Персональные данные сотрудников в 1С: что нарушают 80% работодателей

Восемь из десяти компаний хранят персональные данные сотрудников в 1С с нарушениями 152-ФЗ. Чаще всего – не намеренно, а потому что права доступа настраивались «как попало» при внедрении и с тех пор не пересматривались. Штрафы с 2024 года начинаются от 75 000 ₽ и доходят до 500 000 ₽ за повторные нарушения, не считая отдельной статьи за утечки – там до 15 000 000 ₽.

Что именно хранится в 1С и почему это персональные данные

В 1С:Зарплата и управление персоналом (ЗУП) и 1С:ERP лежит всё, что попадает под 152-ФЗ: ФИО, ИНН, СНИЛС, серия и номер паспорта, адрес прописки, банковские реквизиты, сведения о семье и детях, размер оклада и фактических начислений.

Каждый из этих элементов – объект защиты. Обрабатывать их вправе только тот, кому это реально нужно по должности, и только при наличии письменного согласия сотрудника или законного основания.

Пять нарушений, которые есть почти у всех

Доступ «всем подряд» в ролях 1С

Типовая картина: роль «Бухгалтер» в ЗУП выдана всем трём бухгалтерам фирмы. Но начислением зарплаты занимается один, остальные работают с первичкой. Все трое видят оклады всех сотрудников. Это прямое нарушение принципа минимальной необходимости из статьи 5 152-ФЗ.

При проверке Роскомнадзора такой факт фиксируется как одно нарушение – но штраф рассчитывается отдельно по каждому сотруднику, данные которого были доступны без оснований.

Согласия нет или устарело

Согласие на обработку персональных данных – это отдельный документ, не пункт в трудовом договоре. Если оно не подписано или подписано до 2022 года (последние существенные поправки в закон) – формально согласия нет. По результатам проверок РКН в 2023-2024 годах это нарушение №1 среди малого и среднего бизнеса.

Интеграции передают данные без основания

Если 1С синхронизируется с CRM, сайтом или другой базой, и туда уходят ФИО, телефоны или ИНН сотрудников – это передача третьим лицам. Нужен договор поручения обработки или отдельное согласие. Чаще всего про это забывают при настройке интеграций «на скорую руку».

Данные уволенных хранятся бессрочно

После увольнения данные должны храниться ровно столько, сколько установлено законом: для налоговых целей – 5 лет, личные дела – до 50-75 лет, переписка и черновики – уничтожаются. На практике уволенные просто «помечаются как уволенные», вся история остаётся полностью доступной. Это нарушение принципа ограничения хранения.

Журнал обработки не ведётся

С 2022 года операторы персданных обязаны вести учёт действий с данными. В 1С это реализуется через журнал регистрации – но по умолчанию он либо не включён, либо не настроен на нужные события. Про электронные кадровые документы и требования к их хранению подробнее написано в материале про ФСБУ 27/2021 и контроль в 1С.

Кейс: что нашли при аудите в транспортной компании на 80 человек

Нижний Новгород, транспортная компания, 80 сотрудников. Начали готовиться к проверке РКН после того, как конкурент получил штраф. Аудит 1С занял три рабочих дня.

Нашли следующее:

• Роль с полным доступом к ЗУП – у 11 человек, из них 7 не работают с расчётом зарплаты.
• Согласия подписывались «когда-то давно», часть – на форме 2015 года, не соответствующей текущей редакции закона.
• 1С синхронизировалась с внешней CRM по расписанию, туда уходили ФИО и телефоны 63 из 80 сотрудников. Договора поручения не было.
• 15 уволенных сотрудников полностью видны в системе с паспортными данными и банковскими реквизитами.

Если бы этот набор нарушений обнаружил инспектор РКН, минимальная оценка штрафа начиналась бы от 200 000 ₽. Устранили всё за две недели: разграничили роли, обновили согласия, подписали договор поручения с интегратором CRM, ограничили доступ к данным уволенных.

Чек-лист: проверьте свою 1С за 30 минут

Пройдитесь по каждому пункту. Каждый минус – потенциальный штраф.

