Что законно проверять при приеме на работу: границы скрининга персонала

Скрининг персонала — это проверка сведений о кандидате или работнике, необходимых для заключения трудового договора, исполнения обязанности работодателя или оценки деловых качеств на конкретной должности. Работодатель проводит её по Трудовому кодексу РФ и Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных». Чаще всего скрининг нужен при найме на должности с законодательными ограничениями, при работе с деньгами и материальными ценностями, в деятельности по управлению юридическим лицом и при работе с несовершеннолетними.

Кратко:

• Проверка допустима, когда связана с требованиями конкретной вакансии или прямой обязанностью работодателя по закону.

• Получение сведений, их хранение, использование при отборе и отказ на их основании закон оценивает по отдельности: законное получение не делает законными остальные три операции.

• Согласие кандидата служит одним из оснований по ст. 6 Закона № 152-ФЗ и не легализует избыточную проверку.

• Справку о судимости требуют только для видов деятельности, перечисленных в ст. 65 и 351.1 ТК РФ.

• Обработка персональных данных в случаях, не предусмотренных законом, влечёт штраф для юридического лица 150 000–300 000 рублей по ч. 1 ст. 13.11 КоАП РФ.

Скрининг снижает риск того, что компания допустит к работе человека, которому закон эту работу запрещает, или доверит деньги кандидату с неподтверждённой биографией. Для деятельности по управлению юридическим лицом значение имеет дисквалификация: она прямо лишает человека права занимать такую должность. Для отдельных видов работы с участием несовершеннолетних действуют ограничения, связанные с судимостью и уголовным преследованием. При проверке квалификации работодатель сопоставляет сведения кандидата с документами об образовании и опыте.

Получение данных, их хранение, использование при отборе и обоснование отказа работодатель обосновывает по отдельности: законность каждой операции закон проверяет своими критериями. Законно полученные сведения не всегда становятся допустимым критерием кадрового решения.

Какие документы работодатель вправе требовать при приёме на работу

При заключении трудового договора кандидат предъявляет документы, предусмотренные статьёй 65 ТК РФ. Дополнительные документы работодатель требует только в случаях, установленных ТК РФ, другими федеральными законами, указами Президента РФ и постановлениями Правительства РФ. Проверка подлинности ограничивается сведениями, необходимыми для трудоустройства на конкретную должность: подлинность подтверждают комплексная проверка паспорта и проверка соответствия СНИЛС и ФИО.

При обращении в вуз или к прежнему работодателю компания получает сведения у третьего лица. До запроса работодатель определяет цель и основание обработки, состав данных и порядок уведомления кандидата. Статья 86 ТК РФ регулирует обработку данных работника, включая получение сведений у третьей стороны, но на соискателя эти требования напрямую не распространяются, поэтому запрос по нему работодатель обосновывает самостоятельно. Уведомление кандидата до запроса и письменное согласие снимают вопрос о правомерности обращения к вузу или прежнему работодателю.

Кому нужна справка о судимости при работе с несовершеннолетними

Для перечисленных в статьях 65 и 351.1 ТК РФ видов деятельности кандидат предъявляет справку о наличии или отсутствии судимости и факта уголовного преследования либо о прекращении уголовного преследования. Применимость ограничения зависит от категории преступления, процессуального статуса лица и характера будущей работы.

Часть 3 статьи 351.1 ТК РФ допускает работу по решению региональной комиссии, но только для указанных в норме категорий лиц и преступлений небольшой или средней тяжести. Решение комиссии действует для конкретного вида деятельности и не отменяет лишение права заниматься такой деятельностью, назначенное судом.

Как проверить дисквалификацию кандидата на руководящую должность

Работодатель проверяет дисквалификацию, когда функция кандидата предполагает деятельность по управлению юридическим лицом и на неё распространяется запрет; название должности в трудовом договоре применимость запрета не определяет. Если компания заключит договор на управление юридическим лицом с дисквалифицированным лицом, ей грозит ответственность по части 2 статьи 14.23 КоАП РФ.

Что можно использовать из открытых государственных реестров

Официальные открытые реестры работодатель использует, когда у проверки есть определённая цель и правовое основание, а её объём соответствует должности. Найденные сведения он сверяет на актуальность и совпадение с кандидатом: совпадение ФИО без дополнительных идентификаторов человека не подтверждает.

Банкротство гражданина или наличие исполнительного производства не доказывают недобросовестность и не образуют самостоятельного основания для отказа. Работодатель проверяет идентификаторы, содержание и актуальность записи, оценивает связь сведений с трудовой функцией и даёт кандидату возможность пояснить обнаруженное.

