Proces rekrutacji jest jednym z pierwszych momentów, w których dochodzi do przetwarzania danych osobowych kandydata przez przyszłego pracodawcę. Już na etapie zbierania zgłoszeń i analizy nadesłanych dokumentów aplikacyjnych administrator danych — czyli podmiot prowadzący rekrutację — musi działać w zgodzie z przepisami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz przepisami Kodeksu pracy, które od 4 maja 2019 r. precyzują zakres danych możliwych do pozyskania od osoby ubiegającej się o zatrudnienie. Poniżej przedstawiono, jakie dane pracodawca może żądać obowiązkowo, kiedy wymagana jest zgoda kandydata, a jakich informacji pozyskiwać nie wolno.
Dane, których pracodawca może żądać obowiązkowo
Podstawowy katalog danych, jakich pracodawca może żądać od osoby ubiegającej się o zatrudnienie, określa art. 221 § 1 Kodeksu pracy. Zgodnie z tym przepisem pracodawca może żądać podania:
- imienia (imion) i nazwiska,
- daty urodzenia,
- danych kontaktowych wskazanych przez samego kandydata,
- wykształcenia, kwalifikacji zawodowych oraz przebiegu dotychczasowego zatrudnienia — wyłącznie wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.
Oznacza to, że żądanie podania wykształcenia czy historii zatrudnienia nie jest automatyczne — pracodawca powinien każdorazowo ocenić, czy te informacje są rzeczywiście niezbędne do oceny kwalifikacji kandydata na dane stanowisko. Jest to bezpośrednie odzwierciedlenie zasady minimalizacji danych wyrażonej w art. 5 ust. 1 lit. c RODO. Podstawą prawną przetwarzania tego zakresu danych jest art. 6 ust. 1 lit. c RODO — wypełnienie obowiązku prawnego ciążącego na administratorze, wynikającego właśnie z przepisów Kodeksu pracy.
Dane dodatkowe — wyłącznie za zgodą kandydata
Zdarza się, że kandydaci w CV lub liście motywacyjnym zamieszczają dodatkowe informacje, wykraczające poza katalog ustawowy — na przykład zdjęcie, dane o stanie cywilnym, zainteresowaniach czy dodatkowe dane kontaktowe. Zgodnie z art. 221a Kodeksu pracy przetwarzanie takich danych jest dopuszczalne wyłącznie za zgodą osoby ubiegającej się o zatrudnienie, wyrażoną w odpowiedzi na wyraźną inicjatywę pracodawcy lub z inicjatywy samego kandydata.
Co istotne, przepis wprost zastrzega, że brak zgody lub jej wycofanie nie może być podstawą niekorzystnego traktowania kandydata, w tym nie może stanowić przyczyny odmowy zatrudnienia. Kandydat może też w każdym momencie ograniczyć zakres lub czas przetwarzania danych podanych dobrowolnie. Podstawą prawną takiego przetwarzania jest art. 6 ust. 1 lit. a RODO (zgoda osoby, której dane dotyczą).
Dane szczególnych kategorii oraz dane o karalności
Szczególnie ostrożnie należy traktować dane wrażliwe, wymienione w art. 9 RODO — m.in. dane dotyczące zdrowia, pochodzenia rasowego lub etnicznego, przekonań religijnych, orientacji seksualnej czy przynależności związkowej. Zgodnie z art. 221b Kodeksu pracy ich przetwarzanie jest możliwe tylko wtedy, gdy przekazanie takich danych następuje z inicjatywy samego kandydata.
Odrębnie uregulowana jest kwestia danych o wyrokach skazujących i naruszeniach prawa (art. 10 RODO). Pracodawca co do zasady nie może żądać od kandydata zaświadczenia o niekaralności ani informacji o karalności — zgoda kandydata nie jest tu wystarczającą podstawą prawną. Pozyskanie takich danych jest dopuszczalne wyłącznie wtedy, gdy wprost zezwala na to przepis prawa, odnoszący się do konkretnego rodzaju stanowiska lub zawodu (dotyczy to np. niektórych stanowisk w oświacie, sektorze finansowym czy służbach mundurowych). Samo subiektywne przekonanie pracodawcy, że dla danego stanowiska istotna jest „nieposzlakowana opinia” kandydata, nie stanowi wystarczającej podstawy do żądania takich danych.
