Резюме — это персональные данные: имя, контакты, места работы, иногда фотография, дата рождения и семейное положение. Отклик на вакансию даёт вам основание обработать эти данные ради конкретной вакансии, и не более того. Хранение резюме после её закрытия — это уже другая цель, и на неё нужно отдельное согласие с названным сроком.
Отсюда следует самая распространённая ошибка в HR-контуре: база кандидатов, которую компания ведёт годами «на будущее», собранная из откликов на давно закрытые вакансии и выгрузок с работных сайтов. Формально это обработка без основания, и с 30 мая 2025 года она стоит для юридического лица 300 000–700 000 ₽ по части 2 статьи 13.11 КоАП РФ.
Дальше — что именно проверяют: основания, сроки, место хранения, отношения с подрядчиками и то, что меняется, когда резюме проходит через языковую модель. Общие обязанности оператора персональных данных мы разбираем в отдельной статье; здесь — только HR-контур и только то, что касается кандидатов. Все нормы приведены по состоянию на сентябрь 2026 года, действующую редакцию перед применением стоит проверить.
Три источника резюме — три разных основания
В HR-контуре резюме попадают к вам тремя путями, и юридически это три разные ситуации. Их путают, потому что на выходе получается одинаковый файл, но правила обращения с ним отличаются.
- 1Отклик на конкретную вакансию. Человек сам прислал резюме на определённую позицию — цель обработки очевидна и ограничена этой позицией. Когда вакансия закрыта, цель достигнута.
- 2Кадровый резерв. Хранение отклика после закрытия вакансии — самостоятельная цель. Она требует отдельного согласия, в котором названы цель и срок, а не спрятанной галочки. Согласие запрашивается тогда, когда вы отказываете кандидату: «сохранить ваш отклик на будущие вакансии на 12 месяцев» — понятная формулировка с проверяемым сроком.
- 3Выгрузка с работного сайта или из открытых источников. Самый рискованный путь. То, что резюме доступно на площадке, не означает права скопировать его в собственную базу: у общедоступных персональных данных свой режим, для их распространения нужно отдельное согласие, а массовая выгрузка обычно нарушает ещё и правила самой площадки. Практический вывод простой: собирать базу парсингом резюме не стоит.
Глава 14 Трудового кодекса, где описана обработка персональных данных работника, к кандидату напрямую не применяется — трудового договора ещё нет. Кандидат защищён 152-ФЗ, а из Трудового кодекса к нему относится статья 64: право потребовать письменную причину отказа, на которую у работодателя есть 7 рабочих дней. Отсюда требование к любому автоматическому отбору: причина отказа должна существовать и быть сформулированной в терминах деловых качеств.
Схема из трёх параллельных дорожек, сходящихся к одному блоку «Отклик-лист». Верхняя дорожка: «Отклик на вакансию» → подпись «цель: эта вакансия, до её закрытия». Средняя: «Кадровый резерв» → подпись «отдельное согласие, срок назван, например 12 месяцев». Нижняя: «Выгрузка с работного сайта» → перечёркнута красной штриховкой, подпись «основания обычно нет». Справа от общего блока стрелка вниз к «Уничтожение: 30 дней после достижения цели, акт». Чертёжный стиль, надписи по-русски.
Сроки: 30 дней, 10 рабочих дней и акт об уничтожении
Сроки — та часть требований, которую проще всего проверить и в которой чаще всего попадаются. Их немного, и они привязаны к событиям, а не к календарю компании.