• Список пользователей 1С – кто имеет доступ к модулю кадров и зарплаты? Нет ли там лишних?
• Роли разграничены между «видит структуру без зарплаты» и «полный кадровый доступ»?
• Актуальные согласия на обработку персданных (подписанные после 2022 года) – есть для каждого сотрудника?
• Интеграции – куда передаются данные из 1С? Есть ли договор поручения с каждым получателем?
• Уволенные сотрудники – ограничен ли доступ к их данным?
• Журнал регистрации 1С включён и фиксирует вход в кадровые документы?
• Политика обработки персданных опубликована на сайте компании?
• Вы зарегистрированы в РКН как оператор персональных данных?

6 и более «нет» – высокий риск при проверке. 3-5 – средний. 1-2 – приоритизируйте и закройте в ближайший месяц.

Регламент: настройка контроля доступа к персданным в 1С за четыре шага

Шаг 1. Инвентаризация пользователей. Выгрузите список всех пользователей 1С с ролями. Для каждого пропишите: должность, реальные задачи в системе, нужен ли ему доступ к кадрам и зарплате. Всё, что «на всякий случай» – убирайте.

Шаг 2. Разделение ролей. В ЗУП создайте минимум два уровня доступа к кадровым данным: «просмотр структуры без зарплаты» и «полный кадровый доступ». Второй – только для расчётчика зарплаты и ответственного по кадрам.

Шаг 3. Актуальные согласия. Обновите форму согласия под текущую редакцию 152-ФЗ. Для действующих сотрудников – собрать подписи в течение 30 дней. Для новых – включить в пакет при приёме. Для тех, чьи данные передаются в CRM или другие системы – отдельная строчка с указанием получателя.

Шаг 4. Политика хранения и удаления. Определите порог: через 3 месяца после увольнения данные переходят в «архивный» режим с доступом только у ответственного за архив. Паспортные данные и банковские реквизиты в архивном режиме видит только один человек.

Важный момент по срокам: в 2026-2027 году требования к кадровому учёту и хранению данных ужесточаются – имеет смысл сразу настроить регламент под новые нормы, чтобы не переделывать через год.

Нарушения прав доступа, новые пользователи с избыточными ролями, изменения в кадровых документах без фиксации – всё это можно отловить автоматически. Система автоматического контроля в 1С видит такие события без ручного аудита раз в квартал.

Что проверяет Роскомнадзор

При плановой проверке РКН запрашивает конкретный пакет документов. Если их нет – нарушения фиксируются автоматически, независимо от реальной практики в компании.

• Уведомление об обработке персональных данных (должно быть подано в РКН до начала обработки).
• Политика в отношении обработки персональных данных – публичный документ на сайте.
• Перечень категорий обрабатываемых персданных и целей обработки.
• Приказ о назначении ответственного за обработку персональных данных.
• Образцы согласий, которые подписывают сотрудники.
• Договоры поручения обработки с подрядчиками, если данные им передаются.

Проверка длится от одного дня до двух недель. Если документов нет – штраф. Если документы есть, но реальность им не соответствует – штраф плюс предписание.

Частые вопросы

Нужно ли согласие сотрудника для выплаты зарплаты?

Для начисления и выплаты зарплаты согласие не требуется – это законное основание по статье 6 152-ФЗ (исполнение трудового договора). Но согласие нужно для всего остального: фото на сайте компании, передача данных в CRM, использование в маркетинге. Большинство работодателей берут одно «универсальное» согласие «на всё» – и это ошибка, потому что в нём не указаны конкретные цели и получатели.

Можно ли хранить сканы паспортов в 1С?

Можно, если есть основание и доступ к сканам защищён. Проблема в том, что в большинстве конфигураций сканы хранятся в присоединённых файлах, которые видны всем, у кого есть доступ к карточке сотрудника. Решение – отдельный каталог хранения с ограниченными правами доступа, отдельными от основной карточки.

Какой штраф за первое нарушение?

По статье 13.11 КоАП: за обработку без согласия – от 75 000 до 150 000 ₽ для юридических лиц. За повторное нарушение – до 500 000 ₽. За утечку персональных данных – отдельная статья с штрафами до 15 000 000 ₽, вступившая в силу в 2024 году. Штрафы могут суммироваться по каждому выявленному нарушению.

Нужно ли уведомлять РКН, если в компании всего 5 сотрудников?

Да. Исключений по количеству сотрудников в законе нет. Если вы обрабатываете персональные данные – вы оператор и обязаны уведомить РКН. Исключение только для данных, обрабатываемых исключительно в рамках трудового договора и не передаваемых никому. Но даже тогда внутренние документы (политика, приказ, согласия) должны быть в порядке.