Рекомендации для рекрутера: все об обработке персональных данных в 2026 году

Как только компания получает резюме соискателя, она обязана обеспечивать корректную обработку персональных данных кандидата. За защиту этой информации организация отвечает на протяжении всего сотрудничества со специалистом и после его увольнения.

С 2025 года правила работы с данными изменились, а штрафы за их нарушение ужесточились. В этой статье мы расскажем, как организовать сбор, хранение и использование личных сведений в соответствии с законом с помощью КЭДО.

Какие данные считают персональными

Персональные данные (ПДн) — это любая информация, которая позволяет идентифицировать личность. 

Условно их делят на несколько групп:

• Базовые — имя, фамилия, отчество, дата и место рождения, телефон, электронная почта, адреса проживания и регистрации.
• Специальные — национальная принадлежность, религиозные взгляды, состояние здоровья, наличие имущества и судимостей, геолокация и другие сведения.
• Биометрические — фотографии, видео, голосовые записи, отпечатки пальцев, рисунок сетчатки и прочие физические характеристики.
• Иные — паспортные данные, ИНН, СНИЛС, сведения о местах учебы и работы, уровень дохода и семейное положение.

Представим, что соискатель откликается на вакансию и присылает резюме. В нем указаны имя, фамилия, контакты, сведения о дипломе, опыте работы и профессиональных достижениях. Также прикреплена фотография. Все это — персональные данные кандидата, за безопасность которых отвечает работодатель.

Кто попадает под действие закона о персональных данных

Все, кто взаимодействует с личной информацией сотрудников, должны соблюдать требования 152-ФЗ — это касается как юридических, так и физических лиц. К ним относятся и кадровые специалисты, которые обрабатывают:

• анкеты, резюме, портфолио и другие персональные данные кандидатов на работу;
• личные дела нынешних и бывших сотрудников;
• сведения о детях, супругах и других членах семьи работников, необходимые, например, при оформлении налоговых вычетов и проверке службой безопасности.

Закон распространяется на все организации, независимо от размера бизнеса. Крупные корпорации обязаны соблюдать его, так как регулярно нанимают сотрудников и обрабатывают их данные. Такие же требования действуют для индивидуальных предпринимателей и самозанятых. Например, если они собирают сведения подрядчиков для оформления закрывающих документов и проведения оплаты.

О чем компания обязана уведомить Роскомнадзор в 2026 году

Согласно ст. 22 152-ФЗ, работодатель должен информировать Роскомнадзор в следующих случаях:

• Начало обработки информации. Даже если в компании работает только один сотрудник, работодатель обязан отправить уведомление, так как для заключения трудового договора собираются персональные данные. После проверки организация включается в реестр операторов ПДн.

Если сведения хранятся исключительно на бумаге, постановка на учет не требуется. Однако на практике договоры чаще всего оформляются в электронном виде и загружаются в компьютерные системы. 

Многие компании автоматизируют процесс найма с помощью КЭДО, например, через систему Start Link. Она позволяет запрашивать и подписывать документы онлайн и обрабатывать персональные данные строго в соответствии с законом.

• Изменения в работе с персональными сведениями. Например, если компания стала собирать больше данных, сменила систему КЭДО или расширила круг сотрудников с доступом к личной информации.
• Инциденты с чувствительными сведениями. При утечке или любом другом происшествии с ПДн необходимо уведомить о случившемся Роскомнадзор в течение 24 часов. Еще 72 часа дается на проведение внутреннего расследования и предоставление подробного отчета.

Самый простой способ подать заявление в Роскомнадзор — через официальный сайт или «Госуслуги». Также документы можно направить заказным письмом или передать лично.

Как работодателю организовать работу с персональными данными

Прежде чем собирать персональные данные, компания должна оформить локальные нормативные акты, которые регламентируют эти процессы.

Политика об обработке ПДн. Описывает принципы работы с персональными данными. В ней указывают, какие сведения собираются, с какой целью, как обеспечивается их безопасность и кто может их просматривать. 

Документ должен быть доступен всем сотрудникам. Например, размещен на корпоративном портале, чтобы каждый мог с ним ознакомиться.

