Обработка персональных данных работников: что обязан оформить работодатель в 2026 году

Для работодателя обработка персональных данных работников давно перестала быть формальностью из кадровой папки. Это зона прямой ответственности перед сотрудниками, Роскомнадзором, трудовой инспекцией и, в ряде случаев, судом. Ошибка здесь обычно выглядит буднично: не то согласие, лишние сведения в анкете, открытый доступ к личным делам, отсутствие локального акта или неурегулированная передача данных бухгалтерии, банку, подрядчику по охране труда. Но последствия вполне материальны: предписания, административная ответственность, трудовые споры, осложнение позиции работодателя при проверке и проблемы с доказательствами законности кадровых решений. В 2026 году обработка персональных данных работников требует не просто наличия документов, а выстроенного и подтверждаемого режима работы с ПДн.

Почему обработка персональных данных работников стала вопросом не только кадров, но и юридической безопасности

Правовая основа здесь складывается не из одного закона. Ключевое значение имеют Трудовой кодекс РФ, прежде всего статьи 86-90, которые регулируют получение, хранение, комбинирование, передачу и иное использование персональных данных работника, а также Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных». Для работодателя это означает простую, но часто игнорируемую мысль: трудовые отношения не освобождают от соблюдения общих правил о персональных данных, а специальные нормы ТК РФ добавляют собственные обязанности.

Статья 86 ТК РФ обязывает работодателя обеспечивать защиту персональных данных работника. Статья 87 ТК РФ требует установить порядок хранения и использования таких данных. Статья 88 ТК РФ ограничивает передачу сведений третьим лицам и внутри организации. Статья 90 ТК РФ прямо говорит об ответственности лиц, виновных в нарушении правил обработки и защиты данных. Когда в компании нет понятного порядка, обработка персональных данных работников фактически происходит стихийно: документы копируются, сканы пересылаются в мессенджерах, анкеты содержат избыточные вопросы, а сотрудники кадровой службы и руководители подразделений получают доступ шире, чем это необходимо для работы.

С точки зрения 152-ФЗ работодатель выступает оператором персональных данных. Это влечет не только внутренние обязанности по локальным актам и режиму доступа, но и внешние требования: определить цели и правовые основания обработки, состав обрабатываемых сведений, сроки хранения, порядок уничтожения, меры защиты, а в ряде случаев подать уведомление в Роскомнадзор. Когда компании нужна постоянная правовая настройка таких процессов, это уже вопрос не отдельного документа, а системного абонентского юридического обслуживания, потому что практика обработки данных затрагивает кадры, IT, бухгалтерию и управление персоналом одновременно.

Особенность трудовой сферы в том, что работник находится в зависимом положении по отношению к работодателю. Поэтому согласие сотрудника на обработку данных не всегда является главным и достаточным основанием. Во многих случаях обработка допускается без отдельного согласия, если она необходима для исполнения трудового договора, ведения кадрового учета, исполнения обязанностей по налоговому, пенсионному и иному обязательному законодательству. Ошибка работодателя часто состоит в обратном: либо берется одно общее согласие «на все», либо, наоборот, не оформляется согласие там, где без него нельзя обойтись.

Какие документы должны подтверждать обработка персональных данных работников

В 2026 году проверяющий обычно смотрит не на название папки, а на связность документов между собой. Если в компании есть положение об обработке персональных данных, но отсутствует перечень лиц, имеющих право работать с личными делами, либо формы согласий не совпадают с реальными действиями работодателя, формальное наличие бумаг не помогает. Обработка персональных данных работников должна подтверждаться комплектом документов, из которого видно, что оператор понимает, какие сведения он собирает, зачем, кто к ним допущен и как ограничивается использование.

Базовый набор обычно включает локальный акт работодателя, регулирующий порядок работы с ПДн, формы согласий для тех случаев, когда согласие действительно нужно, обязательство о неразглашении для работников, имеющих доступ к сведениям, порядок ознакомления сотрудников с правилами обработки, а также внутренние организационные решения о назначении ответственных лиц. В зависимости от структуры бизнеса дополняются документы по информационной безопасности, регламенты взаимодействия с бухгалтерией, архивом, IT-подрядчиками и медицинскими организациями, если такие данные участвуют в кадровом процессе.

