Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Оформление отношений по обработке персональных данных сотрудников — обязательное требование законодательства РФ для любого работодателя (организации или ИП). Нарушение правил сбора, хранения и использования данных грозит существенными штрафами со стороны Роскомнадзора. В данной статье подробно разберем, чем отличается согласие от договора, какие обязательные реквизиты должны быть в документе, и предоставим актуальный образец на 2026 год.

Договор или Согласие: в чем разница?

Часто работодатели путают понятия «Договор на обработку персональных данных» и «Согласие субъекта персональных данных». С точки зрения ФЗ-152 «О персональных данных»:

Согласие (ст. 9 ФЗ-152) — это волевое подтверждение сотрудника факту обработки его данных. Это односторонняя волеизъявление. Оно может быть написанным (на бумаге) или электронным. Для большинства стандартных HR-процессов (наем, расчет зарплаты, отчетность в госорганы) именно согласие является основным документом.
Договор (ст. 6, 10 ФЗ-152) — это двусторонний документ, который заключается, если обработка данных не урегулирована законом напрямую или требует специальных условий (например, передача данных третьим лицам — страховым компаниям, банкам, фондам, или использование биометрии, фото/видеонаблюдения со звуком). Договор фиксирует права и обязанности сторон, меры безопасности, сроки хранения и порядок уничтожения.

Нормативная база и актуальные изменения на 2026 год

Основным регулятором остается Федеральный закон от № 152-ФЗ. К актуальны следующие ключевые моменты, на которые обращает внимание Роскомнадзор (согласно недавним разъяснениям и практике ГАРАНТ/КонсультантПлюс):

Локальные нормативные акты (ЛНА): Перед получением согласия работодатель обязан разработать и утвердить Положение о политике обработки персональных данных (Политику конфиденциальности) и Положение о защите/обработке ПДн работников. Сотрудник должен ознакомиться с ними под роспись ДО подписания согласия/договора.
Принцип минимальности (ст. 5 ФЗ-152): Собирать можно только те данные, которые прямо необходимы для исполнения трудового договора и законодательства (ФИО, паспорт, СНИЛС, ИНН, банковские реквизиты, данные об образовании/семье — для выплат/льгот). Запрещено требовать «лишние» справки или согласие на маркетинговые рассылки как условие найма.
Специальные категории данных (ст. 10 ФЗ-152): Расовые, национальные, политические взгляды, здоровье, интимная жизнь. Обработка данных о здоровье (справки 086-У, больничные) допускается только для исполнения трудовых прав (отпуска, льготы, безопасность). Требуется отдельное выделенное согласие или пункт в договоре.
Биометрия (ст. 11 ФЗ-152): Обработка биометрических данных (отпечатки пальцев, распознавание лица для СКУД) требует отдельного письменного согласия с указанием конкретных целей и способов. Нельзя заставить сотрудника сдавать биометрию «просто так».
Передача третьим лицам (ст. 6, 9 ФЗ-152): Передача данных в банк (зарплатный проект), страховщик (ДМС), пенсионный фонд — требует либо основания в законе, либо явного согласия работника на передачу конкретному лицу (с указанием ИНН/ОГРН получателя).
Отзыв согласия (ст. 9, 21 ФЗ-152): Работник имеет право отозвать согласие в любой момент. Однако работодатель имеет право (и обязанность) продолжить обработку без согласия, если это необходимо для исполнения трудового договора, закона или судебного акта (п. 2 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 ФЗ-152). Об этом сотруднику нужно уведомить.

Обязательные реквизиты Согласия / Договора (по ст. 9 ФЗ-152 и рекомендациям Роскомнадзора)

Согласно разъяснениям Роскомнадзора и типовым формам (в т.ч. от Министерства имущественных отношений Вл. области, КонсультантПлюс, ГАРАНТ за июль 2026), документ должен содержать:

Реквизит	Описание / Требования
ФИО субъекта (работника)	Полностью, как в паспорте. В образце маскируем: .
Паспортные данные / Ид. документ	Серия, номер, кем выдан, когда, код подразделения. Маскируем: .
Адрес регистрации / проживания	Полный адрес. Маскируем: .
Дата рождения	Число, месяц, год. Маскируем: .
Цели обработки	Критически важно: Перечислить конкретно (исполнение ТД, расчет зарплаты, отчетность в ФНС/СФР, оформление отпусков/больничных, СКУД, ДМС и т.д.). Общие фразы «для целей кадрового учета» Роскомнадзор может признать несоответствующими закону.
Перечень обрабатываемых ПДн	Конкретный список: ФИО, паспорт, СНИЛС, ИНН, реквизиты счета, образование, семья, здоровье (справки), биометрия (если есть), фото/видео и т.д.
Способы обработки	Сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (в т.ч. третьим лицам — с указанием кого именно), обезличивание, блокирование, удаление, уничтожение. Указать: автоматизированная / неавтоматизированная.
Срок действия / Условия прекращения	Например: «Действует до полной исполнения обязательств по ТД и погашению претензий, но не менее 75 лет для архивных документов (ст. 22 225-ФЗ)». Условие отзыва: письменное заявление за 30 дней (или иной срок).
Меры защиты (для Договора)	Ссылка на ЛНА (Положение о защите ПДн), перечень организационных и технических мер (доступ по ролям, шифрование, пароли, журнал учета носителей).
Подпись и Дата	Эigenhändige подпись работника с расшифровкой и датой. Для Договора — подпись уполномоченного лица работодателя с печатью (если есть) / МЭП.

Образец Согласия работника на обработку персональных данных (Актуальный на 2026 г.)

Ниже приведен универсальный образец, соответствующий требованиям ст. 9 ФЗ-152 и рекомендациям Роскомнадзора (на основе форм ГАРАНТ/КонсультантПлюс за июль 2026). Текст в квадратных скобках [ ] и маски (*) подлежит заполнению/удалению.

СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

Я, [Фамилия Имя Отчество полностью ], [дата рождения: число, месяц, год ] г.р., паспорт: [серия/номер ], выдан [кем/когда/код ], проживающий по адресу: [адрес регистрации ], действующий на основании [паспорта / трудового договора № от ], настоящим свободно, своей волей и в своем интересе даю свое согласие [Полное наименование организации / ФИО ИП ] (далее, «Оператор»), ИНН , ОГРН/ОГРНИП , адрес: [юридический адрес *], на обработку моих персональных данных.

Цели обработки персональных данных:

Исполнение трудового договора (контракта) и обязательств работодателя по трудовому законодательству РФ (расчет и выплата заработной платы, компенсаций, отпускных, больничных; предоставление гарантий и льгот).
Ведение кадрового учета, формирование личного дела, трудовой книжки (электронной), СЗВ-ТД, СЗВ-СТАЖ.
Представление отчетности в контролирующие органы (ФНС России, Социальный фонд России (СФР), Росстат, прокуратура, суды).
Обеспечение режима доступа на территорию объекта / в информационные системы (СКУД, учет рабочего времени, выдача пропусков, электронная подпись).
Оформление и администрирование добровольного медицинского страхования (ДМС), страхования от НС, корпоративного обучения [указать конкретные программы/передать в страховую компанию * / учебный центр *].
Обеспечение безопасности труда, проведение медосмотров (обработка специальных категорий ПДн, данные о здоровье по справкам 086-У, заключениям ВЛЭК) [только при наличии].
[Иные цели, прямо следующие из закона или ТД, например: видеонаблюдение на рабочем месте для безопасности имущества].

