Przetwarzanie danych osobowych kandydatów do pracy w kontekście RODO

• 16.02.2018

• Autor: Joanna Peryt

• analizy

Podejmując rozważania na temat przetwarzania danych kandydatów do pracy należy spojrzeć na ten proces znacznie szerzej, uwzględniając rozwój technologiczny i dostęp do portali społecznościowych, które pozwalają na pozyskanie znacznie szerszego zakresu informacji o kandydacie.

Zakres danych kandydatów do pracy, jakie może przetwarzać pracodawca, został określony w art. 22¹ kodeksu pracy. Jest to katalog zamknięty i obejmuje on następujące dane: imię (imiona) i nazwisko, imiona rodziców, datę urodzenia, adres zamieszkania (adres do korespondencji), wykształcenie, przebieg dotychczasowego wykształcenia. Pracodawca, jako administrator danych, przetwarza te dane na podstawie przepisu prawa, nie jest więc potrzebna tutaj zgoda kandydata na ich przetwarzanie.

W praktyce jednak zakres danych, jakie zamieszczają kandydaci w CV, jest znaczenie szerszy i wykracza poza wspomniany powyżej wykaz (np. adres e-mail, numer telefonu). W takiej sytuacji pracodawca może przetwarzać te „dodatkowe” dane na podstawie prawnie uzasadnionego interesu.

Stosowane obecnie podstawy prawne przetwarzania danych osobowych kandydatów do pracy nie ulegną zmianie przynajmniej dopóty, dopóki państwa członkowskie UE nie wprowadzą szczegółowych regulacji w zakresie przetwarzania danych pracowników, o których mowa w art. 88 rozporządzenia. W chwili, kiedy zaczną obowiązywać nowe przepisy, dane te będą przetwarzane na podstawie ogólnych zasad RODO dotyczących przetwarzania danych osobowych.

Rozpoczynając proces rekrutacji pracodawca zobowiązany jest spełnić obowiązek informacyjny wobec kandydatów, zamieszczając odpowiednią klauzulę pod ogłoszeniem rekrutacyjnym. Należy zaznaczyć, że RODO znacznie rozszerza ten obowiązek informacyjny, m.in. o: podstawę prawną przetwarzania, okres przetwarzania danych czy przekazywanie danych do państw trzecich. Zatem pracodawcy, jako administratorzy danych, powinni dokonać analizy obowiązujących klauzul i przygotować nowe. Niewątpliwe obszerny tekst klauzuli przysporzy także problemów technicznych związanych z umiejscowieniem go w ogłoszeniu.

Spełnienie powyższego wymogu prawnego wymusi na pracodawcach rozważenie prowadzenia rekrutacji „ukrytych”, które to rozwiązanie było dotychczas stosowane, mimo iż nie było ono zgodne z prawem. Obecnie będzie zagrożone wysoką karą administracyjną.

Istotną zmianą, jaką wprowadza ogólne rozporządzenie unijne, jest przetwarzanie danych kandydatów na podstawie ich zgody. Dotychczas zgoda taka nie była traktowana jako podstawa prawna przetwarzania danych kandydatów ze względu na nierówność stron przy jej wyrażaniu. Biorąc jednak pod uwagę kryteria wyrażenia zgody, wskazane w motywie 32, zgodnie z którymi: „Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych (…)”, możemy wywnioskować, iż właśnie poprzez swoje zachowanie, czyli „w drodze jednoznacznej, potwierdzającej czynności”, kandydaci wyrażają zgodę na przetwarzanie danych, które przekazali pracodawcy. Zatem zgoda kandydata powinna być uznana za przesłankę legalizującą przetwarzanie jego danych osobowych.

Autor

Joanna Peryt

Z uwagi na posiadaną wiedzę specjalizuje się w zagadnieniach związanych z ochroną danych w prawie pracy. Przez kilkanaście lat zrealizowała wiele audytów bezpieczeństwa danych osobowych oraz projektów wdrożeniowych. Pełniła rolę Inspektora ochrony danych dla wielu klientów Audytela.