Согласие на участие в корпоративных СМИ

Корпоративные СМИ — газеты, видеоканалы, подкасты, Telegram-каналы компании — регулярно используют фотографии сотрудников, их цитаты, биографии и данные о должностях. Всё это персональные данные по ст. 3 ФЗ-152. После вступления в силу ФЗ-156 от 24.06.2025 согласие работника на такую обработку обязано быть отдельным документом с обязательными реквизитами. HR-директору важно понимать: что именно нужно зафиксировать в согласии, как оформить его через КЭДО и что делать с материалами, которые уже опубликованы.

Шаг 1. Определите, какие данные работника попадают в корпоративные СМИ

Корпоративное СМИ обрабатывает персональные данные в момент публикации. К ним относятся: имя и фамилия, должность, фотография, голос, видеоизображение, цитаты с идентифицирующей информацией, место работы и подразделение. Если работник назван по имени в публикации и при этом указана его должность — это персональные данные, даже если запись сделана на общем корпоративном мероприятии.

Биометрические персональные данные — отдельная категория по ст. 11 ФЗ-152. Фотография или видеоизображение квалифицируются как биометрические, когда они используются именно для идентификации личности. В корпоративных СМИ такая цель обычно отсутствует: публикация носит информационный, а не идентификационный характер. Тем не менее согласие на публикацию фото необходимо — как на обработку общих персональных данных по ст. 9 ФЗ-152.

Первым шагом проведите инвентаризацию: составьте перечень всех форматов корпоративных СМИ и типов данных, которые используются в каждом. Это станет основой для перечня ПДн в согласии.

Шаг 2. Оформите согласие как отдельный документ с обязательными реквизитами

С 01.09.2025 согласие работника на обработку персональных данных в корпоративных СМИ должно содержать все реквизиты, установленные ч. 4 ст. 9 ФЗ-152. Отсутствие хотя бы одного из них делает согласие ненадлежащим — что равносильно его отсутствию.

Не включайте согласие в текст трудового договора, должностной инструкции или анкеты при приёме. После 01.09.2025 такие документы не заменяют отдельного согласия. Ранее полученные согласия, встроенные в трудовой договор, формально действительны для обработки, начатой до 01.09.2025, — ФЗ-156 обратной силы не имеет. Однако при продолжении публикаций после этой даты рекомендуется переоформить.

Шаг 3. Разграничьте согласие на распространение по ст. 10.1 ФЗ-152

Публикация данных работника в корпоративном СМИ — это распространение персональных данных неограниченному кругу лиц. Такое действие требует отдельного согласия по ст. 10.1 ФЗ-152, даже если общее согласие на обработку уже получено. Норма применяется, когда СМИ распространяется за пределами компании: корпоративный сайт, открытый YouTube-канал, публичный Telegram.

Внутренние закрытые каналы — корпоративный интранет, закрытая группа в мессенджере только для сотрудников — под ст. 10.1 формально не подпадают, так как круг получателей ограничен. Однако риск переквалификации есть: если к интранету имеют доступ подрядчики или бывшие сотрудники — это уже распространение. Безопаснее получить согласие по ст. 10.1 на все форматы.

В согласии по ст. 10.1 зафиксируйте: какие конкретные данные разрешено распространять, а какие — нет. По умолчанию (если запрет не указан) оператор вправе распространять данные только в заявленных целях. Работник может запретить распространение отдельных категорий данных — это его право по ч. 2 ст. 10.1.

Шаг 4. Оформите согласие через КЭДО или на бумаге

Согласие по ст. 9 ФЗ-152 может быть получено в письменной форме на бумаге или в электронном виде через систему кадрового электронного документооборота (КЭДО). При использовании КЭДО применяется усиленная квалифицированная электронная подпись (УКЭП) или усиленная неквалифицированная (УНЭП) при соблюдении требований ст. 22.2 ТК РФ.

