Согласие на передачу ПД третьим лицам: образец и бланк

Зачем бизнесу согласие на передачу персональных данных

Каждый работодатель — оператор персональных данных. Вы собираете паспортные данные, СНИЛС, ИНН, адреса, банковские реквизиты сотрудников. Пока эта информация остаётся внутри компании, достаточно стандартного согласия на обработку. Но как только вы передаёте сведения о работнике в страховую компанию, банк, аутсорсинговую бухгалтерию или охранное предприятие — вам требуется отдельный документ: согласие на передачу персональных данных третьим лицам.

Без этого документа передача информации незаконна. Штраф для юридического лица по ч. 2 ст. 13.11 КоАП РФ составляет от 20 000 до 70 000 ₽ за каждый выявленный случай. Для ИП — от 10 000 до 20 000 ₽. Роскомнадзор активно проверяет бизнес на соблюдение Федерального закона № 152-ФЗ «О персональных данных», и число проверок растёт ежегодно. С 2024 года штрафы по отдельным составам увеличены кратно, а за повторные нарушения сумма взыскания достигает 300 000 ₽ для организаций.

Проблема в том, что большинство предпринимателей не осознают, в скольких ситуациях передача происходит. Перечисление зарплаты на карту — передача данных в банк. Оформление полиса ДМС — передача данных в страховую. Заключение договора с охранным предприятием — передача данных о пропускном режиме. Каждый такой случай требует письменного согласия работника, оформленного по строгим правилам.

Правовая основа: ТК РФ и Закон о персональных данных

Обязанность получать согласие на передачу ПД третьим лицам установлена двумя основными нормативными актами: Трудовым кодексом РФ и Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

📎 Ст. 88 ТК РФ: Работодатель не вправе сообщать персональные данные работника третьей стороне без письменного согласия работника, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ или иными федеральными законами.

Статья 9 Закона № 152-ФЗ устанавливает требования к содержанию этого согласия. Документ должен быть конкретным, информированным и сознательным. Это означает, что работник должен точно понимать:

• какие данные передаются;
• кому именно они передаются (наименование, адрес, ИНН получателя);
• с какой целью осуществляется передача;
• какие действия будут совершаться с его данными;
• на какой срок он даёт согласие;
• как отозвать согласие.

📎 Ст. 86 ТК РФ: Обработка персональных данных работника может осуществляться исключительно в целях обеспечения соблюдения законов, содействия работникам в трудоустройстве, получении образования и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества.

Существуют ситуации, когда согласие не требуется. Закон прямо предусматривает исключения:

1. Передача данных в ФНС, ПФР, ФСС — обязанность работодателя по закону, согласие работника не нужно.
2. Передача данных военкоматам — воинский учёт ведётся в силу Федерального закона № 53-ФЗ.
3. Передача данных по запросу суда, прокуратуры, следственных органов — в рамках процессуальных полномочий.
4. Предотвращение угрозы жизни и здоровью работника — экстренные ситуации.
5. Передача в рамках обязательного социального страхования — регулируется специальным законодательством.

Во всех остальных случаях — а их в повседневной деятельности бизнеса подавляющее большинство — письменное согласие обязательно.

⚠️ Важно: Общее согласие на обработку персональных данных, которое работник подписывает при трудоустройстве, не покрывает передачу данных третьим лицам. Это два разных документа. Если в вашем согласии на обработку нет отдельного блока о передаче третьим лицам с указанием конкретных получателей, необходимо оформлять отдельный документ.

Когда работодателю необходимо согласие: типичные ситуации

Малый бизнес и ИП сталкиваются с необходимостью передачи персональных данных работников значительно чаще, чем предполагают. Разберём самые распространённые ситуации, в которых без оформленного согласия не обойтись.

Зарплатный проект в банке

При подключении к зарплатному проекту работодатель передаёт банку ФИО, паспортные данные, ИНН, СНИЛС сотрудников. Банк — третье лицо. Без согласия каждого работника такая передача нарушает закон.

