С 2025 года изменились требования к работе с персональными данными. Согласие на обработку теперь оформляется только как отдельный документ. Точка Банк разобрал, когда нужно получать согласие на обработку данных, как правильно его оформить и сколько хранить.
Коротко
Согласие на обработку персональных данных — обязательный документ. Его сотрудник подписывает добровольно, чтобы работодатель мог законно использовать личные сведения. Без этого согласия работать с персональными данными нельзя.
Согласие на обработку персональных данных — обязательный документ. Его сотрудник подписывает добровольно, чтобы работодатель мог законно использовать личные сведения. Без этого согласия работать с персональными данными нельзя.
Что такое согласие на обработку персональных данных
Согласие на обработку персональных данных — это письменное разрешение физического лица на использование его личных сведений. Работодатель получает такое согласие, чтобы законно хранить и применять данные документов: паспорт, СНИЛС, диплом, трудовую книжку, медкнижку и другие.
В согласии обычно указывают:
- какие данные собирают;
- зачем они нужны;
- кто их использует;
- срок хранения.
Работодатель может собирать и использовать персональные данные (ПДн) сотрудника только для законных задач. Это право автоматически делает работодателя оператором персональных данных. Согласие на обработку персональных данных защищает и работника, и работодателя.
Оператор персональных данных — это компания, организация или человек, который собирает и обрабатывает данные других людей. Например, им может быть ИП, интернет-магазин или даже салон красоты, где ведут запись клиентов.
Главная задача оператора — соблюдать закон о защите персональных данных. Нужно хранить информацию безопасно, не допускать утечек и использовать её только по назначению.
Если бизнес работает с персональными данными, он обязан уведомить об этом Роскомнадзор. Это официальная регистрация, которая показывает, что компания действует законно и ответственно.
Для чего нужно письменное согласие работника на обработку его данных
Требование об использовании ПДн закреплено в Федеральном законе №152-ФЗ «О персональных данных». Без согласия или законных оснований любые действия с личной информацией считаются нарушением и ведут к штрафам.
В согласии фиксируют цели обработки и перечень данных. Работодатель не вправе запрашивать лишнюю информацию: если нужны реквизиты для перевода зарплаты, то достаточно одного счёта, а не всех банковских карт сотрудника. Если на предприятии вводится пропускной режим, то для удостоверения достаточно ФИО, должности и фото работника. Для каждой отдельной цели нужно получать согласие, если только закон прямо не разрешает обрабатывать данные без него.
Согласие обязательно, если:
- публикуются сведения в открытом доступе, например на сайте компании;
- обрабатываются биометрические данные или данные о национальности, убеждениях, здоровье;
- передаются данные сторонним организациям.
Что включает в себя согласие на обработку персональных данных
Согласие на обработку персональных данных должно соответствовать следующим условиям:
- Добровольность — документ оформляется по собственной инициативе человека, без давления и принуждения.
- Осознанность — сотрудник, дающий разрешение, понимает, какие данные и куда передаются и как будут использоваться.
- Конкретность и однозначность — формулировки согласия должны быть точными, без разночтений и двусмысленности.
- Информированность — документ должен содержать всю необходимую информацию о целях, объёме и способах обработки персональных данных.
Форма и образец согласия на обработку ПДн
Работодатель может оформить согласие на бумаге или в электронном формате с электронной подписью. В нём нужно указать: ФИО и паспортные данные сотрудника, сведения о работодателе как операторе, цель обработки, например кадровый учёт или расчёт зарплаты, перечень конкретных данных, срок действия согласия и порядок его отзыва. Если работодатель планирует поручить обработку другому лицу, это также нужно прописать отдельно
Такой документ позволяет использовать и хранить сведения, но не даёт право передавать их третьим лицам. Для распространения информации требуется отдельное согласие.
