Персональные данные сотрудников в открытом доступе: 4 риска для бизнеса

Менеджер по продажам разместил резюме на hh.ru два года назад. Он давно не ищет работу, но резюме не удалил. Там его имя, текущее место работы и рабочий мобильный.

Конкурент не взламывал вашу CRM. Он просто прогнал парсер по открытым профилям и получил список ваших менеджеров с номерами. Теперь он знает, кто у вас работает, и может позвонить каждому с предложением о переходе.

Это юридически чисто - данные общедоступные. Но для вашего бизнеса это уже проблема.

Что именно о ваших сотрудниках сейчас в открытом доступе?

Коротко: намного больше, чем вы думаете.

Несколько источников, откуда это берётся:

Сайты поиска работы. HH.ru, SuperJob, Rabota.ru. Сотрудник разместил резюме год-два назад, когда искал работу. Нашёл - забыл обновить. Там: имя, должность, место работы, телефон, иногда рабочий email. Это его данные, он их разместил сам.

Деловые соцсети. LinkedIn, TenChat, деловые каталоги. Менеджер указал компанию, должность, контактный номер. Всё публично.

Справочники и агрегаторы. В 2ГИС или в Яндекс Бизнесе карточка компании часто включает контактных лиц с именами и мобильными. Кто их туда добавил - иногда сам сотрудник, иногда администратор, который указал «ответственного менеджера».

Корпоративный сайт. Раздел «Команда» или «Контакты» - имена, фото, должности, телефоны отделов с именами конкретных людей. Сделано для удобства клиентов - работает и для конкурентов.

Конференции и мероприятия. Сотрудник участвовал в отраслевой выставке. Его данные вошли в программу, в партнёрские материалы, в отчёты организаторов - часть которых публична.

Итог: у среднего B2B-бизнеса с отделом продаж в 10-15 человек в открытом доступе находятся контакты большинства сотрудников. Автоматический парсер собирает это за часы.

Технически это законно - но кого именно защищает 152-ФЗ?

В 152-ФЗ «О персональных данных» есть понятие «общедоступные источники персональных данных». Если человек сам разместил свои данные в открытом справочнике или дал на это согласие - данные считаются общедоступными. Закон не запрещает третьим лицам использовать такие данные.

Что это значит на практике: менеджер разместил резюме на HH.ru - это его данные, он их опубликовал добровольно. С точки зрения закона они общедоступны. Конкурент, который их собрал парсером, формально ничего не нарушил.

Глава 14 Трудового кодекса обязывает работодателя защищать персональные данные своих работников - не раскрывать их третьим лицам без согласия. Но это регулирует отношения работодатель-работник. Если конкурент нашёл телефон менеджера в открытом профиле, а не взял его из вашей HR-системы - это уже за пределами этой нормы.

152-ФЗ защищает физическое лицо от неправомерного использования его данных. Он не защищает ваш бизнес от конкурентов, которые используют публично размещённые контакты ваших сотрудников в коммерческих целях.

Это не значит, что закон бессилен совсем. Если конкурент использует собранные данные для систематического спама, нарушает интересы самого сотрудника - у того есть основания для жалобы в Роскомнадзор. Но процесс это долгий, и пока он идёт, ваши данные уже работают против вас.

Почему законность для коллектора не равна безопасности для вашего бизнеса

Здесь ключевое расхождение, которое многие не видят.

Закон устроен так: он защищает субъекта данных (физическое лицо) от ущерба, нанесённого ему лично. Но коммерческий ущерб, который несёт работодатель, когда конкурент получает доступ к его оргструктуре - это другая история.

Представьте: конкурент собрал телефоны ваших 15 менеджеров по продажам. Он не позвонил им с предложением работы (это была бы очевидная угроза). Он просто понял вашу структуру: кто за какое направление отвечает, кто РОП, кто работает с крупняком, а кто с малым бизнесом.

Эта информация стоит дорого. Она позволяет целенаправленно перехватывать ваших клиентов - понимая, как у вас устроены продажи.

Ещё один сценарий: парсер собрал не только имена, но и данные о звонках ваших менеджеров из открытых каналов. Конкурент получил информацию о том, кому вы звоните. Ваш список клиентов больше не только ваш.

Правовая норма здесь одна. Коммерческая безопасность - другое понятие. И разрыв между ними - это пространство, в котором работает реальный ущерб.

4 конкретных риска, когда ваши данные уходят в чужие руки

Это не абстрактная «угроза безопасности». Вот что происходит на практике.

Риск 1. Конкурент снимает ваш прогретый трафик.

Посетитель зашёл на ваш сайт, изучил предложения, ушёл подумать. В вашей аналитике это «отказ» или «неконвертировавший визит». А конкурент, собравший контакты ваших посетителей через сторонние системы перехвата, уже звонит ему первым. Вы заплатили за трафик, а продал - конкурент.

Риск 2. По номерам сотрудников строят карту вашей оргструктуры.

