Типовые нарушения в рекрутинге
Избыточный сбор персональных данных кандидатов.
Отсутствующее и/или некорректное согласие/ отсутствие обоснования законного интереса.
Бесконечное хранение персональных данных кандидатов.
Расхождение документов (ЛНА, согласия, типовые формы) с реальным процессом.
Отсутствие описанного процесса рекрутинга в политике обработки персональных данных и в реестре процессов обработки персональных данных.
Отсутствие заявленной цели обработки персональных данных «подбор персонала» в реестре Роскомнадзора.
Неправомерная передача (в том числе трансграничная) персональных данных кандидатов внутри холдинга (группы компаний).
Отсутствие поручения на обработку персональных данных, если сбор персональных данных ведет 3-е лицо (кадровое агентство).
Использование зарубежных нелокализованных информационных систем в процессе.
Чек-лист проверки обработки персональных данных в рекрутинговой функции компании
До сбора персональных данных
Проверить:
- наличие в реестре обработки персональных данных компании цели обработки: подбор персонала (соискателей) на вакантные должности оператора (иной подобной);
- отражение цели подбора кандидатов в локальных актах (реестре обработки персональных данных) с указанием всех обязательных элементов, предусмотренных п. 2 ч. 1 ст. 18.1 Закона № 152-ФЗ.Определить перечень лиц, имеющих доступ к персональным данным кандидатов (HR, рекрутеры, руководители, кадровые специалисты).
Провести инвентаризацию каналов сбора данных о кандидатах (мессенджеры, рекрутинговые и кадровые агентства, системы управления подбором персонала, веб-формы на сайте и пр.).
В зависимости от канала, проверить наличие необходимых документов: политики в отношении обработки персональных данных, согласия на обработку персональных данных, договоров с рекрутинговыми компаниями/ поручений на обработку и пр.
Определить:
- перечень обрабатываемы персональных данных (собирать можно только те данные, которые относятся к деловым качествам кандидата);
- основания обработки персональных данных (согласие, законный интерес, договорное основание);
- сроки обработки (исключить бесконечное хранение).При использовании информационных систем проверить, что сбор и хранение данных обеспечивается на серверах, расположенных в Российской Федерации.
Сбор и обработка персональных данных
Минимизировать данные: ФИО, контактная информация, образование и квалификация, релевантный трудовой стаж, трудовые достижения. Например, в анкете кандидата не должны запрашиваться: сведения, не относящиеся к деловым качествам, избыточные данные для конкретной должности.
Обработка дополнительных данных допустима, если:
- прямо предусмотрено законом (например, для педагогов – сведения о судимости);
- обусловлена спецификой работы и не носит дискриминационный характер (например, знание иностранного языка для переводчика, наличие водительских прав для водителя и т.п.)
Форма анкеты кандидата:
Допустимо обрабатывать: контактную информацию, трудовую биографию, образование и квалификацию, профессиональные навыки, идентификационные сведения.
Не допустимо обрабатывать: сведения о социальных сетях; сведения о финансовом состоянии; личную информацию; юридическую историю; сведения об имуществе и об обязательствах; сведения о 3-х лицах; семейный статус.
Форма согласия кандидата:
Форма любая, позволяющая подтвердить факт его получения.
Должна соответствовать требованиям к согласию (свободное, конкретное, предметное, информированное, сознательное, однозначное, отдельное).
Обязательные реквизиты: наименование и адрес оператора, цель обработки, перечень обрабатываемых персональных данных, способ обработки и перечень действий с персональными данными; срок действия согласия, порядок отзыва; ссылка на политику (при сборе данных на сайте).
Обязательная письменная форма – если планируются особые действия (например, обработка биометрических персональных данных в СКУД и т.д.)
Резюме, анкеты кандидатов хранятся в защищенном месте (запираемый шкаф, CRM с ограниченным доступом). Обеспечена защита персональных данных от «утечек» (пароли, лимиты доступа, шифрование).
Достижение цели обработки персональных данных
При достижении цели обработки:
– Обеспечить уничтожение персональных данных с составлением актов/ журналов выгрузки. Срок уничтожения – в течение 30 дней с даты достижения цели. Возможно продление до 6 мес.
– Согласия на обработку персональных данных передать на хранение. Срок хранения – 3 года. После достижения предельного срока хранения – уничтожить. Срок уничтожения – 30 дней со дня истечения срока хранения.
