Нужно ли согласие на обработку персональных данных при приёме на работу

Нужно ли брать с работника согласие на обработку персональных данных при приёме, когда оно всё-таки требуется и что такое положение о данных работников.

Коротко

Нет, для обычного оформления трудовых отношений согласие работника на обработку персональных данных не нужно. Работодатель ведёт эту обработку не потому, что работник согласился, а потому что закон обязывает вести кадровый учёт: обработка персональных данных работника может осуществляться исключительно в целях, названных в ст. 86 ТК РФ, — соблюдение законов, содействие в трудоустройстве, получении образования и продвижении, личная безопасность работников, контроль количества и качества работы, сохранность имущества, а обработка, необходимая для выполнения возложенных законом на оператора обязанностей, — самостоятельное основание, отдельное от согласия (п. 2 ч. 1 ст. 6 152-ФЗ).

Согласие в трудовых отношениях — не общий пропуск на любую обработку, а отдельно оформленное согласие под конкретную цель, для которой закон другого основания не даёт: например, когда данные о работнике нужно получить у третьей стороны, а не от него самого (случаи — в следующем разделе). Само оформление на работу такой цели не создаёт, поэтому брать согласие «на всякий случай» при приёме не нужно.

Если вам как работнику при трудоустройстве дали подписать бланк «согласие на обработку персональных данных по требованию 152-ФЗ», к тому, что работодатель и так вправе делать по Трудовому кодексу, этот документ ничего не добавляет. Обязанность вести кадровый учёт возникает у работодателя из закона, а не из этой подписи.

Обработка персональных данных работников: на каком основании и в каком объёме

Основание для обработки — закон, но тот же закон ограничивает и её объём. При заключении трудового договора работодатель вправе требовать документы, названные в ст. 65 ТК РФ: паспорт или иной документ, удостоверяющий личность; трудовую книжку и (или) сведения о трудовой деятельности; документ, подтверждающий регистрацию в системе индивидуального учёта (СНИЛС); документы воинского учёта — для военнообязанных; документ об образовании — при работе, требующей специальных знаний.

На практике собирают больше: домашний адрес, ИНН, номер телефона, семейное положение, банковские реквизиты для перечисления зарплаты, иногда фотографию. Ст. 65 ТК этот список не покрывает, и вывод «раз это кадровые данные, значит закон их уже разрешил» — ошибочный: у каждой категории сверх ст. 65 должно быть своё основание, которое стоит определить отдельно, а не считать типовым для отдела кадров. Банковские реквизиты, например, нужны для перечисления зарплаты — об этом дальше, а не потому, что «зарплата — это же кадровая тема».

Специальные категории данных — в частности, о здоровье — по общему правилу требуют согласия в письменной форме. Для трудовых отношений сделано исключение: такая обработка допускается, если она осуществляется в соответствии с трудовым законодательством (п. 2.3 ч. 2 ст. 10 152-ФЗ), то есть в объёме, который требует именно ТК, например при обязательном медицинском осмотре для определённых должностей. За пределами того, что предписывает трудовое законодательство, это исключение не действует, и для дальнейшей обработки нужно отдельное основание.

Эта статья — про работодателя, у которого уже есть штат. Если сотрудников нет и вы работаете сами как индивидуальный предприниматель или самозанятый, у вас другой набор обязанностей по 152-ФЗ — они разобраны в отдельной статье базы знаний, ссылка на неё внизу страницы.

Когда согласие работника всё-таки нужно

Первый случай — данные, которые нельзя получить от самого работника, и приходится запрашивать у третьей стороны: например, проверить рекомендации или сделать запрос бывшему работодателю. По общему правилу все персональные данные работника нужно получать у него самого; если это невозможно, работника нужно уведомить об этом заранее и получить от него письменное согласие, сообщив цели, предполагаемые источники и способы получения данных, характер подлежащих получению данных, а также последствия отказа его дать (п. 3 ст. 86 ТК РФ).

Второй случай — передача данных работника третьим лицам сверх того, что требует закон. Работодатель не вправе сообщать данные работника третьей стороне без его письменного согласия, кроме случаев угрозы жизни и здоровью работника и случаев, предусмотренных ТК или другими федеральными законами (ст. 88 ТК РФ). Зарплатный проект под это не подпадает: перечисление зарплаты на счёт, который работник указал сам, делается по его заявлению (ст. 136 ТК РФ), отдельное согласие не нужно. А вот добровольное медицинское страхование — отдельная цель и, как правило, отдельное основание, а не продолжение зарплатного перевода. Если кадровый или бухгалтерский учёт ведёт внешний подрядчик, нужны сразу два элемента: поручение обработки с условиями по ч. 3 ст. 6 152-ФЗ и допуск по ст. 88 ТК — письменное согласие работника или основание по федеральному закону, а не только договор с подрядчиком.

Третий случай — публикация: фото сотрудника и его имя на сайте компании, в соцсетях, в буклете. Согласие на обработку данных, разрешённых для распространения, оформляется отдельно от иных согласий (ч. 1 ст. 10.1 152-ФЗ) — отдельно оформленным согласием именно на эту цель, а не пунктом в общем согласии или в трудовом договоре.

Четвёртый случай — цели, которых трудовое законодательство не требует: поздравления с днём рождения в общей рассылке, данные о родственниках для подарков к празднику, личный номер телефона сотрудника в общем чате компании. Основание для такой обработки нужно определять по цели: для этих примеров стоит проверить, есть ли другое применимое основание по ст. 6 152-ФЗ, и если его нет — получить отдельно оформленное согласие, конкретное, предметное, информированное, сознательное и однозначное и оформленное отдельно от иных документов, которые подписывает работник (ч. 1 ст. 9 152-ФЗ, в редакции Федерального закона от 24.06.2025 № 156-ФЗ, действует с 01.09.2025).

Общий вывод из этих четырёх случаев: согласие не заменяет основание «закон» там, где оно уже действует, и не расширяет его до «можно обрабатывать что угодно» — оно закрывает одну конкретную цель, для которой другого основания нет.

Почему согласие «на всякий случай» вредит

С 1 сентября 2025 года согласие, вписанное в текст трудового договора или анкеты, не работает как согласие: закон требует оформлять его отдельно от иных информации и документов, которые подписывает или подтверждает человек (ч. 1 ст. 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ). Практика «пункт 12 трудового договора — согласие на обработку персональных данных» с этой даты этому требованию не соответствует, даже если так делали годами.

Согласие можно отозвать. Если работник его отзывает, оператор обязан прекратить связанную с ним обработку и, если данные больше не нужны для той цели, ради которой их собирали, уничтожить их в срок, не превышающий тридцати дней с даты отзыва. Исключения из этого правила предусмотрены частью 5 статьи 21 Федерального закона № 152-ФЗ, в частности договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект, либо иным соглашением между оператором и субъектом. На кадровый учёт, который и так ведётся по закону, отзыв не влияет, но каждый такой случай оператору приходится разбирать: какая часть обработки вообще держалась на этом согласии. Чем больше согласий взято «на всякий случай», тем больше такого разбора.

Есть и более общий риск. Согласие, взятое там, где обработка и так законна по другому основанию, создаёт у обеих сторон ложное впечатление, что без бумажки обработка была бы незаконной, а раз бумажка есть — законно всё, что в ней написано. Норма не запрещает получать согласие: она запрещает обработку без основания и запрещает прятать согласие в чужом документе. Отдельное согласие имеет смысл ровно там, где у обработки нет другого основания, — как в четырёх случаях из предыдущего раздела.

Положение о персональных данных работников

У этого вопроса два разных адресата в законе. Порядок хранения и использования персональных данных работников устанавливает сам работодатель — с соблюдением ТК и других федеральных законов (ст. 87 ТК РФ). Эта обязанность не зависит от организационной формы: она касается и ООО, и ИП с работниками.

К этому добавлена ещё одна обязанность: работники и их представители знакомятся под роспись с документами работодателя, которые устанавливают порядок обработки их персональных данных, а также с их правами и обязанностями в этой области (п. 8 ст. 86 ТК РФ). Документ мало издать — с ним нужно ознакомить каждого работника лично, под подпись.

