Кейс штрафа за хранение резюме после отказа

С 01.09.2025 вступили в силу поправки ФЗ-156 от 24.06.2025: согласие на обработку персональных данных оформляется отдельным документом, не может быть частью трудового договора, оферты или анкеты кандидата. Это изменение затрагивает не только действующих работников, но и всю воронку подбора персонала — от первичного контакта с кандидатом до архива резюме. В этом материале — разбор реального кейса штрафа, анализ типичных ошибок HR-департаментов и пошаговый алгоритм приведения практики в соответствие с законом.

Какие ошибки HR-департаментов приводят к штрафу за хранение резюме?

Основная проблема — системная. Резюме поступают по email, через hh.ru, из Telegram-чатов, от агентств. Рекрутеры сохраняют их в папки, CRM-системы, корпоративные диски. Никакого согласия от кандидата при этом не запрашивается. Большинство HR-директоров считают, что раз кандидат сам прислал резюме — согласие не нужно. Это ошибка.

По ст. 9 ФЗ-152 согласие требуется для любой обработки персональных данных, если нет иного законного основания. Получение резюме по email — это получение данных, но не основание для их хранения, систематизации и использования в будущем. После отказа кандидату правовое основание для хранения его данных прекращается, если только сам кандидат не дал согласие на включение в кадровый резерв.

Типичные ошибки, которые фиксирует РКН при проверках:

• Резюме хранятся без срока — годами, без цели и без согласия кандидата.
• Согласие «зашито» в текст анкеты кандидата или в подпись к вакансии на сайте.
• После 01.09.2025 согласие по-прежнему оформляется как часть анкеты, а не отдельным документом.
• Нет регламента уничтожения данных кандидатов-отказников: резюме «забывают» удалить из почты, облака, CRM.
• Обработку данных кандидатов ведёт подрядчик (агентство, ATS-платформа) без поручения по ст. 6 ФЗ-152.

Как разбирался кейс штрафа за хранение резюме: хронология

В практике DATUM — дело торгово-производственной компании из Уральского федерального округа (2025 год). Компания численностью около 400 человек вела активный подбор через hh.ru и корпоративный сайт. Резюме автоматически сохранялись в ATS-систему, кандидаты-отказники не удалялись. База накопилась за три года — свыше 12 000 записей.

Поводом для проверки стала жалоба бывшего кандидата: он получил отказ, а через полгода обнаружил, что его данные по-прежнему обрабатываются — компания использовала базу для рассылки по новым вакансиям. РКН провёл внеплановую проверку. Инспектор установил: согласия нет, срок хранения не определён, политика конфиденциальности на сайте не содержит сведений об обработке данных кандидатов.

Итог: протокол по ч. 2 ст. 13.11 КоАП (обработка без письменного согласия). Штраф для юрлица — в диапазоне 300 000–700 000 ₽. Дополнительно — предписание об уничтожении базы кандидатов и устранении нарушений в политике за 30 дней.

Аналогичная ситуация — у компании из Сибирского ФО (начало 2026 года): рекрутинговое агентство работало без договора поручения с заказчиком, персональные данные кандидатов передавались клиентам агентства без правового основания. Мировой суд применил ч. 2 ст. 13.11, оба участника цепочки — агентство и компания-заказчик — получили протоколы.

Шаг 1. Проведите инвентаризацию кандидатских баз

Шаг 2. Проверьте наличие и состав согласий

Шаг 3. Определите сроки хранения и процедуру уничтожения

Шаг 4. Проверьте цепочку подрядчиков в HR-процессах

Шаг 5. Обновите политику обработки и локальные акты

Типичные сценарии для HR-директора и вероятные исходы

Сценарий 1. База кандидатов накоплена без согласий, РКН пришёл с проверкой. Ситуация: свыше 5 000 резюме в ATS, согласий нет, срок хранения не определён. Доказательства: выгрузка из ATS, журнал входящих писем, политика на сайте без раздела о кандидатах. Вероятный исход: протокол по ч. 2 ст. 13.11 КоАП, штраф 300 000–700 000 ₽, предписание об уничтожении базы. Стратегия: немедленно начать инвентаризацию, подготовить согласия и акт об уничтожении данных без согласия — это смягчающие обстоятельства при рассмотрении дела.

Сценарий 2. Согласие встроено в анкету кандидата — проверка после 01.09.2025. Ситуация: анкета с формулировкой «заполняя анкету, вы соглашаетесь на обработку ПДн». Доказательства: форма анкеты, отсутствие отдельного документа. Вероятный исход: квалификация по ч. 2 ст. 13.11 (нарушение требований к составу согласия), штраф 300 000–700 000 ₽. Стратегия: немедленно разработать отдельный документ согласия по реквизитам ст. 9 ФЗ-152, перевести новых кандидатов на новую форму, зафиксировать дату перехода.