Можно ли проверять соцсети кандидата

Просмотр открытого профиля, фиксация сведений и их использование при отборе становятся обработкой персональных данных, если работодатель сохраняет или учитывает найденное. Поэтому он ограничивает анализ сведениями, связанными с вакансией, проверяет их точность и устанавливает срок хранения.

Статья 10.1 Закона № 152-ФЗ регулирует особенности обработки данных, разрешённых субъектом для распространения. Открытая публикация не даёт неограниченного права использовать сведения для любых целей, но и отдельное согласие на распространение не становится автоматически обязательным для внутреннего кадрового анализа: основание каждой операции определяют отдельно.

Какие данные кандидата проверять запрещено

Закон запрещает обрабатывать сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья и интимной жизни. Исключения перечислены в частях 2 и 2.1 статьи 10 Закона № 152-ФЗ: письменное согласие входит в этот перечень как одно из оснований, а часть случаев закон допускает вообще без согласия.

Если закон требует предварительного медицинского осмотра, работодатель направляет кандидата на осмотр и получает предусмотренное заключение, не запрашивая медицинские сведения напрямую. Даже добровольно переданная история болезни не отменяет требований к цели, основанию и объёму собираемых данных.

Считается ли видеоинтервью биометрией по ст. 11 152-ФЗ

Фотография, видеозапись и запись голоса сами по себе биометрическими персональными данными не становятся. Статья 11 Закона № 152-ФЗ применяется, когда оператор использует физиологические или биологические особенности человека для установления его личности. Поэтому у записи интервью, сравнения лица с документом, определения живости (liveness) и идентификации по биометрическому шаблону разные правовые режимы, и основание обработки для каждого действия работодатель определяет отдельно.

Когда работодатель вправе запросить кредитную историю кандидата

Бюро кредитных историй выдаёт кредитный отчёт пользователю при наличии согласия субъекта по статье 6 Закона № 218-ФЗ; для кадрового запроса такое согласие действует шесть месяцев. С 1 января 2026 года часть действующих договоров подчиняется специальным правилам, которые к подбору персонала не относятся.

Согласие открывает доступ к отчёту, но не подтверждает законность отказа. Работодателю придётся объяснить, как конкретные сведения из отчёта связаны с трудовой функцией, зачем нужна проверка и почему результат используется именно так. Материальная ответственность или доступ к деньгам сами по себе кредитную историю допустимым критерием не делают.

Можно ли проверять родственников кандидата

Согласие кандидата не создаёт основания для обработки данных его супруга, родителей или детей: каждый из них остаётся самостоятельным субъектом персональных данных. При обычном найме проверка родственников с целью отбора не связана, поэтому работодателю нужно исключение, которое прямо следует из закона и характера конкретной должности.

Чем грозит покупка данных из незаконных баз

Обход настроек приватности, использование чужих учётных данных и покупка сведений из незаконно полученных баз влекут административную или уголовную ответственность, а конкретная квалификация зависит от способа получения информации и обстоятельств.

Статья 272.1 УК РФ действует с 11 декабря 2024 года и охватывает незаконные действия с компьютерной информацией, содержащей персональные данные, если информацию получили путём неправомерного доступа или иным незаконным способом. Ответственность наступает только при наличии всех признаков состава преступления.

Нужно ли проверять кандидата по перечням Росфинмониторинга

У перечней Росфинмониторинга, сведений о публичных должностных лицах, иностранных санкционных списков и внутренних стоп-листов разные правовые режимы, и общего основания для кадровой проверки они не создают. Обязанности субъектов Закона № 115-ФЗ касаются клиентов и на кандидатов автоматически не переносятся. Для кадровой проверки работодатель формулирует самостоятельную цель, основание, перечень должностей и срок хранения результата.

Перед каждой операцией работодатель определяет цель, категорию субъектов, состав данных, источник, действия с данными, срок хранения и основание по статье 6 Закона № 152-ФЗ. Выбор шире дилеммы «подготовка договора или согласие»: статья 6 содержит и другие основания, включая исполнение возложенной на работодателя обязанности.

Закон № 152-ФЗ признаёт согласие, если оно свободное, конкретное, предметное, информированное, сознательное и однозначное, а факт его получения оператор может подтвердить. В документе указывают цель, состав данных, операции, получателей, срок действия и порядок отзыва: столько, сколько требует применимая норма.

Согласие не делает законной обработку избыточных сведений, поэтому отказ кандидата от необязательной проверки не должен автоматически исключать его из отбора. После отзыва согласия обработка продолжается только при наличии другого основания, предусмотренного законом.

