Przepisy RODO w procesie rekrutacji

Z przyjęciem europejskiego rozporządzenia o ochronie danych osobowych, czyli RODO, wiele obszarów życia społecznego i biznesowego uległo znaczącym zmianom. Jednym z aspektów, który dotyczy również procesu rekrutacji, jest obowiązek informacyjny wobec kandydatów. Kiedy składamy dokumenty aplikacyjne, w tym CV, przekazujemy pracodawcy swoje dane osobowe. RODO wprowadza obowiązek informowania kandydatów o tym, jakie dane są zbierane, w jaki sposób są przetwarzane, oraz do jakich celów.

Jakie prawa przysługują kandydatom, oraz jakie środki bezpieczeństwa i procedury należy wdrożyć, aby spełnić wymogi RODO?

Czym jest ochrona danych osobowych?

Ochrona danych osobowych obejmuje zabezpieczanie informacji dotyczących osób fizycznych przez podmioty, które nimi dysponują. Dotyczy to zarówno pojedynczych informacji, które stanowią dane osobowe, jak i zbiorów danych. Obowiązek ten wynika z przepisów — każda osoba ma prawo do ochrony swoich danych osobowych. Ochrona danych osobowych ma na celu zabezpieczenie tych danych przed ich utratą, wyciekiem lub nieautoryzowanym dostępem.

RODO — czym jest ogólne rozporządzenie o ochronie danych osobowych?

RODO — ogólne rozporządzenie z zakresu ochrony danych osobowych (ang. General Data Protection Regulation), jest rozporządzeniem unijnym, które zawiera przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz swobodnym przepływie danych osobowych.

Ogólne rozporządzenie dotyczące ochrony danych osobowych przyjęto 27 kwietnia 2016 roku. Po dwuletnim okresie przejściowym w maju 2018 roku zaczęło obowiązywać we wszystkich krajach członkowskich Unii Europejskiej bezpośrednio, czyli bez potrzeby wydawania aktów wykonawczych, które wdrażały je do porządku krajowego. Rozporządzenie to wraz z dyrektywą o ochronie danych w obszarze policji i wymiaru sprawiedliwości stanowi część pakietu UE (rozporządzenia parlamentu europejskiego), który dotyczy reformy ochrony danych.

Dane osobowe – czym są?

Dane osobowe obejmują wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania żyjącej osoby fizycznej (numer PESEL, lub NIP), lub zbiór informacji, które pozwolą bezpośrednio lub pośrednio daną osobę zidentyfikować. Rozporządzenie RODO gwarantuje ochronę danych osobowych, niezależnie od używanej technologii do przetwarzania danych. W kontekście procesu rekrutacji oznacza to przede wszystkim konieczność zapewnienia bezpieczeństwa danych osobowych aplikujących kandydatów.

Klauzula RODO a okres przechowywania danych osobowych kandydata

RODO nie precyzuje dokładnego okresu, w jakim możemy przetwarzać dane kandydatów — czas przechowywania uzależniony jest od wyniku konkretnego procesu rekrutacyjnego. W przypadku, gdy kandydat nie zostanie wybrany, nie ma podstaw do kontynuowania przetwarzania jego danych osobowych, które znajdują się w dokumentach aplikacyjnych. Z tego powodu zazwyczaj zaleca się niezwłoczne usunięcie tych danych po zakończeniu rekrutacji, chyba że kandydat wyraził zgodę na przetwarzanie danych na potrzeby przyszłych procesów rekrutacyjnych. Pracodawca ma obowiązek określić oraz powiadomić kandydata o planowanym okresie przetwarzania jego danych, oraz kiedy zostaną usunięte.

Chociaż przetwarzanie opiera się na udzielonej przez kandydata zgodzie i może trwać do momentu jej wycofania, zaleca się określenie okresu przetwarzania i poinformowanie o tym kandydata w klauzuli informacyjnej. Pracodawca powinien przetwarzać jedynie te informacje o kandydacie, które są rzeczywiście niezbędne w procesie rekrutacji, nie powinien gromadzić danych niepotrzebnych i na zapas.

