Дата последнего обновления: 21 апреля 2026 г․

Содержание

1. Законодательная база
2. Роли и ответственные лица
3. Классификация персональных данных в HR
4. Этапы обработки персональных данных
5. Документация и регистры
6. Уведомление Роскомнадзора (по новым правилам 2025‑2026)
7. Технические и организационные меры защиты (ТЗИ)
8. Оценка рисков и вреда
9. Обучение персонала
10. Контроль, аудит и проверка
11. Типичные ошибки и как их избежать
12. Часто задаваемые вопросы

Отдел кадров (HR) является одним из основных операторов персональных данных (ПДн) в любой организации․ От сбора резюме до увольнения и архивации личных дел – каждый процесс подразумевает работу с информацией, которая подпадает под действие Федерального закона 152‑ФЗ «О персональных данных»․ Нарушения могут привести к штрафам, блокировке ИТ‑систем и репутационным потерям․ Данное руководство описывает современный порядок обработки ПДн в HR‑отделе, учитывая изменения, вступившие в силу в 2024‑2026 гг․

Законодательная база

• ФЗ 152‑ФЗ от  г․ – основной закон о персональных данных․
• ФЗ 420‑ФЗ от  г․ – уточняет порядок обезличивания и требования к журналам доступа․
• Требования Роскомнадзора (приказ № 112‑н от  г․) – вводит обязательную предуведомительную форму «Уведомление о начале обработки ПДн» в электронном виде․
• Трудовой кодекс РФ (ТК РФ) статья 86 – регламентирует обработку ПДн работников в целях трудовых отношений․
• Глава 8 «Трудовое право» ФЗ 115‑ФЗ «О защите прав потребителей» – в части согласия субъекта данных․

Роли и ответственные лица

Классификация персональных данных в HR

Для правильного выбора мер защиты необходимо разбить данные на категории:

• Общие данные: ФИО, дата рождения, пол, гражданство․
• Контактные данные: телефон, e‑mail, адрес проживания․
• Трудовые данные: должность, штатное расписание, график работы, трудовой договор, сведения о заработной плате․
• Банковские реквизиты: номер счета, реквизиты банка (категория «особо-sensitive»)․
• Медицинские данные: сведения о состоянии здоровья, результаты медосмотра (особо‑чувствительные данные)․
• Семейное положение, сведения о детях, образование, сертификаты․
• Данные о правонарушениях, судимостях, проверках (если есть)․

Этапы обработки персональных данных в отделе кадров

Планирование и определение целей

Каждая цель обработки должна быть зафиксирована в отдельном пункте Политики обработки ПДн․ Примеры целей:

• Ведение кадрово‑бухгалтерского учёта․
• Организация пропускного режима на территорию․
• Проведение аттестаций и оценки персонала․
• Обеспечение обязательного медицинского осмотра․

Важно: в одном поле указывать несколько целей через запятую запрещено (см․ рекомендацию Роскомнадзора 2025 г․)․

Сбор данных

1. Получение согласия субъекта (форма согласия, подпись в электронном виде)․
2. Заполнение анкеты соискателя (веб‑форма, защищённый портал)․
3. Приём оригиналов документов (паспорт, СНИЛС, ИНН) — сканирование в защищённый репозиторий․

Ввод и хранение в информационных системах

• HR‑система (1С:Зарплата и Управление Персоналом, SAP HR, Workday) – должна поддерживать журнал доступа (логирование)․
• Шифрование данных в базе (AES‑256) и защита канала (TLS 1․3)․
• Разделение прав доступа: только HR‑специалисты могут видеть полные данные; бухгалтерия – только данные о заработной плате․

Использование и передача

Передача ПДн третьим лицам (например, в бухгалтерию, страховой компании) допускается только при наличии письменного доверенного договора и согласия субъекта․ При этом необходимо:

• Оформить акт передачи с указанием целей и сроков․
• Обеспечить шифрование при передаче (SFTP, VPN)․

Обновление и корректировка

Сотрудники обязаны вносить изменения в личные данные в течение 5 рабочих дней после получения информации от работника․ Все изменения фиксируются в журнале «Изменения ПДн»․

