Хранение персональных данных бывших сотрудников: сроки и риски нарушения 152-ФЗ

После увольнения работника обязанности работодателя не прекращаются в день выдачи трудовой книжки или окончательного расчета. На практике именно хранение персональных данных бывших сотрудников часто становится источником скрытых рисков: документы продолжают лежать в кадровой службе и бухгалтерии годами, электронные копии остаются в общих папках, а основания для дальнейшей обработки уже не проверяются. В результате организация сталкивается не только с вопросами по Федеральному закону от 27.07.2006 № 152-ФЗ, но и с претензиями по трудовому, архивному и административному регулированию.

Проблема здесь не в самом факте, что после увольнения сведения о человеке еще какое-то время должны оставаться у работодателя. Напротив, часть документов требуется хранить длительно, поскольку это связано с подтверждением стажа, заработка, условий труда, пенсионных прав и расчетов с государственными органами. Риск возникает тогда, когда хранение персональных данных бывших сотрудников ведется без разделения по срокам, без понятной цели и без внутреннего порядка доступа к таким сведениям.

Для бизнеса эта тема имеет вполне прикладное значение. Ошибки в этой сфере обнаруживаются при проверках Роскомнадзора, инспекции труда, в трудовых спорах, в запросах бывших работников, а иногда и в корпоративных конфликтах, когда поднимается вопрос о том, как в компании организованы процессы обработки данных. Поэтому грамотное хранение персональных данных бывших сотрудников относится не к формальной бюрократии, а к системе управления правовыми рисками.

Что регулирует хранение персональных данных бывших сотрудников после увольнения

Базовые правила задает Закон № 152-ФЗ. Согласно статье 5 этого закона обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Там же закреплено, что не допускается обработка, несовместимая с целями сбора данных, а хранение должно осуществляться не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом, договором или иной правовой основой.

Именно здесь у работодателей обычно возникает практический вопрос. Цель трудовых отношений прекращена, сотрудник уволен, но обязанность по сохранению ряда документов сохраняется. Это не противоречие. Закон № 152-ФЗ не требует уничтожать все сведения сразу после увольнения. Он требует, чтобы хранение персональных данных бывших сотрудников продолжалось только в той части и в тот срок, которые прямо оправданы законом и документальной обязанностью работодателя.

Дополнительно нужно учитывать Трудовой кодекс РФ, законодательство об архивном деле и правила организации хранения архивных документов. Существенное значение имеет Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации». Для работодателя он важен не сам по себе, а в связке с перечнями типовых управленческих архивных документов с указанием сроков их хранения, утверждаемыми уполномоченным органом. Именно по ним определяется, какой срок хранения кадровых документов применим к приказам, личным карточкам, табелям, расчетным ведомостям и другим материалам.

Если в компании отсутствует единая модель обработки и хранения сведений о персонале, проблема редко ограничивается только 152-ФЗ. Обычно всплывают и сопутствующие дефекты: нет локального акта по обработке персональных данных, не настроены права доступа, не оформлен порядок передачи дел в архив, а документы уволенных сотрудников лежат вместе с действующим кадровым массивом. В такой ситуации полезен не разовый совет, а полноценный кадровый аудит, который позволяет увидеть не отдельную ошибку, а саму причину повторяющихся нарушений.

Какие документы после увольнения хранятся долго, а какие подлежат удалению

Распространенная ошибка состоит в том, что компания пытается применить один подход ко всем сведениям сразу. Но состав документов неоднороден. Есть массив, который подлежит долгому хранению по архивным правилам и трудовому законодательству, а есть данные, собранные для текущего кадрового администрирования, которые после утраты цели должны быть удалены или обезличены.

Хранение персональных данных бывших сотрудников обычно включает документы, подтверждающие сам факт работы, условия труда, выплаты и кадровые решения работодателя. Это трудовые договоры, дополнительные соглашения, приказы по личному составу, документы по начислению зарплаты, сведения о переводах, отпусках, увольнении, иногда документы по охране труда и результатам обязательных медосмотров, если их сохранение предусмотрено законом или необходимо для защиты прав сторон.

Но рядом с обязательными документами часто остаются лишние копии паспорта, СНИЛС, ИНН, фотографий, резюме, анкеты кандидата, результаты внутренних оценок, сканы личных документов в электронной почте, переписка в мессенджерах, копии документов о составе семьи, которые когда-то собирались для льгот или кадровой проверки. Если цель их хранения прекратилась и федеральный закон не обязывает работодателя сохранять такие материалы, дальнейшее хранение персональных данных бывших сотрудников становится уязвимым с правовой точки зрения.

