Про кадровые агентства и персональные данные мне задают много вопросов - в том числе читатели моего телеграм-канала и канала в MAX, где я пишу про 152-ФЗ. Почти все сводятся к одному: кто за что отвечает - агентство или компания, которая его наняла.
Тема и правда непростая: в работе с одной компанией агентство успевает побыть обработчиком, самостоятельным оператором и работодателем. Разберу её глазами компании-работодателя: дальше «вы» - это работодатель, а агентство - всегда третья сторона.
Для разбора проблемной ситуации возьму придуманную логистическую компанию на 300 человек: она открывает новый склад. Руководителя ищут через кадровое агентство, у того же агентства берут 30 кладовщиков на время запуска. Подбор проходит гладко, склад запускается, об агентстве забывают. Через три месяца HR-директор открывает почту - там запрос Роскомнадзора по жалобе кандидата: «Откуда у вас моё резюме? В это агентство я не обращался».
Первая реакция директора понятна: агентство нашло кандидата, агентство пусть и отвечает. Так ли это?
Чаще всего отвечает не только агентство. За свою часть обработки компании придётся объясняться самой, а за обработку без законного основания юрлицу грозит штраф 150–300 тыс. ₽ (ч. 1 ст. 13.11 КоАП).
И это только первый из шести сюрпризов, которые прячутся в обычном подборе через агентство. Разберу их по порядку - на примере этого склада.
Главное: роль агентства определяют по цели
Это сценарии, а не ярлык на всю компанию. Одно агентство может вести свою базу и параллельно работать по вашему поручению - роль определяют для каждой обработки отдельно. Критерий закона: оператор - тот, кто определяет цели обработки, состав данных и действия с ними (п. 2 ст. 3 152-ФЗ). Название договора - «услуги по подбору» - само по себе ничего не решает.
Есть мысль важнее. При подборе решение, брать ли кандидата, принимаете вы - значит, и на свой этап отбора основание нужно ваше, а не только агентства. А за обработчика перед кандидатом отвечаете вы (ч. 5 ст. 6 152-ФЗ). Кто и какой штраф получит, если что-то пойдёт не так, - отдельный вопрос: это зависит от конкретного состава КоАП.
Ниже каждый сюрприз для удобства структурирую одинаково. Сначала - что сделало агентство и в какой роли. Потом - что это значит для вас и что делать.
Сюрприз 1. «В это агентство я не обращался»
Вернёмся к жалобе. У агентства своя база на десятки тысяч резюме, и кандидатов оно предлагает разным клиентам. Резюме того самого кандидата агентство когда-то взяло с job-сайта - а самому человеку ничего не сообщило.
Агентство: нашло резюме в своей базе и передало вам. В этой части оно - самостоятельный оператор.
Вы: получили резюме и решаете, звать ли кандидата на интервью. На этот этап оператор - вы, и вопросы к вам свои.
Зона агентства: основание на передачу
Чтобы передать резюме вам, агентству нужно основание, которое покрывает именно эту передачу. На практике это обычно согласие кандидата - на передачу вам или такому кругу компаний, по которому получателей можно определить. Согласие должно быть конкретным, предметным и информированным (ч. 1 ст. 9 152-ФЗ). С 1 сентября 2025 года согласие ещё и оформляется отдельно от других документов, которые человек подписывает или подтверждает (ч. 1 ст. 9 152-ФЗ).
Зона агентства: почему разъяснения РКН не спасают
На вопрос об основании агентство может ответить: «Роскомнадзор же разрешил». Речь о разъяснениях регулятора от 14.12.2012 о соискателях. Там сказано, что для обработки данных соискателя нужно его согласие - но есть два исключения.
Первое - от имени соискателя действует кадровое агентство, с которым он заключил договор. Исключение узкое - оно про агентство, которое работает на кандидата. В этой истории всё наоборот: договор у агентства с вами, а кандидат с агентством ничего не подписывал.
