Обязательство о неразглашении персональных данных

Персональный документ, которым работник подтверждает, что предупреждён: данные, с которыми он работает, конфиденциальны, разглашать и выносить их нельзя, а обязанность сохраняется и после увольнения.

Обязанности по 152-ФЗ лежат на организации. Обязательство — единственный документ, который переносит их на конкретного человека: без подписи нет ни дисциплинарного взыскания, ни разговора о его личной ответственности.

Статусобязательный при допуске работников к ПДн Основаниест. 7, ч. 1 ст. 19 152-ФЗ, ст. 90 ТК РФ Публичностьвнутренний, по одному экземпляру на работника Кто утверждаетруководитель; подписывает работник Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Закон адресует обязанности оператору: организация обеспечивает конфиденциальность, организация принимает меры, организация отвечает. Но данные обрабатывают не организации, а люди — кадровик, бухгалтер, менеджер. Обязательство о неразглашении существует, чтобы обязанность дошла до них персонально и под подпись.

Юридически документ решает конкретную задачу: без него нельзя спросить с работника. Дисциплинарное взыскание за разглашение возможно, только если человек был ознакомлен с правилами и знал, что сведения конфиденциальны. Устное «у нас так не принято» этого не заменяет, и суды здесь предсказуемы.

Второй практический эффект — профилактический. Момент подписи, когда человек читает, что данные клиентов нельзя пересылать в мессенджеры и выносить на флешке, а обязанность сохраняется и после увольнения, работает лучше любой инструкции: он единственный, когда работник действительно читает текст.

Обязательство фиксирует запрет, а закрепление обязанностей в работе — задача изменений в должностные обязанности: там формулировки для трудового договора и должностной инструкции.

02 Ответственность

Чем грозит отсутствие

Организация отвечает за утечку независимо от того, кто её допустил. Разница в том, останется ли у неё что-то, кроме штрафа: с подписанным обязательством есть основание для взыскания и для разговора о возмещении, без него — только собственный убыток.

ч. 12 ст. 13.11 КоАП РФ — утечка данных 1 000–10 000 субъектов

Юридическое лицо3 000 000 – 5 000 000 ₽

Должностное лицо200 000 – 400 000 ₽

Граждане100 000 – 200 000 ₽

Работник тоже может отвечать лично — по той же статье как гражданин, а при умышленной передаче данных третьим лицам разговор выходит за рамки КоАП. Но условие одно: должно быть доказано, что он знал о конфиденциальности сведений. Именно это и доказывает подписанное обязательство с датой.

Самый частый сюжет — выгрузка перед увольнением. Менеджер уносит клиентскую базу «своих» контактов. Без обязательства и без записи о выгрузке предъявить нечего.

Обязательство без даты и должности бесполезно. Оно должно связывать конкретного человека с конкретным периодом работы, иначе непонятно, что и когда он обязался хранить.

Новые работники выпадают чаще всего. Комплект подписали один раз при внедрении, а тех, кто пришёл позже, знакомить забыли — через год половина коллектива формально ничем не связана.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Обязательство о неразглашении ПДн

—Соглашение о конфиденциальности с работником

—Расписка о неразглашении персональных данных

—Обязательство работника о сохранении конфиденциальности

—NDA с сотрудником по персональным данным

—Обязательство при увольнении о неразглашении

—Форма обязательства для допущенных к ПДн

—Подписка о неразглашении персональных данных

Соглашение о конфиденциальности с контрагентом — другой документ и другая правовая конструкция: с подрядчиком отношения гражданско-правовые, и передача ему данных оформляется поручением на обработку по ст. 6 152-ФЗ. Обязательство работника живёт в трудовых отношениях и опирается на Трудовой кодекс.

04 Обязательное содержание

Что должно быть в документе

Формы нет, но набор пунктов устоявшийся. Критерий полноты: из текста видно, что именно человек обязуется не делать и что будет, если сделает.

Данные работника и должность. Фамилия, должность, подразделение — документ персональный, «работники отдела» здесь не работают.

Признание сведений конфиденциальными. Прямое указание, что персональные данные, ставшие известными в связи с работой, конфиденциальны.

