Персональные данные работников в 2026 году: какие документы должны быть у работодателя

Когда в компанию приходит проверка Роскомнадзора или инспекция труда, их не интересуют абстрактные заверения о том, что «у нас всё защищено». Инспекторы просят показать конкретные документы. И если в ваш трудовой договор вшито согласие на обработку и передачу персональных данных или нет приказа на ответственного, компания сразу получает протокол.

Правила работы с персональными данными (ПДн) становятся всё строже: согласия оформляются строго отдельно, базы хранятся только на российских серверах, а уведомлять Роскомнадзор нужно, даже если у вас в штате работает всего один человек.

Разберем, какой обязательный пакет документов по персональным данным должен быть в кадровой службе в 2026 году, как правильно разграничить цели обработки и как юридически корректно уничтожать неактуальные сведения.

1. Обязательные локальные нормативные акты и приказы: без чего нельзя работать
2. Согласия на обработку
3. Журналы, договоры и уничтожение: что проверить в оперативной работе
4. Практический пример: оформление документов при выходе нового сотрудника
5. Какие документы по персональным данным обязательны в 2026 году

Все документы по персданным делятся на две группы: нормативные регламенты и оперативные приказы. Первые показывают, как компания работает с информацией, вторые — кто за это отвечает.

Обязательные локальные нормативные акты (ЛНА)

• Политика обработки персональных данных. Это ваш публичный документ. Если у компании есть сайт или корпоративный портал, Политика должна висеть там в свободном доступе. В ней прописываются данные оператора, цели сбора, категории данных и субъектов, сроки хранения, меры безопасности и порядок передачи сведений третьим лицам.
• Положение об обработке и защите ПДн. Внутренний регламент компании. Он подробнее объясняет, как кадровики и бухгалтеры собирают, хранят, передают и уничтожают документы, а также за что они несут ответственность.
• Положение об обработке ПДн без средств автоматизации. Обязательный документ, если вы работаете с бумажными личными делами, карточками и трудовыми книжками.

Но одного положения недостаточно — нужно распределить роли и оформить комиссии. Для этого издаются приказы:

• О назначении ответственного за организацию обработки ПДн. Обычно это руководитель кадровой службы, главный бухгалтер или начальники направления.
• Об утверждении ЛНА и Политики. Приказы, вводящие в действие ваши положения.
• О создании комиссий. Нужны два распоряжения: о создании комиссии по обеспечению безопасности ПДн и комиссии по уничтожению данных.
• Об утверждении перечня должностей, допущенных к ПДн. Четкий список сотрудников (с указанием должностей и оснований доступа), которые имеют право видеть чужие паспорта, СНИЛС и зарплаты.
• Об утверждении мест хранения материальных носителей. Фиксирует, в каких именно сейфах или запираемых шкафах лежат бумажные документы.

Не забудьте про уведомление в Роскомнадзор! До начала обработки данных работодатель обязан подать уведомление в ведомство. Это правило действует, даже если у вас числится всего один сотрудник.

Исключение — если вы обрабатываете абсолютно все данные исключительно на бумаге без применения ПК (что на практике почти не встречается).

Если у вас изменились сведения, поданные ранее, сообщите в Роскомнадзор до 15-го числа следующего месяца.

С 1 сентября 2025 года законодатель окончательно запретил включать согласие на обработку ПДн в текст трудового договора, анкеты или заявления. Согласие — это всегда строго отдельный документ.

Что должно быть в тексте согласия:

• ФИО и паспортные данные работника;
• наименование и адрес работодателя (оператора);
• точная и конкретная цель обработки;
• перечень данных и действий с ними (сбор, хранение, уточнение и т.д.);
• срок действия согласия и понятный способ его отзыва;
• личная подпись сотрудника.

Разделяйте согласия по ситуациям.

Не пытайтесь сделать «одно общее согласие на всё». Если данные передаются в банк для зарплатного проекта, страховой по ДМС или стороннему учебному центру, оформляется отдельно согласие на передачу третьим лицам.

Если планируете повесить фото сотрудника на доску почета или сайт — оформляется согласие на распространение ПДн.

Если сведения о работнике (например, подтверждение квалификации или рекомендации) запрашиваются у прежнего работодателя или из учебного заведения, требуется его предварительное письменное согласие.

Отдельные согласия также запрашиваются на биометрию и специальные категории данных (например, информацию о состоянии здоровья).

Согласие НЕ требуется для выполнения прямых обязанностей в рамках трудового договора (ч. 1 ст. 6 ФЗ № 152-ФЗ) на обработку стандартного набора данных (ФИО, паспортные данные, СНИЛС, трудовой стаж) не нужно. Сбор этих сведений напрямую предусмотрен Трудовым кодексом РФ.

Документооборот по персданным — это не разовое действие, а ежедневная рутина. Чтобы доказать контролерам, что система работает, работодатель ведет учетные журналы:

• Журнал учета обращений субъектов ПДн. Фиксирует все запросы сотрудников (просьбы уточнить данные, предоставить копию или удалить информацию).
• Журнал учета лиц, допущенных к работе с ПДн. Отслеживает, кто и когда из сотрудников получал доступ к базам.
• Журнал учета машинных носителей. Фиксирует флешки, съемные диски и другие физические носители с ПДн.
• Журнал инструктажа по информационной безопасности. Подтверждает, что сотрудники прошли обучение и знают правила защиты данных.
• Журнал учета мероприятий по контролю защиты. Записывает результаты ваших внутренних аудитов и проверок.

Если вы привлекаете сторонние компании (например, аутсорсинговую бухгалтерию, IT-поддержку или облачные сервисы), с ними обязательны договоры поручения обработки данных с условиями по защите ПДн. Напоминаю: с 2025 года электронные персональные данные должны физически храниться на серверах, расположенных на территории РФ.

Когда сотрудник увольняется, или закончился срок хранения документа, данные нужно вовремя удалить или обезличить. Процедура оформляется актом об уничтожении персональных данных, который подписывает специальная комиссия.

Ситуация: В компанию оформляется новый специалист по продажам. Кадровик подготавливает трудовой договор, в текст которого вшит абзац о том, что Работник дает согласие на обработку ПДн, передачу их в банк и размещение фото на сайте.

Риск: Оформление согласия внутри договора нарушает требование закона об отдельном документе, а совмещение разных целей в одном тексте делает его недействительным. В случае проверки работодатель получит штраф за неправомерную обработку данных по ч. 2 ст. 13.11 КоАП РФ (до 700 000 руб.).

Решение:

• Исключить любые упоминания о согласии на ПДн из текста трудового договора.
• Ознакомить сотрудника под подпись с Положением о ПДн и внести запись в Журнал инструктажа по информационной безопасности.
• Не брать согласие на базовую обработку данных, необходимых для исполнения ТК РФ (оформление приказа, заполнение трудовой книжки, отчетность в СФР).
• Подготовить отдельное Согласие на передачу данных в банк для открытия зарплатной карты.
• Подготовить отдельное Согласие на распространение ПДн для размещения фото и контактов сотрудника в разделе «Наша команда» на сайте.

Какие документы по персональным данным обязательны в 2026 году