за обработку ПДн по ст. 22.1 ФЗ-152 на абонентском обслуживании.
Частые вопросы
1. Нужно ли переподписывать согласия волонтёров, полученные до 01.09.2025?
Согласия, полученные до 01.09.2025, сохраняют силу — ФЗ-156 не имеет обратной силы. Переоформлять их не нужно. Однако все согласия, которые организация получает начиная с 01.09.2025, должны оформляться отдельным документом в соответствии с новыми требованиями ст. 9 ФЗ-152. Это касается и повторных наборов волонтёров, и продления сотрудничества с прежними участниками.
2. Какие данные нельзя спрашивать в анкете волонтёра?
По ст. 5 ФЗ-152 объём данных должен соответствовать целям обработки. Нельзя собирать данные, которые не нужны для организации волонтёрской деятельности: политические взгляды, религиозные убеждения, национальность, сведения об интимной жизни — всё это специальные категории по ст. 10 ФЗ-152, обработка которых по общему правилу запрещена. Исключение — только если специальные данные объективно необходимы (например, медицинские сведения для допуска к конкретным работам) и получено отдельное согласие.
3. Можно ли вести видеонаблюдение на объекте, где работают волонтёры?
Видеозапись, позволяющая идентифицировать человека, может квалифицироваться как обработка ПДн. Оператор обязан уведомить субъектов о ведении съёмки (таблички, уведомление в согласии), указать цель (безопасность объекта) и срок хранения записей. Если в системе используется распознавание лиц — это биометрия по ст. 11 ФЗ-152, требуется отдельное письменное согласие каждого волонтёра.
4. Сколько хранить согласия и данные волонтёров после завершения программы?
Специального срока хранения для волонтёрских ПДн закон не устанавливает. Оператор определяет срок самостоятельно, руководствуясь принципом «не дольше необходимого» по ст. 5 ФЗ-152. Практика: общие ПДн — срок участия плюс срок исковой давности (3 года по ГК РФ); биометрические шаблоны — не более 30 дней после окончания программы; медицинские данные — уничтожать после подтверждения допуска, если иное не требуется специальным законом.
5. Кто является оператором ПДн волонтёров при использовании КЭДО?
Если организация применяет КЭДО для документооборота с волонтёрами (регистрационные формы, соглашения), оператором ПДн остаётся сама организация. Платформа КЭДО выступает лицом, осуществляющим обработку по поручению оператора по ст. 6 ФЗ-152. Это означает обязательное оформление договора или соглашения о поручении обработки с прописанными целями, перечнем данных и требованиями конфиденциальности.
6. Что делать, если волонтёр отозвал согласие в ходе программы?
По ст. 9 ФЗ-152 субъект вправе отозвать согласие в любой момент. После получения отзыва оператор обязан прекратить обработку и уничтожить данные, если нет иного правового основания для их хранения. Уничтожение — в разумный срок, который фиксируется в регламенте (как правило, не более 30 дней). Факт уничтожения подтверждается актом. Если отзыв согласия делает дальнейшее участие волонтёра невозможным — это отдельный организационный вопрос, не связанный с обязательством оператора по ФЗ-152.
Итог
Волонтёрская программа — полноценная деятельность по обработке ПДн, требующая того же комплаенса, что и работа со штатным персоналом. Ключевые точки риска: форма согласия (отдельный документ с 01.09.2025), биометрия в СКУД (письменное согласие по ст. 11 ФЗ-152), передача данных партнёрам без правового основания, отсутствие сроков хранения в локальных актах.
Практика DATUM по ПДн в HR охватывает полный цикл волонтёрских программ: от разработки форм согласий под требования ФЗ-156 до сопровождения проверок РКН и защиты в арбитраже при штрафах по ст. 13.11 КоАП.
Волонтёрская программа стартует без комплаенса по ФЗ-152?
Юристы DATUM проведут аудит соответствия, подготовят пакет согласий и ОРД под требования ФЗ-156. Практика «Ветров и партнёры» по 152-ФЗ с 2014 года. +7 (383) 310-38-76 · +7 (983) 510-38-76 · info@vitveteam.ru · Telegram
Заказать аудит 152-ФЗПрактика «Ветров и партнёры» по 152-ФЗ с 2014 года
3 июня 2026 года