Добровольное медицинское страхование

Для оформления полиса ДМС страховой компании передаются личные данные: ФИО, дата рождения, паспортные данные, иногда — сведения о состоянии здоровья. Последнее относится к специальной категории персональных данных (ст. 10 Закона № 152-ФЗ), для обработки которых установлены повышенные требования.

Аутсорсинг бухгалтерии и кадрового учёта

Если расчёт заработной платы, отпускных, больничных ведёт сторонняя организация, она получает доступ к персональным данным работников. Это передача третьему лицу, требующая письменного согласия.

Охранные предприятия и пропускной режим

При оформлении пропусков на территорию охраняемых объектов охранное предприятие получает паспортные данные, фотографии, иногда — данные автомобиля работника.

Передача данных контрагентам при командировках

Бронирование гостиниц, оформление авиабилетов, заказ трансфера — всё это предполагает передачу данных работника третьим лицам.

Аттестация и обучение через сторонние организации

Учебные центры, организации дополнительного профессионального образования получают данные работников для оформления удостоверений, дипломов, сертификатов.

📋 Пример: ИП Сидоров подключил зарплатный проект в банке, передав данные 12 сотрудников без оформления письменного согласия. При плановой проверке Роскомнадзор выявил нарушение по каждому работнику отдельно. Сумма штрафа составила 240 000 ₽ (12 эпизодов × 20 000 ₽). Если бы ИП заблаговременно оформил согласия, расходы составили бы 0 ₽ и 15 минут рабочего времени.

Особые категории данных: повышенные требования

Отдельно стоит остановиться на специальных категориях персональных данных, к которым относятся:

• сведения о состоянии здоровья;
• расовая и национальная принадлежность;
• политические, религиозные и философские убеждения;
• интимная жизнь.

Обработка (и тем более передача) таких данных допускается только при наличии письменного согласия, содержание которого должно строго соответствовать требованиям ч. 4 ст. 9 Закона № 152-ФЗ. Это касается, например, передачи данных о медицинских противопоказаниях работника в стороннюю медицинскую организацию при направлении на периодический медосмотр.

Образец согласия на передачу ПД третьим лицам: как заполнить правильно

Теперь переходим к практике. Ниже — структура документа, которая соответствует требованиям ст. 9 Закона № 152-ФЗ и ст. 88 ТК РФ. Каждый элемент обязателен — пропуск любого из них может стать основанием для признания согласия недействительным.

Обязательные реквизиты документа

Согласно ч. 4 ст. 9 Закона № 152-ФЗ документ должен содержать:

1. ФИО, адрес субъекта персональных данных (работника), номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе.
2. ФИО, адрес представителя субъекта (если согласие даёт представитель), реквизиты доверенности.
3. Наименование и адрес оператора (работодателя), получающего согласие.
4. Цель обработки персональных данных — конкретная и законная.
5. Перечень персональных данных, на передачу которых даётся согласие.
6. Наименование и адрес лица (третьего лица), которому передаются данные.
7. Перечень действий с персональными данными, на совершение которых даётся согласие, общее описание используемых оператором способов обработки.
8. Срок действия согласия, способ его отзыва.
9. Подпись субъекта персональных данных.

Структура документа (построчно)

Шапка документа:

СОГЛАСИЕ
на передачу персональных данных третьим лицам

г. [город]                                           «___» ___________ 202__ г.

Блок 1: Данные работника

Я, _____________________________ (ФИО полностью),
паспорт серия ____ номер _________, выдан _________________________
(наименование органа) «___» ___________ _______ г.,
зарегистрированный(-ая) по адресу: ________________________________,

Блок 2: Данные работодателя (оператора)

даю согласие ___________________________________ (полное наименование 
организации / ФИО ИП), ИНН _______________, ОГРН/ОГРНИП _____________, 
расположенному(-ой) по адресу: ______________________________________,

Блок 3: Цель передачи

на передачу моих персональных данных в целях: _______________________
(указать конкретную цель: исполнение трудового договора от ______ № ___,
оформление зарплатного проекта, оформление полиса ДМС и т.д.)

