Почему резюме и форма отклика — зона риска по 152-ФЗ
Резюме содержит персональные данные: ФИО, телефон, email, дату рождения, семейное положение, опыт работы. Любая информация, относящаяся к определённому или определяемому физлицу, подпадает под 152-ФЗ — и обработка таких данных требует явного согласия, политики конфиденциальности и уведомления Роскомнадзора.
Форма отклика на вакансию отправляет данные соискателя на сервер, в CRM или на почту работодателя. Это обработка персональных данных, и закон требует получить согласие до отправки. Если галочка согласия стоит по умолчанию, текст неясный или вообще отсутствует — это эпизод с признаками нарушения.
Передача резюме работодателям — ещё один этап обработки. Соискатель должен знать, кому именно передаются его данные и с какой целью. Согласие должно содержать перечень получателей или категорию третьих лиц, а уведомление Роскомнадзора — включать информацию о передаче данных.
Что на самом деле происходит при открытии сайта вакансий
Сайт открывается — и браузер посетителя сразу отправляет сетевые запросы к Google Analytics, Яндекс Метрике, пикселям соцсетей. Эти сервисы получают IP-адрес, идентификаторы устройства и поведение пользователя. Если трекеры стартуют до того, как посетитель кликнул «Принять» в cookie-баннере, возникает риск нарушения требований к согласию.
Cookie-баннер может быть на месте, но настроен формально: кнопка «Отклонить» ведёт на ту же страницу или отсутствует, галочки категорий cookie не работают, а аналитика уже собрала данные. Закон требует равнозначного отказа — посетитель должен иметь возможность продолжить использование сайта без согласия на необязательные cookie.
Авторизация через Google или соцсети передаёт данные иностранным сервисам. Если в политике конфиденциальности не указано, что данные могут быть переданы за рубеж, и нет уведомления Роскомнадзора о трансграничной передаче, это дополнительный риск.
Как проверить сайт вакансий на соответствие 152-ФЗ
Проверка начинается с чистой сессии — как если бы посетитель открыл сайт впервые. Фиксируются все сетевые запросы, старт каждого трекера, момент появления cookie-баннера и текст согласия. Снимки экрана с временны́ми метками показывают, что происходило до клика посетителя.
Формы отклика и загрузки резюме проверяются на наличие явного согласия: есть ли галочка, какой текст рядом с ней, стоит ли она по умолчанию. Фиксируется, куда уходит запрос после отправки формы — на внутренний сервер, в CRM или на почту.
Политика обработки персональных данных и согласие проверяются на полноту: указаны ли цели обработки, сроки хранения, получатели данных, контакты оператора. Если политики нет или она не содержит обязательных сведений, это эпизод с признаками нарушения.
Результат — заключение в PDF: резюме с выявленными эпизодами, их серьёзность и диапазон санкций, снимки экрана и цитаты из документов, правовая квалификация по каждому факту. План действий показывает, что исправить в первую очередь — в коде, настройках или документах.
Что исправить, чтобы снизить риски
Переместите старт аналитики и трекеров за согласие посетителя. Код должен загружать Google Analytics, Яндекс Метрику и пиксели только после клика «Принять» или выбора категорий в настройках cookie. Проверьте, что кнопка «Отклонить» работает и не блокирует доступ к сайту.
Добавьте явное согласие перед каждой формой сбора данных. Галочка согласия не должна стоять по умолчанию, текст должен чётко указывать цели обработки и перечислять получателей — например, работодателей, разместивших вакансию. Если данные передаются в CRM или за рубеж, это нужно указать в согласии и политике.
Опубликуйте политику обработки персональных данных, доступную с любой страницы сайта. Укажите в ней цели, правовые основания, сроки хранения, перечень получателей и контакты для обращений субъектов данных. Подайте уведомление в Роскомнадзор о намерении обрабатывать персональные данные — до начала сбора резюме.
Чек-лист: проверьте сайт вакансий прямо сейчас
- 01Политика конфиденциальности на месте и доступна. Откройте главную и страницу вакансий — ссылка на политику должна быть в подвале или рядом с формой. Проверьте, что в политике указаны цели обработки резюме, сроки хранения и контакты оператора.
- 02Форма отклика содержит явное согласие. Найдите форму отклика на вакансию: галочка согласия должна быть пустой по умолчанию, текст рядом с ней — понятным и содержать цель обработки и получателей данных (например, работодателя).
- 03Аналитика не стартует до согласия. Откройте сайт в режиме инкогнито, откройте инструменты разработчика (F12) → вкладка Network. Обновите страницу — если видите запросы к google-analytics.com, mc.yandex.ru или facebook.com до клика в баннер, это риск.
- 04Cookie-баннер даёт возможность отказаться. Проверьте баннер: есть ли кнопка «Отклонить» или «Настроить», можно ли отключить аналитические cookie. Кликните «Отклонить» — сайт должен остаться доступным.
- 05В политике указана передача данных работодателям. Если резюме передаются работодателям, в политике должна быть фраза о передаче данных третьим лицам с указанием категории получателей и целей.
Что говорит закон
ч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Нужно ли уведомлять Роскомнадзор о каждом резюме, которое загружает соискатель?
Нет. Уведомление подаётся один раз — о намерении обрабатывать персональные данные соискателей. Каждое конкретное резюме уведомлять не нужно.
Считается ли нарушением, если Google Analytics запустился до того, как посетитель кликнул «Принять»?
Это создаёт риск нарушения требований к согласию на обработку персональных данных. Трекер собирает IP-адрес и идентификаторы устройства — это данные, относящиеся к определённому лицу. Старт до согласия может квалифицироваться как обработка без законного основания.
Можно ли ставить галочку согласия на обработку данных по умолчанию в форме отклика?
Нет. Галочка, установленная по умолчанию, создаёт риск нарушения требований к согласию. Проверка фиксирует состояние галочки при открытии формы.
Нужна ли отдельная политика конфиденциальности для раздела вакансий или достаточно общей для сайта?
Достаточно единой политики обработки персональных данных для всего сайта, если в ней описаны все сценарии сбора и обработки данных, включая резюме и формы отклика. Главное — чтобы политика была полной и доступной.
Работодатели видят контакты соискателей — это передача персональных данных третьим лицам?
Да. Передача резюме работодателям — это передача персональных данных третьим лицам. Соискатель должен дать согласие на такую передачу, а в согласии и политике нужно указать категорию получателей (например, «работодатели, разместившие вакансии на сайте») и цели передачи.
Как узнать, уходят ли данные посетителей за рубеж?
Проверка фиксирует все сетевые запросы браузера: если среди них есть обращения к доменам Google, Facebook, Amazon или других иностранных сервисов, данные передаются за рубеж. В отчёте перечислены домены, время старта и правовая квалификация.
Что будет, если на сайте вакансий вообще нет политики конфиденциальности?
Отсутствие опубликованной политики обработки персональных данных — это эпизод с признаками нарушения требований 152-ФЗ. Закон обязывает оператора обеспечить доступность политики для субъектов данных до начала обработки.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.