В 2026 году требования к работе с персональными данными в сфере трудовых отношений перестали быть формальностью. С 1 сентября 2025 г. вступили в силу изменения, внесённые в часть 1 статьи 9 Федерального закона № 152‑ФЗ «О персональных данных» (далее – ФЗ 152‑ФЗ). Эти изменения напрямую влияют на работодателей, их HR‑отделы и все, кто обрабатывает данные сотрудников. Ниже приведён разбор ключевых норм, практических рекомендаций и возможных рисков.

Что изменилось в ФЗ 152‑ФЗ?

• Согласие на обработку персональных данных теперь должно быть явным, информированным и добровольным. Работодатель обязан получить согласие сотрудника в письменной форме (или в виде электронного подписи) до начала работы с его персональными данными.
• Согласие может быть отозвано в любой момент. При отзыве работодатель обязан прекратить обработку данных и удалить их, если это не требуется по закону.
• Обработка персональных данных допускается только в случаях, прямо указанных в статье 10 ФЗ 152‑ФЗ. К ним относятся:
  • исполнение трудового договора;
  • обеспечение прав и законных интересов работодателя и сотрудника;
  • обеспечение соблюдения требований законодательства о труде и налогах;
  • обеспечение безопасности труда и охраны здоровья;
  • обеспечение защиты прав и законных интересов третьих лиц, если это необходимо.

Что такое персональные данные работника?

Персональные данные работника – это вся информация, необходимая работодателю в связи с трудовыми отношениями и касающаяся конкретного работника. К ним относятся:

• ФИО, дата и место рождения, паспортные данные;
• контактные данные (телефон, e‑mail, адрес);
• сведения о квалификации, образовании, опыте работы;
• информация о трудовом стаже, зарплате, премиях;
• данные о состоянии здоровья, если это необходимо для обеспечения безопасности труда;
• другие сведения, необходимые для выполнения трудового договора и соблюдения законодательства.

Практические рекомендации для работодателей

1. Разработка политики обработки персональных данных (ПППД) – документ, в котором описываются цели, объём и порядок обработки персональных данных сотрудников.
2. Обучение персонала – проведение инструктажей по требованиям ФЗ 152‑ФЗ и внутренним политикам.
3. Технические меры безопасности – шифрование данных, ограничение доступа, резервное копирование.
4. Контроль и аудит – регулярные проверки соблюдения политики и требований закона.
5. Обработка данных в облачных сервисах – при использовании облачных решений необходимо убедиться, что поставщик соблюдает требования ФЗ 152‑ФЗ и имеет сертификаты безопасности.

Новые критерии признания стран с адекватной защитой персональных данных

В Государственную Думу был внесён законопроект, который меняет критерии признания стран как обеспечивающих адекватную защиту персональных данных. Это значит, что при передаче данных сотрудника за рубеж работодателю необходимо:

• проверить статус страны в списке «адекватных»;
• при отсутствии статуса – заключить договор о передаче данных с надлежащими гарантиями;
• обеспечить, чтобы данные не попадали в страны с низким уровнем защиты.

Онлайн‑конференция «Защита персональных данных: проверки регуляторов и тенденции» (26 марта 2026 г;)

На этой конференции обсуждались:

• новые требования к проверкам регуляторов;
• тренды в области защиты персональных данных;
• примеры успешного внедрения политики обработки данных в компаниях;
• обсуждение вопросов, связанных с удалённой работой и облачными сервисами.

Что делать, если вы работаете с клиентами онлайн?

Если вы принимаете заявки через сайт, ведёте CRM‑систему или отправляете email‑рассылки, то:

• обязательно получите согласие на обработку персональных данных;
• обеспечьте, чтобы данные хранились в соответствии с требованиями ФЗ 152‑ФЗ;
• проведите аудит систем безопасности;
• обновляйте политику обработки данных при изменении законодательства.

Как избежать штрафов и репутационных рисков?

1. Регулярно обновляйте политику обработки персональных данных и информируйте сотрудников о её изменениях.
2. Проведите автоматизированный аудит систем хранения и обработки данных.
3. Внедрите процедуры отзыва согласия и удаление данных.
4. Соблюдайте требования к передаче данных за рубеж.
5. Обучайте сотрудников правилам работы с персональными данными.

С 1 сентября 2025 г. требования к обработке персональных данных в трудовых отношениях стали более строгими и конкретными. Работодатели обязаны:

• получать явное согласие сотрудников;
• обрабатывать данные только в рамках, предусмотренных законом;
• обеспечивать техническую и организационную защиту данных;
• соблюдать новые критерии признания стран с адекватной защитой данных.

Невыполнение этих требований может привести к штрафам, судебным искам и потере доверия со стороны сотрудников. Поэтому важно своевременно обновлять политики, обучать персонал и внедрять эффективные технические решения.

Если у вас возникли вопросы по конкретным аспектам защиты персональных данных в трудовых отношениях, не стесняйтесь обращаться к специалистам по информационной безопасности и юристам, специализирующимся на трудовом праве и защите персональных данных.