Согласие на обработку персональных данных работника: образец

Закон о персональных данных допускает обработку не только с согласия. Статья 6 перечисляет и другие основания. Для работодателя важны два из них:

• обработка нужна, чтобы выполнить обязанности, которые на оператора возлагает закон (пункт 2 части 1 статьи 6);
• обработка нужна для исполнения договора, стороной которого является субъект данных (пункт 5 части 1 статьи 6), в том числе трудового договора.

Поэтому ведение личной карточки, расчёт и выплата зарплаты отдельного согласия не требуют. Вместе с тем без письменного согласия работодатель не вправе:

• Передавать данные работника третьей стороне (статья 88 Трудового кодекса), за исключением случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника и в других случаях, предусмотренных Трудовым кодексом или иными федеральными законами. Классический пример: передача данных страховой компании по добровольному медицинскому страхованию.
• Получать данные работника у третьих лиц, если их можно получить только там (пункт 3 статьи 86 Трудового кодекса). Работника при этом нужно заранее уведомить.
• Поручить обработку другому лицу, например бухгалтерской фирме (часть 3 статьи 6 закона № 152-ФЗ).
• Обрабатывать биометрические данные (отпечаток пальца для пропуска и т. п.) без письменного согласия, за исключением случаев, названных в части 2 статьи 11.
• Обрабатывать специальные категории данных (состояние здоровья, политические взгляды, религиозные убеждения и другие), кроме случаев из части 2 статьи 10. Одно из таких исключений: обработка в соответствии с трудовым законодательством.

Если сомневаетесь, нужно ли согласие в вашем случае, сначала найдите основание обработки в статье 6, а согласие берите там, где другого основания нет.

Часть 4 статьи 9 закона № 152-ФЗ требует включить в письменное согласие, в частности:

1. фамилию, имя, отчество, адрес работника, номер основного документа, удостоверяющего личность, дату его выдачи и орган, который выдал документ;
2. те же сведения о представителе и реквизиты доверенности, если согласие даёт представитель;
3. наименование и адрес оператора, получающего согласие;
4. цель обработки;
5. перечень персональных данных, на обработку которых дано согласие;
6. наименование и адрес лица, которое обрабатывает данные по поручению оператора, если обработку поручат;
7. перечень действий с данными и общее описание способов обработки;
8. срок действия согласия и способ отзыва, если иное не установлено федеральным законом;
9. подпись работника.

Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (часть 1 статьи 9). Согласие в форме электронного документа, подписанного электронной подписью в соответствии с федеральным законом, закон признаёт равнозначным бумажному с собственноручной подписью.

С 1 сентября 2025 года часть 1 статьи 9 закона № 152-ФЗ дополнена требованием: согласие на обработку персональных данных должно быть оформлено отдельно от иной информации и документов, которые подтверждает или подписывает работник. Изменение внесено статьёй 5 закона от 24.06.2025 № 156-ФЗ, она вступила в силу 01.09.2025.

На практике это значит: пункт «работник даёт согласие на обработку персональных данных» в тексте трудового договора, в анкете или в заявлении о приёме больше не годится. Согласие должно быть отдельным листом.

Распространение персональных данных, как определяет закон, это действия, направленные на раскрытие данных неопределённому кругу лиц. Публикация фото и ФИО сотрудника на сайте или в социальных сетях компании, как правило, относится именно сюда: данные видят все.

Для распространения закон требует отдельное согласие (статья 10.1). Оно оформляется отдельно от иных согласий на обработку, и работнику должна быть дана возможность определить перечень данных по каждой категории. Молчание или бездействие работника согласием не считается. В нём работник вправе установить запреты и условия на передачу и дальнейшую обработку данных. Оператор обязан опубликовать информацию об условиях и запретах не позднее трёх рабочих дней с момента получения согласия. Работник может в любой момент потребовать прекратить распространение.

Содержание такого согласия определяют требования, утверждённые приказом Роскомнадзора от 24.02.2021 № 18. Приказ действует с 1 сентября 2021 года и, как сказано в самом тексте, до 1 сентября 2027 года. Среди обязательных сведений: контакты работника, данные оператора, адреса информационных ресурсов, на которых данные будут опубликованы, цели, категории и перечень данных (общие, специальные, биометрические), срок согласия. Условия и запреты работника, а также условия передачи указываются по его желанию. Образец выше этой формой не заменяется: для публикации нужен отдельный документ.

Работник вправе отозвать согласие (часть 2 статьи 9). Это не значит, что работодатель сразу перестанет обрабатывать все данные: по основаниям, перечисленным в пунктах со 2 по 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11, обработку можно продолжать и без согласия. Поэтому после отзыва нужно разобраться, на какие цели он распространяется.

В остальных случаях оператор обязан прекратить обработку и, если данные больше не нужны для целей обработки, уничтожить их. Срок: не более тридцати дней с даты поступления отзыва, если иное не предусмотрено договором или соглашением с работником и если оператор не вправе обрабатывать данные без согласия по другим основаниям (часть 5 статьи 21).