Последние изменения в законодательстве‚ вступившие в силу 30 ноября 2024 года (Федеральные законы № 420-ФЗ и № 421-ФЗ)‚ серьёзно ужесточили административную ответственность за утечку персональных данных работников. Ниже — подробный разбор того‚ что должен знать каждый работодатель и HR-специалист.
Что считается «персональными данными работника»?
- ФИО‚ дата и место рождения‚ адрес проживания‚ паспортные данные;
- ИНН‚ СНИЛС‚ номер полиса ОМС;
- Реквизиты банковского счёта‚ номер карты для начисления зарплаты;
- Фотография‚ образцы подписи‚ биометрия (если используется для СКУД);
- Контакты: e-mail‚ номер телефона;
- Данные о семейном положении‚ детях‚ образовании‚ трудовой книжке;
- Медицинские сведения‚ инвалидность‚ результаты психологических тестов;
- Сведения о дисциплинарных взысканиях‚ премиях‚ доходах.
Важно: даже IP-адрес рабочего компьютера или журнал входа в офис тоже может быть классифицирован как «персональные данные».
Основные обязанности работодателя после 30 ноября 2024 г.
Правовые основания обработки
- Трудовой договор (ст. 57 ТК РФ) — минимально необходимый перечень.
- Согласие работника — для любых дополнительных данных (например‚ фото в корпоративном чате).
- Законодательные требования — например‚ передача данных в ПФР или ФНС.
Местные акты
- Политика в отношении обработки ПД (утв. приказом директора).
- Регламент по защите ПД, технические и организационные меры (шифрование‚ 2FA‚ разграничение доступа).
- Локальные нормативные акты о видеонаблюдении и контроле доступа.
Уведомление Роскомнадзора
Если вы впервые начинаете обработку биометрии или масштабную обработку специальных категорий ПД — подайте уведомление не позднее 10 рабочих дней до начала обработки (п. 8 ст. 22 152-ФЗ).
Штрафы после 30 мая 2025 г. (вступили в силу с )
| Нарушение | До | С |
|---|---|---|
| Утечка из-за отсутствия шифрования | 8 000–50 000 ₽ | 100 000–300 000 ₽ |
| Отсутствие согласия на обработку специальных ПД | 40 000–70 000 ₽ | до 500 000 ₽ или приостановка деятельности на 90 суток |
| Повторное нарушение в течение года | 60 000–100 000 ₽ | до 1 000 000 ₽ и дисквалификация ИП/директора на 1–3 года |
Практический чек-лист для HR и IT
Что HR должен сделать за 5 минут
- Проверить анкеты новых сотрудников: нет ли лишних полей (религия‚ полит. взгляды).
- Удалить старые резюме: хранить можно только резюме finalist’ов‚ не более 6 месяцев после завершения подбора.
- Сверить списки доступа к 1С: уволенные → доступ отозван.
Что IT должен настроить за 1 день
- Шифрование всех HDD и SSD на ноутбуках сотрудников (BitLocker).
- VPN + 2FA для доступа к корпоративным ресурсам из дома.
- Логирование и SIEM: как минимум хранить журналы 6 месяцев.
- Политики DLP: блокировать отправку файлов >10 МБ через личную почту.
Частые ошибки и быстрые фиксы
| Ошибка | Решение за 10 минут |
|---|---|
| В открытом доступе на SharePoint лежат табели с ЗП | Настроить NTFS-права «только чтение» для группы HR Payroll‚ остальным — запрет. |
| Коллеги делятся скриншотом 2-НДФЛ в Telegram | Разослать мемо «Не делитесь кадровыми документами в мессенджерах»‚ внедрить корпоративный мессенджер с DLP. |
| USB-ключи с резервными копиями лежат на столе у HR-директора | Закупить сейф 1 класса взломостойкости‚ ввести журнал выдачи ключей. |
Шаблон согласия работника на обработку ПД (с учётом 421-ФЗ)
Я‚ «ФИО работника»‚ паспорт «серия №»‚ выдан «кем‚ когда»‚ даю согласие ООО «Ромашка» (ИНН 7701234567) на обработку моих персональных данных‚ включая: ФИО‚ дату рождения‚ паспортные данные‚ ИНН‚ СНИЛС‚ номер банковского счёта‚ фото‚ номер телефона‚ e-mail‚ сведения о составе семьи‚ образовании‚ трудовой книжке‚ медицинские данные и биометрические данные (отпечатки пальцев для СКУД)‚ с целью: заключения и исполнения трудового договора‚ учёта рабочего времени‚ выплаты заработной платы‚ предоставления льгот и гарантий‚ обеспечения режима безопасности‚ а также предоставления доступа к корпоративным сервисам и системам видеонаблюдения. Срок обработки: в течение всего срока трудовых отношений и 75 лет после их окончания для целей бухгалтерского и налогового учёта. Передача третьим лицам возможна только в объёме‚ необходимом для исполнения трудового договора (ПФР‚ ФНС‚ банк). Я уведомлён о своих правах по ст. 14 152-ФЗ и способах их реализации: - право требовать уточнения‚ блокирования или уничтожения ПД; - право отозвать согласие путём письменного заявления за 3 рабочих дня до даты прекращения обработки; - право обращаться в Роскомнадзор (109012‚ Москва‚ ул. Большая Якиманка‚ д. 11).
Главное помнить: после 30 ноября 2024 г. штрафы за утечку персональных данных работников выросли в 5–6 раз‚ а вместе с ними — риск приостановки деятельности и дисквалификации руководителя. Ответственность несёт и HR‚ и IT‚ и руководитель. Используйте приведённые чек-листы и шаблоны‚ чтобы минимизировать риски уже сегодня.
Дополнительные актуальные материалы и консультации юристов по 420-ФЗ/421-ФЗ можно получить на сайте Роскомнадзора или в местном отделении ФНС.