Второе - соискатель сам разместил резюме в интернете для неограниченного круга лиц. Эта логика держалась на п. 10 ч. 1 ст. 6 об общедоступных данных - а он утратил силу с 1 марта 2021 года.
Теперь правило другое. Если человек сам раскрыл данные неопределённому кругу без отдельного согласия на распространение, доказывать законность дальнейшей обработки должен каждый, кто их обрабатывает (ч. 2 ст. 10.1 152-ФЗ). Есть нюанс: резюме на job-сайте обычно видят не все, а только работодатели с доступом к базе. Считать ли его раскрытым неопределённому кругу, закон прямо не говорит. Строить на этом подбор рискованно.
Ваша зона: сообщить кандидату
Теперь о вас. Резюме пришло не от кандидата, а от агентства, и для такого случая в законе есть правило. Если данные получены не от самого человека, оператор - здесь это вы - до начала обработки сообщает ему, кто оператор и где находится, цель и основание, перечень данных, предполагаемых пользователей, права человека и источник данных (ч. 3 ст. 18 152-ФЗ).
Исключения перечислены в ч. 4 ст. 18 152-ФЗ. Самое полезное здесь - человек уже уведомлён об обработке его данных этим оператором (п. 1 ч. 4 ст. 18 152-ФЗ). Сообщить кандидату об обработке вашей компанией может и агентство - важно, чтобы уведомление было именно о вас и его можно было подтвердить. Уведомления «ваше резюме в нашей базе» от самого агентства для этого недостаточно.
Как уведомить
Шаблон для агентства:
«Здравствуйте! Агентство [название] планирует передать ваше резюме ООО [название] для рассмотрения на вакансию [должность]. Адрес компании - [...]. Цель - решение о приёме на работу, основание - [...]. Компания будет обрабатывать ФИО, контакты и сведения из резюме, доступ получат [HR-служба и руководитель подразделения]. Источник данных - агентство [название]. О ваших правах - в политике обработки ПДн компании [ссылка]».
Если резюме уже пришло без такого письма, отправьте кандидату тот же текст от себя: «Ваше резюме нам передало агентство…».
Основание вашего отбора
Свою передачу обосновывает агентство. А получение резюме и ваш этап отбора обосновываете вы.
Кандидат, который сам откликнулся на вашу вакансию, по сути предлагает заключить трудовой договор. Закон разрешает обработку для заключения договора по инициативе субъекта (п. 5 ч. 1 ст. 6 152-ФЗ). Но Роскомнадзор в 2012 году высказался за согласие, а более новой позиции регулятора по этому вопросу я не нашёл.
С резюме от агентства всё зависит от обстоятельств. Откликнулся кандидат на вашу вакансию через агентство - одна ситуация. Агентство само нашло его в своей базе - другая, и опереться на п. 5 здесь сложнее. Как выбирать основание по цели, я разбирал в статье «Согласие на обработку ПДн требуется гораздо реже, чем думает бизнес».
Что делать вам:
запросить у агентства подтверждение основания передачи резюме вам; если это согласие - дата, способ, текст и охват передачи именно вам. Доказывать основание своей обработки обязан каждый оператор (ч. 3 ст. 9 152-ФЗ), и подтверждение агентства понадобится вам, чтобы показать, откуда у вас резюме;
закрепить в договоре, что агентство до передачи отправляет кандидату ваше уведомление;
определить своё основание для этапа отбора.
Сюрприз 2. Отказники живут в базе агентства
Другой сценарий - агентство работает по вашему поручению: публикует вакансию от вашего имени, разбирает отклики, проводит первые интервью. На складе из примера вакансию руководителя закрыли: 140 откликов, нанят один человек. Агентство выгрузило все отклики в свою систему учёта кандидатов «для аналитики» - а через полгода предлагает ваших отказников другому клиенту.
Агентство: по вашей вакансии - обработчик. Оставив отклики себе для других клиентов, в этой части оно стало оператором.
Вы: оператор по всем откликам на вашу вакансию. Уничтожение после её закрытия по общему правилу обеспечиваете вы - если нет основания хранить дальше.
Раз агентство работает по вашему поручению, вы как оператор оформляете в договоре поручение с обязательными условиями - в том числе перечень данных и действий, цели, конфиденциальность, хранение в России, меры защиты, уведомление об инцидентах (ч. 3 ст. 6 152-ФЗ).
Зона агентства: обработчик со своими планами
Предлагая ваших кандидатов другим клиентам, агентство использует сохранённые отклики в своих целях. Основание на это нужно ему самому - а кандидаты, откликавшиеся на вашу вакансию, своё согласие в базу агентства, как правило, не давали.
За обработку в собственных целях отвечает само агентство. Но вопросов к вам это не снимает: было ли в договоре условие о целях, удалены ли данные по поручению. А жаловаться кандидат будет, скорее всего, на компанию, которую знает, - на вас.
Ваша зона: отказники
Общее правило: когда цель достигнута, оператор (здесь это вы) прекращает обработку и уничтожает данные, а если обработку ведёт обработчик, обеспечивает это - в срок не более 30 дней (ч. 4 ст. 21 152-ФЗ). Это предельный срок на прекращение и уничтожение, а не лишний месяц, чтобы продолжать отбор по закрытой вакансии.
Роскомнадзор в разъяснениях 2012 года назвал для соискателей тот же срок - при отказе в приёме сведения уничтожаются в течение 30 дней.
Обратите внимание на слово «обеспечивает». Вопрос «а агентство удалило?» по данным, которые оно обрабатывало для вас, скорее всего, зададут вам. Без пункта об уничтожении в договоре и акта от агентства ответить будет трудно.
Согласие на поручение
Тонкое место. Поручить обработку другому лицу оператор вправе с согласия субъекта, если иное не предусмотрено федеральным законом (ч. 3 ст. 6 152-ФЗ). Обработчик получать согласие не обязан (ч. 4 ст. 6 152-ФЗ): когда согласие на поручение требуется, его наличие обеспечиваете вы. Технически собрать его может и агентство - например, по вашей форме.
Если ваше основание - согласие кандидата, его текст должен охватывать передачу агентству. В письменном согласии обработчик указывается обязательно (п. 6 ч. 4 ст. 9 152-ФЗ). Если основание другое - вопрос спорный. Подробнее о поручении - в статье «Как передать ПДн подрядчику и не остаться крайним».
Что делать вам:
проверить, что в договоре есть поручение с условиями ч. 3 ст. 6 и прямой запрет обрабатывать данные кандидатов в целях агентства;
после закрытия вакансии получить от агентства акт об уничтожении откликов - кроме тех, для которых есть основание хранить дальше, например согласие на кадровый резерв;
если ваше основание - согласие кандидата, называть агентство в форме согласия.
Сюрприз 3. Нейросеть отсеяла 80 % откликов
На массовые вакансии склада - операторов и водителей погрузчика - пришло 600 откликов. Агентство разбирало их по вашему поручению, как в сюрпризе 2. Оно прогнало резюме через зарубежный чат-бот, получило оценки и по ним разослало отказ 480 кандидатам. Человек списка не смотрел.
Агентство: ваш обработчик. Решение об отказе оно отдало ИИ, а резюме отправило в зарубежный сервис - хотя поручение этого не предусматривало. Будь оно здесь самостоятельным оператором со своей базой, обязанности по ст. 16 и ст. 12 были бы его.
Вы: оператор этих откликов и работодатель, от имени которого пришёл отказ. Вопросы по всем разделам ниже, скорее всего, зададут вам.
Решение без человека
Закон запрещает принимать исключительно на основании автоматизированной обработки решения, которые порождают юридические последствия или иным образом затрагивают права и законные интересы человека (ч. 1 ст. 16 152-ФЗ).