Перечень запретов. Не разглашать, не передавать третьим лицам, не копировать без служебной необходимости, не выносить носители, не пересылать на личную почту и в мессенджеры, не использовать в личных целях.

Обязанность сообщать об инцидентах. Об утрате носителя, о подозрении на несанкционированный доступ, о запросе данных со стороны. Часто забывают, а это единственный способ узнать об утечке вовремя.

Срок действия после увольнения. Обязанность не заканчивается вместе с трудовым договором; обычно указывают конкретный срок или бессрочность в части сведений, полученных в период работы.

Ссылка на ответственность. Дисциплинарная, административная, гражданско-правовая и уголовная — без запугивания, но с указанием, что она есть.

Дата и подпись работника. Один экземпляр остаётся у работника, второй хранится в кадрах — это и есть доказательство ознакомления.

05 Правовая база

Требования законодательства

ст. 7 152-ФЗконфиденциальность: не раскрывать и не распространять без согласия

ч. 1 ст. 19 152-ФЗмеры по защите данных от неправомерного доступа

ст. 88 ТК РФпередача данных работника: предупреждение о режиме использования

ст. 90 ТК РФответственность за нарушение норм о защите данных работника

ст. 192 ТК РФдисциплинарное взыскание за неисполнение обязанностей

ст. 238 ТК РФматериальная ответственность за прямой действительный ущерб

ст. 24 152-ФЗвиды ответственности за нарушения в сфере ПДн

Прямой нормы «взять с работника обязательство» в 152-ФЗ нет — есть требование обеспечить конфиденциальность и принять меры. Обязательство выбрано практикой как форма, в которой это делается: оно доказывает, что человек был предупреждён. Трудовой кодекс добавляет второй слой: увольнение за разглашение и взыскание возможны только при доказанном ознакомлении с режимом конфиденциальности.

06 Связи в комплекте

Как связан с другими документами

Обязательство — точка, где комплект встречается с конкретным человеком.

Перечень допущенных — кто подписывает. Перечень допущенных лиц задаёт круг: у каждой фамилии оттуда должно быть подписанное обязательство.

Должностные обязанности — где это закреплено в работе. Изменения в должностные обязанности переносят те же требования в трудовой договор и должностную инструкцию.

Памятка — что помнить ежедневно. Памятка работника переводит запреты обязательства в бытовые правила на одну страницу.

Обучение — как это не забывается. Приказ об обучении задаёт периодичность: подпись раз в жизни быстро перестаёт работать.

Инциденты — что делать при нарушении. Регламент реагирования подхватывает сообщение работника об утрате носителя или подозрении на доступ.

07 Актуализация

Когда обновлять документ

Сам бланк живёт годами, а вот подписи требуют внимания при каждом кадровом событии.

Приём на работу

Подписывается вместе с трудовым договором, до фактического допуска к данным. Отдельным заходом «потом соберём подписи» это не работает.

Перевод на должность с доступом к данным

Человек работал на складе, перешёл в кадры — новый доступ, новое обязательство.

Увольнение

Полезно напомнить о сохранении обязанности и, если практикуется, взять отдельную расписку при выдаче трудовой книжки: это единственный момент, когда человек ещё в отношениях с организацией.

Изменился состав обрабатываемых данных

Появились спецкатегории или биометрия — текст обязательства дополняется, потому что цена нарушения по ним другая.

Изменилось законодательство

После заметных поправок (например, роста штрафов в 2025 году) бланк стоит обновить и заново ознакомить — заодно это работает как напоминание.

Плановая сверка

Раз в год свериться со штатным расписанием: у каждого допущенного должно быть подписанное обязательство, а у уволенных — сохранённые экземпляры.

08 Проверка

Что спросит проверяющий

Обязательства проверяют выборкой: берут несколько фамилий из перечня допущенных и просят показать подписи.

Есть ли подпись у каждого допущенного. Сверяют перечень с папкой обязательств. Пробел означает, что человек работает с данными без обязанностей.

Дата подписи относительно приёма на работу. Обязательство, подписанное через полгода после начала работы, показывает, что процедуры нет — подписи собирали разово.

Подписаны ли новые работники. Смотрят принятых за последние месяцы: именно здесь чаще всего обнаруживается разрыв.

