Niezależnie od tego, w jaki sposób pracodawca będzie poszukiwał i rekrutował kandydatów do pracy, proces ten musi odbywać się w zgodzie z RODO, gdyż zawsze wiąże się on z pozyskiwaniem przez niego danych osobowych zawartych chociażby w dokumentach rekrutacyjnych (CV, listach motywacyjnych, świadectwach pracy, listach referencyjnych, zaświadczeniach itd.). Potwierdza to UODO na swej stronie internetowej uodo.gov.pl, podkreślając, że pracodawca powinien przetwarzać tylko takie dane, które są niezbędne ze względu na cel ich zbierania, jakim jest podjęcie przez niego decyzji o zatrudnieniu nowego pracownika. Innymi słowy, pracodawca nie może żądać od kandydata danych nadmiarowych, które nie są niezbędne do przeprowadzenia rekrutacji. Dane osobowe nie mogą być zbierane na zapas, „na wszelki wypadek”, tj. bez wykazania zgodnego z prawem celu ich pozyskania i wykazania ich niezbędności dla realizacji tego celu przez administratora. Ponadto, żądanie przez pracodawcę od kandydatów do pracy informacji wykraczających poza to, co przede wszystkim przewidują przepisy prawa pracy może naruszać zarówno postanowienia RODO, jak i przepisy prawa pracy rodząc np. zarzut dyskryminacji.

Dane wymagane od kandydata w toku rekrutacji

 Pracodawca może oczekiwać od kandydata do pracy podania mu danych, które ogólnie możemy określić, jako dane:

• identyfikacyjne (imię, nazwisko, imiona rodziców, data urodzenia);
• kontaktowe (adres zamieszkania) oraz
• o wykształceniu, umiejętnościach, doświadczeniu zawodowym (ukończonych szkołach oraz studiach, przebytych szkoleniach i kursach, poprzednich pracodawcach, zajmowanych stanowiskach oraz obowiązkach zawodowych) – zakres danych, których pracodawca może żądać od osoby ubiegającej się o zatrudnienie wskazany został w art. 22¹ Kodeksu pracy oraz rozporządzeniu Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika).

Jest to katalog danych, których pracodawca może żądać od kandydata do pracy, w celu podjęcia działań zmierzających do zawarcia z nim umowy (art. 6 ust. 1 lit. b RODO). Co istotne, z uwagi na specyfikę procesu rekrutacji, do zawarcia tej umowy wcale nie musi ostatecznie dojść.

Ważne!

Uwzględniając cel, jaki przyświeca gromadzeniu tych danych, tj. podjęcie przez pracodawcę decyzji o zatrudnieniu pracownika, która będzie się opierała na ocenie jego przydatności do pracy na określonym stanowisku, informacje przekazywanie przez pracownika muszą być konkretne, tj. nie mogą ograniczać się jedynie do zdawkowej informacji, że odbył jakieś kursy czy ukończył studia, bez wskazywania, jakie dokładnie.

Jakich danych pracodawca nie może żądać od kandydata do pracy?

Pracodawca nie może żądać od kandydata danych wykraczających poza zakres, który został wskazany w przepisach prawa, danych nadmiarowych, w szczególności takich, które nie mają związku z celem, jakim jest zatrudnienie pracownika (np. danych o stanie cywilnym, wyznaniu, poglądach religijnych czy orientacji seksualnej). Może się oczywiście zdarzyć, że osoba kandydująca na konkretne stanowisko będzie musiała spełnić pewne określone prawem wymogi, np. wymóg niekaralności i wówczas  pracodawca będzie uprawniony do pozyskania informacji o nim w tym zakresie.

Czy pracodawca może zbierać informacje o karalności kandydata do pracy?

Zaświadczenie o niekaralności jest dokumentem zawierającym dane o wyrokach skazujących, czynach zabronionych lub powiązanych środkach bezpieczeństwa zawartych w Krajowym Rejestrze Karnym, którego funkcjonowanie jest uregulowane przepisami ustawy z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym (ustawa o KRK). Zgodnie z art. 6 ust. 1 pkt 10 ustawy o KRK, prawo do uzyskania informacji o osobach, których dane osobowe zgromadzone zostały w rejestrze, przysługuje pracodawcom, w zakresie niezbędnym dla zatrudnienia pracownika, co do którego z przepisów ustawy wynika wymóg niekaralności, korzystania z pełni praw publicznych, a także ustalenia uprawnienia do zajmowania określonego stanowiska, wykonywania określonego zawodu lub prowadzenia określonej działalności gospodarczej.

Pracodawca może żądać od przyszłego i obecnego pracownika dokumentów wynikających również z przepisów szczególnych, odnoszących się do konkretnych uregulowań wykonywania określonych zawodów. Jednakże pracodawca musi pamiętać, że w odniesieniu do danych dotyczących niekaralności, musi wynikać to wprost z przepisów prawa. Oznacza to, że pracodawca nie może żądać każdego dokumentu na wszelki wypadek, np. zaświadczenia o niekaralności, chyba że jest do tego uprawniony z mocy ustawy.

Przykład

Istnieją zawody, do których dostęp ograniczony jest ze względu na wymóg niekaralności:

• nauczyciele (art. 10 ust. 8a ustawy – Karta Nauczyciela),
• straż graniczna (art. 31 ust. 1 ustawy o Straży Granicznej),
• detektywi (art. 29 ust. 2 ustawy o usługach detektywistycznych),
• osoby ubiegającej się o zatrudnienie w podmiotach sektora finansowego (art. 3 ustawy z dnia z dnia 12 kwietnia 2018 r. o zasadach pozyskiwania informacji o niekaralności osób ubiegających się o zatrudnienie i osób zatrudnionych w podmiotach sektora finansowego) – w zakresie dotyczącym skazania prawomocnym wyrokiem za przestępstwa wskazane w tej ustawie.

Czy pracodawca, który poszukuje pracowników cieszących się nieposzlakowaną opinią, może żądać od nich informacji o karalności?

Nie. Przepisy szczególne regulujące wykonywanie niektórych zawodów wskazują często na przesłankę nieposzlakowanej opinii, która jest terminem nieostrym i stanowi zwrot niedookreślony odwołujący się do przesłanek uznaniowych, o charakterze ocennym. Nie stanowi ona jednak podstawy do tego, aby pracodawca miał prawo przetwarzać dane pracownika o jego niekaralności, ponieważ nie wynika to bezpośrednio z przepisów prawa. Pracodawca nie może przetwarzać danych, o których mowa w art. 10 RODO nawet za zgodą pracownika. Podkreślić również należy, że przesłanka zgody, rozpatrywana na gruncie prawa pracy, wskazuje na nierówność podmiotów, w związku z tym w przedmiotowej sprawie nie miałaby podstawy zastosowania. Należy także podkreślić, że informacja, iż dana osoba nie widnieje w Krajowym Rejestrze Karnym jest również informacją zawierającą dane określone w art. 10 RODO. Zatem, każde zaświadczenie o niekaralności, które będzie zawierało informacje o wyrokach skazujących, czy też informację o tym, że dana osoba nie była skazana, będzie informacją dotyczącą wyroków skazujących i czynów zabronionych w rozumieniu RODO.

Czy pracodawca musi poinformować kandydatów do pracy o przetwarzaniu ich danych osobowych? 

Tak. W myśl art. 13 RODO Każdy potencjalny pracodawca, który zbiera dane od kandydatów do pracy, jest zobowiązany poinformować te osoby o:

• pełnej nazwie i adresie swojej siedziby,
• danych kontaktowych inspektora ochrony danych (o ile go wyznaczył),
• celu przetwarzania danych oraz podstawie prawnej przetwarzania,
• znanych mu w chwili gromadzenia danych odbiorcach danych (rozumianych szeroko) lub ich kategoriach,
• zamiarze transgranicznego przetwarzania danych (o ile taki istnieje),
• okresie, przez który dane będą przetwarzane bądź kryteriach ustalania tego okresu,
• przysługujących jej prawach do żądania dostępu do danych, w tym otrzymania ich kopii, ich sprostowania, usunięcia lub ograniczenia ich przetwarzania,
• prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem (jeżeli dane są zbierane na podstawie zgody),
• prawie wniesienia skargi do Prezesa UODO,
• dobrowolności lub obowiązku podania danych i konsekwencjach ich nie podania.

Pracodawca ma obowiązek poinformować kandydata do pracy o tych okolicznościach w chwili pozyskiwania tych danych w sposób jasny, czytelny i łatwo dostępny dla kandydata. Może to zrobić np. w treści ogłoszenia o pracę lub w informacji zwrotnej bezpośrednio po otrzymaniu od kandydata aplikacji do pracy.

Znaczenie zgody na przetwarzanie danych osobowych

Zgoda jest jedną z podstaw prawnych uprawniających do przetwarzania danych. Dotychczasowa praktyka zamieszczenia w liście motywacyjnym CV zgody na przetwarzanie danych w celach rekrutacyjnych nie jest właściwa. Zgoda, a w szczególności wyraźna zgoda na przetwarzanie wybranych danych może być niezbędna jedynie w określonych sytuacjach.

Ważne!

„Zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.

Czy pracodawca może przetwarzać dane zamieszczone przez kandydata w CV, które wykraczają poza to, co przewidują przepisy prawa pracy?

