Дата актуализации: ․

В современных условиях обработка персональных данных (ПДн) сотрудников и кандидатов является неотъемлемой частью HR‑функции․ Однако любые действия с резюме, анкетами, личными делами или фотографиями сотрудников уже считаются обработкой ПДн и требуют строгого соблюдения требований Федерального закона № 152‑ФЗ «О персональных данных»․ Несоблюдение этих норм чревато проверками Роскомнадзора, значительными штрафами и репутационным ущербом для компании․

Нормативная база: что изменилось в 2025‑2026 гг․

• 152‑ФЗ остаётся основным законом, регулирующим обработку ПДн в России․
• С 30 мая 2025 г․ вступили в силу поправки, ужесточившие требования к согласию субъекта данных, уведомлению о целях обработки и хранению данных․
• В 2026 г․ отмечается рост числа проверок операторов ПДн, связанный с повышением категории риска для многих организаций (см․ раздел 2)․
• Хотя отдельного закона об ИИ в HR нет, использование облачных HR‑платформ и ИИ‑ассистентов подпадает под общие положения 152‑ФЗ, поэтому ответственность за соблюдение лежит на операторе данных – обычно на HR‑департаменте․

Категории риска проверок Роскомнадзора

Роскомнадзор присваивает компании‑оператору одну из четырёх категорий риска в зависимости от:

1. Группы тяжести возможного вреда при нарушении (от низкой до высокой)․
2. Группы вероятности несоблюдения требований legislation․

Согласно данным за 2025‑2026 гг․, многие компании, активно использующие цифровые HR‑инструменты, попали в категорию «средний» или «высокий» риск из‑за:

• недостаточной документированной политики обработки ПДн;
• отсутствия явного согласия сотрудников на обработку их данных в облачных сервисах;
• нарушений сроков хранения и уничтожения персональных данных․

Типичные нарушения в HR‑процессах

Сбор и хранение данных кандидатов

• Сбор ФИО, данных паспорта, и т․д․ без получения письменного согласия․
• Хранение резюме и анкет на незащищённых носителях (например, в открытых сетевых папках)․
• Использование данных кандидатов для целей, не указанных в уведомлении (например, маркетинговые рассылки)․

Обработка данных действующих сотрудников

• Несвоевременное обновление согласий при изменении целей обработки (например, при переходе на новую HR‑систему)․
• Нарушение сроков хранения: данные бывших сотрудников хранятся дольше установленного законодательством срока․
• Публикация фотографий сотрудников на корпоративном сайте без отдельного согласия на использование изображения․

Использование облачных HR‑платформ и ИИ‑ассистентов

• Передача ПДн третьим лицам (поставщикам SaaS) без заключения договора о обработке персональных данных и без обеспечения соответствующего уровня защиты;
• Недостаточная проверка того, что провайдер облачного сервиса соответствует требованиям 152‑ФЗ (локализация данных, шифрование, аудит)․
• Автоматизированный анализ резюме ИИ‑инструментами без прозрачности алгоритмов и возможности для субъекта данных оспорить решение․

Последствия несоблюдения законодательства о ПДн

• Штрафы: до 6 000 000 рублей для юридических лиц (ч․ 9 ст․ 13․11 КоАП РФ) либо до 10 % от годовой выручки при повторных нарушениях․
• Приостановка деятельности: в случае грубых и системных нарушений Роскомнадзор может выдать предписание о приостановке обработки ПДн․
• Репутационный ущерб: информация о штрафах и проверках быстро распространяется в СМИ и соцсетях, что влияет на привлечение талантов и доверие клиентов․
• Иски сотрудников: субъекты данных могут требовать компенсации морального вреда и возмещения убытков․

Как провести внутренний аудит и контроль обработки ПДн в HR

Подготовка к аудиту

• Назначить ответственного за защиту ПДн (часто это руководитель HR‑департамента или специалист по информационной безопасности)․
• Сформировать перечень всех операций с ПДн, выполняемых HR‑службой (подбор, адаптация, обучение, оценка performance, увольнение и т․д․)․
• Собрать нормативные документы: политика обработки ПДн, локальные акты, согласия, приказы о назначении ответственных․

Этапы аудита

1. Инвентаризация данных: определить, какие категории ПДн хранятся, где и в каком формате (базы HRIS, файлы, бумажные дела)․
2. Оценка законности оснований: проверить наличие согласия, договоров, законодательных оснований (например, исполнение трудового договора)․
3. Проверка мер защиты: оценить технические и организационные меры (шифрование, контроль доступа, журналы событий, резервное копирование)․
4. Анализ сроков хранения: сравнить фактические сроки с установленными в локальных актах и законодательством․
5. Оценка рисков: определить вероятность и тяжесть возможных нарушений для каждой операции․
6. Формирование отчёта: зафиксировать выявленные несоответствия, оценить уровень риска и предложить корректирующие действия․

Внутренний контроль и мониторинг

• Регулярно (не реже одного раза в квартал) обновлять реестр операций с ПДн․
• Проводить обучение сотрудников HR по основам 152‑ФЗ и внутренней политике․
• Внедрять систему журналов доступа к персональным данным и периодически их проверять․
• Использовать инструменты DLP (Data Loss Prevention) для предотвращения несанкционированной передачи данных․
• Обеспечить процедуру уничтожения данных по истечении срока хранения (шредер, безопасное удаление)․

Практические рекомендации для HR‑отдела

• Согласия: получать письменное (или электронное с подтверждением) согласие на каждую конкретную цель обработки; хранить согласие в доступном, но защищённом виде;
• Уведомления: размещать уведомление о обработке ПДн на внутреннем портале и в трудовых договорах; обновлять его при изменении целей или условий․
• Минимизация данных: собирать только те данные, которые действительно необходимы для достижения заявленной цели (принцип data minimisation)․
• Безопасность хранения: использовать корпоративные HR‑системы с ролевым доступом, шифрование данных «в покое» и «в передаче», двухфакторную аутентификацию для администраторов․
• Договоры с подрядчиками: при работе с облачными HR‑платформами, рекрутинговыми агентствами или ИИ‑поставщиками заключать договоры о обработке ПДн, включающие требования к локализации данных, аудиту и ответственности за нарушения․
• Аудит согласий: периодически проверять, что согласия актуальны и соответствуют текущим целям обработки․
• Документирование: вести журнал всех операций с ПДн (кто, когда, какие данные, цель операции) – это упрощает демонстрацию соответствия при проверке Роскомнадзора․

Соблюдение законодательства о персональных данных – не просто формальность, а критически важный элемент управления рисками в HR‑департаменте․ Понимание текущих требований 152‑ФЗ, регулярный внутренний аудит, внедрение технических и организационных мер защиты, а также чёткая документация позволяют минимизировать вероятность штрафов и репутационных потерь․ В условиях ужесточения контроля со стороны Роскомнадзора и роста числа проверок в 2025‑2026 гг․ proactive подход к защите ПДн становится конкурентным преимуществом компании, способным привлекать и удерживать таланты в условиях строгой регуляторной среды․

Готовы ли вы к следующей проверке? Начните с инвентаризации данных и обновления согласий – это первый шаг к безопасной и compliant HR‑практике․