Перечень обрабатываемых персональных данных:

Общие данные: ФИО, дата/место рождения, пол, гражданство, паспортные данные, СНИЛС, ИНН, адрес регистрации/проживания, контактные телефоны, email.
Кадровые данные: должность, подразделение, дата приема/увольнения, приказы, табельный номер, данные трудовой книжки, военный учет, данные об образовании, квалификации, награждения.
Семейные данные: сведения о супруге/супруге, детях, иждивенцах (для налоговых вычетов, пособий, ДМС) [при предоставлении справок].
Банковские реквизиты: номер счета/карты для зачисления заработной платы.
Данные о здоровье (спец. категория): справки 086-У, больничные листы, заключения ВЛЭК, рекомендации по условиям труда [только для целей п. 1, 6].
Биометрические данные: фото для пропуска/баджа, образец отпечатка пальца / вектор лица для СКУД [только при наличии СКУД на биометрии, требует отдельного выделенного согласия!].
Изображение (фото/видео): с камер видеонаблюдения на территории организации.

Способы и операции обработки:

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ) третьим лицам (указанным в п. 4), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется как автоматизированными средствами (HR-системы, 1С, СЭД, СКУД), так и без их использования (бумажные носители).

Перечень третьих лиц, которым Оператор вправе передать мои персональные данные (по согласованию или на основании закона):

Банк-расчетчик / зарплатный банк: [Наименование банка , БИК ] — для зачисления заработной платы.
Страховые организации: [Наименование СК , ОГРН ] — для оформления ДМС / страхования от НС.
Медицинские организации: [Наименование клиники , ОГРН ], для проведения предварительных/периодических медосмотров.
Обучающие центры: [Наименование УЦ , ОГРН ], для прохождения обучения по охране труда / профстандартам.
Иные лица в случаях, предусмотренных федеральными законами (суды, baiллы, налоговая, СФР, прокуратура, МВД).

Срок действия согласия и порядок его отзыва:

Настоящее Согласие действует с момента подписания до момента полного исполнения Оператором всех обязательств по трудовому договору и законодательству, а также до истечения сроков хранения документов, установленных законодательством в области архивного дела (в т.ч. 75 лет для документов, подлежащих передаче в архив).

Я информирован о праве отозвать настоящее Согласие путем направления письменного заявления Оператору не позднее чем за 30 (тридцать) календарных дней до предполагаемой даты прекращения обработки. При этом понимаю, что отзыв согласия не влечет прекращения обработки данных, необходимых для исполнения трудового договора, закона или судебного акта (п. 2 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 ФЗ № 152-ФЗ).

Информирование субъекта ПДн (подтверждаю, что мне разъяснены/я ознакомлен(а)):

Правом требовать от Оператора уточнения, блокирования или уничтожения моих ПДн при неполноте/устаревании/незаконности обработки.
Правом обратиться в Роскомнадзор или в суд для защиты своих прав.
С Политикой Оператора в отношении обработки ПДн (Положением о защите ПДн), опубликованной на сайте / доступной в HR-отделе / на информационном стенде.
О мерах защиты ПДн, применяемых Оператором (организационных и технических).
О последствиях отказа в подписании настоящего Согласия (невозможность заключения/исполнения трудового договора, оформления выплат, доступа на объект).

Подпись: ___________________ / [ФИО полностью *]

Примечание: Данный образец является базовым. При наличии специфических систем (биометрия, мониторинг почты/мессенджеров, профилирование, принятие автоматизированных решений) необходимо добавить соответствующие блоки с детальным описанием логики обработки и прав субъекта на человеческое вмешательство (ст. 18.1 ФЗ-152).

Образец Договора на обработку ПДн (для сложных случаев / передачи третьим лицам)

Если требуется именно Договор (двусторонний документ), он оформляется как приложение к Трудовому договору. Ниже, структура ключевых условий.

ДОГОВОР НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКА

г. [Город ] «___» _____________ 20__ г.

[Наименование организации / ФИО ИП ], именуемое в дальнейшем «Оператор», в лице [Должность руководителя ] [ФИО руководителя ], действующего на основании [Устава / доверенности № ], с одной стороны, и [ФИО работника ], именуемый в дальнейшем «Субъект», с другой стороны, совместно именуемые «Стороны», заключили настоящий Договор о нижеследующем:

ПРЕДМЕТ ДОГОВОРА

Оператор обязуется обрабатывать персональные данные Субъекта, а Субъект дает согласие на их обработку на условиях настоящего Договора.

