Оставить заявку
Заполните форму
и получите сравнение сервисов КЭДО в одной таблице
Оставить заявку
Поддержка для клиентов Nopaper: 8 (800) 550-65-30 или написать в телеграм
Что хотите сделать?
Купить Nopaper
Узнать про возможности Nopaper и выбрать подходящий тариф
Зарегистрироваться и подписать документ
Вам просто нужно выпустить электронную подпись и подписать документ
Купить Nopaper
Узнать про возможности Nopaper и выбрать подходящий тариф
Вам просто нужно выпустить электронную подпись и подписать документ
Зарегистрироваться и подписать документ
Оставить заявку
Дата создания: 02.06.2025
Дата обновления: 05.10.2026
Дата обновления: 05.10.2026
- Что относится к персональным данным сотрудника
- Согласие на обработку персональных данных: когда нужно и что должно содержать
- Может ли сервис КЭДО обрабатывать данные сотрудника
- Что отвечать сотруднику, который не хочет отдавать паспорт в приложение
- Сроки хранения персональных данных работника
- Хранение и уничтожение персональных данных после увольнения
- Хранение персональных данных в электронном виде: требования
- Изменения в законе о персональных данных в 2025–2026 году
- Как выбрать сервис КЭДО с точки зрения защиты персональных данных
- Часто задаваемые вопросы (FAQ)
Что относится к персональным данным сотрудника
Обработку персональных данных сотрудника регулирует 152-ФЗ и Трудовой кодекс (ст. 86–90). Согласно закону, персональные данные сотрудника — любая информация, прямо или косвенно относящаяся к физическому лицу.
В рамках трудовых отношений к персональным данным относятся:
Сотрудник является субъектом персональных данных, а компания — оператором. Когда компания переходит на КЭДО, часть этих данных попадает в сторонний сервис: работодатель вносит информацию о сотруднике в сервис КЭДО, а сервис обрабатывает данные — хранит их на защищённых серверах, предоставляет доступ для подписания документов, уничтожает по запросу или по истечении срока хранения.
В рамках трудовых отношений к персональным данным относятся:
- ФИО, дата и место рождения
- Паспортные данные
- Адрес регистрации и проживания
- ИНН, СНИЛС
- Сведения об образовании и квалификации (да, информация об образовании — это тоже персональные данные)
- Данные о трудовой деятельности: стаж, должность, заработная плата
- Информация о семейном положении
- Номер телефона и электронная почта
- Фотография сотрудника
- Медицинские сведения (при необходимости)
Сотрудник является субъектом персональных данных, а компания — оператором. Когда компания переходит на КЭДО, часть этих данных попадает в сторонний сервис: работодатель вносит информацию о сотруднике в сервис КЭДО, а сервис обрабатывает данные — хранит их на защищённых серверах, предоставляет доступ для подписания документов, уничтожает по запросу или по истечении срока хранения.
Согласие на обработку персональных данных: когда нужно и что должно содержать
Когда требуется согласие на обработку персональных данных
По общему правилу для обработки персональных данных оператору требуется согласие субъекта (п. 1 ч. 1 ст. 5 152-ФЗ). Согласие обязательно, когда:
Когда согласие не требуется
Работодатель вправе обрабатывать персональные данные работника без согласия, если обработка необходима для исполнения трудового договора или обязанностей, возложенных на работодателя законом (п. 2, 5 ч. 1 ст. 5 152-ФЗ). Например:
Но: если при этом данные передаются в сервис КЭДО — это передача третьему лицу, и на неё нужно отдельное согласие.
Что должно быть в согласии
Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным (ст. 9 152-ФЗ). В него необходимо включить:
С 01.09.2025 согласие на обработку ПДн должно оформляться отдельным документом и не может быть включено в текст трудового договора (Федеральный закон от 24.06.2025 № 156-ФЗ). Если ваши трудовые договоры содержали такое согласие — их необходимо изменить.
Согласие на обработку персональных данных в электронном виде
Закон допускает любую форму согласия, которая позволяет подтвердить факт его получения (ч. 1 ст. 9 152-ФЗ). Это значит, что согласие можно подписать электронной подписью в сервисе КЭДО. В Nopaper сотрудник может подписать согласие неквалифицированной электронной подписью (НЭП) прямо в приложении.
С какого возраста можно давать согласие на обработку персональных данных
Самостоятельно давать согласие на обработку персональных данных можно с 18 лет. Для несовершеннолетних в возрасте от 14 до 18 лет требуется дополнительное согласие законного представителя (родителя, опекуна). За детей до 14 лет согласие дают только законные представители.
Если сотрудник отказывается подписывать согласие на обработку персональных данных
Согласие — дело добровольное. Сотрудник вправе отказаться. Но это не означает, что работодатель не сможет вести кадровый учёт.
Работодатель вправе обрабатывать персональные данные работника для исполнения трудового договора и без согласия (п. 5 ч. 1 ст. 6 152-ФЗ). Однако без согласия нельзя передавать данные третьим лицам, включая сервис КЭДО.
