Соглашения и поручения
Образец 2026 по 152-ФЗ
Обновлено: 30 августа 2026
Обязательство о неразглашении ПДн
Обязательство о неразглашении персональных данных — документ, который подписывает сотрудник, получающий доступ к персональным данным других людей в силу должностных обязанностей: кадровик, бухгалтер, менеджер по продажам с доступом к CRM, администратор информационной системы. Он подтверждает, что знает требования закона 152-ФЗ и обязуется их соблюдать.
Закон 152-ФЗ прямо не называет документ «обязательством о неразглашении», но требует от оператора принять организационные меры для защиты персональных данных, в том числе ограничить круг лиц с доступом к ним и довести до сотрудников требования законодательства. Это следует из положений ст. 18.1 и ст. 19 закона о необходимых мерах защиты.
На практике обязательство подписывают все сотрудники, чья работа связана с обработкой чужих персональных данных: специалисты по кадрам, бухгалтеры, менеджеры, работающие с базой клиентов, сотрудники поддержки, администраторы информационных систем, в которых хранятся ПДн. Круг таких должностей стоит зафиксировать в перечне лиц, допущенных к обработке персональных данных.
Чем обязательство отличается от NDA
Соглашение о конфиденциальности (NDA) — более широкий по предмету документ: он может защищать коммерческую тайну, ноу-хау, финансовые условия сделок и любую другую информацию, которую стороны решили считать конфиденциальной. Обязательство о неразглашении персональных данных — узкоспециализированный документ именно для данных о физических лицах.
Различие важно практически: если сотрудник разгласил персональные данные клиента, а компания ссылается только на общее NDA без упоминания персональных данных и норм 152-ФЗ, доказать нарушение именно требований закона о персональных данных сложнее. Обязательство прямо привязывает поведение сотрудника к конкретным нормам 152-ФЗ и к локальным актам компании по обработке ПДн.
Что обязательно включить в текст обязательства
Работающий документ содержит:
ссылку на должность и характер доступа сотрудника к персональным данным — какие именно категории данных и в какой информационной системе или на каком носителе;
обязанность не разглашать персональные данные третьим лицам без законных оснований и не распространять их без согласия субъекта, кроме случаев, предусмотренных федеральным законом;
обязанность соблюдать локальные акты компании — политику и положение об обработке ПДн, инструкцию по обработке;
обязанность немедленно сообщать о случаях утечки или компрометации данных ответственному за обработку ПДн;
указание, что обязательство сохраняет силу и после увольнения — применительно к данным, ставшим известными в период работы;
подпись сотрудника и дату ознакомления.
Полезно также указать, что сотрудник предупреждён об ответственности за нарушение требований законодательства о персональных данных — это усиливает документ при последующем споре.
Связь с допуском к информационным системам персональных данных
Обязательство о неразглашении обычно оформляется как условие допуска сотрудника к информационной системе персональных данных (ИСПДн) или к бумажным носителям с такими данными. Логика простая: пока сотрудник не подписал обязательство, доступ к системе или картотеке ему не открывают.
На практике это оформляется связкой документов в такой последовательности:
приказ о допуске к ИСПДн или включение сотрудника в список лиц, допущенных к обработке;
подписанное обязательство о неразглашении;
фактическое предоставление логина и пароля либо ключей доступа к бумажному архиву.
Разрыв этой цепочки, когда доступ выдан раньше подписанного обязательства, снижает ценность документа при последующем разбирательстве.
Отзыв допуска — при увольнении, переводе на другую должность, отзыве полномочий — стоит фиксировать отдельным актом или приказом, чтобы обязательство не осталось формально действующим у человека, фактически лишённого доступа.
Ответственность за нарушение обязательства
Нарушение обязательства о неразглашении персональных данных влечёт разные виды ответственности в зависимости от того, кто отвечает — сотрудник или оператор.
Вид ответственности
Норма
Что грозит
Дисциплинарная (сотрудник)
ст. 192 ТК РФ, подп. «в» п. 6 ч. 1 ст. 81 ТК РФ
Замечание, выговор, а при достаточных основаниях увольнение за разглашение персональных данных другого работника
Материальная (сотрудник)
глава 39 ТК РФ
Возмещение прямого действительного ущерба, как правило в пределах среднего месячного заработка
Административная и иная (оператор)
законодательство о персональных данных
Возлагается на оператора как юридическое лицо, не освобождает организацию от ответственности перед госорганами и субъектами ПДн
Подписанное сотрудником обязательство помогает оператору доказать, что он принял необходимые организационные меры, и переложить часть внутренней ответственности на конкретного работника, но не освобождает саму организацию от ответственности.
Частые вопросы
Коротко о том, что обычно спрашивают об этом документе.
Нужно ли отдельное обязательство, если условие о неразглашении есть в трудовом договоре?
Формально можно ограничиться условием в трудовом договоре, если оно достаточно детализировано. Но отдельное обязательство удобнее на практике: его проще подписать при изменении круга обязанностей сотрудника, не переоформляя весь трудовой договор, и проще предъявить как самостоятельное доказательство при проверке или споре.
Действует ли обязательство после увольнения сотрудника?
Да, если это прямо указано в тексте документа. Обязанность не разглашать персональные данные, ставшие известными в период работы, по общему смыслу сохраняется и после прекращения трудовых отношений, но конкретный срок стоит закрепить в самом обязательстве.
Может ли обязательство заменить обучение сотрудников по защите персональных данных?
Нет. Подпись под обязательством фиксирует факт согласия соблюдать требования, но не гарантирует, что сотрудник понимает, как их соблюдать на практике. Организационные меры по ст. 18.1 закона 152-ФЗ предполагают ещё и доведение до работников содержания законодательства и локальных актов, а не только формальную подпись.
Нужно ли обязательство сотруднику, который работает с обезличенными данными?
Если данные действительно обезличены в соответствии со ст. 3 закона 152-ФЗ и не могут быть соотнесены с конкретным субъектом без дополнительной информации, режим защиты персональных данных к ним формально не применяется. На практике грань между обезличенными и деобезличиваемыми данными часто размыта, поэтому безопаснее оформить обязательство при малейшем сомнении.
Кто хранит подписанные обязательства сотрудников?
Как правило, ответственный за организацию обработки персональных данных или кадровая служба — вместе с остальными локальными актами по 152-ФЗ и личными делами сотрудников. Хранение должно исключать доступ посторонних лиц к самим обязательствам, поскольку в них указаны сведения о должности и характере доступа конкретного работника.
Подготовим документ под ваш бизнес
Юрист BN Legal соберёт «Обязательство о неразглашении ПДн» с вашими реквизитами и проверит остальной комплект по 152-ФЗ.
