Персональные данные работника: что можно, что нельзя и когда нужно согласие

Любой работодатель с хотя бы одним штатным сотрудником по факту становится оператором персональных данных в смысле 152-ФЗ — независимо от того, ведёт ли он клиентскую базу или обрабатывает данные исключительно ради кадрового учёта. По данным Роскомнадзора (реестр операторов ПДн, pd.rkn.gov.ru/operators-registry, на 08.07.2026), в России зарегистрировано более 2,6 млн операторов оценка, и часть из них попала в реестр не как владелец клиентской базы, а именно как работодатель, обрабатывающий данные собственного штата.

Здесь действует двойное регулирование. С одной стороны — общие нормы 152-ФЗ, обязательные для любого оператора: основания обработки, требования к согласию, меры защиты, ответственность. С другой — специальные нормы главы 14 ТК РФ, статьи 86–90, которые не заменяют 152-ФЗ, а дополняют его применительно именно к обработке данных в трудовых отношениях.

↔ таблицу можно прокрутить вбок

Что именно относится к персональным данным работника и по какому принципу их делят на категории — отдельная тема, разобрана на странице что относится к персональным данным. Здесь фокус на другом: когда работодателю нужно согласие сотрудника, а когда — нет, что можно и нельзя запрашивать, кому можно передавать данные и сколько их хранить после увольнения.

Правило простое: если данные нужны для самого факта трудовых отношений — заключения или исполнения договора, исполнения обязанностей по закону вроде отчётности в СФР или ведения воинского учёта — отдельное согласие не требуется. Основание — п. 2 и п. 5 ч. 1 ст. 6 152-ФЗ: обработка необходима для исполнения договора, стороной которого является субъект, либо для осуществления функций и полномочий, возложенных на оператора законом.

Если работодатель выходит за эти рамки — согласие нужно, и в письменной форме.

↔ таблицу можно прокрутить вбок

Публикация фотографии работника формально не про персональные данные и не про 152-ФЗ — это отдельное основание по ст. 152.1 ГК РФ, согласие на обнародование изображения гражданина. На практике оно почти всегда упоминается рядом с темой ПДн работника, поэтому стоит держать в уме, что это разные документы с разными основаниями.

Общий разбор того, что закон требует от текста и формы самого согласия — обязательные реквизиты, виды, порядок отзыва — на отдельной странице: согласие на обработку персональных данных. Здесь и полный перечень оснований обработки без согласия — на странице 152-ФЗ простыми словами.

Статья 86 ТК РФ задаёт общие требования к работодателю при обработке ПДн работника — обязательный свод правил, а не рекомендация:

• Только для целей, названных законом — соблюдение НПА, содействие в трудоустройстве, обучении и продвижении по службе, обеспечение личной безопасности работников, контроль объёма и качества работы, сохранность имущества.
• Получать данные у самого работника. Если это невозможно и данные приходится брать у третьей стороны — работник уведомляется заранее, и от него получено письменное согласие с указанием целей, источников, способов получения и последствий отказа.
• Не запрашивать спецкатегории — расу, национальность, политические и религиозные взгляды, здоровье, интимную жизнь, судимость по определению ст. 10 152-ФЗ — без прямого основания в ТК РФ или ином федеральном законе.
• Не запрашивать сведения о профсоюзной деятельности и членстве в общественных объединениях, кроме случаев, прямо предусмотренных ТК РФ или иными федеральными законами.
• Не принимать решения только на основании автоматизированной обработки — если решение затрагивает интересы работника, оно не может опираться исключительно на данные, полученные автоматически или электронным способом.
• Защищать данные за счёт своих средств — организационные и технические меры входят в обязанности и расходы работодателя, а не работника. На практике это управление учётными записями и правами доступа кадровых систем (класс IdM) и, если ПДн работников обрабатываются на корпоративных мобильных устройствах, — их защита классом MDM.
• Знакомить работников под роспись с документами, устанавливающими порядок обработки ПДн, и с их правами и обязанностями в этой области.

Статья 88 ТК РФ задаёт отдельный контур правил именно для передачи данных за пределы работодателя:

• Без письменного согласия нельзя сообщать данные работника третьей стороне — кроме случаев, нужных для предупреждения угрозы жизни и здоровью работника, и случаев, прямо установленных федеральным законом.
• В коммерческих целях — только с письменным согласием, без исключений.
• Получателя данных предупреждают, что данные можно использовать лишь для цели, ради которой они переданы, и требуют подтверждения соблюдения режима конфиденциальности.
• Внутри организации передача идёт по локальному нормативному акту, с которым работник ознакомлен под роспись, и только специально уполномоченным лицам — в объёме, необходимом для их функций.
• Данные о здоровье не запрашивают, кроме сведений, которые относятся именно к вопросу о возможности выполнения трудовой функции.

Практический вывод: без отдельного согласия работника данные можно передавать тем получателям, кому это прямо предписано законом, — банку для зачисления зарплаты в рамках зарплатного поручения, СФР, ФНС, ГИТ, военкомату, суду по запросу. Всем прочим третьим лицам — партнёрским компаниям, кадровым агентствам вне закона, рекламным подрядчикам — только с письменным согласием работника оценка.

Сама ст. 87 ТК РФ — рамочная норма: порядок хранения и использования ПДн работников устанавливает работодатель, конкретных сроков статья не называет. Сроки хранения кадровых документов задаёт отдельное архивное законодательство, а не 152-ФЗ и не ТК РФ.

По Приказу Росархива от 20.12.2019 № 236 «Об утверждении Перечня типовых управленческих архивных документов…» личные дела работников, законченные делопроизводством после 1 января 2003 года, хранятся 50 лет, а законченные до этой даты — 75 лет. Сроки передачи документов в архив задаёт отдельный акт — Правила организации хранения, комплектования, учёта и использования документов (Приказ Росархива от 31.07.2023 № 77): как правило, не ранее 1 года и не позднее 3 лет после завершения делопроизводства оценка.

Увольнение работника само по себе не создаёт обязанности немедленно уничтожить его данные — часть кадровых документов обязана храниться установленный архивным законодательством срок независимо от факта прекращения трудовых отношений. Общий 30-дневный срок уничтожения по ч. 5 ст. 21 152-ФЗ (при отзыве согласия) применим только к той части обработки, которая велась на основании согласия и для которой нет иного законного основания хранения — детали разграничения и порядок уничтожения смотрите на странице хранение и уничтожение персональных данных.