Что делать работодателю:
Как отозвать согласие на обработку персональных данных
Работник имеет право в любой момент отозвать своё согласие (ч. 2 ст. 9 152-ФЗ). Для этого нужно направить письменное заявление работодателю.
Но отзыв согласия — не препятствие для дальнейшей обработки, если для неё есть иные законные основания. Например, работодатель продолжит хранить кадровые документы для выполнения требований закона, отчётности в налоговые органы и СФР (ч. 5 ст. 21 152-ФЗ).
По общему правилу для обработки персональных данных оператору требуется согласие субъекта (п. 1 ч. 1 ст. 5 152-ФЗ). Согласие обязательно, когда:
- Данные передаются третьим лицам — например, в сервис КЭДО, в банк для зарплатного проекта, в страховую компанию
- Обрабатываются специальные категории персональных данных (сведения о здоровье)
- Обрабатываются биометрические данные (фотография для пропуска)
- Данные включаются в общедоступные источники (корпоративный справочник)
Когда согласие не требуется
Работодатель вправе обрабатывать персональные данные работника без согласия, если обработка необходима для исполнения трудового договора или обязанностей, возложенных на работодателя законом (п. 2, 5 ч. 1 ст. 5 152-ФЗ). Например:
- Для заключения трудового договора
- Для передачи сведений в СФР и налоговые органы
- Для ведения воинского учёта
Но: если при этом данные передаются в сервис КЭДО — это передача третьему лицу, и на неё нужно отдельное согласие.
Что должно быть в согласии
Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным (ст. 9 152-ФЗ). В него необходимо включить:
- Сведения о работнике — ФИО, адрес, паспортные данные
- Данные работодателя — наименование организации, юридический адрес
- Юридическое лицо, куда передаются данные — наименование сервиса КЭДО, его реквизиты
- Какие данные передаются — ФИО, паспорт, СНИЛС, номер телефона и т.д.
- Цели обработки — например, «ведение кадрового электронного документооборота», «выпуск электронной подписи»
- Разрешённые действия с ПДн — сбор, запись, хранение, передача, удаление
- Срок действия согласия — если не указан, действует до отзыва или достижения цели обработки
- Порядок отзыва согласия
- Подпись и дата — работник лично подписывает согласие
С 01.09.2025 согласие на обработку ПДн должно оформляться отдельным документом и не может быть включено в текст трудового договора (Федеральный закон от 24.06.2025 № 156-ФЗ). Если ваши трудовые договоры содержали такое согласие — их необходимо изменить.
Согласие на обработку персональных данных в электронном виде
Закон допускает любую форму согласия, которая позволяет подтвердить факт его получения (ч. 1 ст. 9 152-ФЗ). Это значит, что согласие можно подписать электронной подписью в сервисе КЭДО. В Nopaper сотрудник может подписать согласие неквалифицированной электронной подписью (НЭП) прямо в приложении.
С какого возраста можно давать согласие на обработку персональных данных
Самостоятельно давать согласие на обработку персональных данных можно с 18 лет. Для несовершеннолетних в возрасте от 14 до 18 лет требуется дополнительное согласие законного представителя (родителя, опекуна). За детей до 14 лет согласие дают только законные представители.
Если сотрудник отказывается подписывать согласие на обработку персональных данных
Согласие — дело добровольное. Сотрудник вправе отказаться. Но это не означает, что работодатель не сможет вести кадровый учёт.
Работодатель вправе обрабатывать персональные данные работника для исполнения трудового договора и без согласия (п. 5 ч. 1 ст. 6 152-ФЗ). Однако без согласия нельзя передавать данные третьим лицам, включая сервис КЭДО.
Что делать работодателю:
- Проверить, действительно ли требуется согласие для конкретной цели
- Выяснить причины отказа и объяснить последствия
- Разъяснить цели обработки и меры защиты данных
- Не давить на сотрудника, не ухудшать условия труда
Как отозвать согласие на обработку персональных данных
Работник имеет право в любой момент отозвать своё согласие (ч. 2 ст. 9 152-ФЗ). Для этого нужно направить письменное заявление работодателю.
Но отзыв согласия — не препятствие для дальнейшей обработки, если для неё есть иные законные основания. Например, работодатель продолжит хранить кадровые документы для выполнения требований закона, отчётности в налоговые органы и СФР (ч. 5 ст. 21 152-ФЗ).
Может ли сервис КЭДО обрабатывать данные сотрудника
Когда в компании бумажный документооборот, работодатель сам обрабатывает персональные данные сотрудника: запрашивает их для формирования документов, отправляет в архив, уничтожает после истечения срока хранения. Без привлечения сторонних компаний.
При переходе на КЭДО данные сотрудника попадают в сторонний сервис. Сервис обрабатывает данные:
Какие документы нужно подписать при переходе на КЭДО
Согласие сотрудника на обработку персональных данных
Если у вас уже есть шаблон согласия с правом передачи данных другому лицу (например, для зарплатного проекта), его можно дополнить. В согласие на передачу данных в сервис КЭДО пропишите:
Поручение на обработку данных с сервисом
Большинство сервисов сами разрабатывают поручение — вам остаётся проверить его. Оно может быть включено в лицензионное соглашение или в политику обработки данных.
В лицензионном соглашении должно быть прописано:
Обработка персональных данных кандидата через КЭДО
Если кандидат самостоятельно регистрируется в сервисе КЭДО — именно сервис является оператором его данных. Работодателю не нужно брать согласие. Кандидат сам предоставляет данные сервису, и сервис берёт у него согласие. Например, в Nopaper пользователь может самостоятельно зарегистрироваться и подписывать документы.
Но если данные кандидата в сервис отправляет HR или кадровик — на это нужно согласие, потому что это передача данных третьему лицу.
При переходе на КЭДО данные сотрудника попадают в сторонний сервис. Сервис обрабатывает данные:
- Хранит на защищённых серверах
- Уничтожает по запросу или по истечении срока хранения
- Предоставляет доступ — например, техподдержка может использовать контакты пользователя для помощи с подписанием документа
- Обезличивает — собирает статистику без персональных данных для контроля стабильности работы сервиса
Какие документы нужно подписать при переходе на КЭДО
Согласие сотрудника на обработку персональных данных
Если у вас уже есть шаблон согласия с правом передачи данных другому лицу (например, для зарплатного проекта), его можно дополнить. В согласие на передачу данных в сервис КЭДО пропишите:
- Юридическое лицо, куда передаются данные
- Какие именно данные вы будете передавать
- Для каких целей (ведение кадрового электронного документооборота)
- Что сервис будет делать с данными (например, ФИО, паспорт и СНИЛС нужны для регистрации аккаунта и выпуска электронной подписи)
Поручение на обработку данных с сервисом
Большинство сервисов сами разрабатывают поручение — вам остаётся проверить его. Оно может быть включено в лицензионное соглашение или в политику обработки данных.
В лицензионном соглашении должно быть прописано:
- Кто за что отвечает
- Принимаемые сторонами меры для защиты данных
- Какую информацию и куда сервис может передавать
- Алгоритм взаимодействия при утечке данных
- Порядок уничтожения данных по запросу
Обработка персональных данных кандидата через КЭДО
Если кандидат самостоятельно регистрируется в сервисе КЭДО — именно сервис является оператором его данных. Работодателю не нужно брать согласие. Кандидат сам предоставляет данные сервису, и сервис берёт у него согласие. Например, в Nopaper пользователь может самостоятельно зарегистрироваться и подписывать документы.
Но если данные кандидата в сервис отправляет HR или кадровик — на это нужно согласие, потому что это передача данных третьему лицу.
Что отвечать сотруднику, который не хочет отдавать паспорт в приложение
Это самое частое возражение при переходе на КЭДО, и звучит оно обычно так: «я что, должен сканировать свой паспорт неизвестно куда». Ответ HR-специалиста здесь должен быть предметным, иначе сопротивление перерастает в отказ от перехода.
Почему паспорт вообще нужен. Электронная подпись выпускается на конкретного человека, и оператор обязан этого человека идентифицировать — иначе подпись не подтверждает авторство, а документ ничего не доказывает. Сервис, который обещает выпустить усиленную подпись и не спрашивает документ, удостоверяющий личность, должен вызывать не доверие, а вопросы.
Что происходит с данными паспорта. Это не «скан в архиве»: данные проверяются по базе МВД — существует ли такой человек, действителен ли паспорт, не числится ли утерянным. Дополнительно проводится Liveness-тест: система определяет, что перед камерой живой человек, а не фотография, видео или маска, и что это тот же человек, что на фото в паспорте. Проверка нужна ровно один раз — при выпуске подписи.
Чем это отличается от подтверждения по СМС. Мобильная подпись хранится на устройстве сотрудника, и подписание не требует вводить код, который можно выманить по телефону. Схема «назовите код из сообщения» — основной сценарий телефонного мошенничества, и подпись, не использующая этот канал, устойчивее к социальной инженерии.
Что стоит сказать про личный телефон. Контраргумент «телефон и так знает обо мне всё» звучит цинично, но по сути верен: в смартфоне уже лежат банковские приложения, «Госуслуги», фотографии документов. Разница в том, что у оператора КЭДО обработка персональных данных регулируется договором и 152-ФЗ, объём данных ограничен целью, а сотрудник в любой момент может запросить, какие его данные обрабатываются.
Отдельно: согласие на обработку персональных данных и согласие на переход в КЭДО — разные документы, и второе не поглощает первое.
Почему паспорт вообще нужен. Электронная подпись выпускается на конкретного человека, и оператор обязан этого человека идентифицировать — иначе подпись не подтверждает авторство, а документ ничего не доказывает. Сервис, который обещает выпустить усиленную подпись и не спрашивает документ, удостоверяющий личность, должен вызывать не доверие, а вопросы.
