Нужно ли согласие сотрудника на обработку персональных данных?

На базовую обработку (ФИО, паспортные данные, СНИЛС, зарплата) — нет, если она нужна для заключения и исполнения трудового договора: это отдельное основание по п. 2 ч. 1 ст. 6 152-ФЗ. Отдельное письменное согласие требуется на всё, что выходит за рамки трудового договора: фото на сайт, передачу данных в банк или ДМС, публикацию в открытых источниках.

Можно ли передавать данные сотрудника в банк и ДМС?

Для зарплатного проекта и ДМС нужно письменное согласие работника на передачу его данных третьему лицу — банку или страховой компании — по ст. 88 ТК РФ. Исключение — случаи, когда передача прямо предусмотрена законом, например перечисление НДФЛ и взносов в налоговую и фонды: тут отдельное согласие не требуется.

Сколько хранить документы уволенного сотрудника?

Для личных дел и большинства кадровых документов, оформленных после 2003 года, срок хранения — 50 лет по 43-ФЗ. Документы, созданные до 2003 года, хранят 75 лет. Отдельные виды (например, документы о несчастных случаях на производстве) имеют свои, более длительные сроки — их лучше сверять по действующему перечню Росархива.

Нужно ли согласие на фото сотрудника на сайте?

Да. Фото — персональные данные, а публикация на сайте компании выходит за рамки исполнения трудового договора, поэтому нужно отдельное письменное согласие. Дополнительно действует ст. 152.1 ГК РФ об охране изображения гражданина — без согласия нельзя обнародовать и использовать чужую фотографию, даже если человек работает в компании.

Персональные данные сотрудников: как оформить обработку в кадрах

Кадровая служба обрабатывает персональные данные буквально с первого дня знакомства с кандидатом — паспорт при трудоустройстве, СНИЛС, зарплатная ведомость, больничные, характеристики. Формально это обработка персональных данных в смысле 152-ФЗ, и к ней применяются общие правила закона. Но у трудовых отношений есть своя специфика — глава 14 Трудового кодекса РФ (статьи 85–90), которая работает параллельно со 152-ФЗ и местами меняет логику согласий.

Разберём, когда кадровику нужно отдельное согласие сотрудника, а когда достаточно трудового договора, как оформлять передачу данных в банк и ДМС, и сколько хранить личные дела после увольнения.

Работодатель — тоже оператор персональных данных

С точки зрения закона любая компания, которая нанимает сотрудников, — оператор персональных данных: она определяет цели и способы обработки данных субъекта — работника. На неё распространяются все обязанности оператора: назначить ответственного за организацию обработки, принять локальный акт, обеспечить конфиденциальность и, если данные обрабатываются не только по трудовым основаниям, — подать уведомление в Роскомнадзор.

Отдельного «кадрового» реестра или льготного режима для трудовых данных закон не предусматривает. Единственная реальная поблажка — статья 6 152-ФЗ разрешает обрабатывать данные без согласия, если это нужно для заключения и исполнения договора, стороной которого выступает сам субъект. Трудовой договор — ровно такой случай.

Когда согласие не нужно: трудовой договор как законное основание

Приём на работу, ведение личного дела, расчёт зарплаты, оформление отпуска и больничного, подача сведений в СФР и налоговую — это обработка, прямо необходимая для исполнения трудового договора и требований трудового, налогового законодательства. Для неё отдельное согласие не требуется:

сбор данных при приёме (паспорт, ИНН, СНИЛС, диплом, трудовая книжка или сведения о трудовой деятельности);
ведение личной карточки, приказов, штатного расписания с ФИО и должностью;
расчёт и выплата зарплаты, удержание и перечисление налогов и взносов;
передача сведений в Социальный фонд России, налоговую, военкомат — там, где это прямая обязанность работодателя по закону.

Здесь работает не 152-ФЗ сам по себе, а его связка со статьёй 86 ТК РФ: работодатель обязан получать персональные данные работника только для целей, связанных с трудовыми отношениями, и в объёме, который эти цели оправдывают. Собирать «про запас» — уже нарушение, даже без утечки и жалобы.

Когда согласие обязательно

Как только обработка выходит за периметр трудового договора и прямых требований закона, работает общее правило 152-ФЗ — нужно отдельное письменное согласие. На практике кадровику оно требуется в четырёх типичных ситуациях.

Передача данных третьим лицам: банк и ДМС

Ст. 88 ТК РФ прямо запрещает работодателю передавать персональные данные работника третьей стороне без письменного согласия работника, кроме случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника либо прямо предусмотрено законом. Зарплатный проект в конкретном банке и договор ДМС в конкретной страховой — это не законная обязанность, а выбор работодателя, поэтому:

на передачу данных в банк для зарплатной карты нужно письменное согласие работника (или выбор банка самим сотрудником с его же согласием на передачу данных);
на включение в программу ДМС и передачу данных страховщику — тоже отдельное согласие.

А вот передача данных в налоговую, СФР, ГИТ по прямому требованию закона отдельного согласия не требует — это как раз тот случай «предусмотрено законом» из ст. 88 ТК РФ.

