Как обрабатывать персональные данные соискателей по 152-ФЗ

Резюме, анкеты и записи собеседований тоже персональные данные. Разбираем, когда на их обработку нужно согласие соискателя, сколько хранить резюме отказанных кандидатов и что грозит компании, если это не оформлено.

HR-отдел получает резюме, анкеты и записи собеседований каждый день. Юристы редко проверяют этот поток. Кажется, раз кандидат сам прислал данные, специального оформления не нужно. По 152-ФЗ это не так. Компания становится оператором персональных данных с момента, когда сохраняет резюме на диск или в CRM, и обязана соблюдать те же правила, что и для клиентской базы.

Какие данные соискателя защищает закон

Персональными данными считается всё, что относится к конкретному человеку. У кандидата это следующие сведения.

• ФИО, контакты, дата рождения, сведения об образовании и опыте работы из резюме.
• Паспортные данные и СНИЛС, если компания запрашивает копии документов до трудоустройства.
• Фотография в анкете или резюме.
• Результаты тестов, заключения по итогам собеседования, оценки руководителя.
• В отдельных случаях сведения о здоровье, если должность требует медосмотра, или национальность и религия, если кандидат упомянул это сам.

Последняя группа относится к специальной категории персональных данных. Для неё закон требует отдельного письменного согласия и особой осторожности при хранении.

Когда обработку резюме можно вести без отдельного согласия

Статья 6 152-ФЗ разрешает обрабатывать персональные данные без согласия, если это нужно для заключения договора по инициативе самого субъекта данных. Кандидат, который присылает резюме на вакансию, действует по своей инициативе, поэтому первичное рассмотрение резюме обычно укладывается в это исключение. Компания вправе изучить документ, связаться с кандидатом и провести собеседование без отдельной подписи под согласием.

Но исключение работает только на этапе принятия решения по конкретной вакансии. Как только компания выходит за эти рамки, ей нужны отдельные основания.

Когда без согласия не обойтись

• Компания хочет хранить резюме дольше срока, нужного для решения по вакансии, например в кадровом резерве.
• Данные передаются подрядчику. Это кадровое агентство, сервис тестирования или платформа видеособеседований.
• Компания работает со специальной категорией данных, например здоровьем, национальностью, судимостью.
• Резюме или фото кандидата публикуют на сайте компании или в соцсетях.

Во всех этих случаях нужно письменное согласие с конкретной формулировкой цели, а не общая фраза «даю согласие на обработку персональных данных».

Что должно быть в согласии соискателя

Форма согласия работает, если в ней есть перечисленные ниже элементы.

• Точная цель обработки. Это подбор на конкретную вакансию, включение в кадровый резерв или направление резюме партнёрам.
• Перечень данных, которые компания собирает и хранит.
• Срок хранения или условие, при котором данные удалят.
• Право отозвать согласие и порядок, как это сделать.

Проверка компании в реестре операторов РКН

Что делать с резюме после отказа

Если компания отказала кандидату, у неё нет оснований хранить резюме бессрочно. Есть два рабочих варианта. Первый — удалить данные после завершения отбора. Второй — заранее получить у кандидата отдельное согласие на хранение резюме для будущих вакансий с указанием срока. Второй вариант подойдёт компаниям, которые часто набирают похожие позиции и хотят держать кадровый резерв.

Видеособеседования и тесты как особый случай

Запись собеседования по видеосвязи тоже персональные данные, если её сохраняют. Кандидата стоит предупредить заранее и указать, сколько запись будет храниться. То же касается результатов психологических и профессиональных тестов. Если тест затрагивает состояние здоровья, оформляйте его как работу со специальной категорией данных.

Короткий план для HR-отдела

1. Подготовить форму согласия для соискателей с чёткой целью и сроком хранения.
2. Определить, сколько компания хранит резюме отказанных кандидатов, и закрепить это в локальном акте.
3. Проверить, стоит ли компания в реестре операторов персональных данных.
4. Прописать в договорах с кадровыми агентствами и сервисами тестирования, кто отвечает за данные кандидатов.
5. Научить рекрутеров не запрашивать данные, которые не нужны для конкретной вакансии.

Чек-лист готовности к проверке Роскомнадзора

Частые вопросы

Нужно ли согласие, если кандидат сам прислал резюме на почту компании?

Для первичного рассмотрения резюме и собеседования по конкретной вакансии отдельное согласие не обязательно. Работает исключение для преддоговорных отношений по инициативе кандидата. Но как только компания хочет хранить резюме дольше или передать его третьей стороне, нужно отдельное согласие.

Можно ли хранить резюме отказанных кандидатов для будущих вакансий?

Да, но только с отдельным согласием кандидата, где указана эта цель и срок хранения. Без такого согласия резюме нужно удалить после завершения отбора на вакансию.

Нужно ли согласие на запись видеособеседования?

Да. Кандидата предупреждают о записи заранее, а саму запись хранят с той же осторожностью, что и остальные персональные данные, с определённым сроком хранения.

Что грозит компании, если согласие не оформлено?

Жалоба кандидата в Роскомнадзор может привести к проверке и штрафу по статье 13.11 КоАП РФ. Конкретный размер зависит от состава нарушения и повторности, поэтому суммы стоит уточнять на момент проверки, а не ориентироваться на прошлые кейсы.

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд