Обработка персональных данных в кадровом агентстве: поручение обработчику, хранение и согласия
Деятельность кадровых агентств неразрывно связана со сбором и обработкой персональных данных соискателей, сотрудников и клиентов. Федеральный закон № 152-ФЗ «О персональных данных» распространяется на такие организации в полном объёме, устанавливая обязательства оператора. В данном материале рассмотрены ключевые аспекты: порядок оформления поручения на обработку при привлечении сторонних организаций, требования к хранению данных, условия получения согласия субъектов, а также практические рекомендации для выстраивания законных процессов.
Подготовим и подадим уведомление в Роскомнадзор, разработаем пакет документов и введём компанию в реестр операторов персональных данных.
* Оплата после выполнения работ
Привлечение сторонней организации или специалиста для работы с персональными данными (например, передача резюме в CRM-систему подрядчика, делегирование части задач по подбору) требует оформления поручения на обработку персональных данных в соответствии с частью 3 статьи 6 152-ФЗ. Кадровое агентство в данном случае выступает оператором, а привлекаемая сторона – обработчиком.
Важное правило: даже при наличии поручения оператор (кадровое агентство) остаётся ответственным перед субъектом персональных данных за законность обработки. Обработчик, в свою очередь, не обязан получать отдельное согласие у субъекта – это прямо предусмотрено частью 4 статьи 6 152-ФЗ. Однако у оператора должно быть своё законное основание для передачи данных (например, согласие кандидата на обработку его данных агентством).
Организация хранения данных требует разделения подходов для бумажных и электронных носителей, а также обеспечения их безопасности.
Бумажные носители:
Электронные базы данных:
Оператор не должен хранить данные дольше, чем это необходимо для достижения заявленных целей. В частности, по разъяснениям Роскомнадзора, резюме кандидатов, не прошедших отбор, рекомендуется уничтожать в течение 30 дней, если иное не предусмотрено отдельным согласием соискателя (например, на включение в кадровый резерв). Рекомендуется разработать внутренний регламент, устанавливающий сроки хранения и порядок уничтожения данных для каждой категории.
Вопрос необходимости согласия зависит от правового основания обработки.
Для ведения кадрового учёта (расчёт зарплаты, подготовка отчётности, исполнение трудового договора) отдельное согласие часто не требуется, поскольку обработка осуществляется на основании пункта 5 части 1 статьи 6 152-ФЗ (необходимость исполнения договора) или в силу прямых требований законодательства.
Согласие требуется в следующих случаях:
С указанной даты согласие на обработку персональных данных должно оформляться исключительно отдельным документом. Включение соответствующего пункта в текст трудового договора, договора оказания услуг или иного документа не допускается. Отдельно оформляется и согласие на распространение персональных данных.
При возникновении вопросов, связанных с разработкой документации или подачей уведомления в Роскомнадзор, целесообразно обратиться за профессиональной помощью. Наши специалисты обеспечат полное соответствие требованиям закона.
| Нарушение | Штраф |
|---|---|
| Обработка ПДн без уведомления Роскомнадзора (ст. 19.17 КоАП) | до 300 000 ₽ |
| Обработка без согласия субъекта | до 100 000 ₽ |
| Отсутствие политики обработки ПДн | до 40 000 ₽ |
| Утечка или нарушение защиты данных | до 1 500 000 ₽ |
Любая организация или ИП, которая собирает и обрабатывает персональные данные клиентов, сотрудников или посетителей (ФИО, телефон, e-mail, адрес), признаётся оператором по 152-ФЗ и обязана до начала обработки подать уведомление в Роскомнадзор.
Уведомление подаётся через портал Роскомнадзора (pd.rkn.gov.ru) с усиленной квалифицированной электронной подписью, через Госуслуги при подтверждённой учётной записи либо в бумажном виде в территориальный орган. После проверки ведомство вносит компанию в реестр операторов персональных данных.
С 30 мая 2025 года за обработку персональных данных без уведомления Роскомнадзора штраф для организаций и ИП достигает 300 000 рублей. Дополнительно возможны штрафы за отсутствие политики обработки ПДн, согласий и нарушение требований к защите данных.
В большинстве случаев — да. Согласие оформляется под каждой формой сбора данных через незаполненный чекбокс со ссылкой на Политику конфиденциальности. Для специальных категорий данных, биометрии и распространения требуется отдельное письменное согласие.
Роскомнадзор рассматривает уведомление до 30 рабочих дней. При корректно заполненных документах компания попадает в реестр операторов персональных данных с первого раза, без возвратов и доработок.