При подборе персонала мы берем у соискателей согласие на обработку персональных данных. Какой максимальный срок хранения персональных данных кандидата допустим с целью внесения во внутреннюю базу данных/ включения в кадровый резерв, содействия в трудоустройстве, в том числе предложения кандидату вакантных должностей?
Главное
По общему правилу оператор должен обеспечить уничтожение (или обезличивание) персональных данных соискателей не позднее 30 дней с даты достижения цели обработки персональных данных (ч. 7 ст. 5, ч. 4 ст. 21 Закона о персональных данных). Обработка персональных данных соискателей на замещение вакантных должностей в рамках правоотношений, урегулированных Трудовым кодексом РФ, предполагает получение согласия соискателей на замещение вакантных должностей на обработку их персональных данных на период принятия работодателем решения о приеме либо отказе в приеме на работу.
Ведение кадрового резерва на сегодняшний день трудовым законодательством не регламентировано. В этом случае, обработка персональных данных лиц, включенных в кадровый резерв, может осуществляться только с их согласия, которое может быть оформлено, в том числе в форме отдельного документа.
Обязательным является условие ознакомления соискателя с условиями ведения кадрового резерва в организации, сроком хранения его персональных данных, а также порядком исключения его из кадрового резерва. {<Разъяснения> Роскомнадзора "Вопросы, касающиеся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве" {КонсультантПлюс}}.
В Законе о персданных есть одна лазейка - его действие не распространяется на отношения по организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда РФ и других архивных документов в соответствии с законодательством об архивном деле в РФ (ч. 2 ст. 1 Закона о персданных). Росархив допускает, что заявления, анкеты и справки, которые компания получила от кандидата, можно хранить в архиве в течение года, а документы (списки, представления, характеристики, анкеты, резюме) по формированию кадрового резерва - в течение 5 лет (ст. 438, 439 Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения, утв. Приказом Росархива от 20.12.2019 N 236).
Однако Роскомнадзор обратил внимание, что документ становится архивным только после принятия собственником (владельцем) документа решения о передаче его в архив в связи с закрытием дела, то есть в связи с тем, что данный документ окончательно исполнен и в процессе текущей хозяйственной деятельности организации более не пригодится (письмо от 02.03.2020 N 13677-02-11/77).
Поэтому для снижения рисков лучше применить другое решение - указать в согласии на обработку персональных данных, что они переданы в том числе для помещения соискателя в кадровый резерв организации, и определить срок их обработки - 5 лет.
Обоснование
Законом не установлен специальный порядок обработки персональных данных соискателей на замещение вакантных должностей, поэтому соблюдайте общие требования, как при обработке персональных данных работников организации. При этом есть некоторые нюансы, связанные в том числе с целью обработки персональных данных, способом их получения. Так, вам понадобится, в частности:
- получить письменное согласие соискателя на обработку персональных данных - обычно в тех же случаях, что и от работника. По мнению Роскомнадзора, такое согласие получают на период принятия работодателем решения о приеме или отказе в приеме на работу (п. 1 ч. 1 ст. 6, п. 8 ч. 4 ст. 9 Закона о персональных данных, Разъяснения Роскомнадзора);
- определить цель обработки персональных данных, связанную с трудоустройством соискателя, а также включать в перечень персональных данных только те сведения, которые необходимы для принятия решения о трудоустройстве или отказе в приеме на работу. Например, данные об образовании и (или) о квалификации - если работа требует специальных знаний (подготовки). Напомним, что указанные цель и перечень персональных данных должны содержаться, в частности, в письменном согласии соискателя на обработку его персональных данных (ч. 1, 2 ст. 65, п. п. 1, 4 ст. 86 ТК РФ, ч. 2 ст. 5, п. п. 4, 5 ч. 4 ст. 9, ч. 1, п. 2.3 ч. 2 ст. 10 Закона о персональных данных);
- если вы используете для сбора персональных данных соискателей типовую форму анкеты соискателя в бумажном виде, она должна соответствовать установленным требованиям, а также содержать информацию о сроке ее рассмотрения и принятия решения о приеме либо отказе в приеме на работу (Разъяснения Роскомнадзора);
- если вы получаете резюме соискателя по электронной почте, необходимо проверить факт направления резюме самим соискателем, например, пригласив его на личную встречу или получив от него обратную связь по электронной почте. Если резюме составлено в произвольной форме, которая не позволяет однозначно определить лицо, его направившее, такое резюме нужно уничтожить в день получения (Разъяснения Роскомнадзора);
- обеспечить уничтожение (или обезличивание) персональных данных соискателей не позднее 30 дней с даты достижения цели обработки персональных данных, например с даты принятия решения об отказе в приеме на работу (ч. 7 ст. 5, ч. 4 ст. 21 Закона о персональных данных).
Клиентский опыт
В дополнение к основному ответу мы хотели бы поделиться с Вами Клиентским опытом решения похожих проблем. О наиболее полезных инструментах и методах решения аналогичных вопросов Вы сможете прочитать в документе «Безопасная работа с персональными данными в 2024 году».
Хочу рассмотреть Алгоритм с экспертом по КонсультантПлюс
В Приложении к ответу Вы найдете: