Обработка персональных данных: что может и не может делать работник с персональными данными
23 июня 2026
Работодатель осуществляет обработку персональных данных через своих работников: сотрудников кадровой службы, бухгалтерии, менеджеры и т.д.Оформляя доступ к персональным данным таким сотрудникам, работодатель часто задается вопросом: какие минимальные правила такой работник должен соблюсти, работая с персональными данными, а от каких действий работникам необходимо отказаться?
Давайте рассмотрим подробнее, какие правила и запреты работодатель обязан донести до всех работников, связанных с обработкой персональных данных.
Что обязан делать работник, связанный с обработкой персональных данных
1. Действовать только в рамках заявленных целей обработки (ч. 2, ч. 4 ст. 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ), ч. 1 ст. 86, абз. 3 ч. 1 ст. 88 Трудового кодекса РФ).Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Использовать сведения в иных целях, не указанных в политике компании или согласии субъекта, запрещено.
2. Собирать минимально необходимый объем данных, избегая избыточности (ч. 5 ст. 5 Закона № 152-ФЗ).
Обрабатываемые данные должны соответствовать целям обработки и их объем не должен быть избыточным по отношению к этим целям. Нельзя запрашивать сведения, которые объективно не требуются для выполнения трудовой функции или установленной процедуры, если это не предусмотрено законом.
3. Получать письменное согласие субъекта, когда это обязательно (ст. 9, ч. 1 ст. 6 Закона № 152-ФЗ).
Обработка допускается либо при наличии одного из законных оснований (прямое требование закона), либо с согласия субъекта.
4. Соблюдать конфиденциальность и не передавать данные третьим лицам без оснований (ст. 7 Закона № 152-ФЗ, ст. 88 Трудового кодекса РФ).
Персональные данные являются конфиденциальной информацией.
Передача возможна только в случаях, прямо установленных законом (например, ответ на официальный запрос СФР, ФНС, ГИТ) либо с письменного согласия субъекта.
5. Получать персональные данные только от субъекта персональных данных (ч. 3 ст. 86, ст. 88 Трудового кодекса РФ).
Получать персональные данные можно только у самого субъекта персональных данных.
Если у субъекта персональных данных получить такие сведения невозможно, то от третьих лиц такие сведения можно получать при условии заблаговременного уведомления и получения согласия самого субъекта персональных данных.
6. Обеспечивать физическую и техническую безопасность данных (ст. 19 Закона № 152-ФЗ).
Работодатель обязан применять необходимые меры защиты. Работники, в свою очередь, должны соблюдать установленные процедуры: использовать сложные пароли, блокировать экран при уходе с рабочего места, хранить бумажные носители в запираемых шкафах и уничтожать их только через шредер.
7. Немедленно сообщать ответственному о любых инцидентах (утечках, попытках несанкционированного доступа и т.п.).
Работник, заметивший подозрительную ситуацию, должен немедленно информировать ответственного для своевременного реагирования.
8. Уничтожать или обезличивать данные по достижении целей или истечении срока хранения (ч. 7 ст. 5 Закона № 152-ФЗ).
Хранение данных дольше, чем это необходимо для целей обработки, не допускается. После наступления соответствующих оснований данные должны быть уничтожены или обезличены в установленном порядке.
9. Учитывать право субъекта на отзыв согласия (ч. 2 ст. 9, ст. 21 Закона № 152-ФЗ).
Субъект персональных данных вправе в любой момент отозвать свое согласие на обработку. При получении отзыва, если нет иных законных оснований для обработки, необходимо прекратить обработку и уничтожить данные.
Что работник, связанный с обработкой персональных данных, не вправе делать
1. Обрабатывать персональные данные без законного основания (в том числе без согласия, когда оно обязательно) (ч. 1 ст. 6 Закона № 152-ФЗ).Любое действие с персональными данными, совершенное при отсутствии правового основания, признается незаконным.
2. Собирать и использовать специальные категории данных (о расе, национальности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) без прямого законного основания и отдельного письменного согласия (ст. 10 Закона № 152-ФЗ, ч. 4 ст. 86 Трудового кодекса РФ).
Специальные категории данных защищены повышенными гарантиями. Их обработка допустима лишь в исключительных случаях, прямо перечисленных в законе (например, если данные сделаны общедоступными самим субъектом или необходимы для защиты жизни, здоровья).
3. Передавать персональные данные третьим лицам без согласия субъекта или без прямого указания закона (ст. 88 Трудового кодекса РФ).
Любая передача персональных данных посторонним лицам нарушает конфиденциальность и может повлечь ответственность, если она не основана на законе или согласии.
4. Сообщать персональные данные работников в коммерческих целях без согласия работника (абз. 3 ст. 88 Трудового кодекса РФ).
5. Хранить персональные данные дольше установленного срока (ч. 7 ст. 5 Закона № 152-ФЗ).
По истечении срока хранения данные подлежат уничтожению или обезличиванию. Их дальнейшее хранение незаконно.
6. Допускать к персональным данным лиц, не имеющих права доступа в силу своих должностных обязанностей (ст. 19 Закона № 152-ФЗ, ст. 88 Трудового кодекса РФ).
Работодатель определяет перечень лиц, уполномоченных на обработку персональных данных. Предоставление доступа неуполномоченным сотрудникам или посторонним расценивается как нарушение режима безопасности.
7. Игнорировать законные запросы субъектов персональных данных (об уточнении, блокировании, уничтожении данных) (ст. 14, ст. 20, ст. 21 Закона № 152-ФЗ).
Оператор обязан в установленные сроки отвечать на запросы субъекта, подтверждать факт обработки, предоставлять информацию, а при наличии оснований – уточнять, блокировать или уничтожать данные. Уклонение от этой обязанности является прямым нарушением прав субъекта.
Практические рекомендации
- Четко определяйте лиц, которым предоставляется доступ к персональным данным работникам. В данном случае необходимо фиксировать перечень должностей, которым такой доступ необходим для выполнения возложенных на них трудовых обязанностей.
- Подписывайте с работниками, которым предоставлен доступ к персональным данным, обязательство о неразглашении персональных данных.
- Ведите в организации журнал учета передачи персональных данных внутри организации, журналы учета передачи персональных данных организациям и государственным органам).
- Ознакомьте работников, которым открыт доступ к персональным данным других работников организации, с локальными нормативными актами в области обработки и защиты персональных данных под подпись.
- Проводите обучения таких работников и рассказывайте о порядке организации работы с персональными данными.
Свяжитесь с нами!
Чтобы получить анкету для подготовки индивидуального предложения:
- написать на почту i.krotov@mitrofanova.ru
- позвонить по тел. +7(916) 416-49-60