Положение о персональных данных. Конкретизирует внутренние правила: порядок сбора, хранения, передачи и удаления информации. В нем прописывают обязанности сотрудников, меры защиты сведений и алгоритмы действий при инцидентах. 

Приказ о назначении ответственного. Фиксирует, кто в организации отвечает за соблюдение правил и контроль обработки данных. Часто эту роль берет на себя руководитель HR-отдела или службы безопасности.

Форма согласия на обработку персональных данных. Подтверждает, что сотрудник разрешает компании собирать и использовать его личные сведения. Без него организация не имеет права работать с ПДн (ст. 6 152-ФЗ). С 2025 года оформляется отдельным документом и не может включаться, например, в трудовой договор.

Помимо базовых документов, для спокойствия при проверках стоит подготовить дополнительные ЛНА. Среди них:

• обязательство о неразглашении чувствительных сведений;
• приказ об утверждении мест хранения данных;
• согласованный перечень сотрудников, имеющих доступ к информации;
• журнал учета передачи и удаления персональных данных;
• форма акта об уничтожении ПДн и другие бумаги.

Подробный гайд по безопасному наймуУзнайте, как убедиться в благонадежности кандидата, наладить взаимодействие с ИБ и нанимать сотрудников без рисков для компании Забрать гайд

Как вести обработку данных в разных форматах

Персональные данные могут храниться как в бумажном, так и в электронном виде. С каждым форматом связаны свои меры безопасности, которые необходимо соблюдать.

Бумажный. Такие документы нельзя хранить в общем доступе, например, на рабочем столе. Их место — в запираемых шкафах или сейфах, ключи к которым есть только у уполномоченных сотрудников. Для уничтожения документов нужно использовать шредер. Если выбросить их в мусорку, это нарушение закона. 

Электронный. Информация хранится в HRM-системе, в облаке или на сервере компании. Доступ распределяется по ролям: каждый сотрудник видит только те сведения, которые необходимы для работы. Для защиты применяются пароли и двухфакторная аутентификация. Для передачи данных используют защищенные каналы связи — распространение сведений по обычной почте запрещено.

С 2025 года электронные персональные данные должны храниться на серверах, расположенных в России (ст. 18 152-ФЗ). При этом важно защитить их от несанкционированного доступа. Если вы используете HRlink для кадрового документооборота, все данные хранятся на защищенных российских серверах «Селектел». Чувствительная информация шифруется, а передача данных осуществляется по криптографическому протоколу.

Как правильно обрабатывать персональные данные

Чтобы избежать санкций контролирующих органов, важно выстроить работу с ПДн по правилам, установленным 152-ФЗ. Ниже — ключевые правовые рекомендации.

Определите цель сбора информации. Например, подбор кандидата, оформление трудового договора или начисление заработной платы. Размытые формулировки вроде «для внутренних нужд компании» считаются нарушением.

Составьте перечень необходимых сведений. Их объем должен соответствовать цели обработки. Если данные не влияют на выполнение конкретной задачи, запрашивать их неправомерно. Например, для оценки кандидата при найме достаточно контактов, информации о навыках и опыте работы — сведения о семье или состоянии здоровья на этом этапе избыточны.

Используйте данные только по заявленному назначению. Информация, полученная для одной задачи, не может применяться для другой. Например, контакты кандидата нельзя использовать для рекламных рассылок.

Не храните сведения дольше, чем требуется. Когда цель обработки данных достигнута, их необходимо удалить или обезличить. Например, если информация собиралась для рассмотрения возможности трудоустройства, ПДн следует уничтожить в течение 30 дней после принятия решения по кандидату.

Если соискатель прислал документы 5 марта и получил отказ 15 марта, рекрутер должен удалить данные не позднее 14 апреля. Сохранять их на будущее, например, добавлять резюме в папку «Кадровый резерв», тоже нельзя — для этого требуется отдельное согласие кандидата.

Фиксируйте удаление данных документально. Для этого составляется специальный акт. В нем указывают перечень сведений, дату и способ их уничтожения. Если найм организован через Start Link, сервис автоматически вносит информацию в реестр актов уничтожения ПДн. Это исключает риск того, что HR забудет подготовить документ.

