Опрос вовлечённости и оценка 360 сотрудников тоже персональные данные

HR-отдел запускает «анонимный» опрос вовлечённости или оценку 360, не задумываясь, что оба процесса подпадают под 152-ФЗ. Разбираем, когда нужно согласие сотрудника, как обезличить результаты по-настоящему и что проверить у внешнего сервиса опросов.

HR-отдел запускает опрос вовлечённости через Google Forms и обещает сотрудникам, что ответы анонимны. Через месяц в компании стартует оценка 360. Коллеги оценивают друг друга по компетенциям, а система рассылает персональные ссылки, привязанные к табельному номеру. В обоих случаях компания уже обрабатывает персональные данные по 152-ФЗ, хотя в положении об опросе слова «персональные данные» может не быть вовсе.

Почему «анонимный» опрос остаётся персональными данными

152-ФЗ «О персональных данных» определяет персональные данные как любую информацию, которая относится к прямо или косвенно определённому физическому лицу (статья 3). Ключевое слово здесь «косвенно». Уберите из анкеты фамилию, но оставьте отдел, должность, пол и стаж работы, и в команде из семи человек ответ вычисляется за минуту.

Так работает большинство «анонимных» опросов вовлечённости. Имя убрали, а фильтры для аналитики оставили. HR-платформа показывает разбивку по отделам, и если в отделе продаж один менеджер со стажем больше пяти лет, его ответы видны всей компании даже без подписи.

Настоящее обезличивание означает, что данные нельзя связать с конкретным человеком без привлечения дополнительной информации. Для маленьких и средних команд такое обезличивание почти всегда требует агрегации. Показывайте результаты только по всей компании или по крупному подразделению. Разбивка по отделу из трёх человек снимает анонимность даже без имён.

Оценка 360 показывает данные и того, кто оценивает, и того, кого оценивают

В оценке 360 персональные данные возникают дважды. Сотрудник, которого оценивают, получает оценки и комментарии о своей работе. Это данные о нём. Сотрудник, который оставляет оценку, выражает мнение под своим именем или через привязанную к нему ссылку. Это уже его персональные данные как автора мнения.

Платформа обычно хранит связку «кто кого оценил» и «что написал». По закону это обычная обработка персональных данных двух разных людей одновременно. Внутренним управленческим процессом, на который 152-ФЗ не распространяется, оценка 360 не становится только потому, что происходит между коллегами.

Что делать HR

Сначала определите основание для обработки. Обработка персональных данных работника, нужная для трудовых отношений, не требует отдельного согласия. Эту обязанность работодателя описывает глава 14 Трудового кодекса. Но опрос вовлечённости и оценка 360 редко строго необходимы для исполнения трудового договора. Чаще это дополнительная HR-практика, и для неё безопаснее получить письменное согласие на обработку персональных данных по статье 9 152-ФЗ отдельно от согласия на кадровый документооборот.

Дальше ограничьте доступ к сырым ответам. Результаты опроса и оценки 360 должны видеть HR-специалист и, при необходимости, непосредственный руководитель. Остальным сотрудникам показывайте агрегированные данные, по которым нельзя вычислить конкретного человека.

Установите срок хранения. Ответы на опрос вовлечённости не должны годами лежать в системе на всякий случай. Определите срок и удаляйте данные по истечении.

Проверьте подрядчика. Если опрос запускаете через внешний сервис, например Google Forms, Typeform или специализированную HR-платформу, заключите с ним договор поручения на обработку персональных данных и выясните, где физически хранятся данные. Сервис с серверами за рубежом добавляет вопрос трансграничной передачи.

Прежде чем запускать систему, оцените уровень защищённости информационной системы, где хранятся результаты опросов и оценок.

Калькулятор уровня защищённости (УЗ)

Если раньше опросы вовлечённости и оценки 360 в компании никак не оформлялись как обработка персональных данных, начните с проверки текущего процесса.

Пошаговый гайд «Как подать уведомление в Роскомнадзор» — что вписать в каждое поле формы, с примерами под вашу сферу, 990 ₽. Открыть гайд

Частые вопросы

Можно ли назвать опрос анонимным, если в нём нет поля с именем?

Нет, если по остальным ответам, отделу, должности, стажу, человека всё равно можно вычислить. Анонимность определяется невозможностью идентификации, а не отсутствием одного конкретного поля.

Нужно ли отдельное согласие на оценку 360, если сотрудник уже подписал согласие при трудоустройстве?

Обычно да. Согласие при приёме на работу покрывает кадровый документооборот. Участие в оценке 360 и опросах вовлечённости считается отдельной целью обработки, и под неё нужно собрать отдельное согласие.

Кто отвечает, если данные опроса случайно попадут не к тому сотруднику?

Компания как оператор персональных данных. Утечка результатов оценки, например рассылка файла с оценками не той группе, подпадает под общие требования 152-ФЗ к безопасности данных и может потребовать уведомления Роскомнадзора.

Можно ли показывать сотруднику, кто оставил о нём отрицательный комментарий в оценке 360?

Здесь решает внутренняя политика компании, закон 152-ФЗ этот вопрос прямо не регулирует. Если платформа хранит привязку оценки к автору, эта информация тоже подлежит защите и не должна попадать к посторонним без установленной процедуры.