Что происходит с данными паспорта. Это не «скан в архиве»: данные проверяются по базе МВД — существует ли такой человек, действителен ли паспорт, не числится ли утерянным. Дополнительно проводится Liveness-тест: система определяет, что перед камерой живой человек, а не фотография, видео или маска, и что это тот же человек, что на фото в паспорте. Проверка нужна ровно один раз — при выпуске подписи.
Чем это отличается от подтверждения по СМС. Мобильная подпись хранится на устройстве сотрудника, и подписание не требует вводить код, который можно выманить по телефону. Схема «назовите код из сообщения» — основной сценарий телефонного мошенничества, и подпись, не использующая этот канал, устойчивее к социальной инженерии.
Что стоит сказать про личный телефон. Контраргумент «телефон и так знает обо мне всё» звучит цинично, но по сути верен: в смартфоне уже лежат банковские приложения, «Госуслуги», фотографии документов. Разница в том, что у оператора КЭДО обработка персональных данных регулируется договором и 152-ФЗ, объём данных ограничен целью, а сотрудник в любой момент может запросить, какие его данные обрабатываются.
Отдельно: согласие на обработку персональных данных и согласие на переход в КЭДО — разные документы, и второе не поглощает первое.
Сроки хранения персональных данных работника
Персональные данные нельзя хранить дольше, чем это необходимо для целей обработки (ст. 5 152-ФЗ). Когда цель достигнута — данные нужно уничтожить или обезличить.
Но у кадровых документов есть установленные законом сроки хранения, и они весьма длительные. Пока срок хранения документа не истёк, данные в нём подлежат хранению.
Сроки хранения определяются Перечнем типовых управленческих архивных документов (Приказ Росархива от 20.12.2019 № 236) и ФЗ от 22.10.2004 № 125-ФЗ «Об архивном деле».
Таблица сроков хранения кадровых документов
Важно: Сроки хранения для бумажных и электронных документов одинаковы. Документы в КЭДО хранятся по тем же правилам, что и бумажные.
Как считать срок: Срок хранения начинается с 1 января года, следующего за годом, в котором документ был закончен делопроизводством. Например, если трудовой договор закончен делопроизводством (сотрудник уволен) 15 марта 2025 года — срок хранения отсчитывается с 1 января 2026 года.
Но у кадровых документов есть установленные законом сроки хранения, и они весьма длительные. Пока срок хранения документа не истёк, данные в нём подлежат хранению.
Сроки хранения определяются Перечнем типовых управленческих архивных документов (Приказ Росархива от 20.12.2019 № 236) и ФЗ от 22.10.2004 № 125-ФЗ «Об архивном деле».
Таблица сроков хранения кадровых документов
Документ | Срок хранения | Основание (пункт Перечня) |
Трудовые договоры, дополнительные соглашения к ним | 50 лет (если закончены делопроизводством после 01.01.2003) / 75 лет (до 01.01.2003) | п. 435, ст. 22.1 ФЗ-125 |
Согласия на обработку персональных данных | 3 года после истечения срока действия или отзыва | п. 441 |
Личные карточки работников (Т-2) | 50/75 лет | п. 444 |
Личные дела работников | 50/75 лет | п. 445 |
Приказы о приёме, переводе, увольнении | 50/75 лет | п. 434 |
Приказы об отпусках, командировках | 5 лет | п. 434 |
Приказы об отпусках (вредные/опасные условия) | 50/75 лет | п. 434 |
Табели учёта рабочего времени | 5 лет | п. 402 |
Табели (вредные/опасные условия) | 50/75 лет | п. 402 |
Графики отпусков | 3 года | п. 453 |
Графики работы (сменности) с подписями | 5 лет | п. 402 |
Ведомости на выдачу зарплаты | 50/75 лет | п. 402 |
Трудовые книжки (невостребованные) | 50/75 лет | п. 449 |
Положение об оплате труда | Постоянно | п. 294 |
Локальные акты по обработке ПДн (политики, положения) | Постоянно | п. 440 |
Акты об уничтожении ПДн | Постоянно | п. 441 |
Журналы регистрации/учёта ПДн | 3 года | п. 463 |
Уведомления о начале отпуска | 3 года | п. 453 |
Уведомления об изменении условий трудового договора | 50/75 лет (как часть личного дела) | п. 445 |
Важно: Сроки хранения для бумажных и электронных документов одинаковы. Документы в КЭДО хранятся по тем же правилам, что и бумажные.
Как считать срок: Срок хранения начинается с 1 января года, следующего за годом, в котором документ был закончен делопроизводством. Например, если трудовой договор закончен делопроизводством (сотрудник уволен) 15 марта 2025 года — срок хранения отсчитывается с 1 января 2026 года.
Переход займёт от 5 дней вместо 2–3 недель.
А чтобы подписывать документы, достаточно скачать приложение и выпустить подпись
А чтобы подписывать документы, достаточно скачать приложение и выпустить подпись
Переход займёт от 5 дней вместо 2−3 недель.
А чтобы подписывать документы, достаточно скачать приложение и выпустить подпись
А чтобы подписывать документы, достаточно скачать приложение и выпустить подпись
Хранение и уничтожение персональных данных после увольнения
Нужно ли хранить трудовой договор после увольнения
Да, трудовой договор обязательно хранится после увольнения сотрудника. Срок хранения — 50 лет (если закончен делопроизводством после 01.01.2003) или 75 лет (до 01.01.2003). Дополнительные соглашения к трудовому договору хранятся столько же.
При ликвидации организации трудовые договоры уничтожать нельзя — они передаются в государственные и муниципальные архивы по месту регистрации.
Что происходит с персональными данными при увольнении
Когда сотрудник увольняется, часть целей обработки его данных отпадает, а часть — остаётся. Соответственно:
Данные, которые нужно продолжить хранить:
Данные, которые нужно удалить:
Статья 21 152-ФЗ: обязанности оператора
Согласно ч. 4 ст. 21 152-ФЗ, в случае достижения цели обработки персональных данных оператор обязан прекратить обработку и уничтожить данные в срок, не превышающий 30 дней с даты достижения цели.
Но если данные нужны для исполнения требований закона (хранение кадровых документов, отчётность в СФР и ФНС) — обработка продолжается до истечения установленного срока хранения.
Юлия Берлова, юрист Nopaper:
«Данные могут храниться не дольше, чем того требуют цели их обработки. Если при увольнении сотрудника у работодателя отпадает цель обработки — данные подлежат уничтожению. Если цель остаётся актуальной (хранение документов, подтверждение юридической значимости подписи) — данные хранятся до истечения срока.»
Что делать с данными в КЭДО после увольнения
Подписанные в КЭДО документы (трудовой договор, приказы, соглашения) хранятся в сервисе до истечения установленного законом срока — так же, как бумажные оригиналы в архиве. Удалять их не нужно и нельзя.
Рассылочные данные (email для информирования о новых документах) — удаляются, так как цель обработки достигнута.
Порядок уничтожения персональных данных
По истечении сроков хранения работодатель обязан уничтожить документы, содержащие персональные данные. Основное требование — невозможность последующего восстановления данных.
Для подтверждения уничтожения оформляется акт об уничтожении персональных данных (Приказ Роскомнадзора от 28.10.2022 № 179). Акты об уничтожении хранятся постоянно.
Да, трудовой договор обязательно хранится после увольнения сотрудника. Срок хранения — 50 лет (если закончен делопроизводством после 01.01.2003) или 75 лет (до 01.01.2003). Дополнительные соглашения к трудовому договору хранятся столько же.
При ликвидации организации трудовые договоры уничтожать нельзя — они передаются в государственные и муниципальные архивы по месту регистрации.
Что происходит с персональными данными при увольнении
Когда сотрудник увольняется, часть целей обработки его данных отпадает, а часть — остаётся. Соответственно:
Данные, которые нужно продолжить хранить:
- Трудовой договор и доп. соглашения — 50/75 лет
- Личное дело — 50/75 лет
- Приказы о приёме, переводе, увольнении — 50/75 лет
- Документы об оплате труда — 50/75 лет
- Все документы, для которых установлен законный срок хранения
Данные, которые нужно удалить:
- Данные, собранные для целей, которые после увольнения утратили актуальность (рассылки, корпоративный справочник)
- Копии паспорта, ИНН, СНИЛС — если цель извлечения информации достигнута
Статья 21 152-ФЗ: обязанности оператора
Согласно ч. 4 ст. 21 152-ФЗ, в случае достижения цели обработки персональных данных оператор обязан прекратить обработку и уничтожить данные в срок, не превышающий 30 дней с даты достижения цели.
Но если данные нужны для исполнения требований закона (хранение кадровых документов, отчётность в СФР и ФНС) — обработка продолжается до истечения установленного срока хранения.
Юлия Берлова, юрист Nopaper:
«Данные могут храниться не дольше, чем того требуют цели их обработки. Если при увольнении сотрудника у работодателя отпадает цель обработки — данные подлежат уничтожению. Если цель остаётся актуальной (хранение документов, подтверждение юридической значимости подписи) — данные хранятся до истечения срока.»
Что делать с данными в КЭДО после увольнения
Подписанные в КЭДО документы (трудовой договор, приказы, соглашения) хранятся в сервисе до истечения установленного законом срока — так же, как бумажные оригиналы в архиве. Удалять их не нужно и нельзя.
Рассылочные данные (email для информирования о новых документах) — удаляются, так как цель обработки достигнута.
Порядок уничтожения персональных данных
По истечении сроков хранения работодатель обязан уничтожить документы, содержащие персональные данные. Основное требование — невозможность последующего восстановления данных.
Для подтверждения уничтожения оформляется акт об уничтожении персональных данных (Приказ Роскомнадзора от 28.10.2022 № 179). Акты об уничтожении хранятся постоянно.
Хранение персональных данных в электронном виде: требования
Где должны храниться данные
По закону персональные данные граждан РФ могут храниться только на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). С 01.07.2025 это требование ужесточено — хранение разрешено только с использованием отечественных баз данных (ФЗ от 28.02.2025 № 23-ФЗ).
За хранение данных сотрудников на иностранных серверах на работодателя могут наложить штраф от 1 до 6 млн рублей.
Отдельный сюжет — мессенджеры. С 1 июня 2025 года закон от 01.04.2025 № 41-ФЗ запретил организациям из установленного перечня использовать иностранные мессенджеры при взаимодействии с клиентами, если при этом передаются персональные или платёжные данные. Формально запрет адресован не всем работодателям подряд, но пересылка сканов паспортов и кадровых документов сотрудникам в Telegram или WhatsApp — плохая практика в любом случае: канал не подконтролен работодателю, а доказать, кому и что ушло, невозможно.
Требования к информационным системам
Если персональные данные хранятся в информационной системе (в том числе в КЭДО), организация обязана обеспечить:
Журналы по персональным данным и логирование в КЭДО
С 2025 года все операторы данных обязаны вести журнал событий — документ, фиксирующий кто, когда и с какой целью обращался к персональным данным.
В сервисе КЭДО логирование ведётся автоматически: система фиксирует все действия с документами — кто отправил, кто подписал, когда и с какого устройства. Это упрощает выполнение требования и помогает при проверках.
Срок хранения журналов — 3 года с момента завершения работы с документами.
Как КЭДО помогает выполнить требования
Качественный сервис КЭДО берёт на себя значительную часть обязательств по защите данных:
Но ответственность за правильность обработки остаётся на работодателе. Поэтому важно проверить лицензионное соглашение сервиса.
По закону персональные данные граждан РФ могут храниться только на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). С 01.07.2025 это требование ужесточено — хранение разрешено только с использованием отечественных баз данных (ФЗ от 28.02.2025 № 23-ФЗ).
За хранение данных сотрудников на иностранных серверах на работодателя могут наложить штраф от 1 до 6 млн рублей.
Отдельный сюжет — мессенджеры. С 1 июня 2025 года закон от 01.04.2025 № 41-ФЗ запретил организациям из установленного перечня использовать иностранные мессенджеры при взаимодействии с клиентами, если при этом передаются персональные или платёжные данные. Формально запрет адресован не всем работодателям подряд, но пересылка сканов паспортов и кадровых документов сотрудникам в Telegram или WhatsApp — плохая практика в любом случае: канал не подконтролен работодателю, а доказать, кому и что ушло, невозможно.
Требования к информационным системам
Если персональные данные хранятся в информационной системе (в том числе в КЭДО), организация обязана обеспечить:
- Идентификацию и аутентификацию пользователей
- Управление доступом (доступ только у уполномоченных лиц)
- Регистрацию и учёт действий (логирование)
- Защиту от несанкционированного доступа
- Шифрование данных при передаче
Журналы по персональным данным и логирование в КЭДО
С 2025 года все операторы данных обязаны вести журнал событий — документ, фиксирующий кто, когда и с какой целью обращался к персональным данным.
В сервисе КЭДО логирование ведётся автоматически: система фиксирует все действия с документами — кто отправил, кто подписал, когда и с какого устройства. Это упрощает выполнение требования и помогает при проверках.
Срок хранения журналов — 3 года с момента завершения работы с документами.
Как КЭДО помогает выполнить требования
Качественный сервис КЭДО берёт на себя значительную часть обязательств по защите данных:
- Данные хранятся на защищённых серверах в РФ
- Ведётся автоматическое логирование всех действий
- Обеспечивается шифрование при передаче и хранении
- Реализовано управление доступом
- Данные уничтожаются по запросу с документальным подтверждением
Но ответственность за правильность обработки остаётся на работодателе. Поэтому важно проверить лицензионное соглашение сервиса.
Изменения в законе о персональных данных в 2025–2026 году
С 2025 года вступили в силу серьёзные изменения в законодательстве о персональных данных. Они затрагивают и работу в сервисе КЭДО.
1. Новые штрафы за нарушения (с 30.05.2025)
Основание — закон от 30.11.2024 № 420-ФЗ, статья 13.11 КоАП РФ.
Отдельно стоит сказать про утечки — это главное изменение 2025 года. За неправомерную передачу персональных данных, ставших известными оператору, штраф для организации зависит от масштаба: от 3 до 5 млн ₽, если пострадали от 1 000 до 10 000 человек, от 5 до 10 млн ₽ — при 10 000–100 000 субъектов, от 10 до 15 млн ₽ — если данных больше. За повторную утечку введён оборотный штраф: от 1 до 3% выручки за год, но не менее 20 млн и не более 500 млн ₽.
Для работодателя это меняет цену вопроса о том, где лежат сканы паспортов сотрудников и кто имеет к ним доступ.
2. Жёстче требования к согласию (с 01.09.2025)
Требование введено законом от 24.06.2025 № 156-ФЗ, который изменил часть 1 статьи 9 152-ФЗ. Согласия, полученные до 1 сентября 2025 года, переподписывать не нужно — обратной силы у нормы нет.
3. Локализация данных (с 01.07.2025)
4. Журнал событий обработки
Все операторы данных обязаны:
Если используете КЭДО — проверьте: есть ли логирование, можно ли выгрузить информацию по действиям с документами.