Пример акта об уничтожении ПДн в Start Link

Сбор и обработка персональных данных кандидатов при приеме на работу

Процесс трудоустройства нового сотрудника начинается с заключения трудового договора. Для этого требуется определенный пакет документов. Его состав закрепляет ст. 65 ТК РФ:

• паспорт;
• трудовая книжка;
• СНИЛС;
• документы об образовании;
• документы воинского учета;
• справка о состоянии здоровья;
• справка о несудимости.

Если работодателю нужны дополнительные сведения о кандидате, необходимо это обосновать и получить согласие соискателя на предоставление таких данных. Например, для некоторых должностей может потребоваться информация о водительских правах.

Оформление зарплатной карты и персональные данные работника

Для начисления зарплаты работодателю необходимы банковские реквизиты сотрудника. Чтобы автоматизировать процесс выплаты, многие компании оформляют зарплатные карты. В этом случае организация предоставляет банку личные сведения работника — на их передачу требуется письменное согласие. В документе должно быть ясно указано, какие данные передаются, куда и с какой целью.

Персональные данные для пропуска

Для входа в офис многие компании используют пропуска с фотографиями сотрудников. Они относятся к биометрическим данным. Если работодатель планирует собирать такие сведения, он должен заранее прописать это в согласии на обработку ПДн.

Если за пропускную систему отвечает частная охранная организация, в согласии также необходимо зафиксировать факт передачи данных этой компании.

Что делать, если сотрудник сменил фамилию

Иногда у сотрудников меняются персональные данные. Например, женщина может взять новую фамилию при замужестве, а при разводе вернуть девичью. В таких случаях кадровому специалисту нужно сделать следующее:

1. Получить от сотрудника заявление о замене данных и подтверждающие документы. Например, свидетельство о заключении или расторжении брака.
2. Издать приказ о внесении изменений в персональные данные. В документе указывают, где именно будет исправлена информация: в трудовой книжке, личной карточке, зарплатных ведомостях, КЭДО, «1С» и других системах.
3. Заключить дополнительное соглашение к трудовому договору.
4. Уведомить СФР, если сотрудник этого не сделал самостоятельно.
5. Сообщить об изменениях сторонним организациям, работающим с данными сотрудника. Например, страховой компании, которая предоставляет ДМС.

Если цель обработки не изменилась, повторно получать согласие на обработку обновленной информации не нужно.

Что делать с персональными данными уволенных сотрудников

После расторжения трудового договора с сотрудником организация сохраняет ответственность за обработку его персональных данных. 

Большинство сведений подлежат уничтожению. Речь идет, например, о копиях паспорта, СНИЛС, диплома, анкетах, резюме и других документах. С момента подписания приказа об увольнении у работодателя есть 30 дней, чтобы их удалить.

Но есть бумаги, которые продолжают храниться в компании и после прекращения сотрудничества со специалистом. Например:

• Личные карточки хранятся 50 лет, если заведены после 1 января 2003 года, и 75 лет, если до этой даты. Аналогичные сроки действуют для трудовых договоров (Приказ Росархива от 20.12.2019 № 236).
• Бухгалтерские и другие документы, необходимые для расчета и уплаты налогов, нельзя удалять в течение 5 лет (ст. 23 НК РФ).

Кадровый и бухгалтерский учет на аутсорсе и персональные данные

Если в компании нет кадрового отдела или штатного бухгалтера, их функции можно передать на аутсорсинг. При этом работодатель по-прежнему остается оператором персональных данных и отвечает за их безопасность перед работниками и контролирующими органами.

Сотрудников необходимо уведомить о том, что их персональные данные обрабатывает не только работодатель, но и внешняя организация.

Штрафы за нарушения 152-ФЗ

Роскомнадзор вправе привлекать компании к финансовой ответственности, если в результате проверок обнаруживается, что данные обрабатываются с нарушениями. Рассмотрим возможные последствия, предусмотренные ст. 13.11 КоАП РФ.

