Персональные данные бывших сотрудников: сроки хранения, обезличивание и уничтожение

Персональные данные бывших сотрудников - это та область, где работодатели чаще всего допускают ошибки. Архивное и налоговое законодательство требует хранить документы десятилетиями, а согласие на обработку ПДн, подписанное при приёме, не даёт права бесконечно использовать информацию о человеке, который уже не в штате. Добавьте к этому новые правила, вступившие в силу 1 сентября 2025 года: федеральный закон № 152-ФЗ обязывает обезличивать данные уволенных работников по истечении установленного срока. Как выстроить процесс обработки данных грамотно и без штрафов - разбираем в статье.

Правовая база: что говорит закон

Регулирование работы с информацией о работниках опирается на несколько ключевых нормативных актов. Главный из них - Федеральный закон № 152-ФЗ «О персональных данных», который устанавливает общие принципы обработки личной информации. В статье 5 закреплен базовый принцип: хранение ПДн должно осуществляться в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки. Как только эти цели достигнуты или истек установленный законом срок, информацию необходимо обезличить или уничтожить.

Трудовой кодекс РФ (глава 14) дополняет эти требования, определяя порядок работы с информацией о сотрудниках. Согласие на обработку персональных данных, полученное при приеме, действует в течение всего периода трудовых отношений и в пределах сроков, установленных архивным и налоговым законодательством. После увольнения работника основания для обработки сужаются: работодатель больше не вправе использовать сведения для кадрового учета, оценки эффективности, приглашения на корпоративные мероприятия.

Важный момент: отзыв согласия бывшим сотрудником не отменяет обязанности хранить документы в архиве. Нарушение законодательства возникает тогда, когда компания продолжает использовать сведения в маркетинговых или иных целях, не предусмотренных законом. Соответствие требованиям информационной безопасности требует четкого разграничения: какие сведения хранятся по закону, а какие подлежат немедленному обезличиванию.

Обязательное обезличивание: новые требования

С 1 сентября 2025 года вступил в силу Федеральный закон от 08.08.2024 № 233-ФЗ, который существенно дополнил регулирование защиты ПДн. Ключевое нововведение - обязанность операторов применять утвержденные методы обезличивания, когда данные больше не нужны для достижения целей обработки, но их полное уничтожение невозможно или нецелесообразно.

Обезличивание - это обработка, при которой невозможно определить принадлежность информации конкретному человеку без использования дополнительной информации (п. 9 ст. 3 152-ФЗ). Это не уничтожение: сведения сохраняются в системе, но теряют связь с конкретной личностью.

Приказ Роскомнадзора № 140 от 19.06.2025 утвердил пять методов обезличивания:

1. Введение идентификаторов - замена ФИО на уникальный код (например, «HR-2024-017»). Таблица соответствия хранится отдельно.

2. Изменение состава - удаление части сведений или замена на фиктивные значения.

3. Декомпозиция - разделение на несвязанные блоки в разных модулях системы.

4. Перемешивание - случайное смешивание атрибутов в таблицах, разрывающее связь с личностью.

5. Преобразование - агрегация (например, «в отделе уволились 2 женщины 30–35 лет»).

На практике это означает, что сведения бывших сотрудников в корпоративных порталах, базах знаний, CRM и внутренних чатах должны быть обезличены после увольнения. Удаление этих данных может нарушить историю коммуникаций, поэтому обезличивание становится оптимальным решением.

Исключение составляют архивные кадровые документы - на них правила обезличивания не распространяются, они хранятся в исходном виде согласно установленным срокам.

Сроки хранения данных после увольнения

Сроки хранения, закреплённые в перечне № 236 (приказ Росархива от 20.12.2019 № 236), обязательны к применению всеми организациями независимо от формы собственности. Это прямое требование ст. 17 Закона № 125-ФЗ. Базовое правило для документов по личному составу определяется датой завершения делопроизводства: материалы, завершённые до 1 января 2003 года, хранятся 75 лет, а созданные после этой даты - 50 лет.

Кадровые документы, подлежащие длительному хранению (50–75 лет):

• Приказы по личному составу (о приеме, переводе, увольнении) - 50 лет, если созданы до 2003 года, и 75 лет, если после.

• Личные дела сотрудников - 75 лет по перечню Росархива.

• Личные карточки (форма Т-2) - 50–75 лет в зависимости от даты создания.

• Лицевые счета по заработной плате - 75 лет при условии, что они заменяют расчетные ведомости.

• Трудовые договоры - 50–75 лет как документы, подтверждающие трудовой стаж.

• Документы по несчастным случаям на производстве - 75 лет.

• Расчетные ведомости при отсутствии лицевых счетов - 75 лет.

Документы с короткими сроками (3–5 лет):

Табели учета рабочего времени - 5 лет (при тяжелых условиях труда - 75 лет).

Графики отпусков - 3 года.

Заявления на отпуск, больничные листы - 5 лет.

Документы о командировках - 3 года.

Приказы о поощрениях и дисциплинарных взысканиях – 3-5 лет.

Для налогового учета сроки хранения бухгалтерских документов составляют 4 года (НК РФ), а для ПФР и ФСС - 6 лет. Электронные документы имеют те же сроки, что и бумажные.

Уничтожение персональных данных

В отличие от обезличивания, уничтожение предполагает безвозвратное удаление информации. Статья 21 Федерального закона № 152-ФЗ устанавливает конкретные сроки, в течение которых оператор обязан прекратить обработку.