Письменное согласие закон требует в прямо названных случаях, а согласие на обработку данных, разрешённых для распространения, оформляют отдельным документом. Письменная форма и отдельный документ решают разные задачи и друг друга не заменяют.

Решение, которое порождает юридические последствия или затрагивает права кандидата, по общему правилу нельзя принимать исключительно на основании автоматизированной обработки; исключения перечислены в части 2 статьи 16 Закона № 152-ФЗ.

Оператор объясняет порядок принятия решения и возможные последствия, даёт кандидату заявить возражение и рассматривает его в течение 30 дней. Ручную проверку он выстраивает содержательно: уполномоченный сотрудник анализирует исходные данные, проверяет совпадение, учитывает пояснения кандидата и вправе изменить результат.

Работодатель выступает оператором персональных данных в большинстве сценариев найма. Кадровое агентство или скрининговый сервис либо действует как самостоятельный оператор, либо обрабатывает данные по поручению работодателя. Роль определяет тот, кто устанавливает цели и состав операций.

В поручении обработки стороны фиксируют перечень данных и действий, цели, требования к конфиденциальности и безопасности, обязанности по обращениям субъектов, инцидентам и уничтожению. Получив отчёт от подрядчика, работодатель остаётся ответственным за законность кадрового решения.

До начала обработки оператор проверяет исключения части 2 статьи 22 Закона № 152-ФЗ. При подборе с использованием электронной почты, таблиц, CRM или ATS обязанность направить уведомление Роскомнадзору сохраняется, если ни одно исключение не подошло. Выбранный инструмент правового значения не имеет: применимость обязанности определяют способ обработки и перечень исключений.

Если компания использует иностранную CRM или облачный сервис, она проверяет место первичной записи данных граждан РФ, трансграничную передачу, страны и получателей, а также размещение резервных копий. Иностранное происхождение системы само по себе нарушения локализации не доказывает.

Компания разграничивает доступ, регистрирует действия с данными, обучает сотрудников, утверждает локальные акты и порядок реагирования на инциденты. Опубликованная на сайте политика не заменяет ни правовое основание конкретной операции, ни уведомление кандидата.

Срок хранения работодатель устанавливает под каждую цель отдельно. После завершения отбора данные уничтожают или обезличивают, если другой действующей цели и самостоятельного основания обработки у оператора нет. Для кадрового резерва потребуются отдельная цель и определённый срок.

После отзыва согласия обработку прекращают и данные уничтожают в установленный законом срок, если у оператора нет другого основания. При неправомерной обработке оператор прекращает нарушение, а когда обеспечить правомерность невозможно, уничтожает данные не позднее десяти рабочих дней с даты выявления. Если уничтожить данные в этот срок не получается, их блокируют и уничтожают не позднее шести месяцев.

Уничтожение подтверждают по приказу Роскомнадзора от 28.10.2022 № 179: при автоматизированной обработке оформляют акт и выгрузку из журнала регистрации событий, а подтверждения хранят три года. Для резервных копий компания устанавливает блокирование, запрет возврата удалённых данных в рабочий контур и уничтожение по циклу ротации.

Статьи 3 и 64 ТК РФ запрещают дискриминацию и необоснованный отказ в заключении трудового договора. По письменному требованию кандидата работодатель сообщает причину отказа в письменной форме не позднее семи рабочих дней со дня предъявления требования.

Закон допускает отказ по причине, связанной с деловыми качествами, требованиями должности или законодательным ограничением. В споре работодателю придётся подтвердить фактические обстоятельства и связь критерия с трудовой функцией. Постановление о дискриминационном содержании вакансии суд учитывает как одно из доказательств, но исход трудового спора оно автоматически не определяет.

Минимальный набор сведений об основании отказа работодатель хранит для защиты собственных прав, когда у такого хранения есть определённая цель, правовое основание и срок. Полное скрининговое досье без самостоятельного обоснования нарушает требование собирать только необходимые данные.

• Часть 1 статьи 13.11 КоАП РФ: 150 000–300 000 рублей для юридического лица за обработку в случаях, не предусмотренных законом, либо несовместимую с целями сбора.

• Часть 2 статьи 13.11 КоАП РФ: 300 000–700 000 рублей при отсутствии письменного согласия, когда оно обязательно, или нарушении требований к нему.

• Часть 2.1 статьи 13.11 КоАП РФ: 1 000 000–1 500 000 рублей за повторное нарушение, предусмотренное частью 2.

