Да, подбор персонала подпадает под 152-ФЗ. Ключевой нюанс: пока кандидат не стал сотрудником, специальный режим главы 14 ТК РФ не действует — вы работаете с ним по общим правилам, как с любым субъектом ПД.
До трудового договора — общий режим 152-ФЗ
Трудовой кодекс, глава 14 (статьи 85–90), устанавливает специальный режим для персональных данных работников. Но он применяется только после того, как трудовой договор заключён. На этапе подбора кандидат — это ещё не работник.
Это означает, что вы не можете ссылаться на ТК РФ как на основание для обработки без согласия. На этапе отбора действуют общие правила 152-ФЗ: нужно письменное согласие на обработку данных для целей конкретной вакансии, если только обработка не осуществляется на ином законном основании, например, по требованию закона, но в HR-процессах таких оснований почти нет.
Согласие должно быть информированным и конкретным. Вы указываете, какие именно данные собираете, для какой вакансии, на какой срок, какие действия будете с ними совершать. Нельзя взять «универсальное» согласие и использовать его для всех целей.
Что нельзя запрашивать у кандидата
Статья 10 152-ФЗ запрещает обработку специальных категорий персональных данных. К ним относятся сведения о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья и интимной жизни.
Для HR это означает: вы не можете запрашивать у кандидата информацию о его здоровье, национальности, вероисповедании или политических взглядах. Это не только неэтично, но и прямо запрещено законом.
Исключения — случаи, когда такие данные разрешены самим субъектом для распространения в порядке статьи 10.1 152-ФЗ, или когда у вас есть письменное согласие в соответствии с частью 2 статьи 10, а также другие установленные законом основания. Но в реальной HR-практике эти исключения применяются крайне редко.
Типичная ошибка: в анкете или на собеседовании рекрутер задаёт вопрос о состоянии здоровья («часто ли болеете?», «есть ли хронические заболевания?»). Это прямое нарушение, даже если кандидат сам упомянул об этом в резюме. Если вы не имеете законного основания для обработки таких данных, вы не вправе их запрашивать и тем более фиксировать.
Использование резюме с job-порталов
Кандидаты размещают свои резюме на публичных площадках — hh.ru, HeadHunter, SuperJob и других. Эти данные доступны для просмотра, но это не означает карт-бланш на любые действия.
Когда вы скачиваете резюме с портала, вы получаете доступ к персональным данным кандидата. И вы становитесь оператором этих данных в момент, когда начинаете их обрабатывать — анализировать, сохранять у себя, передавать коллегам на согласование.
Вы обязаны получить согласие кандидата на обработку. Даже если резюме было опубликовано публично, это не отменяет требований 152-ФЗ. Публичность данных может освобождать от некоторых процедур только в ограниченных случаях, но они не относятся к HR-обработке.
Лучшая практика: при первом контакте с кандидатом направляете ему форму согласия на обработку данных для целей отбора. И только после получения подписанного согласия начинаете полноценно обрабатывать его данные — делать копии, передавать по инстанциям, сохранять в своей базе.
Хранение базы кандидатов
После того как вы приняли решение по вакансии и отказали кандидату, цель обработки считается достигнутой. Часть 4 статьи 21 152-ФЗ даёт 30 дней на уничтожение данных. Если вы не получили отдельное согласие на хранение в кадровом резерве, через 30 дней после отказа вы обязаны уничтожить все данные этого кандидата.
Отдельное согласие на хранение в базе кандидатов должно содержать:
- цель — хранение для рассмотрения на будущие вакансии;
- срок хранения;
- условия уничтожения.
Хранить резюме «на всякий случай» без такого согласия — нарушение. Если вы формируете базу кандидатов для будущего подбора, вы должны заранее получить согласие от каждого кандидата на включение в эту базу.
Важно: даже если кандидат дал согласие на хранение, вы не можете хранить его данные бессрочно. Срок должен быть разумным и определённым — например, один год или два года. По истечении срока данные уничтожаются, если кандидат не продлил согласие.
Подробнее о сроках уничтожения данных после отказа, включая процесс уведомления кандидата, читайте в статье данные кандидата после отказа.
Для работы с уже принятыми сотрудниками действует специальный режим главы 14 ТК РФ — он иной и во многих случаях более мягкий по части согласий. Подробнее об этом — в материале персональные данные сотрудников.
А полный гид по всем обязанностям оператора по 152-ФЗ, включая уведомление Роскомнадзора и публикацию политики, можно найти в полном гиде по 152-ФЗ.
Материал носит справочный характер и не заменяет консультацию юриста по конкретной ситуации.
Вопросы про 152-ФЗ в подборе персонала
Нужно ли получать согласие кандидата, если он сам разместил резюме на hh.ru?
Да, нужно. Публичное размещение резюме не освобождает вас от обязанности получить согласие на обработку для целей конкретного отбора. При первом контакте запросите письменное согласие.
Можно ли задать кандидату вопрос о состоянии здоровья на собеседовании?
Нет. Состояние здоровья — специальная категория по статье 10 152-ФЗ, её обработка запрещена без законного основания. Задавать такие вопросы даже в устной форме рискованно — это нарушение.
Что делать с резюме кандидата, который не прошёл собеседование?
Уничтожить его в срок до 30 дней с момента, как вы приняли решение об отказе. Если хотите сохранить для будущих вакансий — получите отдельное письменное согласие на хранение в кадровом резерве.
Я могу передать резюме кандидата другому руководителю внутри компании?
Да, но только если это предусмотрено целью обработки, которую вы указали в согласии. Если в согласии написано «для рассмотрения на вакансию менеджера», а вы передаёте резюме на вакансию аналитика — это обработка для новой цели, требуется новое согласие.
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 10 — специальные категории данных — consultant.ru
Нормы приведены по тексту 152-ФЗ, сверено 11.07.2026 и повторно 22.07.2026.