Политика обработки ПДн работников: ст. 87 ТК + 152-ФЗ

Ст. 87 ТК РФ обязывает работодателя установить порядок хранения и использования персональных данных работников в локальном нормативном акте. Ст. 18.1 ФЗ-152 требует, чтобы оператор принял и опубликовал политику обработки персональных данных с конкретным перечнем сведений, предусмотренных ч. 2 той же статьи. Эти два требования закрываются одним документом — политикой обработки ПДн работников.

Помимо политики, полный ОРД-пакет по HR-направлению включает:

Ч. 2 ст. 18.1 ФЗ-152 содержит закрытый перечень сведений, которые должны быть в политике. Их отсутствие — самостоятельное основание для протокола по ч. 3 ст. 13.11 КоАП (штраф для юрлица 30 000–60 000 ₽). Проверяйте каждый пункт при составлении и при последующем аудите.

Обязательные разделы политики обработки ПДн работников:

• Общие положения. Наименование и реквизиты оператора, ссылка на ст. 87 ТК РФ и ст. 18.1 ФЗ-152 как правовых оснований.
• Цели обработки. Конкретные цели в разрезе категорий работников: оформление трудовых отношений, расчёт и выплата заработной платы, воинский учёт, обеспечение безопасности, обработка через КЭДО. Ст. 5 ФЗ-152 запрещает объединять несовместимые цели в одной базе.
• Правовые основания обработки. Перечень оснований по ст. 6, ст. 9, ст. 10 ФЗ-152 для каждой цели: исполнение трудового договора, согласие, выполнение требований законодательства (НК РФ, ФЗ-255, ФЗ-326 и др.).
• Перечень обрабатываемых ПДн. По категориям работников: соискатели, действующие работники, бывшие работники. Для специальных категорий (состояние здоровья, профзаболевания) — отдельное указание со ссылкой на ст. 10 ФЗ-152.
• Порядок и условия обработки. Способы: автоматизированная (1С: ЗУП, кадровая система), неавтоматизированная (бумажные личные дела), смешанная. Трансграничная передача — если есть.
• Права субъектов ПДн. Порядок реализации прав по ст. 14–21 ФЗ-152: запрос информации, уточнение, блокирование, уничтожение. Срок ответа — 10 рабочих дней с возможностью продления ещё на 5 рабочих дней при уведомлении субъекта (ст. 20 ФЗ-152).
• Сроки обработки и хранения. Личное дело — 75 лет (типовой срок); зарплатные документы — по налоговому и бухгалтерскому законодательству; данные соискателей, не принятых на работу, — не более 3 лет без согласия.
• Меры защиты. Организационные и технические меры по ст. 19 ФЗ-152, уровень защищённости по ПП РФ №1119, Приказ ФСТЭК №21.

С 01.09.2025 вступили в силу изменения в ч. 1 ст. 9 ФЗ-152, введённые ФЗ-156 от 24.06.2025: согласие на обработку персональных данных оформляется отдельным документом. Его нельзя включать в трудовой договор, правила внутреннего трудового распорядка, должностную инструкцию или любой другой документ.

Ранее полученные согласия, включённые в трудовые договоры, переоформлять в обязательном порядке не требуется — закон обратной силы не имеет. Но для всех новых приёмов с 01.09.2025, а также при изменении целей или состава обрабатываемых данных согласие оформляется отдельным документом со всеми обязательными реквизитами по ст. 9 ФЗ-152.

Обязательные реквизиты согласия работника:

• Фамилия, имя, отчество субъекта ПДн
• Контактные данные субъекта
• Наименование и адрес оператора
• Цель обработки персональных данных
• Перечень персональных данных, на обработку которых даётся согласие
• Перечень действий с ПДн и описание способов обработки
• Срок действия согласия или условие его прекращения
• Порядок отзыва согласия

Нарушение требований к составу согласия или его объединение с другими документами после 01.09.2025 — состав по ч. 2 ст. 13.11 КоАП. Штраф для юрлица — 300 000–700 000 ₽ за каждый выявленный факт. При повторном нарушении — ч. 2.1, штраф 1 000 000–1 500 000 ₽.

Ст. 22.1 ФЗ-152 обязывает оператора-юрлицо назначить лицо, ответственное за организацию обработки персональных данных. Это не должность, а функция: её можно возложить на штатного юриста, HR-директора или передать на аутсорсинг.

Назначение оформляется приказом руководителя. В приказе указываются: ФИО и должность ответственного, перечень его функций со ссылкой на ст. 22.1 ФЗ-152, дата вступления в должность. Ответственный обязан знать требования ФЗ-152, подзаконных актов РКН, внутренних документов оператора.

Ч. 4 ст. 22.1 ФЗ-152 содержит требования к квалификации ответственного: он не должен иметь неснятой или непогашенной судимости за преступления против конституционных прав граждан или в сфере компьютерной информации.

Отсутствие приказа о назначении ответственного — нарушение ст. 18.1 ФЗ-152, которое фиксируется при плановой и внеплановой проверке РКН. При DPO-аутсорсинге функция ответственного передаётся сторонней организации по договору, а в приказе указывается наименование аутсорсера.

До начала обработки персональных данных работников оператор обязан направить уведомление в Роскомнадзор по ст. 22 ФЗ-152. Исключения из обязанности уведомления перечислены в ч. 2 ст. 22 ФЗ-152 — для большинства работодателей они не применимы, поскольку обработка ПДн работников с использованием автоматизированных систем не подпадает под исключения.

Уведомление подаётся через портал pd.rkn.gov.ru с использованием ЕСИА или УКЭП. Форма уведомления утверждена Приказом РКН №180 от 28.10.2022. После подачи оператор включается в реестр операторов ПДн в течение 30 дней. При изменении сведений — подаётся уведомление об изменении; при прекращении обработки — уведомление о прекращении.

Неуведомление или несвоевременное уведомление РКН о намерении осуществлять обработку ПДн — состав по ч. 10 ст. 13.11 КоАП. Штраф для юрлица — 100 000–300 000 ₽. При этом уведомление не заменяет собой политику и ОРД-пакет: РКН проверяет оба блока документов независимо.

Политика обработки ПДн должна быть опубликована так, чтобы любой субъект мог с ней ознакомиться без ограничений. Для работодателя это означает: размещение на сайте компании в разделе, доступном без авторизации; размещение на информационных стендах в офисах; ознакомление каждого работника под роспись при приёме на работу.

Политика должна обновляться при каждом изменении, влекущем изменение фактического порядка обработки: смена информационных систем, новые категории субъектов, новые цели, изменение сроков хранения, появление трансграничной передачи. Рекомендуемая периодичность плановой проверки актуальности — не реже одного раза в год.

Актуальность проверяется по следующим контрольным точкам:

• Соответствие перечня информационных систем в политике фактически используемым системам
• Актуальность правовых оснований с учётом ФЗ-156 (согласие-отдельный документ с 01.09.2025)
• Наличие сведений о ФЗ-420 и новых составах ст. 13.11 КоАП в разделе об ответственности
• Корректность указания ответственного по ст. 22.1 ФЗ-152 (актуальные ФИО и должность)
• Соответствие сроков хранения действующим срокам по приказам Росархива