Персональные данные кандидатов стоят сотни тысяч, а не миллионы

По данным Роскомнадзора, за полтора года ведомство провело 52 административных расследования, составило 40 протоколов и назначило штрафы на общую сумму 2,6 млн руб. Размер санкции определяют по ступенчатой шкале. На верхней ступени действует оборотный штраф в процентах от годовой выручки. За один инцидент сумма может составить миллионы рублей. В спорах 2025–2026 годов об инцидентах с анкетами и кадровыми массивами суды назначали наказание в сотни тысяч рублей и снижали его ниже низшего предела, когда оператор нарушил впервые. Эти решения показывают, кто отвечает за базу откликов и от чего зависит размер санкции.

22 октября 16:00 МСК Онлайн Бесплатно Онлайн-конференция: Онбординг без созвонов Практика тех, кто каждый день заводит людей в продукт и в партнёрскую сеть. Зарегистрироваться

Что закон относит к персональным данным кандидата

База откликов редко выглядит как картотека с паспортами: рекрутер хранит резюме, заметки после интервью и результаты тестового задания. Федеральный закон № 152-ФЗ охватывает весь этот набор. Персональными данными считается любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу и позволяет его идентифицировать.

Под это определение попадает вся карточка кандидата, а информации в ней больше, чем в резюме. Поэтому компания отвечает за весь объем сведений, которые хранит о соискателе. Работодатель становится оператором персональных данных еще до кадрового и бухгалтерского учета — как только получает первый отклик.

Что попадает в карточку кандидата помимо резюме

Часть сведений из карточки кандидата регулярно оказывается в утечках. За первое полугодие 2026 года департамент киберразведки F6 обнаружил 88 новых случаев публикации утечек баз данных российских компаний. Открытыми оказались в основном ФИО граждан, адреса проживания, пароли, даты рождения, паспортные данные, номера мобильных телефонов и адреса электронной почты. Некоторые из этих полей собирает и обычная форма отклика на карьерном сайте: имя и фамилию, контакты для связи, адрес регистрации, сведения об образовании и прежних местах работы, желаемую должность и ожидания по зарплате, иногда фотографию.

Помимо резюме карточка содержит то, что рекрутер добавил сам:

• Заметки после интервью. Оценка навыков, комментарии о мотивации, пометка «вернуться через полгода».
• Результаты тестового задания. Файл с решением и переписка по правкам.
• Запись видеособеседования. Голос и изображение соискателя хранятся на сервере внешней платформы.
• Скриншоты профилей. Страницы кандидата в открытых источниках, сохраненные в карточку вместе с фото.
• Переписка в мессенджере. Номер телефона, аватар и сообщения об условиях вакансии.

Вся эта информация хранится в карточке ATS и при инциденте может попасть в выгрузку. После утечки опубликованные базы распространяются дальше: количество сообщений об их распространении за первое полугодие выросло с 23,8 тыс. до 38,1 тыс.

Чем данные кандидата отличаются от данных работника

Данные кандидата и работника обрабатывают на разных правовых основаниях. У сотрудника основанием обработки служат трудовой договор и кадровые обязанности работодателя: ведение личного дела, оформление приказов, подготовка отчетности в фонды. Какие сведения работодатель обрабатывает о сотруднике, определяет ТК РФ — по закону дополнительное согласие нужно не для каждого действия.

У кандидата трудового договора нет: до подписания договора вся обработка опирается на согласие соискателя. Работодатель остается оператором независимо от того, дошел человек до найма или отсеялся после короткого телефонного разговора. Отказ в приеме на работу меняет условия хранения, но не снимает с компании ответственность. Она должна сохранять законное основание для обработки, соблюдать установленный срок хранения и вовремя удалить данные.

Анкета кандидата: чем шире перечень полей, тем дороже инцидент

До первого инцидента состав анкеты компания может воспринимать как внутренний вопрос кадровой службы. Утекает ровно то, что собрано. Каждое лишнее поле в форме отклика увеличивает объем информации и расширяет круг субъектов в выгрузке. Ступень шкалы штрафа считают по числу пострадавших граждан.

По данным «СёрчИнформ», 51% российских организаций в 2025 году сталкивались с попытками хищения персональных данных. Аналитики связывают риск с объемом собранных данных: компании собирают все больше персональных данных, и вместе с массивом растет риск утечки.

Поля, без которых отбор проходит так же, из отклика убирают совсем. Часть данных на этом этапе не требуется: их запрашивают только при оформлении трудовых отношений. Такая правка сокращает объем информации, которую компания обязана хранить и защищать.

«Если можете решить свою задачу, не собирая персональных данных, не собирайте их».

Милош Вагнер, заместитель руководителя Роскомнадзора.

Компактную анкету проще контролировать перед аудитом: меньше полей нужно проверять на соответствие цели обработки и условиям хранения.

Согласие и срок хранения: где чаще возникают нарушения

При получении данных работодатель видит правовое основание: кандидат сам отправил отклик и поставил отметку о согласии на обработку персональных данных. Дальше карточка остается в базе — за сроком ее хранения уже никто не следит. Нарушение возникает, когда срок хранения в согласии заканчивается, а резюме остается в системе. На подбор такое нарушение не влияет, сбоев в работе не вызывает и в отчетности не отражается. Обнаруживается оно в двух ситуациях: при проверке регулятора и при инциденте.

Кадровый резерв: согласие на обработку персональных данных

Здесь действует отдельный режим обработки. Согласно разъяснению Роскомнадзора, ведение кадрового резерва трудовым законодательством не регламентировано, поэтому обработка персональных данных лиц, включенных в резерв, может осуществляться только с их согласия. Исключение сделано для действующих сотрудников, у которых соответствующие положения прописаны в трудовом договоре.

Вторая часть разъяснения касается информирования. Обязательным регулятор называет ознакомление соискателя с тремя пунктами:

• Условия ведения кадрового резерва в организации — на каких основаниях компания хранит данные кандидата для будущих вакансий.
• Срок хранения его персональных данных — как долго резюме остается в базе после отказа.
• Порядок исключения его из кадрового резерва — как соискателю выйти из списка.

На практике эти требования нужно закрепить в документах и в процедуре.

• Текст. Формулировка о резерве должна быть и в согласии, и в политике обработки персональных данных, а срок хранения дублируется в карточке кандидата.
• Процедура. Порядок исключения из резерва закрепляют локальным нормативным актом, а конкретного сотрудника назначают ответственным за его соблюдение.

Форма согласия кандидата: документ или отметка в анкете

Вопрос о том, нужен ли от кандидата подписанный документ, регулятор закрыл в том же разъяснении. Согласие на внесение соискателя в кадровый резерв оформляется либо отдельным документом, либо отметкой в соответствующем поле электронной формы анкеты на сайте организации.

Письменное согласие используют, когда кандидат приходит в офис и подписывает бумажный бланк. При отклике через работный сайт достаточно электронной отметки: она фиксирует факт согласия и дату. От этой даты отсчитывается срок хранения. Без этой даты нельзя проверить, не истек ли установленный срок.

При использовании скачанного шаблона согласия компании допускают типичную ошибку: в нем указывают больше целей обработки, чем требуется для работы с откликом. У кандидата берут согласие на передачу персональных данных третьим лицам и на маркетинговые рассылки, хотя обрабатывают отклик с одной целью — закрыть конкретную вакансию. Расширенный перечень целей увеличивает объем обязательств. Потом компании придется документально подтверждать обработку по каждой заявленной цели. В шаблоне указывают одну цель, ради которой отклик действительно обрабатывают.

Данные кандидата, которому отказали

Проверка чаще начинается после жалобы гражданина, чем по плану ведомства. Роскомнадзор получил почти 150 тыс. обращений граждан по поводу нарушений в области персональных данных, примерно на 20% больше, чем в предыдущем периоде. Такую жалобу может подать и отклоненный соискатель: отказ у него на руках, отношений с работодателем не осталось.

Чтобы выстроить процедуру удаления резюме, хватает трех действий:

• Срок хранения устанавливают в политике обработки персональных данных.
• Дату уничтожения отмечают в карточке сразу при сохранении отклика.
• Чистку базы ставят на расписание и назначают ответственного сотрудника, чтобы удаление персональных данных не зависело от загрузки кадровой службы.

ИИ в отборе: обработка, о которой кандидату не говорят

Отбор откликов все чаще идет через алгоритм:

• платформа ранжирует резюме;
• первичное интервью проводят с помощью чат-бота;
• модель размечает запись видеособеседования.

Для кандидата каждый такой сервис становится еще одним обработчиком его анкеты. По данным get experts, 49% компаний уже используют ИИ в рекрутинге, еще 21% планируют начать в течение года.

Что кандидат узнает об алгоритме

Работодатели используют ИИ чаще, чем сообщают об этом соискателям. Только 35% компаний сообщают кандидатам, что с ними взаимодействует ИИ. При этом 76% опрошенных беспокоятся, что алгоритм неверно оценит их опыт и навыки.

Когда отклики разбирает внешняя платформа, персональные данные кандидата попадают к подрядчику. Оператором остается работодатель, поэтому он отвечает за дальнейшую обработку резюме. В договоре с сервисом компания закрепляет порядок передачи персональных данных, сроки их хранения и способ уничтожения. Компания отдельно предупреждает кандидата о работе алгоритма и тем самым информирует его об обработке данных. Такое предупреждение может снизить опасения насчет процедуры отбора. Текст помещают в описание вакансии и в согласие.