Звучит так, будто ИИ в подборе под запретом. Но норма не про нейросети - она про решение, которое принято исключительно автоматически.
Если такое решение всё же принимается исключительно автоматически, закон требует письменного согласия кандидата или прямого указания федерального закона (ч. 2 ст. 16 152-ФЗ). И даже тогда оператор - здесь это вы - разъясняет порядок и последствия решения, даёт возразить и объясняет, как защищать свои права (ч. 3 ст. 16 152-ФЗ). Возражение рассматривают за 30 дней и сообщают кандидату результат (ч. 4 ст. 16 152-ФЗ).
Почему отказ попадает под ст. 16
Моя оценка: отказ в работе затрагивает интересы кандидата. Если решение об отказе принято исключительно автоматически, это зона ст. 16. Важно, как принято решение, а не каким способом потом ушло письмо.
Для работников ТК прямее: решения, затрагивающие их интересы, работодатель не вправе основывать на данных, полученных исключительно автоматизированно (п. 6 ст. 86 ТК). О кандидатах норма прямо не говорит - но логика та же.
Причину отказа спросят у вас
По письменному требованию человека, которому отказали в заключении трудового договора, работодатель обязан письменно сообщить причину не позднее 7 рабочих дней (ч. 5 ст. 64 ТК). Отказ можно обжаловать в суде (ч. 6 ст. 64 ТК).
Отказывало агентство, но по вашей вакансии и от вашего имени - так что требование, скорее всего, придёт вам. Ответ «так решила модель» сам по себе не объясняет причину, связанную с деловыми качествами.
Есть и вторая проблема. Ограничения при приёме по обстоятельствам, не связанным с деловыми качествами, - возрасту, месту жительства, семейному положению - запрещены, кроме случаев, предусмотренных федеральными законами (ч. 2 ст. 64 ТК). Если модель «научилась» отсекать кандидатов старше 45 лет или из дальних районов, это уже спор о дискриминации, а не только о персональных данных.
Куда уехали 600 резюме
Если резюме с персональными данными уходят иностранному получателю на территорию другого государства - это трансграничная передача. С зарубежным чат-ботом обычно так и выходит, но проверять нужно по факту: кто получатель, где обработка, остаются ли в тексте данные человека.
До начала передачи оператор уведомляет Роскомнадзор (ч. 3 ст. 12 152-ФЗ). В этой истории оператор - вы, а резюме отправило агентство, выйдя за рамки поручения. Прямо такой случай закон не разбирает. Но спрашивать, скорее всего, будут с вас, а агентство отвечает перед вами (ч. 5 ст. 6 152-ФЗ).
США в перечень не входят - ни в прежний 2022 года, ни в нынешний: он утверждён приказом Роскомнадзора от 16.09.2026 № 253, опубликован 19.10.2026 и действует с 30 октября.
Где лежат отклики
Вторая норма - локализация. При сборе персональных данных граждан РФ их запись, систематизация, накопление, хранение, уточнение и извлечение с использованием баз за пределами России не допускаются, кроме узких исключений (ч. 5 ст. 18 152-ФЗ).
Зарубежная система учёта кандидатов или Google-таблица вместо российской базы - риск нарушения именно этой нормы. Оператор здесь вы, и юрлицу за это грозит штраф от 1 млн ₽ (ч. 8 ст. 13.11 КоАП).
Что делать вам. Отказываться от инструментов не обязательно, но первоочередные меры такие:
Выяснить у агентства, какие сервисы получили резюме, и остановить несогласованную передачу. Нужен зарубежный сервис - сначала выполнить требования ст. 12, включая уведомление и применимый срок ожидания, и только потом передавать.
Прописать в поручении правило: модель ранжирует, а решение об отказе принимает человек - ваш рекрутер или рекрутер агентства, - и это видно по процессу, а не только по кнопке.
Отправлять во внешний сервис резюме без ФИО, контактов и фото либо выбрать сервис с обработкой в России. Учтите - это ещё не обезличивание: подробная история работы может выдать человека и без фамилии.