5. Повторные нарушения
С 2025 года действует принцип усиления ответственности за рецидив. При повторном нарушении штрафы значительно выше.
Памятка для работодателя
1. Новые штрафы за нарушения (с 30.05.2025)
Нарушение | Штраф для организаций |
Обработка ПДн без согласия | от 300 000 до 700 000 ₽ |
Неуведомление Роскомнадзора о начале обработки | от 100 000 до 300 000 ₽ |
Непредоставление информации субъекту | до 150 000 ₽ |
Несвоевременное удаление данных | до 200 000 ₽ |
Хранение ПДн за рубежом | от 1 000 000 до 6 000 000 ₽ |
Повторная обработка без согласия | от 1 000 000 до 1 500 000 ₽ |
Основание — закон от 30.11.2024 № 420-ФЗ, статья 13.11 КоАП РФ.
Отдельно стоит сказать про утечки — это главное изменение 2025 года. За неправомерную передачу персональных данных, ставших известными оператору, штраф для организации зависит от масштаба: от 3 до 5 млн ₽, если пострадали от 1 000 до 10 000 человек, от 5 до 10 млн ₽ — при 10 000–100 000 субъектов, от 10 до 15 млн ₽ — если данных больше. За повторную утечку введён оборотный штраф: от 1 до 3% выручки за год, но не менее 20 млн и не более 500 млн ₽.
Для работодателя это меняет цену вопроса о том, где лежат сканы паспортов сотрудников и кто имеет к ним доступ.
2. Жёстче требования к согласию (с 01.09.2025)
Требование введено законом от 24.06.2025 № 156-ФЗ, который изменил часть 1 статьи 9 152-ФЗ. Согласия, полученные до 1 сентября 2025 года, переподписывать не нужно — обратной силы у нормы нет.
- Согласие должно быть отдельным документом — его нельзя включать в текст трудового договора или в общий пакет при приёме
- Должно содержать: цель, перечень данных, сроки, способ хранения, список третьих лиц
- Обновлять при каждом изменении целей или перечня данных
3. Локализация данных (с 01.07.2025)
- Хранение данных россиян — только на территории РФ с использованием отечественных баз данных
- Трансграничная передача — только с разрешения Роскомнадзора
- Оценка правового режима — обязательна до начала передачи
4. Журнал событий обработки
Все операторы данных обязаны:
- Вести журнал событий (кто, когда, зачем обращался к данным)
- Обеспечить прозрачность обработки
- Документально подтверждать уничтожение данных по истечении срока
Если используете КЭДО — проверьте: есть ли логирование, можно ли выгрузить информацию по действиям с документами.
5. Повторные нарушения
С 2025 года действует принцип усиления ответственности за рецидив. При повторном нарушении штрафы значительно выше.
Памятка для работодателя
Изменение | Что делать работодателю |
Согласие — отдельный документ | Обновите шаблоны согласий. Укажите цели, объём, срок хранения и получателей |
Нельзя хранить данные за рубежом | Уточните у сервиса КЭДО, где физически хранятся данные. Запросите подтверждение |
Журнал событий обработки | Проверьте, ведётся ли логирование в КЭДО: кто, когда и какие данные обрабатывал |
Повышены штрафы | Назначьте ответственного за соблюдение закона. Проведите аудит процессов |
Запрещена передача без согласия | Не передавайте данные кандидата в сервис без согласия, если он не регистрируется сам |
Согласие нельзя включать в ТД | Проверьте текущие трудовые договоры. При необходимости оформите согласие отдельно |
Как выбрать сервис КЭДО с точки зрения защиты персональных данных
Проверьте лицензионное соглашение и политику обработки данных
Уточните, какие данные собирает сервис, для каких целей. Сервис может собирать только те данные, которые необходимы для подписания документов и подтверждения законности подписи. Для этого могут собираться: ФИО, ИНН, СНИЛС, номер телефона, почта, паспортные данные, фото, данные электронной подписи.
Проверьте алгоритм взаимодействия при утечке данных, инцидентах, запросах на уничтожение.
Узнайте, где хранятся данные
По закону данные сотрудника могут храниться только на территории РФ. Попросите у сервиса подтверждение, что серверы расположены в России.
Обратите внимание на логирование
Проверьте, ведёт ли сервис журнал событий: кто, когда и какие данные обрабатывал. Это обязательное требование с 2025 года.
Способ добавления пользователя
Если кандидат может самостоятельно зарегистрироваться в сервисе, вам не придётся брать у него согласие на обработку персональных данных для заключения трудового договора. Отвечать за обработку данных будет сервис.
Возможность интеграции с другими системами
Если вы используете 1С, удобнее, если из 1С можно сразу отправить документ на подписание. Без переключения между программами.
Гибкость работы над документом
Позволяет ли сервис отправить документ на подписание и согласование сразу нескольким участникам. В Nopaper вы можете определить, кто должен согласовать документ, какой подписью его подписать.