Перечень ПДн, подлежащих обработке, цели, способы и сроки определены в Приложении № 1 (Матрица обработки ПДн), являющемся неотъемлемой частью Договора.

ПРАВА И ОБЯЗАННОСТИ СТОРОН

Оператор имеет право: привлекать третьих лиц (уполномоченных) для обработки ПДн по поручению Оператора (ст; 8 ФЗ-152) с заключением соответствующих договоров; определять состав и меры защиты ПДн в соответствии с ЛНА.

Оператор обязан:

Обрабатывать ПДн только для целей, указанных в Приложении № 1.
Обеспечивать конфиденциальность ПДн (кроме общедоступных).
Применять правовые, организационные и технические меры защиты (Приложение № 2 — Перечень мер защиты).
Уведомлять Субъекта о полученных запросах на раскрытие ПДн госорганами (если законом не запрещено);
Обеспечить права Субъекта (доступ, исправление, блокирование, удаление, отзыв согласия).

Субъект имеет право: получать информацию об обработке своих ПДн; требовать уточнения/уничтожения неверных/незаконных данных; отзывать согласие (с уведомлением за 30 дней); обращаться в Роскомнадзор/суд.

Субъект обязан: предоставлять достоверные ПДн; своевременно уведомлять об изменениях (смена паспорта, адреса, банковских реквизитов, семьи); ознакомиться с ЛНА по защите ПДн под роспись.

ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ

Передача ПДн третьим лицам допускается только при наличии оснований, указанных в ст. 6, 9, 10, 11 ФЗ-152, и с указанием конкретных получателей в Приложении № 1.

При передаче ПДн по поручению Оператора (уполномоченным лицам) заключается договор с уполномоченным лицом, в котором прописываются цели, действия, меры защиты и запрет на дальнейшую передачу без согласия Оператора.

Передача ПДн за границу (трансграничная передача) осуществляется только при обеспечении адекватной защиты прав субъектов (ст. 12 ФЗ-152) или согласии Субъекта. [Заполнить при необходимости].

СРОКИ ХРАНЕНИЯ И УНИЧТОЖЕНИЕ

ПДн хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законом (ТК РФ, 225-ФЗ об архивах — 50/75 лет для кадровых docs).

После истечения сроков или достижения целей ПДн подлежат уничтожению (анонимизации) по акту комиссии в срок не позднее 30 дней. Журнал уничтожения ведется.

ОТВЕТСТВЕННОСТЬ СТОРОН

За нарушение условий Договора и требований ФЗ-152 Стороны несут ответственность в соответствии с КоАП РФ (ст. 13.11 — до 15 млн руб. для юрлиц), ГК РФ (убытки, моральный вред) и ТК РФ (дисциплинарная).

Оператор не несет ответственности за утечку ПДн, произошедшую по вине Субъекта (передача паролей, потеря носителей), либо в случае форс-мажора.

ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

Договор вступает в силу с момента подписания и действует до полного исполнения обязательств.

Изменения/дополнения — только письменным виде, подписанным Сторонами.

Споры — в судебном порядке по месту нахождения Оператора.

ПОДПИСИ СТОРОН:

ОПЕРАТОР:
[Наименование ]
Подпись: _____________ / [ФИО ]
М.П. (при наличии)

СУБЪЕКТ (РАБОТНИК):
[ФИО полностью ]
Подпись: _____________ / [ФИО ]

ПРИЛОЖЕНИЕ № 1: МАТРИЦА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ (ФРАГМЕНТ)

