Персональные данные работников, это один из самых частых и самых недооценённых блоков в теме 152-ФЗ. Даже если компания не ведёт активные продажи через сайт, у неё почти всегда есть кадровый контур: сотрудники, кандидаты, анкеты, приказы, личные дела, банковские реквизиты, контакты, документы для расчёта зарплаты и кадрового учёта.
Поэтому работодателю важно понимать: обработка персональных данных работников начинается не где-то в теории, а в обычной ежедневной работе отдела кадров, бухгалтера, руководителя и HR.
Что относится к персональным данным работников
Обычно это:
- ФИО
- дата рождения
- паспортные данные
- адрес регистрации и проживания
- номер телефона
- СНИЛС
- ИНН
- сведения об образовании
- сведения о семейном положении, если они нужны для кадрового учёта
- данные о трудовом стаже
- банковские реквизиты для выплаты зарплаты
- сведения из резюме и анкет
Если по этим данным можно идентифицировать человека, значит работодатель обрабатывает персональные данные работника.
На каком основании работодатель обрабатывает персональные данные работников
Одна из частых ошибок, считать, что для любой кадровой обработки обязательно нужно отдельное согласие работника. На практике это не всегда так.
Во многих случаях основанием обработки выступают:
- требования трудового законодательства
- исполнение трудового договора
- выполнение обязанностей работодателя
- требования бухгалтерского и налогового учёта
Отдельное согласие чаще требуется там, где обработка выходит за стандартные кадровые цели или не опирается напрямую на закон и трудовые отношения.
Какие документы обычно нужны работодателю
Минимальный комплект зависит от структуры компании, но чаще всего проверяют:
- политику обработки персональных данных
- локальный акт или положение о персональных данных работников
- приказ о назначении ответственного за обработку персональных данных
- формы согласий, если они действительно нужны
- порядок доступа сотрудников к персональным данным
- инструкции и регламенты по обработке ПДн
- журналы или формы учёта обращений субъектов персональных данных
- документы, регулирующие хранение, передачу и уничтожение данных
То есть кадровая работа по ПДн, это не один шаблон, а система внутренних документов.
Где работодатели чаще всего ошибаются
Ошибка 1. Хранить больше данных, чем реально нужно
Работодатель собирает максимальный пакет информации «на всякий случай», хотя часть данных не нужна для кадровых целей.
Ошибка 2. Не разделять данные работников и кандидатов
Резюме, анкеты соискателей и данные уже оформленных сотрудников, это разные процессы обработки, которые лучше описывать отдельно.
Ошибка 3. Давать слишком широкий доступ к кадровым данным
Если к личным данным работников имеют доступ все подряд, это уже риск с точки зрения режима обработки и защиты информации.
Ошибка 4. Хранить документы бессистемно
Личные дела, сканы паспортов, реквизиты и анкеты лежат в общих папках, чатах, почте или облаке без понятной логики доступа.
Ошибка 5. Использовать согласия там, где они не решают проблему
Согласие не заменяет нормальную правовую модель обработки и локальные акты работодателя.
Что делать работодателю в первую очередь
1. Провести инвентаризацию кадровых данных
Нужно понять:
- какие данные собираются
- на каком этапе они появляются
- кто имеет к ним доступ
- где они хранятся
- кому они передаются
2. Разделить процессы по категориям
Отдельно стоит описать:
- кандидатов
- действующих работников
- бывших работников
- подрядчиков-физлиц, если они есть
3. Проверить основания обработки
Важно отделить то, что обрабатывается по закону и трудовым обязанностям, от того, где действительно нужно отдельное согласие.
4. Обновить документы
Документы должны отражать реальную кадровую практику, а не просто лежать в папке как формальность.
5. Настроить режим доступа и хранения
Нужно определить, кто и на каком основании имеет доступ к кадровым данным и как обеспечивается их защита.
Нужны ли согласия работников
Это один из самых популярных вопросов. Универсального ответа «всегда да» или «всегда нет» здесь нет.
Для стандартных кадровых процедур часто применяются иные правовые основания, связанные с исполнением трудового законодательства и обязанностей работодателя. Но если работодатель хочет использовать данные для дополнительных целей, например размещать фото на сайте, публиковать информацию в маркетинговых материалах или передавать данные за рамками обязательной кадровой обработки, вопрос согласия возникает отдельно.
Именно поэтому безопаснее разбирать согласия не абстрактно, а по конкретным сценариям.
Что делать с резюме и данными соискателей
Данные кандидатов, это отдельный блок риска. Компании часто:
- сохраняют резюме слишком долго
- пересылают их без контроля
- не описывают цель обработки
- не фиксируют сроки хранения
Если у компании активный найм, сценарий обработки данных соискателей лучше выделять в отдельный раздел или отдельный документный блок.
Что проверяют с точки зрения практики
Если смотреть по логике реального compliance, работодателю важно показать:
- что данные собираются для конкретных целей
- что состав данных не избыточен
- что доступ к ним ограничен
- что есть ответственный и понятный внутренний порядок
- что документы соответствуют реальным кадровым процессам
Именно это отличает рабочую систему от формального набора шаблонов.
Короткий вывод
Персональные данные работников, это один из базовых и обязательных блоков 152-ФЗ для любого работодателя. Даже небольшая компания должна понимать:
- какие данные работников она собирает
- зачем она их обрабатывает
- на каком основании это делает
- какие документы должны быть оформлены
- как данные хранятся, передаются и уничтожаются
Чем раньше кадровый блок приведён в порядок, тем меньше риск претензий, утечек и проблем при проверке.
FAQ
Паспортные данные работника, это персональные данные?
Да, безусловно.
Нужно ли согласие работника на любую обработку его данных?
Нет, не на любую. Для стандартной кадровой обработки могут действовать иные правовые основания. Но отдельные дополнительные сценарии нужно анализировать отдельно.
Резюме кандидата тоже подпадает под 152-ФЗ?
Да. Данные соискателя тоже относятся к персональным данным и требуют корректной обработки.
Нужен ли отдельный документ по персональным данным работников?
На практике да, обычно нужен локальный кадровый блок документов, а не только общая политика на сайте.
Кто должен иметь доступ к персональным данным сотрудников?
Только те сотрудники, которым доступ действительно нужен для выполнения служебных обязанностей.
Что почитать дальше
- Ответственный за обработку персональных данных
- Образцы документов по 152-ФЗ
- Оператор персональных данных
- Нужно ли подавать уведомление в Роскомнадзор
CTA
Если кадровый контур в компании оформлен шаблонно или давно не пересматривался, лучше начать с ревизии: какие данные работников вы обрабатываете, на каком основании, где они хранятся и какие документы реально закрывают этот процесс. Обычно именно в HR-блоке скрывается много системных рисков, которые можно убрать заранее.