Блок 4: Получатель данных

Персональные данные передаются: ____________________________________
(полное наименование третьего лица), ИНН _______________, 
юридический адрес: __________________________________________________

Блок 5: Перечень передаваемых данных

Перечень персональных данных, на передачу которых даётся согласие:
— фамилия, имя, отчество;
— дата и место рождения;
— паспортные данные (серия, номер, дата выдачи, выдавший орган);
— адрес регистрации и фактического проживания;
— ИНН;
— СНИЛС;
— номер телефона;
— адрес электронной почты;
— [иные данные по необходимости].

Блок 6: Действия с данными

Перечень действий с персональными данными: сбор, запись, систематизация, 
накопление, хранение, уточнение (обновление, изменение), извлечение, 
использование, передача (предоставление, доступ), обезличивание, 
блокирование, удаление, уничтожение.

Способы обработки: автоматизированная и неавтоматизированная.

Блок 7: Срок и отзыв

Настоящее согласие действует с момента подписания до ________________
(указать конкретную дату / «до момента отзыва» / «до достижения цели 
обработки»).

Согласие может быть отозвано путём направления письменного заявления 
Оператору по адресу: _______________________________________________

Блок 8: Подпись

«___» ___________ 202__ г.

_________________ / _________________________ /
    (подпись)            (расшифровка)

⚠️ Важно: Формулировка «передача данных третьим лицам» без конкретизации получателя — недопустима. Роскомнадзор в своих разъяснениях неоднократно указывал: согласие должно содержать наименование конкретного лица (или лиц), которому передаются данные. Общая формулировка делает документ ничтожным.

Частые ошибки при заполнении

Предприниматели допускают типовые ошибки, которые лишают документ юридической силы:

• Отсутствие цели передачи или указание абстрактной цели вроде «для любых законных целей» — Роскомнадзор трактует такое согласие как неконкретное.
• Отсутствие реквизитов третьего лица — наименование «банк» без указания конкретного банка, его ИНН и адреса не принимается.
• Бессрочное согласие без механизма отзыва — работник вправе отозвать согласие в любой момент (ч. 2 ст. 9 Закона № 152-ФЗ), и порядок отзыва должен быть прописан.
• Объединение согласия на обработку и передачу в один документ без разграничения — допустимо технически, но при условии, что все обязательные реквизиты для передачи присутствуют.
• Отсутствие перечня действий с данными — без указания конкретных действий согласие считается неполным.

Как оформить и хранить согласие: пошаговая инструкция

Правильное оформление — половина дела. Не менее важно организовать процесс так, чтобы документ можно было предъявить при проверке в любой момент.

Шаг 1: Определите все случаи передачи данных

Проведите внутренний аудит. Составьте перечень всех ситуаций, в которых персональные данные работников передаются за пределы вашей организации. Включите:

• банки (зарплатный проект);
• страховые компании (ДМС, НС);
• бухгалтерские и юридические компании на аутсорсе;
• охранные предприятия;
• медицинские организации (медосмотры);
• учебные центры;
• курьерские службы (если отправляете документы работников);
• IT-подрядчики (если используют сервисы, в которых обрабатываются данные сотрудников).

Шаг 2: Подготовьте документ для каждого случая

Один документ может содержать несколько получателей данных — это допустимо. Но каждый получатель должен быть указан с полными реквизитами. Альтернатива — оформить отдельный документ на каждого получателя. Второй вариант удобнее при смене контрагентов: не придётся переоформлять всё согласие целиком.

Шаг 3: Ознакомьте работника и получите подпись

Работник должен иметь возможность прочитать документ, задать вопросы, получить разъяснения. Принуждение к подписанию недопустимо.