Особое внимание требуется при работе с биометрическими данными: фото, видео, отпечатками. Для этого оформляется отдельное согласие. Без него работодатель не вправе использовать такие сведения, даже если они нужны, например, для пропуска на территорию.
Сотрудник может запросить информацию о том, как используются его персональные данные. Работодатель должен ответить в течение 10 рабочих дней. Если нужно больше времени, он направляет сотруднику мотивированное уведомление и получает ещё дополнительно 5 дней на ответ.
Во время работы сотрудника и после её окончания работодатель обязан сохранять кадровые документы, содержащие персональные данные. Это требование закона о хранении архивов. Поэтому, в согласие на обработку данных нужно добавить информацию о хранении, чтобы сотрудник знал, что его сведения будут храниться до 50 лет.
Образец согласия на обработку персональных данных на сайте Роскомнадзора
Организация и ИП могут воспользоваться готовой формой согласия, размещённой на сайте Роскомнадзора. Иногда это проще и удобнее, чем составлять его на бумаге. Чтобы работать на сайте, нужно зайти через личный кабинет на Госуслугах.
Также доступен онлайн-сервис , где можно создать шаблон согласия на обработку и распространение данных с учётом индивидуальных особенностей деятельности компании. Чтобы избежать ошибок, готовый документ направьте на предварительную проверку в ведомство.
Изменения по согласию на обработку персональных данных в 2025 году
С 1 сентября 2025 года изменились правила оформления согласия на обработку персональных данных, согласно Федеральному закону от 24.06.2025 №156-ФЗ. Согласие необходимо оформлять как отдельный документ, а не включать его в трудовой договор, анкету или другое заявление.
Раньше согласие могли включать в разные документы, и сотрудник подписывал их целиком, фактически разрешая обработку данных автоматически. Требование отдельного документа действовало только для передачи данных третьим лицам. Например, если работодатель передавал сведения сотрудника охранной компании для пропускного режима. С 1 сентября нужно оформить два документа: одно — на обработку данных, второе — на передачу третьим лицам.
Если сотрудник отказывается подписывать согласие
Если сотрудник отказывается подписывать согласие на обработку ПДн, работодатель должен разъяснить причину необходимости сбора и обработки ПДн. Необходимо уточнить, какие данные собираются, с какой целью и как будет обеспечена их защита.
Отказ следует зафиксировать письменно. Если согласие не получено, можно предложить сотруднику адаптированную форму документа.
Отказ от подписания корпоративного шаблона не может быть основанием для лишения льгот, таких как ДМС или дотация на питание. Судебная практика подтверждает, что работодатель не вправе требовать согласие только по установленной форме.
Судебная практика гласит: В деле И. против ООО работодатель отказался предоставлять сотруднику льготы, такие как ДМС и дотация на питание. Причиной стало то, что сотрудник оформил согласие на обработку персональных данных не по корпоративной форме.
Если отказ касается данных, необходимых для трудоустройства, то работодатель может отказать в приёме, так как без этих сведений он не сможет выполнять свои обязанности.
Можно ли отозвать согласие на обработку ПДн
Сотрудник имеет право в любой момент отозвать согласие на обработку своих персональных данных, даже после увольнения. Для этого он подаёт работодателю заявление в свободной форме, объяснять причины не требуется.
В отзыве обычно указывают:
- работодателя (оператора ПД), которому ранее выдавалось согласие;
- данные сотрудника: ФИО, адрес, паспортные сведения;
- название документа — «Отзыв согласия на обработку персональных данных»;
- суть заявления — отказ от ранее выданного разрешения на обработку;
- дату и подпись сотрудника.
Срок действия и хранения согласия на обработку персональных данных
Срок действия согласия на обработку персональных данных определяется самим документом, так как законом он не установлен. Работодатель может указать конкретную дату окончания, определённый период или прописать, что согласие действует до его отзыва сотрудником либо до достижения целей обработки.
Чаще всего указывают такие варианты:
- до момента достижения цели, ради которой данные обрабатываются;
- до отзыва согласия сотрудником.
Бланк согласия нужно хранить весь срок его действия, а после окончания — ещё 3 года, независимо от того, закончился ли срок, были достигнуты цели или сотрудник отозвал согласие.
Ответственность за отсутствие согласия на обработку ПДн
За ошибки при оформлении или получении согласия на обработку персональных данных предусмотрена административная ответственность (ст. 13.11 КоАП РФ). Размер штрафа зависит от статуса нарушителя.
Незаконная обработка персональных данных либо обработка данных не по целям сбора влечёт за собой штрафы:
- для граждан — от 10 000 до 15 000 ₽;
- должностных лиц — от 50 000 до 100 000 ₽;
- юридических лиц — от 150 000 до 300 000 ₽.
За повторное нарушение — более высокие штрафы, пропорционально должности и типу лица: физическое, должностное, юридическое.
Обработка персональных данных без письменного согласия субъекта, когда такое согласие обязательно:
- для граждан — 10 000–15 000 ₽;
- должностных лиц — 100 000–300 000 ₽;
- юридических лиц — 300 000–700 000 ₽.
Помимо штрафов Роскомнадзор может вынести предписание об устранении нарушений. Если его не выполнить в установленный срок, возможны дополнительные санкции.
Должен ли работодатель уведомлять Роскомнадзор
Любая компания или ИП обязаны сообщить Роскомнадзору о начале работы с персональными данными. Это правило действует даже в самых простых ситуациях, например когда нужно оформить пропуск в офис или заключить договор.
Бизнес попадает в открытый реестр Роскомнадзора. Проверить сведения об организации можно на официальном сайте государственного органа, указав её наименование или ОГРН.
Если компании в реестре нет, нужно подать уведомление
Как уведомить о согласии на обработку персональных данных
Форма и порядок её заполнения утверждены приказом Роскомнадзора от 28.10.2022 №180, а список обязательных сведений приведён в ст. 22 Федерального закона №152-ФЗ.
В уведомлении указывают:
- название или ФИО работодателя, его адрес;
- цель обработки данных;
- меры по защите информации;
- ответственных за обработку, их контакты;
- дату начала обработки;
- срок или условия её прекращения;
- сведения о трансграничной передаче, если есть;
- место хранения базы данных;
- категории персональных данных и субъектов;
- правовое основание и перечень действий с данными.
Способы подачи уведомления
Бумажный вариант
- Заполнить форму, подписать у руководителя и передать в территориальный орган Роскомнадзора.
- Подходит, если нет электронной подписи.
- Требует личной подачи или отправки почтой.
Электронный вариант
- Заполнить форму на сайте Роскомнадзора или через Госуслуги.
- Подписать электронной подписью.
- Быстрее и удобнее, но потребуется установить плагин Роскомнадзора и иметь ЭЦП.
Что грозит за разглашение ПДн
С 30 мая 2025 года за утечку персональных данных действует более строгая ответственность. Штрафы достигают 15 млн ₽, а при повторной массовой утечке компании получают оборотные штрафы — до 3% от годовой выручки, но не менее 20 млн ₽. В отдельных случаях назначается и уголовное наказание. Также любая компания обязана сообщать об утечке в Роскомнадзор в течение 24 часов.
Основные санкции
- Массовая утечка обычных данных — штраф до 15 млн ₽.
- Утечка биометрических или специальных данных — штраф до 20 млн ₽.
- Для граждан — от 300 000 до 400 000 ₽.
- Для должностных лиц — от 1 млн до 1,3 млн ₽.
- Для юрлиц и ИП — от 10 млн до 15 млн ₽.
- Повторная массовая утечка — оборотные штрафы от 1 до 3% годовой выручки, минимум 20 млн ₽.
- Неуведомление Роскомнадзора вовремя — штраф до 3 млн ₽.