• Часть 10 статьи 13.11 КоАП РФ: 100 000–300 000 рублей за неуведомление или несвоевременное уведомление Роскомнадзора.

Избыточная проверка может свидетельствовать о нарушении статьи 5 Закона № 152-ФЗ и повлечь ответственность по приведённым составам. Наличие состава правонарушения и конкретную квалификацию устанавливает уполномоченный орган или суд.

1. Разделите вакансии по объёму проверки. Для каждой группы зафиксируйте цель, правовое основание, состав данных и срок хранения по каждой операции.

2. Сдвиньте расширенную проверку на поздний этап. Расширенный набор запросов применяйте к финалистам, а всех откликнувшихся оценивайте по резюме и документам из статьи 65 ТК РФ.

3. Приведите в порядок документы оператора. Уведомление Роскомнадзора, политика обработки персональных данных, локальные акты и сведения о компании в реестре операторов должны отражать реальный процесс подбора.

4. Распределите роли и оформите поручение. Определите, кто задаёт цели обработки: работодатель, кадровое агентство или поставщик сервиса. Затем оформите поручение с перечнем данных, целей и требований к безопасности.

5. Проверяйте совпадения вручную. Сотрудник сверяет найденную запись с идентификаторами кандидата и запрашивает у него пояснения по обнаруженным сведениям.

6. Исключите автоматический отказ. Решение по кандидату принимает человек, а процедура возражения предусматривает рассмотрение в течение 30 дней.

7. Установите сроки хранения и документирование. Опишите сроки по каждой цели, правила формирования кадрового резерва и порядок документирования уничтожения данных.

Можно ли проверять соцсети кандидата?

Можно при определённой цели и основании по ст. 6 Закона № 152-ФЗ. Фиксация и учёт найденного становятся обработкой, поэтому анализ ограничивают вакансией и устанавливают срок хранения.

Нужно ли согласие кандидата на любую проверку?

Нет. Основание определяют для каждой операции по ст. 6 Закона № 152-ФЗ, согласие лишь одно из них. Избыточную проверку оно не легализует, отказ от необязательной не исключает кандидата из отбора.

Является ли видеоинтервью биометрическими персональными данными?

Не автоматически. Фото, видеозапись и голос сами по себе биометрией не признаются: ст. 11 Закона № 152-ФЗ применяется, когда особенности человека используют для установления личности.

Можно ли отказать кандидату по автоматическому индикатору риска?

Нет, когда решение затрагивает права кандидата: общее правило ч. 2 ст. 16 Закона № 152-ФЗ. Совпадение проверяет сотрудник, возражение рассматривают в течение 30 дней.

Сколько времени можно хранить резюме и результаты проверки?

До достижения цели, срок устанавливают под каждую цель отдельно. При неправомерной обработке данные уничтожают за 10 рабочих дней, подтверждения по приказу Роскомнадзора № 179 хранят 3 года.

Нужно ли уведомлять Роскомнадзор, если подбор ведётся в Excel и по электронной почте?

Да, если не подошло ни одно исключение ч. 2 ст. 22 Закона № 152-ФЗ. Excel сам по себе критерием не служит. Неуведомление влечёт штраф 100 000–300 000 рублей по ч. 10 ст. 13.11 КоАП РФ.

У кого из кандидатов работодатель обязан требовать справку о судимости?

У кандидатов на виды деятельности из ст. 65 и 351.1 ТК РФ, включая работу с несовершеннолетними. Применимость зависит от категории преступления и процессуального статуса лица.

Чем скрининг кандидата отличается от процедуры KYC по 115-ФЗ?

Разные правовые режимы и разные обязанные лица: требования Закона № 115-ФЗ касаются клиентов. Кадровая проверка требует своей цели, основания по ст. 6 Закона № 152-ФЗ и перечня должностей.

Какой штраф грозит работодателю за избыточную проверку кандидата?

Для юридического лица 150 000–300 000 рублей по ч. 1 ст. 13.11 КоАП РФ, при отсутствии обязательного письменного согласия 300 000–700 000 рублей по ч. 2, повторно 1–1,5 млн рублей по ч. 2.1.

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»

• Трудовой кодекс Российской Федерации

• КоАП РФ: статья 13.11

• УК РФ: статья 272.1

• Постановление Конституционного Суда РФ от 18.07.2013 № 19-П

• Приказ Роскомнадзора от 28.10.2022 № 179

Материал носит информационный характер. Для оценки конкретного процесса требуются анализ вакансии, локальных актов, договоров с подрядчиками и архитектуры информационных систем.