Как хранить персональные данные работников: требования 152-ФЗ, сроки и ответственность — 2025–2026

В 2025 году правила ужесточились: с 01.07.2025 иностранные серверы запрещены (23-ФЗ), с 01.09.2025 согласие на хранение персональных данных сотрудников оформляется только отдельным документом (156-ФЗ), штрафы за крупные утечки достигают 500 млн руб. или 1–3% годового дохода.

В статье — полный порядок: что считается ПДн, где хранить, как долго, как уничтожить и что грозит за нарушения.

Что считается персональными данными сотрудника

По ст. 3 Федерального закона № 152-ФЗ, персональные данные — любая информация, прямо или косвенно идентифицирующая физическое лицо. Работодатель начинает обрабатывать ПДн с первого контакта с кандидатом — ещё до заключения трудового договора.

Прямые идентификаторы: ФИО, паспорт, ИНН, СНИЛС, биометрия. Косвенные: адрес регистрации, email, трудовой стаж, банковские реквизиты. Принцип минимизации обязывает собирать только те данные, которые необходимы для конкретной цели.

Виды персональных данных: общие, специальные и биометрические

Статьи 10 и 11 152-ФЗ делят данные на три категории с разными требованиями к согласию.

Общие персональные данные — стандартный набор при трудоустройстве: ФИО, паспорт, телефон, email, трудовая книжка, банковские реквизиты. Согласие — письменное или электронное.

Специальные категории (ст. 10) — сведения о здоровье, религиозных и политических убеждениях, расовой принадлежности. Типичные документы у работодателя: медицинская справка, справка об отсутствии судимости. Согласие — только письменное.

Биометрические данные (ст. 11) — отпечатки пальцев, ДНК, фотография для СКУД (системы контроля и управления доступом), голосовой слепок. Согласие — только письменное, для каждой цели отдельно.

Кто обязан соблюдать требования к хранению персональных данных

Работодатель становится оператором персональных данных по 152-ФЗ в момент получения любой информации о физлице: получил резюме — стал оператором. Статус распространяется на организации любой формы (ИП, ООО, АО) и государственные органы.

Требования касаются всех, кто работает с данными: кадровых специалистов, бухгалтеров, руководителей подразделений. Ответственность несут и организация как юридическое лицо, и конкретное должностное лицо — раздельно.

Обязанности работодателя-оператора: от уведомления до назначения ответственного

До начала обработки ПДн работодатель уведомляет Роскомнадзор: онлайн на pd.rkn.gov.ru, через Госуслуги или письмом. Срок рассмотрения — 30 дней. Исключение: обработка исключительно вручную без автоматизированных систем (ст. 22 152-ФЗ).

Руководитель назначает ответственного за обработку ПДн приказом. При изменении сведений — уведомить Роскомнадзор не позднее 15-го числа следующего месяца.

Передача данных третьим лицам — банкам, страховым компаниям, Социальному фонду России — только с согласия работника или по прямому требованию закона. При обнаружении утечки работодатель обязан уведомить РКН в течение 24 часов.

Соискатель как отдельный субъект персональных данных

Получено резюме — уже возникли обязанности оператора. Если кандидату отказали, его данные хранятся не более 30 дней (ч. 4 ст. 21 152-ФЗ), затем их уничтожают или обезличивают.

Включить кандидата в кадровый резерв — только с его письменного согласия, иначе хранение сверх 30 дней незаконно. Специальные данные соискателя — справка об отсутствии судимости и аналогичные документы — запрашиваются исключительно с письменного согласия.

Где должны храниться персональные данные работников

Хранение персональных данных работников ведётся в двух форматах: автоматизированном (информационные системы ПДн — ИСПДн) и неавтоматизированном (бумажные носители). Общий принцип — доступ только уполномоченным лицам, защита от несанкционированного использования.

Форм-фактор не снимает ответственности: даже при исключительно бумажном учёте все требования 152-ФЗ к безопасности действуют в полном объёме.

Физическое хранение: требования к бумажным документам

Бумажные кадровые документы хранятся в несгораемых металлических шкафах или сейфах под замком. Помещение — с ограниченным доступом: перечень уполномоченных сотрудников закрепляется внутренним приказом.

