RODO w rekrutacjach

Małgorzata Regulska-Cieślak        31 grudnia 2018        Komentarze (0)

Uwaga! Ten artykuł zawiera aktualizację, której treść jest dostępna tutaj.

W 2018 r. jednymi z najbardziej popularnych artykułów na blogu były teksty poświęcone RODO. Do przeczytania tu i tu. Na prośbę Czytelników będą pojawiać się częściej. Dziś o RODO w rekrutacjach, a zatem artykuł przydatny i dla pracodawców i dla podmiotów, które działają na zlecenie pracodawcy prowadząc nabór kandydatów.

Rekrutacja prowadzona przez pracodawcę

Jako pracodawca możesz wymagać od potencjalnego pracownika tylko takich danych, które są przewidziane przez przepisy powszechnie obowiązujące. Nie tylko przez Kodeks pracy. Przykładowo zgodnie z art. 21 ust. 1 ustawy z 13 maja 2016 r. (Dz.U.2018.405 t.j. z dnia 2018.02.23) o przeciwdziałaniu zagrożeniom przestępczością na tle seksualnymPrzed nawiązaniem z osobą stosunku pracy lub przed dopuszczeniem osoby do innej działalności związanej z wychowaniem, edukacją, wypoczynkiem, leczeniem małoletnich lub z opieką nad nimi pracodawcy lub inni organizatorzy w zakresie takiej działalności są obowiązani do uzyskania informacji, czy dane tej osoby są zamieszczone w Rejestrze z dostępem ograniczonym”. Chodzi oczywiście o skazania za przestępstwa seksualne na szkodę małoletnich. Natomiast zgodnie z art. 22 [1] § 1 Kodeksu pracy Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

1) imię (imiona) i nazwisko;

2) imiona rodziców;

3) datę urodzenia;

4) miejsce zamieszkania (adres do korespondencji);

5) wykształcenie;

6) przebieg dotychczasowego zatrudnienia.

Jeśli chodzi o informacje dotyczące przebiegu dotychczasowego zatrudnienia to Sąd Najwyższy stwierdził, że skoro w pkt 6 cytowanym powyżej mowa jest o przebiegu „zatrudnienia”, a nie o pracy to „pojęcie to należy rozumieć szeroko, nie jako jedynie zatrudnienie na podstawie umowy o pracę ale również jako zatrudnienie na podstawie umów cywilnoprawnych (umów zlecenia, o dzieło itp.). Warto przy tym zwrócić uwagę na różnicę pomiędzy zakresem czasowym informacji o „dotychczasowym przebiegu zatrudnienia” dotyczącej kandydata do pracy i aktualnego pracownika pracodawcy. O ile bowiem dla kandydata do pracy dotychczasowe zatrudnienie obejmuje okres do momentu ubiegania się o pracę u pracodawcy, który zbiera od niego te dane, o tyle w przypadku osoby już zatrudnionej zakres tej informacji obejmuje również zmiany jakie następują już po przyjęciu do pracy, bowiem ustawodawca nie zdecydował się na ograniczenie w żaden sposób ram czasowych informacji o przebiegu dotychczasowego zatrudnienia w odniesieniu do pracownika, np. za pomocą wskazania, że chodzi o zatrudnienie do czasu rozpoczęcia pracy u danego pracodawcy. Na podstawie tego przepisu pracodawca może zatem żądać od pracownika informacji o przebiegu jego zatrudnienia (a więc o podejmowaniu nowego zatrudnienia, jego zakończeniu, przyczynach jego zakończenia) także z uwzględnieniem okresu wykonywania pracy u danego pracodawcy” (tak: wyrok Sądu Najwyższego z dnia 11 stycznia 2017 r. I PK 25/16, LEX nr 2273874).

 

Na jakiej podstawie są przetwarzane dane osobowe kandydata do pracy?

UODO w swoim poradniku wskazuje art. 6 ust. 1 lit. b oraz art. 6 ust. 1 lit. a RODO (przykładowo co do danych, które są udostępniane dobrowolne np. adres e-mail). Nie do końca należy się z tym zgodzić ponieważ art. 6 ust. 1 lit. b stanowi, o przesłance przetwarzania stanowiącej, że „przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy”. Tymczasem w momencie gdy dane kandydatów do pracy są zbierane nie można żadnej umowy z pracownikiem wykonać, bo zwyczajnie nawet nie wiadomo czy zostanie zawarta. Druga część tej przesłanki stanowi, że dane mogą być przetwarzane „do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy”. Ona też nie odpowiada wymogom tej sytuacji, po pierwsze nie wiemy czy umowa o pracę zostanie zawarta. Po drugie brak tutaj jakiegokolwiek żądania – pracownik jedynie wnioskuje o pozytywne rozpatrzenie jego kandydatury, a pracodawca tylko ogłosił, że poszukuje pracowników. Żadna z tych osób nie zgłosiła żadnego żądania.