Czego pracodawca nie może żądać od kandydata
Z przepisów oraz praktyki stosowania RODO w procesach rekrutacyjnych wynika, że niedopuszczalne jest w szczególności:
- żądanie referencji od poprzednich pracodawców bez wyraźnej, dobrowolnej zgody kandydata,
- poddawanie kandydata testom psychologicznym lub badaniom bez podstawy prawnej,
- pytania o ciążę lub plany macierzyńskie — poza sytuacją, w której dane stanowisko jest obiektywnie niedostępne dla kobiet w ciąży ze względu na przepisy o ochronie zdrowia,
- żądanie zaświadczenia o niekaralności bez wyraźnej podstawy ustawowej właściwej dla danego stanowiska.
Obowiązek informacyjny wobec kandydatów
Niezależnie od zakresu zbieranych danych, pracodawca jako administrator danych ma obowiązek spełnić wobec kandydata obowiązek informacyjny określony w art. 13 RODO (gdy dane pozyskiwane są bezpośrednio od kandydata) lub art. 14 RODO (gdy dane pochodzą z innych źródeł, np. od agencji rekrutacyjnej). W praktyce oznacza to konieczność przekazania klauzuli informacyjnej zawierającej m.in. tożsamość administratora, cele i podstawy prawne przetwarzania, okres przechowywania danych, informacje o odbiorcach danych oraz o przysługujących kandydatowi prawach — najlepiej już w treści ogłoszenia o pracę lub bezpośrednio przy formularzu aplikacyjnym.
Co dzieje się z danymi po zakończeniu rekrutacji
Istotnym zagadnieniem praktycznym jest to, jak długo pracodawca może przechowywać dokumenty aplikacyjne kandydatów, z którymi nie nawiązano współpracy. Urząd Ochrony Danych Osobowych w swoich wyjaśnieniach wskazywał, że danych osobowych kandydata, z którym pracodawca nie zdecydował się zawrzeć umowy o pracę, nie powinno się przechowywać „na zapas” — a samo zabezpieczenie się przed ewentualnym, niepewnym roszczeniem nie jest wystarczającym celem uzasadniającym dalsze przetwarzanie danych po zakończeniu procesu rekrutacji. W doktrynie i praktyce wskazuje się jednocześnie, że przez pewien czas po zakończeniu rekrutacji dane osób, które brały czynny udział w jej dalszych etapach (np. zostały zaproszone na rozmowę kwalifikacyjną), mogą być przechowywane w celu obrony przed ewentualnymi roszczeniami związanymi z zarzutem dyskryminacji w procesie rekrutacji — z zastrzeżeniem, że termin i zakres takiego przechowywania powinien być przez administratora precyzyjnie uzasadniony i ograniczony w czasie, zgodnie z zasadą ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO).
Jeżeli pracodawca chce zachować CV kandydata z myślą o przyszłych, innych rekrutacjach, powinien pozyskać na ten cel odrębną, wyraźną zgodę kandydata, określającą czas, przez jaki dane będą przechowywane.
Podsumowanie
Prawidłowe przeprowadzenie rekrutacji zgodnie z przepisami o ochronie danych osobowych wymaga od pracodawcy rozróżnienia trzech kategorii danych: danych obowiązkowych wynikających wprost z Kodeksu pracy, danych dodatkowych przekazywanych wyłącznie za zgodą kandydata oraz danych szczególnie chronionych, których pozyskiwanie podlega odrębnym, surowszym zasadom. Każdorazowo należy też pamiętać o spełnieniu obowiązku informacyjnego oraz o ograniczeniu okresu przechowywania danych do czasu rzeczywiście niezbędnego do realizacji celu rekrutacji.
Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej w indywidualnej sprawie. W przypadku wątpliwości co do zgodności konkretnego procesu rekrutacyjnego z RODO i Kodeksem pracy zalecane jest zasięgnięcie opinii Inspektora Ochrony Danych lub profesjonalnego doradcy.