На практике имеет смысл разделять массив сведений хотя бы на три группы:

• Обязательные к хранению документы, сроки по которым установлены архивными и трудовыми правилами.
• Документы ограниченного срока, где хранение связано с конкретной задачей, например налоговой, бухгалтерской или страховой отчетностью.
• Избыточные материалы, которые больше не нужны для исполнения закона и подлежат удалению, обезличиванию либо изъятию из рабочих массивов.

Такой подход важен не только для бумажного архива. В электронных системах избыточные копии создают даже больший риск. Они остаются в кадровой программе, на сервере, в резервных копиях, в почте конкретного сотрудника, в облачном хранилище подрядчика. Если организация не понимает, где фактически находится архив персональных данных, она не контролирует ни сроки, ни доступ, ни последующее уничтожение персональных данных.

Сроки хранения: почему нельзя ориентироваться только на 152-ФЗ

Когда обсуждается хранение персональных данных бывших сотрудников, многие смотрят только на норму о том, что данные нельзя хранить дольше цели обработки. Для работодателя этого недостаточно. Нужно сопоставлять Закон № 152-ФЗ с отраслевыми обязательствами по хранению документов. Иначе можно допустить две противоположные ошибки: уничтожить то, что нужно хранить годами, либо, наоборот, оставить у себя материалы без законного основания.

Сроки зависят от вида документа. Например, часть документов по личному составу хранится длительно в силу архивных правил, поскольку от них зависят будущие пенсионные и социальные права работника. Бухгалтерские и налоговые документы могут подпадать под иные сроки хранения, связанные с Налоговым кодексом РФ, законодательством о бухгалтерском учете и правилами документального подтверждения выплат. Документы по охране труда, специальной оценке условий труда и расследованию несчастных случаев тоже оцениваются отдельно.

Именно поэтому хранение персональных данных бывших сотрудников нельзя строить на одной формуле «уволился, значит все уничтожаем через короткий срок». Законный срок хранения кадровых документов определяется не общим ощущением целесообразности, а видом документа и нормативным основанием его хранения. Если бывший работник через несколько лет запросит подтверждение стажа, зарплаты или условий труда, отсутствие обязательных документов может обернуться не только спором с ним, но и вопросами со стороны контролирующих органов.

Для рабочей системы полезно свести основные документы и правовые основания их хранения в единый внутренний реестр. Он не заменяет закон, но помогает сотрудникам понимать, какие данные подлежат длительному хранению, а какие должны выводиться из активного оборота после увольнения. Для компаний с большим штатом такая систематизация часто становится частью абонентского юридического обслуживания, когда внутренние процедуры пересматриваются не разово, а по мере изменения законодательства и практики.

Категория материалов	Что проверять	Основной риск
Документы по личному составу	Есть ли установленный срок хранения по архивным правилам	Преждевременное уничтожение и невозможность подтвердить трудовые права
Налоговые и расчетные документы	Связаны ли они с обязанностью подтверждать начисления и выплаты	Претензии при проверке, спор о выплатах, отсутствие доказательств
Копии личных документов и служебные дубликаты	Сохранилась ли цель обработки после увольнения	Избыточное хранение и нарушение принципа ограничения срока
Электронные базы и резервные копии	Можно ли ограничить доступ, удалить или обезличить записи	Неконтролируемое распространение данных и утечка

Когда хранение персональных данных бывших сотрудников становится нарушением

Нарушение возникает не только тогда, когда документы потеряны или раскрыты третьим лицам. Довольно часто проблема состоит именно в том, что хранение персональных данных бывших сотрудников продолжается без действующей правовой цели. Если организация не может объяснить, зачем хранит конкретный массив сведений и на какую норму опирается, позиция в споре будет слабой.

Статья 21 Закона № 152-ФЗ связывает прекращение обработки с достижением цели обработки, отпадением необходимости в ее достижении или выявлением неправомерной обработки. Если сохранить все без разбора «на всякий случай», это может быть расценено как нарушение принципов обработки персональных данных. Особенно уязвимы ситуации, когда бывший работник обращается с требованием прекратить обработку избыточных сведений, а компания не проводит проверку состава документов и просто отказывает формально.

Отдельная проблема возникает, когда данные используются после увольнения не для архивного хранения, а для новых целей. Например, сведения из личного дела бывшего работника передаются аффилированной компании, используются для внутренней базы «нежелательных кандидатов», направляются контрагенту или размещаются в системе, к которой имеют доступ сотрудники, не связанные с кадровой функцией. Такое хранение персональных данных бывших сотрудников уже выходит за рамки простой технической ошибки и может свидетельствовать о неправомерной обработке.

Внутри бизнеса спор часто обостряется после конфликта с бывшим руководителем, главным бухгалтером, участником общества, совмещавшим трудовую и корпоративную роль. Тогда вопросы обработки данных пересекаются с защитой коммерческой информации, электронной переписки и полномочий должностных лиц. Если ситуация связана с управлением компанией и внутренним конфликтом собственников, правовая оценка выходит за рамки одного кадрового вопроса и может затрагивать сопровождение корпоративных споров.

Ответственность за хранение сверх срока и другие последствия для работодателя

Для работодателя ошибочное хранение персональных данных бывших сотрудников опасно тем, что нарушение редко остается изолированным. Обычно оно тянет за собой сразу несколько блоков последствий: административную ответственность, требования субъекта персональных данных, репутационные потери, а в отдельных случаях проблемы с доказательствами в трудовом или ином судебном споре.

Административная ответственность предусмотрена статьей 13.11 КоАП РФ. Составы в этой статье различаются в зависимости от нарушения: обработка в случаях, не предусмотренных законом, обработка без надлежащего основания, несоблюдение обязанностей оператора при сборе, хранении и защите данных, непредоставление субъекту информации, невыполнение требования об уточнении, блокировании или уничтожении данных. Размер санкции зависит от конкретной части статьи и статуса нарушителя, поэтому в каждой ситуации нужно смотреть фактический состав, а не ссылаться на усредненные цифры.

Помимо этого, статья 90 ТК РФ обязывает работодателя обеспечивать защиту персональных данных работника от неправомерного использования или утраты. Хотя увольнение прекращает трудовые отношения, это не освобождает от ответственности за уже собранные и сохраняемые сведения. Если компания допустила раскрытие данных либо незаконно удерживает избыточный массив сведений, бывший сотрудник может заявить требования о защите прав, об обязании прекратить неправомерную обработку, а при наличии оснований и о компенсации морального вреда.

Фраза ответственность за хранение сверх срока в деловой практике звучит как обобщение, но по сути речь идет о нарушении принципа ограничения сроков обработки, установленного статьей 5 Закона № 152-ФЗ, и о неисполнении обязанности по прекращению обработки или уничтожению персональных данных, когда основания хранения отпали. Если при этом данные еще и оказались доступны посторонним, риск для работодателя становится значительно выше.

В ряде случаев проблема влияет и на судебную перспективу по другим спорам. Когда компания ссылается на документы бывшего сотрудника в конфликте о недостаче, дисциплинарных основаниях увольнения, коммерческой тайне или доступе к информационным системам, суд оценивает не только содержание документов, но и то, как они были получены и сохранялись. Если порядок обработки нарушался, это ослабляет доверие к доказательствам. В сложных делах, где спор уже переходит в экономическую плоскость, нередко требуется сопровождение арбитражного спора, потому что вопрос о персональных данных становится частью более широкого конфликта.

Как организовать архив персональных данных без лишнего формализма

Закон не требует создавать сложную бюрократическую конструкцию ради самих документов. Но хранение персональных данных бывших сотрудников должно быть управляемым. Это означает, что у работодателя должны быть не только папки и сервер, но и понятные правила: какие сведения переходят в архив, кто имеет доступ, на каком основании документ остается в системе, когда проводится проверка сроков и как оформляется исключение из хранения.

Практически надежная модель обычно строится на нескольких элементах. Локальный акт по персональным данным должен описывать цели и состав обрабатываемых сведений, порядок доступа, хранения и прекращения обработки. Номенклатура дел и правила архивного хранения должны быть увязаны с кадровыми и бухгалтерскими процессами. В кадровой системе желательно отделять активный массив работников от архивного сегмента. И, что особенно важно, архив персональных данных должен включать не только бумажные дела, но и электронные массивы, почтовые ящики, сканы, резервные копии и переданные подрядчикам базы.

Если организация использует внешние сервисы для кадрового учета, электронного документооборота или облачного хранения, нужно отдельно проверять договорные условия о поручении обработки персональных данных, уровне защиты, месте хранения и порядке удаления информации после завершения отношений. Иначе компания формально считает, что данные уже удалены, а фактически хранение персональных данных бывших сотрудников продолжается у обработчика без понятного контроля со стороны оператора.

