Dane osobowe w rekrutacji – jak prawidłowo przetwarzać dane kandydatów do pracy?

Dane osobowe w rekrutacji przetwarzane są zgodnie z przepisami RODO i kodeksu pracy. W ogóle dane osobowe to pewne informacje, które dotyczą każdego z nas. Pojedyncze dane najczęściej nic nie mówią, ale na podstawie kilku, połączonych informacji można rozpoznać tożsamość osoby, której te dane dotyczą. Do danych osobowych można zaliczyć imię i nazwisko, adres zamieszkania, adres mailowy, numer dowodu osobistego, PESEL, adres IP, i inne informacje, wskazujące tożsamość danej osoby.

Dane osobowe to także dane biometryczne, czyli odciski linii papilarnych, skan twarzy, DNA czy siatkówka oka oraz cechy fizyczne, fizjologiczne, ekonomiczne, kulturowe i społeczne. Dane osobowe powinny być dobrze chronione, ponieważ mogą być wykorzystane do niewłaściwych celów. Jest wiele przepisów, które gwarantują im bezpieczeństwo. W Polsce od 25 maja 2018 roku obowiązuje RODO, czyli Rozporządzenie o Ochronie Danych Osobowych.

Zapewnia ochronę danych osobowych, niezależnie od technologii, których użyto do ich przetwarzania oraz sposobu ich przechowywania. Jest wiele procesów, w których dane osobowe muszą być przetwarzane i przechowane. Jednym z nich jest zatrudnianie nowych pracowników. Jak wygląda kwestia danych osobowe w rekrutacji? W jaki sposób powinny być przechowywane i przetwarzane?

Dane osobowe w rekrutacji – co mówią przepisy?

Każdy pracodawca co jakiś czas musi przeprowadzić rekrutacje, czy nabór na wolne stanowisko. Czasami firma się rozrasta i potrzeba nowych ludzi, zdarza się, że ktoś idzie na emeryturę lub zwalnia się i również trzeba znaleźć kogoś na jego miejsce. Lata temu rekrutacja odbyła się w sposób całkowicie dowolny, przeprowadzały ją osoby zupełnie nieprzeszkolone. Nikt nie pilnował danych osobowych, były ogólnie dostępne.

Na szczęście obecnie ta kwestia wygląda zupełnie inaczej i dane osobowe w rekrutacji są zazwyczaj bezpieczne. Reguluje ją Rozporządzenie o ochronie danych osobowych, czyli RODO oraz Kodeks Pracy, art. 22 § 1. Ważny jest również artykuł 113 Kodeksu Pracy, który dotyczy przeciwdziałania dyskryminacji. Wymienione przepisy dotyczą zarówno pracodawców, jak i pracowników, ale nie obejmują osób, które zamierzają pracować na podstawie umowy cywilnoprawnej.

Jakie dane osobowe pozyskiwane są w czasie rekrutacji?

Każdy pracodawca, który szuka ludzi do pracy, ma możliwość pozyskania danych osobowych potencjalnych pracowników. Dane osobowe w rekrutacji, które ma możliwość pozyskać to:

• imię i nazwisko kandydata,
• data urodzenia,
• dane kontaktowe, czyli adres, numer telefonu, adres poczty elektronicznej,
• wykształcenie,
• kwalifikacje zawodowe,
• przebieg dotychczasowego zatrudnienia.

Zgodnie z art. 22 (1) § 3 pracodawca może również żądać podania danych osobowych innych, niż opadano, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Pracownik ma prawo samodzielnie decydować, które dane kontaktowe chce udostępnić. Może ty być jedynie numer telefonu czy adres poczty mailowej.

Pisaliśmy m.in. Na czym polega praca rekrutera

Dane osobowe osób, które pozytywnie przeszły proces rekrutacji i zostały zatrudnione, mogą być przetwarzane przez pracodawcę w niezmienionej formie. Oznacza to, że pracownik może zezwolić, aby jedyną udostępnioną daną kontaktową był adres zamieszania lub numer telefonu.

Uzyskiwanie innych danych osobowych w rekrutacji od kandydata

Zdarza się, że kandydaci do pracy z własnej woli podają dane, które nie są niezbędne do przeprowadzania rekrutacji. Może to być informacja o hobby, wyznaniu, narodowości, sposobie spędzania wolnego czasu czy umieszczenie zdjęcia. W takim wypadku pracodawca nie musi pozbywać się dokumentów, może przetwarzać je w taki sam sposób, jak w przypadku pozostałych danych osobowych. Wynika to z przepisów RODO, które definiują pojęcie zgody.

W myśl prawa kandydat może wyrazić zgodę w formie oświadczenia lub wyraźnego działania potwierdzającego. Umieszczenie dodatkowych, niewymaganych informacji traktowane jest właśnie jako działanie potwierdzające. Kandydat wysyłając swoją kandydaturę, wyraża automatycznie zgodę na przetwarzanie tych danych osobowych w procesie selekcji, które podał. Inaczej wygląda sytuacja z danymi wrażliwymi.

Jeżeli pracownik podał np. informacje o stanie zdrowia, pracodawca musi uzyskać wyraźną zgodę kandydata na jej przetwarzanie, a jeśli je nie otrzyma, jest zobowiązany pozbyć się dokumentów.

Jakich danych osobowych nie może wymagać pracodawca?

Pracodawca, który przeprowadza rekrutacje, nie może żądać podania danych, które nie mają wpływu na jakość wykonywanej pracy. Dużym błędem jest pytanie o stan cywilny, pochodzenie czy wyznanie. Wielu pracodawców prosi o przedstawienie zaświadczenia o niekaralności, ale jest to uzasadnione tylko w określonych przypadkach. Tego dokumentu może wymagać pracodawca, który jest uprawniony w tym zakresie.

Zostało to określone w przepisach w Ustawie o Krajowym Rejestrze Karnym art. 6 ust. 1 pkt 10. Zaświadczenie o niekaralności jest potrzebne w przypadku osób, które starają się o stanowisko m.in. licencjonowanych pracowników ochrony, nauczycieli mianowanych i dyplomowanych zatrudnionych na podstawie mianowania, pracowników służby cywilnej, pracowników kontroli skarbowej, policjantów, żołnierzy i strażaków.

Wiele osób nie wie, jakich danych może żądać potencjalny pracodawca. Zdarza się, że kandydat proszony jest o przesłanie skanu dowodu osobistego lub prawa jazdy. Takie praktyki są niedopuszczalne, osoby które je stosują, najczęściej nie szukają pracowników, a jedynie chcą wyłudzić dane osobowe. Na takie ogłoszenia lepiej nie odpowiadać i zgłosić je do administratorów portali, gdzie się pojawiły lub na policje.

Po co chronić dane osobowe?

Ochrona danych osobowych w rekrutacji jest bardzo ważna w dzisiejszych czasach, nigdy nie wiadomo, kiedy może dojść do ich wyłudzenia. Aby tego uniknąć, należy zachować duże środki ostrożności. Może się jednak zdarzyć, że mimo rozwagi dane osobowe pozyskiwane w procesie rekrutacji będą wykorzystane w niewłaściwy sposób.

Zdarzają się nieuczciwi pracodawcy, którzy nie szukają kandydatów do pracy, a jedynie chcą wyciągnąć cenne informacje. Posiadanie cudzych danych osobowych innych osób możne umożliwić:

• Zaciągnięcia kredytu w banku lub firmie pożyczkowej (tu więcej na ten temat: Ktoś wziął na mnie kredyt),
• Założenie fałszywej działalności gospodarczej.
• Zawarcie umowy z operatorem telefonii komórkowej,
• Wynajęcie mieszkania czy pokoju w hotelu,
• Wynajęcia samochodu w wykorzystanie go w przestępstwie,
• Przypisywania mandatów i punków karnych na okradzioną osobę,
• Dokonywanie zakupów na fałszywe dane,
• Wyłudzenia podatku VAT.