📎 Ст. 86 ТК РФ (п. 3): Все персональные данные работника следует получать у него самого. Если персональные данные работника возможно получить только у третьей стороны, работник должен быть уведомлён об этом заранее и от него должно быть получено письменное согласие.

Если работник отказывается подписывать — зафиксируйте отказ актом в присутствии свидетелей. В этом случае передача данных этого работника третьему лицу невозможна, и вам придётся искать альтернативное решение (например, работник самостоятельно предоставляет свои данные в банк).

Шаг 4: Организуйте хранение

Согласие хранится в личном деле работника на протяжении всего срока его действия и не менее 3 лет после прекращения действия. Рекомендуемый срок хранения — 75 лет (по аналогии с другими документами по личному составу, в соответствии с Приказом Росархива от 20.12.2019 № 236).

📋 Пример: При плановой проверке Роскомнадзор запрашивает перечень третьих лиц, которым передаются данные работников, и согласия по каждому случаю. Если вы не можете предъявить документ в течение разумного срока — нарушение фиксируется. Когда все кадровые документы хранятся в единой системе электронного документооборота, найти нужный документ можно за считанные секунды.

Платформы автоматизации кадрового документооборота, такие как Bejure, позволяют формировать согласия на передачу персональных данных по готовым юридически выверенным шаблонам, адаптированным под конкретную сферу деятельности. Документы подписываются электронной подписью и хранятся в защищённой системе — данные не уходят третьим лицам через мессенджеры или электронную почту.

Шаг 5: Обновляйте при изменении обстоятельств

Если вы сменили банк для зарплатного проекта — прежнее согласие не покрывает нового получателя. Необходимо оформить новый документ или дополнительное соглашение к существующему.

Ответственность за нарушение порядка передачи данных

Законодательство предусматривает несколько видов ответственности за нарушение порядка обработки и передачи персональных данных.

Административная ответственность (КоАП РФ)

Нарушение	Штраф для ИП	Штраф для юрлица
Обработка (передача) ПД без согласия (ч. 2 ст. 13.11)	10 000 – 20 000 ₽	20 000 – 70 000 ₽
Повторное нарушение (ч. 2.1 ст. 13.11)	50 000 – 100 000 ₽	100 000 – 300 000 ₽
Невыполнение обязанности по уведомлению Роскомнадзора (ч. 1 ст. 13.11)	5 000 – 10 000 ₽	30 000 – 50 000 ₽
Непредоставление информации субъекту ПД (ч. 4 ст. 13.11)	10 000 – 15 000 ₽	25 000 – 40 000 ₽

Гражданско-правовая ответственность

Работник вправе обратиться в суд с иском о возмещении морального вреда за незаконную передачу его данных (ст. 24 Закона № 152-ФЗ). Судебная практика показывает, что суммы компенсаций варьируются от 5 000 до 50 000 ₽ за один эпизод, но в совокупности с судебными расходами и репутационными потерями ущерб для бизнеса значительно выше.

Дисциплинарная ответственность

📎 Ст. 90 ТК РФ: Лица, виновные в нарушении положений законодательства Российской Федерации в области персональных данных при обработке персональных данных работника, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном ТК РФ и иными федеральными законами.

Если персональные данные передал не руководитель, а, например, бухгалтер или кадровик, работодатель вправе привлечь виновного работника к дисциплинарной ответственности вплоть до увольнения по пп. «в» п. 6 ч. 1 ст. 81 ТК РФ — за разглашение охраняемой законом тайны, ставшей известной работнику в связи с исполнением трудовых обязанностей.

Уголовная ответственность

В случаях незаконного сбора или распространения сведений о частной жизни лица может наступить уголовная ответственность по ст. 137 УК РФ — штраф до 200 000 ₽ или лишение свободы до 2 лет.

