Нашли резюме сами: нужно ли согласие кандидата на обработку персональных данных?

Рекрутер нашёл подходящего кандидата сам. Человек никуда не откликался: его резюме обнаружилось на работном сайте, контакты открыты, опыт подходит почти идеально. Кажется, что дальше всё просто — сохранить информацию и написать кандидату.

Но именно здесь возникает вопрос, который редко появляется при обычном отклике: имеет ли работодатель право обрабатывать данные человека, который сам ему ничего не отправлял?

Интуитивный ответ многих рекрутеров звучит так: если человек сам разместил информацию в интернете, значит пользоваться ей можно. С точки зрения закона всё сложнее. Доступность персональных данных ещё не означает автоматического разрешения собирать их, сохранять и использовать для любой цели.

ФИО, телефон, электронная почта, образование, предыдущие места работы и должности из резюме относятся к персональным данным, если позволяют определить человека. Причём обработкой закон считает не только передачу информации кому-то ещё. Сбор, запись, систематизация, накопление, хранение и использование тоже входят в это понятие.

Получается, 152-ФЗ начинает работать ещё до того, как кандидат согласился на интервью или вообще ответил рекрутеру.

Если кандидат сам выложил резюме, становится проще. Но не настолько

У Роскомнадзора есть специальное разъяснение по персональным данным соискателей. В нём ведомство прямо указывает: обычно обработка данных соискателя предполагает получение его согласия, но есть исключение — когда человек самостоятельно разместил своё резюме в интернете и сделал его доступным неограниченному кругу лиц.

На первый взгляд для рекрутера вопрос закрыт: увидели открытое резюме — можно работать с ним.

Однако это разъяснение появилось больше десяти лет назад, а законодательство с тех пор изменилось. С 2021 года в 152-ФЗ действует отдельная статья 10.1 о персональных данных, разрешённых субъектом для распространения. Поэтому старую формулу Роскомнадзора не стоит превращать в универсальное правило «всё, что нашлось через поиск, можно собирать».

И здесь очень показательно, как сегодня устроены сами работные сайты.

Например, на hh.ru человек может не просто «опубликовать резюме», а определить, кто именно его увидит. Сейчас площадка предлагает несколько режимов: открыть резюме всем зарегистрированным работодателям, показать только выбранным компаниям, скрыть от конкретных компаний, сделать доступным только по прямой ссылке или вообще закрыть от всех.

Есть и анонимное резюме: соискатель может скрыть персональные данные, фотографию, контакты и места работы, оставив работодателю информацию, необходимую для первоначальной оценки опыта.

Более того, если человек поставил режим «Не видно никому», но сам откликнулся на вакансию, доступ к резюме получает именно эта компания. А если затем снова закрыть резюме, работодатель уже не сможет открыть его на hh.ru.

То есть даже технически современная площадка исходит не из принципа «раз резюме когда-то опубликовано — его могут видеть все», а позволяет самому человеку управлять кругом получателей.

Для HR это хороший ориентир: важно не только где удалось найти информацию, но и для кого человек сделал её доступной.

Судебный кейс: «это было в интернете» не сработало

Границу хорошо показывает дело № А40-5250/2017. Оно не связано непосредственно с подбором сотрудников, но очень наглядно показывает отношение судов к аргументу об открытых источниках.

Национальное бюро кредитных историй использовало сервисы, которые обрабатывали сведения о людях из открытых профилей во «ВКонтакте», «Одноклассниках» и других социальных сетях, а также с Avito и Auto.ru. Роскомнадзор посчитал, что согласия людей на такую обработку у компании нет, и выдал предписание устранить нарушение.

НБКИ решило его оспорить. Логика компании была понятной: информацию разместили сами пользователи, она находится в открытых источниках — зачем тогда отдельное согласие?

Суд эту позицию не поддержал. НБКИ проиграло в Арбитражном суде Москвы, затем в апелляции и кассации. После этого компания обратилась в Верховный суд, но 29 января 2018 года судья ВС отказала передавать кассационную жалобу на рассмотрение Судебной коллегии. Предписание Роскомнадзора осталось в силе.

Причина принципиальна: суды не признали персональные данные из открытых профилей автоматически общедоступными в том смысле, который позволял бы обрабатывать их без соответствующего основания.

Но переносить решение прямо на рекрутинг тоже нельзя. НБКИ занималось не подбором персонала, а обработкой информации для финансовых организаций с помощью BIG DATA-сервисов. Это другая цель обработки.