Оператором персональных данных при использовании КЭДО является работодатель, а не провайдер системы. Если КЭДО-платформа хранит согласия на серверах за рубежом, это квалифицируется как трансграничная передача и требует уведомления РКН по ст. 12 ФЗ-152. Убедитесь, что данные работников в КЭДО хранятся на российских серверах согласно ч. 5 ст. 18 ФЗ-152.

Важно: согласие на переход к КЭДО и согласие на обработку ПДн в корпоративных СМИ — два разных документа с разными основаниями. Не объединяйте их в одном файле.

Шаг 5. Выстройте процедуру отзыва согласия и уничтожения данных

Работник вправе отозвать согласие в любой момент, в том числе после увольнения. После получения отзыва оператор обязан прекратить обработку и уничтожить данные в течение 30 дней, если иное не предусмотрено законом (ч. 5 ст. 21 ФЗ-152). Для корпоративных СМИ это означает: удаление фотографий и видеозаписей с работником из всех доступных архивов, сайта, YouTube-канала и Telegram.

Практически процедура отзыва должна быть описана в локальном нормативном акте: кому подаётся заявление, в какой форме, в какой срок HR-служба обязана уведомить редакцию СМИ, кто отвечает за фактическое удаление. Без прописанной процедуры отзыв фактически не работает — и это будет установлено при проверке РКН.

Для уволенных работников срок хранения согласия — не менее 3 лет с момента прекращения обработки, как минимальный срок исковой давности. Личное дело хранится 75 лет согласно ст. 22.1 ФЗ-125, но согласие на корпоративные СМИ не является частью личного дела — для него действует общий срок.

Как это работает на практике: типовые ситуации для HR-директора

Ситуация 1. Корпоративный журнал выходит с 2019 года, новых согласий нет. Компания (Приволжский ФО, лето 2026) продолжала публиковать фотографии сотрудников в корпоративном журнале без отдельных согласий. После жалобы уволенного работника РКН возбудил дело по ч. 2 ст. 13.11 КоАП. HR-директор не смог предъявить отдельное согласие — оно было включено в трудовой договор образца 2019 года. Штраф составил сотни тысяч рублей. Стратегия: при продолжении публикаций после 01.09.2025 получить от каждого работника новое отдельное согласие независимо от даты найма.

Ситуация 2. Видеоролик с корпоратива опубликован на открытом YouTube-канале без согласия. Работник (Центральный ФО, осень 2026) узнал об этом из уведомления от коллеги. Обратился с требованием к работодателю об уничтожении данных по ст. 21 ФЗ-152. Срок ответа — 10 рабочих дней по ст. 20 ФЗ-152. Компания не успела удалить ролик в срок, поскольку не было внутреннего регламента. Получила протокол по ч. 5 ст. 13.11. Стратегия: утвердить регламент реагирования на запросы субъектов со сроками и ответственными лицами.

Ситуация 3. КЭДО-платформа хранит согласия на зарубежном сервере. IT-компания (Северо-Западный ФО, начало 2027) использовала КЭДО-провайдера с серверами в Германии. Оказалось, что согласия работников, включая согласия на участие в корпоративных СМИ, хранились за рубежом. РКН квалифицировал это как нарушение ч. 5 ст. 18 ФЗ-152 (локализация). Штраф по ч. 8 ст. 13.11 — от 1 млн до 6 млн ₽. Стратегия: при выборе КЭДО-провайдера проверить локализацию серверов и наличие сертификата ФСТЭК.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка согласий работников и ОРД HR-департамента.
• Комплект ОРД под ключ — подготовка согласий, политик и регламентов для кадрового блока.
• DPO-аутсорсинг — сопровождение функции ответственного по ст. 22.1 ФЗ-152 на абонентской основе.

Частые вопросы

1. Нужно ли переподписывать согласия работников после 01.09.2025?

