Классический пример, с которым я регулярно сталкиваюсь в своей практике: HR-менеджер проводит собеседование с перспективным кандидатом. Чтобы не потерять его и ускорить процесс, он просит у соискателя копию паспорта, СНИЛС и ИНН. Кандидат без проблем соглашается. Кажется, всё сделано правильно. А на самом деле компания только что сделала шаг в сторону штрафа до 700 тыс. рублей.

Это один из самых частых сценариев, когда благие намерения ведут к нарушению закона № 152-ФЗ. Руководители и HR-специалисты часто рассматривают этот закон как очередную бюрократическую преграду. Я же предлагаю посмотреть на него иначе: как на свод правил, который помогает выстроить безопасные и эффективные процессы, защищая бизнес от колоссальных финансовых и репутационных рисков.

НИЧЕГО ЛИШНЕГО

Главный принцип, который сэкономит вам миллионы: «Ничего лишнего».

Закон о персональных данных основан на одном простом принципе: цель обработки определяет объем данных. Вы можете собирать только ту информацию, которая абсолютно необходима для конкретной, заранее определенной и законной цели.

Представьте, что вы собираете «корзину данных» для определенной задачи, как будто идете в магазин со списком покупок для конкретного блюда.

Ошибка многих – брать с полки всё подряд «на всякий случай». Это и есть главное нарушение:

– на этапе кандидата ваша цель – оценить его квалификацию. Для этого не нужны его паспорт, ИНН, СНИЛС, данные о семейном положении. Достаточно ФИО, контактов, информации об образовании и опыте. Всё остальное – избыточно и незаконно;

– на этапе трудоустройства цель меняется – теперь это оформление трудовых отношений в соответствии с ТК РФ. Вот здесь вам уже нужны паспортные данные, СНИЛС, документы воинского учета и т. д. (ст. 65 ТК РФ);

– на этапе работы появляются новые цели. Хотите разместить фото сотрудника на сайте в разделе «Наша команда» или передать его данные в стороннюю организацию для оформления ДМС? Это новая цель, и на нее нужно отдельное согласие.

РАЗДЕЛИТЕ ВЕСЬ ПРОЦЕСС НА ТРИ ЛОГИЧЕСКИХ БЛОКА

1. Кандидат: «Информационная диета»

Запрашивайте минимум: только то, что нужно для оценки (ФИО, контакты, резюме). Уберите лишние поля из анкет: графы «семейное положение», «дети», «место жительства» – это избыточные данные. Не копируйте документы: никогда не берите копии паспорта или СНИЛС у кандидата, которому вы еще не сделали официальное предложение о работе.

Получите согласие: даже на этот минимум данных у вас должно быть согласие кандидата на обработку его ПДн (можно включить галочку в электронной форме отклика или дать подписать краткую форму на собеседовании).

2. Сотрудник: «Всё по полочкам»

Разделяйте согласия: не пытайтесь вписать возможные цели в одно общее согласие при приеме на работу. Это порочная практика. Некоторые цели появляются уже в процессе трудовых отношений (публикация фото, передача данных для ДМС), и они требуют отдельного согласия.

Проверьте личные дела: убедитесь, что там нет копий свидетельств о рождении детей или паспортов супругов, если это не требуется по закону для предоставления льгот (например, налоговых вычетов). Для стандартного личного дела они не нужны.

Биометрия – особая зона риска: отпечатки пальцев или система распознавания лиц для входа в офис – это биометрические данные. Их обработка требует только письменного согласия и серьезного обоснования.

3. Бывший сотрудник: «Порядок в архиве»

Определите сроки хранения: вы не можете хранить данные вечно. Личные дела, трудовые договоры и другие кадровые документы хранятся 50/75 лет (в зависимости от даты создания). А вот анкеты неуспешных кандидатов должны быть уничтожены. Разработайте акт уничтожения: процесс удаления данных (как бумажных, так и электронных) должен быть задокументирован.

Отзовите согласия: после увольнения прекращается действие согласий, которые были связаны с трудовой деятельностью (например, на публикацию фото на сайте). Фото нужно убрать.

КАК ПОСТРОИТЬ СВОЮ «КРЕПОСТЬ ДАННЫХ», А НЕ КАРТОЧНЫЙ ДОМИК

Чтобы чувствовать себя уверенно, недостаточно просто собрать пачку согласий. Вам нужна система, состоящая из трех ключевых элементов:

1.  Локальные нормативные акты. У вас должно быть разработано и утверждено «Положение об обработке персональных данных». Это ваша внутренняя конституция, где прописаны все правила: кто имеет доступ, как данные защищаются, каковы сроки хранения. Этот документ должен быть доступен всем сотрудникам.

2. Правильно собранные согласия. Пересмотрите свои шаблоны. Убедитесь, что они конкретны, однозначны и покрывают ровно те цели, которые вам нужны. Универсальных согласий «на все случаи жизни» не существует.

3. Ответственный за обработку персональных данных. Назначьте приказом сотрудника, который будет отвечать за всю систему. Он должен не просто числиться на бумаге, а реально понимать процессы и контролировать их.

Работа с персональными данными – это не бремя, а элемент современной бизнес-гигиены. Порядок в документах сегодня – это сэкономленные миллионы и спокойный сон завтра. Для примера, в одной из крупных компаний, аудит которой я проводила в прошлом году, за несоблюдение этих элементарных шагов в текущих реалиях компании грозили штрафы на общую сумму более 14 миллионов рублей.

Хотите провести стресс-тест вашей системы обработки персональных данных? Начните с простого аудита: проверьте личные дела трех случайных сотрудников на наличие избыточных документов и соответствие согласий реальным целям. Результаты могут вас удивить.