Zdarza się, że osoby kandydujące do pracy przekazują z własnej inicjatywy więcej danych, niż wskazane w Kodeksie pracy. W takiej sytuacji dane osobowe kandydata, o ile nie należą do szczególnej kategorii danych,   są przetwarzane przez potencjalnego pracodawcę na podstawie zgody, która może polegać na oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych. Aplikacja kandydata stanowi zazwyczaj odpowiedź na ogłoszenie o pracę pracodawcy, kandydat jest świadomy, do jakiego podmiotu składa aplikację oraz w jakim celu jego dane mają być przetwarzane. Kandydat zna jednocześnie zakres danych, jaki przekazuje pracodawcy. Oznacza to, że zwykłe dane osobowe, które wykraczają poza zakres uregulowany przepisami prawa pracy, są przetwarzane przez pracodawcę na podstawie zgody kandydata, która przejawia się przez działanie, polegające np. na przesłaniu pracodawcy życiorysu i listu motywacyjnego.

Dane osobowe dzielą się na trzy kategorie:

1. dane tzw. zwykłe, takie jak imię, nazwisko, adres zamieszkania, data i miejsce urodzenia, numer telefonu, wykonywany zawód, wizerunek, adres e-mail ,

2. szczególne kategorie danych osobowych (uprzednio zwane danymi wrażliwymi), wymienione w art. 9 RODO ujawniające:

• pochodzenie rasowe lub etniczne,
• poglądy polityczne,
• przekonania religijne lub światopoglądowe,
• przynależność do związków zawodowych,
• dane genetyczne,
• dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej,
• dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby,

3. dane dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa wymienione w art. 10 rozporządzenia (uprzednio również zaliczane do danych wrażliwych).

Osoba ubiegająca się o pracę umieściła w CV szczególne kategorie danych (tzw. dane wrażliwe). Czy pracodawca może je przetwarzać?

W toku prowadzonej rekrutacji może zdarzyć się, że kandydat z własnej inicjatywy przekaże administratorowi dane osobowe np. o swoim stanie zdrowia. Jeżeli kandydat do pracy nie wyrazi odrębnej zgody na przetwarzanie tego rodzaju danych osobowych, a pracodawca nie legitymuje się przepisem prawa, który zobowiązuje go do ich przetwarzania, pracodawca powinien usunąć te dane ze swoich zasobów. Ewentualna zgoda na przetwarzanie szczególnych kategorii danych, powinna być wyraźna, np. w formie odrębnego oświadczenia. Są jednak pewne sytuacje, w których potencjalny pracodawca będzie uprawniony do przetwarzania szczególnych kategorii danych na podstawie odrębnych przepisów prawa. Przykładem takich regulacji są np. przepisy dotyczące wymogów dotyczących stanu zdrowia, jakie musi spełniać kandydat na policjanta.

Przykład

Art. 25 ust. 2 ustawy z dnia 6 kwietnia 1990 r. o policji (t.j. Dz.U. z 2017 r., poz. 2067) stanowi, że przyjęcie kandydata do służby w policji następuje po przeprowadzeniu postępowania kwalifikacyjnego mającego na celu ustalenie, czy kandydat spełnia warunki przyjęcia do służby w policji oraz określenie jego predyspozycji do pełnienia tej służby. Postępowanie kwalifikacyjne, składa się m.in. z testu sprawności fizycznej, test psychologicznego oraz ustalenia zdolności fizycznej i psychicznej do służby w policji.

Czy pracodawca może wykorzystać dane kandydatów do pracy pozyskane w konkretnym procesie rekrutacyjnych do celów przyszłych rekrutacji?

Nie, jeżeli kandydat nie wyraził na to zgody. Pracodawca po zakończeniu procesu rekrutacji powinien usunąć dane osobowe kandydata, jeżeli jednak kandydat do pracy, w składanych potencjalnemu pracodawcy dokumentach, wyraził zgodę na przetwarzanie jego danych w celu wzięcia udziału w przyszłych rekrutacjach prowadzonych przez pracodawcę, dane te mogą być w tym celu przetwarzane.

Przykład

„Wyrażam zgodę na przetwarzanie danych w celu wykorzystania ich w kolejnych naborach prowadzonych przez X przez okres najbliższych 6 miesięcy.”

Przykład

„Wyrażam zgodę na przetwarzanie szczególnych kategorii danych, o których mowa w art. 9 ust. 1 RODO, które zamieściłem   w liście motywacyjnym oraz załączonych do niego dokumentach.”

Ważne!

Kandydat musi być poinformowany o możliwości i sposobie wycofania zgody. Sposób wycofania zgody powinien być równie łatwy, jak było jej wyrażenie.

Czy pracownik może wycofać swoją zgodę?