Для HR из этого дела важен более узкий вывод: сам аргумент «человек выложил это в интернет» недостаточен. Нужно смотреть, что именно он опубликовал, кому сделал информацию доступной и для какой цели компания собирается её использовать.

Открытое резюме и открытая страница человека — не одно и то же

Представим две ситуации.

В первой человек создал резюме на hh.ru, указал, что ищет работу, и выбрал режим «Видно всем работодателям, зарегистрированным на hh.ru». Работодатель находит его именно как потенциального кандидата и предлагает подходящую вакансию.

Во второй рекрутер знает только имя специалиста. Он находит его страницу в социальной сети, телефон на сайте нынешнего работодателя, фотографии в другом сервисе, старое объявление на площадке объявлений и собирает всё это вместе.

В обоих случаях исходные сведения технически можно было увидеть через интернет. Но обстоятельства совершенно разные.

В первом случае сам человек создал резюме для поиска работы и явно определил круг тех, кому оно доступно. Во втором — сведения могли публиковаться совершенно для других целей.

Именно поэтому простое правило «если открыто — можно» для рекрутера не работает.

Есть и другая крайность: считать, что без отдельного подписанного согласия нельзя даже написать самостоятельно найденному кандидату. Закон тоже устроен сложнее. Согласие является одним из оснований обработки персональных данных, но не единственным.

Практически полезнее задавать другой вопрос: откуда мы получили сведения и соответствует ли то, что мы собираемся с ними делать, цели, ради которой они стали нам доступны?

Чем больше данных собираем, тем больше ответственности

Предположим, рекрутер нашёл опубликованное для работодателей резюме, посмотрел опыт и предложил человеку конкретную работу. Это один объём обработки.

Совсем другой масштаб возникает, если компания дополнительно собирает аккаунты кандидата в социальных сетях, фотографии, старые публикации, телефоны, сведения из других сервисов и сохраняет получившийся профиль на неопределённый срок.

152-ФЗ требует, чтобы содержание и объём обрабатываемых персональных данных соответствовали заявленным целям. Обрабатываемые данные не должны быть избыточными по отношению к этим целям.

Поэтому для рекрутера здесь работает довольно простой принцип: не стоит собирать информацию только потому, что технически её удалось найти. У каждого дополнительного сведения должна быть понятная связь с целью обработки.

И цена ошибки сегодня уже не символическая. С 30 мая 2025 года за обработку персональных данных в случаях, не предусмотренных законодательством, либо обработку, несовместимую с целью сбора, штраф для юридических лиц может составить от 150 до 300 тысяч рублей. При повторном нарушении — от 300 до 500 тысяч.

При неправомерной передаче данных более 100 тысяч человек либо более миллиона идентификаторов речь уже может идти о штрафе от 10 до 15 млн рублей. А за повторные крупные утечки предусмотрены оборотные штрафы — от 1 до 3% выручки с установленными законом минимальной и максимальной границами.

Для рекрутмента здесь важен даже не отдельный штраф за конкретное резюме, а масштаб. Одно сохранённое резюме кажется мелочью. Но за годы активного поиска у крупной компании могут накопиться десятки или сотни тысяч профилей людей — и это уже большой массив персональных данных, за который компания отвечает.

Так можно брать резюме из интернета или нельзя?

Универсального «да» или «нет» здесь нет.

Если человек сам разместил резюме на специализированной площадке для поиска работы и сделал его доступным работодателям, это имеет принципиальное значение. Именно такую ситуацию отдельно выделял в своих разъяснениях Роскомнадзор.

Если же рекрутер нашёл информацию, которую человек публиковал совершенно для другой цели, сама её доступность в интернете ещё не превращает эти сведения в бесплатную базу для работодателя.

Хорошо это видно даже на примере hh.ru: кандидат может открыть резюме всем работодателям, показать его только нескольким компаниям или вообще никому. Одно нажатие в настройках полностью меняет круг людей, которым сам соискатель решил показать информацию.

Поэтому HR полезнее запомнить не правило «можно или нельзя брать резюме», а четыре вопроса:

1. Откуда мы получили данные?
2. Кому человек сделал их доступными?
3. Для какой цели они были опубликованы?
4. И что именно мы собираемся с ними делать?

А фраза «это же было в интернете» сама по себе ответом ни на один из этих вопросов не является.