Отдельно от ТК действует 152-ФЗ. Издание документов, определяющих политику оператора, и локальных актов по обработке персональных данных — по каждой цели: категории и перечень данных, категории субъектов, способы и сроки обработки и хранения, порядок уничтожения — входит в меры оператора, являющегося юридическим лицом (п. 2 ч. 1 ст. 18.1 152-ФЗ). А вот опубликовать политику или иным образом обеспечить к ней неограниченный доступ обязан любой оператор, включая ИП (ч. 2 ст. 18.1 152-ФЗ).

На практике получается так: у ООО есть положение о данных работников и по ТК, и по 152-ФЗ, у ИП с работниками — обязанность по ст. 87 ТК, а политику по 152-ФЗ придётся опубликовать в любом случае — эта обязанность от организационной формы не зависит. В самом положении, если ориентироваться на состав, который 152-ФЗ требует от документов такого рода, обычно есть категории и перечень данных, категории субъектов, цели, способы и сроки обработки и хранения, порядок уничтожения.

Публикация политики по 152-ФЗ — не то же самое, что уведомление Роскомнадзора об обработке персональных данных: это отдельная обязанность с отдельными исключениями, разобранная в отдельной статье базы знаний, ссылка — внизу страницы.

Кандидаты: резюме до решения и после отказа

С резюме кандидатов путаницы не меньше, чем с уже принятыми работниками. Когда кандидат сам присылает резюме, это обработка для заключения договора по его инициативе — самостоятельное основание, отдельное от согласия (п. 5 ч. 1 ст. 6 152-ФЗ). Пока идёт рассмотрение, отдельное согласие на этом основании не требуется.

После отказа кандидату цель обработки достигнута. Работодатель обязан прекратить обработку и, если данные больше не нужны для этой цели, уничтожить их в срок, не превышающий тридцати дней с даты отказа. Исключения предусмотрены частью 4 статьи 21 152-ФЗ — в частности, договором, стороной которого является кандидат, или иным соглашением между оператором и кандидатом. Само по себе намерение «подержать резюме» — не договор и не соглашение с кандидатом.

Если работодатель хочет держать резюме «в базе» на будущие вакансии, это новая цель, для которой закона недостаточно: нужно отдельное согласие кандидата именно на хранение резюме для будущих предложений, а не продолжение прежней обработки по инерции.

Резюме, которое пришло не от самого кандидата — например, с работного сайта или от кадрового агентства, — требует ещё одного шага. Данные получены не от субъекта, поэтому до начала их обработки нужно сообщить кандидату, кто и на каком правовом основании их обрабатывает, какие данные, кто их предполагаемые пользователи, какие у него права и откуда данные получены (ч. 3 ст. 18 152-ФЗ). Из этого правила есть исключения — например, если кандидат уже уведомлён об обработке этим же оператором или данные получены в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (ч. 4 ст. 18 152-ФЗ), — но по умолчанию уведомление нужно.

Эта статья разбирает нормы, а не подтверждает, что конкретная ситуация с кандидатом подпадает под то или иное основание или исключение: для этого нужно смотреть, как именно данные получены и что происходит с ними после отказа.

Сколько хранить кадровые документы после увольнения

После увольнения работника меняется сама работа с его данными: обработка, которая велась для исполнения трудового договора, по этой цели прекращается. Но кадровые документы — трудовой договор, личную карточку, приказы о приёме, переводе и увольнении — работодатель продолжает хранить в сроки, которые устанавливает архивное законодательство, а не 152-ФЗ: по перечню типовых управленческих архивных документов такие документы хранятся пятьдесят лет, а для дел, законченных делопроизводством до 1 января 2003 года, — семьдесят пять лет. Это хранение — тоже обработка персональных данных: обработка по 152-ФЗ включает хранение как один из видов действий с данными (п. 3 ст. 3 152-ФЗ), так что увольнение не выводит кадровые документы из-под действия закона о персональных данных, а лишь меняет цель, ради которой их продолжают обрабатывать.

Что будет, если…

Неопубликованная политика в отношении обработки персональных данных или необеспеченный к ней доступ — отдельный состав: штраф для граждан от 1 500 до 3 000 рублей, для должностных лиц от 6 000 до 12 000, для индивидуальных предпринимателей от 10 000 до 20 000, для юридических лиц от 30 000 до 60 000 рублей (ч. 3 ст. 13.11 КоАП РФ).