Закрепить в поручении работу с откликами в российских базах по ч. 5 ст. 18: это обязательное условие (ч. 3 ст. 6 152-ФЗ). Плюс запрет иностранных сервисов без вашего письменного согласования.
Сюрприз 4. «Пробейте кандидата на руководителя склада»
Перед оффером ваш директор просит агентство «проверить человека»: нет ли долгов и судимости, что скажут на прошлом месте работы, что он пишет в соцсетях. Агентство охотно соглашается - проверка у него - платная допуслуга.
Агентство: проверяет кандидата по вашей просьбе. Цель задаёте вы, поэтому в этой обработке агентство, как правило, - ваш обработчик.
Вы: заказчик проверки и, по сути, оператор. Ваше основание должно охватывать каждую проверку - даже если звонит и запрашивает агентство.
Судимость и долги
Судимость. Госорганы обрабатывают сведения о судимости в пределах своих полномочий, а все остальные - только в случаях и порядке, которые определяются в соответствии с федеральными законами (ч. 3 ст. 10 152-ФЗ). Отдельно - право требовать справку о судимости: работодатель вправе это делать при поступлении на работу, к которой по закону не допускаются лица с судимостью или уголовным преследованием (ч. 1 ст. 65 ТК). Для руководителя склада такого ограничения, как правило, нет.
Обратите внимание: по буквальному смыслу ч. 3 ст. 10 согласие кандидата такой случай не создаёт. Норма отсылает к федеральным законам, а не к воле человека.
Долги. Запросить кредитный отчёт в бюро кредитных историй можно только с согласия человека - в этой истории это касается и агентства, если запрос делает оно (ч. 9 ст. 6 Федерального закона «О кредитных историях»). По общему правилу такое согласие действует шесть месяцев (ч. 10 ст. 6 того же закона).
Прошлый работодатель
Звонок прошлому работодателю. Прежний работодатель не вправе сообщать данные работника третьей стороне без его письменного согласия, кроме случаев, предусмотренных законами (абз. 2 ст. 88 ТК). Роскомнадзор в разъяснениях 2012 года указал, что запросы по прежним местам работы требуют согласия соискателя. Рискуют обе стороны звонка: прежний работодатель - и те, кто спрашивал, то есть агентство и вы как заказчик проверки.
Что делать вам. Проверки, которые вам действительно нужны, лучше проводить с отдельного согласия кандидата, где каждая проверка названа. Собрать его может агентство - по вашей форме.
Для судимости этого мало: нужен случай, предусмотренный законом, - для руководителя склада его, как правило, нет, и эту проверку лучше не заказывать. А с агентством стоит договориться, что проверки оно проводит только по вашему письменному запросу и только те, что в нём названы.
Сюрприз 5. Тридцать кладовщиков от агентства
Кладовщиков вы берёте по договору о предоставлении персонала. Для пропусков агентство присылает Excel с паспортными данными всех тридцати.
Агентство: нанимало кладовщиков само и передаёт вам их данные как работодатель.
Вы: принимающая сторона - получатель этих данных, а дальше оператор в своих целях.
Зона агентства: передача данных работников
Для агентства Excel с паспортами - это передача данных работника третьей стороне. Без письменного согласия работника она допускается только в случаях, предусмотренных ТК или федеральными законами (абз. 2 ст. 88 ТК).
Специального исключения для принимающей стороны в главе 53.1 ТК я не нашёл. Работник знает, к кому его направили, - эти сведения указываются в дополнительном соглашении (ч. 4 ст. 341.2 ТК). Но само по себе согласием на передачу данных это не становится.
Ваша зона: данные кладовщиков у вас
Отправляя Excel, агентство обязано предупредить вас, что данные можно использовать лишь в целях, для которых их сообщили, и потребовать подтверждения, что это правило соблюдается (абз. 4 ст. 88 ТК). Паспорт, присланный для пропуска, не стоит пускать в другие процессы.