| Событие | Срок | Что должно остаться на руках |
|---|---|---|
| Вакансия закрыта — цель обработки достигнута | Прекратить обработку и уничтожить в течение 30 дней, если нет согласия на резерв | Акт об уничтожении, а при уничтожении в информационной системе — ещё и выгрузка из журнала регистрации событий |
| Кандидат отозвал согласие | Прекратить обработку и уничтожить в течение 30 дней | Само обращение, акт, отметка о дате исполнения |
| Кандидат запросил сведения об обработке своих данных | Ответить в течение 10 рабочих дней; продление возможно не более чем на 5 рабочих дней с уведомлением | Копия ответа с датой отправки |
| Выявлена неправомерная обработка | Прекратить в течение 3 рабочих дней; если обеспечить правомерность невозможно — уничтожить в течение 10 рабочих дней | Служебная записка о выявлении и акт |
| Инцидент с утечкой | Уведомить Роскомнадзор в течение 24 часов о факте и в течение 72 часов — о результатах внутреннего расследования | Журнал инцидента с хронологией |
Требования к подтверждению уничтожения установлены отдельным приказом Роскомнадзора: одного удаления файла недостаточно, нужен акт по установленной форме, а если данные уничтожались в информационной системе — ещё и выгрузка из журнала регистрации событий. Практический вывод для проекта автоматизации: в отклик-листе должна быть операция «уничтожить по достижении цели», которая оставляет след, а не кнопка «удалить», после которой ничего не остаётся.
Горизонтальная шкала времени с пятью засечками слева направо: «24 часа — уведомить Роскомнадзор об утечке», «72 часа — результаты внутреннего расследования», «3 рабочих дня — прекратить неправомерную обработку», «10 рабочих дней — ответ на запрос кандидата (+5 при продлении)», «30 дней — уничтожение при достижении цели или отзыве согласия». Под каждой засечкой мелким шрифтом — артефакт: «журнал инцидента», «отчёт», «служебная записка», «копия ответа», «акт об уничтожении». Чертёжный стиль, надписи по-русски.
Где физически лежат данные: сервис, сервер и модель
Требование локализации простое по формулировке и неудобное на практике: запись, систематизация, накопление, хранение и извлечение персональных данных граждан России должны выполняться в базах данных, находящихся на территории России. Для HR это означает три проверки при выборе любого инструмента.
- Работный сайт и сервис подбора: где расположены серверы, есть ли у поставщика российское юридическое лицо и что написано в его документах о размещении данных.
- Отклик-лист или CRM для кандидатов: то же самое. Российское название интерфейса ничего не говорит о том, в каком облаке лежит база.
- Языковая модель, если резюме разбирается автоматически. Это самая частая дыра: сервис хранения выбрали российский, а текст резюме уходит в зарубежную модель через агрегатор.
Отправка резюме во внешний зарубежный сервис — это трансграничная передача персональных данных. О намерении её осуществлять уведомляют Роскомнадзор до начала передачи, и регулятор вправе её ограничить. Прямая оплата зарубежных ИИ-сервисов из России и так недоступна, а доступ через рублёвые прокси и агрегаторы добавляет к правовому риску ещё и техническую непрозрачность: вы не знаете, через какие юрисдикции проходит текст.
Поэтому для HR-контура всерьёз рассматривают два варианта: российская облачная модель по договору с провайдером в РФ либо локальная модель на собственном сервере. Второй вариант снимает вопрос трансграничной передачи целиком — данные не покидают периметр; когда он дешевле облака и что нужно для его обслуживания, мы разбираем в отдельной статье о локальной модели под 152-ФЗ. И в обоих случаях действует правило из разбора скрининга резюме: имя, фотография, адрес и год рождения в модель не передаются вовсе — они не нужны для ранжирования и именно они делают возможной косвенную дискриминацию.
Обработка резюме языковой моделью теперь требует не только основания и локализации, но и описанной внутренней процедуры: что передаётся в модель, что вырезается, где это исполняется и кто отвечает за пересмотр. Внутренняя политика использования ИИ из необязательного документа превратилась в рабочую необходимость для любой компании, которая пропускает через модель данные людей.
Подрядчик и сервисы: поручение обработки, а не NDA
Если данными кандидатов оперирует кто-то кроме вас — кадровое агентство, сервис подбора, подрядчик по автоматизации, — с ним оформляется поручение на обработку персональных данных. Соглашение о конфиденциальности его не заменяет: NDA защищает вашу коммерческую тайну, а поручение определяет, что именно контрагенту разрешено делать с данными людей.
