Персональные данные соискателей при подборе персонала: требования к работодателю

Подбор персонала почти всегда связан с обработкой чувствительной для человека информации: резюме, контактов, сведений об образовании, опыте работы, иногда данных о семье, здоровье или наличии судимости. Именно поэтому персональные данные соискателей для работодателя становятся не только кадровым, но и правовым вопросом. Ошибка на этапе найма может обернуться жалобой в Роскомнадзор, предписанием, административной ответственностью по статье 13.11 КоАП РФ, а в отдельных случаях и трудовым спором, если отказ в приеме на работу будет связан с незаконным использованием полученных сведений.

На практике проблема возникает не там, где работодатель сознательно нарушает закон, а там, где рекрутинговые процессы давно сложились “по привычке”. Резюме хранятся бессрочно, анкеты собираются шире необходимого, данные кандидатов пересылаются внутри группы компаний без понятного основания, а согласие соискателя на обработку либо не оформляется вовсе, либо подменяется общей фразой на сайте. Формально это может выглядеть как обычная работа HR-службы, но с точки зрения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» работодатель в этот момент уже выступает оператором персональных данных и обязан соблюдать установленный режим обработки.

Какие нормы регулируют персональные данные соискателей

Персональные данные соискателей регулируются прежде всего Федеральным законом № 152-ФЗ. Для работодателя значение имеют статьи 5 и 6 этого закона, где закреплены принципы и основания обработки, статья 9 о согласии субъекта персональных данных, а также статья 18.1, обязывающая оператора принимать меры по соблюдению законодательства. Если сбор информации ведется через сайт, дополнительно встает вопрос о политике оператора в отношении персональных данных и порядке информирования лица об обработке его сведений.

Трудовой кодекс РФ тоже имеет прямое отношение к теме. Хотя глава 14 ТК РФ в основном посвящена персональным данным работника, а не кандидата, подход к их защите для работодателя остается ориентиром: сведения должны использоваться только в объеме, необходимом для решения вопроса о трудоустройстве, и не могут собираться без разумной связи с будущей трудовой функцией. Статья 64 ТК РФ отдельно запрещает необоснованный отказ в заключении трудового договора. Это важно, потому что незаконно собранные или неправомерно использованные персональные данные соискателей нередко становятся частью конфликта именно по линии дискриминационного отказа.

Когда компания выстраивает кадровые процессы системно, вопрос обработки кандидатских данных обычно рассматривается в рамках более широкой проверки локальных актов, форм согласий и HR-документооборота. В таких случаях полезен не разовый совет, а полноценный кадровый аудит, который позволяет увидеть не отдельную ошибку, а всю цепочку рисков: от формы анкеты до порядка удаления сведений после завершения подбора.

Что работодатель вправе запрашивать у кандидата, а что становится источником риска

Закон не запрещает работодателю оценивать кандидата по профессиональным и деловым качествам. Это следует из статьи 64 ТК РФ и подтверждается общим смыслом трудового законодательства. Работодатель вправе собрать сведения, которые действительно нужны для принятия решения о найме: фамилию, имя, отчество, контакты, образование, опыт работы, квалификацию, наличие специальных допусков, если без них невозможно исполнение трудовой функции. Но именно здесь проходит граница между допустимой проверкой и избыточным сбором информации.

Персональные данные соискателей не могут собираться “на будущее” без понятной цели. Если должность не предполагает специальных требований, запрос сведений о семейном положении, составе семьи, религиозных убеждениях, политических взглядах или состоянии здоровья будет как минимум спорным, а часто и незаконным. Статья 5 Закона № 152-ФЗ требует, чтобы содержание и объем обрабатываемых данных соответствовали заявленным целям обработки. Избыточность сама по себе уже является нарушением, даже если утечки не произошло.

Отдельный блок риска связан с данными специальной категории, перечисленными в статье 10 Закона № 152-ФЗ. Это сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни. Их обработка допускается только в специальных случаях, прямо предусмотренных законом. Для обычного найма такие основания встречаются редко. Поэтому вопросы в анкете или на собеседовании, затрагивающие эти сведения, почти всегда создают работодателю лишние проблемы.

Нужно учитывать и то, что персональные данные соискателей могут поступать не только от самого кандидата. Резюме приходит с job-площадок, через форму на сайте, от кадрового агентства, по рекомендации действующего сотрудника. Во всех таких случаях работодателю важно понимать источник данных, цель их получения и наличие правового основания для дальнейшей обработки. Автоматическая пересылка резюме внутри группы компаний без информирования кандидата нередко нарушает принцип целевого использования данных.

Согласие соискателя на обработку и когда без него не обойтись

Наиболее частая ошибка работодателя в том, что согласие соискателя на обработку воспринимается как универсальный документ, который можно подписать один раз и навсегда. На самом деле статья 9 Закона № 152-ФЗ требует, чтобы согласие было конкретным, информированным и сознательным. Из него должно быть понятно, кто именно обрабатывает данные, какие сведения используются, для каких целей, какими способами, кому могут передаваться и в течение какого срока.

При этом не каждая обработка данных кандидата обязательно требует отдельного письменного согласия. Если человек сам направил резюме на конкретную вакансию, у работодателя обычно есть основание рассматривать и использовать эти данные для подбора на данную позицию как действие, необходимое для принятия решения о заключении трудового договора. Но как только работодатель выходит за пределы этой цели, ситуация меняется. Например, если компания хочет включить кандидата в кадровый резерв, передать сведения аффилированной организации, использовать резюме для будущих вакансий или собирать дополнительные сведения из внешних источников, согласие соискателя на обработку становится критически важным.

Корректная форма согласия должна учитывать практику реального подбора, а не существовать “для проверки”. Нельзя подменять конкретную цель размытой формулировкой о возможности использования данных любым способом в интересах компании. Такие тексты плохо выдерживают проверку Роскомнадзора, потому что не позволяют установить пределы обработки. Если речь идет о нескольких целях, их разумно разделить: рассмотрение на конкретную вакансию, включение в резерв, передача данных внутри группы компаний, получение рекомендаций от прежних работодателей при наличии отдельного основания.

Персональные данные соискателей особенно часто становятся предметом претензий тогда, когда согласие формально получено, но фактически не охватывает то, что делает работодатель. Например, в анкете указана цель “рассмотрение кандидатуры”, а затем резюме хранится два года и используется повторно для других вакансий. С правовой точки зрения это уже новая цель обработки, и первоначального согласия может оказаться недостаточно.

Хранение резюме кандидатов и срок, который работодатель должен обосновать

Хранение резюме кандидатов кажется технической деталью, но именно на этом этапе чаще всего выявляются нарушения. Закон № 152-ФЗ не устанавливает единый для всех операторов срок хранения таких данных. Работодатель должен определить его самостоятельно, исходя из цели обработки, и закрепить во внутренних документах. Здесь действует базовый принцип статьи 5 Закона № 152-ФЗ: обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в их достижении, если иное не предусмотрено федеральным законом.

Это означает, что срок хранения резюме нельзя делать бессрочным “на всякий случай”. Если кандидат рассматривался на конкретную вакансию и вопрос о найме закрыт, дальнейшее хранение его данных допустимо только при наличии отдельного основания. Таким основанием может быть выраженное согласие на включение в кадровый резерв на определенный период. Если такого согласия нет, хранение резюме кандидатов после завершения конкурса становится уязвимым с правовой точки зрения.

Для практики работодателя важно не столько назвать идеальный срок в днях или месяцах, сколько суметь его объяснить. Срок хранения резюме должен быть связан с реальным циклом подбора и документально подтвержден локальным актом, политикой обработки персональных данных, положением о подборе персонала или регламентом HR-службы. Когда компания может показать, почему хранит сведения, кто к ним имеет доступ, где они размещены и каким образом удаляются, позиция выглядит устойчивее и перед контролирующим органом, и в споре с кандидатом.

Отдельная проблема возникает при использовании облачных HR-систем и внешних сервисов подбора. В этом случае работодателю нужно оценить, кто именно выступает оператором, а кто обработчиком по поручению оператора, где физически размещаются базы данных, как ограничен доступ, есть ли договорные условия о конфиденциальности и удалении информации. Для бизнеса, который регулярно нанимает сотрудников и не хочет каждый раз возвращаться к одним и тем же вопросам, такой блок нередко включают в абонентское юридическое обслуживание, поскольку риски здесь связаны и с трудовым правом, и с защитой данных, и с договорными отношениями с подрядчиками.

Отказ кандидату и персональные данные: где проходит грань между оценкой и дискриминацией

Сам по себе отказ кандидату и персональные данные не образуют нарушение автоматически. Работодатель вправе не заключать трудовой договор, если кандидат не соответствует требованиям должности по деловым качествам, квалификации или иным законным критериям. Но проблема начинается тогда, когда отказ основан на сведениях, которые не должны были собираться или использоваться при подборе.

Статья 64 ТК РФ запрещает необоснованный отказ в заключении трудового договора. По письменному требованию лица, которому отказано в приеме на работу, работодатель обязан сообщить причину отказа в письменной форме. Если решение было связано с возрастом, наличием детей, семейным положением, местом регистрации, состоянием здоровья вне предусмотренных законом случаев или иными обстоятельствами, не относящимися к деловым качествам работника, спор может выйти далеко за рамки кадрового вопроса. Тогда отказ кандидату и персональные данные становятся доказательственной базой в трудовом конфликте.

На практике работодателю опасно не только прямо указывать незаконную причину отказа, но и фиксировать в переписке или внутренних комментариях оценочные суждения, которые можно истолковать как дискриминационные. Если в системе подбора остается отметка о семейных планах кандидата, беременности, национальности, возрасте или состоянии здоровья, а затем следует отказ, эти сведения могут быть использованы против работодателя. Персональные данные соискателей в таком случае превращаются из инструмента оценки кандидата в источник процессуального риска.

Особое значение имеет то, кто именно внутри компании получает доступ к сведениям о кандидате. Решение о найме должны принимать лица, которым такая информация действительно необходима. Чем шире круг доступа к резюме, анкетам, результатам собеседований и проверок, тем выше риск утечки, несанкционированного обсуждения сведений и последующих претензий со стороны кандидата.

Какие документы и процедуры защищают работодателя при проверке

Персональные данные соискателей становятся предметом проверки обычно не в абстрактном виде, а через конкретные документы. Контролирующий орган оценивает, как компания выстроила режим обработки данных и соответствует ли фактическая работа заявленным правилам. Простого наличия шаблонной политики на сайте недостаточно, если внутренние процессы ей не соответствуют.

Для работодателя обычно имеют значение следующие документы и организационные меры:

• политика в отношении обработки персональных данных и локальный акт, регулирующий сбор сведений о кандидатах;

• формы согласий, анкеты, шаблоны приглашений на собеседование и тексты для карьерного раздела сайта;

• приказы или иные документы о назначении ответственных лиц и разграничении доступа к базам кандидатов;

• договоры с кадровыми агентствами, HR-платформами и иными подрядчиками, если они участвуют в обработке данных;

• правила удаления, обезличивания и архивирования информации после завершения подбора.

Смысл этих документов не в формальности, а в доказуемости. Если работодатель может показать, что цель обработки определена, согласие соискателя на обработку оформляется в необходимых случаях, доступ ограничен, а срок хранения резюме установлен и соблюдается, позиция становится существенно сильнее. Если же резюме годами лежат в общих папках, а анкеты собираются в произвольной форме, спорить по существу будет сложно.

Нужно помнить и о требованиях статьи 19 Закона № 152-ФЗ, касающихся мер по обеспечению безопасности персональных данных. Для работодателя это не только техническая защита IT-систем, но и вполне прикладные вещи: режим доступа, пароли, журналы действий, порядок пересылки файлов, запрет на использование личных мессенджеров без установленных правил. Когда в подборе участвуют несколько подразделений, отсутствие понятного процесса почти всегда ведет к тому, что персональные данные соискателей обрабатываются шире, чем это нужно для найма.

