«Удалите моё резюме»: что делать HR, если кандидат потребовал удалить свои данные

Кандидат получил отказ, а через месяц пишет: «Прошу удалить все мои персональные данные».

Удалить его карточку из базы недостаточно. За время найма резюме могло оказаться в почте, Excel, на компьютере HR и у руководителя.

Что здесь считается персональными данными

Не только паспорт и СНИЛС.

По 152-ФЗ персональные данные — любая информация, относящаяся прямо или косвенно к определённому человеку. Поэтому ФИО, телефон, e-mail, образование, опыт работы и другие сведения из резюме — персональные данные.

Что делать после требования кандидата

Если кандидат именно требует прекратить обработку, по общему правилу оператор должен сделать это в течение 10 рабочих дней. Срок можно продлить максимум ещё на 5 рабочих дней, направив кандидату мотивированное уведомление.

Но есть исключения: закон позволяет продолжить обработку без согласия человека при наличии некоторых оснований, предусмотренных 152-ФЗ и другими законами.

Если же кандидат отзывает согласие, а хранить данные для цели обработки больше не требуется, их нужно уничтожить в срок до 30 дней.

Где искать данные кандидата

1. База кандидатов. Карточка, резюме, комментарии и прикреплённые документы.
2. Рабочая почта. Резюме могло остаться во вложениях или быть переслано руководителю.
3. Excel и другие файлы. Даже строка «Иванов — +7… — отказ» содержит персональные данные.
4. Компьютер и корпоративные хранилища. Папки «Загрузки», «Кандидаты», общие диски и облачные хранилища.
5. Нанимающий руководитель. Если ему отправляли резюме, копия могла сохраниться и у него.

А «чёрный список» можно оставить?

Само название ничего не меняет.

Запись «Иван Иванов, +7…, больше не приглашать» тоже является обработкой персональных данных. Компания должна иметь конкретную цель и законное основание для такого хранения.

Бессрочно хранить данные «на всякий случай» нельзя: 152-ФЗ прямо требует не хранить персональные данные дольше, чем этого требует цель обработки, если иной срок не установлен законом или договором.

Что делать HR: коротко

Получили требование кандидата → зафиксировали его → определили, какие данные и на каком основании компания хранит → нашли копии в системах, почте и файлах → передали задачу ответственному за персональные данные/ИТ → прекратили обработку и уничтожили то, для чего больше нет законного основания.

Если уничтожить данные в установленный срок технически невозможно, закон предусматривает их блокирование с последующим уничтожением — в общем случае не позднее шести месяцев.