Раздел «Карьера» на сайте выглядит как обычная страница с вакансиями и кнопкой «Откликнуться». Юридически форма отклика с загрузкой резюме — полноценный сборщик персональных данных со своими отраслевыми рисками, которые не описаны ни в одном общем чек-листе.
Почему обычный чек-лист проверки сайта на 152-ФЗ не подходит разделу «Карьера»
Общий чек-лист проверки сайта на 152-фз — какая нужна политика конфиденциальности, как оформить обычный чекбокс согласия, сколько стоит устранение нарушений — мы подробно разобрали в статье «Проверка сайта на 152-ФЗ: как проверить онлайн и что делать с результатом». Здесь его не повторяем.
Этот материал — для тех, кто отвечает именно за раздел «Карьера»: HR-специалиста корпоративного сайта, владельца рекрутингового агентства или агрегатора вакансий, маркетолога, который делал форму отклика и не соотносил её с 152-ФЗ так же, как форму заявки на услугу.
У формы отклика на вакансию минимум шесть отраслевых особенностей, которых нет в стандартном чек-листе: резюме как возможная спецкатегория персональных данных, отдельный чекбокс отклика, поручение обработки для агрегаторов, спорный срок хранения резюме отказавшихся кандидатов, локализация зарубежных ATS/HR-CRM и риск открытой публикации резюме. Разберём каждый пункт по порядку.
Технически форма отклика с полем «прикрепить резюме» ничем не отличается от любой другой формы сбора данных для автоматического сканера, которым находят нарушения. А вот по содержанию у неё гораздо больше специфики — начнём с самого резюме.
Резюме — это персональные данные, а иногда и спецкатегория
Резюме или анкета соискателя — обычные персональные данные: то, что считается персональными данными по закону, — это любая информация, прямо или косвенно относящаяся к определённому человеку. ФИО, телефон, e-mail, место работы, образование в резюме — то же самое, что имя и телефон в форме заявки на услугу (ст. 3 152-ФЗ).
Важно: сведения о здоровье, национальности, религии, политических взглядах или интимной жизни в свободном тексте резюме или сопроводительном письме — это уже не обычные, а специальные категории персональных данных (ст. 10 152-ФЗ). Их обработка требует отдельного письменного согласия — того же чекбокса формы отклика недостаточно.
Частая неточность — считать спецкатегорией «семейное положение» или обычное фото в резюме. Это не так: перечень ч. 1 ст. 10 152-ФЗ закрытый — раса и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь. Семейное положение и фото сами по себе в этот список не входят.
В резюме спецкатегория обычно «протекает» не там, где её ждут: не в графе «женат/не женат», а в графе «состояние здоровья» или справке для позиции с медосмотром — водитель, охранник, повар, — либо в упоминании вероисповедания или национальности в разделе «о себе».
Фото кандидата — тоже не биометрия сама по себе: биометрическими персональными данными оно становится, только если компания использует его для установления личности, например сверяет с документом при найме (ст. 11 152-ФЗ). Просто фото в резюме — обычные ПДн.
Практический вывод: если позиция реально требует справку о состоянии здоровья или в резюме встречаются данные из перечня ст. 10, нужно отдельное письменное согласие с обязательными реквизитами — ФИО, паспортные данные, цель обработки, перечень действий, срок и подпись (ч. 4 ст. 9 152-ФЗ). Это отдельный документ, а не тот же чекбокс, что стоит у обычной формы отклика.
Чекбокс согласия на обработку ПДн — отдельно от подписки на вакансии
У чекбокса согласия на обработку ПДн на форме отклика та же правовая база, что и у любой другой формы: согласие в любой форме, позволяющей подтвердить факт его получения (ч. 1 ст. 9 152-ФЗ). Технику оформления такого чекбокса мы разбирали отдельно — как оформить согласие на обработку персональных данных. Здесь — отраслевое следствие этой нормы.
У HR-сайтов типично два разных согласия рядом: (а) на обработку резюме для рассмотрения отклика и (б) на подписку на уведомления о новых вакансиях — по сути, рекламную рассылку.
Частая ошибка: объединять оба согласия в один чекбокс «Согласен на обработку данных». Это два разных основания с разной правовой базой: обработка отклика — 152-ФЗ, а рассылка о вакансиях дополнительно требует согласия по ст. 18 38-ФЗ «О рекламе» — реклама по сетям электросвязи возможна только с предварительного согласия адресата. За смешение согласий штрафуют так же, как за отсутствие согласия вовсе.
И ещё один нюанс, актуальный именно сейчас: с 1 сентября 2025 года согласие должно оформляться отдельным документом (156-ФЗ от 24.06.2025) — если форма отклика «прячет» согласие внутри общего пользовательского соглашения сайта вакансий, это тоже нарушение.
Не уверены, правильно ли оформлен чекбокс на форме отклика и не смешаны ли в нём два разных согласия?Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтАгрегатор вакансий = поручение обработки резюме работодателям
Если сайт — агрегатор вакансий и передаёт резюме кандидатов компаниям-работодателям для рассмотрения, это не техническая пересылка файла, а юридически «поручение обработки персональных данных третьим лицам» (ч. 3 ст. 6 152-ФЗ).
Для этого нужен договор с работодателем-клиентом, где прописаны перечень передаваемых данных, перечень действий с ними, цели обработки, обязанность соблюдать конфиденциальность и требования к защите данных, включая локализацию.
Малоизвестный, но важный нюанс: работодатель, которому поручена обработка, не обязан отдельно получать согласие кандидата — если действует строго в рамках договора (ч. 4 ст. 6 152-ФЗ).
Важно для владельцев агрегаторов: если работодатель-клиент допустит утечку резюме или использует их незаконно, первый спрос по 152-ФЗ — не с работодателя, а с вас как с агрегатора-оператора, который передал данные (ч. 5 ст. 6 152-ФЗ).
Отдельного штрафа «за отсутствие договора поручения» в КоАП нет: нарушение квалифицируют через общие составы ч. 1 или ч. 2 ст. 13.11 — обработка в непредусмотренных целях или без надлежащего согласия. Суммы — в таблице ниже.
Смежный риск для агрегаторов — не поручение, а незаконный массовый сбор чужих резюме с других площадок без согласия. Кроме административной ответственности по 152-ФЗ, это может подпасть под ст. 272.1 УК РФ — незаконные действия с персональными данными в электронном виде.
Сколько хранить резюме отказавшихся кандидатов: 30 дней или 1 год
Типичная практика — «храним резюме отказавшихся кандидатов на будущее» без чёткого срока. Без явного основания это обработка данных без законной цели, а значит, риск.
Два ведомства — два ответа. По разъяснениям Роскомнадзора, данные отказавшегося кандидата нужно уничтожить не позднее 30 дней с даты достижения цели обработки (ч. 4 ст. 21 152-ФЗ). Позиция Росархива иная: документы не принятых на работу хранятся 1 год как архивные, а не как персональные данные (ст. 438 Перечня, приказ Росархива № 236 от 20.12.2019). Прямого способа устранить это противоречие нет — безопаснее ориентироваться на более короткий срок надзорного органа по ПДн, то есть на 30 дней Роскомнадзора.
Если хотите оставить резюме подходящего, но не нанятого сейчас кандидата «на будущее», для кадрового резерва, — получите отдельное согласие на конкретный срок хранения. Во вторичных источниках для такого резерва встречается ориентир 5 лет, но это практика и рекомендация, а не прямая норма закона для коммерческих компаний.
Зарубежные ATS/HR-CRM и открытая публикация резюме: два скрытых риска
Первый риск — локализация. Общая норма (ч. 5 ст. 18 152-ФЗ) касается HR-систем так же, как любой другой базы персональных данных: если сайт складывает резюме в зарубежную ATS или HR-CRM без сервера в РФ, это риск по 242-ФЗ. Полный разбор нормы — в статье про локализацию персональных данных.
Уточнение, которое стоит сделать прямо: Huntflow и Skillaz, которые иногда по ошибке называют «зарубежными аналогами», на самом деле российские сервисы — у Huntflow дата-центры в Санкт-Петербурге и Москве, компания в реестре операторов ПДн и в реестре отечественного ПО, Skillaz поддерживает развёртывание с серверами в РФ. Реальный риск — не в них, а в по-настоящему зарубежных облачных ATS/HR-CRM вроде Greenhouse, Workday, BambooHR, Lever, Zoho Recruit и похожих, если такой сервис используется как единственное хранилище резюме кандидатов-граждан РФ.
Важно: отсутствие локализации базы резюме — самая дорогая позиция для HR-сайта: штраф по ч. 8 ст. 13.11 КоАП — от 1 000 000 до 6 000 000 ₽ для юрлица и ИП, а при повторном нарушении по ч. 9 — от 6 000 000 до 18 000 000 ₽.
Второй риск — публикация резюме в открытом доступе. Она регулируется отдельной нормой — ст. 10.1 152-ФЗ о согласии на распространение персональных данных, а не общим чекбоксом отклика (норма действует с 1 марта 2021 года).
Ключевой механизм здесь — презумпция запрета: если кандидат явно не разрешил распространение, данные всё равно не передаются неограниченному кругу лиц по умолчанию. Молчание кандидата не значит разрешение публиковать его резюме в открытой базе — это нужно спрашивать отдельно.
На практике крупные job-агрегаторы поэтому не публикуют резюме с открытыми контактами в общем поиске: контакты раскрываются работодателю только в рамках отклика на конкретную вакансию, а не любому посетителю сайта — это и есть работающая иллюстрация соответствия ст. 10.1.
Проверка сайта на 152-ФЗ и риск штрафов: сколько стоит нарушение
Проверка сайта на 152-фз и риск штрафов для раздела «Карьера» складывается из тех же составов ст. 13.11 КоАП, что и для любого другого сайта, — просто ставки в некоторых пунктах выше. Соберём их в одну таблицу — от недорогих формальностей до самых дорогих составов:
| Нарушение (в контексте HR-сайта) | Часть ст. 13.11 КоАП | Штраф юрлицу | Штраф ИП |
|---|---|---|---|
| Обработка резюме без надлежащего основания / передача работодателю без согласия | ч. 1 | 150 000–300 000 ₽ | как должностное лицо (50 000–100 000 ₽) |
| Форма отклика без надлежащего согласия (общий чекбокс на всё) | ч. 2 | 300 000–700 000 ₽ | как должностное лицо (100 000–300 000 ₽) |
| Нет политики обработки ПДн на сайте вакансий | ч. 3 | 30 000–60 000 ₽ | 10 000–20 000 ₽ |
| Нет локализации базы резюме (зарубежная ATS/HR-CRM) | ч. 8 | 1 000 000–6 000 000 ₽ | 1 000 000–6 000 000 ₽ |
| То же, повторно | ч. 9 | 6 000 000–18 000 000 ₽ | 6 000 000–18 000 000 ₽ |
| Утечка спецкатегорий ПДн из базы резюме (данные о здоровье) | ч. 16 | 10 000 000–15 000 000 ₽ | 10 000 000–15 000 000 ₽ |
Для иллюстрации, что именно смотрит регулятор у job-сайта, полезен исторический кейс: в 2016 году Роскомнадзор почти 40 дней проверял Superjob — место хранения данных, основания обработки, согласия и политику, трансграничную передачу. Вопросы вызвали Google Analytics (IP-адрес и cookie как косвенные ПДн) и публикация контактов рекомендателей без согласия. Итог тогда — предписание с полугодовым сроком устранения, о штрафе речи не было: это было до всех последующих реформ штрафов, поэтому суммы из той проверки не показательны — важна только структура проверки.
Специфических штрафов именно HR-порталам и агрегаторам вакансий за 2025–2026 год в открытых источниках не найдено — честно признаём это. Но форма отклика на вакансию технически неотличима от любой другой формы сбора персональных данных для автоматического сканера при проверке.
Проверка сайта на сайтвпорядке.рф бесплатна — в том числе онлайн проверка сайта на соответствие персональным данным для раздела «Карьера». Платно только исправление найденных нарушений — то есть если вас интересует проверка сайта на персональные данные стоимость её устранения, вот ориентир: один документ — от 15 000 ₽, все документы под ключ — 60 000 ₽, настройка чекбоксов — 5 000 ₽ + 500 ₽ за форму, проверка и устранение проблем с локализацией — от 5 000 ₽.