Документы упорядочивают по алфавиту или регистрационным номерам. Копии паспорта, ИНН и СНИЛС в личных делах считаются избыточными: после переноса нужных сведений документы возвращают владельцу. Хранить «на всякий случай» — нарушение принципа минимизации по ст. 5 152-ФЗ.

Электронное хранение: требования к информационным системам ПДн

Электронные персональные данные хранятся только на российских серверах с использованием отечественного или сертифицированного ФСБ/ФСТЭК программного обеспечения.

Обязательные технические меры: надёжные пароли, двухфакторная аутентификация, антивирусная защита, СКУД. Ролевая модель доступа: кадровый специалист видит анкеты и личные дела, бухгалтер — зарплатные данные и реквизиты, руководитель — данные своих подчинённых.

При 1С:ФРЕШ ответственность за безопасность серверов несёт Центр Хранения Данных; при коробочной 1С — работодатель.

Локализация персональных данных с 01.07.2025: что запрещено

С 01.07.2025 действует 23-ФЗ от 28.02.2025: иностранные серверы и СУБД (системы управления базами данных) для хранения ПДн граждан РФ запрещены.

Без разрешения Роскомнадзора на трансграничную передачу запрещены Google Drive, Google Forms, Google Analytics. Для передачи персональных данных нельзя использовать Telegram, WhatsApp, Viber, Skype, Microsoft Teams.

Штраф: до 6 млн руб. за первое нарушение, до 18 млн руб. — за повторное.

Сроки хранения персональных данных по Приказу Росархива N 236

Правовая база двойная: ст. 5 152-ФЗ запрещает хранить данные дольше, чем нужно для достижения цели обработки, а Приказ Росархива от 20.12.2019 N 236 устанавливает конкретные сроки для кадровых документов.

Ключевое правило: как только цель достигнута (работник уволен, соискателю отказано) — данные обязаны уничтожить или обезличить.

Порядок уничтожения персональных данных после истечения срока

После истечения срока хранения персональных данных их обязательно уничтожают — способ зависит от носителя.

Бумажные: измельчение на шредере, сжигание, химические реагенты, механическое разрушение. Выброс в мусорную корзину уничтожением по закону не считается.

Электронные: специализированное ПО (удаление через «Корзину» недостаточно), физическое уничтожение носителя, удаление из базы данных с проверкой отсутствия резервных копий.

После уничтожения оформляется акт по Приказу РКН N 179: для бумажных — акт об уничтожении, для ИСПДн — дополнительно выгрузка из журнала событий. Допустимая альтернатива — обезличивание, если данные нужны для статистики.

Согласие на обработку персональных данных: новые требования с 01.09.2025

С 01.09.2025 вступил в силу 156-ФЗ от 24.06.2025: согласие оформляется только отдельным самостоятельным документом, не включается в трудовой договор. Тем, кто использовал смешанный формат, необходимо переоформить документы.

Закон выделяет три вида: согласие на обработку общих ПДн, на рекламные рассылки и на распространение ПДн (ст. 10.1 152-ФЗ). Последний вид содержит закрытый перечень обязательных реквизитов.

Срок хранения согласия — 3 года после истечения или отзыва. Отзыв не означает немедленного уничтожения ПДн: сначала прекращается обработка, затем следует уничтожение по установленной процедуре.

Обязательный пакет документов работодателя-оператора ПДн

Организация, обрабатывающая персональные данные сотрудников, ведёт пакет внутренних документов. Минимальный состав:

• Политика обработки персональных данных — публикуется в открытом доступе: на сайте или в уголке потребителя.
• Положение о защите ПДн — регламент, с которым знакомятся все допущенные сотрудники под роспись.
• Приказ о назначении ответственного — конкретное должностное лицо, несущее ответственность за обработку.
• Перечень допущенных лиц — список сотрудников с правом доступа по ролевой модели.
• Перечень мест хранения носителей ПДн — шкафы, серверы, резервные копии.

Полный пакет документов оператора включает от 30 до 120 позиций — в зависимости от вида деятельности компании и категорий обрабатываемых данных.

Ответственность за нарушение правил хранения персональных данных

Административная ответственность установлена ст. 13.11 КоАП РФ. С 30.05.2025 штрафы существенно выросли: введены повышенные санкции за утечки биометрических данных и нарушения локализации.