⚠️ Важно: С 2024 года законодатель значительно ужесточил ответственность за утечки персональных данных. Принят Федеральный закон, вводящий оборотные штрафы для компаний: до 3% годовой выручки за массовые утечки. Это делает защиту персональных данных не просто юридической обязанностью, а финансовой необходимостью.

Отзыв согласия: права работника и обязанности работодателя

Работник имеет безусловное право отозвать согласие на передачу персональных данных в любой момент. Это право закреплено в ч. 2 ст. 9 Закона № 152-ФЗ и не может быть ограничено трудовым договором, локальным актом или устной договорённостью.

Порядок отзыва

Отзыв оформляется в письменной форме — заявлением на имя работодателя. Рекомендуется предусмотреть в самом согласии способ и адрес направления отзыва. Работодатель обязан:

1. Прекратить передачу данных третьему лицу в течение 30 дней с момента получения отзыва (если иной срок не предусмотрен соглашением).
2. Уведомить третье лицо о прекращении права на обработку полученных данных.
3. Обеспечить уничтожение или обезличивание данных третьим лицом, если цель обработки достигнута или согласие отозвано.

Исключения при отзыве

Отзыв согласия не влияет на законность передачи данных, осуществлённой до момента отзыва. Также отзыв не препятствует передаче данных в случаях, когда такая передача предусмотрена федеральным законом (налоговая отчётность, обязательное страхование и т.д.) и не зависит от воли работника.

📋 Пример: Работник отозвал согласие на передачу данных в рамках зарплатного проекта. Работодатель обязан прекратить передачу данных в банк, но это не означает, что работник перестаёт получать зарплату. Работодатель обязан обеспечить выплату другим способом — наличными через кассу или переводом на счёт, открытый работником самостоятельно, реквизиты которого он предоставит в заявлении.

Последствия для работодателя

Если после отзыва согласия работодатель продолжает передавать данные — это самостоятельное нарушение, за которое предусмотрены штрафы по ст. 13.11 КоАП РФ в повышенном размере. Кроме того, работник получает право на обращение в суд за компенсацией морального вреда.

Скачать бланк согласия на передачу ПД третьим лицам

Использование шаблонов из открытых источников — распространённая практика среди предпринимателей. Однако здесь скрыт серьёзный риск: шаблон из интернета — это документ неизвестного происхождения, актуальность и соответствие которого действующему законодательству никто не гарантирует. Закон о персональных данных менялся в 2022, 2023 и 2024 годах, и бланк двухлетней давности может не содержать обязательных реквизитов.

На что обращать внимание при выборе бланка:

• Дата разработки — документ должен учитывать последние изменения Закона № 152-ФЗ.
• Полнота реквизитов — все 9 обязательных элементов по ч. 4 ст. 9 Закона № 152-ФЗ.
• Адаптация под конкретную ситуацию — универсальный шаблон потребует серьёзной доработки под вашу специфику.
• Корректность юридических формулировок — ошибка в терминологии может привести к признанию документа недействительным.

Штатный юрист, стоимость которого начинается от 80 000 ₽ в месяц, подготовит документ корректно, но уходит в отпуск и не гарантирует актуализацию при изменении законодательства. Разовое обращение к стороннему юристу решит задачу, но создаёт парадоксальную ситуацию: вы передаёте данные своих сотрудников внешнему специалисту для подготовки документа о… защите этих самых данных.

Bejure решает эту задачу системно: документы разрабатываются под конкретный вид деятельности, автоматически обновляются при изменении законодательства и защищены финансовой гарантией до 200 000 ₽. Все согласия хранятся в защищённом архиве, доступ к которому вы получаете в любой момент — при проверке Роскомнадзора нужный документ находится за 30 секунд.

