Возраст в анкете: ограничения

Возраст — элемент общих персональных данных по ст. 3 ФЗ-152. Его обработка требует одного из оснований ст. 6 ФЗ-152. Для работодателя применимы два: исполнение обязанностей, возложенных законодательством (п. 2 ч. 1 ст. 6), и согласие субъекта (п. 1 ч. 1 ст. 6).

Трудовой кодекс устанавливает возрастные ограничения: минимальный возраст приёма на работу — 16 лет (в ряде случаев — 15 и 14 лет), запрет приёма лиц до 18 лет на работы с вредными и опасными условиями (ст. 265 ТК РФ). Это означает, что работодатель вправе запросить возраст без отдельного согласия — как необходимое условие проверки соответствия требованиям ТК РФ.

На практике: если должность не предполагает возрастных ограничений по закону — правовое основание для обязательного сбора возраста слабее. В этом случае возраст собирается на основании согласия. Фиксируйте основание в приказе об обработке ПДн по каждой категории данных.

Ст. 86 ТК РФ прямо запрещает работодателю получать и обрабатывать ПДн о политических взглядах, религиозных убеждениях, членстве в общественных организациях, включая профсоюзы. Ст. 10 ФЗ-152 относит эти данные к специальным категориям, обработка которых по общему правилу запрещена.

В анкете также недопустимо собирать: национальность, расовую принадлежность, сведения о состоянии здоровья (за исключением случаев обязательного медосмотра по ст. 213 ТК РФ), информацию об интимной жизни. Возраст — допустим при наличии правового основания. Дата рождения — является его частью и обрабатывается по тем же правилам.

Избыточный сбор данных — нарушение принципа соразмерности по ст. 5 ФЗ-152. Роскомнадзор при проверке оценивает состав анкеты: каждый лишний вопрос — потенциальный повод для протокола по ч. 1 ст. 13.11 КоАП (штраф 150 000–300 000 ₽).

С 01.09.2025 ст. 9 ФЗ-152 в редакции ФЗ-156 от 24.06.2025 требует: согласие на обработку ПДн не может быть частью трудового договора, политики конфиденциальности или оферты. Это должен быть отдельный документ.

Обязательные реквизиты согласия по ст. 9 ФЗ-152: ФИО субъекта, контактные данные, наименование оператора (работодателя), цель обработки, перечень ПДн, перечень действий с ними, срок согласия и порядок его отзыва. Если согласие давалось до 01.09.2025 как часть другого документа — в отношении новых сотрудников оно недействительно. Старые согласия, полученные до 01.09.2025, обратной силы поправка не имеет: их переоформлять не обязательно, но при обновлении — только по новым правилам.

На практике это означает: для каждой цели обработки — отдельное согласие. Согласие на обработку в рамках трудовых отношений (ст. 86–88 ТК РФ) + отдельное согласие на передачу данных в банк по зарплатному проекту + отдельное согласие на обработку биометрии при СКУД. Совмещение этих трёх целей в одном документе — нарушение.

Кадровый электронный документооборот (КЭДО) обрабатывает персональные данные сотрудников. Оператором является работодатель. Если КЭДО работает через внешнего провайдера — необходимо поручение на обработку ПДн по ст. 6 ч. 3 ФЗ-152: договор с провайдером должен содержать перечень обрабатываемых данных, цели, обязанность конфиденциальности и меры защиты. Без поручения провайдер является самостоятельным оператором, что меняет схему ответственности.

Биометрия в системах контроля доступа (СКУД) — отдельная категория. Изображение лица, отпечатки пальцев, геометрия ладони — биометрические ПДн по ст. 11 ФЗ-152. Обработка допустима только с письменного согласия сотрудника. Согласие на биометрию в СКУД — строго отдельный документ, не может быть частью согласия на общие ПДн.

Видеонаблюдение в офисе: если камера фиксирует лицо работника для идентификации — это биометрия. Если фиксирует обстановку без идентификации личности — общие ПДн (или вообще не ПДн при отсутствии возможности установить личность). Разграничение важно для определения применимого правового режима.

ПДн кандидата, которому отказано в трудоустройстве, хранятся ровно столько, сколько необходимо для достижения цели — то есть срок хранения резюме и анкеты кандидата должен быть обоснован и закреплён в локальном акте. Роскомнадзор признаёт избыточным хранение анкет отказников дольше 3 лет без специального основания.

Личное дело работника хранится 75 лет (типовой срок для кадровых документов, содержащих ПДн). Согласия на обработку ПДн хранятся в течение всего срока обработки плюс срок исковой давности. После увольнения согласие должно оставаться у работодателя до уничтожения соответствующих ПДн.

Практический вывод: в политике обработки ПДн и регламентах HR фиксируйте конкретные сроки по каждой категории документов с кандидатами и работниками. Отсутствие сроков — признак несоответствия при проверке РКН.

Роскомнадзор использует индикаторы риска при назначении внеплановых проверок. Для HR-процессов типичные основания: жалоба уволенного сотрудника на незаконную обработку ПДн, обращение кандидата с требованием уничтожить его данные, обнаружение анкет с избыточными полями на сайте вакансий.

Требование субъекта об уничтожении ПДн: после отказа в приёме на работу кандидат вправе потребовать уничтожения своих данных. Срок исполнения — 7 рабочих дней. Невыполнение — нарушение ч. 5 ст. 13.11 КоАП (штраф 50 000–90 000 ₽, повторно — до 500 000 ₽). Работник после увольнения также может потребовать уничтожения ПДн, обрабатываемых только на основании согласия (за исключением данных, которые хранятся по требованию законодательства).

Журнал учёта обращений субъектов: фиксируйте каждый запрос от кандидата или работника (дата, содержание, срок ответа). При проверке РКН этот журнал — доказательство соблюдения ст. 20 ФЗ-152. Срок ответа субъекту — 10 рабочих дней с возможностью продления ещё на 5 рабочих дней при уведомлении субъекта.

Ст. 22.1 ФЗ-152 обязывает работодателя-юрлицо назначить лицо, ответственное за организацию обработки ПДн. В HR-контексте это означает: конкретный сотрудник отвечает за актуальность анкет, согласий, регламентов КЭДО и СКУД. Отсутствие назначения — нарушение, выявляемое при первой же проверке.

Ответственный не обязан быть штатным юристом. Это может быть HR-директор, HR-менеджер или приглашённый DPO-аутсорсер. Ключевое требование ч. 4 ст. 22.1 ФЗ-152 — достаточная квалификация для исполнения обязанностей. При аутсорсинге функции ответственного — поручение оформляется договором, полномочия фиксируются приказом.