Obowiązek informacyjny wobec kandydata

Pracodawca powinien również spełnić wobec kandydata obowiązek informacyjny — RODO wprowadza obowiązek informowania kandydatów o tym, jakie dane są zbierane, jaka jest podstawa prawnej przetwarzania, w jaki sposób dane są przetwarzane, komu będą przekazywane oraz do jakich celów. Pracodawca jest zobowiązany powiadomić kandydata o tych aspektach w momencie pozyskiwania tych informacji, w sposób jasny, czytelny i łatwo dostępny. Klauzula RODO powinna być udostępniona kandydatowi, na przykład, poprzez umieszczenie jej w treści ogłoszenia o pracy, jako link przekierowujący do treści, w formie pola do zaznaczenia, lub w bezpośredniej informacji zwrotnej, zaraz po otrzymaniu od kandydata zgłoszenia do pracy — jako załącznik, w treści wiadomości e-mail lub w postaci linku, który przekierowuje do treści klauzuli. Należy to zrobić w każdym przypadku, w którym pobierane są jakiekolwiek dane osobowe.

Zobowiązanie do przekazywania takiej informacji ma na celu zagwarantowanie, że kandydaci są świadomi, jakie dane są zbierane i w jaki sposób są przetwarzane. Jest to ważny krok w budowaniu transparentności i zaufania między pracodawcą a kandydatami, a także w spełnianiu przepisów RODO.

Jakich danych pracodawca może wymagać w procesie rekrutacji?

Zgodnie z art. 221 § 1 Kodeksu pracy, pracodawca ma obowiązek uzyskać następujące dane osobowe kandydatów:

• Dane identyfikacyjne: data urodzenia, imię (imiona) i nazwisko;

• Dane kontaktowe wskazane przez kandydata — numer telefonu lub adres e-mail;

• Wykształcenie;

• Kwalifikacje zawodowe — doświadczenie zawodowe, umiejętności, odpowiednie cechy, predyspozycje psychofizyczne;

• Informacje o przebiegu dotychczasowego zatrudnienia.

Kandydat powinien udostępnić pracodawcy powyższe informacje w formie oświadczenia — klauzula w CV lub w liście motywacyjnym. Pracodawca ma prawo żądać od kandydata udokumentowania tych danych w celu ich zweryfikowania, na przykład poprzez przedstawienie stosownych dokumentów, takich jak dyplom ukończenia studiów czy świadectwo pracy.

Jakich danych pracodawca nie może żądać od kandydata do pracy?

Pracodawca nie może żądać od kandydata danych, które wykraczają poza zakres wskazany w przepisach prawa, a także danych, które nie są związane z zatrudnieniem pracownika, takich jak informacje o stanie cywilnym, wyznaniu czy orientacji seksualnej. Pracodawca ma prawo wnioskować o podanie innych danych, jeżeli jest to konieczne do spełnienia obowiązku wynikającego z przepisów prawa, jak np. wymóg niekaralności. W takim przypadku pracodawca ma prawo uzyskać informacje w tym konkretnym zakresie.

Obowiązki agencji rekrutacyjnej związane z RODO

Wielu pracodawców, planując rozpoczęcie procesu rekrutacyjnego, decyduje się na współpracę z agencją rekrutacyjną, która przeprowadzi selekcję kandydatów do pracy. W związku z taką współpracą pojawia się pytanie dotyczące uregulowania kwestii związanych z przetwarzaniem danych osobowych kandydatów do pracy.

Agencja rekrutacyjna działa jako podmiot przetwarzający w sytuacji, kiedy pracodawca powierza jej zadanie poszukiwania potencjalnych kandydatów do pracy. Agencja ogłasza nabór na stanowisko pracy, przeprowadza rozmowy rekrutacyjne, lecz cały czas działa w imieniu i na zlecenie pracodawcy. Kandydaci są świadomi, do jakiej firmy składają swoje aplikacje od samego początku rekrutacji. W tej sytuacji pracodawca jest od samego początku administratorem danych, co oznacza, że to on ponosi odpowiedzialność za przestrzeganie obowiązku informacyjnego. Natomiast, gdy agencja gromadzi dane kandydatów, tworząc własną bazę danych i zamierza wykorzystać ją, na przykład, do prowadzenia rekrutacji dla różnych klientów, w takiej sytuacji występuje w roli administratora danych.