RODO w rekrutacji – dane kandydata do pracy, zgoda na ich przetwarzanie, prawo do bycia zapomnianym

RODO a rekrutacja do pracy 

25 maja 2018 r. weszło w życie Rozporządzenie o ochronie danych osobowych (RODO). Dzięki zawartym w nim przepisom obywatelom łatwiej jest kontrolować, co dzieje się z ich danymi osobowymi. Z drugiej strony rozporządzenie dostosowuje prawo do możliwości technologicznych XXI wieku. A jak ta zmiana wpłynęła na proces rekrutacyjny?

Osoby, które szukają pracy lub kiedykolwiek w swoim życiu wysłały do jakiejś firmy CV, mają swoje prawa i warto o nich wiedzieć. Pracodawcy są zobowiązani do poinformowania kandydatów o tym, kto i w jakim zakresie będzie przetwarzał ich dane. Ten obowiązek informacyjny pracodawcy spełniają poprzez umieszczenie informacji w treści ogłoszenia o pracę, w formularzu elektronicznym służącym do aplikowania lub w serwisach dotyczących kariery w danej firmie.

Polecamy: Przewodnik po zmianach przepisów 2018/2019

O jakie dane może pytać przyszły pracodawca?

Pracodawca nie może wymagać podawania nadmiarowych danych. Dopiero na potrzeby zatrudnienia może poprosić kandydatów np. o PESEL (w niedalekiej przyszłości ma się to zmienić). Kodeks Pracy definiuje katalog danych, o które obecnie może wystąpić pracodawca do kandydata. Są to:

• imię (imiona) i nazwisko,
• imiona rodziców kandydata,
• data urodzenia,
• miejsce zamieszkania (adres do korespondencji),
• wykształcenie,
• przebieg dotychczasowego zatrudnienia.

O inne dane spoza tego katalogu pracodawca może wystąpić, o ile istnieje ku temu podstawa prawna, wynikająca z Kodeksu Pracy, szczególnych przepisów lub uzasadnionego interesu pracodawcy.

RODO w rekrutacji – jakie dane warto udostępnić?

Od 2019 roku ze wspomnianego katalogu danych znika adres zamieszkania (zastępuje go adres korespondencyjny). Zniknęły też imiona rodziców, ale pojawił się adres mailowy i telefon. Wszelkie pozostałe dane są nadmiarowe, ale to wcale nie znaczy, że niepotrzebne. Podczas przygotowywania CV warto, aby kandydat pomyślał o tym, jak najlepiej się zaprezentować, a nie o tym, czego nie musi przedstawiać. Zdobytych certyfikatów w tym katalogu nie ma, a jednak mogą one zwiększyć szanse aplikującego na zaproszenie na rozmowę kwalifikacyjną.

Przede wszystkim warto, aby kandydat nie zaszkodził sam sobie. Podstawą przetwarzania danych osobowych jest jego zgoda. Zgoda powinna być świadoma, dobrowolna, ale też udzielona konkretnie do wskazanych celów. Z tego powodu używana w przeszłości formuła Wyrażam zgodę na przetwarzanie moich danych osobowych dla potrzeb niezbędnych do realizacji procesu rekrutacji (zgodnie z Ustawą z dnia 29.08.1997 roku o Ochronie Danych Osobowych; tekst jednolity: Dz. U. z 2002r. Nr 101, poz. 926 ze zm) nie jest już adekwatna. Zwłaszcza, że wskazywana w niej ustawa już nie obowiązuje.

Czy i jak wyrazić zgodę na przetwarzanie danych w procesie rekrutacji?

Co prawda sam fakt przesłania aplikacji w odpowiedzi na konkretne ogłoszenie oznacza, że kandydat wyraża zgodę na przetwarzania jego danych (niezależnie od treści użytej w stopce CV zgody), jednak wróćmy do informacji o tym, że zgoda powinna być konkretna i specyficzna. W praktyce oznacza to, że kandydat nie może jednocześnie wyrazić zgody na przetwarzanie jego danych w ramach różnych procesów. Dlatego, jeśli kandydaci chcą, by rekruter uwzględnił ich np. w procesie, który pojawi się w firmie w przyszłości, powinien wyrazić dodatkową zgodę na przetwarzanie danych osobowych w innych procesach rekrutacyjnych. Wiele firm umożliwia wyrażenie zgodnych z ustawą zgód w formularzu służącym do aplikowania, zaznaczając, które są obligatoryjne, a które dobrowolne. Jednak przygotowanie CV specjalnie na potrzeby konkretnego procesu rekrutacyjnego na pewno pozwoli kandydatowi wyróżnić się spośród innych chętnych do pracy.

Jak długo firma może przechowywać dane kandydata?

Tu ważne zastrzeżenie: nawet jeśli kandydat wyraził zgodę na przetwarzanie danych osobowych w ramach rekrutacji, nie oznacza to, że firma, do której aplikował, może jego dane przechowywać i przetwarzać w nieskończoność. Firma zobowiązana jest określić maksymalny okres przetwarzania danych i podać go do wiadomości kandydata. Może zaskakiwać fakt, że w różnych firmach będą to różne okresy, jednak RODO nie doprecyzowało tej kwestii, oddając pracodawcom decyzję w tej sprawie.

Każda osoba aplikująca o pracę ma też prawo do bycia zapomnianą. RODO uporządkowało funkcjonujące w tym zakresie zasady. Kandydat może poinformować firmę, że cofa swoją zgodę na przetwarzanie danych i prosi o ich usunięcie. Administrator danych osobowych w tej firmie musi to zrobić w ciągu miesiąca. Jednak jeśli toczy się postępowanie sądowe związane z procesem rekrutacji i dane osobowe kandydata są dowodem w tej sprawie, termin usunięcia danych może zostać odroczony.

Jeżeli ktoś skontaktuje się z kandydatem z propozycją udziału w kolejnej rekrutacji, mimo że ten wcześniej wnioskował o usunięcie swoich danych, można poprosić o interwencję Inspektora Ochrony Danych – to stanowisko powoływane w firmach i instytucjach, by wspierać je we wdrażaniu RODO i monitorowaniu tego, co dzieje się z danymi osobowymi. Kontakt do Inspektora Ochrony Danych powinien znajdować się w informacji o zakresie przetwarzania danych osobowych, albo na stronie internetowej firmy. Powołanie i rola Inspektora Ochrony Danych są również regulowane przez RODO.

Prawo do bycia zapomnianym – jak z niego skorzystać?

Firmy udostępniają formularze, które służą do złożenia wniosku o bycie zapomnianym. W praktyce powinna wystarczyć wiadomość mailowa zawierająca prośbę i niezbędne do identyfikacji osoby dane np. imię i nazwisko oraz adres mailowy. Jeżeli kandydat poda za mało informacji w takim wniosku, osoba odpowiedzialna za jego realizację poprosi jeszcze o dodatkowe dane – musi mieć pewność, że z baz usunie właściwą osobę.

Kiedy kandydat powinien taki wniosek złożyć? Wydaje się, że warto być uwzględnianym w dodatkowych procesach rekrutacyjnych prowadzonych przez firmy. Jednak zdarza się, że kandydatom przestaje odpowiadać misja firmy, lub w trakcie rekrutacji dzieje się coś, co zniechęca kandydata do tego pracodawcy. Być może na rynku pojawiły się o firmie takie informacje, które sprawiają, że przestaje być ona atrakcyjnym miejscem pracy. W takich sytuacjach warto skorzystać z prawa do bycia zapomnianym.