Tak. Zgoda na przetwarzanie danych w celach rekrutacyjnych może być wycofana w dowolnym momencie. W takiej sytuacji pracodawca traci uprawnienie do dalszego przetwarzania tych danych i powinien niezwłocznie je usunąć. O prawie do wycofania zgody pracodawca powinien poinformować pracownika w momencie pozyskania jego danych.

Prowadzenie rekrutacji on-line

Gromadzenie danych przez Internet jest obecnie jednym z najbardziej popularnych sposobów tworzenia baz danych, często wykorzystywanym także w procesie rekrutacji pracowników. Jeżeli potencjalny pracodawca zdecyduje się pozyskiwać dane kandydatów przez Internet, powinien wdrażać odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw i wolności tych osób związanym ze specyfiką cyberprzestrzeni. Obowiązek ten ma zastosowanie także do administratorów innych niż pracodawcy, np. agencji zatrudnienia. Każdy bowiem administrator, bez względu na sposób gromadzenia danych, musi działać zgodnie z przepisami o ochronie danych osobowych.

Na co pracodawca powinien zwrócić uwagę decydując się na poszukiwanie pracowników za pośrednictwem stron internetowych?

W zależności od tego czy zadaniem podmiotu zajmującego się publikacją ogłoszeń o pracę jest tylko i wyłącznie udostępnienie narzędzi do ich publikacji, czy również przetwarzanie danych kandydatów, pracodawca powinien rozważyć, czy zawrzeć z takim podmiotem umowę powierzenia przetwarzania danych osobowych. Umowę powierzenia należy zawrzeć, jeżeli podmiot zajmujący się publikacją ogłoszeń o pracę będzie przetwarzał dane kandydatów wyłącznie w imieniu i na rzecz pracodawcy. Należy w niej określić m.in. charakter i cel przetwarzania, przedmiot i czas trwania przetwarzania, rodzaj danych osobowych oraz kategorie osób (w tym przypadku dane kandydatów do pracy), których dane dotyczą, a także obowiązki i prawa administratora. Przypomnieć należy, że pracodawca może korzystać wyłącznie z usług podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi prawa i chroniło prawa osób, których dane dotyczą, czyli osób fizycznych (kandydatów do pracy). Przed powierzeniem danych pracodawca musi, więc ocenić czy poziom zabezpieczeń danych osobowych, stosowanych przez podmiot przetwarzający, jest odpowiedni.

Czy można poszukiwać pracowników w ramach tzw. rekrutacji „ślepych”, „ukrytych”?

Prowadzenie procesów rekrutacyjnych, w których pracodawca zlecający firmie rekrutacyjnej przeprowadzenie postępowania rekrutacyjnego, zastrzega sobie anonimowość, jest coraz powszechniejszym zjawiskiem na rynku pracy. Motywy pracodawców decydujących się na ich przeprowadzenie są różne – od chęci utajnienia rekrutacji przed pracownikiem, którego mają zamiar zwolnić (najczęściej, gdy zatrudniony jest na samodzielnym stanowisku, np. głównego księgowego), po chęć gromadzenia bazy kandydatów niejako „na zapas”.   Do przeprowadzenia rekrutacji „ukrytej” wykorzystywane są zazwyczaj portale internetowe, które pośredniczą w rekrutacji udostępniając narzędzie wykorzystywane do publikowania ogłoszeń. Takiego typu rekrutacji, nie można uznać za zgodną z przepisami o ochronie danych osobowych, ponieważ kandydat do pracy nie posiada wiedzy, jaki podmiot zbiera jego dane osobowe i wobec jakiego podmiotu może realizować swoje prawa. O prawidłowym wykonaniu obowiązku informacyjnego, nie możemy mówić również w sytuacji,     gdy klauzula informacyjna zostanie wysłana przez potencjalnego pracodawcę w odpowiedzi na otrzymaną aplikację, ponieważ obowiązek poinformowania m.in. o tożsamości pracodawcy powinien być realizowany przez niego na etapie zbierania danych osobowych, a nie na etapie ich utrwalania. Osoba przekazująca dane osobowe powinna posiadać  wiedzę  odnośnie  tego,  komu  je  udostępnia.  Ma  to  szczególne  znaczenie  w związku z sytuacjami, w których ogłoszenia o prace są sposobem na wyłudzanie danych osobowych przez nieuczciwe podmioty do własnych celów niezwiązanych z zatrudnianiem pracowników.

Agencje zatrudnienia

Rozwiązaniem umożliwiającym pracodawcy utrzymanie anonimowości na wstępnym etapie rekrutacji może być zlecenie jej przeprowadzenia innym podmiotom, np. agencjom zatrudnienia, których działalność uregulowana jest prawnie i które zobowiązane są do przetwarzania posiadanych danych osobowych zgodnie z przepisami o ochronie danych osobowych.

