Визит проверяющего органа (Роскомнадзора, прокуратуры, трудовой инспекции, полиции или судебных приставов) — всегда стрессовая ситуация. Требование предоставить доступ к персональным данным (ПДн) сотрудников ставит работодателя в сложное положение: с одной стороны — обязанность сотрудничать с контролем, с другой — строгие требования 152-ФЗ «О персональных данных» и статьи 85–90 ТК РФ, запрещающие несанкционированное распространение информации. В этой статье разберем, как действовать законно, защитить права сотрудников и не нарушить требования инспектора.

Первые действия: сохраняем спокойствие и проверяем полномочия

Никогда не передавайте данные «на руки» или по электронной почте сразу при появлении инспектора. Ваша первая задача — легализовать процесс.

1. Попросите служебное удостоверение. Зафиксируйте ФИО, должность, номер удостоверения, наименование органа.
2. Потребуйте письменный запрос (предписание, постановление, требование). Согласно ст. 21 152-ФЗ и ст. 86 ТК РФ, доступ к ПДн предоставляется только на основании документа, в котором указаны:
   • Правовое основание запроса (статья закона);
   • Конкретный перечень требуемых данных;
   • Цели получения информации;
   • Сроки предоставления.
3. Проверьте компетенцию органа. Не у каждого инспектора есть право требовать прямой доступ к базам данных или исходные документы с ПДн. Часто достаточно предоставить выписки, справки или копии документов с замаскированными лишними данными.

Ключевые правовые ограничения: что инспектор имеет право, а что — нет

Понимание границ дозволенного — ваш главный щит.

Права Роскомнадзора (ст. 22 152-ФЗ)

Роскомнадзор вправе запрашивать документы, связанные с обработкой ПДн (локальные акты, журналы учета, договоры с операторами, отчеты по ДОП), но не имеет права требовать полный неограниченный доступ к самим персональным данным сотрудников (базам данных, карточкам сотрудников) без конкретного основания по делу о нарушении.

Права трудовой инспекции и прокуратуры

Они могут требовать документы для проверки соблюдения трудового законодательства (ст. 360 ТК РФ). Однако требование должно быть целевым и пропорциональным. Массовый выгруз всего кадра без указания конкретных ФИО и основания, незаконно.

Медицинская тайна и особые категории данных (ст. 88 ТК РФ, 152-ФЗ)

Доступ к медицинской документации (справки, больничные листы, результаты осмотров) строго ограничен. Инспектор не имеет права читать диагнозы. Сотрудник имеет право получить доступ к своим медицинским данным только через врача по своему выбору. Работодатель обязан обеспечить этот режим.

Алгоритм подготовки ответа и передачи данных

Если запрос законен и оформлен правильно, действуйте по следующему плану:

Шаг 1. Оценка объема и минимизация данных (Принцип минимальной достаточности)

Ст. 5 152-ФЗ и ст. 86 ТК РФ требуют не собирать и не передавать данные, избыточные по отношению к цели. Передайте только то, что прямо указано в требовании.

• Если просят подтвердить стаж — дайте выписку из трудовой книжки/СТД-Р, а не всю личную карточку.
• Если проверяется зарплата — дайте ведомости начислений, замаскировав номера счетов, ИНН и адреса проживания, если они не запрошены отдельно.

Шаг 2. Обеспечение режима конфиденциальности при передаче

• Бумажные носители: Передавайте под роспись в журнале учета передачи ПДн третьим лицам (обязательный документ по 152-ФЗ). На копиях поставьте отметку «Копия верна», печать, подпись ответственного лица.
• Электронный вид: Используйте защищенные каналы связи (ЭДО, зашифрованные архивы с паролем, переданным по другому каналу). Запрещено отправлять ПДн в открытых мессенджерах или на личные почты инспекторов.

Шаг 3. Уведомление сотрудников (если требуется)

Согласно ст. 86 ТК РФ, если ПДн передаются третьим лицам (в т.ч. госорганам) в целях, не связанных с исполнением трудового договора напрямую, работник должен быть уведомлен об этом заранее. Однако при наличии законного требования госоргана (ст. 6 152-ФЗ «обработка без согласия для исполнения функции органа власти») уведомление часто производится постфактум или не требуется, но лучше зафиксировать факт уведомления в журнале для доказательства добросовестности.

