Псевдонимизация уволенного: правовое значение

После увольнения работника трудовые отношения прекращаются, но обязанности оператора персональных данных — нет. Оператор вправе продолжать обработку, только если есть самостоятельное правовое основание по ст. 6 ФЗ-152: исполнение требований налогового или архивного законодательства, судебное разбирательство или отдельное согласие субъекта.

Ключевое разграничение — между данными, которые обязательно хранить, и данными, срок хранения которых истёк или не предусмотрен. Первые (расчётные ведомости, трудовая книжка, личная карточка Т-2) подпадают под архивные нормы. Вторые (анкеты при приёме, копии паспорта вне обязательного перечня, биометрические снимки СКУД) подлежат уничтожению по ст. 21 ФЗ-152 после достижения цели обработки.

Псевдонимизация применима к данным первой группы: вы обязаны их хранить, но не обязаны хранить их в открытом виде. Данные второй группы подлежат уничтожению — псевдонимизация здесь не легализует продолжение хранения.

Путаница между этими понятиями — самая частая ошибка при работе с архивными кадровыми базами. Правовые последствия принципиально различны.

Псевдонимизация (ст. 3 ФЗ-152) — замена идентификаторов на псевдоним при наличии отдельного ключа, позволяющего восстановить связь. Данные остаются персональными. Оператор сохраняет все обязательства: основание по ст. 6, срок по ст. 5, меры защиты по ст. 19, ответ на запрос субъекта по ст. 20 в течение 10 рабочих дней.

Обезличивание — процедура, в результате которой определить принадлежность данных конкретному субъекту становится невозможным без несоразмерных усилий. С 01.09.2025 методы обезличивания закреплены отдельным приказом РКН (5 методов: введение идентификаторов, изменение состава или семантики, декомпозиция, перемешивание, обобщение). После корректного обезличивания данные выходят за периметр ФЗ-152.

Практический вывод: если HR-система хранит данные уволенных с заменой ФИО на числовой код, но в системе есть словарь соответствий — это псевдонимизация, а не обезличивание. Режим ФЗ-152 действует в полном объёме.

До применения псевдонимизации необходимо описать, что именно хранится, на каком основании и до какой даты. Без этого шага технические меры не дают правовой защиты.

Отдельное внимание — биометрии СКУД. Изображение лица и геометрия руки для пропускной системы относятся к биометрическим ПДн по ст. 11 ФЗ-152. Основание для их обработки — письменное согласие работника. После увольнения согласие автоматически не прекращается, но цель обработки (обеспечение пропускного режима) исчезает. Данные подлежат уничтожению, а не псевдонимизации.

Псевдонимизация оправдана для данных, которые обязательно хранить, но которые не требуются в открытом виде для регулярной работы. Типичный пример — архивные расчётные ведомости или кадровые приказы, к которым обращаются раз в несколько лет по запросу ПФР или суда.

Технически схема выглядит так: в архивной базе ФИО, СНИЛС и ИНН заменяются на числовой или буквенный псевдоним. Ключ соответствия (реальные данные — псевдоним) хранится отдельно с ограниченным доступом. Доступ к ключу фиксируется в журнале. При поступлении запроса уполномоченный сотрудник раскрывает ключ, формирует ответ и закрывает доступ.

С точки зрения ст. 9 ФЗ-152 и ФЗ-156 (действует с 01.09.2025) согласие на псевдонимизацию как отдельное действие не требуется, если обработка ведётся на ином законном основании (архивное, налоговое законодательство). Псевдонимизация — это мера защиты, а не самостоятельное основание обработки. Однако если псевдонимизированные данные передаются третьим лицам (аутсорсинговой бухгалтерии, архивному подрядчику) — необходимо поручение обработки по п. 3 ст. 6 ФЗ-152 с перечнем разрешённых действий.

КЭДО (корпоративный электронный документооборот) по ст. 22.2 ТК РФ предполагает хранение электронных трудовых документов в информационной системе работодателя. После увольнения работника доступ к его документам в системе КЭДО должен быть ограничен. Псевдонимизация учётной записи и документов — разумная мера, снижающая риск несанкционированного доступа.

Согласия работников после 01.09.2025 (ФЗ-156) оформляются как отдельный документ — не в теле трудового договора, не в приложении к нему. Для уволенных работников, чьи согласия были получены до 01.09.2025 и оформлены в составе договора, обратной силы закон не имеет: переподписывать их не требуется. Но если вы планируете новые действия с данными уволенного (например, передачу в кадровое агентство для рекомендаций) — потребуется отдельное согласие с реквизитами по ст. 9 ФЗ-152: ФИО субъекта, контакты, наименование оператора, цель, перечень данных, срок, способ отзыва.

При использовании КЭДО важно учитывать, кто является оператором: если система внешняя (SaaS-провайдер), работодатель выступает оператором, а провайдер — лицом, осуществляющим обработку по поручению. Поручение должно быть оформлено письменным договором с перечнем разрешённых действий по п. 3 ст. 6 ФЗ-152. После увольнения работника данные в системе провайдера также должны быть псевдонимизированы или уничтожены в зависимости от правового основания.

Псевдонимизация теряет смысл, если доступ к ключу не ограничен. На практике ключ должен быть доступен только лицу, ответственному за обработку ПДн по ст. 22.1 ФЗ-152, и уполномоченным сотрудникам по конкретным запросам. Каждый факт раскрытия фиксируется в журнале с указанием даты, инициатора, цели и перечня раскрытых псевдонимов.

Внутренний регламент должен описывать: кто принимает решение о раскрытии ключа, в каких случаях (запрос государственного органа, судебный запрос, обращение субъекта по ст. 20 ФЗ-152), в какой срок (по ст. 20 — 10 рабочих дней с даты обращения, с возможностью продления ещё на 5 рабочих дней при уведомлении субъекта), как фиксируется раскрытие и как после выдачи ответа доступ снова ограничивается.

Если данные уволенного хранятся в нескольких системах (1С, КЭДО, архив СКУД, корпоративная почта) — псевдонимизация и журнал раскрытия должны охватывать все системы. Фрагментарное применение создаёт ложное ощущение защиты: данные в одной системе псевдонимизированы, в другой — открыты.

Внедрение псевдонимизации — это изменение в порядке обработки ПДн, которое должно быть отражено в локальных актах. Политика обработки ПДн (ст. 18.1 ФЗ-152) должна содержать описание применяемых мер защиты, включая псевдонимизацию. Инструкция для сотрудников, имеющих доступ к персональным данным, обновляется с учётом нового порядка обращения с ключом.

Если в уведомлении в реестре операторов РКН (ст. 22 ФЗ-152) указаны меры защиты, применяемые оператором, — псевдонимизацию следует отразить при очередном обновлении сведений. Форма уведомления об изменении сведений подаётся через pd.rkn.gov.ru.

Отдельный вопрос — данные уволенных в системах, используемых совместно с другими операторами (групповые HR-платформы холдинга, кадровый аутсорсинг). Здесь важно определить, кто контролирует ключ псевдонимизации и как разграничена ответственность операторов по ст. 6 ФЗ-152.