Если пропуск работает по распознаванию лиц, это биометрия - и, как правило, нужно письменное согласие (ч. 1 ст. 11 152-ФЗ). Исключения из этого правила перечислены в ч. 2 той же статьи. Подробно я разбирал это в статье «Согласие на обработку ПДн требуется гораздо реже, чем думает бизнес» (ссылка - в сюрпризе 1).
Что делать вам:
попросить агентство подтвердить основание передачи: письменное согласие работников или конкретное исключение из закона;
ограничить набор данных тем, что нужно для пропуска, - паспорт целиком нужен не всегда;
оформить пропуск, охрану труда и видеонаблюдение как свою обработку - со своим основанием.
Сюрприз 6. Базу агентства слили
Через год агентство сообщает: база утекла, в ней 12 тысяч записей, среди них ваши кандидаты за весь этот год. Сообщает на пятый день после того, как узнало само.
Агентство: сообщило об утечке в своей базе с опозданием. Его роль зависит от того, в каком качестве оно обрабатывало ваших кандидатов: по вашему поручению или как самостоятельный оператор.
Вы: если утекли данные, которые агентство обрабатывало по вашему поручению, оператор по ним - вы, и уведомлять Роскомнадзор предстоит вам.
Зона агентства: если оно - самостоятельный оператор
Если агентство получило кандидатов своим путём и обрабатывало как самостоятельный оператор, об инциденте в своей обработке уведомляет оно. Ваши обязанности оцениваются отдельно - например, законно ли вы сами передавали агентству данные. А если в слитой базе нашлись ваши отказники, которых агентство по поручению должно было удалить, это также вопрос к вам об обеспечении уничтожения по поручению (сюрприз 2).
Ваша зона: если агентство - ваш обработчик
При неправомерной или случайной передаче данных, повлёкшей нарушение прав людей, оператор - здесь вы - уведомляет Роскомнадзор: в течение 24 часов - об инциденте, в течение 72 часов - о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ).
Оба срока считаются с одного момента - когда инцидент выявил оператор, Роскомнадзор или иное заинтересованное лицо (ч. 3.1 ст. 21 152-ФЗ).
Поэтому поручение обязано содержать требование уведомлять оператора об инцидентах (ч. 3 ст. 6 152-ФЗ). Числового срока для обработчика ч. 3 ст. 6 не устанавливает - его задаёте вы в договоре, с запасом под ваши 24 часа.
Что делать вам:
задать в поручении срок уведомления об инциденте в часах, а не «в разумный срок»;
заранее решить, кто у вас принимает такое сообщение и готовит уведомление в Роскомнадзор;
если письмо уже пришло и данные обрабатывались по вашему поручению, готовить уведомление сразу;
если агентство - самостоятельный оператор, запросить у него, чьи данные утекли, и проверить свою часть: на каком основании вы передавали ему данные и удалены ли отказники по поручению.
Итого: чек-лист для самопроверки
Для каждого агентства понятно, в какой роли оно обрабатывает данные ваших кандидатов или своих работников.
Договор с каждым агентством прописан под эту роль.
Решено, кто и когда уведомляет кандидата, чьё резюме пришло от агентства (сюрприз 1).
Основание вашего этапа отбора определено; если это согласие, оно охватывает передачу агентству-обработчику (сюрпризы 1–2).
По отказникам из вашего поручения проверено, есть ли основание хранить дальше; остальное уничтожено, уничтожение подтверждено (сюрприз 2).
Выбран стандарт: решение об отказе принимает человек (сюрприз 3).
Известно, где агентство хранит отклики и в какие сервисы их передаёт (сюрприз 3).
У каждой проверки кандидата есть основание (сюрприз 4).
Есть основание передачи вам данных работников аутстаффа (сюрприз 5).
Есть порядок действий на случай инцидента у агентства (сюрприз 6).