Категория ПДн	Конкретные данные	Цель обработки	Правовое основание	Способы	Срок хранения	Передача 3-м лицам (Кому/Зачем)
Общие	ФИО, Паспорт, СНИЛС, ИНН, Адрес, Тел., Email	Идентификация, ТД, Отчетность	Ст. 6, 11 ФЗ-152; ТК РФ (ст. 65, 86)	Авто/Неавто: сбор, хранение, передача	75 лет (кадровый архив)	ФНС, СФР, Банк , СК
Спец. (Здоровье)	Справка 086-У, Больничный, ВЛЭК	Безопасность труда, Оплата больничных, Льготы	Ч. 2 ст. 10 ФЗ-152; ТК РФ (ст. 213, 185)	Авто/Неавто: сбор, хранение (отдельно!)	50/75 лет	СФР (больничные), Медкомиссия *
Биометрия	Вектор лица / Отпечаток	Доступ СКУД, Учет рабочего времени	Ст. 11 ФЗ-152; Отдельное согласие	Авто: сбор, сверка, хранение	До отзыва согласия / уволнения + 3 г.	Не передаются
Банковские	№ счета/карты, БИК банка	Выплата зарплаты	Ст. 136 ТК РФ; ст. 6 ФЗ-152	Авто: передача в банк	5 лет после уволнения	Банк * (зарплатный проект)

Пошаговая инструкция: как правильно оформить документы в 2026 году

Аудит данных: Составьте реестр процессов обработки ПДн (какие данные, зачем, где хранятся, кто имеет доступ). Без реестра невозможно грамотно заполнить Приложение к Договору/Согласию;
Подготовка ЛНА (ДО найма): Утвердите Приказом:
- Политику конфиденциальности (опубликуйте на сайте/стенде).
- Положение о защите/обработке ПДн работников.
- Перечень мер защиты (оргтех: доступы, шифрование, бэкапы, физ. защита серверов/архивов).
- Порядок информирования субъектов и реагирования на инциденты (утечки).
Ознакомление кандидата/работника: Критический момент! Перед подписанием Согласия/Договора сотрудник ДОЛЖЕН ознакомиться с Политикой и Положением под роспись в Журнале ознакомления или ЭЦП/СЭД. Без этого соглашение может быть признано недействительным судом/Роскомнадзором.
Заполнение формы: Используйте образец выше. Заполните все поля. Не оставляйте «…» или «и т.д.» в целях и перечне данных. Укажите конкретных получателей (Банк , СК ).
Подписание: Работник ставит личную подпись с расшифровкой и датой. Для Договора — подпись руководителя/уполномоченного лица. Один экземпляр работнику, второй — в личное дело / HR-систему.
Учет в СИЗ (Системе информационной защиты): Занесите запись в Журнал учета носителей ПДн / Реестр процессов. Назначьте ответственных за каждый процесс.
Работа с отзывом: Если работник пишет заявление на отзыв — регистрируйте, дайте ответ за 10 дней (ст. 21 ФЗ-152), объясните, какие данные будут обработаны дальше по закону (зарплата, налоги, архив), а какие — уничтожены/обезличены.

Типичные ошибки, за которые штрафует Роскомнадзор (практика 2025-2026)

Отсутствие ЛНА (Политики/Положения) на момент подписания согласия. Штраф по ст; 13.11 КоАП (до 75 тыс. руб. для юрлиц за повтор).
Общие формулировки целей: «Для кадровых целей», «Для нужд организации». Нужно конкретно: «Расчет зарплаты», «Отчетность в СФР», «Выдача пропуска СКУД».
Сбор «лишних» данных: Требование справок о несудимости (если не требуется законом), фото для личного дела без цели, согласие на рассылку новостей компании в обязательном порядке.
Передача третьим лицам без указания в согласии/договоре. Передали данные в ДМС-страховщик, а в согласии нет пункта «передача в ООО «Страх-Гарант» ИНН *». Нарушение ст. 9 ФЗ-152.
Игнорирование биометрии: Внедрили СКУД по лицу/пальцу, а отдельного согласия (пункта в договоре) нет. Штрафы по ст. 13.11 КоАП + ст. 13.14 (нарушение прав субъекта).
Несвоевременное уничтожение: Хранение личных дел уволенных сотрудников дольше 75 лет без архивирования или уничтожение раньше 50/75 лет (нарушение 225-ФЗ).
Отсутствие Журнала информирования/ознакомления. Недоказуемо, что работник знал о своих правах и политике компании.

Ответы на частые вопросы (FAQ)

Нужно ли нотариальное заверение согласия/договора?