W mojej opinii pracodawca przetwarzana dane kandydata do pracy w zakresie dozwolonym przez obowiązuje przepisy na podstawie art. 6 ust. 1 lit. c RODO (przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze), na podstawie art. 6 ust. 1 lit. f RODO (przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem). Podstawą przetwarzania danych osobowych kandydata do pracy dodatkowo jest jego zgoda (art. 6 ust. 1 lit. a) RODO. Kodeks pracy jest w tym zakresie archaiczny i nie pozwala przetwarzać np. nr telefonu, czy tez adresu e-mail. Te dane przetwarza się na podstawie dobrowolnie wyrażonej zgody kandydata.

Okres przechowywania danych osobowych kandydata do pracy

W tym zakresie również nie mogę podzielić stanowiska UODO. Nawet uważam, że postępowanie zgodnie z zaleceniami UODO, jeśli chodzi o okres przechowywania danych osobowych, może być sprzeczne z interesami administratora.

UODO twierdzi, że dane osobowe kandydata powinny być usunięte niezwłocznie po zakończeniu rekrutacji, chyba ze kandydat wyraził zgodę na udział w przyszłych rekrutacjach. Zdaniem UODO „Niedopuszczalne jest przetwarzanie danych tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem osoby, której dotyczą.” O jakie roszczenia chodzi? O odszkodowanie z tytułu dyskryminacji, w grę może wchodzić również odszkodowanie (również zadośćuczynienie) z tytułu nierównego traktowania, czy tez molestowania (to przejaw dyskryminacji). Zdaniem Urzędu skoro przepisy stanowią, że w sprawach dot. dyskryminacji ciężar dowodu spoczywa na kandydacie do pracy to „pracodawca może np. wykazać przed sądem, z jakiego powodu zatrudnił inną osobę na stanowisko, na które aplikował kandydat”.

Okres przechowywania danych osobowych – realne zagrożenia

I wyobraź sobie taką sytuację. Mija 2,5 roku od zakończenia tej rekrutacji (roszczenia z tytułu dyskryminacji i nierównego traktowania przedawniają się z upływem lat 3). Twoim zdaniem wyłoniłeś najlepszego kandydata do pracy. Zna 3 języki obce, ukończył 2 fakultety i studia MBA. Otrzymujesz odpis pozwu jednego z kandydatów, który pozywa cię o zapłatę  odszkodowania, ale usunąłeś wszelkie dane dot. tej rekrutacji. Nie pamiętasz tego kandydata, który cię pozwał. Nie wiesz jakimi dysponował kwalifikacjami. Natomiast w tej chwili widzisz załączone do odpisu pozwu cv, w którym widnieją 4 języki obce, 3 fakultety i dodatkowe studia na Harvardzie. I tymi oto kwalifikacjami kandydat miał się legitymować na etapie rekrutacji, którą prowadziłeś. Będzie trudno wygrać taki proces jeśli nie będziesz pamiętał dlaczego nie zatrudniłeś tej osoby. Gdybyś miał jednak np. protokół z tej rekrutacji w którym byłoby napisane, że pozywający cię kandydat chciał wynagrodzenia 5cio krotnie przewyższającego wynagrodzenie, które chciała osoba zatrudniona finalnie na tym stanowisku, byłoby ci łatwiej, prawda?

Jako prawnik praktyk mogę mnożyć takie opowieści. Potrzeba tutaj rozsądku. Rozsądnie myśląc nie będziesz wykorzystywał tych danych w innym celu jak tylko w swoim prawnie usprawiedliwionym interesie.

Klauzula informacyjna o przetwarzaniu danych osobowych kandydata

Dane osobowe kandydata do pracy są przetwarzane już na etapie rekrutacji. Zatem już wówczas pracodawca powinien przekazać kandydatowi klauzulę informacyjną dot. przetwarzana jego danych osobowych.

RODO stanowi bowiem, że administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje:

  • swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
  • gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
  • cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
  • informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
  • gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia.
  • okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
  • informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
  • jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
  • informacje o prawie wniesienia skargi do organu nadzorczego;
  • informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
  • informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Kiedy informować o przetwarzaniu danych osobowych?

