Персональные данные кандидатов и резюме: порядок обработки при подборе
Резюме приходят на почту, с job-сайтов, от кадровых агентств и в мессенджеры, копятся в папках годами и пересылаются между сотрудниками. Для оператора это обычная обработка персональных данных со всеми обязанностями: основание, цель, срок хранения, защита и ответы на запросы. Ниже порядок для подбора персонала: что требуется от процесса, как поступать с источниками, сколько хранить и как не нарушить закон при ведении кадрового резерва.
Оговорка. Статья не юридическая консультация. Требования сверены по тексту статей 5, 9 (часть 8), 18 и 21 152-ФЗ в редакции с изменениями закона от 14.07.2022 № 266-ФЗ и последующими (база «Гарант»), а также статьи 86 ТК РФ; законы меняются, проверяйте действующую редакцию: 152-ФЗ. Конкретные сроки хранения резюме закон напрямую не определяет: срок вы устанавливаете сами и закрепляете в политике, согласовав с юристом.
Что считается обработкой данных кандидатов
Резюме, анкеты, сопроводительные письма, результаты тестов и интервью, записи собеседований, ответы рекрутеров с оценками — всё это персональные данные. Кандидат ещё не работник, но принципы те же: цель обработки заранее определена, объём данных соответствует цели, срок хранения ограничен (статья 5). Для подбора допустимая цель — рассмотрение кандидатуры на вакансию; данные, не нужные для этого (семейное положение, религия, данные о беременности и т. п.), собирать не следует.
Источники данных и что с ними делать
| Источник | Особенности |
|---|---|
| Кандидат прислал резюме сам (почта, форма на сайте, откликнулся на вакансию) | Данные получены от субъекта. Цель очевидна из отклика, но политика и информирование всё равно нужны; для формы на сайте: сайт и ПДн |
| Job-сайт, где кандидат опубликовал резюме для работодателей | Данные получены не от субъекта. Нужно основание обработки и информирование субъекта по части 3 статьи 18, если не применяются исключения части 4 |
| Кадровое агентство или рекрутер | Данные передаёт третья сторона. Часть 8 статьи 9: оператор может получить данные от лица, не являющегося субъектом, при условии подтверждения наличия оснований обработки. Запросите подтверждение, что агентство получило согласие кандидата на передачу |
| Социальные сети и открытые источники | Сам факт открытости не отменяет требований: нужна цель и основание, объём ограничен целью. Не собирайте досье «на всякий случай» |
| Рекомендации и проверки бывших работодателей | Для получения данных у третьих лиц работодателю нужно уведомить работника заранее и получить письменное согласие (статья 86 ТК РФ, пункт 3) и объяснить цели, источники и последствия отказа |
Информирование кандидата
Если данные получены не от кандидата, до начала их обработки оператор обязан сообщить ему (часть 3 статьи 18): наименование и адрес оператора, цель обработки и её правовое основание, перечень данных, предполагаемых пользователей данных, права субъекта и источник получения. Оператор освобождается от этой обязанности, например, если субъект уже уведомлён об обработке его данных этим оператором или если данные получены в связи с исполнением договора с субъектом (часть 4). Практически: в первом письме кандидату от рекрутера добавьте короткий блок «Откуда мы получили ваши данные и как их использовать», со ссылкой на политику.
Основание обработки и согласие
- Для рассмотрения кандидатуры основанием часто служат действия самого кандидата (направил отклик) и подготовка к заключению договора; согласие нужно в тех случаях, когда это требует закон: для передачи третьим лицам, хранения для будущих вакансий, получения данных из внешних источников, специальных категорий и т. д.
- Если вы хотите оставлять резюме в кадровом резерве после закрытия вакансии, получите отдельное согласие на эту цель и срок: формы и требования: согласие на обработку ПДн.
- Согласие не должно быть условием рассмотрения резюме, если обработка возможна без него.
- Не принимайте решения о кандидатах исключительно на основе автоматической обработки (скоринга) без участия человека: ПДн работников.
Срок хранения резюме
Принцип закона (статья 5, часть 7): хранение не дольше, чем требуют цели обработки; после достижения цели данные уничтожаются или обезличиваются. Для отказавшихся кандидатов цель достигнута, когда вакансия закрыта и решение принято. На практике организации выбирают срок по своим причинам (возможность спора, обжалование отказа) и записывают его в политике. Срок в 30 дней, предусмотренный частью 4 статьи 21 для уничтожения после достижения цели, применяется, если иное не установлено договором или законом: уничтожение ПДн. Если человека приняли на работу, данные переходят в кадровое дело и подчиняются правилам хранения кадровых документов.
| Ситуация | Рекомендуемое действие |
|---|---|
| Кандидат отклонён, согласия на резерв нет | Уничтожить резюме и переписку в срок после закрытия вакансии; зафиксировать в журнале |
| Кандидат дал согласие на кадровый резерв | Хранить до срока в согласии, предусмотреть отзыв и удаление по требованию |
| Кандидат принят | Данные переносятся в кадровую систему, лишние документы уничтожаются |
| Кандидат требует удалить данные | Рассмотреть в срок по правилам запросов: запросы субъектов |
Где обычно хранятся резюме и как их защитить
- Почтовые ящики рекрутеров и руководителей. Централизуйте приём в одном ящике или системе подбора, настройте автоматическое удаление или архив по сроку.
- Личные мессенджеры и облака. Запретите пересылку резюме в личные каналы: BYOD и мобильные устройства.
- Системы подбора (ATS) и сайты вакансий. Это обработка у подрядчика: нужен договор поручения и проверка места хранения: поручение обработки.
- Сетевые папки и вложения. Ограничьте доступ по ролям, ведите перечень лиц с допуском.
Типовые ошибки
| Что делают | Почему плохо и как правильно |
|---|---|
| Хранят все резюме «навсегда» | Нарушен принцип ограниченного хранения. Установите срок и автоматическое удаление |
| Пересылают резюме коллегам и руководителям по личной почте | Неконтролируемое распространение. Работайте в единой системе с правами доступа |
| Собирают лишнее (фото, семейное положение, паспорт на этапе отклика) | Избыточность данных. Запрашивайте на каждом этапе только необходимое |
| Копируют данные с job-сайтов в свою базу без информирования | Нет основания и уведомления субъекта. Оформите информирование и проверьте условия сайта |
| Нет порядка ответа на запросы кандидатов | Добавьте обращения кандидатов в общий журнал обращений |
Где это в моделях
Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Подбор персонала — типичный процесс, который должен быть в перечне процессов обработки ПДн и в уведомлении оператора: уведомление об обработке ПДн.
Как проверить
- Процесс подбора описан: цели, данные, источники, основания, пользователи данных, сроки.
- В отклике и первом контакте кандидату даётся информация по части 3 статьи 18, если данные получены не от него.
- Срок хранения резюме определён, автоматическое удаление или процедура уничтожения работает, согласие на кадровый резерв оформляется отдельно.
- Данные кандидатов хранятся в защищённых системах, доступ ограничен, подрядчики по подбору охвачены договорами.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 5, 9, 18, 21: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
- Трудовой кодекс Российской Федерации, статья 86: КонсультантПлюс.
- Размеры штрафов: штрафы за нарушения с ПДн.
