Сотрудник уволен: какие персональные данные удалить, что сохранить и какие доступы закрыть
После увольнения сотрудника часть его ПДн нужно уничтожить, часть из них продолжить хранить на законном основании, а доступ к CRM, почте и облакам закрыть. Разбираем, как связать HR, ИТ и требования 152-ФЗ.
30 дней — общий предельный срок на уничтожение персональных данных после достижения цели обработки, если у компании нет другого законного основания продолжать их обработку. Но увольнение само по себе не означает, что нужно удалить все сведения о работнике. Часть данных компания обязана или вправе хранить дальше, а доступ бывшего сотрудника к CRM, почте, облакам и внутренним системам, напротив, нужно прекратить.
На практике при увольнении сходятся две задачи. HR и бухгалтерия должны определить, какие данные бывшего работника остаются у компании и на каком основании. ИТ и ИБ — исключить его дальнейший доступ к данным клиентов, контрагентов и коллег. Ошибка в первой части приводит к избыточному хранению или преждевременному уничтожению документов, во второй — к утечкам и другим инцидентам безопасности.
После увольнения нельзя ни удалить все, ни оставить все как есть
Базовое правило закреплено в ч. 4 ст. 21 Федерального закона № 152-ФЗ: после достижения цели обработки оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней. Исключения возможны, если продолжение обработки допускается договором, соглашением с субъектом либо федеральным законом.
Поэтому увольнение нужно рассматривать не как одну операцию с карточкой сотрудника, а как повод проверить каждый процесс, в котором используются его данные.
Что происходит после увольнения | Примеры | Что делает компания |
Цель обработки закончилась | Данные, необходимые исключительно для действующих служебных пропусков, корпоративных сервисов, внутренних справочников и других завершившихся процессов | Прекращает обработку и уничтожает данные, если для их дальнейшего хранения нет самостоятельного основания |
Обработка продолжается по другому основанию | Кадровые, налоговые и бухгалтерские документы, архивные документы, материалы судебных и иных юридически значимых процессов | Продолжает обработку в объеме и в течение сроков, необходимых для соответствующей цели |
Первая ошибка — хранить все сведения бывшего работника на всякий случай.
Вторая — удалить все сразу после увольнения и вместе с лишними данными уничтожить документы, которые компания обязана сохранять.
Рабочий подход другой: каждый массив данных нужно связать с конкретной целью, основанием и сроком хранения.
Для процессов, которые продолжаются после увольнения, могут применяться, в частности, основания из ст. 6 152-ФЗ: выполнение обязанностей, возложенных на оператора законодательством, участие в судопроизводстве, а также осуществление прав и законных интересов оператора или третьих лиц при условии, что права и свободы субъекта при этом не нарушаются.
Последнее основание нельзя использовать как универсальное объяснение хранения данных про запас. Компания должна понимать, какой именно законный интерес она защищает, какие данные для этого действительно нужны и как долго их необходимо хранить.
Какие данные бывшего работника продолжают хранить
После прекращения трудовых отношений у компании остаются обязанности, для исполнения которых необходима часть сведений о работнике.
Например, персональные данные продолжают содержаться в кадровых, бухгалтерских и налоговых документах, сведениях о произведенных выплатах и удержаниях, обязательной отчетности и других документах, которые организация должна хранить в соответствии с законодательством.
Но это не означает, что любой реквизит из карточки сотрудника можно автоматически оставить на весь срок хранения кадровых документов. Для каждого массива нужно определить, требуется ли он для продолжающегося процесса.
Поэтому HR не стоит передавать в ИТ задачу удалить бывшего сотрудника из всех систем без уточнения, о каких системах, данных и процессах идет речь.
Сначала определяется, какой процесс закончился, а какой продолжается на самостоятельном основании.
Когда подобных процессов много, их удобнее связывать с целями, основаниями и сроками в едином реестре. В Privacy Box можно вести такие процессы вместе с документами и ответственными, а не восстанавливать логику хранения при каждом увольнении заново.
Удалили недостаточно: уничтожение ПДн нужно подтвердить
С 1 марта 2023 года действует приказ Роскомнадзора № 179, который устанавливает требования к подтверждению уничтожения персональных данных. Действие приказа предусмотрено до 1 марта 2029 года.
