Персональные данные соискателей: что делать с резюме после отказа

Соискатель отправил резюме на вакансию, которую в компании закрыли еще три месяца назад. Резюме до сих пор лежит в почте HR-менеджера, а иногда и в общей CRM, куда его без разбора скопировали на этапе первичного отбора. Обработка персональных данных соискателей часто устроена именно так: собрали, посмотрели, забыли выключить хранение. Пока никто не жалуется, кажется, что ничего страшного не происходит. Жалоба в Роскомнадзор или иск бывшего кандидата меняют картину быстро.

Резюме - это персональные данные в чистом виде: фамилия, телефон, место работы, иногда паспортные данные и фотография. Компания, которая размещает вакансию, становится оператором персональных данных в момент получения первого отклика, и дальше на нее распространяются все требования 152-ФЗ - от законного основания обработки до сроков хранения и уничтожения. Хранение резюме соискателей - тема, где закон дает мало конкретики и много общих принципов, поэтому дальше разбираем по порядку: что делать с резюме после отказа, когда нужно отдельное согласие на кадровый резерв и как быть с базами hh.ru и похожих площадок. Правила почти везде одни и те же, отличаются только детали - формулировки в согласии, куда именно падает отклик, кто в компании видит резюме.

Сколько хранить резюме соискателей после отказа

Прямого срока хранения резюме отказников в 152-ФЗ нет. Закон формулирует принцип иначе: персональные данные должны быть уничтожены или обезличены, как только достигнута цель обработки, если более долгий срок не установлен договором, согласием субъекта или отдельным законом (статья 5 152-ФЗ о принципах обработки персональных данных). Для резюме цель обработки - закрыть конкретную вакансию. Вакансию закрыли, значит цель достигнута, и формальных оснований держать резюме дальше не остается.

На практике полностью обнулять базу на следующий день после найма никто не требует. У компании есть законный интерес подстраховаться на случай спора: кандидат, которому отказали, вправе обратиться с иском о необоснованном отказе в приеме на работу. Общий срок обращения в суд по индивидуальным трудовым спорам - три месяца со дня, когда человек узнал или должен был узнать о нарушении своего права (статья 392 ТК РФ), и на этот ориентир обычно опираются, когда определяют внутренний срок хранения резюме отказников. Держать резюме годами эта логика не оправдывает: три-шесть месяцев после закрытия вакансии обычно достаточно, дальше нужно либо основание продлить хранение, либо удалять данные.

Отдельная история - запрос кандидата о причине отказа. По статье 64 ТК РФ работодатель обязан по требованию кандидата дать письменное объяснение причины отказа в течение семи рабочих дней. Если резюме уже уничтожили, ответить по существу будет нечем - это тоже довод не удалять данные мгновенно, а держать их короткий разумный срок и уничтожать по истечении этого срока, а не сразу после отказа.

На каком основании обрабатывают персональные данные соискателя

Распространено заблуждение: раз 152-ФЗ требует согласие на обработку персональных данных, значит без подписанной бумаги от кандидата резюме трогать нельзя. Это не так. Обработка резюме на этапе отбора чаще опирается не на согласие, а на другое основание из статьи 6 закона - обработка необходима для заключения договора, стороной которого является субъект персональных данных, по его инициативе. Кандидат сам прислал резюме, чтобы заключить трудовой договор, отдельного согласия для этого просить не нужно, пока речь идет именно об этой вакансии и этой цели.

Ситуация меняется, как только компания хочет использовать данные для чего-то за пределами конкретного отклика: показать резюме в другом отделе, положить в общую базу кандидатов, передать рекрутинговому агентству, использовать телефон для рассылки о новых вакансиях. Это уже новая цель обработки, и под нее нужно отдельное правовое основание - как правило, согласие. Закрытый перечень случаев, когда обработка возможна без согласия субъекта, разобран в статье об обработке персональных данных без согласия: отговорка, что так было всегда принято, в этот перечень не входит.

Практический вывод для HR: если резюме используется строго под ту вакансию, на которую откликнулся человек, и хранится разумный срок после ее закрытия, отдельное согласие не обязательно. Как только данные выходят за эти рамки, согласие нужно, и с 1 сентября 2025 года по закону 156-ФЗ от 24 июня 2025 года оно должно быть оформлено отдельным документом, а не спрятано мелким шрифтом внутри формы отклика на вакансию.