Фото и видео сотрудника на сайте, в соцсетях, на баннерах

Публикация фотографии сотрудника на корпоративном сайте, в разделе «Команда», в рекламных материалах — самостоятельная цель обработки, не связанная с исполнением трудового договора. Нужно отдельное письменное согласие именно на эту цель, отдельное от согласия на обработку персональных данных вообще. Дополнительно здесь действует ст. 152.1 ГК РФ об охране изображения гражданина: без согласия нельзя обнародовать и использовать чужую фотографию, даже штатного сотрудника.

Спецкатегории: здоровье, инвалидность, судимость

Сведения о состоянии здоровья, инвалидности, семейном положении сверх необходимого для расчёта пособий — это специальные категории персональных данных. Их обработка допускается в существенно более узком перечне случаев и, как правило, требует отдельного письменного согласия, кроме прямо перечисленных в законе исключений (например, обработка для целей обязательного социального страхования).

Проверка кандидатов через сторонние сервисы

Скоринг кандидата, проверка судимости и репутации через внешние базы, HR-агрегаторы — тоже отдельная цель обработки, требующая согласия кандидата, а не будущего сотрудника: на момент проверки трудового договора ещё нет.

Какие документы нужны кадровику

Минимальный пакет для приведения кадрового делопроизводства в соответствие 152-ФЗ и главе 14 ТК РФ:

Документ	Что закрывает
Положение об обработке персональных данных	Внутренние правила обработки, цели, сроки, ответственных
Приказ о назначении ответственного за обработку ПДн	Персональная ответственность конкретного сотрудника
Согласие на обработку персональных данных сотрудника	Базовый документ на случаи, выходящие за рамки трудового договора
Отдельное согласие на передачу данных в банк/ДМС	Легализует конкретную передачу третьему лицу по ст. 88 ТК РФ
Согласие на распространение персональных данных	Публикация фото, имени, должности в открытом доступе
Журнал ознакомления работников с локальными актами о ПДн	Подтверждение, что работник знаком со своими правами (ст. 86–90 ТК РФ)

Все согласия оформляются отдельными документами и не могут прятаться внутри трудового договора или должностной инструкции — это общее требование к форме согласия, актуальное и для кадровых отношений.

Права работника по главе 14 ТК РФ

Статьи 88–90 ТК РФ дают работнику права, которых нет у обычного субъекта персональных данных вне трудовых отношений:

получать доступ к своим персональным данным, включая право на бесплатное получение копий любой записи, содержащей его данные;
требовать исключения или исправления неверных или неполно указанных персональных данных;
обжаловать в суде неправомерные действия работодателя при обработке и защите данных;
на возмещение убытков и (или) компенсацию морального вреда, причинённых неправомерными действиями работодателя.

Нарушение этих прав — самостоятельное основание для трудового спора, отдельное от общих штрафов по ст. 13.11 КоАП за нарушения 152-ФЗ.

Сроки хранения кадровых документов

Личные дела и большинство документов по личному составу — не бессрочные, но и не «пока хранится место на сервере». Ключевой ориентир — Федеральный закон № 43-ФЗ 2016 года, который сократил срок хранения кадровых документов, законченных делопроизводством после 1 января 2003 года, до 50 лет. Документы, созданные до этой даты, продолжают храниться 75 лет.

На практике это означает:

личные дела, приказы по личному составу, лицевые счета по зарплате — 50 лет (после 2003 года) или 75 лет (до 2003 года);
документы о несчастных случаях на производстве и некоторые другие категории хранятся дольше — по отдельным перечням;
после истечения срока хранения и при отсутствии оснований для дальнейшей обработки документы подлежат уничтожению в порядке, предусмотренном локальным актом компании — с составлением акта, а не просто удалением файла или выбрасыванием бумаг.

Хранить личное дело уволенного сотрудника «на всякий случай» дольше установленного срока — тоже нарушение принципа ограничения обработки: закон разрешает держать данные ровно то время, для которого прямо есть законное основание.

Частые ошибки кадровой службы

Одно общее согласие на всё — на обработку, на передачу в банк, на публикацию фото. Это «пакетное» согласие, которое не соответствует требованиям к форме согласия и признаётся недействительным при проверке.
Передача данных в банк без согласия — со ссылкой на то, что «это же зарплата». Зарплатный проект — выбор компании, а не обязанность по закону, поэтому согласие обязательно.
Публикация фото сотрудников без согласия — особенно частая история для сайтов с разделом «Команда» и соцсетей компании.
Бессрочное хранение личных дел уволенных сотрудников без привязки к установленным срокам.
Отсутствие приказа об ответственном за обработку ПДн — при проверке это один из первых пунктов, который спрашивает инспектор.

Проверить, есть ли на сайте компании форма сбора данных без нужного согласия или страница без актуальной политики конфиденциальности, можно бесплатно за пару минут — это не заменяет аудит кадрового делопроизводства, но закрывает внешний, самый заметный контур рисков по 152-ФЗ.