Если обработка велась без использования средств автоматизации, подтверждением выступает акт об уничтожении персональных данных.
Если ПДн обрабатывались с использованием средств автоматизации, нужны акт об уничтожении и выгрузка из журнала регистрации событий в информационной системе персональных данных.
Если обработка велась одновременно автоматизированным и неавтоматизированным способом, также используются акт и выгрузка из журнала.
Эти документы должны храниться три года с момента уничтожения персональных данных.
Важно не смешивать два разных действия. Блокировка учетной записи бывшего работника подтверждает прекращение его доступа к системе, но сама по себе не заменяет документы об уничтожении ПДн, если данные должны быть уничтожены в соответствии с 152-ФЗ.
Если в компании сроки хранения, акты уничтожения и основания обработки разбросаны между разными документами, полезнее сначала провести аудит соответствия требованиям 152-ФЗ, а затем точечно актуализировать документы и регламенты.
Передача в архив не означает, что про режим данных можно забыть
С архивом есть отдельная юридическая тонкость.
Некорректно сводить ее к правилу: документ передан в архив — 152-ФЗ больше не действует.
Закон о персональных данных действительно не распространяется на отношения по организации хранения, комплектования, учета и использования содержащих ПДн документов Архивного фонда РФ и других архивных документов, если эти отношения регулируются законодательством об архивном деле.
Но речь идет именно об отношениях, подпадающих под специальный архивный режим. Сам факт помещения файла или бумажного документа в папку с названием архив не создает автоматического исключения из 152-ФЗ.
Поэтому в регламенте увольнения нужно отличать уничтожение данных, продолжение обработки по действующему основанию и архивное хранение документов.
Увольнение завершено, а риски по ПДн могут остаться
Оставьте контакты, чтобы определить, где в процессе HR, бухгалтерии и ИТ могут оставаться разрывы.
Проверьте процесс увольнения с точки зрения ПДн
Второй риск: сотрудник ушел, а его доступ к данным остался
До этого речь шла о персональных данных самого бывшего сотрудника. Но есть вторая плоскость: его доступ к ПДн клиентов, контрагентов, коллег и других лиц.
Трудовые отношения прекращены, а технически доступ может продолжать работать.
Например, учетная запись в CRM осталась активной, почта продолжает пересылаться на внешний адрес, сессия на домашнем устройстве не завершена, рабочая папка синхронизирована с личным облаком или не отозваны VPN, сертификат и токен.
Здесь действует общая обязанность оператора по ст. 19 152-ФЗ принимать правовые, организационные и технические меры для защиты ПДн от неправомерного доступа, копирования, предоставления и распространения.
Для информационных систем персональных данных требования конкретизируются, в частности, постановлением Правительства РФ № 1119 и приказом ФСТЭК России № 21. Приказ № 21 прямо предусматривает идентификацию и аутентификацию пользователей, управление доступом и регистрацию событий безопасности.
При этом законодательство не устанавливает отдельный универсальный срок в часах, за который учетная запись должна быть заблокирована именно вследствие увольнения. Такой порядок компания должна закрепить сама. Практически доступ должен прекратиться не позднее момента, когда сотрудник утрачивает соответствующие полномочия.
Поэтому письма от HR о том, что сотрудник уволен, недостаточно. Компания должна понимать, к каким системам и данным у него был доступ и кто подтверждает прекращение каждого такого доступа.
Умышленный вынос базы и забытая сессия — разные сценарии, но проблема оператора одна
Риск может быть умышленным.
Сотрудник перед увольнением выгружает клиентскую базу, копирует переписку, отправляет документы на личную почту или сохраняет данные клиентов на внешний носитель.
Но инцидент может возникнуть и без злого умысла. Например, корпоративные документы остались синхронизированы с личным устройством, а компания не завершила активную сессию.
Для оператора оба сценария показывают одну проблему: процесс управления доступами не был завершен надлежащим образом.
Поэтому privacy/security offboarding начинается раньше последнего рабочего дня. Компания должна заранее понимать, какие роли, системы, носители и данные доступны сотруднику.
Если реальной карты доступов нет, технический аудит информационных систем помогает проверить фактические учетные записи, права и технический контур, а не только регламент их отзыва.
Судебные дела показывают последствия неправомерного рабочего доступа
В открытой практике чаще встречаются дела не о классической ситуации, когда уже уволенный сотрудник сохранил доступ к системе, а о неправомерном использовании доступа, который человек получил благодаря работе.
Например, в 2025 году Сыктывкарский городской суд Республики Коми сообщил о приговоре бывшему сотруднику банка за незаконное разглашение банковской тайны. Суд установил, что сами действия он совершал, будучи сотрудником банка и имея доступ к клиентской базе. Ему назначили штраф 250 000 рублей и на два года запретили деятельность, связанную с допуском к банковской тайне.
В другом деле Дзержинский районный суд Оренбурга рассматривал незаконное распространение сведений о частной жизни пациентов. В материалах фигурировали персональные данные пациента, переданные третьему лицу без его согласия, а обвинение включало ч. 2 ст. 137 и ч. 4 ст. 274.1 УК РФ.
Эти дела нельзя напрямую описывать как утечки после увольнения. Они показывают другой риск: рабочий доступ к ПДн сам по себе становится источником угрозы, если компания недостаточно контролирует полномочия пользователей и действия внутри системы.
Отдельно трудовое законодательство предусматривает возможность увольнения за разглашение охраняемой законом тайны, ставшей известной работнику в связи с выполнением трудовых обязанностей, в том числе ПДн другого работника. Это подп. в п. 6 ч. 1 ст. 81 ТК РФ.
Но для работодателя принципиальна доказуемость. Нужно уметь подтвердить, какие сведения были доступны сотруднику, почему они относились к охраняемой информации, какие обязанности по конфиденциальности действовали и в чем именно состояло разглашение.
Что закрыть к моменту увольнения
К последнему рабочему дню HR уже должен понимать, кого и когда уведомить, а ИТ — какие действия выполнить.
По учетным записям нужно прекратить доступ к корпоративной почте, CRM, ERP, HRM, файловым хранилищам, облакам, телефонии и другим системам. Активные сессии завершаются, VPN, сертификаты, токены и иные средства доступа отзываются. Саму учетную запись не всегда нужно немедленно физически удалять: в отдельных системах она может требоваться для сохранения истории действий, аудита или связанных рабочих данных. Главное — исключить возможность дальнейшего входа бывшего сотрудника.
Отдельно проверяются переадресация почты, синхронизация с личными устройствами, рабочие чаты и команды.
Корпоративные ноутбуки, телефоны, пропуска, токены, бумажные документы и внешние носители возвращаются и учитываются по принятой в компании процедуре.
Рабочие документы и дела передаются уполномоченному сотруднику. Их не следует оставлять в личной папке или почтовом ящике уволенного как единственном месте хранения.
Одновременно HR определяет судьбу ПДн самого работника: где обработка прекращается, а где сохраняется самостоятельное основание для ее продолжения.
Обнаружили выгрузку базы перед увольнением — обычного offboarding уже мало
Допустим, при закрытии учетной записи обнаружилось, что сотрудник накануне массово скачивал файлы или отправлял документы на внешний адрес.
Ограничиться актом возврата ноутбука в такой ситуации нельзя.
Нужно оперативно ограничить оставшиеся доступы, сохранить логи и другие цифровые следы, установить обстоятельства произошедшего и оценить, возник ли инцидент с персональными данными.
Если установлен факт неправомерной или случайной передачи, предоставления, распространения либо доступа к ПДн, который повлек нарушение прав субъектов, применяется специальный порядок ст. 21 152-ФЗ.
Оператор должен уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента. В течение 72 часов с момента выявления нужно сообщить результаты внутреннего расследования, а также сведения о лицах, действия которых стали причиной инцидента, если такие лица установлены.
Поэтому особенно опасен разрыв между HR, ИТ и ответственным за организацию обработки ПДн. Если ИТ обнаружил подозрительную активность, информация должна быстро дойти до тех, кто оценивает инцидент и принимает решение о дальнейших действиях.
Что должно работать еще до заявления об увольнении
Защиту данных нельзя впервые проектировать в последний рабочий день человека.
До этого момента в компании должны работать ролевая модель доступа, учет сотрудников с доступом к ПДн, локальные правила обработки и защиты данных, процедура offboarding, порядок возврата носителей и оборудования, журналирование значимых действий и правила использования почты, облаков, мессенджеров и внешних носителей.
