Что делать с персональными данными кандидатов при блокировке зарубежных HR-сервисов

HR-отдел годами собирал резюме кандидатов через зарубежный сервис, а теперь он заблокирован или ушёл из России. Разбираем, что делать с уже собранными персональными данными — куда перенести базу, нужно ли новое согласие и когда передача за рубеж считается трансграничной по 152-ФЗ.

HR-отдел годами искал кандидатов через зарубежный сервис: размещал вакансии, скачивал резюме, вёл переписку с соискателями прямо в его интерфейсе. Потом сервис заблокировали или он сам ушёл из России. Доступ закрыт, а база кандидатов — сотни анкет с телефонами, адресами, историей работы — осталась на серверах компании, которая эту платформу вела. Дальше два вопроса: что случилось с этими данными и что теперь обязан сделать работодатель по 152-ФЗ.

Кто отвечает за данные, а не платформа

Работодатель — оператор персональных данных кандидатов независимо от того, где физически стоял сервер и кому принадлежал сайт для поиска персонала. Компания сама решала, зачем собирать резюме, сама их использовала для найма — значит, сама отвечает перед Роскомнадзором за законность сбора, хранения и передачи этих данных. Блокировка платформы обязанности оператора не снимает.

Это касается любых источников: зарубежных job-бордов, ATS-систем с серверами за пределами России, страниц в соцсетях, где HR собирал отклики. Если компания получала персональные данные соискателей через такой канал, она обязана соблюдать 152-ФЗ так же, как при работе с собственной формой на сайте.

Что говорит закон о хранении данных россиян

Часть 5 статьи 18 152-ФЗ требует: запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан России нужно вести с использованием баз данных, которые физически находятся на территории России. Это требование локализации касается основной обработки, а не разовых технических операций.

Если зарубежный сервис хранил анкеты кандидатов на своих серверах за рубежом, а компания только скачивала резюме и вела переговоры через его интерфейс, локализацию нарушал сам сервис, а не работодатель. Но после блокировки эта разница перестаёт иметь значение: у компании на руках база, собранная через иностранный ресурс, и её нужно привести в порядок.

Что сделать с уже собранными анкетами

Проверьте четыре вещи.

• Где физически лежат данные сейчас. Если резюме до сих пор доступны только в личном кабинете на зарубежной платформе, а не выгружены в вашу CRM или таблицу на российском сервере — это и есть нарушение локализации. Выгрузите данные в систему, которая физически размещена в России.
• Есть ли согласие на обработку. Резюме, присланное через форму отклика на вакансию, само по себе не заменяет согласие на обработку персональных данных по статье 9 152-ФЗ. Если у вас нет отдельного согласия или размещённой политики обработки, которую кандидат принял при отклике, оформите согласие сейчас — для тех, чьи данные вы продолжаете хранить и использовать.
• Нужна ли трансграничная передача. Если вы продолжаете пользоваться зарубежным сервисом параллельно с российскими каналами и передаёте туда данные кандидатов, это трансграничная передача персональных данных по статье 12 152-ФЗ. Она разрешена, но требует убедиться, что страна получателя обеспечивает адекватную защиту прав субъектов, либо получить отдельное согласие кандидата именно на такую передачу.
• Что делать с данными, которые больше не нужны. Резюме кандидатов, которые не прошли отбор и не дали согласия на хранение базы «на будущее», подлежат уничтожению по истечении цели обработки. Держать архив «на всякий случай» без согласия — отдельное основание для штрафа.

Как выстроить процесс на будущее

Не привязывайте наём к одному зарубежному каналу без резервного варианта. Заведите основную базу кандидатов в CRM или таск-трекере на российском хостинге, а зарубежные сервисы используйте только как источник первичного контакта, откуда данные сразу переносятся в основную систему. Пропишите это в положении об обработке персональных данных и в согласии, которое подписывает кандидат: где хранится база, кто к ней имеет доступ, сколько она хранится после отказа или найма.

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Отдельно проверьте договоры с рекрутинговыми агентствами и сервисами автоматизации найма — если они передают резюме через зарубежные интеграции, в договоре должно быть условие о локализации и трансграничной передаче, иначе ответственность за нарушение ляжет на вас как на оператора.

Авто-аудит сайта — проверка на нарушения 152-ФЗ

Частые вопросы

Платформа для поиска персонала заблокирована в России. Значит ли это, что мы нарушили 152-ФЗ?

Само по себе нет. Нарушение возникает, если основная база резюме российских кандидатов хранилась только на зарубежных серверах или если вы продолжаете передавать туда данные без согласия и без проверки адекватности защиты в стране получателя.

Нужно ли получать новое согласие у кандидатов, чьи резюме мы уже скачали?

Если резюме получено без отдельного согласия на обработку и вы храните его дольше срока подбора на конкретную вакансию, оформите согласие сейчас или удалите анкету, если кандидат не прошёл отбор.

Можно ли пользоваться зарубежным сервисом, если он всё ещё доступен, просто с перебоями?

Можно, но передача данных туда — трансграничная передача по статье 12 152-ФЗ. Убедитесь, что страна получателя входит в перечень стран с адекватной защитой персональных данных, либо получите согласие кандидата именно на трансграничную передачу.

Что делать с резюме кандидатов, которых не взяли на работу?

Уничтожьте их после того, как цель обработки — подбор на конкретную позицию — достигнута, если только кандидат отдельно не согласился на хранение резюме в кадровом резерве.