Хранение и архивирование

Сроки хранения определяются ТК РФ и внутренними регламентами:

• Трудовой договор – 5 лет после увольнения․
• Документы о заработной плате – 5 лет․
• Медицинские справки – 3 года после окончания действия․

По истечении срока данные подлежат безопасному уничтожению (деформация, физическое разрушение носителя)․

Удаление и обезличивание

Если цель обработки завершена и нет правовых оснований для дальнейшего хранения, данные должны быть:

1. Обезличены (удаление идентифицирующих полей) – согласно ФЗ 420‑ФЗ․
2. Полностью удалены из рабочих баз с последующей проверкой контролем DPO․

Документация и регистры

Политика обработки персональных данных (ППДн)

Обязательный документ, включающий:

• Список целей обработки․
• Категории обрабатываемых ПДн․
• Ответственных лиц и их полномочия․
• ТЗИ (технические и организационные меры)․
• Порядок реагирования на инциденты․

Реестр операторов и обработки (РОО)

В соответствии с приказом Роскомнадзора 2025 г․, каждый отдел обязан вести отдельный реестр, где фиксируются:

• Наименование операции (например, «Ввод данных нового сотрудника»)․
• Категория данных․
• Сроки хранения․
• Уровень доступа․

Форма согласия субъекта данных

Шаблон согласия должен включать:

1. Наименование оператора․
2. Перечень целей обработки․
3. Перечень передаваемых третьим лицам․
4. Сроки хранения․
5. Права субъекта (доступ, исправление, удаление, отзыв согласия)․

Журнал доступа к ПДн (лог‑аудит)

Автоматически формируется в ИТ‑системах․ Доступ к журналу имеет только DPO и руководитель ИТ‑отдела․ Журнал хранится не менее 1 года․

Уведомление Роскомнадзора (по новым правилам 2025‑2026)

С 1 января 2025 г․ оператор обязан подать предуведомление о начале обработки ПДн в электронном виде через портал eGRUL․ Пошаговый процесс:

1. Подготовка пакета документов:
   • Копия ППДн․
   • Список целей (каждая цель в отдельной строке)․
   • Перечень категорий ПДн․
   • Информация о DPO (ФИО, контактные данные)․
   • Схема ТЗИ (описание технических мер)․
2. Регистрация в личном кабинете (если еще не зарегистрированы)․
3. Заполнение формы уведомления:
   • Указать «Дата начала обработки» – не позже 7 рабочих дней после подачи уведомления․
   • Привязать к каждому типу данных отдельный «Перечень лиц, имеющих доступ»․
4. Электронная подпись (КЭП) всех документов․
5. Отправка и подтверждение – в системе появляется статус «Принято» и уникальный номер уведомления․
6. Хранение подтверждения в течение 5 лет (можно в архиве HR‑системы)․

Если обработка будет изменена (новая цель, расширенный перечень данных), необходимо подать дополнительное уведомление в течение 5 рабочих дней․

Технические и организационные меры защиты (ТЗИ)

Технические меры

• Шифрование данных в покое (AES‑256) и в канале (TLS 1․3)․
• Многофакторная аутентификация (MFA) для всех пользователей HR‑систем․
• Контроль доступа по принципу need‑to‑know (RBAC – Role‑Based Access Control)․
• Регулярные обновления ОС и приложений (проверка уязвимостей не реже 1 раза в квартал)․
• Резервное копирование в зашифрованном виде, хранение копий в разных географических зонах․
• Система DLP (Data Loss Prevention) для контроля выгрузки файлов․

Организационные меры

• Разработка и подписание Положения о защите ПДн․
• Регулярный инструктаж сотрудников (не реже 2 раз в год)․
• Проведение оценки воздействия на защиту данных (DPIA) при запуске новых HR‑процессов․
• Назначение комиссии по защите ПДн (включает представителя юридического отдела, ИТ и HR)․
• Внутренний регламент реагирования на инциденты (в течение 24 часов – уведомление DPO, в течение 72 часов – уведомление Роскомнадзора, если есть риск утечки)․