В той же статье есть отдельные составы за обработку данных в случаях, не предусмотренных законодательством о персональных данных (ч. 1 ст. 13.11 КоАП РФ: для граждан от 10 000 до 15 000 рублей, для должностных лиц от 50 000 до 100 000, для юридических лиц от 150 000 до 300 000 рублей), и за обработку без письменного согласия там, где оно требуется по закону (ч. 2 ст. 13.11 КоАП РФ: для граждан от 10 000 до 15 000 рублей, для должностных лиц от 100 000 до 300 000, для юридических лиц от 300 000 до 700 000 рублей). По этим двум частям индивидуальный предприниматель отвечает не как юридическое лицо, а как должностное лицо — те же вилки, что и для должностных лиц (ст. 2.4 КоАП РФ). При повторном нарушении суммы заметно выше: например, по повторной обработке без письменного согласия для индивидуального предпринимателя отдельно названа вилка от 500 000 до 1 000 000 рублей. Все эти составы — про основание обработки, а не про подпись «на всякий случай»: лишнее согласие от штрафа не защищает и само по себе его не создаёт.

Что сделать

Составьте перечень категорий персональных данных, которые вы получаете о каждом работнике, и определите основание для каждой категории — не считайте, что раз данные кадровые, значит их разрешает ТК.
Оформите документ о порядке обработки персональных данных работников и ознакомьте с ним каждого работника под роспись.
Опубликуйте политику в отношении обработки персональных данных по 152-ФЗ — эта обязанность не зависит от того, ООО вы или ИП.
Проверяйте основание по каждой цели обработки; если для цели нет другого применимого основания по ст. 6 152-ФЗ — получайте отдельно оформленное согласие: например, для получения данных у третьей стороны, передачи сверх того, что разрешает закон, публикации данных и целей вне трудового законодательства.
Резюме отказников удаляйте по истечении срока или получайте отдельное согласие на хранение для будущих вакансий.
Проверьте передачи данных работников третьим лицам — бухгалтерии на аутсорсе, банку, страховой — по ст. 88 ТК и оформите поручения обработчикам, где это нужно.

Нормы

ст. 86 ТК РФ (п. 1)в ред. 185-ФЗ от 02.07.2013
п. 2 ч. 1 ст. 6 152-ФЗпо действующему тексту ИПС на 29.09.2026
п. 3 ст. 86 ТК РФдействующая редакция ИПС на 29.09.2026 (закон 197-ФЗ от 30.12.2001, вступил в силу 01.02.2002)
п. 8 ст. 86 ТК РФв ред. 90-ФЗ от 30.06.2006, вступила в силу 06.10.2006
ст. 87 ТК РФв ред. 90-ФЗ от 30.06.2006, вступила в силу 06.10.2006
ст. 65 ТК РФдействующая редакция ИПС на 29.09.2026 (базовый текст — закон 197-ФЗ от 30.12.2001, с 01.02.2002)
п. 2.3 ч. 2 ст. 10 152-ФЗв ред. 216-ФЗ от 21.07.2014
ст. 88 ТК РФв ред. 90-ФЗ от 30.06.2006, вступила в силу 06.10.2006
ст. 136 ТК РФ (перевод заработной платы)в ред. 333-ФЗ от 04.11.2014, 231-ФЗ от 26.07.2019
ч. 3 ст. 6 152-ФЗ (поручение обработки) и ст. 88 ТК РФпо действующему тексту ИПС на 29.09.2026
ч. 1 ст. 10.1 152-ФЗпо действующему тексту ИПС на 29.09.2026
ч. 1 ст. 9 152-ФЗв ред. 156-ФЗ от 24.06.2025, с 01.09.2025
ч. 5 ст. 21 152-ФЗпо действующему тексту ИПС на 29.09.2026
ч. 4 ст. 21 152-ФЗпо действующему тексту ИПС на 29.09.2026
п. 2 ч. 1 ст. 18.1 152-ФЗв ред. 266-ФЗ от 14.07.2022, с 01.09.2022
ч. 2 ст. 18.1 152-ФЗпо действующему тексту ИПС на 29.09.2026
п. 5 ч. 1 ст. 6 152-ФЗв ред. 266-ФЗ от 14.07.2022
ч. 3 ст. 18 152-ФЗпо действующему тексту ИПС на 29.09.2026
ч. 4 ст. 18 152-ФЗв ред. 519-ФЗ от 30.12.2020 (п. 3 части)
ч. 3 ст. 13.11 КоАП РФпо тексту ИПС на 29.09.2026 (в ред. 19-ФЗ от 24.02.2021)
ч. 1 и ч. 1¹ ст. 13.11 КоАП РФсанкция — в ред. 420-ФЗ от 30.11.2024, вступила в силу 30.05.2025
ч. 2 и ч. 2¹ ст. 13.11 КоАП РФсанкция — в ред. 589-ФЗ от 12.12.2023, действует ориентировочно с 23.12.2023
ст. 2.4 КоАП РФдействующая редакция ИПС на 29.09.2026
приказ Росархива от 20.12.2019 № 236 (ст. 434 подп. «а», 435, 444, 445)действует без изменений, снят 29.09.2026
п. 3 ст. 3 152-ФЗопределение обработки

