Резюме как персональные данные: правовой статус и защита

Для кого эта статья:

• HR-специалисты и рекрутеры
• Руководители компаний и отделов кадров

• Юристы и специалисты по защите персональных данных

  Каждое резюме — это набор персональных данных, охраняемых законом. Однако далеко не все HR-специалисты и работодатели осознают, что обычная рассылка резюме по корпоративной почте или длительное хранение CV отклоненных кандидатов может повлечь штрафы до 500 000 рублей. По данным Роскомнадзора, в 2024 году количество проверок компаний на соответствие требованиям закона "О персональных данных" увеличилось на 37%. Как правильно собирать, хранить и обрабатывать резюме, не нарушая права кандидатов и не подвергая компанию рискам? ??

Хотите избежать юридических рисков при работе с резюме? На Курсе «HR-менеджер» с нуля от Skypro вы изучите правовые аспекты обработки персональных данных соискателей. Эксперты-практики научат вас выстраивать систему рекрутмента, соответствующую всем требованиям законодательства. Вы получите готовые шаблоны документов и алгоритмы действий, которые защитят вашу компанию от штрафов и претензий.

Резюме как персональные данные: правовой статус

Резюме соискателя — это концентрированный источник персональных данных. Согласно Федеральному закону №152-ФЗ "О персональных данных", персональными данными считается любая информация, относящаяся прямо или косвенно к определенному физическому лицу. Типичное резюме содержит до 15-20 категорий таких данных, начиная от ФИО и заканчивая сведениями об образовании и трудовом опыте.

В правовом поле резюме имеет двойственный статус:

• С одной стороны, это документ, добровольно предоставляемый кандидатом для оценки его профессиональной пригодности
• С другой — это массив персональных данных, требующий защиты и корректной обработки в соответствии с законодательством

Важно понимать, что даже если резюме получено через публичные источники (например, сайты поиска работы), это не отменяет необходимости соблюдать требования закона при его обработке. ??

Елена Краснова, руководитель отдела рекрутинга

В 2023 году наша компания получила предписание от Роскомнадзора после жалобы отклонённого кандидата. Мы хранили резюме в открытом доступе на корпоративном диске более трёх лет без надлежащего согласия. Штраф составил 75 000 рублей, но главное — мы полностью пересмотрели процессы обращения с персональными данными. Внедрили автоматическое уведомление соискателей о сроках хранения их данных и разработали форму согласия. Теперь резюме отклонённых кандидатов автоматически удаляются через 30 дней, если нет специального согласия на длительное хранение. Эта история научила нас относиться к резюме не просто как к рабочему материалу, а как к юридически значимому документу, содержащему защищаемые законом данные.

Юридическая квалификация информации в резюме

Не вся информация в резюме имеет одинаковый правовой статус. Закон различает несколько категорий персональных данных, каждая из которых требует особого подхода при обработке. ??

• Общие персональные данные — ФИО, контактная информация, образование, опыт работы. Для их обработки достаточно общего согласия.
• Биометрические персональные данные — фотография кандидата в резюме юридически считается биометрическими данными, поскольку позволяет идентифицировать личность. Требуется отдельное письменное согласие.
• Специальные категории данных — сведения о здоровье, национальности, политических взглядах, если они указаны в резюме. Их обработка требует особого порядка и строгого обоснования.

Особое внимание следует уделить информации, которую кандидат сам указал в резюме, но она не является необходимой для оценки его профессиональной пригодности. Например, семейное положение, наличие детей, национальность. Даже если эти сведения добровольно раскрыты кандидатом, работодатель должен обрабатывать их с особой осторожностью.

Существует правовая коллизия: с одной стороны, закон запрещает дискриминацию при приеме на работу по признакам, не связанным с деловыми качествами, с другой — многие кандидаты добровольно указывают эту информацию в резюме. HR-специалистам рекомендуется акцентировать внимание исключительно на профессиональных качествах и не учитывать при принятии решений "чувствительные" данные.

Обязанности работодателей при обработке резюме

При работе с резюме кандидатов работодатель становится оператором персональных данных со всеми вытекающими обязанностями. Законодательство возлагает на компании ряд обязательств, несоблюдение которых влечет административную ответственность. ??

• Определить цели обработки персональных данных (например, оценка профессиональных качеств кандидата)
• Получить согласие на обработку персональных данных до начала работы с резюме
• Обеспечить конфиденциальность и безопасность персональных данных
• Хранить резюме не дольше, чем того требуют цели обработки
• Назначить ответственное лицо за организацию обработки персональных данных
• Разработать локальные нормативные акты, определяющие политику обработки персональных данных

Один из ключевых вопросов — сроки хранения резюме. Разумным считается следующий подход:

Работодатель также обязан регулярно пересматривать необходимость хранения резюме. Если цель обработки достигнута (кандидат принят или отклонен), дальнейшее хранение резюме без согласия кандидата становится неправомерным.