Случаи и сроки уничтожения:

• 10 рабочих дней - при достижении цели обработки или выявлении факта неправомерной обработки.

• 10 рабочих дней - по требованию субъекта ПДн, если хранение признается избыточным.

• 30 календарных дней - при отзыве согласие на обработку ПДн бывшим сотрудником.

• 6 месяцев с блокировкой - если уничтожить данные в установленный срок технически невозможно.

Порядок оформления акта об уничтожении регулируется приказом Роскомнадзора от 28.10.2022 № 179. В акте обязательно указывают:

• Наименование и адрес организации-оператора.

• Сведения об операторах, обрабатывающих данные по поручению.

• ФИО или идентификаторы субъектов, чьи сведения уничтожаются.

• ФИО и должности ответственных лиц.

• Полный перечень уничтожаемых сведений.

• Наименование материальных носителей с указанием количества листов.

• Названия информационных систем, из которых удалены данные.

• Основание и причину уничтожения.

• Дату и способ уничтожения.

Способы уничтожения зависят от носителя. Бумажные документы сжигают или измельчают в шредере. Электронные - удаляют с помощью специальных программ или встроенных функций информационных систем. Передача бумажных носителей на утилизацию без договора с лицензированной организацией недопустима.

После уничтожения из ИСПДн необходимо сделать выгрузку из журнала регистрации событий, а сам акт и выгрузку хранить в течение трех лет как доказательство соблюдения закона.

Что относится к персональным данным бывшего сотрудника

Персональные данные бывших сотрудников включают широкий круг сведений, которые компания собирала в течение всего периода трудовых отношений. К ним относятся:

• Базовые идентификационные данные - ФИО, дата и место рождения, паспортные данные, ИНН, СНИЛС.

• Контактная информация - домашний адрес, телефон, email, аккаунты в соцсетях.

• Кадровые документы - приказы, трудовые договоры, должностные инструкции, личные дела.

• Сведения о заработной плате - оклады, премии, надбавки, расчетные листки.

• Информация об образовании - дипломы, сертификаты, сведения о повышении квалификации.

• Семейное положение - информация о составе семьи для льгот и выплат.

• Медицинские сведения - результаты медосмотров, данные ДМС.

• Сведения о воинском учете - документы призывников и военнообязанных.

• Служебная информация - логины, пароли, корпоративная почта, идентификаторы в CRM.

• Биометрия - фотография, образцы подписи, отпечатки (при наличии).

Отдельного внимания заслуживают данные, собираемые через файлы cookie на корпоративном портале, история посещений внутренних ресурсов и логи действий в информационных системах. Политика обработки ПДн должна четко регламентировать судьбу этих сведений после увольнения.

Ответственность работодателя: ключевые риски и санкции

Нарушение законодательства в сфере защиты ПДн влечет серьезные финансовые санкции. С 30 мая 2025 года штрафы по статье 13.11 КоАП РФ существенно возросли.

Основные составы правонарушений и размеры штрафов:

• Обработка без согласия: для юрлиц - от 300 тыс. руб. до 1,5 млн.руб. при повторных нарушениях.

• Неуничтожение в срок: для юрлиц - от 50 тыс. руб. до 500 тыс. руб. при повторных нарушениях.

• Утечка данных - штраф для юрлиц может достигать 20 млн. руб. в зависимости от категории данных и количества субъектов и индификаторов.

Помимо финансовых потерь, нарушение законодательства влечет репутационные риски, дисквалификацию должностных лиц на срок до 6 месяцев и приостановку деятельности компании до 90 суток.

Практические рекомендации для HR и бизнеса

Минимизировать риски и навести порядок в работе с данными уволенных сотрудников поможет чёткий алгоритм из семи шагов:

1. Аудит хранилищ. Составьте с IT-отделом полный перечень систем, где оседают сведения бывших сотрудников: 1С, CRM, базы знаний, почта, корпоративные чаты.

2. Внутренняя политика. Зафиксируйте в документе, что происходит с данными после увольнения: обезличивание, уничтожение или передача в архив.

3. Реестр сроков хранения. Установите конкретные сроки для каждого типа документов и подключите автоматические напоминания.

4. Обновлённые согласия. При приёме на работу чётко прописывайте цели обработки и сроки хранения после увольнения. Знакомьте сотрудников с правилами обезличивания.

5. Ответственное лицо. Определите сотрудника, контролирующего соблюдение требований информационной безопасности при работе с ПДн.

6. Ежеквартальные проверки. Регулярно сверяйте, не задержалась ли в рабочих системах личная информация, которую пора обезличить или уничтожить.

7. Обучение команды. HR, бухгалтерия и IT должны знать актуальные требования закона и уметь оформлять акты об уничтожении.

Соответствие требованиям информационной безопасности строится на системном подходе: от корректной настройки файлов cookie на корпоративных сайтах до автоматизированного удаления учётных записей из информационных систем в день увольнения работника.

Персональные данные бывших сотрудников не должны становиться активом, угрожающим бюджету и репутации компании. Переход на новые стандарты обезличивания требует компетенций на стыке права, кадрового учёта и IT. НПЦФМ предлагает комплексное сопровождение: от аудита текущих информационных систем и разработки индивидуального пакета документов до внедрения автоматизированных процедур обезличивания и уничтожения. Мы гарантируем полное соответствие требованиям информационной безопасности и нормам 152-ФЗ. Передайте этот вопрос экспертам НПЦФМ - и направьте ресурсы команды на стратегическое развитие, а не на устранение юридических рисков.