Какие персональные данные уже есть в ЗУП
В ЗУП хранятся паспортные данные, ИНН, СНИЛС, сведения о семье, зарплате и кадровых событиях. Документ «Больничный лист» с причиной нетрудоспособности и сведения об инвалидности раскрывают информацию о здоровье — специальную категорию по статье 10 закона № 152-ФЗ. Те же сведения могут оказаться в приложенных сканах и выгрузках, поэтому их тоже учитывайте при инвентаризации данных. 1 6
Пункт 2.3 части 2 статьи 10 допускает обработку специальных категорий в соответствии с трудовым, пенсионным законодательством и законодательством о государственной социальной помощи.
Данные уволенных тоже остаются персональными. Для штрафа важны фактически затронутые данные и субъекты, а не все записи в ЗУП.
Какие штрафы действуют в 2026 году
В статье 13.11 КоАП с 30 мая 2025 года действуют отдельные составы за утечки. Таблица — для коммерческих организаций; квалификация зависит от категории данных, числа субъектов и идентификаторов.
Нарушение | Часть ст. 13.11 КоАП | Штраф для юрлица |
|---|---|---|
Не подано либо несвоевременно подано обязательное уведомление о намерении обрабатывать персональные данные | 10 | 100–300 тыс. ₽ |
Не уведомили или уведомили с опозданием об установленном инциденте | 11 | 1–3 млн ₽ |
Утечка данных 1 000–10 000 субъектов и/или 10 000–100 000 идентификаторов | 12 | 3–5 млн ₽ |
10 000–100 000 субъектов и/или 100 000–1 млн идентификаторов | 13 | 5–10 млн ₽ |
Более 100 000 субъектов и/или более 1 млн идентификаторов | 14 | 10–15 млн ₽ |
Утечка специальной категории персональных данных | 16 | 10–15 млн ₽ |
Нарушение по частям 12–14 при наличии предусмотренного законом предыдущего наказания | 15 | 1–3% выручки, минимум 20 млн, максимум 500 млн ₽ |
Часть 15 применяется к новому нарушению по частям 12–14, часть 18 — по части 16 или 17, если лицо считается подвергнутым административному наказанию по одному из составов частей 12–18. Повторение той же категории утечки не обязательно. По части 18 штраф для организации — 1–3% выручки, не менее 25 млн и не более 500 млн рублей.
Основная расчётная база — совокупная выручка от реализации за календарный год перед годом выявления нарушения. Если в прошлом году реализации не было, учитывают прошедшую до выявления часть текущего года; для кредитной организации — собственные средства (капитал) на дату нарушения. 2
ИП по частям 8–18 статьи 13.11 отвечают как юридические лица. При этом в частях 10–18 под должностным лицом понимается должностное лицо государственного или муниципального органа либо НКО. Поэтому соответствующую вилку нельзя автоматически называть «штрафом директору коммерческой компании».
«2026» в заголовке — год проверки материала, а не введения этих штрафов.
Что делать в первые 24 и 72 часа после утечки
Обязанность возникает при установленном факте неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, повлекшем нарушение прав субъектов.
Часть 3.1 статьи 21 закона № 152-ФЗ устанавливает два этапа.
В течение 24 часов оператор сообщает Роскомнадзору об инциденте, предполагаемых причинах и вреде правам субъектов, принятых мерах и лице, ответственном за взаимодействие с ведомством.
В течение 72 часов направляются результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если они установлены.
Оба срока считают от выявления инцидента: 72 часа не прибавляются к первым 24. Не ждите окончания расследования для первичного сообщения. 1
Отдельно часть 12 статьи 19 закона № 152-ФЗ предусматривает взаимодействие оператора с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. Порядок взаимодействия установлен приказом ФСБ России от 13.02.2023 № 77.
Пропуск уведомления Роскомнадзора — самостоятельный состав по части 11 статьи 13.11 КоАП: для юридического лица штраф составляет от 1 до 3 млн рублей.
Какой уровень защищённости нужен кадровой базе
УЗ-3 нужен при обоснованных угрозах 3-го типа системе, которая обрабатывает данные только работников оператора, включая специальные категории: подпункт «в» пункта 11 постановления № 1119. Если есть данные иных лиц, проверьте условия с учётом категории, числа субъектов и угроз. 3
Для первичной оценки можно рассмотреть угрозы 3-го типа — без недокументированных возможностей системного и прикладного ПО. Но этот выбор нужно обосновать в модели угроз: коммерческий статус организации сам по себе его не подтверждает. 3
Для специальных категорий данных работников при угрозах 2-го типа потребуется УЗ-2. УЗ-4 при угрозах 3-го типа применим к иным данным работников, а не к сведениям о здоровье. 3
Постановление № 1119 также требует контролировать выполнение требований к защите персональных данных не реже одного раза в три года. Контроль оператор может проводить самостоятельно и/или с привлечением организации или ИП с лицензией на техническую защиту конфиденциальной информации.