Jest wiele przestępstw, w których dane osobowe mogą być wykorzystane. W związku z tym trzeba być bardzo ostrożnym i nie odpowiadać na ogłoszenia, które wydają się podejrzane. W żadnym wypadku nie wolno wysyłać pracodawcom skanów ważnych dokumentów, np. dowodu osobistego czy prawa jazdy.

Pracodawca, który prosi o podanie jakichkolwiek dodatkowych informacji, powinien wykazać się podstawą ustawową takiego żądania. W razie zauważenia nieprawidłowości, sprawę należy zgłosić na policje.

Jak wygląda ochrona danych osobowych w procesie rekrutacji?

Pracowników można rekrutować wewnętrznie, pośród osób już zatrudnionych. W takim wypadku wykorzystywane są dane osobowe, które są przechowane w firmie. Najczęściej jednak ogłaszana jest reputacja zewnętrzna, w której biorą udział osoby, które zgłoszą swoją kandydaturę. Razem z pracodawcą kandydaci będą uczestniczyć w procesie rekrutacji, który wiąże się z przetwarzaniem danych osobowych.

Kandydaci do pracy nie mogą pozostać względem ewentualnego pracodawcy anonimowi, dlatego muszą udostępnić swoje dane. Zakres danych osobowych, które pracodawca może uzyska określa Kodeks Pracy. Najczęściej są one umieszczone w CV, które kandydat wysyła do rekrutującej firmy. Proces rekrutacji składa się z kilku części, które obejmują:

• publikacje ogłoszenia (pisaliśmy m.in. Jak napisać ogłoszenie o pracę),
• zapoznanie się z nadesłanymi zgłoszeniami i dokumentami rekrutacyjnymi,
• wstępną selekcję kandydatów i odrzucenie dokumentów, które nie spełniają wymagań,
• kolejną selekcję kandydatów, polegająca m.in. na rozmowach rekrutacyjnych, 
• wybór odpowiedniego kandydata i podpisanie umowy o pracę. 

Każdy etap jest ważny i musi być przeprowadzany tak, aby nie naruszał bezpieczeństwa danych osobowych.

Rekrutacja oczami pracowników

Rekrutacja jest ważnym procesem, który należy przeprowadzić zgodnie z przepisami, według obowiązujących reguł. Temat związany z potrzebą ochrony danych osobowych jest w ostatnich latach bardzo popularny, często słyszy się, że dane zostały wyłudzone i wykorzystany w niewłaściwy sposób.

Pisaliśmy m.in. Najtrudniejsze pytania na rozmowie kwalifikacyjnej

Coraz więcej potencjalnych kandydatów zwraca baczną uwagę, czy rekrutacja odbywa się we właściwy sposób. Kandydaci coraz częściej dbają o swoje bezpieczeństwo i pilnują, aby aby pracodawcy respektowali ich do prawo do prywatności i ochrony danych użytych w rekrutacji. Prawidłowe przeprowadzenie procesu rekrutacji wpływa pozytywnie na wizerunek firmy i czyni z niej pracodawcę godnego zaufania.

Rozmowa rekrutacyjna a RODO

Jeżeli dokumenty kandydata przeszły pierwszy etap selekcji, dochodzi o kolejnego etapu, jakim jest najczęściej rozmowa rekrutacyjna. Pracodawca lub osoba przez niego upoważniona ma prawo żądać, aby kandydat pokazał dowód w celu zweryfikowania tożsamości. W trakcie rozmowy nie powinny paść pytania o dane, które nie wynikają z art. 22 § 1. Rekruter nie może pytać o wyznanie, stan cywilny, choroby czy orientację seksualną.

Wyjątkiem są sytuacje, kiedy te dane są potrzebne do pracy na danym stanowisku, np. stan zdrowia jest istotny w przypadku osoby, która chce pracować na stanowisku ochroniarza czy pilota. Pytania zadawane bez wyraźnego celu mogą grozić posądzeniem o dyskryminacje i nieprzestrzeganie prawa. Pracodawca w trakcie rozmowy może robić notatki, ale nie może nic pisać na dokumentach kandydata, które będą przechowywane w aktach osobowych.