Сценарий 3. Рекрутинговое агентство передаёт данные кандидатов без договора поручения. Ситуация: агентство работает по рамочному договору без условий ст. 6 ФЗ-152, резюме отправляет по email. Доказательства: договор с агентством, переписка, отсутствие пункта о конфиденциальности ПДн. Вероятный исход: оба — агентство и компания-заказчик — получают протоколы, оба платят штрафы независимо. Стратегия: включить в договор с агентством условия ч. 3 ст. 6 ФЗ-152, запросить у агентства подтверждение наличия согласия кандидата на передачу данных заказчику.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка HR-обработки по чек-листу из 38 пунктов, приоритизированный план устранения.
• Комплект ОРД под ключ — согласия кандидатов, политика, регламенты, договоры поручения с подрядчиками.
• DPO-аутсорсинг — функция ответственного по ст. 22.1 на абонентском обслуживании, включая ответы на запросы субъектов.

Частые вопросы

1. Нужно ли переподписывать согласия работников после 01.09.2025?

Согласия, полученные до 01.09.2025, обратной силы не теряют — переподписывать их не требуется. Поправки ФЗ-156 от 24.06.2025 не предусматривают обязанности переоформить ранее полученные согласия. Однако для новых работников и новых кандидатов с 01.09.2025 согласие оформляется только отдельным документом — не частью трудового договора или анкеты. Проверьте, что действующие шаблоны обновлены под новый формат.

2. Какие данные нельзя спрашивать в анкете кандидата?

По ст. 86 ТК РФ работодатель вправе запрашивать только те данные, которые необходимы для оценки профессиональных качеств кандидата и исполнения трудового договора. Запрещено собирать данные о политических взглядах, религии, состоянии здоровья (кроме случаев медосмотра по закону), национальности, семейном положении — если это не обусловлено спецификой должности. Сбор таких данных без основания квалифицируется по ч. 1 ст. 13.11 КоАП (до 300 000 ₽ для юрлица).

3. Можно ли вести видеонаблюдение в офисе?

Да, при соблюдении ряда условий. Работники должны быть уведомлены о видеонаблюдении — через локальный нормативный акт (приказ, правила внутреннего распорядка) и ознакомлены с ним под подпись по ст. 22.2 ТК РФ. Если система СКУД использует биометрию (распознавание лиц), дополнительно требуется письменное согласие каждого работника по ст. 11 ФЗ-152. Хранение видеозаписей — не дольше срока, указанного в локальном акте.

4. Сколько хранить согласия после увольнения?

Согласие — часть личного дела работника. Типовой срок хранения личных дел — 75 лет (по Перечню типовых управленческих документов). Согласие на обработку персональных данных хранится вместе с личным делом. После увольнения работника сами персональные данные (вне личного дела) подлежат уничтожению или обезличиванию по истечении срока, указанного в согласии, — если нет иного законного основания для хранения.

5. Кто является оператором при использовании КЭДО?

Оператором персональных данных при КЭДО является работодатель. Провайдер КЭДО-платформы — обработчик по поручению в соответствии со ст. 6 ФЗ-152. Договор с провайдером должен содержать условия об обязанности конфиденциальности, перечень допустимых действий с данными и требования к техническим мерам защиты. Если такого договора нет — работодатель нарушает ч. 3 ст. 6 ФЗ-152 и несёт ответственность за действия провайдера перед субъектами данных.

6. Что делать, если кандидат потребовал уничтожить его данные?

По ст. 21 ФЗ-152 оператор обязан прекратить обработку и уничтожить данные в течение 7 рабочих дней с момента получения требования субъекта, если для хранения нет другого законного основания. Требование регистрируется в журнале обращений. Факт уничтожения подтверждается актом. Невыполнение — ч. 5 ст. 13.11 КоАП, штраф для юрлица 50 000–90 000 ₽.

Итог

Хранение резюме без согласия — системная ошибка HR-практики, которая при проверке РКН превращается в штраф от 300 000 до 700 000 ₽ по ч. 2 ст. 13.11 КоАП. После 01.09.2025 требования к форме согласия ужесточились: отдельный документ с конкретными реквизитами. Исправление ситуации требует инвентаризации базы, обновления согласий, регламентов уничтожения и договоров с подрядчиками.

DATUM сопровождает HR-департаменты в приведении обработки персональных данных в соответствие с ФЗ-152 — от аудита кандидатской базы до полного комплекта ОРД и DPO-функции на абонентском обслуживании.

22 января 2028 года