Кадровый резерв: обработка данных соискателей только с согласия

Кадровый резерв персональные данные превращает в отдельную задачу, потому что цель обработки здесь заведомо шире закрытия одной вакансии. Компания хочет держать под рукой резюме сильных кандидатов, которым сейчас отказала, но которых готова позвать через полгода на похожую позицию. Формально это новая цель, и прежнее основание - заключение договора по инициативе субъекта - под нее уже не подходит: договор с этим конкретным кандидатом на эту конкретную вакансию не заключается.

Что обязательно указать в согласии

Согласие на хранение резюме в резерве получают до того, как резюме туда попало, а не задним числом, когда пришел запрос из РКН. В тексте согласия стоит прямо прописать несколько пунктов:

• цель обработки - хранение резюме для возможных будущих вакансий, а не для конкретной позиции;
• перечень данных, которые попадают в резерв, без лишнего запаса на всякий случай;
• срок хранения резюме в резерве и порядок его продления;
• право отозвать согласие и понятный порядок такого отзыва.

Если кандидат просит удалить резюме из резерва

Право на отзыв - не формальность. Кандидат, который год назад согласился полежать в резерве, а сейчас нашел другую работу и не хочет получать звонки от рекрутеров, вправе потребовать удалить его данные в любой момент. Как оформляется такой отзыв и что после него обязан сделать оператор, подробно разобрано в статье про отзыв согласия на обработку персональных данных. Игнорировать обращение и держать резюме в резерве до лучших времен - прямое нарушение закона.

Отдельно стоит проверить резерв, который копился годами без пересмотра: старые резюме под старым согласием, где даже формулировка цели уже не соответствует тому, как компания фактически использует данные сейчас. Если за это время менялась структура компании, названия должностей или сам процесс найма, разумно один раз пройтись по резерву целиком, а не ждать, пока несоответствие найдет проверяющий или сам кандидат, вернувшийся с жалобой на звонок через два года после отклика.

Резюме с hh.ru и других площадок: что уже разрешено, а что нет

Резюме с hh согласие получает не от работодателя напрямую, а от площадки: когда человек публикует резюме на hh.ru, SuperJob или похожем сервисе, он дает согласие оператору площадки на показ резюме зарегистрированным работодателям в целях подбора персонала. Дальше начинается серая зона, где чаще всего и ошибаются: работодатель, который скачал резюме к себе в CRM или переслал коллеге на почту, сам стал оператором этих данных, и согласие, данное площадке, автоматически на него не переносится.

Формально резюме, размещенное соискателем публично, может подпадать под режим общедоступных персональных данных, но с оговоркой: сам факт публикации резюме на hh.ru не означает, что любой работодатель вправе свободно копировать эти данные куда угодно и хранить бессрочно. Открытый профиль или резюме в публичном доступе не дает такой свободы действий, как принято думать: у этого статуса есть свои границы и исключения, и незнание о них не освобождает от требований закона.

Практика, которая снимает большинство вопросов: смотреть резюме на площадке, отбирать кандидатов там же, а в собственную базу переносить только тех, с кем реально идет переписка или назначено собеседование. Массово выгружать сотни резюме про запас в свою CRM без разбора - типичная ошибка сайтов с вакансиями и HR-сервисов, ей отдельно посвящен разбор в статье про HR-tech и сайты вакансий.

Похожая логика применима и к разделу Карьера или Вакансии на собственном сайте компании, если там стоит форма отклика с загрузкой файла резюме. Такая форма ничем не отличается от обычной формы заявки с точки зрения закона: она собирает персональные данные, и оператору нужно понимать, куда уходит файл после отправки, кто его получает и как долго он хранится на сервере до того, как попадет к рекрутеру. Если форму настраивал подрядчик три года назад и с тех пор в нее никто не заглядывал, велика вероятность, что резюме годами копятся во вложениях почты без какого-либо контроля.

Рекрутинговое агентство и аутсорсинг подбора: кто отвечает за резюме

Если вакансию закрывает не сама компания, а кадровое агентство или рекрутер-фрилансер, вопрос ответственности за резюме не решается сам собой. Агентство, которое собирает отклики и присылает заказчику короткий список, тоже становится оператором персональных данных на время подбора, у него свое основание обработки и свои сроки хранения, отдельные от тех, что действуют у компании-заказчика.

Практическая сложность в том, что заказчик обычно получает не только тех кандидатов, с кем в итоге назначено собеседование, а весь список - десятки резюме, из которых наняли одного человека. Оставшиеся резюме формально стали персональными данными, которые обрабатывает уже заказчик, а не только агентство, и на него распространяются те же требования: хранить не дольше, чем нужно для решения по вакансии, и уничтожить, когда решение принято.

Разумный вариант - прописать в договоре с агентством, кто и как долго хранит резюме непринятых кандидатов после закрытия вакансии, и не дублировать базу без необходимости: если резюме и так есть у агентства, копировать их себе в CRM заказчику незачем. Отдельный вопрос - согласие кандидата на передачу данных третьей стороне: если агентство работает не от имени заказчика, а как самостоятельный оператор, кандидат должен понимать, что его резюме увидит не только агентство, но и конечный работодатель.

Что делать с резюме после отказа: порядок действий

Порядок действий с резюме отказника выглядит проще, чем кажется, если он прописан заранее и не придумывается каждый раз заново под конкретного кандидата.

1. Зафиксировать дату отказа и дату закрытия вакансии - от нее считается срок хранения.
2. Если кандидат просил объяснить причину отказа, ответить письменно в течение семи рабочих дней с даты обращения.
3. Определить внутренний срок хранения - обычно три-шесть месяцев после закрытия вакансии, дольше только при отдельном согласии на резерв.
4. По истечении срока уничтожить резюме во всех местах, где оно осталось: почта рекрутера, общая CRM, папка на диске, бумажная распечатка.
5. Составить акт уничтожения, если объем данных требует фиксации по внутреннему регламенту компании - форма и обязательные пункты разобраны в статье про акт уничтожения персональных данных.
6. Если кандидат прямо попросил удалить его данные раньше внутреннего срока, выполнить запрос без дополнительных условий.

Отдельный момент - переписка в мессенджерах и соцсетях, через которые сейчас нанимают не реже, чем через почту. Если рекрутер вел диалог с кандидатом в Telegram или WhatsApp, эти данные тоже подлежат уничтожению по тем же правилам, а не остаются в переписке бессрочно просто потому, что технически их сложнее найти и удалить.

Как это выглядит на практике

Интернет-магазин собирает отклики на вакансию менеджера по продажам через форму на сайте: имя, телефон, ссылка на резюме. Та же форма часто становится точкой риска - если отклики без разбора падают в общий чат отдела продаж, доступ к резюме получают люди, которые вообще не участвуют в найме. Решение простое: отдельный почтовый ящик или отдельная воронка в CRM только для рекрутинга, без пересечения с рабочими чатами менеджеров.

Клиника ищет медсестру и получает резюме с дипломом, специализацией, иногда номером медицинской книжки. Это не персональные данные о здоровье самого кандидата, но обращаться с базой стоит внимательнее обычного - утечка резюме в медицинской организации выглядит для проверяющих особенно наглядно, а объяснить ее случайностью сложнее, чем в среднем по рынку.

Школа набирает учителя на замену в середине года, и отклики приходят не через форму, а личными сообщениями директору в мессенджере. Формально это тоже обработка персональных данных соискателя, и резюме кандидата, которому отказали, из личной переписки директора само по себе никуда не девается - его так же нужно удалить по истечении разумного срока, а не оставлять в чате бессрочно только потому, что так проще.

Кадровик, который ведет подбор для нескольких небольших компаний как самозанятый, часто хранит резюме кандидатов в одной личной таблице сразу для всех заказчиков. Это лишний риск: если один заказчик не давал согласия на то, чтобы его кандидатов видел кто-то еще, смешивание баз само по себе становится нарушением, даже если каждый заказчик в отдельности действует аккуратно. Общий принцип один и тот же вне зависимости от отрасли: отдельная точка сбора резюме, ограниченный круг тех, кто имеет доступ, и понятный срок хранения снимают большинство вопросов еще до того, как их успеет задать проверяющий.