Почему часть компаний не использует алгоритм для отбора резюме

Отказ от алгоритма работодатели объясняют качеством найма: 46% компаний называют человеческий фактор критичным для подбора. Так же настороженно смотрят на алгоритм и кандидаты: у 44% интерес к вакансии падает, когда они замечают, что работодатель использует ИИ.

«ИИ — это только вспомогательный инструмент, который облегчает работу HR-специалиста, но не может полностью его заменить».

Ольга Краева, директор направления «Технология», партнер get experts.

Такая осторожность помогает и в работе с данными. Каждый подрядчик в отборе добавляет договор и еще одну копию резюме. Чем больше систем и подрядчиков подключено к отбору, тем больше мест хранения и передачи персональных данных приходится контролировать.

Сколько стоит утечка резюме: четыре судебных решения 2025–2026

Споры по новым частям статьи 13.11 КоАП РФ дошли до судов в 2026 году — по этим решениям виден разброс санкций за один класс нарушения. Анкеты кандидатов прямо фигурируют в одном деле из четырех, в остальных трех речь о клиентских и кадровых массивах. Во всех четырех делах применяется статья 13.11 КоАП, но конкретная часть и размер санкции зависят от квалификации нарушения. При выборе наказания суды учитывали обстоятельства конкретного дела: статус микропредприятия, повторность нарушения, устранение выявленных нарушений и доказанность вины оператора.

Утечка анкет кандидатов «Гаскар Интеграция» и «Гаскар Технологии»: штраф 75 тыс. руб. одной компании

Так, в июле 2025 года хакеры получили доступ к анкетам кандидатов и работников ООО «Гаскар Интеграция» и ООО «Гаскар Технологии». Данные оказались в сети. В марте 2026 года Арбитражный суд Москвы по требованию Роскомнадзора привлек обе компании к ответственности по ч. 1 ст. 13.11 КоАП. Одной вынесли предупреждение, второй назначили штраф в размере 75 тыс. руб.

«Юкидс»: 400 тыс. руб. за компрометацию данных 300 тыс. человек

Онлайн-академия для детей ООО «Юкидс» допустила компрометацию персональных данных более 300 тыс. человек. 5 марта 2026 года Арбитражный суд Москвы по требованию Роскомнадзора признал ее виновной по ч. 14 ст. 13.11 КоАП. Для юридических лиц эта часть предусматривает штраф от 5 млн до 10 млн руб. Но компании удалось обойтись наказанием в 400 тыс. руб.: суд учел статус микропредприятия.

«ПКР Аналитика»: предупреждение вместо штрафа оператору персональных данных

Инвестиционно-аналитическая группа «ПКР Аналитика» допустила компрометацию данных около 70 тыс. клиентов. Вместо штрафа в 5–10 млн руб. по ч. 13 ст. 13.11 КоАП РФ Арбитражный суд Санкт-Петербурга ограничился предупреждением: правонарушение компания совершила впервые.

РЖД: 17 млн строк с данными сотрудников и отмена штрафа в апелляции

Из-за утечки 17 млн строк с данными о сотрудниках суд первой инстанции оштрафовал ОАО «РЖД» на 150 тыс. руб. по ч. 1 ст. 13.11 КоАП. 16 февраля 2026 года Девятый арбитражный апелляционный суд штраф отменил и посчитал вину компании недоказанной.

В трех из четырех дел суд назначил наказание ниже предусмотренного соответствующей частью статьи или ограничился предупреждением. В четвертом апелляционный суд отменил штраф. Эти решения показывают, что заранее определить его размер только по масштабу утечки нельзя: суд учитывает квалификацию нарушения и обстоятельства конкретного дела. Вопрос о вине оператора решается в суде, а практика по таким спорам пока не устоялась. Рассчитывать на такой исход в апелляции преждевременно.

Шкала штрафов и что показывает практика Роскомнадзора

С 30 мая 2025 года штраф за утечку персональных данных считают по числу пострадавших. До майских поправок такой градации в статье 13.11 КоАП не было — размер наказания слабо зависел от масштаба инцидента. Дифференцированные штрафы установлены в частях 12–18 статьи 13.11 КоАП:

• Менее 1 тыс. пострадавших: 150–300 тыс. руб. для компании.
• От 1 тыс. до 10 тыс. человек: 3–5 млн руб. для компании.
• От 10 тыс. до 100 тыс. человек: 5–10 млн руб. для компании.
• Свыше 100 тыс. человек: 10–15 млн руб. для компании.
• Повторная утечка: оборотный штраф 1–3% годовой выручки.

Ступень шкалы штрафа зависит от числа пострадавших субъектов. Для базы откликов учитывают, сколько кандидатов попало в конкретную утечку.