Тест на профориентацию от Skypro поможет соискателям создать резюме, отражающее их истинные профессиональные качества и компетенции. Понимая свои сильные стороны, кандидаты могут сознательно выбирать, какие персональные данные включать в резюме, а какие оставить конфиденциальными. Компаниям это помогает получать более релевантные резюме, снижая риски неправомерной обработки избыточных персональных данных и сокращая время на отбор кандидатов.

Согласие кандидата: получение и документирование

Согласие на обработку персональных данных — краеугольный камень законной работы с резюме. Однако существует множество нюансов получения и документирования этого согласия. ??

Во-первых, согласие должно быть:

• Конкретным — указывать точные цели обработки данных
• Информированным — кандидат должен понимать, кто и как будет обрабатывать его данные
• Сознательным — получено без принуждения и манипуляций
• Однозначным — не допускать двойного толкования

Важно понимать, что сам факт отправки резюме на вакансию не является автоматическим согласием на любые действия с персональными данными. Согласие должно быть явно выраженным.

Способы получения согласия могут различаться в зависимости от способа получения резюме:

• При отклике через job-сайты: Корректное согласие обычно включено в пользовательское соглашение платформы, но его объем ограничен
• При прямой отправке резюме: Необходимо отправить кандидату форму согласия до начала обработки резюме
• При личной передаче: Подписать бумажную форму согласия
• При получении резюме от третьих лиц: Необходимо получить согласие непосредственно от кандидата до начала работы с его данными

Особое внимание следует уделить случаям, когда компания планирует:

• Передавать резюме третьим лицам (например, клиентам или партнерам)
• Хранить резюме для будущих вакансий после завершения текущего отбора
• Использовать автоматизированные системы оценки кандидатов
• Обрабатывать биометрические данные (фотографию) из резюме

Каждый из этих случаев требует отдельного пункта в согласии или даже отдельного документа. Грамотно составленное согласие — это не формальность, а реальный инструмент защиты как кандидата, так и работодателя. ???

Максим Соколов, корпоративный юрист

Однажды я консультировал IT-компанию, у которой возник конфликт с кандидатом. Человек обнаружил свое резюме в закрытой группе клиентов компании, куда оно было отправлено без его ведома. Компания считала, что имеет право так поступить, поскольку кандидат прислал резюме "для рассмотрения". В результате разбирательства Роскомнадзор признал действия компании нарушением, поскольку согласие на передачу данных третьим лицам не было получено. После этого случая мы разработали для компании многоступенчатую систему получения согласий: базовое согласие на рассмотрение кандидатуры и отдельные согласия на дополнительные действия с персональными данными. Каждое из них отправляется кандидату с четким разъяснением последствий. Такой подход позволил полностью исключить подобные ситуации в будущем.

Защита резюме от утечек и неправомерного использования

Утечка базы резюме может нанести серьезный репутационный и финансовый ущерб компании. Согласно статистике InfoWatch, в 2024 году утечки персональных данных соискателей составили 17% от всех инцидентов в сфере защиты информации. Защита резюме требует комплексного подхода, включающего организационные и технические меры. ??

Основные технические меры защиты:

• Шифрование баз данных с резюме
• Разграничение доступа к резюме по принципу минимальных привилегий
• Использование защищенных каналов передачи данных
• Автоматическое протоколирование действий с резюме
• Внедрение DLP-систем для предотвращения утечек
• Регулярное резервное копирование с контролем целостности

Организационные меры не менее важны:

• Регламентирование процессов работы с резюме
• Обучение сотрудников правилам обработки персональных данных
• Подписание соглашений о конфиденциальности
• Аудит и контроль соблюдения процедур
• Разработка плана реагирования на инциденты

Особое внимание следует уделить вопросу уничтожения резюме. Если данные хранятся на бумажных носителях, они должны уничтожаться способом, исключающим возможность восстановления. Для электронных документов недостаточно просто удалить файл — необходимо использовать специальные программы гарантированного удаления данных.

При использовании облачных сервисов для хранения резюме работодатель должен убедиться, что поставщик услуг обеспечивает достаточный уровень защиты и соответствует требованиям российского законодательства, включая локализацию баз данных на территории РФ.

Законодательство требует также уведомлять уполномоченные органы о фактах утечки персональных данных в течение 24 часов с момента обнаружения. Непредоставление такой информации влечет дополнительную административную ответственность.

Резюме — это не просто документ, а юридически значимый массив персональных данных, требующий системного подхода к защите и обработке. Правильная организация процессов работы с резюме — это не только соблюдение закона, но и проявление уважения к кандидатам, укрепление репутации компании как ответственного работодателя. В эпоху цифровизации рекрутмента именно грамотный баланс между эффективностью HR-процессов и соблюдением прав кандидатов на защиту их персональных данных становится конкурентным преимуществом компании на рынке труда.