RODO w rekrutacji od A do Z

Implementacja prawa unijnego do polskich realiów wiąże się z koniecznością wykonywania większej ilości pracy przez działy HR. Przepisy zawarte w RODO wprowadziły szereg zmian w zakresie rekrutacji nowych pracowników oraz ich zatrudnienia.

Zasadą jest, że pracodawca nie może przetwarzać innych danych niż te, które kandydat zawarł w dokumentach aplikacyjnych. Jakich danych może żądać potencjalny pracodawca? Ich katalog znajduje się w art. 221 § 1 Kodeksu pracy. Są to:

• imię i nazwisko
• imiona rodziców kandydata
• data urodzenia
• miejsce zamieszkania oraz adres do korespondencji
• posiadane wykształcenie
• przebieg zatrudnienia kandydata.

Co ważne, jeżeli kandydat nie wskaże dodatkowych danych, o które pracodawca poprosi, ten drugi nie ma prawa ustalić ich samodzielnie. Co to oznacza? Na przykład nie może ani wykonać telefonu do poprzednich pracodawców tej konkretnej osoby, ani sprawdzać jej profilu zawodowego w popularnych portalach takich jak LinkedIn. W jaki sposób pracodawca może ustrzec się przed taką sytuacją? Przede wszystkim poprzez bardzo dokładne sformułowanie oferty pracy.

Wielu pracodawców jest przekonana, że nie może prosić kandydatów o podanie innych danych niż te wskazane enumeratywnie w Kodeksie Pracy. Nic bardziej mylnego. RODO w procesie rekrutacji umożliwia zaistnienie takiej sytuacji, a dotyczy ona przypadków, w których wymienione w kodeksie dane nie są wystarczające do przeprowadzenia procesu rekrutacji oraz do późniejszego zatrudnienia pracownika. Doskonałymi przykładami są tu informacje o niekaralności czy też o oczekiwaniach finansowych kandydata. Również przedstawienie świadectw pracy uzyskanych od poprzednich pracodawców czy wszelkie świadectwa, które potwierdzają ukończenie dodatkowych kursów są niekiedy niezbędne do podjęcia właściwej decyzji o wyborze najlepszego kandydata do pracy na danym stanowisku.

Najważniejsze jest jednak to, aby pracodawca mógł przetwarzać dane osobowe kandydatów. Oznacza to, że oferta pracy powinna być skonstruowana w taki sposób, aby przesyłane przez kandydatów aplikacje zawierały wszelkie niezbędne w procesie rekrutacji dokumenty. W tym celu należy przygotować dobrze skonstruowaną klauzulę informacyjną zawierającą kompleksowe informacje dotyczące procesu rekrutacji oraz niezbędnych danych. Pracodawca zawsze musi mieć podstawę prawną do przetwarzania danych osobowych kandydata, czyli Kodeks Pracy, przepisy szczególne, odrębną zgodę kandydata bądź też interes administratora danych.

Na wstępie od razu odpowiemy na pytanie - nie! Wystarczy bowiem, żeby pracodawca zawarł odpowiednie informacje w ogłoszeniu o poszukiwaniu pracownika. Dzięki zastosowaniu odpowiedniej klauzuli kandydat, wysyłając aplikację, wyraża również zgodę na przetwarzanie swoich danych osobowych. Przykładem takiego zapisu może być _ "Kliknięcie w przycisk APLIKUJ oznacza zgodę na przetwarzanie przez firmę X danych osobowych, które zawarłeś/zawarłaś w swoim zgłoszeniu rekrutacyjnym, w celu przeprowadzenia rekrutacji na wskazane stanowisko, Jeżeli nie wyrażasz zgody na przetwarzanie twoich dodatkowych danych, prosimy o nieumieszczanie ich w dokumentach aplikacyjnych." _

Pamiętajmy również, że według nowych przepisów dane osoby ubiegającej się o pracę na konkretnym stanowisku nie mogą być wykorzystane przez pracodawcę swobodnie w przypadku przeprowadzania kolejnej rekrutacji. Jeżeli pracodawca jest zainteresowany zatrudnieniem kandydata w późniejszym czasie, musi on pozyskać od tej osoby dodatkową zgodę na przetwarzanie danych osobowych.

Warto też wiedzieć, że pracodawca ma obowiązek prowadzenia ewidencji uzyskanych od kandydatów na pracowników zgód. Jest to ogromne wyzwanie dla działu HR, ale należy podkreślić, że istnieją nowoczesne programy rekrutacyjne, które doskonale sortują wszelkie uzyskane przez konkretną firmę zgody oraz dane.

W pierwszej kolejności należy wspomnieć, że kandydat może m.in:

• żądać dostępu do swoich danych osobowych
• żądać kopii swoich danych osobowych
• sprostować swoje dane
• żądać usunięcia swoich danych
• ograniczyć zakres udostępnionych pracodawcy danych
• wnieść sprzeciw wobec konkretnych danych
• żądać aby jego dane osobowe nie były udostępnione innemu administratorowi

Czy pracodawca musi zawsze przychylić się do żądania kandydata? Nie. Ma to miejsce w przypadku, w którym na przykład toczy się postępowanie sądowe w związku z konkretną rekrutacją, a dane kandydata mogą być wzięte pod uwagę jako dowód w tej sprawie. Wówczas pracodawca może odmówić kandydatowi spełnienia jego prośby bądź też wskazać, że żądanie zostanie spełnione ale w późniejszym terminie.

Jeżeli administrator danych osobowych nie spełnia żądania kandydata, musi go o tym poinformować w ciągu maksymalnie miesiąca od dnia zgłoszenia wraz z uzasadnieniem. Powinien on również przekazać kandydatowi:

• informacje w zakresie skargi do organu, który nadzoruje administratora oraz
• że ma on możliwość dochodzenia swoich praw przed sądem.

Istotne jest także to, że pracodawca ma obowiązek zweryfikowania tożsamości osoby, od której pochodzi zgłoszone żądanie. Może to zrobić dzięki zastosowaniu systemu identyfikatorów dla kandydatów. Najprostszym rozwiązaniem w tym zakresie jest poproszenie kandydata o wskazanie adresu e-mail podanego w procesie rekrutacji.

Tak zwane ukryte rekrutacje to te, w których nie wskazuje się nazwy firmy, która przeprowadza rekrutację. W świetle obowiązujących od prawie roku przepisów takie procedury są niedopuszczalne, bowiem osoba, która zgłasza swoją kandydaturę, nie wie kto jest administratorem danych osobowych. Nawet otrzymanie maila zwrotnego z zawartą klauzulą informacyjną nie stanowi tutaj żadnego wyjątku, bowiem clou przepisów stanowi informacja o administratorze dostępna w momencie przesyłania aplikacji. Na takim właśnie stanowisku stoi polskie sądownictwo.

Więcej informacji dotyczących zastosowania przepisów RODO w praktyce każdy pracodawca znajdzie w praktycznym poradniku przygotowanym przez Urząd Ochrony Danych Osobowych.