Автор: Артем Курнев. Материал актуален на 4 августа 2026 года.
Практически любой работодатель обрабатывает персональные данные: ФИО, паспортные реквизиты, СНИЛС, ИНН, сведения о зарплате, образовании, стаже, воинском учете, больничных, отпусках, банковских реквизитах и семейных обстоятельствах.
К кадровой обработке одновременно применяются глава 14 Трудового кодекса РФ и Федеральный закон № 152-ФЗ. Это означает, что кадровая служба должна соблюдать не только правила оформления трудовых отношений, но и общие принципы обработки данных: законность, конкретность целей, минимизацию объема, ограничение сроков хранения и конфиденциальность.
Пункт 3 статьи 86 ТК РФ требует получать персональные данные непосредственно у работника. Если необходимую информацию можно получить только у третьего лица, работника нужно заранее уведомить и получить его письменное согласие.
При этом работнику сообщают цель, предполагаемый источник, способ получения данных, характер запрашиваемой информации и последствия отказа дать согласие. Поэтому скрытая проверка сведений через сторонние базы, бывших работодателей или иные источники может создавать отдельный риск.
Универсальное согласие «на все случаи» не является обязательным условием трудоустройства. Роскомнадзор прямо указывал, что обработка персональных данных работника не требует согласия, если объем данных соответствует целям трудового законодательства и не выходит за пределы необходимых сведений.
Согласие становится важным там, где у работодателя нет самостоятельного основания: получение данных у третьих лиц, передача посторонним организациям вне предусмотренных законом случаев, публикация сведений о работнике, определенные маркетинговые или корпоративные проекты.
Статья 87 ТК РФ оставляет работодателю обязанность установить порядок хранения и использования персональных данных. Статья 86 одновременно требует ознакомить работников под роспись с документами, регулирующими обработку их данных и их права.
После изменений, вступивших в силу в 2022 году, старое исключение для обработки персональных данных в соответствии с трудовым законодательством было исключено из статьи 22 Закона № 152-ФЗ. Если сведения в реестре неактуальны или уже возник запрос регулятора, см. юридическую помощь по вопросам Роскомнадзора.
Поэтому работодатель, который ведет кадровую базу, бухгалтерскую программу, электронные личные дела, корпоративные учетные системы или иным способом автоматизированно обрабатывает персональные данные работников, как правило, должен быть включен в реестр операторов Роскомнадзора.
Статья 88 ТК РФ запрещает передавать персональные данные работника третьей стороне без письменного согласия, кроме ситуаций, когда передача необходима для предотвращения угрозы жизни и здоровью либо прямо предусмотрена ТК РФ или федеральным законом.
Поэтому необходимо различать обязательные передачи и коммерческие/добровольные. Налоговая отчетность, сведения в СФР, воинский учет, законные запросы суда, прокуратуры, полиции и инспекции труда обычно не требуют отдельного согласия. Передача данных коммерческому партнеру, сервису скидок или другой внешней организации без самостоятельного основания — иной случай.
Даже когда передача законна, работодателю следует передавать только тот объем данных, который реально необходим получателю для конкретной цели.
Если персональные данные работников получает бухгалтер на аутсорсе, кадровый сервис, облачная HR-система или иной подрядчик, нужно определить его роль. Если он обрабатывает данные по поручению работодателя, договор должен соответствовать части 3 статьи 6 Закона № 152-ФЗ.
В поручении закрепляют перечень данных и операций, цели обработки, конфиденциальность, меры защиты, обязанность подтверждать соблюдение требований, порядок работы с инцидентами и удаление данных после прекращения договора.
Для зарплатного проекта, ДМС и иных сервисов нельзя автоматически исходить из того, что одна подпись под трудовым договором разрешает все передачи. Нужно проверять отдельное законное основание по конкретной операции.
Работодатель нередко получает ФИО, даты рождения и другие сведения о супруге, детях или иных членах семьи — например, для налоговых вычетов, гарантий, льгот или обязательного кадрового учета.
Роскомнадзор разъяснял: если обработка сведений о родственниках действительно необходима для выполнения работодателем обязанности по закону, самостоятельное согласие родственника может не требоваться. В иных случаях получение согласия самого родственника является обязательным.
