HR-отдел — один из главных «держателей» персональных данных в компании. Паспортные данные, СНИЛС, ИНН, адреса, телефоны, сведения об образовании, семейном положении, банковские реквизиты — всё это персональные данные, и всё это требует соблюдения 152-ФЗ. В 2026 году регулирование кадровой обработки претерпело изменения, которые важно учитывать.
Когда согласие не нужно
Один из самых частых вопросов HR-специалистов: нужно ли получать согласие сотрудника на обработку его персональных данных? Ответ зависит от целей. Работодатель вправе обрабатывать персональные данные работника без согласия, если это необходимо для исполнения трудового договора или для выполнения требований законодательства (ст. 6 ч. 1 Закона № 152-ФЗ).
Это означает, что для ведения кадрового и бухгалтерского учёта, оформления трудовых договоров, расчёта зарплаты, передачи данных в ИФНС и СФР согласие не требуется. Однако если компания обрабатывает данные для дополнительных целей — например, для публикации фото сотрудника на сайте, для участия в корпоративном конкурсе или для передачи данных партнёрам — согласие необходимо.
Разные цели — разные основания
Цели «ведение кадрового и бухгалтерского учёта» и «обеспечение соблюдения трудового/налогового законодательства» не противоречат друг другу, но не совпадают.
Первая — это внутренние хозяйственные процессы: оформление трудовых договоров, табели, личные карточки, приказы, расчёт зарплаты, удержания, отпускные, больничные, формирование бухгалтерской документации. Вторая — выполнение обязательных требований закона и отчётности: передача данных в ИФНС, СФР, статистику, исполнение требований ТК РФ, НК РФ, подача отчётности.
При оформлении трудового договора не требуется получать отдельное согласие под каждую цель. Работодатель вправе объединить их в одном согласии или обрабатывать данные без согласия, если обработка необходима для исполнения трудового договора и выполнения обязанностей по закону.
Локальный акт вместо согласия
Порядок обработки персональных данных работников закрепляется работодателем в локальном акте (ст. 86, 87 ТК РФ). Это может быть Положение о защите персональных данных работников. В нём устанавливают порядок работы с данными, перечень лиц, имеющих к ним доступ, правила хранения личных дел и других кадровых документов. С положением работников надо ознакомить под роспись.
Что происходит с данными после увольнения
После увольнения сотрудника не все данные подлежат уничтожению. Часть документов необходимо хранить в течение установленных законом сроков — например, трудовые договоры, приказы о приёме и увольнении, личные карточки. Однако доступы к информационным системам должны быть закрыты, а данные, не подлежащие хранению, — уничтожены.
Требования к локализации
Кадровые данные сотрудников должны храниться на серверах в России. Если HR использует зарубежные облачные сервисы (Google Drive, Dropbox, зарубежные HRM-системы), это нарушение требований локализации. Штрафы за нарушение локализации достигают 18 млн рублей.
Что делать HR в 2026 году
Во-первых, проверьте наличие Положения о защите персональных данных работников и ознакомьте с ним всех сотрудников под роспись.
Во-вторых, убедитесь, что данные хранятся на российских серверах.
В-третьих, определите, для каких целей требуется согласие, а для каких — нет.
В-четвёртых, разработайте процедуру уничтожения данных после увольнения.