Вид нарушения	Размер штрафа
	Для физлица	Для должностного лица	Для ИП	Для юрлица
Не подано уведомление в Роскомнадзор о начале обработки ПДн	5000–10 000 ₽	30 000–50 000 ₽	100 000–300 000 ₽	100 000–300 000 ₽
Не опубликована политика обработки персональных данных	1500–3000 ₽	6000–12 000 ₽	10 000–20 000 ₽	30 000–60 000 ₽
Обработка персональных данных без письменного согласия	10 000–15 000 ₽	100 000–300 000 ₽	300 000–700 000 ₽	300 000–700 000 ₽
Избыточная обработка персональных данных	10 000–15 000 ₽	50 000–100 000 ₽	150 000–300 000 ₽	150 000–300 000 ₽
Утечка ПДн (1000–10 000 субъектов)	100 000–200 000 ₽	200 000–400 000 ₽	3–5 млн ₽	3–5 млн ₽
Утечка ПДн (10 000–100 000 субъектов)	200 000–300 000 ₽	300 000–500 000 ₽	5–10 млн ₽	5–10 млн ₽
Утечка ПДн (более 100 000 субъектов)	300 000–400 000 ₽	400 000–600 000 ₽	10–15 млн ₽	10–15 млн ₽
Утечка биометрии	400 000–500 000 ₽	1,3–1,5 млн ₽	15–20 млн ₽	15–20 млн ₽
Не подано уведомление в Роскомнадзор об утечке персональных данных	50 000–100 000 ₽	400 000–800 000 ₽	1–3 млн ₽	1–3 млн ₽

При повторных нарушениях применяются оборотные штрафы. Их сумма составляет до 3% годового дохода компании, но не менее 20 млн рублей. Верхний предел — 500 млн рублей.

За утечку ПДн возможна и уголовная ответственность — до 10 лет лишения свободы (ст. 272 УК РФ).

Работа с персональными данными кандидатов без бумаг 

В процессе подбора персонала кадровый специалист сталкивается с большим объемом личных данных кандидатов. Чаще всего они поступают по электронной почте или через мессенджеры. Управлять такими разрозненными файлами неудобно: повышается вероятность ошибок и риск утечки информации.

Повысить безопасность найма и снизить нагрузку на HR-службу помогает ведение кадрового документооборота в электронном формате. Рассмотрим преимущества КЭДО на примере сервиса Start Link.

Сначала кадровый специалист заводит в системе карточку кандидата и отправляет соискателю приглашение подключиться к системе. Затем — запрашивает документы, необходимые для трудоустройства. Чтобы каждый раз не собирать пакет вручную, для каждой должности можно заранее настроить шаблон запроса.

HR также направляет кандидату согласие на обработку персональных данных. Соискатель подписывает его ПЭП — с помощью кода из СМС.

Кандидат сможет добавить документы в систему только при наличии согласия. Пока оно не подписано, платформа блокирует загрузку файлов.

Если соискатель предоставит согласие позже, например, на бумаге, кадровый специалист сможет вручную отметить это в карточке кандидата. Пока HR не подтвердит наличие документа, ПДн не будут отображаться в системе.

Если цель обработки данных достигнута, кандидат удаляется из Start Link. Например, если он получил отказ. Вместе с карточкой уничтожаются все связанные с ней файлы.

В системе автоматически формируется акт об уничтожении ПДн. Его можно скачать из архива в любой момент.

Как нанять сотрудника и не получить штрафЗаберите гайд, который поможет правильно организовать работу с персональными данными кандидатовПолучить

Что делать, если только собираетесь нанять первого сотрудника

Делимся чек-листом для тех, кто готовится к найму сотрудников и хочет правильно организовать работу с их персональными данными:

• определить способ взаимодействия с информацией — вручную на бумаге или с помощью цифровых сервисов;
• подать в Роскомнадзор уведомление, если обработка данных будет происходить в электронном формате;
• назначить ответственного за работу с ПДн и оформить соответствующий приказ;
• подготовить внутренние документы: политику и положение об обработке данных, форму согласия кандидата и другие ЛНА;
• организовать безопасное хранение данных — в сейфе или в защищенной электронной системе.

Сделайте работу кадрового специалиста проще с продуктами HRlink Как сократить количество ручных операций и оформлять новых сотрудников в пару кликов, рассказали в гайде Читать