Персональные данные сотрудников: насколько безопасны ваши кадровые процессы

С 2025 года законы о персональных данных (ПДн) стали строже, и компаниям нужно внимательнее контролировать сбор, хранение и использование информации о сотрудниках. Нарушения теперь грозят более серьезными последствиями — штрафы по ст. 13.11 КоАП РФ могут достигать 20 млн руб.
Статья поможет проверить ваши кадровые процессы на соответствие новым требованиям законодательства. А также покажет, как КЭДО HRlink обеспечивает защиту ПДн, снижает риски и облегчает работу HR‑службы.

Уже на момент подбора компания несет ответственность за защиту персональных данных работников. Разберем, как с ними взаимодействовать на этом этапе.

Согласие на обработку персональных данных. Нельзя просто взять и сохранить, например, резюме кандидата в папку на рабочем столе (ст. 9 152-ФЗ). Работодатель обязан предупредить соискателя о сборе, хранении и использовании личной информации, а также получить на это письменное разрешение.

Сейчас такое согласие оформляется отдельным документом — на бумаге или в электронном виде. Включать его в текст трудового договора или анкеты кандидата больше нельзя.

В бланке согласия на обработку персональных данных указывают:

• сведения о работодателе;
• цель и способ обработки сведений о физическом лице;
• перечень запрашиваемой информации;
• список действий с данными;
• информацию о передаче данных третьим лицам;
• правовые основания обработки;
• срок действия согласия и период хранения данных;
• указание на право соискателя отозвать согласие в любой момент.

Кадровый специалист может направить согласие кандидату через сервис Start Link. Соискатель получит уведомление и подпишет документ ПЭП.

Пока согласие не подписано, кандидат не сможет загрузить документы.

Карточку кандидата в КЭДО часто создают заранее, а согласие он приносит позже. В Start Link галочку о получении документа теперь можно установить в любой момент. Пока HR-специалист не подтвердит его наличие, персональные данные соискателя не будут отображаться в системе.

Контроль объема собираемых данных. У работодателя должна быть конкретная цель, ради которой он собирает персональные данные (ст. 5 152-ФЗ). При работе с кандидатами это подбор персонала. Поэтому важно ограничиваться сведениями, которые действительно важно получить для оценки соискателя и оформления трудового договора.

Ст. 65 ТК РФ закрепляет перечень документов, необходимых для трудоустройства:

• паспорт;
• трудовая книжка;
• СНИЛС;
• документы об образовании;
• документы воинского учета;
• медицинская книжка;
• справка о несудимости.

Если компании требуются дополнительные сведения — например, информация о составе семьи или наличии имущества, — на это нужно обоснование и отдельное письменное согласие соискателя. Иначе запрос выходит за рамки закона. Для юрлиц штраф составит 150-300 тыс. руб., для должностных лиц — 50-100 тыс. руб. За повторные нарушения суммы вырастут до 500 тыс. руб. (ст. 13.11 КоАП РФ).

В Start Link для каждой вакансии настраивается свой шаблон запроса документов с учетом специфики роли и требований закона. Кадровому специалисту не нужно каждый раз составлять перечень бумаг заново.

Как только цель сбора данных достигнута, хранить их дальше нельзя — это нарушение.

Рассмотрим типичные ситуации:

Найм завершен. Компания рассматривала кандидата на должность, но выбрала другого специалиста. Цель обработки — подбор персонала — выполнена. Если соискатель не давал согласия на включение в кадровый резерв, его резюме и другие сведения нужно удалить.

Увольнение сотрудника. После расторжения трудового договора часть документов хранится несколько лет — этого требует трудовое и налоговое законодательство. К ним относятся трудовые договоры, личные карточки, расчетные листки и другие бумаги. Данные, которые не подпадают под обязательное хранение, подлежат удалению или обезличиванию.

Работа с заявлениями. Сотрудники могут прикреплять к ним сканы паспорта, справок и других документов. Например, при оформлении больничного. После того как заявление рассмотрено, хранить файлы нельзя — с точки зрения законодательства это избыточно.

Чтобы активировать функцию, откройте нужный тип заявления в «Справочнике» и передвиньте ползунок.

Выберите из выпадающего списка, спустя какое время система будет удалять вложения.

С 2023 года действует приказ Роскомнадзора, согласно которому уничтожение персональных данных необходимо фиксировать. Для этого оформляется акт с указанием что, когда и каким методом удалили. К акту прикладывают выгрузку из реестра событий системы КЭДО. Эти документы хранятся 3 года.

В Start Link после удаления кандидатов акты уничтожения ПДн создаются автоматически — их можно выгрузить единым архивом.

Продукты экосистемы HRlink интегрируют защиту персональных данных работников и работодателя в повседневные процессы компании, обеспечивают конфиденциальность и препятствуют несанкционированному распространению информации.

Меры защиты данных в сервисах HRlink:

Безопасность на уровне кода. При разработке используются современные методы тестирования системы: SAST, DAST, SCA, фаззинг. Ежегодно проводится независимый аудит.

Надежная передача данных. Обмен информацией осуществляется по безопасным каналам с применением сертифицированных средств криптографической защиты.

Контроль доступа. Права распределяются по ролям и типам документов. HR-специалист получает доступ к информации в соответствии с заданными настройками прав: по юридическому лицу, организационной структуре, отделу и категории документа. Руководитель видит файлы, где выступает подписантом, а сотрудник — только собственные. Для дополнительной защиты для входа в личный кабинет используется двухфакторная аутентификация.

Безопасное хранение. По 152-ФЗ персональные данные могут храниться только в российских базах данных. HRlink предлагает два решения: облако с тройной репликацией или версию on-premise — размещение на собственных серверах компании.

Убедитесь, что ваша компания соблюдает нормы законодательства о персональных данных.

• Согласие сотрудников и соискателей на обработку ПДн оформляется отдельным документом в бумажной или электронной форме.
• В компании хранятся только те данные, которые реально нужны для работы.
• Персональные данные удаляются после достижения целей обработки.
• Удаление данных подтверждается актами.
• Доступ к данным ограничен только уполномоченными сотрудниками.
• Используются технические меры защиты: шифрование, резервное копирование, пароли.