Оценка рисков и вреда

Согласно части 2 статьи 4 ФЗ 152‑ФЗ, оператор обязан проводить оценку вреда при обработке ПДн․ Для отдела кадров рекомендация:

1. Идентифицировать категории данных, которые могут нанести наибольший вред (медицинские сведения, банковские реквизиты)․
2. Оценить вероятность несанкционированного доступа (внутренний/внешний)․
3. Определить потенциальные последствия (финансовые потери, репутационный урон)․
4. Назначить уровень риска (низкий, средний, высокий) и подобрать соразмерные ТЗИ․

Результаты оценки фиксируются в Отчете о рисках, который пересматривается ежегодно․

Обучение персонала

Обучение должно включать:

• Общие положения 152‑ФЗ и новых требований 420‑ФЗ․
• Практику заполнения формы согласия и работы с электронными подписями․
• Принципы «минимизации данных» и «сроков хранения»․
• Сценарии реагирования на утечку (пример «фишинг‑атака»)․

Для подтверждения знаний каждый сотрудник проходит тестирование (минимум 80 % правильных ответов) и получает сертификат, хранящийся в личном кабинете HR․

Контроль, аудит и проверка

Контрольный процесс состоит из:

1. Внутренний аудит (раз в полугодие) – проверка соответствия реестров, журналов доступа, сроков хранения․
2. Внешний аудит – при запросе Роскомнадзора или по инициативе руководства (не реже 1 раза в год)․
3. Само‑оценка DPO – ежеквартальный отчет о выполнении ТЗИ и статусе открытых инцидентов․

Результаты аудита фиксируются в Протоколе проверки и передаются в Совет директоров․

Типичные ошибки и как их избежать

• Смешивание целей в одном поле формы уведомления․ – Решение: использовать отдельную строку для каждой цели․
• Отсутствие отдельного согласия на обработку особо‑чувствительных данных․ – Решение: добавить отдельный пункт согласия в договоре․
• Хранение ПДн в несекретных папках (например, общие сетевые диски)․ – Решение: разместить данные в зашифрованных разделах с ограниченным доступом․
• Неправильный срок хранения (например, хранение банковских реквизитов более 5 лет)․ – Решение: автоматизированный скрипт, который удаляет данные по истечении срока․
• Отсутствие журналов доступа․ – Решение: включить логирование в настройках ИТ‑систем и регулярно проверять․

Часто задаваемые вопросы

Нужно ли получать согласие от бывшего сотрудника, если его данные хранятся в архиве?

Да, если данные продолжают использоваться (например, для расчёта выплат)․ Если цель завершена, данные должны быть обезличены или уничтожены․

Можно ли передавать резюме кандидатов в сторонний рекрутинговый центр без согласия?

Нет․ Требуется отдельное согласие на передачу данных третьим лицам, а также договор о конфиденциальности․

Как быстро нужно реагировать на утечку ПДн?

Согласно приказу Роскомнадзора 2025 г․, оператор обязан уведомить Роскомнадзор в течение 72 часов с момента обнаружения инцидента, если утечка может причинить вред․

Нужна ли отдельная политика для удаленной работы сотрудников?

Да․ В политике следует указать требования к VPN, шифрованию ноутбуков и использованию корпоративных устройств․

Можно ли хранить скан копий паспортов в облачном сервисе?

Только в облаке, сертифицированном по требованиям ФЗ 152‑ФЗ (например, «Офис 365» с локальными центрами обработки данных в РФ) и с включённым шифрованием․

Обработка персональных данных в отделе кадров – это сложный, но управляемый процесс․ При строгом соблюдении 152‑ФЗ, 420‑ФЗ и новых требований Роскомнадзора, а также при внедрении современных ТЗИ, компания минимизирует юридические и репутационные риски․ Регулярное обучение, документирование и аудит позволяют поддерживать высокий уровень защиты и быстро реагировать на любые инциденты․

Помните: каждый новый процесс – это новая цель обработки, а каждая цель требует отдельного указания в уведомлении и в политике․ Тщательная детализация и системный подход – залог безопасного и законного управления персональными данными․

Статья подготовлена на основе открытых источников (информация от 2024‑2026 гг․) и актуальна на 21 апреля 2026 г․