Отдельная задача — конфиденциальность.
Недостаточно общей фразы о том, что работник обязан хранить тайну. Если компания рассчитывает использовать этот режим при расследовании или трудовом споре, она должна уметь показать, какие сведения были доступны сотруднику, какие ограничения действовали и с какими правилами он был ознакомлен.
Сотрудникам, которые участвуют в таких процессах, полезно разбирать реальные сценарии: кому сообщать об инциденте, почему нельзя пересылать рабочие данные на личную почту, что делать при обнаружении массовой выгрузки и как закрывается доступ. Это можно включить в обучение по персональным данным.
Чек-лист увольнения с точки зрения ПДн
Перед закрытием процесса проверьте семь вопросов:
Определено, какие ПДн бывшего сотрудника продолжают обрабатываться и на каком основании.
Для данных, цель обработки которых достигнута и другого основания нет, запущено уничтожение.
Уничтожение подтверждается документами в соответствии с приказом Роскомнадзора № 179.
Заблокированы необходимые учетные записи, активные сессии, роли, VPN, токены и сертификаты.
Возвращены корпоративные устройства, носители и бумажные документы.
Рабочие файлы и дела переданы уполномоченному сотруднику.
При признаках выгрузки или неправомерного доступа понятно, кто сохраняет цифровые следы, проводит расследование и оценивает необходимость уведомления Роскомнадзора.
Такой список должен быть частью общего процесса увольнения, а не отдельной памяткой только для HR.
Проверьте процесс увольнения по ПДн
Расскажите, как у вас закрываются данные, доступы и носители при увольнении. Специалист Б-152 поможет определить объем проверки процессов и документов.
Часто задаваемые вопросы
Нужно ли удалить все персональные данные работника после увольнения?
Нет. Уничтожаются данные, по которым достигнута цель обработки и больше нет законного основания продолжать обработку. Часть сведений остается в документах и процессах, которые компания обязана или вправе продолжать на самостоятельном законном основании.
За какой срок нужно уничтожить ПДн после достижения цели?
Общий срок по ч. 4 ст. 21 152-ФЗ — не более 30 дней с даты достижения цели обработки, если иное не предусмотрено применимым договором, соглашением или законодательством.
Чем подтвердить уничтожение электронных персональных данных?
Для обработки с использованием средств автоматизации приказ Роскомнадзора № 179 предусматривает акт об уничтожении и выгрузку из журнала регистрации событий в ИСПДн. Эти документы хранятся три года с момента уничтожения ПДн.
Передача кадровых документов в архив означает прекращение действия 152-ФЗ?
Не в таком общем виде. Закон предусматривает специальное исключение для отношений по организации хранения, комплектования, учета и использования архивных документов в соответствии с законодательством об архивном деле. Само перемещение документа в корпоративный архив такого исключения автоматически не создает.
Когда нужно закрывать доступы увольняемого сотрудника?
152-ФЗ не устанавливает отдельный универсальный срок в часах именно для увольнения. Компания должна закрепить порядок во внутренних документах так, чтобы сотрудник утратил доступ к ПДн не позднее момента прекращения соответствующих полномочий.
Нужно ли удалять саму учетную запись?
Не всегда. В отдельных системах учетная запись может требоваться для сохранения истории операций, журналов и связи с рабочими документами. Критично прекратить возможность дальнейшего доступа бывшего сотрудника. Удаление учетной записи и уничтожение ПДн — связанные, но не идентичные действия.
Что делать, если перед увольнением сотрудник выгрузил клиентскую базу?
Нужно ограничить доступ, сохранить цифровые следы и провести внутреннее расследование. Если выявлен инцидент, соответствующий критериям ч. 3.1 ст. 21 152-ФЗ, оператор должен выполнить требования об уведомлении Роскомнадзора в установленные сроки.
Кто должен отвечать за offboarding: HR или ИТ?
Процесс требует участия нескольких функций. HR знает дату и условия прекращения трудовых отношений, ИТ управляет техническими доступами, а ответственный за организацию обработки ПДн контролирует правовые основания и выполнение требований к обработке. Эти действия должны быть связаны одной процедурой.
Реклама: ООО «Б152», ИНН 5050091524, erid: 2W5zFGndiQy