На практике особенно важны три блока:

• локальное регулирование внутри компании, где описаны цели, объем данных, порядок хранения, передачи и уничтожения;
• документы, подтверждающие законность получения сведений, включая согласие сотрудника на обработку данных в тех ситуациях, когда без него нельзя действовать;
• меры ограничения доступа, чтобы доступ к личным делам и электронным кадровым системам имели только уполномоченные лица.

Если этих блоков нет или они собраны фрагментарно, обработка персональных данных работников становится уязвимой не только перед Роскомнадзором. В трудовом споре работодатель нередко ссылается на документы, полученные из личного дела, служебной переписки, данных о перемещении работника, результатах внутренней проверки. Но если способ получения и использования этих сведений нарушал закон, суд может критически оценить такие доказательства или поставить под сомнение добросовестность работодателя.

Отдельное значение имеют кадровые документы и ПДн в тех компаниях, где есть филиалы, удаленные подразделения или внешнее ведение кадрового учета. Чем больше участников цепочки, тем выше риск несанкционированной передачи сведений и отсутствия документально оформленного основания для такой передачи.

Положение об обработке персональных данных: что в нем должно быть по существу

Положение об обработке персональных данных не должно превращаться в пересказ 152-ФЗ общими словами. Его задача другая: перевести нормы закона на язык конкретного работодателя. В документе следует закрепить категории субъектов данных, состав обрабатываемых сведений по каждой категории, цели обработки, правовые основания, порядок получения, учета, хранения, изменения, передачи, обезличивания и уничтожения данных. Там же должен быть определен круг лиц, допущенных к работе с такими сведениями, и правила доступа к бумажным и электронным носителям.

Статьи 86-88 ТК РФ требуют, чтобы работодатель не запрашивал и не обрабатывал сведения, не связанные с трудовыми отношениями. Это значит, что положение об обработке персональных данных должно быть согласовано с реальной кадровой практикой. Если в анкетах, опросниках или при приеме на работу собираются семейные, биометрические, медицинские или иные чувствительные данные без ясной правовой цели, локальный акт сам по себе не исправит нарушение.

Федеральный закон № 152-ФЗ требует определенности цели обработки. Из этого следует практический вывод: нельзя описывать цель расплывчато, например «для обеспечения деятельности работодателя». Проверяющий ожидает увидеть более конкретную связь с кадровым учетом, оформлением трудовых отношений, начислением заработной платы, организацией командировок, обеспечением пропускного режима, исполнением обязанностей по охране труда, воинскому учету, обязательному социальному страхованию и иным законным целям.

Внутри положения стоит отдельно урегулировать доступ к личным делам. Это один из самых частых пробелов. Если режим допуска не определен, фактически любой руководитель может запросить копии документов работника «для работы», а кадровая служба передает их без фиксации основания. С правовой точки зрения это рискованно. Работодатель обязан соблюдать принцип соразмерности и предоставлять сведения только тем сотрудникам, которым они необходимы для исполнения должностных обязанностей.

Когда компания хочет проверить реальное состояние кадрового массива, а не только обновить шаблоны, полезен предварительный кадровый аудит. Он позволяет увидеть, где локальные акты расходятся с практикой: кто фактически получает доступ, как оформляется передача сведений, что хранится без законного основания и какие документы уже требуют переработки.

Когда требуется согласие сотрудника на обработку данных, а когда его недостаточно

Самая распространенная ошибка работодателя состоит в том, что согласие сотрудника на обработку данных воспринимается как универсальное решение. На деле статья 6 Федерального закона № 152-ФЗ предусматривает несколько самостоятельных оснований обработки. Если данные нужны для исполнения трудового договора, ведения кадрового и бухгалтерского учета, исполнения требований налогового законодательства, законодательства о труде, об обязательном пенсионном и социальном страховании, отдельное согласие сотрудника на обработку данных часто не является обязательным основанием. Работодатель вправе действовать на основании закона и трудового договора.

Но есть ситуации, где согласие сотрудника на обработку данных необходимо. Например, когда сведения передаются третьим лицам вне прямой обязанности по закону, размещаются на сайте работодателя, используются для публикации фото и биографической информации, передаются банкам и страховым организациям в объеме, выходящем за обязательные цели, либо обрабатываются специальные категории персональных данных без иной законной опоры. Для медицинских сведений нужно учитывать не только 152-ФЗ, но и режим врачебной тайны и специальные нормы отраслевого законодательства.

