Ochrona danych osobowych kandydatów do pracy stanowi istotną kwestię w procesie rekrutacji, na którą szczególną uwagę winien zwrócić każdy pracodawca poszukujący nowego personelu.
W tym kontekście pracodawca musi każdorazowo zastanowić się i odpowiedzieć sobie na szereg pytań celem wypełnienia ciążących na nim obowiązków wynikających z ogólnego rozporządzenia o ochronie danych osobowych (dalej: RODO). Jakie pytania powinien zatem zadać sobie rekrutujący pracodawca?
Jakie treści zawarte w ogłoszeniu o pracę pozwolą na wypełnienie przez pracodawcę obowiązków wynikających z RODO, a tym samym o jakie informacje pracodawca może zapytać w trakcie rekrutacji?
Przede wszystkim zwracamy uwagę na to, iż każdy pracodawca powinien pamiętać o bieżącym aktualizowaniu treści ogłoszeń, w szczególności w zakresie klauzul informacyjnych.
Nadal przecież w 2020 roku na największych portalach z ogłoszeniami o pracę można spotkać bowiem ogłoszenia, w których pracodawcy informują potencjalnych kandydatów o zasadach ochrony danych osobowych w procesie rekrutacji, odnosząc się na przykład do nieobowiązujących już przepisów ustawy o ochronie danych osobowych z roku 1997.
Konieczność przekazywania informacja o przetwarzaniu danych kandydatom o pracę już w momencie ogłaszania naboru na dane stanowisko wynika z treści art. 13 RODO, z którego wynika, że Administrator winien dopełnić obowiązku informacyjnego już w momencie pozyskiwania tych danych. W treści tego przepisu wprost wskazano jakie informacje musi zawrzeć pracodawca celem realizacji swojego obowiązku informacyjnego. Najbezpieczniej zatem dla pracodawcy będzie umieścić klauzulę informacyjną już na etapie sporządzania ogłoszenia o pracę.
Przy redakcji klauzuli informacyjnej należy pamiętać o treści przepisu art. 221 §1 Kodeksu Pracy, który stanowi podstawę prawną dla przetwarzania przez pracodawcę danych pracownika takich jak:
1) imię (imiona) i nazwisko;
2) datę urodzenia;
3) dane kontaktowe wskazane przez taką osobę;
4) wykształcenie;
5) kwalifikacje zawodowe;
6) przebieg dotychczasowego zatrudnienia.
W związku z czym pracodawca nie ma konieczności zbierania zgody na przetwarzanie powyższych danych pracownika, ciąży na nim jednakże obowiązek informacyjny, o którym była mowa powyżej.
Jeśli pracodawca skorzysta z uprawnienia do żądania od kandydata innych danych osobowych niż wskazane powyżej (tylko wówczas, gdy jest to niezbędne w tymże procesie) to koniecznym będzie uzyskanie jego zgody na przetwarzanie tychże dodatkowych danych osobowych.
W trakcie prowadzenia procesu rekrutacji, w kontekście ochrony danych osobowych kandydata do pracy, pracodawca może zatem zapytać o dane wskazane w pkt. 1-6 powyżej.
Ponadto, o ile pozyskał on zgodę kandydata na przetwarzanie innych danych koniecznych do rozpatrzenia jego kandydatury na dane stanowisko pracy, może on również zadać pytanie o te dane osobowe potencjalnego pracownika.
Proszę pamiętać, że pracodawca nie ma prawa do zbierania danych nadmiarowych związanych z oferowanym stanowiskiem pracy. Co za tym idzie, pracodawca nie powinien zbierać danych, które nie mają związku z celem, jakim jest zatrudnienie pracownika (np. danych o stanie cywilnym, wyznaniu, poglądach religijnych czy orientacji seksualnej).
Co z kandydatem, który w przesłanym Curriculum Vitae (dalej: CV) nie zamieścił zgody na przetwarzanie jego danych osobowych? Czy pracodawca ma prawo przetwarzać je bez tej zgody?
Z powyżej zacytowanego przepisu Kodeksu Pracy wynika, że pracodawca w zakresie danych osobowych w nim wskazanych (które stanowią jego dane zwykłe) może przetwarzać dane kandydata do pracy bez uzyskania jego zgody. W związku z powyższym, jeśli CV nie zawiera innych informacji dot. osoby rekrutowanej niż imię i nazwisko, datę urodzenia, dane do kontaktu, przebieg wykształcenia, kwalifikacje kandydata, przebieg dotychczasowego zatrudnienia; to nie ma konieczności wprowadzania wymogu zgody na przetwarzanie danych osobowych w treści CV.
Pracodawca nie może zaś przetwarzać danych kandydata, jeśli w dokumencie CV zamieścił on (bez wyrażenia wyraźnej zgody na ich przetwarzanie) dane szczególnej kategorii z art. 9 i 10 RODO tj. dane dot.:
– pochodzenia rasowego lub etnicznego,
– poglądów politycznych,
– przekonań religijnych lub światopoglądowych,
– przynależności do związków zawodowych,
, a także:
– danych genetycznych,
– danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej,
– danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby,
– danych dotyczących wyroków skazujących oraz czynów zabronionych;
chyba, że możliwość przetwarzania wynika z przepisów prawa. Przykładem takiej sytuacji jest obowiązek wskazywania stanu zdrowia przez kandydata na policjanta, którego dane mogą być przetwarzane.