Niepochlebne informacje, które zanotuje, powinny zostać zniszczone zaraz po zakończeniu procesu rekrutacji.

Kto odpowiada za bezpieczeństwo danych osobowych w rekrutacji?

Administratorem danych osobowych w rekrutacji i selekcji jest pracodawca i to on odpowiada za ich bezpieczeństwo. Nie ma znaczenie, w jakiej formie otrzyma dane, musi tak samo dbać o dokumenty zarówno w wersji papierowej, jak i elektronicznej. Wynika to z obowiązujących przepisów, a dokładnie z art. 4 ust. 2 RODO.

Trzeba pamiętać, że jeżeli ogłoszenie znajdują się na portalu ogłoszeniowym, to nie administracja strony, a w dalszym ciągu pracodawca odpowiada za bezpieczeństwo danych osób szukających zatrudnienia. Jeżeli do danych osobowych w konkretnym zakładzie pracy mają dostęp inni pracownicy, np. kierownicy, muszą zostać upoważnienie do przetwarzania danych osobowych.

Bez tego dokumentu nie powinni mieć dostępu do dokumentów rekrutacyjnych i innych informacji, po których można rozpoznać tożsamość kandydata. Za nieprzestrzeganie przepisów i postępowanie z danym osobowymi w niewłaściwy sposób, np. przechowanie ich w ogólnie dostępnym miejscu czy wynoszenia poza teren firmy, grożą wysokie sankcje prawne oraz kary finansowe.

Bardzo ważne jest przestrzeganie przepisów o ochronie danych osobowych już w momencie zbierania CV. Niektóre firmy pozwalają na zostawienie dokumentów u portiera, który nie posiada odpowiedniego upoważnienia. Ważne, aby dane były odpowiednio zabezpieczone. Można włożyć je w zaklejoną kopertę.

Pisaliśmy m.in. HR miękki i HR twardy

Innych sposobem na bezpieczne dostarczenie dokumentów za pośrednictwem poczty lub umieszczenie ich w specjalnej skrzynce, jeżeli firma taką posiada.

Klauzula zgody na przetwarzanie danych kandydata

Wiele osób myśli, że do umieszczenie zgody na przetwarzanie danych osobowych jest niezbędne w procesie danej rekrutacji. To błędne myślenie, ponieważ Przepisy Kodeksu Pracy – art. 22(1) – stanowią podstawę prawną dla pracodawcy do przetwarzania wskazanych tam danych osobowych, bez konieczności pozyskiwania zgody od kandydata.

Mowa tu o takich danych jak imię, nazwisko, data urodzenia, dane kontaktowe, ale także wykształcenie, kwalifikacje zawodowe czy przebieg dotychczasowego wykształcenia, który jest niezbędne do pracy na danym stanowisku. W takiej sytuacji kandydat nie musi wyrażać zgody na przetwarzanie danych w procesie rekrutacji.

Zgodę warto jednak umieścić, ponieważ jest niezbędna do przechowania danych, które mogą być użyte w późniejszym okresie, kiedy pojawią się wolne stanowiska.

Dane osobowe w rekrutacji a obowiązek informacyjny

Obowiązkiem każdego pracodawcy jest poinformowanie kandydatów, w jaki sposób ich dane osobowe będą przechowywane. Aby taka informacja była zgodna z prawem, musi zawierać:

• dokładna nazwa firmy,
• adres siedziby firmy,
• dane kontaktowe inspektora danych osobowych (o ile został wyznaczony),
• cel przetwarzania danych,
• podstawę prawną przetwarzania danych osobowych,
• jeżeli pracodawca żąda podania danych osobowych innych, niż ujęte w katalogu, musi podać uzasadnienie oraz przepis, zezwalający na ich gromadzenie,
• czas, przez jaki dane będą przechowywane,
• informacje o możliwości usunięcia, zmiany lub ograniczania przetwarzania danych osobowych,
• informacja o prawie wycofania zgody w dowolnym momencie itd.,
• informacje o możliwość wzniesienia skargi do prezesa UODO,