Помимо бланка согласия на передачу данных, работодателю необходимо иметь комплект сопутствующих документов:

• Положение о защите персональных данных — локальный нормативный акт, обязательный для каждого работодателя (ст. 87 ТК РФ).
• Приказ о назначении ответственного за обработку ПД — конкретное должностное лицо, контролирующее соблюдение законодательства.
• Уведомление Роскомнадзора об обработке персональных данных — обязательно для большинства операторов (ст. 22 Закона № 152-ФЗ).
• Согласие на обработку персональных данных — базовый документ, оформляемый при трудоустройстве.
• Обязательство о неразглашении — для работников, имеющих доступ к персональным данным других сотрудников.

⚠️ Важно: Отсутствие даже одного документа из перечня создаёт зону риска при проверке. Роскомнадзор проверяет не отдельный документ, а систему защиты персональных данных в целом. Комплексный подход — единственный способ обеспечить полное соответствие требованиям закона.

Часто задаваемые вопросы

Можно ли оформить одно согласие сразу на нескольких получателей данных?

Да, один документ может содержать сведения о нескольких третьих лицах, которым передаются персональные данные работника. Главное условие — по каждому получателю должны быть указаны полное наименование, ИНН, адрес, цель передачи и перечень передаваемых данных. Однако при смене одного из контрагентов придётся переоформлять весь документ, поэтому на практике удобнее оформлять отдельный документ на каждого получателя.

Что делать, если работник отказывается подписывать согласие?

Принуждать работника к подписанию нельзя — это прямо противоречит принципу добровольности, закреплённому в ст. 9 Закона № 152-ФЗ. При отказе зафиксируйте его актом. Передавать данные этого работника третьему лицу без согласия вы не вправе. Ищите альтернативные решения: например, работник может самостоятельно предоставить свои данные в банк для открытия зарплатной карты, а заработную плату вы вправе выдать через кассу.

Нужно ли отдельное согласие для передачи данных в рамках зарплатного проекта, если в трудовом договоре указаны реквизиты банка?

Да, нужно. Указание реквизитов банка в трудовом договоре фиксирует способ выплаты заработной платы, но не является согласием на передачу персональных данных. Это два юридически разных действия. Для передачи ФИО, паспортных данных, ИНН и СНИЛС работника в банк для оформления зарплатной карты требуется отдельный документ — согласие на передачу ПД третьим лицам, оформленное по всем правилам ч. 4 ст. 9 Закона № 152-ФЗ.

Какой срок действия согласия на передачу персональных данных считается оптимальным?

Закон не устанавливает обязательного срока — вы вправе указать конкретную дату, период действия или формулировку «до момента отзыва субъектом». Оптимальный вариант для трудовых отношений — «на срок действия трудового договора и в течение 3 лет после его прекращения». Такая формулировка покрывает период работы и возможные запросы от контрагентов после увольнения (например, перерасчёт страховых взносов).

Распространяется ли обязанность получать согласие на передачу данных соискателей в кадровые агентства?

Да. Соискатель — субъект персональных данных, и передача его резюме, контактных данных, результатов собеседования в кадровое агентство или другому потенциальному работодателю требует письменного согласия. Без него такая передача нарушает ст. 6 и ст. 9 Закона № 152-ФЗ. Согласие можно получить на этапе заполнения анкеты соискателя, включив соответствующий блок в форму.

Заключение

Согласие на передачу персональных данных третьим лицам — не формальность, а юридический щит для вашего бизнеса. Без этого документа любая передача данных работников за пределы организации становится основанием для штрафа, судебного иска и репутационных потерь.

Ключевые выводы:

• Оформляйте согласие до передачи данных, а не после.
• Указывайте конкретного получателя с полными реквизитами.
• Включайте все 9 обязательных элементов по ч. 4 ст. 9 Закона № 152-ФЗ.
• Храните документы в систематизированном архиве — при проверке каждая минута на счету.
• Обновляйте согласия при смене контрагентов.

Не откладывайте оформление кадровых документов — проверка Роскомнадзора может начаться в любой день. Наведите порядок в документообороте сейчас, пока штрафы не стали вашей реальностью.