Agencja Rekrutacyjna – umowa powierzenia, czy udostępnienie?

  • 09.01.2023

  • Autor: Agnieszka Szalińska

  • News

Pracodawcy planując proces rekrutacyjny często korzystają z pomocy agencji rekrutacyjnych. I tutaj, aby być w zgodzie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (zwane dalej: RODO) mogą pojawić się pytania:

 

  • Czy będzie to współpraca oparta na powierzeniu i będzie trzeba ustalić kto będzie administratorem danych, a kto podmiotem przetwarzającym?
  • Czy może będzie to współpraca oparta na udostępnieniu?
  • Czy będzie to współpraca oparta zarówno na udostępnieniu, jak i powierzeniu?

 

W związku z powyższymi pytaniami  wyłaniają nam się trzy modele współpracy z agencjami rekrutacyjnymi, które omówię poniżej  wraz ze wskazówkami, co robić, aby być w zgodzie z RODO. Oczywiście zanim wybierzemy właściwy model  to należy uzyskać odpowiedź na pytanie w jaki sposób będzie prowadzona rekrutacja. Niezbędne  jest zatem dokonanie analizy następujących kwestii:

  • Czy dane osobowe kandydatów do pracy będą czerpane z zasobów agencji rekrutacyjnej?
  • Czy agencja będzie zamieszczała ogłoszenia o pracę w swoim własnym imieniu i włączała dane kandydatów do swoich zbiorów danych?
  • Czy ogłoszenia o pracę będą zamieszczane w imieniu klienta?

 

I model współpracy

Agencja rekrutacyjna, jako administrator danych osobowych kandydatów

 

Model ten zakłada, że agencja rekrutacyjna czerpie dane kandydatów z własnych baz z danymi osobowymi lub we własnym imieniu wyszukuje kandydatów (np. zamieszcza ogłoszenia o pracę, nawiązuje kontakty poprzez dedykowane portale) i włącza dane osobowe kandydatów do swoich zbiorów danych.

W opisanej powyżej sytuacji agencja rekrutacyjna będzie działała jako administrator danych osobowych kandydatów do pracy, albowiem to ona będzie decydowała o celach i sposobach przetwarzania danych osobowych. Agencja rekrutacyjna będzie zobowiązana do dopełnienia obowiązku informacyjnego wskazanego  w RODO, gdyż dane kandydatów przetwarza jako Administrator danych, w swoim własnym celu – przeprowadzenie pierwszego etapu rekrutacji – pozyskanie CV, selekcjonowanie kandydatów. Dane osób zainteresowanych poszukiwaniem pracy będzie przetwarzała agencja rekrutacyjna, nie tylko w celu tej jednej zleconej rekrutacji, ale także na potrzeby innych rekrutacji dla różnych klientów, z którymi nawiąże współpracę.

W związku z powyższym to agencja wyszukuje w swoich zbiorach z danymi osobowymi odpowiednich kandydatów do pracy, spełniających wymagania wskazane w umowie o współpracę. Przekazanie danych osobowych odpowiedniego kandydata następuje poprzez udostępnienie danych osobowych (dokumentów aplikacyjnych CV, list motywacyjny), a klient (jako potencjalny pracodawca zlecający agencji rekrutacyjnej wyszukanie kandydata) w momencie otrzymania dokumentów aplikacyjnych staje się administratorem danych osobowych i spoczywa na nim obowiązek informacyjny wtórny z wynikający  art. 14 RODO.

 

II model współpracy

Agencja rekrutacyjna, jako procesor

 

W tym modelu, agencja rekrutacyjna w imieniu klienta (potencjalnego pracodawcy) wyszukuje kandydatów, czyli np. zamieszcza ogłoszenia o pracę, prowadzi rozmowy rekrutacyjne, proponuje przyszłe wynagrodzenie. Nie korzysta z kandydatów znajdujących się we własnych zbiorach z danymi osobowymi, ale w sposób aktywny poszukuje ich w imieniu klienta.

I tutaj klient (potencjalny pracodawca) jest administratorem danych osobowych kandydatów, ponieważ to on decyduje o celach i sposobach przetwarzania danych osobowych, to on ma tzw. władztwo decyzyjne. Dlatego w takiej sytuacji należy podpisać z agencją rekrutacyjną umowę powierzenia przetwarzania danych osobowych, w której klient (jako potencjalny pracodawca) powierza agencji rekrutacyjnej do przetwarzania dane osób ubiegających się u niego  o zatrudnienie/dane rekrutacyjne.

Przy tym modelu to na kliencie jako administratorze danych będzie spoczywać obowiązek informacyjny wynikający z art. 13 RODO. W związku z tym, klient powinien zadbać o to, aby dodać w umowie o współpracy  stosowne zastrzeżenie, traktujące o tym, że agencja w jego imieniu zobowiązuje się dopełnić obowiązku informacyjnego w stosunku do kandydatów, a jako załącznik do umowy zamieścić odpowiednią klauzulę informacyjną. Natomiast agencja rekrutacyjna występuje jako podmiot przetwarzający, który w imieniu i na rzecz potencjalnego pracodawcy wyszukuje kandydatów do pracy. Agencja nie wykorzystuje zebranych danych osobowych w swoich własnych celach, nie włącza ich do swoich zbiorów danych osobowych, a po zakończeniu współpracy,  zgodnie z zapisami w umowie powierzenia, powinna usunąć dane osobowe kandydatów.

 

III model – mieszany

 

Agencja rekrutacyjna w imieniu klienta (potencjalnego pracodawcy) prowadzić będzie rekrutacje dwutorowo. Po pierwsze wyszukuje kandydatów poprzez ogłoszenia o prace w imieniu klienta, ale może także korzystać z własnych zbiorów z danymi osobowymi kandydatów. Przy tym modelu będziemy mieć do czynienia z połączeniem dwóch wyżej opisanych sytuacji. Klient (potencjalny pracodawca) musi zawrzeć z agencją rekrutacyjną umowę powierzenia, a w sytuacji, gdy agencja dodatkowo korzystać będzie z kandydatów z własnych zasobów, dochodzić będzie do udostępnienia klientowi danych osobowych przez agencję. Dlatego te dwa wymienione sposoby pozyskiwania kandydatów w odmienny sposób będą kształtowały obowiązek informacyjny.

I tak, gdy agencja pozyskuje kandydatów we własnym imieniu i włącza ich do swoich baz, przekazanie dokumentów aplikacyjnych będzie następowało poprzez udostępnienie danych potencjalnemu pracodawcy, który powinien dopełnić obowiązku informacyjnego wtórnego wynikającego z art. 14 RODO. Natomiast, gdy agencja w imieniu i na rzecz klienta poszukuje kandydatów, powinna ona dopełnić w jego imieniu obowiązek  informacyjny wynikający  z art. 13 RODO.

 

Autor

Agnieszka Szalińska

Prawnik z ponad 20–letnim doświadczeniem i praktyczną znajomością zasad ochrony danych osobowych. Posiada 15-letnie doświadczenie w Biurze Generalnego Inspektora Ochrony Danych Osobowych (obecnie PUODO). Wyróżnia się biegłością w tworzeniu dokumentacji prawnej dotyczącej ochrony danych osobowych. Stały współpracownik wielu jednostek szkoleniowych.