Analizując przepisy zauważamy ,że nie wskazują one wprost , czy dana organizacja która prowadzi rekrutację może zachować CV kandydatów do pracy. Sytuacji nie ułatwiają rozbieżne interpretacje kancelarii prawnych i urzędów.
W świetle prawa niezwłocznie po zakończeniu procesu rekrutacji organizacja prowadząca proces rekrutacyjny jest zobligowana do trwałego usunięcia pozyskanych danych osobowych kandydata, z którym nie zawarto umowy. Kwestia drugorzędną jest definicja trwałego usunięcia gdyż możemy przez to rozumieć usunięcie CV z bazy kandydatów oraz zniszczenie dokumentu w formie papierowej. Istnieją jednak odstępstwa od tej sytuacji , w przypadku gdy organizacja prowadząca proces rekrutacyjny pozyskała zgodę od Kandydata na przetwarzanie informacji zawartych w złożonym cv do celów przyszłych rekrutacji . W wielu przypadkach proces rekrutacji, oprócz wysłania dokumentów, narzuca nam wypełnienie formularzy w systemach rekrutacyjnych. W tym przypadku to do potencjalnego pracodawcy należy upewnienie się, że system rekrutacyjny, z którego korzysta lub inne rozwiązanie techniczne, są zgodne z wymogami RODO, czyli mówiąc wprost dobrze zabezpieczone.
To strona rekrutująca powinna zadbać, żeby RODO w rekrutacji było odpowiednio przestrzegane, i to jej obowiązkiem jest określenie kto i w jakim zakresie ma dostęp i uprawnienia do przetwarzania danych osobowych , które zawarte są w aplikacjach i upewnienie się, że są to osoby , które posiadają odpowiednie upoważnienia do przeprowadzenia procesu rekrutacji.Jeżeli w procesie rekrutacji wykorzystujemy do pomocy zewnętrzne firmy rekrutacyjne, należy podpisać z nimi umowę powierzenia danych. Rekomendowane jest również stworzenie rejestru podmiotów, którym powierzane są dane osobowe.
Nie jest dopuszczalny przypadek dalszego przetwarzania danych w celu zabezpieczenia się przez ewentualnymi roszczeniami ze strony , kandydata , który nie został przyjęty do pracy. Wspomina o tym Urząd Ochrony Danych Osobowych w przygotowanym przez siebie poradniku dla pracodawców , który miał być latarnią w stosowaniu przepisów RODO i nowej ustawy o ochronie danych osobowych z 10 maja 2018 r.; Dz.U. poz. 1000 ze zm. Należy nadmienić ,że w między czasie trwały prace nad projektem znowelizowania 168 ustaw i ten długo wyczekiwany projekt w dniu 6 listopada został przyjęty przez Radę Ministrów. Teraz dokumentem ma zająć się Sejm. Nowelizacje nie ominą również interesującego nas obszaru związanego z Kodeksem pracy. Nowe brzmienie uzyska art. 221 § 1−3 , które wskazuje na kategorie danych osobowych, które są niezbędne do pozyskania przez pracodawcę w związku z zatrudnieniem jak również po nawiązaniu stosunku pracy.
Uzasadnienie projektu, wspomina o tym ,że Administrator może udokumentować dane osobowe pozyskane od tych osób tylko w zakresie niezbędnym do ich potwierdzenia. Należy zauważyć ,że nie każdy stosunek pracy uzasadnia bowiem gromadzenie informacji o wykształceniu, kwalifikacjach zawodowych lub przebiegu dotychczasowego zatrudnienia osoby ubiegającej się o angaż. Projekt zakłada, że pracodawca będzie mógł żądać podania danych osobowych, wymienionych w projekcie, gdy będzie to konieczne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Rozwiązanie to ma służyć realizacji przewidzianej w art. 5 ust. 1 lit. c RODO zasady minimalizmu przetwarzania danych. Inne dane osobowe , które nie są wymienione w katalogu obligatoryjnych danych pozyskiwanych przez pracodawcę będą mogły być pobierane, m.in. gdy będzie to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa. Obowiązek taki może wynikać zarówno z przepisów Kodeksu pracy, jak i odrębnych przepisów prawnych. Gromadzenie danych osobowych osoby uczestniczącej w procesie rekrutacji lub danych pracownika, w świetle projektu, możliwe będzie również na podstawie zgody. Zgoda, o której mowa w projekcie, musi odpowiadać wszystkim wytycznym przewidzianym zarówno w RODO, jak i w projektowanych zmianach w przepisach Kodeksu pracy. Szczególna sytuacja dotyczy przypadku danych szczególnie chronionych, kiedy to te dane osobowe będą mogły być przetwarzane, wyłącznie gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika ,co wyraźnie przesądza projekt.
Podstawa prawna:
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO),
Ustawa z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000).
Grzegorz Szajerka |Szef praktyki ochrony danych osobowych Grupa Prawna Togatus