Zwróć uwagę, że chodzi o informowanie o przetwarzaniu danych osobowych podczas ich pozyskiwania, a nie po ich pozyskaniu. Jest to zasadnicza różnica. Niektóre systemy do rekrutacji w odpowiedzi na przesłane cv wysyłają klauzulę informacyjną. W świetle art. 13 RODO nie jest to prawidłowe. Aby być zgodnym z RODO najlepiej umieścić klauzulę informacyjną o przetwarzaniu danych w treści samego ogłoszenia o pracy.

Ukryta rekrutacja

Obowiązek przekazania kandydatowi klauzuli informacyjnej na etapie pozyskiwania danych powoduje, że ukryte rekrutacje są niezgodne z prawem. Przy czym w tym przypadku przez ukrytą rekrutację mam na myśli rekrutację, która prowadzona jest przez samego pracodawcę, natomiast kandydat nie wie do jakiego pracodawcy kandyduje na stanowisko opisane w ogłoszeniu (pracodawca zapewnia sobie anonimowość na etapie pozyskiwania danych osobowych). Pośrednikiem jest portal internetowy gdzie można się zalogować i klikając odpowiedni przycisk wysłać swoje cv. Jest ono następnie przesyłane bezpośrednio do pracodawcy. Dopiero przy kontakcie pracodawcy z danym kandydatem dowiaduje się on jaki podmiot przetwarza jego dane osobowe.

Może zdarzyć się sytuacja, że na takim portalu zostanie umieszczona klauzula informacyjna, w której administratorem zostanie oznaczony właściciel portalu z usług którego korzysta pracodawca. Taka klauzula powinna zawierać informację o odbiorcach lub o kategoriach odbiorców danych osobowych (art. 13 ust. 1 lit. e). Aby nie ujawnić danych pracodawcy będzie wskazywała ona na kategorie odbiorców danych – „podmioty współpracujące z portalem XYZ”. Moim zdaniem nie będzie to prawidłowe. Już w momencie zbierania danych osobowych wiadomo jakiemu podmiotowi zostaną one przekazane i to on powinien być wskazany w klauzuli informacyjnej.

Rekrutacja prowadzona przez agencje zatrudnienia

To też poniekąd ślepa rekrutacja gdyż kandydat do pracy nie wie do jakiego pracodawcy kandyduje. Zna dane tylko agencji. Jest to rodzaj rekrutacji, które również budzą kontrowersje. Kandydat może nie chcieć w ogóle kandydować do pracy u tego konkretnego pracodawcy, które dane są ukryte. Tymczasem idzie na rozmowę kwalifikacyjną do agencji zatrudnienia. Agencja na potkaniu przekazuje informację kandydatowi gdzie zostanie przesłane jego cv. Kandydat w związku z tą informacją odmawia dalszego udziału w tym procesie naboru, który tym samym okazuje się stratą czasu i dla kandydata i dla agencji zatrudnienia.

Przy czym nie zawsze taka rozmowa odbywa się w agencji zatrudnienia. Czasem agencja zatrudnienia dokonuje wstępnej selekcji kandydatów i przesyła wybrane cv do pracodawcy, który sam kontaktuje się z kandydatami. Moim zdaniem taka praktyka jest niedopuszczalna i można się spodziewać wyroków w tym zakresie.  UODO twierdzi nawet, że kandydat musi wyrazić wobec agencji zatrudnienia zgodę na przekazanie jego kandydatury potencjalnemu pracodawcy.

Dlaczego o tym piszę? Bowiem ustawa z 10 maja 2018 r. o ochronie danych osobowych daje osobom, których dane są przetwarzane narzędzie do prawne do dochodzenia swoich praw przed sądem okręgowym.

{ 0 komentarze… dodaj teraz swój }

Dodaj komentarz

Wyrażając swoją opinię w powyższym formularzu wyrażasz zgodę na przetwarzanie przez Małgorzata Regulska-Cieślak RADCA PRAWNY Twoich danych osobowych w celach ekspozycji treści komentarza zgodnie z zasadami ochrony danych osobowych wyrażonymi w Polityce Prywatności

Administratorem danych osobowych jest Małgorzata Regulska-Cieślak RADCA PRAWNY z siedzibą w Warszawie.

Kontakt z Administratorem jest możliwy pod adresem m.regulska-cieslak@kancelaria-mregulska.pl.

Pozostałe informacje dotyczące ochrony Twoich danych osobowych w tym w szczególności prawo dostępu, aktualizacji tych danych, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu na dalsze ich przetwarzanie znajdują się w tutejszej Polityce Prywatności. W sprawach spornych przysługuje Tobie prawo wniesienia skargi do organu nadzorczego.

Poprzedni wpis:

Następny wpis: