В условиях цифровой трансформации и усиления требований к конфиденциальности информации, защита персональных данных работников стала одним из ключевых аспектов трудовых отношений в Российской Федерации; Трудовое законодательство, в частности Трудовой кодекс РФ (ТК РФ), устанавливает строгие нормы, регулирующие сбор, хранение, обработку и передачу персональных данных сотрудников. Эти нормы направлены на обеспечение конституционного права на неприкосновенность частной жизни, личную и семейную тайну, а также на предотвращение дискриминации и злоупотреблений со стороны работодателя.

Правовые основы защиты персональных данных работников

Основой правового регулирования в этой сфере являются:

• Трудовой кодекс Российской Федерации (ФЗ-197 от ), глава 14 «Защита персональных данных работника» (статьи 86–90);
• Федеральный закон № 152-ФЗ «О персональных данных» от , общий закон, распространяющийся на все сферы обработки ПДн, включая трудовые отношения;
• Конституция РФ — статья 23 (право на неприкосновенность частной жизни) и статья 24 (запрет на сбор, хранение, использование и распространение информации о частной жизни без согласия);
• Постановления Правительства РФ, приказы Роскомнадзора и методические рекомендации, уточняющие требования к защите персональных данных в трудовой сфере.

Важно понимать: трудовые отношения не являются исключением из общего закона о персональных данных, а дополняют его специальными нормами, учитывающими специфику подчинения работника работодателю и уязвимость его положения.

Общие требования при обработке персональных данных работника (ст. 86 ТК РФ)

Статья 86 ТК РФ устанавливает фундаментальные принципы, которым должен следовать каждый работодатель:

1. Законность и добросовестность — обработка персональных данных возможна только в целях, прямо предусмотренных трудовым законодательством, иными федеральными законами или с письменного согласия работника (в случаях, когда закон не запрещает обработку без согласия).
2. Ограниченность сбора данных — работодатель может собирать только те персональные данные, которые необходимы для выполнения трудовых функций. Например, фамилия, имя, отчество, дата рождения, образование, трудовой стаж, данные о квалификации — допустимы. А вот данные о политических взглядах, религиозных убеждениях, состоянии здоровья (за исключением медицинских показателей, напрямую связанных с трудоспособностью), запрещены.
3. Запрет на обработку данных о состоянии здоровья — согласно ст. 88 ТК РФ, работодатель не вправе запрашивать информацию о состоянии здоровья работника, за исключением сведений, непосредственно связанных с возможностью выполнения им трудовой функции (например, заключение медкомиссии о пригодности к работе на вредном производстве).
4. Запрет на автоматизированные решения, затрагивающие интересы работника — по п. 6 ст. 86 ТК РФ, работодатель не может принимать решения (о приеме на работу, увольнении, переводе, премировании и т.д.), основываясь исключительно на автоматизированной обработке персональных данных. Это означает, что алгоритмы ИИ или системы «скрининга» не могут заменить человеческое решение в кадровых вопросах.
5. Обеспечение безопасности данных — работодатель обязан обеспечить защиту персональных данных от неправомерного доступа, уничтожения, изменения, копирования, распространения и иных неправомерных действий. Эта защита должна осуществляться за счет средств работодателя (п. 7 ст. 86 ТК РФ).

Хранение и использование персональных данных работников (ст. 87 ТК РФ)

Статья 87 ТК РФ регулирует, как и где хранятся персональные данные работников:

• Персональные данные работников хранятся в бумажной и (или) электронной форме.
• Электронные базы данных должны быть защищены средствами защиты информации, прошедшими оценку соответствия требованиям законодательства РФ (например, сертифицированные средства шифрования, системы контроля доступа).
• Доступ к персональным данным должен быть ограничен только теми сотрудниками, чьи трудовые функции непосредственно связаны с обработкой этих данных (например, кадровики, бухгалтеры, руководители подразделений).
• Работодатель обязан утвердить Положение о защите персональных данных — внутренний нормативный акт, который определяет порядок обработки, хранения, передачи и уничтожения ПДн, а также перечень ответственных лиц и мер безопасности.

Примерный перечень разделов Положения о защите персональных данных (2026 г.):

• Область применения и цели документа;
• Определения терминов (работник, персональные данные, обработка, распространение и т.д.);
• Перечень категорий персональных данных, обрабатываемых работодателем;
• Перечень сотрудников, имеющих доступ к ПДн, и процедура их допуска;
• Требования к техническим и организационным мерам защиты (пароли, шифрование, аудит, резервное копирование);
• Порядок передачи данных третьим лицам (например, в ФСС, ПФР, налоговые органы);
• Сроки хранения и уничтожения персональных данных;
• Ответственность за нарушение требований;
• Порядок уведомления работников о сборе и обработке их данных.

