Персональные данные работника: разбор спора и выводы

Что считается персональными данными работника?

Персональные данные работника — любая информация, позволяющая прямо или косвенно идентифицировать физическое лицо. В трудовом контексте это широкий круг сведений: ФИО, дата рождения, адрес, паспортные данные, ИНН, информация об образовании и квалификации, сведения о состоянии здоровья, семейном положении, заработке, дисциплинарных взысканиях. К персональным данным также относятся биометрические сведения — отпечатки пальцев, изображение лица при входе по Face ID, — если они хранятся в цифровом виде и привязаны к конкретному человеку.

Для IT-компаний разграничение принципиально: корпоративный email сотрудника сам по себе обычно не считается персональными данными (он принадлежит компании), но в связке с ФИО, должностью и фотографией он становится частью персонального профиля. Именно эта связка чаще всего публикуется на корпоративных сайтах без надлежащего согласия — и именно здесь начинаются споры с DPA.

Отдельная категория — специальные (чувствительные) данные: информация о здоровье, судимостях, политических взглядах, религии. Обработка таких данных допустима только в строго определённых случаях, предусмотренных законом, — например, для исполнения трудового договора в части больничных и льгот. Запрашивать справку о судимости можно лишь если это прямо требуется для конкретной должности согласно нормативным актам.

На практике IT-работодатели нередко собирают избыточные данные при приёме на работу: копии всех страниц паспорта (а не только тех, где указаны ФИО и регистрация), сведения о родственниках, данные личных аккаунтов в соцсетях. Принцип минимизации данных — один из ключевых в Законе «Об информации персонального характера»: собирать следует ровно столько, сколько нужно для достижения конкретной законной цели.

Разобраться с тем, какие данные вправе запрашивать работодатель на разных этапах — от собеседования до увольнения, — можно в нашем руководстве по защите интересов компании в трудовом договоре.

Как правильно оформить согласие на обработку данных?

Согласие работника на обработку персональных данных — не формальность, а юридически значимый документ, дефекты которого становятся основанием для претензий DPA. Согласие должно быть конкретным, информированным и добровольным. Это три самостоятельных критерия, каждый из которых суды и регулятор проверяют отдельно.

Конкретность означает, что в согласии перечислены цели обработки, виды данных, способы обработки, срок хранения, а также перечень третьих лиц (или их категорий), которым данные могут быть переданы. Формулировка «в целях исполнения трудовых отношений» без расшифровки — недостаточна. Работодатель обязан указать, что данные передаются, например, в банк для перечисления зарплаты, в Соцфонд для отчётности и в облачный HR-сервис для кадрового учёта.

Информированность предполагает, что работник до подписания согласия получил полный текст политики обработки персональных данных. На практике достаточно, чтобы политика была доступна на внутреннем портале, а в согласии стояла ссылка на неё с указанием даты версии документа. Опытные работодатели прикладывают политику к пакету документов при оформлении и фиксируют факт вручения в акте.

Добровольность — самый спорный критерий в трудовых отношениях. Работник, зависящий от работодателя, de facto лишён возможности отказать в согласии без негативных последствий для себя. Именно поэтому законодательство КР разграничивает обработку данных, необходимую для исполнения трудового договора (согласие не требуется — правовым основанием служит сам договор), и обработку в иных целях — например, публикацию фото на сайте компании или передачу данных аффилированным структурам. Для второй категории согласие обязательно, и отказ работника не может служить основанием для каких-либо санкций.

Согласие оформляется письменно и хранится в личном деле сотрудника. Электронная форма допустима при наличии электронной подписи работника. Срок действия согласия следует прямо указать в документе — как правило, это срок трудового договора плюс период хранения данных после увольнения.

Кейс: как IT-компания получила предписание DPA — фабула и ошибки

Рассмотрим типичную ситуацию, которая воспроизводится в кыргызской IT-отрасли с регулярностью. Компания — резидент ПВТ, штат около 40 человек, клиенты преимущественно зарубежные. При найме сотрудников HR-менеджер использовал шаблон трудового договора, заимствованный у российского подрядчика, — без адаптации под требования законодательства КР. В этом шаблоне отсутствовало самостоятельное согласие на обработку персональных данных: предполагалось, что подписание договора автоматически означает согласие на любые операции с данными сотрудника.

Первая ошибка — именно здесь. Трудовой договор как правовое основание обработки данных покрывает только те операции, которые непосредственно необходимы для его исполнения: расчёт зарплаты, кадровый учёт, взаимодействие с Соцфондом. Всё остальное — включение в корпоративный каталог, публикацию на сайте, передачу данных материнской компании за рубежом — требует отдельного согласия.

Второй просчёт: компания использовала облачную HR-систему, серверы которой расположены в Европе. Передача персональных данных граждан КР за рубеж — самостоятельная процедура, требующая либо наличия у принимающей стороны надлежащего уровня защиты данных (признанного DPA), либо заключения специального соглашения о трансграничной передаче. Компания не выполнила ни одного из этих условий.

Третья ошибка — отсутствие регламента сроков хранения. Данные уволенных сотрудников хранились в системе бессрочно: никто не удалял их и не переводил в архив. По действующему законодательству КР работодатель обязан определить сроки хранения данных в зависимости от категории: документы для налоговой отчётности — один срок, данные о стаже — другой, переписка о текущих проектах — третий. Отсутствие политики хранения само по себе является нарушением.

Спор инициировал уволенный разработчик: обнаружив, что его фотография и профессиональный профиль по-прежнему размещены на корпоративном сайте спустя восемь месяцев после увольнения, он направил в DPA жалобу. Регулятор провёл проверку и выдал компании предписание об устранении нарушений, а также потребовал представить политику обработки персональных данных и образцы согласий в течение 30 дней.

Как компания вышла из ситуации и что пошло не так при исправлении?

Получив предписание DPA, руководство компании поступило типичным образом: поручило задачу HR-менеджеру без привлечения юриста. За две недели были разработаны шаблон согласия и внутренняя политика — при этом оба документа содержали серьёзные недостатки, которые могли бы породить новые претензии.

В шаблоне согласия цели обработки были описаны настолько широко («в любых целях, связанных с трудовыми отношениями»), что фактически представляли собой бланковое согласие без указания конкретных операций. DPA при повторной проверке мог бы признать такое согласие ничтожным — оно не отвечает критерию конкретности.

Политика хранения данных устанавливала единый срок для всех категорий — три года. Это упрощение игнорирует требования трудового и налогового законодательства КР: для части документов установлены более длительные сроки хранения, для части — более короткие. Единый срок «на все случаи» не снимает риска нарушения, а лишь переносит его во времени.

Вопрос трансграничной передачи данных в облачную HR-систему компания решила, подписав с провайдером стандартный Data Processing Agreement (DPA-соглашение) по шаблону GDPR. Это распространённая ошибка: GDPR — европейское право, его стандарты не эквивалентны требованиям кыргызского Закона «Об информации персонального характера». Для передачи данных в юрисдикцию, не признанную DPA КР эквивалентной, требуется либо уведомление регулятора, либо применение механизмов, предусмотренных именно кыргызским законодательством.

Тем не менее фотография уволенного сотрудника была удалена с сайта, а сам работник получил уведомление об уничтожении его персональных данных. Это позволило закрыть первоначальную жалобу. Предписание DPA было исполнено в части, и регулятор прекратил производство по конкретному эпизоду — хотя системные нарушения в политике компании сохранились.

Подробнее о том, как правильно структурировать трудовой договор с IT-специалистом в КР, читайте в обзоре практики по срочным трудовым договорам.

Хранение персональных данных: сроки и порядок уничтожения

Политика хранения персональных данных — обязательный внутренний документ работодателя. Его отсутствие само по себе квалифицируется как нарушение при проверке DPA. Документ должен устанавливать: перечень категорий данных, цель их обработки, правовое основание, срок хранения и порядок уничтожения по истечении срока.

Сроки хранения определяются несколькими источниками одновременно. Трудовое законодательство КР устанавливает требования к хранению кадровых документов — приказов, личных дел, трудовых книжек (при их ведении), документов о взысканиях. Налоговое законодательство обязывает хранить документы, необходимые для расчёта налогов, в течение срока исковой давности плюс период налоговой проверки. Архивное законодательство устанавливает отдельные сроки для документов, передаваемых в государственный архив.

На практике минимальный срок хранения большинства кадровых документов составляет несколько лет после расторжения трудового договора, однако конкретный срок зависит от категории документа. Данные о заработной плате и страховых взносах хранятся дольше, чем, например, переписка в системе управления задачами. Политика компании должна воспроизводить эту дифференциацию — а не устанавливать единый срок для всего.

По истечении срока хранения персональные данные подлежат уничтожению. Для бумажных носителей — физическое уничтожение с составлением акта. Для электронных — гарантированное удаление из всех систем, включая резервные копии. Последнее технически сложнее: резервные копии нередко хранятся по собственному расписанию и не синхронизируются с политикой уничтожения основных данных. IT-компании, использующие системы версионирования и облачные бэкапы, обязаны учитывать этот аспект при разработке политики.

Право работника на удаление своих данных («право на забвение») в кыргызском праве ограничено: работодатель вправе отказать в удалении, если обработка необходима для выполнения правового обязательства или защиты законных интересов в судебном споре. Это важно для тех случаев, когда уволенный сотрудник одновременно является потенциальным истцом по трудовому спору.

FinTech- и VASP-компании должны дополнительно учитывать требования законодательства о ПОД/ФТ: данные KYC-верификации сотрудников, имеющих доступ к финансовым операциям, хранятся по отдельному регламенту, установленному Финнадзором.

Передача данных сотрудников третьим лицам: когда это законно?

Передача персональных данных работника третьим лицам допустима при наличии одного из законных оснований: согласие работника, исполнение требований закона, защита жизненно важных интересов, исполнение договора. На практике работодатели регулярно передают данные сотрудников без достаточных оснований — и именно эти случаи становятся предметом жалоб в DPA.

Передача данных в рамках исполнения закона не требует отдельного согласия. Работодатель обязан передавать сведения о сотрудниках в Соцфонд для начисления взносов, в ГНС для налоговой отчётности, в правоохранительные органы по законным запросам. Во всех этих случаях правовым основанием служит прямое требование нормативного акта, и работодатель не только вправе, но и обязан передать данные без оглядки на наличие согласия.

Передача данных внутри группы компаний — распространённая практика у IT-холдингов. Здесь ситуация сложнее: аффилированность юридических лиц сама по себе не является основанием для передачи персональных данных. Каждое юридическое лицо — самостоятельный оператор персональных данных. Передача данных от одной компании группы другой требует либо согласия работника, либо договора об обработке данных с чётким указанием цели и объёма передаваемых сведений.

Особого внимания заслуживает передача данных подрядчикам: аутсорсинговым бухгалтерам, кадровым агентствам, разработчикам HR-систем. Такие контрагенты действуют в статусе «обработчика» персональных данных по поручению работодателя. Договор с ними должен содержать раздел об обработке персональных данных с описанием цели, объёма данных, технических мер защиты и порядка возврата или уничтожения данных по окончании сотрудничества. Без такого раздела договор считается не соответствующим требованиям Закона «Об информации персонального характера».

Трансграничная передача данных — отдельный режим. Данные граждан КР могут передаваться в другое государство, если это государство обеспечивает надлежащий уровень защиты персональных данных. Список таких государств формирует DPA. Если принимающая сторона находится в государстве, не включённом в этот список, передача данных возможна только при соблюдении дополнительных условий, предусмотренных законом: как правило, это согласие субъекта данных с явным указанием на риски, связанные с передачей в страну без надлежащей защиты.

Travel Rule для VASP-компаний — дополнительный контекст: требования к передаче информации при переводах криптоактивов технически касаются данных клиентов, а не сотрудников, однако сотрудники комплаенс-отдела, обрабатывающие эти данные, также являются субъектами персональных данных работодателя.