Jaka będzie rola agencji zatrudnienia w procesie przetwarzania danych kandydatów do pracy? Jakie są obowiązki przyszłego pracodawcy, a jakie agencji?

Gdy pracodawca zleca rekrutację agencji zatrudnienia kandydaci mogą kierować swoje zgłoszenia do agencji, która w takiej sytuacji będzie pełniła rolę administratora ich danych. Będzie ona przetwarzać dane osobowe kandydatów na podstawie ich zgody wyrażonej w zgłoszeniu w celu przeprowadzenia pierwszego etapu rekrutacji – pozyskania CV oraz selekcji pracowników. W tej sytuacji obowiązek informacyjny podczas pozyskiwania danych powinna spełnić agencja. Obowiązek informacyjny po stronie pracodawcy, który wcześniej nie ujawnił swojej tożsamości powstaje w momencie, kiedy dane wybranych przez agencję kandydatów mają być mu przekazane. Wówczas wybrani kandydaci przed przekazaniem danych powinni zostać poinformowani przez agencję o danych potencjalnego pracodawcy oraz wyrazić zgodę na przekazanie ich kandydatur. Pracodawca otrzymuje dane osobowe tylko tych kandydatów, którzy wyrażą stosowną zgodę.

PROCES REKRUTACYJNY

W toku rekrutacji pracodawca zwykle może zechcieć spotkać się z kandydatem osobiście, aby sprawdzić jego doświadczenie i umiejętność oraz upewnić się czy jest właściwą osobą, na stanowisko, na które aplikuje (np. podczas rozmowy kwalifikacyjnej lub testu wiedzy i umiejętności). W trakcie tego procesu także dochodzi do gromadzenia danych osobowych.

Jakie dane kandydata pracodawca może gromadzić w trakcie rozmowy kwalifikacyjnej?

Podczas rozmowy kwalifikacyjnej pracodawca może zadawać szereg szczegółowych pytań odnoszących się do informacji, jakie kandydat na pracownika zawarł w swoim CV. Musi jednak pamiętać, że powinny się one odnosić wyłącznie do kwestii związanych ze stanowiskiem, na które on aplikuje. Należy unikać zadawania pytań, które kandydata na pracownika mogą zawstydzić, lub naruszyć jego prawo do prywatności bądź dobra osobiste (np. dotyczących wyznania, orientacji seksualnej, przekonań politycznych, życia prywatnego, rodzicielstwa czy planowanego potomstwa). W pewnych sytuacjach jednak, o ile wynika to bezpośrednio z przepisów prawa, pracodawca może być uprawniony do zadania pytań niedyskretnych (np. pytanie starającego się o posadę nauczyciela w szkole publicznej czy był karany za przestępstwo popełnione umyślnie).

„Dane osobowe” oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak: imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Czy można skontaktować się z poprzednim pracodawcą kandydata w celu uzyskania informacji na jego temat?

Niedopuszczalne jest pozyskiwanie przez potencjalnego pracodawcę informacji o kandydacie na pracownika od jego poprzedniego pracodawcy, jeśli nie posiada on zgody kandydata na powyższe. Należy też pamiętać, że złożenie przez kandydata do pracy tzw. referencji nie uprawnia pracodawcy do kontaktu z podmiotem je wystawiającym w celu pozyskania dodatkowych informacji o kandydacie. Pamiętać należy, że udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą. Potencjalny pracodawca nie może tym samym zwrócić się do poprzedniego pracodawcy o informację, jakie zadania realizował kandydat u tego podmiotu oraz jaką ma opinię o kandydacie do pracy. Podczas procesu rekrutacyjnego źródłem informacji, które dotyczą przebiegu pracy zawodowej, powinien być sam kandydat.

Czy potencjalny pracodawca może zwrócić się do uczelni wyższej z prośbą o potwierdzenie, czy kandydat do pracy uzyskał w niej dyplom?

Nie. Potwierdzanie prawdziwości dyplomu ukończenia studiów wyższych, jak i innych danych zawartych w dokumentach przedkładanych przez kandydata w toku rekrutacji, poprzez kierowanie zapytań do podmiotów, które wydały te dokumenty jest niedopuszczalne. Polski prawodawca co zasady nie przewiduje w przepisach krajowych uprawnienia pracodawcy do występowania do innych podmiotów w celu potwierdzenia lub sprawdzenia prawdziwości dokumentów i danych w nich zawartych przedłożonych przez kandydatów w toku rekrutacji.

