Дані кандидата в Defense Tech: де закінчується рекрутинг і починається безпека

Захист даних починається не з юридичних документів, а з рішень, які рекрутери й HR-спеціалісти ухвалюють щодня. На цьому в новій статті спецпроєкту Arming with Talents наголошують засновниця та CEO CORE Team Анна Король і партнерка юридичної компанії Arzinger Катерина Олійник. 

Як не допустити витоку персональних даних кандидата, що може змінити в правилах поводження з цими даними законопроєкт №8153 і що робити, якщо сам кандидат розповідає більше, ніж потрібно?

У Defense Tech резюме кандидата — не просто документ із ім’ям і професійним досвідом. Це також і натяк на продукт, який цікавить не лише роботодавців, а й ворога.

У звичайному рекрутингу витік даних — це неприємна історія зі штрафами та репутаційними втратами. В оборонній галузі це ще й питання безпеки конкретної людини, її родини та команди, до якої вона прийде.

Разом із Катериною Олійник, партнеркою Arzinger, ми розібрали три ситуації, де дані кандидатів найчастіше опиняються під загрозою. У кожній — погляд рекрутера і погляд юриста: що відбувається на практиці та які це має наслідки.

1. “Скинь резюме в Telegram”: куди насправді потрапляють дані кандидата

Реалії такі, що рекрутинг живе в месенджерах. Резюме пересилають у робочі чати, скриншоти профілів — колегам “для внутрішнього фідбеку”, а списки кандидатів зберігаються у таблицях із доступом за посиланням. Ще один відносно новий канал — публічні AI-інструменти, куди резюме копіюють, щоб швидко зробити самарі.

Кожен такий крок здається дрібницею. Але разом вони складаються в картину: хто з інженерів де працює, над чим і куди планує перейти. Для ворожих спецслужб це цінна розвідувальна інформація.

Наслідки відчуває насамперед кандидат. Серед потенційних проблем – цільовий фішинг, спроби вербування, тиск на родину. А ще — втрата довіри: у нашій галузі всі досить близько знайомі, і фахівець, чиї дані “гуляють” ринком, наступного разу двічі подумає, перш ніж відгукнутися на вакансію.

З погляду рекрутингу, правило просте: перед кожним пересиланням спитати себе, чи потрібне воно взагалі, хто ще матиме доступ і чи знає про це кандидат. Замість файлу в чаті — доступ у захищеній системі. Замість відкритого посилання — доступ для конкретних людей. Замість публічного чатбота — інструмент, який не зберігає дані та не використовує їх для навчання моделей.

Правові аспекти від Катерини Олійник:

Якщо стався витік персональних даних кандидата, відповідальність за це зазвичай несе роботодавець як володілець даних, який визначає мету та порядок їх обробки й має забезпечити належний захист. Якщо рекрутинг здійснює зовнішнє агентство або незалежний рекрутер, розподіл відповідальності залежить від їхнього статусу та умов співпраці.

При використанні AI-інструментів для аналізу резюме важливо перевірити умови сервісу: хто обробляє дані, чи використовує їх для навчання моделей і які гарантії конфіденційності надає. Для роботи з резюме варто надавати перевагу AI-інструментам у захищеному корпоративному середовищі, де технічні налаштування та договірні умови забезпечують належний рівень захисту даних. Завантаження резюме до публічного сервісу може потребувати додаткової правової оцінки.

Передаючи резюме рекрутеру, кандидат фактично дозволяє обробку своїх персональних даних з метою пошуку роботи та оцінки його кандидатури. Однак це не означає згоди на необмежене поширення таких даних. Рекрутер не вправі безконтрольно пересилати резюме третім особам поза межами цілей, про які було повідомлено кандидата. Будь-яке подальше розкриття персональних даних має відповідати визначеній меті їх збору, а кандидат повинен бути належним чином поінформований про таку передачу; в окремих випадках для цього може знадобитися його згода або інша передбачена законом правова підстава.

Кандидат, чиї дані обробляли неправомірно, може вимагати припинення порушення або усунення його наслідків. Він також може звернутися до Уповноваженого Верховної Ради України з прав людини або до суду, зокрема для захисту своїх прав та відшкодування завданої шкоди.

2. Чутливі питання: облік, бронювання, безпекові перевірки

В оборонному наймі є дані, яких майже не буває в інших галузях: військовий облік, можливість бронювання, результати поліграфа та психодіагностики. Бізнесу у Defense Tech ці дані справді потрібні, але питання в тому, коли, скільки і хто їх бачить.

Буває так, що про облік і бронювання питають уже на першому дзвінку і фіксують відповіді в нотатках для всієї команди. А висновок перевірки, який мав бути інструментом для ухвалення рішення, перетворюється на файл, який пересилають усім учасникам процесу.

Наслідки тут довготривалі. Результати психодіагностики чи деталі військового статусу можуть “йти” за людиною ринком роками, формуючи упередження там, де їх не мало бути. А для компанії це ризик звинувачень у дискримінації та незаконній обробці даних.

Наш підхід: питати про чутливе тоді, коли це справді впливає на рішення, і пояснювати кандидату, навіщо це робиться. Клієнт отримує висновок і рекомендацію, а не “сирі” дані тестів. Доступ мають лише ті, хто ухвалює рішення.