Информация о состоянии здоровья относится к специальным категориям персональных данных. Однако статья 10 Закона № 152-ФЗ допускает ее обработку без отдельного письменного согласия, когда это осуществляется в соответствии с трудовым законодательством.
В то же время статья 88 ТК РФ ограничивает работодателя: он не должен запрашивать сведения о здоровье, кроме данных, относящихся к вопросу о возможности выполнения работником трудовой функции.
Это означает, что заключение обязательного медосмотра, сведения о противопоказаниях или документы для больничного имеют правовую цель. Полная медицинская история сотрудника, не связанная с работой, работодателю обычно не нужна.
Фотография и видеозапись работника являются персональными данными, но не всякое изображение автоматически считается биометрией. Биометрическими данные становятся, когда физиологические или биологические особенности используются оператором именно для установления личности.
Если работодатель внедряет систему распознавания лица для прохода или учета рабочего времени, он фактически использует изображение для идентификации, и режим обработки становится значительно строже. Статья 11 Закона № 152-ФЗ по общему правилу требует письменного согласия на биометрические персональные данные.
Обычное видеонаблюдение на рабочем месте нужно привязывать к законной и заранее определенной цели — безопасности, сохранности имущества или контролю трудового процесса. Работников следует заранее ознакомить с правилами и зонами наблюдения; скрытая съемка и контроль частной жизни создают высокий риск.
Публикация фотографии и биографии сотрудника на сайте — это уже не внутреннее кадровое использование, а предоставление доступа неопределенному кругу лиц.
Для такой публикации нужно учитывать правила статьи 10.1 Закона № 152-ФЗ о персональных данных, разрешенных для распространения, а также самостоятельное право гражданина на изображение по статье 152.1 ГК РФ. Практически безопасно оформлять отдельное согласие именно на публичное размещение с указанием конкретных ресурсов и перечня сведений.
Здесь практика неоднородна. В отдельных разъяснениях допускается хранение копий при наличии согласия работника. Одновременно инспекционная и судебная практика исходит из принципа минимизации: даже согласие не всегда оправдывает хранение полной копии документа, если работодателю достаточно отдельных реквизитов.
Поэтому безопасный подход — не копировать документ автоматически. Сначала определить, существует ли обязанность или реальная необходимость хранить именно изображение документа, а не зафиксировать необходимые сведения.
Увольнение не означает, что работодатель обязан немедленно удалить все персональные данные бывшего сотрудника. Значительная часть кадровых документов должна храниться по правилам архивного, трудового, налогового и бухгалтерского законодательства.
Перечень Росархива № 236 устанавливает для ряда кадровых документов длительные сроки. Например, трудовые договоры, личные карточки, личные дела и многие приказы по личному составу хранятся 50/75 лет в зависимости от даты завершения делопроизводства.
Но сведения, которые не подпадают под обязательный срок хранения и больше не нужны для заявленной цели, нельзя держать бессрочно. Работодатель должен определить сроки в локальных актах и уничтожать данные после отпадения основания.
Работодатель вправе устанавливать правила использования корпоративной информационной системы, почты и рабочих устройств для выполнения трудовых обязанностей. Но контроль должен быть связан с заранее определенными служебными целями и закреплен в локальных актах.
Чем ближе контроль к содержанию личной переписки, частным аккаунтам и личным устройствам сотрудника, тем выше риск вмешательства в частную жизнь. Поэтому технический мониторинг стоит ограничивать корпоративными ресурсами и необходимым объемом данных.
Для персональных данных российских работников действует требование локализации. При сборе запись, систематизация, накопление, хранение, уточнение и извлечение должны осуществляться с использованием баз данных на территории России, за исключением специальных законных случаев.
Поэтому иностранная HRM, облачный диск или глобальная корпоративная система требуют отдельного анализа архитектуры. Первичная российская база, трансграничная передача и постоянное хранение копии за рубежом — разные юридические операции.
Если данные передаются иностранному получателю, дополнительно применяются правила трансграничной передачи и уведомления Роскомнадзора.
Статья 89 ТК РФ дает работнику право получать полную информацию о его персональных данных и их обработке, иметь свободный бесплатный доступ к своим данным, требовать исключения или исправления неверных и неполных сведений и обжаловать неправомерные действия работодателя.
Поэтому работодателю нужен понятный внутренний порядок: куда направляется запрос, кто отвечает, как проверяется личность заявителя, из каких систем собираются сведения и кто контролирует сроки.