Takie działanie nie ma również oparcia w przesłance określonej w art. 6 ust. 1 lit. f RODO. Przypomnieć należy, że zgodnie z art. 22 ¹ § 3 Kodeksu pracy udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą, zatem należy uznać, że praktyka polegająca na dodatkowej weryfikacji informacji uzyskanych od kandydata, naruszałaby prawa i wolności osoby. Polski ustawodawca zdecydował, w jakiej formie pracodawca powinien pozyskiwać informacje o kandydacie do pracy.

Wskazać należy, że praktyka polegająca na pozyskiwaniu zgód od kandydata na weryfikowanie prawdziwości złożonych oświadczeń i danych zawartych w dokumentach również nie znajduje oparcia w przepisach RODO. Podkreślenia wymaga, że jednym z warunków skuteczności zgody jest jej dobrowolność, co oznacza, że osoba, której dane dotyczą nie powinna ponosić żadnych negatywnych konsekwencji, jeżeli odmówi jej wyrażenia. Niewyrażenie zgody przez kandydata na kontakt z uczelnią przez pracodawcę (choćby z powodów subiektywnych np. konfliktu z uczelnią), może spowodować, że potencjalny pracodawca odrzuci jego kandydaturę.

Jeżeli pracodawca ma podejrzenia, że przedkładany dokument został sfałszowany powinien złożyć zawiadomienie o możliwości popełnienia przestępstwa określonego w art. 270 § 1 Kodeksu karnego.

Jak długo można przetwarzać dane kandydatów do pracy?

Okres przechowywania danych kandydata do pracy powinien być dostosowany do zasad przetwarzania danych i z góry określony przez administratora. Co do zasady pracodawca powinien trwale usunąć dane osobowe  kandydata (np.  poprzez zniszczenie  bądź odesłanie), z którym  nie  zdecydował się  zawrzeć  umowy

o pracę, niezwłocznie po zakończeniu procesu rekrutacji, tj. podpisaniu umowy o pracę z nowozatrudnionym pracownikiem, chyba że ziściły się inne przesłanki uprawniające administratora do ich przetwarzania. Konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Wydłużenie okresu przechowywania danych zawartych w aplikacji, powinno być zatem wyjątkiem od reguły niezwłocznego ich usuwania oraz powinno być szczególnie uzasadnione.

Czy pracodawca może przetwarzać dane kandydatów do pracy po zakończeniu rekrutacji w celu zabezpieczenia się przed ich ewentualnymi roszczeniami?

Niedopuszczalne jest przetwarzanie danych tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem osoby, której dotyczą. W przeciwnym razie może pojawić się wątpliwość jak długo należy przetwarzać dane osobowe, jeżeli ta osoba nie zdecyduje się na wytoczenia powództwa przeciwko pracodawcy. W toku rekrutacji nie powstaje żaden stosunek zobowiązaniowy pomiędzy kandydatem do pracy, a pracodawcą. Brak jest dokonania wzajemnych rozliczeń lub możliwości zarzucenia drugiej stronie niewykonania umowy lub nieprawidłowego jej wykonania. Nie ma więc podstaw do uznania, że pracodawca jest uprawniony do przetwarzania danych z uwagi na konieczność ustalenia bądź nie, istnienia roszczenia. Działanie pracodawcy stanowiłoby przetwarzanie danych kandydata „na wszelki wypadek”.

Czy możliwość wystąpienia roszczeniem z tytułu dyskryminacji uzasadnia dłuższe przechowywanie danych?

W przypadku roszczeń wynikających z dyskryminacji kandydata do pracy, to na kandydacie spoczywa obowiązek przedstawienia faktów, z których wynika domniemanie nierównego traktowania, a następnie na pracodawcę zostaje przerzucony ciężar udowodnienia, że nie traktował kandydata gorzej od innych albo, że, traktując go odmiennie od innych, kierował się obiektywnymi i usprawiedliwionymi przyczynami. Pracodawca może np. wykazać przed sądem, z jakiego powodu zatrudnił inną osobę na stanowisko, na które aplikował kandydat. Pracodawca w procesie rekrutacji podejmuje czynności zmierzające do zatrudnienia  pracownika.

Powszechną praktyką jest zapraszanie na rozmowę kwalifikacyjną kandydatów do pracy. To głównie w jej wyniku kandydat może odnieść wrażenie, że jest dyskryminowany.

Należy jednocześnie pamiętać, że osobiste przekonanie kandydata o tym, że jest dyskryminowany nie jest równoznaczne z uprawdopodobnieniem przez niego wystąpienia dyskryminacji.