Что делать, если данных нет или запрос незаконен?

Игнорировать запрос нельзя. Это влечет штрафы по ст. 19.7 КоАП РФ (предприятиям — до 500 тыс. руб., должностным лицам — до 20 тыс. руб.).

Необходимо письменно ответить в установленный срок (обычно 10 рабочих дней, если иное не указано в требовании):

1. Данных нет: Напишите мотивированный ответ: «В организации не обрабатываются / отсутствуют сведения о [ФИО/категория данных], запрашиваемые в требовании №.;. от…».
2. Отказ в предоставлении: Если запрос выходит за пределы компетенции инспектора (например, требуют дамп базы HR-системы), мотивируйте отказ ссылками на закон: ст. 86 ТК РФ (гарантии защиты ПДн), ст. 9 152-ФЗ (обработка только для определенных целей), ст. 22 152-ФЗ (пределы проверочных полномочий РКН). Укажите, какие именно данные вы готовы предоставить законно.

Внутренняя подготовка: как снизить риски до прихода инспектора

Лучшая защита — грамотная внутренняя организация. Проверьте наличие и актуальность следующих документов:

• Локальный нормативный акт (Политика/Положение) по обработке и защите ПДн. Должен описывать категории данных, цели, сроки хранения, меры защиты.
• Приказ о назначении ответственных за обработку ПДн и перечне уполномоченных лиц, имеющих доступ к данным (ст. 86 ТК РФ: доступ только тем, чьи обязанности это обуславливают).
• Обязательства о неразглашении от каждого сотрудника, имеющего доступ к ПДн коллег (кадровики, бухгалтерия, ИТ, руководство).
• Журналы учета: передачи ПДн третьим лицам, обращений субъектов ПДн, инцидентов безопасности.
• Согласия сотрудников на обработку данных, выходящих за рамки трудового договора (публикация фото на сайте, передача в банки/страховщики без прямого законного основания, биометрия и т.д.).
• Акт категорирования объектов ПДн (уровни защищенности 1–4) и соответствующие меры защиты (шифрование, контроль доступа, антивирусы, ДЛП-системы).

Типичные ошибки работодателей (чек-лист «Чего НЕ делать»)

Резюме: пошаговый чек-лист при визите инспектора

1. Встретить, идентифицировать (удостоверение, приказ/постановление).
2. Получить письменный запрос с указанием основания, перечня данных и сроков.
3. Проверить законность запроса (компетенция органа, пропорциональность, цель).
4. Подготовить минимально необходимый пакет документов (выписки, справки, копии), замаскировав избыточные данные.
5. Зафиксировать передачу в Журнале учета передачи ПДн третьим лицам (подпись инспектора, дата, перечень переданного).
6. Передать данные безопасным способом (под роспись на бумаге / зашифрованный контейнер по ЭДО).
7. При невозможности выполнения, направить мотивированный письменный отказ/ответ в срок.
8. Провести внутренний аудит после ухода проверки: не было ли излишней передачи, все ли зафиксировано.

Требование инспектора получить доступ к персональным данным сотрудников — это не повод для паники и не повод для безоговорочного подчинения. Закон (152-ФЗ, ТК РФ, КоАП РФ) устанавливает четкий баланс: государство имеет право контролировать соблюдение законодательства, но работодатель остается оператором персональных данных и несет полную ответственность за их защиту.

Главное правило: действуйте только на основании письменного документа, передавайте минимум необходимых данных, фиксируйте каждый шаг в журналах и используйте защищенные каналы связи. Грамотно выстроенная внутренняя система работы с ПДн (политики, приказы, обязательства, журналы) — ваш лучший аргумент в диалоге с любым проверяющим органом.

Данная статья носит информационный характер и не является юридической консультацией. В конкретных спорных ситуациях рекомендуется обратиться к квалифицированному юристу по трудовому и информационному праву.