Кадровая база часто содержит паспортные данные, адреса, телефоны, сведения о зарплате и состоянии здоровья. Поэтому утечка может затронуть как обычные, так и специальные категории персональных данных.
Статья 21 Закона № 152-ФЗ предусматривает обязанность уведомить Роскомнадзор об инциденте: первичная информация направляется в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов.
С 30 мая 2025 года ответственность за утечки существенно усилена. Отдельные составы предусматривают многомиллионные штрафы, а при повторной крупной утечке — оборотный штраф. Для специальных и биометрических данных предусмотрены отдельные повышенные санкции.
В апелляционном определении Московского городского суда от 18 февраля 2026 года по делу № 33-5778/2026 анализировались положения статей 86–89 ТК РФ и Закона № 152-ФЗ. Суд учитывал наличие у работодателя утвержденного перечня должностей, допущенных к персональным данным, и обязательств о неразглашении.
Для работодателя это практический ориентир: доступ к кадровой информации должен быть не «у всех, кому технически удобно», а у заранее определенных лиц в объеме их служебных функций.
В определении от 5 марта 2026 года по делу № 8Г-2317/2026 суд не признал нарушением использование фотографии бывшего сотрудника на закрытом посту охраны для ограничения его доступа в помещение. Суд исходил из конкретной цели безопасности и отсутствия всеобщего распространения изображения.
Этот пример показывает, что одна и та же фотография может иметь разный режим в зависимости от цели и аудитории: внутреннее использование для безопасности — одно, публикация в интернете — другое.
Шестой кассационный суд 20 февраля 2026 года по делу № 16-417/2026 оставил в силе привлечение к ответственности за передачу персональных данных без надлежащей цели и правового основания. В запрос были включены паспортные реквизиты, копия паспорта, фотография, сведения о месте работы и иная информация, хотя цель и правовые основания раскрытия не были обоснованы.
Для HR и юридического отдела вывод простой: даже когда запрос кажется «служебным», нужно проверить полномочия получателя, цель и минимально необходимый набор сведений.
Нет. Если обработка необходима для исполнения трудового законодательства и трудового договора и объем данных соответствует этой цели, согласие не является обязательным. Но оно нужно для ряда дополнительных операций, не покрытых самостоятельным правовым основанием.
Служебный корпоративный номер и личный номер — разные ситуации. Если используется личный номер работника и передача не вытекает прямо из закона или согласованной трудовой функции, работодателю нужно оценить наличие основания и, как правило, получить согласие.
Если передача необходима для исполнения законного зарплатного механизма и оформлена надлежащим образом, она может иметь самостоятельное основание. Но нельзя автоматически расширять этот вывод на любые банковские продукты и маркетинговые предложения.
Нет. Документы, которые по закону подлежат архивному хранению, сохраняются установленный срок. Уничтожению подлежат сведения, для которых больше нет правового основания или срока хранения.
Не всегда. Ключевой критерий — используется ли изображение для установления личности. Обычная фотография в личном деле и система распознавания лица имеют разный режим.
Для российских работников действует локализация по части 5 статьи 18 Закона № 152-ФЗ. Постоянное хранение кадровой базы за рубежом для обычного работодателя создает высокий риск нарушения. Дополнительно нужно анализировать трансграничную передачу.
Персональные данные работников нельзя сводить к подписи под универсальным согласием. Правильная система строится наоборот: сначала работодатель определяет каждую цель обработки и законное основание, затем собирает только необходимые данные, ограничивает доступ, оформляет передачи и устанавливает сроки хранения.
В 2026 году основные риски работодателя — отсутствие актуального уведомления Роскомнадзора, избыточные копии документов, передача данных подрядчикам без правильного оформления, публикация сведений о сотрудниках без отдельного основания, неконтролируемые зарубежные сервисы и отсутствие готового плана на случай утечки.
По теме: персональные данные и 152-ФЗ · юрист по Роскомнадзору · трудовой юрист в Москве.
Материал носит информационный характер. Для конкретного работодателя нужно учитывать отраслевые требования, состав информационных систем, используемые HR-сервисы, категории работников и фактические маршруты передачи данных.
Артем Курнев, юрист. Аудит кадровых документов, согласий, HR-систем и обработки персональных данных работников возможен дистанционно.