За что HR-специалиста могут привлечь к ответственности по 152-ФЗ
Штраф по 152-ФЗ получает компания, а не конкретный сотрудник. Но эпизоды, которые становятся основанием для санкций, часто связаны с работой HR: форма отклика на вакансию без согласия на обработку данных, отсутствие политики конфиденциальности, трекеры, которые собирают данные посетителей до их согласия.
Проверка фиксирует, что происходит на сайте с точки зрения обычного посетителя. Если человек открыл страницу с вакансией, заполнил форму и отправил резюме — какие данные собрались, куда ушли, было ли согласие, опубликована ли политика. Эти вопросы касаются не только технической части, но и того, как выстроены процессы найма.
Компания отвечает за весь путь данных: от момента, когда кандидат открыл сайт, до хранения резюме в CRM. Если на любом этапе закон нарушен — это риск для бизнеса.
Какие риски возникают на сайте при работе с данными кандидатов
Первый риск — форма отклика на вакансию. Если в ней нет согласия на обработку персональных данных или согласие оформлено неправильно, это может квалифицироваться как сбор данных без законных оснований. Проверка фиксирует текст формы, наличие чекбокса согласия, ссылку на политику.
Второй — политика конфиденциальности. Проверка фиксирует наличие политики на сайте и её содержание. В отчёте указывается, опубликована ли политика и доступна ли она посетителю.
Третий — трекеры и аналитика. Если на сайте установлены Google Analytics, Яндекс Метрика или другие сервисы, они могут запускаться до согласия посетителя. Это означает, что данные собираются и передаются третьим лицам ещё до того, как человек кликнул «Принять cookie». Проверка фиксирует момент старта трекеров и содержание баннера.
Четвёртый — передача данных за рубеж. Если резюме или данные посетителей сайта обрабатываются иностранными сервисами, это может создавать риски по 152-ФЗ. Проверка фиксирует сетевые запросы к иностранным доменам как технический сигнал для дополнительной проверки.
Как проверить сайт на соблюдение 152-ФЗ перед наймом
Проверка начинается с чистой сессии — так, как сайт видит новый посетитель. Открывается страница с вакансиями, фиксируется, какие трекеры запустились до любого клика. Затем проверяется форма отклика: есть ли согласие, как оно сформулировано, есть ли ссылка на политику.
Следующий шаг — политика конфиденциальности. Проверяется её наличие, доступность, содержание. В отчёте фиксируется, опубликована ли политика и какие сведения в неё включены.
Затем проверяется cookie-баннер: есть ли возможность отказаться от необязательных категорий, равнозначны ли кнопки «Принять» и «Отклонить», запускаются ли трекеры до выбора. Все факты фиксируются на снимках экрана с точным временем.
В отчёте каждый эпизод связывается с нормой закона, получает оценку серьёзности и рекомендацию, что исправить в первую очередь. Сетевые запросы к внешним сервисам выделяются отдельно как обстоятельства, требующие дополнительной проверки.
Что делать, если на сайте нашли нарушения
Отчёт — это не обращение в регулятор, а внутренний документ для компании. Он даёт время исправить риски до внешней проверки. Приоритет исправлений указан для каждого эпизода: что требует немедленного вмешательства, что можно решить позже.
Тариф с планом действий включает решения для кода, настроек и документов к каждому риску. Тариф с юристом — подготовку документов под сайт, сопровождение правок и итоговую проверку.
Это позволяет закрыть риски без найма отдельного специалиста.
Чек-лист: что проверить на сайте компании прямо сейчас
- 01Политика конфиденциальности опубликована и доступна. Откройте сайт в режиме инкогнито, найдите ссылку на политику в футере или перед формой. Проверьте, что документ опубликован и доступен посетителю.
- 02В форме отклика есть согласие на обработку данных. Убедитесь, что перед кнопкой «Отправить резюме» стоит чекбокс согласия и ссылка на политику. Согласие должно быть добровольным и осознанным.
- 03Cookie-баннер позволяет отказаться от необязательных категорий. Проверьте, есть ли кнопка «Настроить» или «Отклонить» рядом с «Принять всё». Откройте сайт снова и посмотрите, запускаются ли трекеры до вашего выбора.
- 04На сайте не используются иностранные сервисы без проверки. Если компания использует Google Analytics, Facebook Pixel или сервисы для приёма резюме, уточните, какие данные передаются и какие требования закона это затрагивает.
- 05Форма не собирает лишние данные. Убедитесь, что в форме запрашиваются только те данные, которые нужны для рассмотрения резюме. Лишние поля увеличивают объём обрабатываемых данных и риски.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли HR-специалисту разбираться в 152-ФЗ, если есть юристы?
HR работает с данными кандидатов напрямую: принимает резюме, публикует вакансии, настраивает формы. Понимание базовых требований закона помогает избежать ошибок на этапе найма, а не исправлять их после проверки.
Можно ли использовать Google Forms для приёма резюме?
Можно, но Google — иностранный сервис, данные кандидатов могут передаваться за рубеж. Это создаёт риски по 152-ФЗ, которые требуют дополнительной проверки.
Что будет, если на сайте нет политики конфиденциальности?
Отсутствие опубликованной политики конфиденциальности создаёт правовые риски. Проверка фиксирует такой эпизод и указывает, какие нормы закона это затрагивает.
Как понять, запускаются ли трекеры до согласия посетителя?
Откройте сайт в режиме инкогнито с открытыми инструментами разработчика (вкладка Network). Если запросы к аналитике ушли до клика на баннер — трекеры запустились раньше согласия.
Нужно ли уведомлять Роскомнадзор, если мы храним резюме в CRM?
Точный ответ зависит от того, как именно данные обрабатываются. Проверка не заменяет консультацию юриста, но в отчёте указываются эпизоды, которые могут требовать уведомления, и ссылки на нормы.
Сколько времени займёт исправление нарушений на сайте?
Зависит от числа эпизодов и их серьёзности. Точные сроки зависят от технической сложности правок и участия разработчика.
Что делать, если в отчёте указано «обстоятельство, требующее дополнительной проверки»?
Это технический сигнал — например, сетевой запрос к иностранному сервису. Он не означает установленный факт нарушения, но указывает на необходимость уточнить, как данные обрабатываются и нужно ли уведомление.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.