Возможность выпускать несколько видов подписи
Для разных типов кадровых документов нужны разные виды подписей. Например, трудовой договор сотрудник может подписать только неквалифицированной электронной подписью (НЭП), а работодатель — квалифицированной подписью (КЭП).
Стоимость сервиса
В сервисе КЭДО вы платите за рабочее место — аккаунт сотрудника. Но некоторые решения берут дополнительную плату за внедрение, выпуск подписи, интеграцию и место в хранилище.
Уточните, какие данные собирает сервис, для каких целей. Сервис может собирать только те данные, которые необходимы для подписания документов и подтверждения законности подписи. Для этого могут собираться: ФИО, ИНН, СНИЛС, номер телефона, почта, паспортные данные, фото, данные электронной подписи.
Проверьте алгоритм взаимодействия при утечке данных, инцидентах, запросах на уничтожение.
Узнайте, где хранятся данные
По закону данные сотрудника могут храниться только на территории РФ. Попросите у сервиса подтверждение, что серверы расположены в России.
Обратите внимание на логирование
Проверьте, ведёт ли сервис журнал событий: кто, когда и какие данные обрабатывал. Это обязательное требование с 2025 года.
Способ добавления пользователя
Если кандидат может самостоятельно зарегистрироваться в сервисе, вам не придётся брать у него согласие на обработку персональных данных для заключения трудового договора. Отвечать за обработку данных будет сервис.
Возможность интеграции с другими системами
Если вы используете 1С, удобнее, если из 1С можно сразу отправить документ на подписание. Без переключения между программами.
Гибкость работы над документом
Позволяет ли сервис отправить документ на подписание и согласование сразу нескольким участникам. В Nopaper вы можете определить, кто должен согласовать документ, какой подписью его подписать.
Возможность выпускать несколько видов подписи
Для разных типов кадровых документов нужны разные виды подписей. Например, трудовой договор сотрудник может подписать только неквалифицированной электронной подписью (НЭП), а работодатель — квалифицированной подписью (КЭП).
Стоимость сервиса
В сервисе КЭДО вы платите за рабочее место — аккаунт сотрудника. Но некоторые решения берут дополнительную плату за внедрение, выпуск подписи, интеграцию и место в хранилище.
Часто задаваемые вопросы (FAQ)
Согласие на обработку персональных данных работника хранится 3 года после истечения срока его действия или отзыва (п. 441 Перечня, утв. Приказом Росархива от 20.12.2019 № 236). Если срок действия в согласии не указан, оно действует до момента отзыва работником или до достижения цели обработки.
Да, трудовой договор обязательно хранится после увольнения сотрудника. Срок — 50 лет для документов, законченных делопроизводством после 01.01.2003, или 75 лет для более ранних. Дополнительные соглашения хранятся столько же.
С 18 лет — самостоятельно. С 14 до 18 лет — с согласия законного представителя (родителя, опекуна). До 14 лет — только через законного представителя.
Работодатель вправе обрабатывать ПДн работника для исполнения трудового договора без согласия (п. 5 ч. 1 ст. 6 152-ФЗ). Но без согласия нельзя передавать данные в сервис КЭДО. Разъясните сотруднику цели обработки и последствия отказа.
Трудовые книжки хранятся в организации до востребования работником. После увольнения трудовая книжка выдаётся сотруднику. Невостребованные трудовые книжки и их дубликаты хранятся 50 или 75 лет.
Направьте письменное заявление бывшему работодателю. Однако отзыв не означает немедленное удаление всех данных: работодатель вправе продолжить хранение кадровых документов для исполнения закона (ч. 2 ст. 9, п. 2 ч. 1 ст. 6 152-ФЗ).
Зависит от цели обработки. Документы, подписанные в КЭДО (трудовой договор, приказы), хранятся до истечения установленного законом срока. Данные, собранные для необязательных целей (рассылки), подлежат удалению.
Обработка без согласия — от 300 000 до 700 000 руб. Неуведомление Роскомнадзора — от 100 000 до 300 000 руб. Хранение за рубежом — от 1 до 6 млн руб. При повторных нарушениях суммы увеличиваются.
Да. Закон допускает любую форму согласия, позволяющую подтвердить факт его получения. В Nopaper сотрудник может подписать согласие неквалифицированной электронной подписью (НЭП) прямо в приложении.
Да. Сведения об образовании (учебное заведение, специальность, квалификация, номер диплома) прямо или косвенно идентифицируют физическое лицо и относятся к персональным данным по ст. 3 152-ФЗ.
Журнал по персональным данным — документ, фиксирующий все действия с ПДн: кто, когда и с какой целью получал доступ, какие операции производились. С 2025 года его ведение обязательно. В КЭДО логирование ведётся автоматически. Срок хранения журнала — 3 года.
Графики работы (сменности) с подписями сотрудников хранятся 5 лет. Для сотрудников с вредными или опасными условиями труда — 50 или 75 лет.
Начните внедрение КЭДО прямо сейчас
Проведем персональную консультацию и расскажем, как правильно и быстро внедрить кадровый электронный документооборот в ваш бизнес