Роскомнадзор составил с 30 мая по 31 декабря 2025 года 31 протокол по фактам утечек персональных данных, а за тот же период 2024 года их было 33\. Количество жалоб тоже существенно не выросло: по итогам 2025 года ведомство не зафиксировало роста обращений о компрометации личной информации. Их считают отдельно от обращений граждан по нарушениям в области персональных данных: по этой категории за полтора года прирост составил около 20%.

Точный масштаб утечек при этом неизвестен даже исследователям. Аналитики InfoWatch зафиксировали за 2025 год 739 инцидентов утечек информации ограниченного доступа в российских организациях, на 17,8% меньше, чем в 2024 году. Снижение исследователи связывают с изменениями на теневом рынке, а не с сокращением компрометации. Количество скомпрометированных записей известно лишь в 37% зарегистрированных инцидентов.

Как Роскомнадзор находит нарушения в обработке персональных данных

Проверка сайта не требует ни жалобы, ни выезда инспектора: ресурсы сканирует информационная система ведомства. Роскомнадзор проверил 159,1 тыс. интернет-сайтов и нашел нарушения на 135,95 тыс. из них. Жалобы при этом влияют на очередность: в первую очередь система проверяет ресурсы и направления, на которые жалуются граждане.

Для этой системы карьерная страница с формой отклика ничем не отличается от любой другой страницы сайта работодателя: там так же собираются персональные данные — компания обязана публиковать политику обработки. Анкета без ссылки на нее и без отметки о согласии попадает в выборку по формальному признаку еще до инцидента.

Статистика штрафов за 2026 год отражает переходный период, поэтому по ней нельзя судить о суммах следующего года.

«Учитывая, что много дел все еще рассматриваются по старым правилам КоАП, до майских поправок, мы еще не видим огромных штрафов».

Мария Осташенко, руководитель практики защиты персональных данных и кибербезопасности юридической фирмы АЛРУД.

Кто отвечает за базу резюме внутри организации

Отвечает за персональные данные компания, а лежат они в корпоративной почте, мессенджере и ATS у конкретных рекрутеров. Повседневные действия сотрудников остаются одним из источников утечек. По данным «СёрчИнформ», в 66% случаев причиной становились их ошибки и незнание базовых правил кибергигиены.

Отправка резюме в личный мессенджер или на домашнюю почту относится к таким случаям. Одного запрета недостаточно: при срочной задаче сотрудник может его обойти, если доступ технически не ограничен. Для защиты массива компания закрепляет правила работы с данными и настраивает права доступа:

• Свои кандидаты. Рекрутер открывает только те карточки, с которыми работает сам.
• Выгрузка целиком. Экспорт всей базы проходит через согласование.
• Уход сотрудника. Доступ отключают в день увольнения.

Закон не освобождает малый бизнес от статуса оператора. Размер компании суд учитывает позже, уже при назначении штрафа: в деле «Юкидс» статус микропредприятия сработал как смягчающее обстоятельство. В отчете InfoWatch зафиксировано, что 46% пострадавших организаций относятся к малым предприятиям численностью до 49 человек. Исследователи связывают это со слабой защищенностью малого и среднего бизнеса. Фирма из десяти сотрудников с формой отклика на сайте отвечает за собранные резюме по тем же правилам, что и холдинг с кадровой службой.

В небольших компаниях обязанности ответственного за обработку персональных данных обычно берет на себя кадровик или директор. После назначения он:

• следит за сроком хранения;
• чистит картотеку;
• отвечает на требование кандидата удалить его персональные данные.

Что проверить в базе резюме на этой неделе

Достаточно четырех вопросов.

• Основание обработки. У любой карточки оно должно быть: согласие соискателя, трудовой договор сотрудника или отметка в анкете о кадровом резерве.
• Срок хранения. В согласии указывают дату окончания срока, и она видна в карточке кандидата.
• Порядок уничтожения. В компании назначен сотрудник, который очищает базу по расписанию. Для кадрового резерва отдельно закреплен порядок исключения кандидата.
• Информирование об алгоритме. Кандидат предупрежден, что часть работы по отбору ведет ИИ-сервис, и знает, какие персональные данные уходят подрядчику.

Для внутренней проверки каждый пункт сверяют с документами и карточкой кандидата. В шаблоне согласия смотрят основание обработки, а в ATS — настройку удаления просроченных карточек. Срок хранения и информирование об алгоритме контролируют отдельно.

Суммы из заголовков отраслевых обзоров по 152-ФЗ относятся к верхним ступеням шкалы и к инцидентам другого масштаба. Для базы резюме счет пока идет на сотни тысяч рублей. Размер штрафа зависит от квалификации нарушения, числа пострадавших и обстоятельств конкретного дела.