Если кандидата приняли на работу

С момента подписания трудового договора статус данных меняется: соискатель становится сотрудником, а обработка его персональных данных переходит из преддоговорной стадии в трудовые отношения, которые регулирует уже не только 152-ФЗ, но и Трудовой кодекс. Резюме, анкета и сопроводительное письмо, собранные на этапе отбора, обычно перекладываются в личное дело и дальше хранятся по правилам, установленным для документов сотрудника, а не документов кандидата.

Это не значит, что все содержимое резюме автоматически переносится в личное дело без разбора. Стоит пересмотреть состав данных: желаемая зарплата, отзывы предыдущих работодателей, увлечения из графы о себе, как правило, не нужны в личном деле, и их можно не переносить. Полный список того, что работодатель обязан делать с данными уже принятого сотрудника - от согласий до передачи в бухгалтерию и фонды, в статье о персональных данных сотрудников и обязанностях работодателя.

Ответственность за нарушения при работе с резюме

Штрафы за нарушения с персональными данными соискателей ничем не отличаются от штрафов за любые другие персональные данные - закон не делает скидку на то, что речь идет о кандидате, а не о клиенте. С 30 мая 2025 года действуют оборотные штрафы, введенные законом 420-ФЗ от 30 ноября 2024 года: за утечку персональных данных штраф считается не фиксированной суммой, а процентом от оборота компании, и для организаций с базой в несколько сотен резюме суммы получаются чувствительные. При повторных нарушениях и особо крупных утечках закон предусматривает уголовную ответственность по статье 272.1 УК РФ.

На практике проверка РКН по жалобе бывшего кандидата - не редкость: не взяли на работу, кандидат обиделся, начал разбираться, откуда компания вообще получила и хранит его номер телефона и паспортные данные. Именно на таких историях чаще всего всплывает, что резюме годичной давности лежат в общей папке без какого-либо согласия и без внятного объяснения, зачем они там до сих пор.

Проверяющий обычно не гадает на глаз, а просит подтвердить законность обработки документами: согласие, если оно требовалось, внутренний регламент со сроками хранения, журнал учета, если он ведется, или акт уничтожения, если резюме уже удалили. Компания, у которой этих бумаг нет вообще, объясняет свою позицию хуже, чем компания, у которой сроки прописаны и по ним видно, что резюме удалили с опозданием на пару недель. Разрыв между полным порядком и полным его отсутствием на практике значит для итога проверки больше, чем один пропущенный срок.

Частые ошибки работодателей с резюме

Ниже - ошибки, которые встречаются почти в каждой компании, где отбором кандидатов занимается не один человек, а несколько, и никто явно не отвечает за судьбу резюме после закрытия вакансии.

Что делать: чек-лист для отдела кадров

Собрали в одном месте то, что стоит сделать в первую очередь, если в компании до сих пор нет четкого порядка работы с резюме отказников.

• Указать в форме отклика или в описании вакансии, на каком основании обрабатываются данные и сколько они хранятся.
• Разделить резюме на два потока: под конкретную вакансию без отдельного согласия и в кадровый резерв только с отдельным согласием.
• Назначить ответственного за уничтожение резюме по истечении срока - без конкретного человека этот пункт не выполняется никогда.
• Проверить, куда попадают резюме с hh.ru и подобных площадок, и закрыть доступ тем, кто не участвует в отборе.
• Прописать в локальном акте компании порядок ответа на запросы кандидатов об удалении данных.
• Пересмотреть шаблон отказа так, чтобы он не противоречил порядку хранения и не обещал того, чего компания не делает.

Часть этой работы - формулировки в форме отклика, тексты согласий и порядок хранения резюме на сайте - проще один раз оформить правильно, чем потом объяснять инспектору РКН, почему резюме трехлетней давности до сих пор лежит в общей папке. Если нужна помощь с доработкой формы отклика на вакансию, текстами согласий или структурой хранения резюме на сайте компании, это как раз то, с чем работает 152fzpro.ru.