Роль DPA: полномочия, проверки и санкции

Агентство по защите персональных данных (DPA КР) — уполномоченный орган по контролю за соблюдением Закона «Об информации персонального характера». Для IT-работодателей это практически значимая реальность: DPA активизировал надзорную деятельность в 2025–2026 годах, и число предписаний существенно возросло.

DPA вправе проводить плановые и внеплановые проверки операторов персональных данных. Основанием для внеплановой проверки может служить жалоба субъекта персональных данных — то есть любого сотрудника или бывшего сотрудника компании. Мораторий на проверки бизнеса, действующий до 31.12.2026, распространяется на плановые проверки ряда контролирующих органов, однако его применимость к надзору DPA следует уточнять в каждом конкретном случае — формально DPA не входит в перечень органов, подпадающих под общий мораторий по всем основаниям.

По результатам проверки DPA вправе: выдать предписание об устранении нарушений с установлением срока исполнения; составить протокол об административном правонарушении; потребовать приостановления или прекращения обработки данных. Санкции по административному законодательству КР предусмотрены в Кодексе о правонарушениях КР — конкретные суммы следует уточнять по действующему тарифу, поскольку размеры регулярно индексируются.

Неисполнение предписания DPA в установленный срок — самостоятельное основание для привлечения к ответственности. Именно поэтому, получив предписание, важно либо устранить нарушения в срок, либо — при наличии оснований — обжаловать предписание в суде. Срок для обжалования ограничен: пропуск означает, что предписание вступает в силу и подлежит обязательному исполнению.

Регистрация в качестве оператора персональных данных — отдельное требование. По действующему законодательству КР операторы, обрабатывающие персональные данные с использованием автоматизированных систем, обязаны уведомить DPA о начале обработки. Большинство IT-компаний формально являются операторами персональных данных своих сотрудников, клиентов и пользователей — и обязаны пройти соответствующую процедуру уведомления.

Смежные вопросы трудовых правоотношений в КР детально разобраны в FAQ по трудовому договору в Кыргызстане.

Как выстроить правильную систему защиты данных сотрудников?

Корректная система защиты персональных данных сотрудников строится на четырёх элементах: документация, согласия, технические меры и процедуры реагирования. Отсутствие любого из них создаёт уязвимость, которую DPA зафиксирует при первой же проверке.

Документация. Минимальный пакет включает: политику обработки персональных данных (публичная версия для сотрудников); регламент хранения и уничтожения данных; перечень обрабатываемых категорий данных с указанием правовых оснований; реестр договоров с обработчиками (подрядчиками). Документация должна обновляться при каждом существенном изменении процессов — внедрении новой HR-системы, переходе на облачный сервис, изменении организационной структуры.

Согласия. Разработайте отдельные формы согласий для каждой цели обработки, выходящей за рамки исполнения трудового договора: публикация фото на сайте; включение в корпоративный каталог; передача данных аффилированным структурам; использование биометрии для контроля доступа. Каждая форма — отдельный документ с конкретной целью и конкретным перечнем операций. Бланковые согласия «на всё» недействительны.

Технические меры. Доступ к персональным данным сотрудников следует разграничить по ролям: HR видит полный профиль, руководитель подразделения — только рабочие характеристики, IT-администратор — только технические учётные данные. Логирование доступа к файлам с персональными данными — обязательная мера для компаний с более чем 20 сотрудниками. Шифрование данных в покое и при передаче — стандарт для ПВТ-резидентов, работающих с зарубежными заказчиками.

Процедуры реагирования. При утечке персональных данных работодатель обязан уведомить DPA в установленный срок. Внутренняя процедура реагирования на инцидент должна определять: кто принимает решение об уведомлении, в какой срок, в каком формате и кто уполномочен взаимодействовать с регулятором. Отсутствие такой процедуры приводит к тому, что при реальном инциденте компания теряет время и усугубляет нарушение.

Для ПВТ-резидентов, экспортирующих IT-услуги в ЕС или Великобританию, параллельно действуют требования GDPR в части обработки данных европейских клиентов. Внутренняя кадровая документация при этом всё равно подчиняется кыргызскому праву — два режима сосуществуют и не заменяют друг друга.