Телефоны менеджеров попадают в базы сбора. По ним восстанавливают, кто у вас за что отвечает. Дальше - целенаправленное переманивание нужных людей или систематический спам по рабочим номерам. Сотрудник, которого заваливают нерелевантными звонками, тратит время и устаёт быстрее.

Риск 3. Данные о ваших звонках становятся видны снаружи.

Через незащищённые каналы конкурент может узнать, кому вы звоните. Это значит, что ваши клиенты могут оказаться в чужих списках раньше, чем они станут вашими.

Риск 4. Рекламный бюджет работает на конкурента.

Каждый клик стоит денег. Если контакт попал в чужую базу перехвата раньше, чем оставил заявку - вы оплатили приход клиента, а конкурент его забрал.

Что обязан делать работодатель - и где его ответственность заканчивается

По Трудовому кодексу (глава 14) работодатель обязан защищать персональные данные работников: не раскрывать без согласия, хранить в защищённом режиме, определить ответственных за обработку. Это касается данных, которые работодатель сам хранит и обрабатывает: трудовых договоров, личных дел, расчётных ведомостей.

Что работодатель не может сделать по закону: запретить сотруднику иметь профиль на hh.ru. Это право физического лица. Он вправе публиковать своё резюме, указывать место работы, писать в деловых соцсетях.

Значит ли это, что работодатель беспомощен? Не совсем.

Компания может закрыть каналы, через которые данные утекают уже с её стороны: корпоративный сайт, справочники, форматы участия в конференциях. Менять политику публикации контактов - не указывать прямые мобильные на сайте, использовать общие адреса отделов вместо личных. Защищать технически собственные сайты и корпоративные ресурсы от парсеров. И закрывать телефоны сотрудников от систем автоматизированного сбора.

Это не решает проблему на 100% - резюме на HH.ru никуда не деть. Но существенно сужает площадь, которую конкурент может накрыть одним прогоном парсера.

Проверьте прямо сейчас: что видно о вашей команде

Чтобы понять масштаб, не нужны специальные инструменты. Достаточно 15 минут.

1. 1Поищите в Яндексе: «[название компании] менеджер по продажам» или «[название компании] руководитель отдела». Посмотрите, что появляется в топе - профили на HH, страницы конференций, карточки в справочниках.

1. 1Зайдите в 2ГИС или Яндекс Бизнес, найдите карточку своей компании. Проверьте раздел «Контакты» - есть ли там имена конкретных сотрудников с мобильными?

1. 1Откройте корпоративный сайт. Раздел «Команда», «Контакты», «О нас». Какие данные там указаны?

1. 1Поищите на hh.ru активные резюме с названием вашей компании.

Если за 15 минут вы нашли больше 5-7 прямых мобильных телефонов ваших сотрудников - у вас открытый периметр. Парсер сделает это за несколько часов в автоматическом режиме и по всем источникам сразу.

Как закрывают этот канал

Это не вопрос «написать письмо сотрудникам, чтобы удалили резюме». Это технически сложнее - и намного эффективнее, чем кажется.

Работает несколько направлений.

Первое: аудит периметра. Понять, какие именно данные доступны сейчас и откуда. Не вслепую, а с конкретными адресами утечек.

Второе: план защиты по фактическому объёму. Сколько сайтов, сколько номеров, какие каналы сбора активны - всё считается индивидуально.

Третье: технически закрыть каналы. Запрещать что-то публиковать - нереально. Но можно встать между системой сбора и данными так, чтобы автоматизированный парсер получал ошибку или бессмысленный набор данных вместо реального контакта.

Четвёртое: держать периметр. Мониторинг новых векторов, добавление новых сайтов и номеров по мере роста.

Это то, что делает StopParsing. Первый шаг - бесплатный аудит: передаёте список сайтов и телефонов сотрудников, получаете картину того, что сейчас доступно системам сбора.

Важное уточнение: гарантий «полная невидимость» никто не даёт и не должен. Данные, которые сотрудник опубликовал сам, остаются его правом. Но собрать их в структурированную базу автоматически - намного сложнее, когда периметр закрыт.

Кому это нужно прежде всего

Если у вас B2B-бизнес с отделом продаж и трафиком с сайта - риски, описанные выше, касаются вас напрямую.

Особенно это актуально для тех, кто сам использует инструменты перехвата. Логика простая: если вы знаете, как работает перехват лидов конкурентов, то понимаете и обратную сторону - ваши данные могут быть в чужих базах прямо сейчас.

Читайте также:

• Что о вашей компании видно системам сбора данных
• Как закрыть сайт от парсеров конкурентов

Начать проще с аудита - он бесплатный и занимает один звонок. Телефон StopParsing: 8 910 050 01 00.

Источники

• 152-ФЗ «О персональных данных» от 27.07.2006 - consultant.ru
• Глава 14 «Защита персональных данных работника» Трудового кодекса РФ
• Разъяснения Роскомнадзора об обработке общедоступных персональных данных - rkn.gov.ru

Стопарсинг защищает ваши данные строго в правовом поле 152-ФЗ: мы закрываем только ваши сайты и ваши номера сотрудников - не чужие. Подробнее о принципах работы: stopparsing.ru