Рабочий минимум внутренней системы обычно включает следующие решения:

• разделение обязательных к хранению документов и избыточных копий, не имеющих самостоятельной цели после увольнения;
• фиксированный порядок передачи дел в архив и ограничения доступа к архивным массивам;
• регулярную проверку сроков хранения по видам документов, а не по дате увольнения как единственному критерию;
• оформленный порядок удаления, обезличивания или уничтожения сведений, которые больше не должны сохраняться.

Такой подход избавляет от крайностей. Компания не уничтожает нужные документы преждевременно, но и не превращает сервер и архив в бессрочное хранилище всех когда-либо полученных копий. Для работодателя это особенно важно при массовом найме, высокой текучести кадров, наличии филиалов и дистанционных работников, где объем сведений растет быстро, а контроль над доступом ослабевает незаметно.

Уничтожение персональных данных бывших сотрудников: когда это обязанность, а не право

Во многих организациях уничтожение персональных данных воспринимается как факультативное действие, которое можно отложить без последствий. С правовой точки зрения это неверно. Если цель обработки достигнута, необходимость в ней отпала, а специальная обязанность по хранению отсутствует, оператор должен прекратить обработку и обеспечить уничтожение данных либо их обезличивание, если иное не предусмотрено законом.

Хранение персональных данных бывших сотрудников и их уничтожение не противоречат друг другу. Эти процессы должны сосуществовать в одной системе. Документы по личному составу, которые требуется хранить длительно, остаются в архиве в установленный срок. Избыточные копии, промежуточные файлы и дубли, не имеющие самостоятельного основания, подлежат удалению. Именно смешение этих двух массивов чаще всего приводит к нарушениям.

С точки зрения доказательств работодателю важно не просто удалить файл или выбросить бумагу, а иметь подтверждение того, что прекращение обработки проведено надлежащим образом. Для этого используют акты об уничтожении документов, отметки в регистрах, внутренние распоряжения, технические журналы операций, подтверждение удаления из информационной системы или передачи материалов в установленный архив. Набор документов зависит от устройства конкретной компании, но сама логика едина: если оператор обязан прекратить обработку, это должно быть подтверждаемо.

Особенно внимательно нужно относиться к заявлениям бывших работников. Если человек обращается с требованием уточнить, заблокировать или удалить данные, организация должна проверить, какие сведения действительно могут быть удалены, а какие продолжают храниться по закону. Автоматический отказ со ссылкой на то, что «личное дело хранится в архиве», не решает вопрос. Нужно разделять обязательные документы и лишние данные, для которых дальнейшее хранение персональных данных бывших сотрудников уже не имеет основания.

Роль юриста в спорах и в профилактике нарушений

Когда нарушение уже выявлено, задача юриста состоит не в том, чтобы формально сослаться на 152-ФЗ, а в том, чтобы собрать полную правовую картину. Приходится сопоставлять трудовые документы, архивные сроки, локальные акты, переписку с бывшим работником, настройки информационных систем и договоры с подрядчиками. Только после этого можно понять, какие данные действительно должны были сохраняться, где допущено избыточное хранение и можно ли снизить объем претензий.

Если спор дошел до жалобы в Роскомнадзор, трудовой инспекции или до суда, юридическая работа строится вокруг доказательств. Проверяется, была ли у работодателя надлежащая политика обработки данных, утвержден ли порядок доступа, велся ли учет носителей, как оформлялась передача документов в архив, имелись ли основания для продолжения обработки после увольнения. В зависимости от обстоятельств подготавливаются возражения на претензии, ответы в контролирующие органы, правовая позиция по требованиям о прекращении обработки или по искам о защите нарушенных прав.

Профилактика, как правило, обходится дешевле спора. Для бизнеса разумно периодически проверять, как фактически устроено хранение персональных данных бывших сотрудников, совпадают ли внутренние правила с реальными процессами и не хранит ли компания то, что уже должно быть удалено. Такая проверка особенно нужна после смены кадровой системы, перехода на электронный документооборот, реорганизации, передачи функций аутсорсеру или роста числа дистанционных работников.

Сильная юридическая позиция в этой теме строится не на объеме документов, а на их точности. Работодатель должен уметь показать, почему одни сведения хранятся десятилетиями на законном основании, а другие были своевременно исключены из оборота. Если эта логика выстроена заранее, хранение персональных данных бывших сотрудников перестает быть источником хронического риска и становится обычной управляемой функцией компании.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.