Może zatem dojść do sytuacji, w której kandydat zgodnie z jego CV legitymuje się dużym doświadczeniem, w porównaniu do innych kandydatów  ma  wysokie  kwalifikacje, jednak  nie  otrzymuje  propozycji  pracy,    z uwagi na to, że rozmowa kwalifikacyjna nie poszła mu dobrze (np. był nieuprzejmy lub nie znał odpowiedzi na merytoryczne pytania, zadawane przez rekrutera), w efekcie czego pracodawca nie zatrudnia takiego kandydata. Kandydat natomiast uważa, że nie dostał pracy z uwagi na dyskryminację ze względu na płeć. Zarówno w tej, jak i w innych przypadkach przechowywanie danych osobowych takiego kandydata do pracy po zakończeniu rekrutacji nie można uznać za niezbędne dla pracodawcy.

Istotą roszczenia z tytułu dyskryminacji ze względu na jakąś cechę lub przekonania jest uprawdopodobnienie, że to właśnie z tej przyczyny kandydat został potraktowany w sposób gorszy niż reszta kandydatów, natomiast dopiero wtedy pracodawca musi wykazać, że ta cecha nie miała wpływu na dokonanie przez niego oceny negatywnej, do czego, nie jest konieczne przetwarzanie danych zawartych w życiorysie kandydata do pracy.

Jak powinien się zachować pracodawcą z sektora służby cywilnej, gdy wpływa do niego CV (lub inne dokumenty rekrutacyjne), choć nie jest przeprowadzany nabór?

Z art. 28 ust. 1 ustawy z dnia 21 listopada 2008 r. o służbie cywilnej (Dz. U. z 2018 r. poz. 1559 tj.) wynika obowiązek dyrektora generalnego urzędu do upowszechniania informacji o wolnych stanowiskach pracy przez umieszczanie ogłoszeń o naborach w miejscu powszechnie dostępnym w siedzibie urzędu, w Biuletynie Informacji Publicznej urzędu, oraz  w Biuletynie Informacji Publicznej Kancelarii Prezesa Rady Ministrów.    W sytuacji, kiedy do urzędu wpłyną dokumenty potencjalnego kandydata do pracy, a nieprzeprowadzany jest nabór na wolne stanowisko pracy dyrektor generalny nie ma prawa zatrudnić takiej osoby. Zatem albo musi niezwłocznie usunąć dane dotyczące takiego kandydata ze swoich zasobów albo skontaktować się z kandydatem, aby  otrzymać ewentualną zgodę kandydata  na przetwarzanie jego danych  osobowych zawartych  w takiej dokumentacji dla celów przyszłych naborów na wolne stanowiska pracy w urzędzie.

Jakimi zasadami powinienem się kierować pracodawca z sektora służby cywilnej publikując informacje związane z prowadzonym naborem?

Istnieją przepisy prawa, które w sposób szczególny regulują kwestie dotyczące naboru pracowników, np. w służbie cywilnej. I tak, art. 31 ustawy o służbie cywilnej stanowi, że dyrektor generalny urzędu niezwłocznie po przeprowadzonym naborze upowszechnia informację o wyniku naboru przez umieszczenie jej w miejscu powszechnie dostępnym w siedzibie urzędu, w Biuletynie urzędu oraz w Biuletynie Kancelarii.

Przepisy ustawy nie wskazują okresu, przez jaki taka informacja ma być dostępna publicznie. W takim przypadku administrator danych osobowych powinien kierować się zasadą ograniczenia przechowywania (retencji) danych osobowych określoną w art. 5 ust. 1 lit. e RODO. Zgodnie z tą zasadą dane osobowe muszą być przechowywane przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Celem publikacji danych wybranego kandydata jest realizacja zasady jawności, która umożliwia dokonanie społecznej kontroli prawidłowości przebiegu postępowania rekrutacyjnego. Zatem czas publikacji takich danych powinien być wystarczający do umożliwienia przeprowadzenia takiej kontroli w czasie niezbyt odległym od dokonanego wyboru, tzn. w czasie, kiedy kandydaci lub osoby trzecie mogą być zainteresowane danym naborem i będą chciały skorzystać z prawa do takiej informacji, jakie mają na podstawie art. 31 tej ustawy.

Wydaje się, że optymalnym okresem czasu, przez jaki takie informacje mogą być ujawniane na podstawie art. 31 ustawy jest okres trzech miesięcy liczony od dnia ich publikacji. Na taki okres czasu może wskazywać art. 33 ustawy stanowiący przepis dotyczący wyjątku od zasady obowiązku przeprowadzenia naboru (jeżeli w ciągu 3 miesięcy od dnia nawiązania stosunku pracy z osobą wyłonioną w drodze naboru istnieje konieczność ponownego obsadzenia tego samego stanowiska pracy, dyrektor generalny urzędu może zatrudnić na tym samym stanowisku inną osobę spośród kandydatów, o których mowa w art. 29a ust. 1 ustawy). Jednocześnie trzeba pamiętać, że przepis art. 29 ustawy o służbie cywilnej uznaje wyniki naboru za informację publiczną, a zatem każda osoba zainteresowana wynikiem naboru może złożyć wniosek o udostępnienie takich informacji w sytuacji, kiedy zostaną one usunięte z Biuletynu urzędu, Biuletynu Kancelarii czy przestaną być dostępne w siedzibie urzędu, do którego przeprowadzany był nabór.