Również przetwarzanie przez pracodawcę wizerunku kandydata do pracy, a także innych danych zwykłych niewymienionych w przepisie art. 221 §1 Kodeksu Pracy ( w tym danych, o których mowa w art. 221 §3 Kodeksu Pracy) w związku z procesem rekrutacji winno się opierać na zgodzie takiej osoby.
Warto w tym miejscu wskazać, iż zgodnie z RODO zgoda to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli w formie oświadczenia lub wyraźnego działania potwierdzającego. Zatem kiedy kandydat do pracy z własnej inicjatywy umieszcza w dokumentach aplikacyjnych dodatkowe dane, np. wizerunek czy informację o swoich zainteresowaniach, to wówczas może być to przecież śmiało traktowane jako wyraźne działanie potwierdzające, że kandydat wyraża wolę, aby potencjalny pracodawca przetwarzał jego dane osobowe w tym zakresie. Wobec tego pracodawca nie musi oczekiwać od kandydata oświadczenia zgody w formie pisemnej (standardowo umieszczanych w stopce dokumentów aplikacyjnych) aby móc legalnie przetwarzać te dane na podstawie zgody. Wyraźne działanie kandydata, z jego własnej inicjatywy, stanowi właśnie o jego zgodzie na przetwarzanie tych danych.
W tym miejscu należy zwrócić uwagę, iż pracodawca zasadniczo nie może wykorzystać dokumentów rekrutacyjnych kandydata na poczet przyszłych, bądź nawet równolegle odbywających się rekrutacji bez poinformowania go o nowym celu przetwarzania jego danych osobowych i bez uzyskania zgody na przetwarzanie danych osobowych kandydata w innych procesach rekrutacyjnych. Co za tym idzie, aby pracodawca mógł przechowywać CV kandydata na poczet przyszłych rekrutacji musi on spełnić obowiązek informacyjny wynikający z art. 13 RODO i posiadać jego zgodę na przetwarzanie tych danych osobowych do celów przyszłych rekrutacji. Najczęściej jest to zgoda pisemna zamieszczona w dokumentach rekrutacyjnych natomiast zgoda ta może zostać wyrażona w dowolnej formie pozwalającej na rozliczenie się przez pracodawcę z obowiązku jej zebrania (np. drogą e-mail, za pomocą formularza papierowego bądź online etc.)
Pracodawca musi mieć również na uwadze, iż zgoda kandydata na przetwarzanie danych w celach rekrutacyjnych może być wycofana w dowolnym momencie. Wówczas pracodawca nie posiada już uprawnienia do dalszego przetwarzania tych danych. W takiej sytuacji pracodawca jest zobowiązany do niezwłocznego usunięcia wszystkich danych dot. osoby. Prawo osoby do wycofania zgody stanowi również obowiązkowy element klauzuli informacyjnej z art. 13 RODO.
Jaki jest czasokres, w którym pracodawca może przechowywać dane osobowe kandydata do pracy?
Zgodnie z zasadami ogólnymi RODO dane osobowe nie powinny być przechowywane dłużej, niż jest to niezbędne do osiągnięcia celu przetwarzania. W przypadku rekrutacji jest nim niewątpliwie wyłonienie z grona kandydatów danego pracownika. Wobec czego, po tymże okresie dokumenty rekrutacyjne pozostałych kandydatów powinny zostać usunięte, chyba że dany kandydat wyraził zgodę na wykorzystanie danych osobowych na poczet przyszłych rekrutacji prowadzonych przez danego pracodawcę. W zakresie przechowywania danych na potrzeby przyszłych procesów rekrutacyjnych to sami rekruterzy powinni przyjąć ramy czasowe które odpowiadają aktualnej sytuacji na rynku pracy. W praktyce bowiem kandydatury szybko się starzeją i zasadność wracania do dokumentów aplikacyjnych po zbyt długim czasie może nie mieć już uzasadnienia biznesowego.
Autorzy:
Anna Kuś-Kluka, Radca prawny w kancelarii Juvo. Wpisana na listę Okręgowej Izby Radców Prawnych w Katowicach. Absolwentka Wydziału Prawa i Administracji Uniwersytetu Jagiellońskiego oraz studiów podyplomowych z zakresu ochrony danych osobowych. W Kancelarii zajmuje się świadczeniem pomocy prawnej dla przedsiębiorców, a zwłaszcza bieżącym doradztwem z zakresu ochrony danych osobowych.
Mateusz Heinrich, Radca prawny, partner zarządzający w kancelarii Juvo. Wpisany na listę Okręgowej Izby Radców Prawnych w Katowicach. Absolwent Wydziału Prawa i Administracji Uniwersytetu Śląskiego. Członek Stowarzyszenia Praktyków Ochrony Danych. Koordynuje obsługę prawną podmiotów gospodarczych w zakresie bezpieczeństwa informacji i ochrony danych osobowych w szczególności w podmiotach działających w ramach międzynarodowych grup kapitałowych oraz w obszarze nowych technologii.
