Что оформить по персональным данным иностранного работника

Компания нанимает гражданина другой страны и получает копию паспорта, патент на работу, миграционную карту. Разбираем, что из этого личное дело кадровика, а что — обязанность по 152-ФЗ: нужно ли отдельное согласие, как хранить копии документов и что делать, если кадровый учёт ведёт подрядчик.

Компания нанимает гражданина Узбекистана на склад. HR получает от него копию паспорта, патент на работу, миграционную карту, СНИЛС. Все эти бумаги ложатся в личное дело рядом с документами штатных сотрудников-россиян. С точки зрения 152-ФЗ разницы нет: это персональные данные, и работодатель обрабатывает их как оператор — с теми же обязанностями и той же ответственностью.

Какие данные иностранного работника защищает 152-ФЗ

Под защиту попадает всё, что позволяет идентифицировать человека и относится к нему:

копия паспорта или иного документа, удостоверяющего личность;
миграционная карта и отметки о постановке на учёт по месту пребывания;
патент или разрешение на работу;
СНИЛС, ИНН, полис ДМС или добровольного медицинского страхования;
данные о семейном положении, если они нужны для налоговых вычетов;
биометрия, если компания фотографирует сотрудника для пропуска.

Гражданство само по себе не относится к специальным категориям персональных данных. Особый режим действует для данных о здоровье, если работодатель хранит копию медицинского заключения, а не просто отметку «прошёл медосмотр».

Нужно ли отдельное согласие на обработку

Здесь работодателей чаще всего сбивает с толку требование о согласии. Если данные нужны, чтобы заключить и исполнять трудовой договор, отдельное согласие по 152-ФЗ не требуется — закон прямо разрешает обработку в этом случае. Приём на работу, начисление зарплаты, ведение личного дела, передача сведений в бухгалтерию — всё это укладывается в исполнение договора.

Согласие понадобится, если компания выходит за эти рамки: например, публикует фото сотрудника с указанием гражданства на сайте, передаёт данные партнёру для совместного мероприятия или использует копию паспорта для целей, не связанных с трудовыми отношениями. В таких случаях нужен отдельный документ с подписью работника, где прямо описана цель обработки.

Уведомление о приёме на работу — обязанность из другого закона

Отдельно от 152-ФЗ действует миграционное законодательство: работодатель обязан уведомить территориальный орган МВД по вопросам миграции о заключении трудового договора с иностранным гражданином. Срок и форму уведомления устанавливает миграционное законодательство, и его стоит уточнять по актуальной редакции — это требование Федерального закона № 115-ФЗ «О правовом положении иностранных граждан в Российской Федерации», а не 152-ФЗ. Штрафуют за нарушение тоже по другой статье — из КоАП о нарушении миграционных правил, не по статье об обработке персональных данных.

Путать эти две обязанности не стоит: уведомление МВД не заменяет требований 152-ФЗ, а требования 152-ФЗ не отменяют уведомление МВД. Компания, которая нанимает иностранных работников на регулярной основе, всё равно должна быть в реестре операторов персональных данных, если её деятельность подпадает под критерии, при которых регистрация обязательна.

Проверка компании в реестре операторов РКН

Как хранить копии паспорта и патента

Копии документов — не бумага «на всякий случай», а персональные данные с конкретным сроком жизни. Три правила, которые снимают большинство вопросов при проверке:

Основание для хранения копий указано в локальном акте компании — Положении об обработке персональных данных или Политике. Работодатель хранит копию патента и паспорта, потому что обязан подтверждать законность найма иностранного гражданина, а не потому что «так удобнее».
Доступ к личному делу ограничен кадровой службой и бухгалтерией. Остальным сотрудникам копия паспорта коллеги не нужна для работы.
После увольнения документы хранятся ровно столько, сколько предписывают правила архивного хранения кадровых документов, а затем уничтожаются по акту — так же, как личное дело российского сотрудника.

Если кадровый учёт ведёт подрядчик

Многие компании отдают миграционный учёт и оформление патентов на аутсорс — юридической фирме или кадровому агентству. Как только персональные данные работника уходят за пределы компании, нужен договор поручения на обработку персональных данных с подрядчиком: в нём фиксируют, какие данные передаются, для какой цели и какие меры защиты обязан принять подрядчик. Устной договорённости или общего договора об оказании услуг для этого недостаточно.

Если агентство теряет базу с копиями паспортов иностранных работников или передаёт её третьим лицам без основания, отвечает перед Роскомнадзором в первую очередь работодатель — как оператор, который решает, зачем и как обрабатывать данные.

Что делать

Проверьте три вещи, прежде чем нанимать следующего иностранного сотрудника: описано ли хранение копий его документов в локальном акте, ограничен ли доступ к личному делу и заключён ли договор поручения с подрядчиком, если кадровый учёт передан на сторону. Если хотя бы один пункт не закрыт — это не повод для аврала, но повод обновить документы до следующей проверки.

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Нужно ли брать отдельное согласие на обработку персональных данных при приёме иностранного гражданина на работу?

Нет, если данные используются для заключения и исполнения трудового договора. Отдельное согласие нужно только для целей за пределами трудовых отношений, например для публикации фото сотрудника на сайте компании.

Что делать с копией паспорта иностранного работника после увольнения?

Хранить установленный срок в соответствии с правилами архивного хранения кадровых документов, затем уничтожить по акту. Держать копию «на всякий случай» без документально закреплённого основания — нарушение.

Распространяется ли 152-ФЗ на данные о патенте на работу?

Да, патент и миграционная карта — такие же персональные данные, как паспорт. Компания обязана обеспечить их защиту и ограничить доступ так же, как к любым другим документам личного дела.

Кто отвечает, если кадровое агентство, которое ведёт миграционный учёт, потеряет данные работников?

Прежде всего работодатель как оператор персональных данных. Договор поручения с агентством распределяет ответственность между сторонами, но не снимает её с компании, которая приняла решение передать данные на аутсорс.