Czy można tworzyć tzw. „czarne listy” osób ubiegających się o zatrudnienie?

Nie. Za niedopuszczalne należy uznać tworzenie tzw. „czarnych list” osób ubiegających się o zatrudnienie. Podstawy prawnej nie znajduje ponadto wymienianie się informacjami pomiędzy pracodawcami o kandydatach do pracy, których zatrudniać nie chcą. Ponadto należy pamiętać, że tworzenie zbiorów danych o charakterze negatywnym może prowadzić do dyskryminacji i podejmowania niekorzystnych dla danej osoby decyzji w oparciu o często nierzetelne, bezpodstawnie pozyskane informacje.

Wpływa do pracodawcy CV potencjalnego kandydata do pracy, jednak nie prowadzi on rekrutacji. Czy zachować przesłane dane w nim na potrzeby przyszłych rekrutacji?

Zdarzają się sytuacje, w których osoby poszukujące pracy z własnej inicjatywy, niezależnie od tego, czy potencjalny pracodawca prowadzi proces rekrutacji czy też nie, wysyłają do różnych podmiotów swoje aplikacje. Pracodawca po otrzymaniu takiej kandydatury powinien rozważyć, czy chce rozpocząć rekrutację, czy też nie jest zainteresowany zatrudnianiem nowych pracowników. W przypadku, gdy zdecyduje, że jest zainteresowany zatrudnieniem nowej osoby, powinien niezwłocznie wykonać w stosunku do niej obowiązek informacyjny oraz rozpocząć podejmowanie działań zmierzających do zawarcia umowy (np. przeprowadzenie rozmowy kwalifikacyjnej, gromadzenie koniecznej dokumentacji). Jeżeli jednak pracodawca stwierdzi, że nie jest zainteresowany poszerzeniem swojej kadry, powinien niezwłocznie usunąć dane dotyczące kandydata ze swoich zasobów.

Czy potencjalny pracodawca może pozyskiwać dane kandydata z portali społecznościowych?

Co do zasady niedopuszczalne jest gromadzenie przez pracodawców i agencje rekrutacyjne informacji zamieszczanych przez kandydatów do pracy na swój temat w mediach społecznościowych i innych ogólnodostępnych źródłach. Co prawda rozwój społeczeństwa informacyjnego pozwala na „budowanie” przez potencjalnych kandydatów do pracy swojego wizerunku w sieci, również w oczach przyszłego pracodawcy, poprzez zamieszczane w Internecie różnych informacji na swój temat, ale nie oznacza to, że informacje te mogą zostać wykorzystane w procesie rekrutacyjnym. Należy również pamiętać, że takie działanie potencjalnie może mieć negatywny wpływ na ocenę kandydata do pracy i prowadzić do profilowania go na podstawie dostępnych  w Internecie danych.

Czy potencjalny pracodawca może zweryfikować kandydata lub komunikować się z nim za pośrednictwem branżowych portali społecznościowych np. LinkedIn?

Jako że żyjemy w dobie społeczeństwa informacyjnego, coraz częściej przyszli pracodawcy korzystają z możliwości weryfikacji kandydatów do pracy lub komunikacji z nimi, korzystając z portali internetowych dedykowanych takim celom. Portale takie, umożliwiając kandydatom do pracy, czy pracodawcom wzajemny kontakt, umożliwiają efektywne znalezienie pracy lub pracownika. Użytkownicy takich portali (poszukujący pracy) najczęściej zanim zaczną korzystać z usług oferowanych przez portale, muszą zapoznać się z regulaminami, politykami prywatności i je zaakceptować.

Jeżeli możliwość korzystania z takiego portalu będzie wiązała się z obowiązkiem podania danych, a może tak być, bo żeby założyć konto i aby dane z tego konta mogły być udostępniane potencjalnym pracodawcom, to portal musi mieć do tego podstawy prawne. Przepisem umożliwiającym pozyskiwanie, gromadzenie, udostępnianie danych użytkowników (kandydatów) do pracy, będzie zgoda osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) czy też/lub potrzeba wykonania umowy (ewentualnie podjęcie działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, o czym mowa w art. 6 ust. 1 lit.b RODO). Inną kwestią natomiast będzie możliwość kontaktowania się (przetwarzania danych w związku z tym) przez pracodawcę z kandydatem w innej formie np. mailowej (poza portalem, na którym doszło do kontaktu).

Źródło: poradnik UODO – uodo.gov.pl