Минимальный состав поручения: перечень данных, перечень разрешённых действий, цель, срок, требования к защите, запрет на передачу третьим лицам без вашего согласия и обязанность уничтожить данные по окончании работ. Оператором при этом остаётесь вы — и отвечаете перед кандидатом тоже вы, независимо от того, чьими руками данные обрабатывались. Подробный разбор формулировок, отличающих рабочее поручение от пустышки, — в отдельной статье о поручении обработки данных подрядчику.
Чек-лист на 8 пунктов и во что обходится его отсутствие
Эти восемь пунктов закрываются до внедрения любой автоматизации подбора. Порядок именно такой: система, построенная поверх неразобранного архива резюме, не создаёт нарушение, но тиражирует его и делает заметным.
- 1Инвентаризация: где физически лежат отклики — работный сайт, почта рекрутера, общий диск, мессенджер, таблица. Обычно находится от четырёх до семи мест.
- 2Основания: для откликов на открытые вакансии и отдельно — для кадрового резерва, с формулировкой согласия и названным сроком.
- 3Сроки хранения: назначены, записаны в политике и настроены в системе, а не «когда-нибудь почистим».
- 4Процедура уничтожения: операция оставляет акт и след в журнале, а не просто удаляет запись.
- 5Локализация: подтверждено размещение баз в России — и для сервиса, и для модели, если резюме разбирается автоматически.
- 6Поручения обработки: оформлены со всеми, кто касается данных кандидатов, включая подрядчика по автоматизации.
- 7Права кандидата: есть адрес для обращений, ответственный и срок ответа; в отклик-листе есть операция удаления по запросу.
- 8Уведомление в Роскомнадзор об обработке персональных данных подано и соответствует тому, что вы делаете фактически.
Для сравнения — цена вопроса по редакции статьи 13.11 КоАП РФ, действующей с 30 мая 2025 года: непредставление уведомления об обработке персональных данных — 100 000–300 000 ₽ для юридического лица; обработка без согласия, когда оно требуется в письменной форме, — 300 000–700 000 ₽; утечка данных от 1 000 до 10 000 субъектов — 3 000 000–5 000 000 ₽, а при повторном нарушении предусмотрен оборотный штраф от выручки. База откликов среднего работодателя за несколько лет спокойно перешагивает порог в тысячу человек, и обычно никто не знает об этом до инцидента.
Сравнение в две колонки. Левая — один короткий столбик «Навести порядок: 75 200 ₽ разово» с расшифровкой из пяти строк. Правая — три столбика возрастающей высоты: «Уведомление не подано: 100 000–300 000 ₽», «Обработка без согласия: 300 000–700 000 ₽», «Утечка 1 000–10 000 человек: 3 000 000–5 000 000 ₽». Масштаб столбиков сопоставим, чтобы разрыв был виден. Внизу подпись «по редакции ст. 13.11 КоАП РФ, действующей с 30 мая 2025 года». Чертёжный стиль, надписи по-русски.
Когда отдельного проекта не надо
Не всякому работодателю нужен отдельный проект по данным кандидатов. Если вы закрываете три-четыре вакансии в год, отклики приходят на одну почту и после закрытия вакансии удаляются, то вся работа — это уведомление в Роскомнадзор, короткая политика, форма согласия и назначенный ответственный. Это день работы, а не проект.
Отдельная работа начинается там, где появляются три признака: откликов больше сотни в месяц, они лежат в нескольких местах и через них проходит внешний подрядчик или языковая модель. Тогда порядок в данных перестаёт быть бумажной задачей и становится частью архитектуры системы — сроки хранения, процедура уничтожения и журнал доступа настраиваются в отклик-листе, а не соблюдаются вручную. Как устроен такой контур со стороны техники, мы разбираем в разделе о безопасности и в статье о скрининге резюме без потерь.
И одно правило, которое экономит больше всего нервов: не собирайте того, что вам не нужно. Фотография, дата рождения, семейное положение и адрес не участвуют ни в отборе, ни в назначении интервью. Каждое лишнее поле в форме отклика — это данные, которые придётся хранить, защищать, уничтожать в срок и объяснять при проверке.