Что с уволенными. Сохранены ли их экземпляры — без этого нельзя показать, что бывший работник был предупреждён.

Актуален ли текст. Бланк, где нет ни слова про мессенджеры, личную почту и удалённую работу, выглядит как формальность десятилетней давности.

Знает ли работник, что подписывал. Иногда спрашивают напрямую: кому можно передавать данные клиентов. Ответ показывает, читали текст или нет.

09 Разбор эксперта

Разбор эксперта

Обязательство — самый недооценённый документ комплекта. Его воспринимают как бумажку для проверки, хотя это единственное место, где обязанности организации становятся обязанностями конкретного человека. Пока подписи нет, любая история с утечкой по вине работника заканчивается для организации одинаково: штраф заплатили, данные ушли, спросить не с кого — увольнение за разглашение оспаривается, взыскание отменяется, регресс невозможен. Стоит эта защита ровно один лист бумаги при приёме на работу.

Второе, что мы советуем сделать обязательно, — переписать бланк на живом языке. Типовые формы состоят из отсылок к статьям, и работник их не читает. Между тем именно момент подписи — единственный, когда у вас есть его внимание. Замените «обязуюсь не осуществлять неправомерную передачу» на «не пересылаю данные клиентов в личные мессенджеры и на личную почту, не фотографирую документы на телефон, не выношу базу на флешке». Такой текст запоминается и потом реально влияет на поведение, а юридическую силу он не теряет — она в подписи, а не в канцелярите.

И третье — про новых работников. В девяти организациях из десяти комплект подписывается разово при внедрении, а дальше подписи собирать перестают. Через год приходит проверка, берёт трёх сотрудников — и двое приняты позже, обязательств у них нет. Лечится это не напоминаниями, а процедурой: обязательство кладётся в тот же пакет, что трудовой договор и согласие на обработку, и подписывается кадровиком автоматически. Отдельная задача «собрать подписи» не выполняется никогда.

Что мы советуем при подготовке комплекта

Встройте обязательство в пакет документов при приёме на работу — отдельно его подписывать никто не будет. Пишите запреты бытовым языком: мессенджеры, личная почта, фотографии документов, флешки. Обязательно включите пункт про сообщение об инцидентах — это ваш единственный ранний сигнал. И храните экземпляры уволенных: обязанность сохраняется после увольнения, но доказывать её придётся вам.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Обязательно ли брать обязательство со всех работников?

Со всех, кто имеет доступ к персональным данным, — а это шире, чем кажется: кадры, бухгалтерия, продажи, поддержка, ИТ. Работники, которые с данными не работают, могут подписывать общую памятку вместо персонального обязательства.

Можно ли включить обязательство в трудовой договор?

Можно, и это надёжный вариант: пункт о конфиденциальности прямо в договоре. Но отдельный документ удобнее — его проще обновлять при изменении законодательства, не переподписывая договоры со всем коллективом.

Сколько действует обязательство после увольнения?

Столько, сколько указано в тексте. Практика — от трёх до пяти лет либо бессрочно в отношении сведений, ставших известными в период работы. Неограниченный срок по всем сведениям суды воспринимают сдержаннее.

Что делать, если работник отказывается подписывать?

Составить акт об отказе и не допускать его к данным: доступ без обязательства — риск, который несёт организация. Для должностей, где работа с данными входит в обязанности, отказ означает невозможность их выполнять.

Нужно ли отдельное обязательство для удалённых работников?

Форма та же, но текст стоит дополнить: работа только через защищённое подключение, запрет сохранять файлы на личном устройстве и печатать документы дома. Эти пункты чаще всего и нарушаются на удалёнке.

А для подрядчиков и самозанятых?

С ними трудовых отношений нет, поэтому работает другая конструкция: договор с условиями о конфиденциальности и поручение на обработку персональных данных по ст. 6 152-ФЗ. Обязательство работника им подписывать бессмысленно.

Хранить обязательства в личном деле?

Да, вместе с кадровыми документами, и сохранять после увольнения в течение срока хранения личного дела. Второй экземпляр остаётся у работника — это подтверждает, что он был ознакомлен, а не просто расписался в журнале.

Связанные документы

Все документы комплекта

Обязательство о неразглашении ПДн — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66