Персональные данные соискателей при подборе персонала: требования к работодателю

Подбор персонала давно вышел за рамки обмена резюме и телефонного звонка. Работодатель собирает анкеты, отзывы, результаты тестов, записи собеседований. Во всей этой рутине легко упустить главный правовой ориентир: персональные данные соискателей обрабатываются по тем же жестким правилам, что и данные работников. Ошибка в правовом основании, лишнее поле в анкете или избыточный срок хранения могут обернуться претензией Роскомнадзора, жалобой кандидата и затратами на исправление последствий.

Зачем работодателю выстраивать законную работу с персональными данными соискателей

Репутационные риски и управленческие потери наступают раньше, чем штрафы. Утечка анкет, несанкционированный обмен резюме между филиалами или передача профилей в сторонние сервисы без договора бьют по доверию к компании. Финансовые последствия дополняются контролем со стороны Роскомнадзора и возможными санкциями по статье 13.11 КоАП РФ за нарушения правил обработки и хранения.

Когда правила прозрачны, кадровая служба точнее отбирает сведения, документы, тесты и быстрее закрывает вакансии. Персональные данные соискателей используются строго в тех целях, которые определены в политике оператора, и только тем кругом лиц, которые наделены доступом. Это снижает риск жалоб и противоречий с требованиями 152‑ФЗ «О персональных данных».

Компании, которые развивают внутренние регламенты и регулярно обновляют формы согласий, инструкции и шаблоны уведомлений, реже сталкиваются с претензиями. Такой порядок удобно поддерживать через регулярное абонентское юридическое обслуживание, когда вопросы персональных данных прорабатываются вместе с кадровыми и договорными процессами, а не в пожарном режиме.

Правовые основания обработки: от Трудового кодекса до 152‑ФЗ

Базовые требования задает 152‑ФЗ: принципы обработки, допустимые цели, минимизация объема, безопасность, права субъектов, обязанности оператора, трансграничная передача и локализация. Для работодателя это означает, что персональные данные соискателей можно собирать и использовать только при наличии законного основания и фиксированной цели. Состав данных должен соответствовать этой цели, а хранить их дольше, чем требуется для подбора, нельзя.

В качестве основания обычно применяют необходимость заключения трудового договора по инициативе кандидата и исполнение требований трудового законодательства. Если обработка выходит за пределы этих целей, потребуется отдельное согласие. Так, персональные данные соискателей нельзя удерживать в «резерве» на будущее без конкретизации срока и цели, а также без предоставления кандидату права свободно отказаться.

Нормы Трудового кодекса дополняют требования 152‑ФЗ. Статья 64 ТК РФ защищает кандидата от необоснованного отказа в заключении трудового договора и дает право потребовать письменное объяснение причин. Статья 65 ТК РФ определяет перечень документов при заключении договора. Из этого вытекает важный практический вывод: до момента оформления трудового договора запрашивать следует только те сведения, которые действительно необходимы для оценки профессиональной пригодности, не выходя за пределы законных целей.

Отдельно нужно учесть локализацию: запись, систематизация, накопление и хранение персональных данных граждан РФ должны осуществляться с использованием баз данных, находящихся в России. Если используется иностранная облачная система подбора, проверяйте фактическое размещение и архитектуру сервиса.

Согласие соискателя: когда без него нельзя и как его оформить корректно

По 152‑ФЗ согласие требуется, когда у работодателя нет иного правового основания либо когда обрабатываются специальные категории данных, биометрия, происходит передача третьим лицам вне правовых оснований или сохраняется информация в кадровом резерве после завершения конкурса. На практике согласие соискателя на обработку удобно применять как дополнительную гарантию прозрачности, но оно не подменяет обязанность соблюдать принципы минимизации и целевого назначения.

Содержание согласия должно быть конкретным, информированным и добровольным. Цели формулируются ясно, перечисляются категории данных, виды действий с ними, срок и порядок отзыва. Электронная форма допустима, если можно подтвердить, что согласие дал именно кандидат. При работе с особыми категориями данных и биометрией требуется письменная форма, если нет иной законной льготы.

Если компания планирует держать резюме в резерве для будущих вакансий, укажите срок хранения и право на отзыв. Без этого персональные данные соискателей не могут оставаться в базе дольше, чем длится конкретный конкурс. Для передачи профиля в рекрутинговое агентство или связанную организацию также потребуется отдельное согласие, если иное не следует из закона и договорных отношений с кандидатом.