Модель угроз обосновывает выбор уровня для системы. Контроль выполнения требований не следует подменять универсальным требованием отдельного «аттестата» для каждой коммерческой базы.
Какие настройки защиты уже есть в ЗУП 3.1
Профили. В настройках пользователей и прав назначьте кадровикам, расчётчикам и сотрудникам, ведущим табель, права по обязанностям. Кадровику без расчётных задач закройте доступ к суммам начислений. Администрирование оставьте специалистам, которые обслуживают базу, а не всем пользователям. 6
Для нескольких юрлиц включите ограничение доступа на уровне записей и задайте организации в группах доступа. Проверьте права тестовым входом и отчётом по правам. На его основе подготовьте перечень лиц с доступом для утверждения руководителем. 3 6
Регистрация доступа. В настройках защиты персональных данных включите регистрацию обращений к нужным областям. Найдите в журнале разрешённые обращения и отказы, пользователя и время; сохраните выборку событий. Этот механизм описан фирмой 1С, но путь к форме в конкретном релизе уточняйте по его справке. 6
Сопоставьте обращение пользователя к выбранной области с появившимся событием. Срок хранения закрепите в регламенте: год — возможный внутренний ориентир, не общий норматив для журналов ЗУП.
Согласия. Используйте штатный документ для регистрации согласия и формирования печатной формы. Получайте согласия там, где они требуются; порядок передачи внешней бухгалтерии — в статье об аутсорсере. 6
Где находятся данные: база, копии, обмены и сервисы
С 1 июля 2025 года часть 5 статьи 18 закона № 152-ФЗ запрещает при сборе данных граждан России записывать, систематизировать, накапливать, хранить, уточнять и извлекать их с использованием зарубежных баз. Исключения — пункты 2, 3, 4 и 8 части 1 статьи 6.
Уточните физическое размещение базы и копий. В письме от 12.05.2025 № П25-44929 Минцифры поясняет, что требование части 5 статьи 18 закона № 152-ФЗ о хранении данных в России распространяется и на их копии у оператора, который собирает эти данные.
За нарушение требования локализации часть 8 статьи 13.11 КоАП предусматривает для юридического лица штраф от 1 до 6 млн рублей, а при повторном нарушении — от 6 до 18 млн.
Обмен с Бухгалтерией. Проверьте, какие данные передаются синхронизацией, и права пользователей второй базы. Ограничения ЗУП не переходят в неё автоматически.
1С:Кабинет сотрудника. Учтите публикацию расчётных листков и личных данных в сервисе, его условия, получателя и основание обработки. 7
1С-Отчётность. Включите оператора связи и маршрут передачи в схему обработки; отразите фактическую работу внешних сервисов в документах компании.
Excel и почта. Выгрузка ведомости остаётся носителем персональных данных. Установите получателя и место хранения. Не отправляйте всю ведомость ради сведений об одном работнике.
Что проверить бухгалтеру и администратору
Кадровик: передать ответственному перечень сведений о здоровье из больничных и карточек.
Бухгалтер: согласовать права коллег по обязанностям; закрыть суммы зарплаты кадровику без расчётных задач.
Бухгалтер: сверить получателей ведомостей и выгрузки в почте и мессенджерах; убрать лишние копии.
Кадровик: сверить необходимые согласия и доступ бывших работников к 1С:Кабинету сотрудника.
Администратор: включить регистрацию доступа к выбранным областям персональных данных, сверить события и установить срок хранения журнала.
Совместно: перечислить базы и сервисы, куда идут обмены; сверить права и размещение рабочей базы и копий.
Ответственный за защиту: обосновать тип угроз и уровень защищённости, организовать документируемый контроль не реже одного раза в три года.
Руководитель: проверить, подано ли обязательное уведомление об обработке; утвердить перечень лиц с доступом и назначить ответственного за сообщения об инцидентах.
Основные источники
152-ФЗ: специальные категории, обязанности оператора и уведомление об инциденте. Закон · Статья 21
КоАП РФ, статья 13.11: составы, санкции и примечания. Текст статьи
Постановление Правительства РФ № 1119: угрозы и уровни защищённости. Требования
Письмо Минцифры от 12.05.2025 № П25-44929: хранение данных и копий. Текст письма
Приказ ФСБ России от 13.02.2023 № 77: взаимодействие с ГосСОПКА. Текст приказа
Фирма 1С: регистрация доступа, согласия и права ЗУП. Описание механизмов, 07.08.2023 · Руководство ЗУП, ИТС
1С:Кабинет сотрудника и 1С-Отчётность: условия и описание сервисов. Кабинет сотрудника · 1С-Отчётность
Для размещения кадровой базы на управляемой площадке можно рассмотреть Cloud 1C LanCloud. До переноса зафиксируйте в договоре границы ответственности за инфраструктуру, резервное копирование и доступ. Обязанности оператора персональных данных остаются у компании.
Реклама: ООО «ЛАНКЕЙ ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ», ИНН 9705008196, erid: 2W5zFJumH5U