Согласия, полученные до 01.09.2025 и оформленные как отдельный документ с полными реквизитами по ч. 4 ст. 9 ФЗ-152, сохраняют силу — ФЗ-156 не имеет обратной силы. Переподписывать нужно только те согласия, которые были встроены в трудовой договор, оферту, должностную инструкцию или иной документ: они не отвечают требованию отдельности с 01.09.2025. Для публикаций в корпоративных СМИ после этой даты рекомендуется получить новые согласия у всех действующих работников, чьи данные используются.

2. Какие данные нельзя спрашивать в анкете при приёме на работу?

Ст. 86 ТК РФ запрещает работодателю получать и обрабатывать персональные данные о политических, религиозных и иных убеждениях работника, его членстве в общественных объединениях, кроме случаев, предусмотренных федеральным законом. Ст. 87 ТК РФ обязывает хранить такие данные в личном деле строго ограниченным кругом лиц. Согласно ст. 10 ФЗ-152, данные о здоровье, национальной принадлежности, судимости относятся к специальным категориям — их обработка допустима только при наличии исключений из п. 2 ст. 10. В анкету включайте только данные, необходимые для исполнения трудовых обязанностей.

3. Можно ли вести видеонаблюдение в офисе без согласия сотрудников?

Работодатель вправе вести видеонаблюдение в служебных помещениях в целях обеспечения безопасности и контроля рабочего процесса без отдельного согласия — на основании законного интереса (п. 7 ч. 1 ст. 6 ФЗ-152) при наличии соответствующего локального акта. Однако работники должны быть уведомлены о факте видеонаблюдения заранее (ст. 86 ТК РФ). Если записи с видеонаблюдения используются в корпоративных СМИ — это отдельная цель, требующая отдельного согласия по ст. 9 ФЗ-152.

4. Сколько хранить согласия после увольнения работника?

Согласие на участие в корпоративных СМИ не является документом личного дела. Личное дело хранится 75 лет по ст. 22.1 ФЗ-125. Само согласие следует хранить не менее 3 лет с момента прекращения обработки (общий срок исковой давности по ГК РФ) — для возможности подтвердить его наличие при возможном споре. Если работодатель продолжает хранить опубликованные материалы с данными уволенного — срок хранения согласия совпадает со сроком хранения материалов.

5. Кто является оператором при использовании КЭДО?

Оператором персональных данных при использовании КЭДО является работодатель. Провайдер КЭДО-платформы действует как лицо, осуществляющее обработку по поручению оператора (ч. 3 ст. 6 ФЗ-152). С ним должен быть заключён договор поручения с условиями о конфиденциальности, перечне действий с ПДн и обязанности уничтожить данные при расторжении. Ответственность перед субъектом и РКН остаётся на работодателе.

6. Что делать, если работник отозвал согласие, а материал уже опубликован?

После отзыва согласия оператор обязан прекратить распространение персональных данных и принять меры по удалению опубликованных материалов (ч. 5 ст. 21 ФЗ-152) в течение 30 дней. Это означает удаление публикации с сайта, с YouTube-канала, из архива корпоративного журнала в открытом доступе. Если материал распространён через третьих лиц — направить им требование об удалении. Факт обращения, принятые меры и сроки их исполнения зафиксировать документально.

Итог

Согласие на участие работника в корпоративных СМИ — отдельный документ с семью обязательными реквизитами по ч. 4 ст. 9 ФЗ-152 в редакции ФЗ-156. Публичное распространение данных дополнительно требует согласия по ст. 10.1. Процедура отзыва, срок ответа на запрос субъекта (10 рабочих дней по ст. 20 ФЗ-152) и хранение согласий после увольнения должны быть прописаны в локальном нормативном акте.

Практика DATUM по сопровождению HR-департаментов в части 152-ФЗ включает разработку согласий, ОРД для кадрового блока и подготовку к проверкам РКН с 2014 года.

21 апреля 2027 года