Какие сведения уместны на этапе подбора, а какие лучше не запрашивать

Нужно соотносить каждое поле анкеты с целью найма. Образование, опыт, навыки, портфолио, результаты профессиональных тестов напрямую связаны с оценкой пригодности. Запрашивать копию паспорта, СНИЛС, ИНН и другие идентификаторы до стадии оформления договора избыточно, если эти документы не требуются для проверки законных ограничений по конкретной должности. Персональные данные соискателей особых категорий, такие как сведения о здоровье, политических взглядах, религии или частной жизни, без специального основания и явного согласия обрабатывать нельзя.

Справки об отсутствии судимости запрашиваются только когда для должности установлены законодательно закрепленные ограничения. Медосмотры до приема оправданы там, где их прямо требует закон, например для работ с вредными и опасными условиями труда, для отдельных категорий работников здравоохранения и транспорта. Контактирование текущего работодателя кандидата допустимо только при уведомлении кандидата и при наличии его согласия, иначе высок риск претензий о вмешательстве в частную жизнь.

Автоматическое ранжирование резюме и скоринг удобны, но нельзя принимать решения, порождающие юридические последствия для человека, исключительно на основе алгоритма без участия человека, если на это нет отдельного согласия. Это прямое требование статьи 16 152‑ФЗ.

Категория сведений	Допустимость на этапе подбора	Комментарий
Контакты, образование, опыт, портфолио	Допустимо	Прямая связь с целью оценки профессиональной пригодности
Паспортные данные, СНИЛС, ИНН	С осторожностью	Обычно уместно только на стадии оформления договора
Справка об отсутствии судимости	Ограниченно	Запрашивается, если для должности есть законные ограничения
Сведения о здоровье, фото/видео для биометрии	По письменному согласию или при наличии иной льготы	Специальные категории и биометрия обрабатываются по особым правилам 152‑ФЗ

Чтобы подтвердить кадровую добросовестность и снизить спорность сборов, полезно заранее обновить локальные акты, формы анкет и уведомлений. Это предмет кадрового аудита, после которого остается понятная система документов и ролей в обработке.

Хранение резюме и персональные данные соискателей: сроки и удаление

Закон не устанавливает единый срок, на который работодатель может удерживать резюме и сопутствующие материалы. Ориентир дают принципы статьи 5 152‑ФЗ: хранить можно только пока цель подбора не достигнута или пока сохраняется согласие на резерв. Отсюда вытекают практические правила, которые стоит закрепить во внутренних регламентах.

Во‑первых, хранение резюме кандидатов должно быть организовано в системах, где ограничены доступ и выгрузка. Эл. почта рекрутера не является архивом, а временной средой. Во‑вторых, срок хранения резюме следует соотносить с реальной потребностью бизнеса и зафиксировать в политике оператора, например на период конкурса и дополнительный период при наличии согласия на резерв. В‑третьих, по отзыву согласия и по достижении цели подбора резюме и иные материалы подлежат удалению или обезличиванию, если нет иного законного основания продолжать обработку.

Важно помнить о резервных копиях и бэкапах: процедуры удаления должны охватывать и их. Персональные данные соискателей, оставшиеся в архивных лентах и теневых папках, считаются обработкой, если по ним сохраняется доступ. Удаление подтверждайте актом ИТ‑службы или журналом операций.

Прозрачность укрепляет доверие. В уведомлении кандидату удобно коротко описать, как именно компания хранит материалы, кто имеет к ним доступ, как реализуется право на отзыв и какие сроки действуют до удаления. Это снижает количество запросов и конфликтных ситуаций.

Передача и размещение: персональные данные соискателей в агентствах, облаках и за рубежом

В подборе часто участвуют посредники и сервисы. Если агентство ищет кандидатов по заявке, оно может выступать самостоятельным оператором либо обрабатывать данные по поручению работодателя. В договоре необходимо закрепить цель, состав, действия с данными, меры защиты и обязанность исполнителя соблюдать требования 152‑ФЗ. Без этих условий передача может рассматриваться как незаконная.

Использование облачных ATS и интеграций требует проверки локализации. Персональные данные соискателей граждан РФ должны записываться и храниться на серверах в России. Трансграничная передача возможна, если обеспечивается надлежащая защита прав субъектов и соблюдены условия статьи 12 152‑ФЗ. Общая переписка с кандидатами через мессенджеры и почту не отменяет обязанностей оператора, поэтому доступы, резервирование и правила выгрузок описываются во внутренних регламентах.

Если компания входит в группу, не стоит автоматически делиться профилями между обществами. Персональные данные соискателей нельзя направлять в иное юридическое лицо без законного основания или отдельного согласия, даже если это ближайшая «дочка» или филиал в другом регионе. Любая публикация профиля во внешнем источнике, в общем чате или на общей площадке без легального основания повышает риск претензий.

Отказ кандидату: как объяснить решение и не нарушить права на данные

Статья 64 ТК РФ обязывает работодателя по письменному заявлению кандидата сообщить причины отказа в заключении трудового договора в письменной форме в установленный законом срок. Этот ответ должен быть корректным по содержанию и аккуратным с точки зрения конфиденциальности. Не указывайте сведения о третьих лицах и источниках, которые затрагивают чьи‑то персональные данные, если на то нет правового основания.

С практической стороны связь между отказом кандидату и персональными данными очевидна. После завершения конкурса определите, будут ли материалы храниться в резерве и на какой срок, либо подлежат удалению. Персональные данные соискателей не должны оставаться в обороте, если цель подбора достигнута и согласие на резерв не получено. Если кандидат отозвал согласие, прекращайте обработку и документально фиксируйте действия по удалению, чтобы при проверке подтвердить добросовестность.

Одновременно имеет смысл проверить содержание анкеты и чек‑лист собеседования. Если вопросы выходили за рамки цели подбора, в ответе на запрос надзорного органа придется объяснять, почему эти сведения были необходимы. Здесь точная формулировка цели и перечня обрабатываемых сведений экономит время и снижает издержки.

Документы, процедуры и контроль: что должно работать без сбоев

Устойчивость процесса обеспечивают локальные акты, которые кадровая служба применяет ежедневно. Персональные данные соискателей отражаются в политике оператора, в положении о защите данных, в матрице доступа и в шаблонах согласий. Этого недостаточно, если нет понятного порядка взаимодействия с агентствами и ИТ‑провайдерами, а также регламента удаления резюме после завершения конкурса.

Практически полезен короткий набор документов и настроек, без которых найм рискует уткнуться в формальные претензии:

• Актуальная политика оператора и уведомление кандидатам о целях, сроках и правах субъекта персональных данных.
• Корректные формы согласий для резерва, передачи в агентство и для обработки специальных категорий, если такая обработка действительно необходима.
• Договоры с агентствами и ИТ‑сервисами с условиями о защите, локализации, инструкции по поручению обработки, ответственности и аудите.
• Процедура удаления и обезличивания для всех сред, включая резервные копии и служебную переписку.
• Обучение сотрудников кадровых служб и ИТ по минимизации доступа и реагированию на запросы субъектов и Роскомнадзора.

Отдельное внимание уделите безопасности обработки. 152‑ФЗ и подзаконные акты требуют оценки угроз, выбора уровня защищенности и внедрения организационных и технических мер. Это не только антивирусы и пароли, но и учет носителей, контроль выгрузок, журналы доступа, порядок передачи сведений вне компании.

Распространенные ошибки, которые приводят к претензиям и ненужным затратам, хорошо известны рынку:

• Сохранение резюме в электронной почте и мессенджерах без регламента и без последующего удаления.
• Запрос лишних сведений на ранней стадии подбора, включая документы, которые нужны только для оформления трудового договора.
• Передача данных в агентство без договора и без точного описания поручения по обработке.
• Выбор иностранной ATS без проверки локализации и трансграничных условий.
• Отсутствие настроенного процесса реагирования на запросы кандидатов о доступе, исправлении и удалении данных.

Решать такие задачи удобнее в составе широкой правовой поддержки. Когда вопросы защиты данных стыкуются с кадровыми процедурами, договорной работой и ИТ, помогает комплексные юридические услуги для бизнеса с единым центром ответственности и едиными стандартами документов.

Персональные данные соискателей не перекладываются на ИТ и рекрутеров по остаточному принципу. Это зона юридической ответственности компании. Если цели и состав обработки соотносятся с вакансией, согласие оформлено корректно, хранение резюме кандидатов ограничено по времени, а передача агентствам и сервисам оформлена договорно, проверка пройдет предсказуемо. Сомнения вызывают только серые зоны: избыточные поля в анкетах, неопределенный срок хранения резюме, пересылка профилей между юрлицами без согласия и автоматические решения без участия человека. Чем раньше компания устранит эти риски, тем реже возникнут споры и внеплановые проверки.

При необходимости мы подключаемся к разработке локальных актов, форм согласий, договоров с агентствами и провайдерами, выстраиваем процедуру работы с запросами кандидатов и Роскомнадзора, проводим обучающие сессии для HR и ИТ. В результате персональные данные соискателей обрабатываются по единым правилам, а процесс подбора становится быстрее и безопаснее.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.