Najlepiej, jeżeli pracodawca umieści klauzulę informacyjną już na etapie sporządzania ogłoszenia o pracę. Obowiązkiem pracodawcy jest zadbanie, aby w procesie rekrutacji brały udział tylko te osoby, które są przez niego upoważnione. Pracownik, który ma wgląd do danych, musi pamiętać o zasadzie poufności, której musi przestrzegać. Według RODO pracodawca musi zapewnić odpowiednie środki techniczne i organizacyjne, które zapewniają ochronę danych osób rekrutowanych.

Prawo nie określa, jaki to mają być środki, musi ustalić je pracodawca i dopasować do firmy, którą prowadzi. Niestety, o ile ochrona danych w samym procesie rekreacji jest najczęściej zachowana, to po jej upływie, dane osobowe są przetwarzane w niewłaściwy sposób. Spotka się sytuacje, kiedy CV zapisane jest na dysku i znajduje się na nim wiele miesięcy, a dokument papierowe leżą w biurowej szafie.

Co gorsza, zdarzają się sytuacje, kiedy CV czy listy motywacyjne leżą w widocznym miejscu i mają do nich dostęp osoby nieupoważnione. Warto, aby każdy pracodawca przeszedł szkolenie na temat ochrony danych osobowych w rekrutacji. Pozwoli to uniknąć sytuacji, które grożą potencjalnemu pracownikowi utratą danych, a pracodawcy wysokimi karami. 

Co zrobić z danymi osobowymi, gdy kandydat nie został przyjęty do pracy?

Nie wszystkie osoby, które biorą udział w rekrutacji, zostają przyjęte do pracy. Najczęściej rekrutowanych jest kilkunastu, a nawet kilkudziesięciu pracowników, do firmy przyjmowane są 1-2 osoby. W takim wypadku warto wiedzieć, co zrobić z danymi osobowymi osób, które nie znalazły się w grupie zatrudnionych szczęśliwców. Przepisy różnie interpretują ten temat.

Nie ma ustalonej konkretnego okresu, przez jaki dane osobowe mogą być przechowywane. Urząd Ochrony Danych Osobowych zaleca, aby dane po zakończeniu rekrutacji  niezwłocznie usunąć, tj. zniszczyć lub odesłać. Według RODO, dane osobowe nie powinny być przetwarzane dłużej, niż jest to niezbędne do osiągnięcia celu rekrutacyjnego oraz w celu ochrony ewentualnych roszczeń dotyczących sposobu prowadzenia rekrutacji.

Oczywiście, są sytuacje, kiedy dane osobowe kandydata mogą być przechowywane dłużej. Czasami pracodawcy mogą chcieć zatrudnić daną osobę w późniejszym czasie. W takim wypadku dokumenty mogą przechowane, pod warunkiem, że kandydat wyrazi na to zgodę.

Osoby, którym zależy, aby ich kandydatura była rozpatrywana w próżniejszych rekrutacjach, muszą umieścić klauzulę „Wyrażam zgodę na przetwarzanie moich danych osobowych ujawnionych w złożonych dokumentach aplikacyjnych w celu prowadzenia przyszłych procesów rekrutacyjnych”.

Dane osobowe w rekrutacji są niezbędne, ale rolą pracodawcy jest zadbanie, aby były bezpieczne i przechowane zgodnie z prawem. Niedopuszczalne są praktyki, w których dane potencjalnych pracowników są dostępne dla osób postronnych, nieposiadających stosownego upoważnienia.

Ważne jest również, aby kandydaci do pracy byli świadomi, jak ważna jest ochrona danych osobowe w selekcji. Dzięki temu nie będą musieli się obawiać, ze informacje zostaną wyłudzone i trafią w niepowołane ręce.