Согласие сотрудника на обработку данных должно быть конкретным, информированным и сознательным. В нем указывают оператора, перечень обрабатываемых данных, цели обработки, действия с данными, срок действия согласия и порядок его отзыва. Общая формула «на любые действия с любыми данными в любых целях» создает видимость документа, но не дает надежной правовой опоры. Если компания обрабатывает фотоизображение работника для корпоративного сайта, пропускной системы или рекламных материалов, нужно отдельно оценивать, достаточно ли общих кадровых оснований или требуется отдельное согласие с точным описанием цели.

При этом согласие сотрудника на обработку данных не легализует избыточный сбор информации. Даже при наличии подписанного бланка работодатель не получает права собирать любые сведения по собственному усмотрению. Принципы обработки, закрепленные в статье 5 Федерального закона № 152-ФЗ, требуют соразмерности и недопустимости объединения баз данных, обработка которых осуществляется в несовместимых целях.

Доступ к личным делам, передача сведений и режим внутреннего контроля

Для большинства работодателей именно здесь скрыт главный практический риск. Формально документы есть, но доступ к личным делам не разграничен, копии паспортов и дипломов лежат в общих папках, электронные карточки работников видит слишком широкий круг сотрудников, а увольняющийся кадровик сохраняет архив на личном носителе. В такой ситуации обработка персональных данных работников выходит за пределы допустимого объема, даже если сами документы оформлены правильно.

Статья 88 ТК РФ запрещает сообщать персональные данные работника третьей стороне без письменного согласия, за исключением случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника, а также в иных предусмотренных законом ситуациях. Внутри организации действует тот же принцип ограниченности доступа. Руководитель подразделения не должен автоматически получать весь массив сведений о подчиненном только потому, что он руководитель. Нужен служебно обусловленный объем доступа.

Именно поэтому доступ к личным делам должен регулироваться не устным порядком, а документально. На практике это оформляется через локальный акт, перечень должностей, допущенных к соответствующим данным, правила выдачи копий, порядок временного пользования делом, хранение в запираемых помещениях или шкафах, разграничение прав доступа в информационных системах и фиксацию случаев передачи документов между подразделениями.

В спорах с бывшими работниками нередко всплывают вопросы о том, кто и на каком основании знакомился с материалами личного дела, кому направлялись копии документов, как использовались персональные сведения в служебной переписке. Если конфликт перерастает в судебное разбирательство, значение имеет не только сам факт наличия документа, но и законность его оборота внутри организации. Поэтому обработка персональных данных работников тесно связана с общей дисциплиной кадрового документооборота и внутреннего контроля.

Особенно внимательно стоит подойти к передаче данных внешним исполнителям. Если кадровый учет ведет аутсорсер, зарплатный проект сопровождает отдельная организация, а IT-инфраструктуру обслуживает подрядчик, работодателю нужно проверить договорные основания передачи данных, режим конфиденциальности, объем поручаемой обработки и распределение обязанностей по защите сведений. Для бизнеса это уже часть общей системы юридических услуг для бизнеса, потому что вопрос затрагивает не только персональные данные, но и договорную ответственность, коммерческую тайну, внутренние регламенты и риски претензий со стороны работников.

Что работодателю нужно проверить к 2026 году, чтобы не столкнуться с претензиями Роскомнадзора и трудовыми спорами

В 2026 году безопаснее исходить не из идеи «у нас все подписано», а из вопроса «можем ли мы доказать законность каждой операции с данными работника». Обработка персональных данных работников оценивается по фактическим процессам. Если компания собирает соискательские анкеты, ведет кадровый резерв, использует пропускные системы, корпоративные порталы, видеонаблюдение, дистанционный режим работы и электронный кадровый документооборот, пакет документов должен охватывать эти практики, а не существовать отдельно от них.

Есть несколько зон, которые работодатели пропускают чаще других:

• избыточные сведения в анкетах кандидатов и личных карточках работников;
• необоснованно широкий доступ к личным делам и кадровым электронным папкам;
• передача данных подрядчикам без должного договорного оформления;
• использование фото, видео и медицинских сведений без корректного правового основания;
• отсутствие понятного порядка уничтожения документов и электронных файлов после истечения сроков хранения.

При этом нельзя забывать о балансе между трудовым законодательством, архивными правилами и законом о персональных данных. Не все сведения можно «просто удалить по требованию», если работодатель обязан хранить их в силу закона. С другой стороны, нельзя бессрочно держать в кадровом массиве то, что уже не нужно для исполнения обязанностей работодателя. Именно здесь часто требуется правовой анализ каждого вида документа: трудовой договор, приказы, документы по охране труда, сведения о воинском учете, материалы служебных проверок, копии документов об образовании, медицинские заключения, резюме и анкеты кандидатов.