Подробную карту трудовых рисков для работодателей в КР — включая обязательства по новому Трудовому кодексу КР — читайте в гиде по трудовому праву Кыргызстана.

Что изменил новый Трудовой кодекс КР для защиты данных сотрудников?

Новый Трудовой кодекс КР, вступивший в силу в 2025 году, усилил правовые позиции работника в части защиты персональных данных. Ключевое изменение — кодекс прямо закрепил обязанность работодателя обеспечивать конфиденциальность персональных данных работника и установил запрет на их использование в целях, не связанных с трудовыми отношениями, без согласия работника.

Новый Трудовой кодекс КР разграничивает данные, необходимые для заключения и исполнения трудового договора, и данные, собираемые в иных целях. Для первой категории правовым основанием обработки служит сам договор; для второй — отдельное согласие. Это разграничение снимает распространённое заблуждение о том, что подписание трудового договора автоматически даёт работодателю право обрабатывать любые данные о сотруднике.

Кодекс также ввёл требования к хранению персональных данных в личных делах сотрудников. Работодатель обязан обеспечить защиту личных дел от несанкционированного доступа, а также установить порядок их передачи в архив по истечении срока хранения. Для электронных кадровых систем это означает обязательную настройку контроля доступа — не рекомендацию, а требование.

Право работника на ознакомление со своими персональными данными, а также на исправление недостоверных сведений прямо закреплено в новом Трудовом кодексе КР. Работодатель обязан предоставить доступ к данным по запросу работника в разумный срок. Отказ в предоставлении без законного основания — нарушение, которое работник вправе обжаловать как в суде, так и через DPA.

Для IT-компаний с распределёнными командами и дистанционными сотрудниками новый Трудовой кодекс КР урегулировал ряд вопросов, ранее остававшихся в правовой серой зоне: мониторинг активности удалённых сотрудников теперь прямо упоминается как операция, требующая надлежащего правового основания и уведомления работника. Скрытый мониторинг переписки или активности на рабочем устройстве без информирования сотрудника нарушает как трудовое, так и законодательство о персональных данных.

Обратитесь к нашей практике трудового права или разделу аналитики для более детального изучения актуальных изменений в законодательстве КР.

Практические выводы для IT-работодателей в КР

Разобранный кейс даёт несколько конкретных ориентиров для IT-компаний, работающих в Кыргызстане. Ни один из них не требует значительных ресурсов — но каждый снижает риск предписания DPA или судебного спора с сотрудником.

Первый вывод: аудит существующей документации. Если кадровые шаблоны заимствованы из российской или казахстанской практики — их необходимо адаптировать под кыргызское право. Ключевые отличия: терминология (ОсОО, а не ООО; ИНН, а не БИН), ссылки на кыргызские НПА, требования к согласиям по Закону «Об информации персонального характера».

Второй вывод: разграничить обработку данных по правовым основаниям. Для каждой операции с персональными данными сотрудников задать вопрос: на каком основании мы это делаем — договор, закон или согласие? Если ответ «просто так сложилось» — это риск.

Третий вывод: облачные HR-системы с зарубежными серверами требуют отдельного внимания. Недостаточно подписать стандартный DPA по шаблону GDPR — необходимо убедиться, что передача данных соответствует требованиям кыргызского законодательства.

Четвёртый вывод: данные уволенных сотрудников — не исключение. После расторжения трудового договора работодатель обязан либо хранить данные в соответствии с утверждённой политикой, либо уничтожить их в установленные сроки. Публикации на сайте (фото, профили, кейсы с именами) подлежат удалению или обезличиванию, если работник не дал отдельного согласия на их сохранение после увольнения.

Пятый вывод: процедура реагирования на жалобу должна быть прописана заранее. Срок обжалования предписания DPA ограничен — без готовой процедуры компания может пропустить его, действуя в режиме аврала.

Для сравнения с практикой по срочным трудовым договорам и особенностями защиты интересов работодателя в суде читайте наш гид по защите интересов компании в трудовом договоре.