Передача персональных данных работника (ст. 88 ТК РФ)

Статья 88 ТК РФ четко ограничивает возможности работодателя по передаче персональных данных:

• Передача допускается только в случаях, прямо предусмотренных ТК РФ или иными федеральными законами.
• Передавать данные можно только представителям работников (профсоюзам, иным выборным органам) — но только в объеме, необходимом для выполнения ими своих функций (например, для ведения коллективных переговоров).
• Запрещена передача персональных данных третьим лицам (например, маркетинговым агентствам, партнерам, подрядчикам) без письменного согласия работника, если иное не предусмотрено законом.
• При передаче данных в государственные органы (ФНС, ФСС, ПФР, ГИТ), это допустимо в рамках законодательства, но работодатель обязан убедиться, что получатель обеспечивает защиту этих данных.

Права работников в области защиты персональных данных (ст. 89 ТК РФ)

Работники обладают широким спектром прав, направленных на защиту их персональных данных:

1. Право на доступ — работник имеет свободный и бесплатный доступ к своим персональным данным, хранящимся у работодателя. Он может запросить копии любых документов, содержащих его ПДн (за исключением случаев, когда закон запрещает их раскрытие — например, служебная тайна, следственные материалы).
2. Право на исправление — если работник обнаружит неточности в своих данных, он вправе потребовать их исправления или дополнения.
3. Право на уничтожение — в случаях, когда данные больше не нужны для целей, для которых они собирались, работник может потребовать их удаления (если иное не предусмотрено законом).
4. Право на ограничение обработки, работник может потребовать приостановить обработку своих данных, если, например, оспаривает их точность.
5. Право на назначение представителя — работник может назначить доверенное лицо (адвоката, представителя профсоюза) для защиты своих персональных данных в спорах с работодателем или в обращениях в Роскомнадзор.

Важно! Работодатель не может требовать от работника письменного согласия на обработку его персональных данных в рамках трудовых отношений — это недопустимо. Согласие не может быть условием заключения трудового договора. Обработка ПДн в трудовых отношениях основывается на правовом основании, выполнении трудового договора, исполнении законодательства, а не на согласии работника.

Ответственность за нарушение норм (ст. 90 ТК РФ)

Нарушение требований трудового законодательства о защите персональных данных влечет за собой серьезные последствия:

• Административная ответственность — по ст. 13.11 КоАП РФ за нарушение законодательства о персональных данных — штрафы от 10 000 до 75 000 рублей для должностных лиц, до 750 000 рублей для юридических лиц.
• Дисциплинарная ответственность — за нарушение внутренних правил обработки ПДн работодатель может применить взыскание к сотруднику (замечание, выговор, увольнение).
• Гражданско-правовая ответственность, работник может требовать компенсации морального вреда, если его права были нарушены (например, утечка данных привела к увольнению или дискредитации).
• Уголовная ответственность, по ст. 137 УК РФ за незаконное собирание или распространение сведений о частной жизни без согласия — штраф до 200 000 рублей или обязательные работы до 360 часов.

Роскомнадзор активно проводит проверки в организациях, а в 2026 году количество жалоб от работников на нарушения в сфере ПДн выросло на 42% по сравнению с 2024 годом. Работодатели, не имеющие утвержденного Положения о защите персональных данных, попадают под повышенный контроль.

Практические рекомендации для работодателей в 2026 году

1. Утвердите Положение о защите персональных данных — это обязательный документ, не имеющий которого — основание для штрафа.
2. Ограничьте доступ к ПДн — используйте принцип «нужно знать»: только те, кто реально нуждается в данных для работы, имеют доступ.
3. Обучите сотрудников — проведите инструктажи по защите персональных данных для кадровых служб, IT-специалистов и руководителей.
4. Не запрашивайте лишнее, не требуйте паспортные данные, фото, сведения о семье, здоровье (если не требуется по закону).
5. Не используйте ИИ для кадровых решений — любое решение об увольнении, переводе или премировании должно приниматься человеком с учетом контекста.
6. Регулярно обновляйте меры защиты — используйте только сертифицированные средства защиты информации.
7. Создайте канал для обращений работников — пусть сотрудники могут подавать запросы на доступ к своим данным без бюрократических барьеров.

Защита персональных данных работников — это не просто формальность, а фундамент доверия между работодателем и сотрудником. В 2026 году, когда цифровые технологии проникают во все сферы управления персоналом, соблюдение требований Трудового кодекса РФ и закона о персональных данных становится критически важным для репутации компании, ее финансовой безопасности и социальной ответственности.

Помните: работодатель — не владелец данных работника, а его хранитель и защитник. Нарушение этих принципов ведет не только к штрафам, но и к потере доверия, росту текучести кадров и риску судебных исков. Инвестиции в систему защиты персональных данных — это инвестиции в стабильность и этичность вашего бизнеса.

Соблюдайте закон — и вы защитите не только данные, но и человеческое достоинство.