Если в компании используются автоматизированные системы, обработка персональных данных работников должна быть синхронизирована с настройками информационной безопасности. Локальный акт не спасет, если база сотрудников открыта для общего просмотра, учетные записи не разграничены, а выгрузки из кадровой программы пересылаются без контроля. Для проверяющего это не техническая мелочь, а показатель того, соблюдает ли оператор обязанность принимать необходимые правовые, организационные и технические меры защиты.

Ответственность работодателя и значение документов в споре

Нарушения в сфере персональных данных могут повлечь административную ответственность по статье 13.11 КоАП РФ. Составы там различаются в зависимости от характера нарушения: обработка без законного основания, обработка несовместимая с заявленными целями, непредоставление субъекту обязательной информации, отсутствие опубликованной политики в необходимых случаях, несоблюдение обязанностей по обеспечению безопасности и другие нарушения. Размер санкции зависит от конкретного состава и статуса нарушителя, поэтому ориентироваться нужно не на общие слухи о штрафах, а на фактическое содержание претензии и ее квалификацию.

Но для работодателя проблема не ограничивается штрафом. Нарушение правил обработки может осложнить трудовой спор об увольнении, дисциплинарном взыскании, отказе в приеме на работу или защите чести и достоинства работника. Если сведения были собраны с нарушением закона, использованы вне заявленных целей или переданы третьим лицам без основания, это усиливает позицию работника и создает дополнительные требования о компенсации морального вреда. В некоторых случаях спор выходит за рамки трудового и затрагивает деловую репутацию работодателя, конфиденциальность внутренней информации и отношения с контрагентами.

Поэтому обработка персональных данных работников должна рассматриваться как часть доказательственной стратегии компании. Когда локальные акты актуальны, согласия оформлены корректно, доступ к личным делам ограничен, а передача сведений фиксируется, работодателю проще объяснить суду или контролирующему органу, почему те или иные действия были законны и соразмерны. Если же документы оформлялись задним числом или копировались из шаблонов без учета реальных процессов, это быстро обнаруживается по внутренним противоречиям.

Как юрист выстраивает систему, а не просто обновляет формы

Когда работодателю требуется привести процессы в порядок, работа не сводится к выдаче стандартного пакета. Сначала оценивается, как именно в компании организована обработка персональных данных работников: какие сведения собираются на этапе найма, что попадает в личное дело, кому доступны электронные досье, как оформляется передача данных бухгалтерии, банкам, подрядчикам, как используются фото, записи камер, служебная переписка и сведения о здоровье в рамках обязательных процедур. Только после этого имеет смысл корректировать локальные акты.

Юридическая работа обычно включает проверку того, соответствует ли положение об обработке персональных данных фактической модели бизнеса, нужны ли отдельные согласия, где есть избыточные формулировки, правильно ли описаны цели обработки, достаточно ли разграничен доступ к личным делам, как оформлены поручения на обработку третьим лицам и не противоречат ли кадровые документы и ПДн друг другу. В компаниях с несколькими участниками, филиальной структурой или внутренними конфликтами такие вопросы могут пересекаться и с корпоративным контуром, поскольку доступ к сведениям о работниках нередко используется в спорах о полномочиях руководителей и управлении обществом. В таких ситуациях правовая позиция требует учета не только трудовых, но и корпоративных споров.

На практике хороший результат дает не разовая замена шаблонов, а настройка режима, который компания действительно сможет соблюдать. Иначе даже корректное согласие сотрудника на обработку данных, подписанное при приеме, быстро теряет смысл, если позже сведения начинают использоваться для иных целей, а доступ к личным делам остается неограниченным. По этой же причине обработка персональных данных работников должна регулярно пересматриваться при изменении HR-процессов, внедрении новых информационных систем, электронного документооборота, аутсорсинга кадрового учета или новых каналов коммуникации с персоналом.

Работодатель, который в 2026 году хочет снизить риск претензий и сохранить управляемость кадровых процессов, должен смотреть на эту тему шире, чем на обязательный комплект бумаг. Обработка персональных данных работников законна и устойчива только тогда, когда документы, реальные действия сотрудников и техническая организация доступа не противоречат друг другу. В противном случае любой локальный акт остается формальностью, а любое нарушение становится заметным при первой серьезной проверке или конфликте с работником.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.