Нет. ФЗ-152 не требует нотариальной формы. Достаточно простой письменной формы (подпись сотрудника). Нотариат нужен только для доверенностей на получение ПДн у третьих лиц или сделок с недвижимостью.

Можно ли использовать электронное согласие (ЭЦП/СМС/галочка в портале)?

Да, ст. 9 ФЗ-152 допускает электронную форму. Но: 1) Должна быть надежная идентификация автора (КЭП / ЭЦП по ГОСТ / учетная запись в СЭД с подтвержденной личностью). 2) Текст согласия должен быть доступен для просмотра перед подписанием. 3) Должен формироваться аудит-лог (кто, когда, какой текст подписал). Простая галочка «Я согласен» на сайте без идентификации — риск.

Что делать, если работник отказывается подписывать?

Отказ от подписания согласия на обработку данных, необходимых для исполнения ТД (паспорт, СНИЛС, ИНН, банковские реквизиты), является основанием для отказа в приеме на работу (ч. 4 ст. 64 ТК РФ) или невозможности исполнения обязательств (некуда перевести зарплату). Однако работодатель не имеет права заставлять подписывать согласие на «лишние» цели (маркетинг, передача партнерам не по ТД, биометрию без нужды). В спорных случаях — консультируйтесь с юристом.

Сколько хранить согласие после увольнения?

Согласие (как документ, подтверждающий законность обработки) хранится в составе личного дела / дела по учету рабочего времени — 75 лет (п. 595 Типового перечня Росархива, утв. Приказом Минкультуры от № 2364). После уволнения личное дело передается в архив организации.

Нужно ли уведомлять Роскомнадзор о обработке ПДн работников?

С 2022 года общее уведомление о начале обработки ПДн в реестр Роскомнадзора отменено для большинства операторов. Исключения: операторы, обрабатывающие ПДн более 100 тыс. субъектов, госорганы, операторы биометрии, перечень которых определен Правительством. Но вести внутренний реестр процессов обработки обязательно для всех (ст. 22 ФЗ-152).

Чек-лист для HR / Кадровика перед подписанием

[ ] Утверждены Приказом: Политика конфиденциальности, Положение о защите ПДн, Перечень мер защиты.
[ ] Составлен Реестр процессов обработки ПДн (внутренний документ).
[ ] Кандидат/Работник ознакомлен с ЛНА под роспись (Журнал или СЭД) ДО подписания согласия.
[ ] Форма Согласия/Договора заполнена полностью: ФИО (), Паспорт (), Адрес (*), Цели (конкретно), Перечень данных (конкретно), Получатели (конкретно: Банк , СК ).
[ ] Есть пункт про право отзыва и последствия отзыва (обработка по закону продолжается).
[ ] Подпись работника личная, с расшифровкой, датой.
[ ] Экземпляр выдан работнику (под роспись в журнале выдачи или в СЭД).
[ ] Данные занесены в HR-систему / 1С с соблюдением ролевого доступа.
[ ] Настроено автоматическое удаление/обезличивание по истечении сроков (или календарь ручного контроля).

Грамотное оформление Согласия на обработку персональных данных (или Договора) — это не просто формальность для инспекции, а основа информационной безопасности компании и защиты прав сотрудников. В 2026 году Роскомнадзор продолжает курс на «прозрачность» и «минимальность»: собирайте только то, что нужно для работы, честно пишите, зачем и кому передаете, и обязательно информируйте людей о своих правах до получения подписи.

Используйте приведенные выше образцы как базу, адаптируйте их под реальные бизнес-процессы вашей организации (СКУД, ДМС, удаленка, мониторинг, биометрия) и регулярно сверяйтесь с актуальной практикой Роскомнадзора и судебной практикой.

Дисклеймер: Данная статья носит информационный характер и не является юридической консультацией. Образцы требуют адаптации под специфику вашей организации и проверки актуального законодательства на момент использования. Персональные данные в примерах замаскированы (*) в целях безопасности. Для решения конкретных спорных вопросов обратитесь к профессиональному юристу по трудовому и информационному праву.