Что дальше

Быстрая проверка из десяти вопросов покажет, какие требования 152-ФЗ применимы к вашей компании, включая раздел про работников. Если сотрудников нет и вы работаете сами как индивидуальный предприниматель или самозанятый, обязанности другие — они разобраны в отдельной статье базы знаний. Как устроена работа сервиса для ООО, АО и ИП, можно посмотреть на странице тарифов.

Пройти быструю проверку Статья про ИП без работников и самозанятых Статья про уведомление в Роскомнадзор Статья про документы по 152-ФЗ Что сервис делает для ООО, АО и ИП

Вопросы о согласии на обработку данных работников

Нужно ли согласие на обработку персональных данных при приёме на работу?

Для обычного оформления трудовых отношений — нет: работодатель обрабатывает персональные данные работника, чтобы исполнять свои обязанности по трудовому законодательству, и это основание — закон (ст. 86 ТК РФ, п. 2 ч. 1 ст. 6 152-ФЗ), а не согласие. Исключение — запрос данных у третьей стороны уже при приёме: тут нужно письменное согласие работника (п. 3 ст. 86 ТК РФ). Отдельно оформленное согласие нужно и для целей, которых трудовое законодательство не требует, — например для публикации фото на сайте или рассылки поздравлений с днём рождения.

Нужно ли ИП положение о персональных данных работников?

Да. Порядок хранения и использования персональных данных работников устанавливает сам работодатель — эта обязанность по ст. 87 ТК РФ касается любого работодателя, включая ИП. Отдельно от неё действует обязанность опубликовать политику по 152-ФЗ (ч. 2 ст. 18.1) — она тоже не зависит от организационной формы. А вот издание локальных актов «по каждой цели» из п. 2 ч. 1 ст. 18.1 152-ФЗ закон адресует оператору, являющемуся юридическим лицом.

Можно ли включить согласие в трудовой договор или анкету при приёме?

С 1 сентября 2025 года — нет. Согласие должно быть оформлено отдельно от иных информации и документов, которые подписывает или подтверждает человек (ч. 1 ст. 9 152-ФЗ в редакции Федерального закона от 24.06.2025 № 156-ФЗ). Пункт о согласии внутри трудового договора или анкеты этому требованию не соответствует.

Нужно ли согласие работника на передачу данных в банк для перечисления зарплаты?

Нет, если зарплата переводится на счёт, который работник указал сам: это делается по его заявлению (ст. 136 ТК РФ), отдельное согласие на такую передачу закон не требует. Для других передач — например, страховой компании по добровольному медицинскому страхованию — действует отдельное основание и, как правило, отдельное согласие.

Что делать с резюме кандидата после отказа?

По общему правилу — прекратить обработку и уничтожить данные в срок, не превышающий тридцати дней с даты отказа, если нет исключения, например договора с кандидатом или иного соглашения с ним (ч. 4 ст. 21 152-ФЗ). Если вы хотите держать резюме «в базе» для будущих вакансий, для этой отдельной цели нужно отдельное согласие кандидата.

Нужно ли согласие на фото сотрудника на сайте компании?

Да. Согласие на обработку данных, разрешённых для распространения, — в том числе фото и имени в открытом доступе, — оформляется отдельно от иных согласий (ч. 1 ст. 10.1 152-ФЗ). Общее согласие «на обработку персональных данных» такую публикацию не покрывает.