Закон о персональных данных: что изменилось для HR и рекрутеров с июня 2025 года
С 30 мая 2025 года в России вступили в силу поправки к Федеральному закону № 152-ФЗ «О персональных данных». Эти изменения затрагивают всех, кто работает с резюме, базами кандидатов и согласиями. В статье — простое объяснение нововведений и рекомендации, как избежать штрафов.
Что такое персональные данные
Персональные данные (ПДн) — это информация, позволяющая прямо или косвенно идентифицировать человека: ФИО, телефон, email, паспортные данные, дата рождения, фото, IP-адрес, действия на сайте и другое.
ПДн делятся на три категории:
- Общие: имя, контакты, адрес, место работы.
- Специальные: данные о здоровье, национальности, судимостях, политических взглядах.
- Биометрические: отпечатки пальцев, голос, сканирование лица.
В HR-сфере ПДн включают резюме, фото сотрудников на сайте компании, данные для пропусков или ДМС, результаты тестов с указанием ФИО.
Ключевые изменения и рекомендации
Утечка данных
С 30 мая 2025 года за утечку данных отвечает компания, а не отдельный рекрутер. Чтобы минимизировать риски:
- Не передавайте резюме напрямую и не делитесь доступом к рекрутинговым системам.
- Обеспечьте контроль доступа к базе данных.
Отдельное согласие на каждую цель обработки
ПДн можно обрабатывать только для заявленных целей. Например, если резюме получено для конкретной вакансии, использование его для кадрового резерва требует отдельного согласия.
Письменное согласие
Для большинства HR-процессов достаточно электронного согласия (по email или через рекрутинговую систему). Письменное согласие требуется для обработки чувствительных данных:
- Состояние здоровья.
- Биометрия.
- Сведения о судимостях.
Это актуально, например, для кандидатов на должности врачей, пилотов или сотрудников службы безопасности (ст. 9 152-ФЗ).
Когда удалять резюме кандидата
Удаление данных обязательно в случаях:
- Согласие не получено в течение 30 дней.
- Цель обработки достигнута (вакансия закрыта, кандидат не принят и не согласился на резерв).
- Истёк срок хранения, указанный в согласии (например, 2 года).
- Кандидат отозвал согласие.
Для удаления составляется акт об уничтожении (бумажный или электронный), который хранится 3 года. Использование резюме с джоб-сайтов регулируется их правилами.
Уведомление Роскомнадзора
Ранее отсутствие уведомления о начале обработки ПДн не влекло строгих санкций. Теперь это серьёзное нарушение. Проверьте, подано ли уведомление и актуальны ли данные вашей компании в реестре операторов ПДн.
Рекомендации для рекрутеров
- Хранение данных в РФ: Использование зарубежных сервисов (например, Google Таблиц или иностранных CRM) для ПДн рискованно, так как данные должны храниться в России.
- Прозрачность: По запросу кандидата предоставляйте информацию о хранении его данных.
- Удаление данных: При отзыве согласия немедленно удаляйте данные кандидата, иначе это считается нарушением.
Советы для HRD и руководителей подбора
- Проверьте наличие документов: политика обработки ПДн, актуальные согласия, регламенты информационной безопасности.
- Назначьте ответственного за работу с ПДн.
- Разработайте регламент действий при утечке данных.
- Ведите журнал запросов на удаление или изменение данных.
- Обновите формы согласий на обработку ПДн.
- Создайте реестр операций с ПДн.
- Убедитесь, что уведомление в Роскомнадзор обновлено после 2022 года.
Практические шаги
- Собирайте согласия у всех кандидатов, включая тех, чьи резюме получены с джоб-сайтов.
- Удаляйте данные при отзыве согласия.
- Избегайте сомнительных источников (чаты, закрытые базы). Запрашивайте ссылки на резюме с джоб-платформ и проверяйте их политику конфиденциальности.
- Не передавайте резюме коллегам или подрядчикам без согласия. Делитесь ссылками, а не файлами.
Итог
Поправки к 152-ФЗ усиливают контроль за обработкой ПДн, требуя чёткого соблюдения правил. Адаптация процессов и документов поможет избежать штрафов и обеспечить законную работу с данными кандидатов.
