При расчёте заработной платы бухгалтер использует Ф. И. О., СНИЛС, ИНН, банковские реквизиты и другие сведения о сотрудниках. Кадровая служба хранит паспортные данные, трудовые договоры и документы, связанные с трудовой деятельностью.

Эта информация относится к персональным данным, а действия с ней — к обработке.

Основные правила установлены Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Оператором персональных данных может быть организация или индивидуальный предприниматель, определяющие цели и порядок обработки информации о физических лицах.

При этом обработкой признаётся не только передача сведений третьим лицам. Хранение документов, внесение информации в бухгалтерскую программу, исправление реквизитов и удаление записей также подпадают под действие закона.

Поэтому даже небольшая организация, которая ведёт бухгалтерский и кадровый учёт, должна оценить соблюдение требований 152-ФЗ.

Одна из распространённых ошибок — считать, что любое действие с персональными данными обязательно требует отдельного согласия.

Закон предусматривает несколько оснований для обработки сведений.

Например, работодатель вправе использовать необходимую информацию о сотруднике для выполнения обязанностей, установленных трудовым и налоговым законодательством. В таких случаях основанием может выступать закон, а не согласие.

Аналогичная ситуация возникает при обработке данных, необходимых для исполнения договора, стороной которого является физическое лицо.

Однако если сведения планируется использовать для других целей, правовое основание нужно определить отдельно.

Например, согласие может понадобиться при размещении фотографии сотрудника на корпоративном сайте, использовании его данных в рекламных материалах или передаче сведений для целей, не связанных с обязательствами работодателя.

При этом следует учитывать специальные правила обработки биометрических данных и данных, разрешённых субъектом для распространения.

С 1 сентября 2025 года действует правило, согласно которому согласие на обработку персональных данных необходимо оформлять отдельно от других документов, подписываемых или подтверждаемых гражданином.

Поэтому включать согласие одним из пунктов трудового договора или пользовательского соглашения, когда требуется именно согласие, неправильно.

Документ должен позволять установить, на какие действия и для каких целей человек согласился.

Важно, что отдельное оформление не означает обязательного использования бумажного документа во всех случаях. Закон допускает различные способы подтверждения согласия, если для конкретной обработки не предусмотрена письменная форма.

Для бухгалтерии и кадровой службы это повод пересмотреть действующие шаблоны заявлений, анкет и согласий.

Единого обязательного комплекта из семи документов для всех организаций законодательство не устанавливает. Состав локальных актов зависит от особенностей обработки данных.

Тем не менее для внутреннего контроля полезно проверить наличие следующих документов:

1. Политики в отношении обработки персональных данных.

2. Локального акта, определяющего порядок обработки и защиты информации.

3. Приказа о назначении ответственного за организацию обработки персональных данных.

4. Перечня работников, которым предоставлен доступ к соответствующим сведениям.

5. Документов, устанавливающих порядок хранения бумажных и электронных носителей.

6. Форм согласий для ситуаций, в которых они необходимы.

7. Порядка внутреннего контроля и реагирования на инциденты.

Если компания собирает персональные данные через сайт, политика обработки должна быть доступна пользователям.

За невыполнение обязанности по опубликованию политики предусмотрена административная ответственность по части 3 статьи 13.11 КоАП РФ.

Большинство организаций должны направить уведомление о намерении осуществлять обработку персональных данных до её начала.

Исключения предусмотрены статьёй 22 Закона № 152-ФЗ. В частности, уведомление не требуется при обработке исключительно без использования средств автоматизации.

Однако бухгалтерские программы, электронные базы сотрудников и другие цифровые инструменты делают это исключение неприменимым для многих работодателей.

Кроме первоначального уведомления, компания обязана поддерживать актуальность сведений, переданных в Роскомнадзор.

Если изменяются сведения, подлежащие включению в реестр, соответствующую информацию необходимо направить не позднее 15-го числа месяца, следующего за месяцем изменений.

При прекращении обработки предусмотрено отдельное уведомление в течение десяти рабочих дней. 

Если произошла неправомерная или случайная передача персональных данных, повлекшая нарушение прав граждан, действует специальный порядок уведомления.

В течение 24 часов необходимо сообщить о произошедшем инциденте в Роскомнадзор.

В течение 72 часов направляются результаты внутреннего расследования и предусмотренные законом сведения.

Это означает, что компания должна заранее определить, кто фиксирует инциденты, кто взаимодействует с контролирующим органом и кто собирает информацию для расследования.

При наличии оснований, связанных с компьютерным инцидентом, могут возникать дополнительные обязанности по информированию через ГосСОПКА.

Закон не устанавливает универсального требования хранить все личные дела работников исключительно в сейфе.

Однако организация обязана принимать меры для предотвращения неправомерного доступа к персональным данным.

Поэтому бумажные документы целесообразно размещать в закрывающихся шкафах, а доступ к ним предоставлять только уполномоченным сотрудникам.

Для электронных данных необходимо разграничить права пользователей бухгалтерских и кадровых программ.

Особое внимание стоит уделять сотрудникам, которые увольняются или переводятся на другую должность. Их доступ к сведениям должен своевременно пересматриваться.

Перед очередной внутренней проверкой полезно ответить на несколько вопросов:

• Есть ли у организации действующая политика обработки персональных данных?

• Подано ли необходимое уведомление в Роскомнадзор?

• Определены ли правовые основания обработки информации о работниках?

• Соответствуют ли формы согласий действующим требованиям?

• Утверждён ли перечень лиц, имеющих доступ к данным?

• Защищены ли бумажные архивы и электронные базы?

• Установлен ли порядок уничтожения документов после истечения сроков хранения?

• Знают ли сотрудники, как действовать при обнаружении утечки?

В 2026 году бухгалтерия и кадровая служба остаются важными участниками системы защиты персональных данных.

Для соблюдения законодательства недостаточно получить подписи работников под типовым согласием. Необходимо определить законные основания обработки, правильно организовать хранение сведений, ограничить доступ к ним и соблюдать требования к уведомлениям.

Регулярная проверка этих процессов помогает уменьшить риск претензий со стороны Роскомнадзора и избежать дополнительных расходов, связанных с устранением нарушений.

Материал подготовлен заместителем руководителя направления юридического консалтинга компании EFSOL - Ириной Головня.

Реклама: ООО «ЭР Софт», ИНН 7716509296, erid: 2W5zFJVgnFB