Правові аспекти від Катерини Олійник:

Результати поліграфа та психодіагностики не належать автоматично до спеціальних категорій персональних даних. Це залежить від змісту висновків: якщо вони містять, наприклад, відомості про стан здоров’я, політичні чи релігійні переконання або судимість, їх обробка підпадає під додаткові обмеження. Також висновки можуть містити конфіденційну інформацію про приватне життя людини, тому їх збирання та використання потребують належного обґрунтування.

Підстави для обробки даних військового обліку залежать від етапу взаємодії з кандидатом. Після працевлаштування роботодавець обробляє ці дані, зокрема, для виконання встановленого законом обов’язку вести військовий облік призовників, військовозобов’язаних і резервістів.

На етапі рекрутингу підставою може бути згода кандидата або необхідність вчинення дій, пов’язаних із можливим укладенням трудового договору.

Персональні дані можна зберігати лише стільки, скільки потрібно для досягнення мети їх обробки. Дані кандидатів, яких не найняли, після досягнення цієї мети слід видалити або знеособити, якщо немає іншої законної підстави для їх зберігання.

Що може змінитися із законопроєктом №8153 “Про захист персональних даних”?

Законопроєкт  №8153 прийнятий у першому читанні 20.11.2024, і з того часу він готується до другого читання. Він має наблизити українське законодавство до стандартів GDPR і посилити вимоги до обробки персональних даних. Зокрема, він передбачає обов’язок знищувати дані не пізніше ніж за 30 днів після того, як відпала потреба в їх обробці, повідомляти про витоки та уточнює вимоги до згоди на обробку.

Чинне законодавство передбачає виняток щодо обробки даних для військового обліку призовників, військовозобов’язаних і резервістів. У проєкті № 8153 такого винятку немає, хоча його можуть додати під час подальшого опрацювання документа. Документ розробляли до повномасштабного вторгнення; його поточна редакція не враховує всіх особливостей обробки даних в умовах воєнного стану й ще може змінитися.

3. NDA в обидва боки: коли кандидат розповідає забагато

Зазвичай NDA сприймають як захист компанії: кандидат підписує його, перш ніж дізнається деталі проєкту. Але є і зворотний бік, про який говорять рідше.

Уявіть співбесіду з інженером, який зараз працює в іншій оборонній компанії. Він хоче сподобатися, інтерв’юер хоче зрозуміти глибину експертизи кандидата. І за десять хвилин розмова вже йде про характеристики чужого продукту, постачальників чи результати випробувань. Те саме буває з тестовими завданнями, надто схожими на реальні задачі.

Це створює ризики для обох сторін. Кандидат порушує зобов’язання перед поточним роботодавцем, а компанія, яка наймає, отримує інформацію, якої в неї не має бути. І ще одне просте спостереження: якщо людина так легко розповідає про чужі секрети, це варто врахувати в оцінці.

Рекрутер і hiring manager можуть цьому запобігти. Ставити питання про підходи та рішення, а не про конкретику продукту. На початку розмови прямо сказати: “Не розкривайте інформацію, на яку поширюється NDA”. А тестове завдання будувати на умовних сценаріях.

Правові аспекти від Катерини Олійник: 

Розголошення конфіденційної інформації або комерційної таємниці створює ризики як для кандидата, так і для нового роботодавця. Водночас NDA не має обмежувати право людини використовувати набуті знання, навички та досвід. Важливо розрізняти професійні компетенції та інформацію попереднього роботодавця, яка охороняється законом.

Кандидат може розповідати про свій досвід і підходи до роботи, але не повинен розкривати захищену інформацію, наприклад, технічну документацію, вихідний код, алгоритми чи непублічні дані про клієнтів і ціни. Співбесіда має оцінювати компетенції, а не давати доступ до комерційної таємниці.

Ефективність NDA залежить від чіткості його умов і можливості довести порушення. Серед типових проблем — нечітке визначення конфіденційної інформації, відсутність строку дії зобов’язань і складність доведення порушення. У постанові від 22 жовтня 2024 року у справі № 910/6224/19 Верховний Суд нагадав про принцип contra proferentem: неясні умови договору тлумачаться проти сторони, яка їх сформулювала. Тому NDA має чітко визначати, яку інформацію захищає і які обмеження встановлює.

Наостанок

Захист даних кандидата — це не бюрократія і не галочка в формі згоди. У Defense Tech це частина безпеки всієї галузі, і починається вона з простих щоденних звичок рекрутера й HR.

У Defense Tech захист даних — і роботодавця, і кандидата — є основою, на якій тримається вся подальша робота компанії та її внутрішні процеси. Щоб уникнути зайвих конфліктів і забезпечити безпеку даних, недостатньо просто ставити галочки навпроти вимог закону. Корисно зупинитися на хвилину й чесно запитати себе: чи маємо ми законну підставу обробляти ці дані, яку мету переслідуємо і яким способом намагаємося її досягти.

Хороша новина в тому, що більшість ризиків закриваються не дорогими системами, а домовленостями: де ми зберігаємо дані, хто їх бачить і про що ми не питаємо.

Ці три ситуації – лише верхівка айсберга. Захист даних починається не з юридичних документів, а з рішень, які рекрутери й HR ухвалюють щодня.

Анна Король

CEO та засновниця CORE Team

• LinkedIn