Ответственность наступает отдельно по каждому зафиксированному факту нарушения. При повторном — суммы кратно увеличиваются: крупная утечка влечёт штраф до 500 млн руб. или 1–3% годового дохода.

Уголовная ответственность возможна при умышленном распространении персональных данных, особенно с использованием служебного положения.

Размеры штрафов по ст. 13.11 КоАП РФ (редакция с 30.05.2025)

Штраф начисляется за каждый зафиксированный факт — одна проверка Роскомнадзора может привести к нескольким штрафам одновременно.

Если кадровый учёт и работа с персональными данными — часть ваших задач или вы планируете перейти в эту сферу, освоить нормативную базу и практику документооборота можно за 1–2 месяца с господдержкой. В ProfiFuture 75% стоимости обучения компенсируется образовательной квотой. Смотрите каталог программ с господдержкой.

Часто задаваемые вопросы

Что входит в персональные данные работника?

Любая информация, идентифицирующая физлицо: ФИО, паспорт, ИНН, СНИЛС, биометрия (прямые идентификаторы), а также адрес регистрации, email, трудовой стаж (косвенные). Копии паспорта или ИНН/СНИЛС в личных делах считаются избыточными — после переноса нужных сведений документы возвращают владельцу.

Сколько лет хранить персональные данные сотрудников?

Согласия — 3 года; приказы об отпусках и командировках — 5 лет; трудовые договоры с 2003 г. — 50 лет, до 2003 г. — 75 лет. Персонифицированный учёт СФР с 2003 г. — 5 лет, до 2003 г. — 75 лет. Основание — Приказ Росархива N 236.

Нужно ли согласие сотрудника на хранение персональных данных?

Да. Для общих ПДн — письменное или электронное. С 01.09.2025 — только отдельным документом, не в трудовом договоре (156-ФЗ). Для специальных и биометрических данных — исключительно письменное согласие (ст. 10, 11 152-ФЗ).

Как уничтожить персональные данные работников?

Бумажные: измельчение, сжигание, химические реагенты. Электронные: специализированное ПО, физическое уничтожение носителя. После — акт по Приказу РКН N 179; при автоматизированной обработке дополнительно оформляется выгрузка из журнала событий ИСПДн.

Какая ответственность грозит за нарушение правил хранения ПДн?

Штраф по ст. 13.11 КоАП: нарушение локализации — до 6 млн руб. (первое) / 18 млн (повторное); утечка биометрии — до 20 млн; крупная утечка — до 500 млн руб. или 1–3% годового дохода. При умышленной утечке возможна уголовная ответственность.

Можно ли хранить персональные данные в Telegram или Google Drive?

Нет. С 01.07.2025 иностранные серверы для ПДн граждан РФ запрещены (23-ФЗ). Telegram, WhatsApp, Viber, Skype, Microsoft Teams для передачи ПДн использовать нельзя. Разрешены российские сервисы или иностранные — только при наличии разрешения РКН на трансграничную передачу.

Сколько хранить резюме и данные соискателей?

Не более 30 дней с момента отказа (ч. 4 ст. 21 152-ФЗ). В кадровый резерв — только с письменного согласия кандидата. По истечении срока данные уничтожаются или обезличиваются.

Нужно ли работодателю регистрироваться в Роскомнадзоре?

Большинству — да. Уведомление подаётся до начала обработки: онлайн на pd.rkn.gov.ru или через Госуслуги, срок рассмотрения — 30 дней. Исключение — обработка только вручную без автоматизации (ст. 22 152-ФЗ). Изменения в реестр — до 15-го числа следующего месяца.

Что такое специальные категории персональных данных у работодателя?

Сведения о здоровье, религиозных и политических убеждениях, расовой принадлежности. Типичные случаи: медицинская справка при трудоустройстве, справка об отсутствии судимости. Обработка — только по письменному согласию или в случаях, прямо предусмотренных законом (ст. 10 152-ФЗ).

Кто из сотрудников компании имеет доступ к персональным данным коллег?

Строго по ролевой модели: HR и кадровики — к анкетам и личным делам; бухгалтеры — к зарплатным данным и банковским реквизитам; руководители — к данным подчинённых. Перечень допущенных лиц закреплён документально. Передача ПДн без согласия субъекта третьим лицам запрещена.