Ответственность работодателя и спорные ситуации с кандидатами

За нарушения в сфере обработки персональных данных применяется статья 13.11 КоАП РФ. Составы в этой норме различаются в зависимости от характера нарушения: обработка без законного основания, отсутствие опубликованной политики, непредоставление субъекту информации, несоблюдение обязанностей по обеспечению доступа к сведениям, нарушение требований к получению согласия. Конкретная квалификация зависит от обстоятельств, поэтому в каждом случае важно сопоставлять фактические действия работодателя с тем, как оформлены его внутренние документы.

Для бизнеса последствия не сводятся к штрафу. Если кандидат считает, что его данные использованы незаконно, он вправе обращаться с жалобой в Роскомнадзор, требовать прекращения обработки, уничтожения информации, а при наличии оснований ставить вопрос о компенсации морального вреда в судебном порядке. Когда спор затрагивает не только защиту данных, но и деловую репутацию компании, внутренний конфликт легко выходит за пределы HR-функции и требует уже комплексной юридической поддержки бизнеса.

Есть и более сложные случаи. Например, работодатель заказывает проверку кандидата у внешнего подрядчика, получает расширенное досье, а затем отказывает в приеме на работу. Если источник сведений сомнителен, объем данных избыточен, а кандидат не был надлежащим образом информирован, спор может затронуть одновременно законность самой обработки, правомерность отказа и соблюдение конфиденциальности. Персональные данные соискателей в таких ситуациях нужно анализировать не изолированно, а в связке с трудовым, гражданским и административным регулированием.

Как выстроить правовую модель подбора без лишних рисков

Работодателю полезно смотреть на подбор персонала не как на отдельную HR-процедуру, а как на юридически значимый процесс с несколькими стадиями. Сначала определяется цель обработки данных по каждой вакансии и по каждому каналу поступления резюме. Затем проверяется, какие сведения действительно нужны для оценки деловых качеств кандидата. После этого выстраивается документальная часть: уведомление, форма анкеты, согласие соискателя на обработку там, где оно требуется, порядок доступа к информации и механизм удаления данных.

На практике хорошо работают несколько принципов, которые помогают удержать систему в правовом поле:

• не собирать сведения, которые не связаны напрямую с решением вопроса о трудоустройстве;

• разделять обработку для текущей вакансии и включение кандидата в кадровый резерв;

• устанавливать понятный срок хранения резюме и реально соблюдать его, а не оставлять формальной нормой;

• фиксировать, кто внутри компании имеет доступ к данным и на каком основании;

• контролировать подрядчиков, которым передаются персональные данные соискателей.

Когда в компании уже возник спор, важна не только профилактика, но и правильная реакция. Нужно оценить содержание жалобы, фактический маршрут движения данных, наличие согласий, переписку с кандидатом, тексты отказов и внутренние комментарии HR-службы. Иногда основной риск связан не с самим сбором сведений, а с неудачной формулировкой ответа кандидату. Иногда, наоборот, именно хранение резюме кандидатов после закрытия вакансии становится слабым местом, которое тянет за собой весь конфликт.

Юридическая работа в таких вопросах редко сводится к одному документу. Она включает анализ бизнес-процесса, корректировку локальных актов, подготовку форм для сайта и рекрутеров, оценку договоров с подрядчиками, сопровождение проверок и споров. Если ситуация уже дошла до конфликта с бывшим кандидатом или регулятором, значение имеют доказательства того, как именно компания использовала персональные данные соискателей, по какой цели, в течение какого периода и кто имел к ним доступ.

Для работодателя разумный подход состоит не в том, чтобы собирать максимум информации о человеке, а в том, чтобы собирать только необходимое и уметь объяснить каждое действие с точки зрения закона. Тогда и отказ кандидату и персональные данные, и срок хранения резюме, и вопрос о том, было ли получено надлежащее согласие соискателя на обработку, перестают быть источником неопределенности. Они становятся частью управляемой процедуры, которую можно защитить документально и правово.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.