Согласно актуальным данным на , оформление согласия на распространение персональных данных (ПДн) остается одной из самых частых причин штрафов и претензий со стороны Роскомнадзора. Многие работодатели по-прежнему путают понятия «обработка» и «распространение», используют устаревшие формы или вовсе игнорируют необходимость отдельного документа для передачи данных третьим лицам.

В этой статье мы подробно разберем правовые основы, структуру правильного согласия, типичные ошибки и предоставим актуальный образец с пояснениями. Внимание: во всех примерах конфиденциальные данные (ФИО, адреса, телефоны, ИНН, СНИЛС) заменены на маску * в соответствии с требованиями безопасности.

Правовая база: в чем разница между обработкой и распространением?

Ст. 3 ФЗ-152 «О персональных данных» дает четкие определения:

• Обработка — любое действие (операция) с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Распространение — это вид передачи данных, при котором они становятся доступны неопределенному кругу лиц (публикация в СМИ, размещение в интернете, открытые реестры, рассылка каталогов).
• Предоставление — передача данных определенному кругу лиц (бухгалтерия аутсорсинга, банк для зарплатного проекта, страховая компания, фонд пенсионных накоплений).

Ключевой момент для HR и юристов: Если вы передаете данные контрагенту по договору (например, в * для страхования) — это предоставление. Если вы выкладываете список сотрудников с зарплатами на корпоративном портале без ограничения доступа или публикуете фото с именами в открытом доступе — это распространение.

Важно: Согласие на распространение обязательно (ч. 1 ст. 10.1 ФЗ-152), если только законом не установлено иное (например, публикация данных о госслужащих). Для обычных коммерческих организаций без согласия распространять данные сотрудников нельзя.

Требования к форме и содержанию согласия (Ст. 9, 10.1 ФЗ-152)

Согласие на распространение должно быть:

1. Свободным, конкретным, информированным и сознательным.
2. Документированным (бумажное с «мокрой» подписью или электронное с ЭЦП/простой ЭП в рамках ЭДО).
3. Отдельным документом или отдельным приложением к трудовому договору. Нельзя прописать пункт «соглашаюсь на распространение» внутри самого трудового договора или заявления на прием — Роскомнадзор считает это нарушением (п. 4 Методических рекомендаций Роскомнадзора).

Обязательные реквизиты согласия (ч. 1 ст. 9 ФЗ-152):

• ФИО, адрес регистрации/пребывания субъекта ПДн (сотрудника), в образце: .
• Номер основного документа (паспорт РФ) — .
• ФИО/Наименование, адрес оператора (работодателя) — ООО «Ромашка», г. , ул. , д. *.
• Цель распространения (конкретная!): «Публикация ФИО и фото на сайте компании в разделе «Наша команда»», «Размещение в открытом доступе списка laureates конкурса» и т.д.
• Перечень распространяемых данных: ФИО, фото, должность, контактный телефон (рабочий), email (рабочий) — только то, что реально нужно (принцип минимизации).
• Способы распространения: размещение в сети Интернет (сайт, соцсети), печать в корпоративной газете, демонстрация на стенде выставки.
• Срок действия согласия (например, «до отзыва» или «3 года»).
• Право субъекта отозвать согласие в любой момент (обязательное упоминание).
• Подпись сотрудника с расшифровкой и датой.

Актуальный образец согласия на распространение ПДн (2026 год)

Ниже приведен рекомендуемый шаблон. Текст в квадратных скобках [ ] подлежит заполнению конкретными данными (скрыты маской * в публичном виде).

Типичные ошибки при оформлении (на основе практики проверок Роскомнадзора за 2024-2025 гг.)

Процедура отзыва согласия: алгоритм действий HR

Сотрудник подал заявление на отзыве согласия на распространение (образец заявления ниже). Действия оператора:

1. Зарегистрировать входящий документ (журнал учет входящей корреспонденции или ЭДО).
2. В течение 3 рабочих дней (рекомендация Роскомнадзора, ст. 21 ФЗ-152) удалить данные из открытых источников: сайт, соцсети, печатные материалы (если тираж не разослан).
3. Сообщить третьим лицам (если данные передавались партнерам для повторной публикации) о необходимости удаления.
4. Составить акт удаления/обезличивания данных (фиксирует исполнение обязанности).
5. Уведомить сотрудника об исполнении (письменно или через ЭДО).

Образец заявления на отзыв согласия (для выдачи сотруднику):

Особенности электронного согласия (ЭДО / Порталы)

В 2026 году большинство крупных компаний (, , *) перевели HR-процессы в электронный вид. Для действия электронного согласия на распространение необходимо:

• Наличие регламента ЭДО, утвержденного приказом директора.
• Использование усиленной квалифицированной ЭЦП (КЭП) сотрудника ИЛИ простой ЭП (логин/пароль/SMS/пуш) при условии, что в регламенте ЭДО и локальном акте закреплена приравнивание простой ЭП к собственноручной подписи для локальных актов и согласий (ч. 2 ст. 6 ФЗ-63 «Об электронной подписи»).
• Обеспечение возможности сотруднику ознакомиться с полным текстом согласия перед подписанием (не только чек-бокс «Я согласен», а скроллируемое окно с текстом).
• Фиксация в системе: IP-адрес, время, хэш документа, сертификат ключа проверки ЭП.

Риск: Если сотрудник подписал простой ЭП (СМС-код), а регламент ЭДО не предусматривает приравнивание к «мокрой» подписи для согласий на ПДн — документ может быть признан судом недействительным. Рекомендуем использовать КЭП или явно прописать в Политике конфиденциальности и Регламенте ЭДО условие приравнивания.

Чек-лист для аудита документов (самостоятельная проверка перед визитом инспектора)

Проверьте каждый экземпляр согласия в личном деле / ЭДО по пунктам:

• [ ] Наличие оригинала (или электронного оригинала) с подписью сотрудника и датой.
• [ ] Наличие подписи уполномоченного лица Оператора (HR/Директор) и даты получения (на 2-м экземпляре или в журнале/системе).
• [ ] Указана конкретная цель (не «для целей бизнеса»);
• [ ] Перечень данных соответствует цели (нет лишних: паспорт, СНИЛС, адрес жительства).
• [ ] Указаны конкретные каналы распространения (URL сайта, названия соцсетей).
• [ ] Есть условие о праве отзыва и процедуре отзыва.
• [ ] Срок действия указан (или условие «до отзыва»).
• [ ] Согласие оформлено отдельным документом, а не пунктом в трудовом договоре.
• [ ] Данные в согласии актуальны (ФИО не менялось, должность актуальна). При смене ФИО/должности — новое согласие.

Ответы на частые вопросы (FAQ)

Нужно ли согласие на распространение для зарплатного проекта (передача в банк)?

Нет. Это предоставление определенному кругу лиц (банку) по договору. Оно покрывается согласием на обработку (или основанием ст. 6 ФЗ-152 — исполнение договора). Отдельное согласие на распространение здесь не требуется.

Сотрудник уволен. Нужно ли удалять его фото с сайта?

Если согласие было «до отзыва» или «бессрочное» — да, лучше удалить в разумный срок (3-5 дней) после увольнения, так как цель (представление текущей команды) утрачена. Если сотрудник не отзывал согласие формально, но цель исчезла — дальнейшее распространение становится незаконным (нарушение принципа целевого определения). Рекомендуем удалять проактивно.

Можно ли поставить в трудовом договоре галочку «Согласен на публикацию фото на сайте»?

Категорически нет. Это грубое нарушение ст. 9 ФЗ-152 и рекомендаций регулятора. Штрафы применяются регулярно. Только отдельный документ/приложение с отдельной подписью.

Что делать, если сотрудник отказался подписывать согласие на фото на сайте?

Право сотрудника. Нельзя нанимать/увольнять/дисциплинировать за отказ. Просто не публикуйте его фото и ФИО в открытом доступе. Внутренний телефонный справочник / корпоративный портал (закрытый контур), это не распространение, а предоставление доступа определенному кругу (сотрудникам), это покрывается основным согласием на обработку.

Грамотное оформление согласия на распространение персональных данных — это не просто «бумажка для инспектора», а инструмент управления репутационными и финансовыми рисками. В 2026 году фокус Роскомнадзора смещен на прозрачность целей, минимизацию данных и реальную возможность отзыва.

Используйте приведенный выше образец как базу, адаптируйте под специфику вашей компании (добавьте/уберите каналы распространения, уточните состав данных) и обязательно согласуйте финальную версию с внутренним юристом или DPO (Data Protection Officer / Специалистом по защите ПДн).

Помните: Любые реальные паспортные данные, адреса, телефоны в рабочих документах должны храниться в защищенных контурах. В обучающих материалах и шаблонах для публичного доступа всегда используйте маскировку *.

Статья подготовлена на основе действующего на законодательства РФ (ФЗ-152, ФЗ-63, КоАП РФ, Постановления Пленума ВС РФ, Методических рекомендаций Роскомнадзора). Данная информация носит справочный характер и не заменяет юридическую консультацию с учетом специфики вашей организации.