Czy firma może przechowywać nasze CV po procesie rekrutacji?

Analizując przepisy zauważamy ,że nie  wskazują  one wprost , czy dana organizacja która prowadzi rekrutację może  zachować CV kandydatów do pracy. Sytuacji nie ułatwiają rozbieżne  interpretacje kancelarii prawnych i urzędów.

W świetle prawa  niezwłocznie po zakończeniu procesu rekrutacji  organizacja prowadząca proces rekrutacyjny  jest  zobligowana do trwałego usunięcia pozyskanych danych osobowych kandydata, z którym nie zawarto umowy. Kwestia drugorzędną jest  definicja trwałego  usunięcia gdyż możemy przez to rozumieć usunięcie  CV z  bazy kandydatów oraz zniszczenie dokumentu w formie papierowej. Istnieją jednak odstępstwa od tej sytuacji , w przypadku gdy  organizacja  prowadząca proces rekrutacyjny  pozyskała zgodę od Kandydata na przetwarzanie informacji zawartych w złożonym cv do celów przyszłych rekrutacji . W wielu przypadkach proces rekrutacji, oprócz wysłania dokumentów, narzuca nam wypełnienie formularzy w systemach rekrutacyjnych. W  tym przypadku to do potencjalnego pracodawcy należy upewnienie się, że system rekrutacyjny, z którego korzysta lub inne rozwiązanie techniczne, są zgodne z wymogami RODO, czyli mówiąc wprost dobrze zabezpieczone.

To strona  rekrutująca powinna zadbać, żeby RODO w rekrutacji było odpowiednio przestrzegane, i to jej obowiązkiem jest określenie kto i w jakim zakresie ma dostęp i uprawnienia do przetwarzania danych osobowych , które  zawarte są  w aplikacjach i upewnienie się, że są to  osoby , które  posiadają odpowiednie upoważnienia  do przeprowadzenia procesu rekrutacji.Jeżeli w procesie rekrutacji wykorzystujemy do pomocy zewnętrzne firmy rekrutacyjne, należy podpisać z nimi umowę powierzenia danych. Rekomendowane jest również stworzenie  rejestru podmiotów, którym powierzane są dane osobowe.

Nie  jest   dopuszczalny przypadek dalszego przetwarzania danych w  celu zabezpieczenia  się przez  ewentualnymi  roszczeniami ze  strony , kandydata , który nie  został przyjęty do pracy. Wspomina  o   tym Urząd Ochrony Danych Osobowych w przygotowanym przez siebie poradniku dla pracodawców , który miał  być latarnią w stosowaniu przepisów RODO i nowej  ustawy o ochronie  danych osobowych z 10 maja 2018 r.; Dz.U. poz.  1000 ze zm. Należy nadmienić ,że  w między czasie trwały prace nad  projektem znowelizowania 168 ustaw i ten  długo wyczekiwany projekt  w dniu 6 listopada został przyjęty przez Radę Ministrów. Teraz dokumentem ma zająć się Sejm. Nowelizacje nie ominą również interesującego nas obszaru związanego z Kodeksem pracy. Nowe brzmienie uzyska art. 221 § 1−3 , które wskazuje na kategorie danych osobowych, które są niezbędne do pozyskania przez pracodawcę w związku z zatrudnieniem jak również po nawiązaniu stosunku pracy.

Uzasadnienie projektu, wspomina o tym ,że Administrator może udokumentować dane osobowe pozyskane od tych osób tylko w zakresie niezbędnym do ich potwierdzenia. Należy zauważyć ,że nie każdy stosunek pracy uzasadnia bowiem gromadzenie informacji o wykształceniu, kwalifikacjach zawodowych lub przebiegu dotychczasowego zatrudnienia osoby ubiegającej się o angaż. Projekt zakłada, że pracodawca będzie mógł żądać podania danych osobowych, wymienionych w projekcie, gdy będzie to konieczne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Rozwiązanie to ma służyć realizacji przewidzianej w art. 5 ust. 1 lit. c RODO zasady minimalizmu przetwarzania danych. Inne dane osobowe , które nie są wymienione w katalogu obligatoryjnych danych pozyskiwanych przez pracodawcę będą mogły być pobierane, m.in. gdy będzie to niezbędne do wypełniania obowiązku pracodawcy nałożonego przepisem prawa. Obowiązek taki może wynikać zarówno z przepisów Kodeksu pracy, jak i odrębnych przepisów prawnych. Gromadzenie danych osobowych osoby uczestniczącej w procesie rekrutacji lub danych pracownika, w świetle projektu, możliwe będzie również na podstawie zgody. Zgoda, o której mowa w projekcie, musi odpowiadać wszystkim wytycznym przewidzianym zarówno w RODO, jak i w projektowanych zmianach w przepisach Kodeksu pracy. Szczególna sytuacja dotyczy przypadku danych szczególnie chronionych, kiedy to te dane osobowe będą mogły być przetwarzane, wyłącznie gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika ,co wyraźnie przesądza projekt.

Podstawa prawna:

Rozporządzenie Parlamentu Europejskiego i Rady (UE)  2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku  z przetwarzaniem danych osobowych i w sprawie  swobodnego przepływu takich danych oraz uchylenia  dyrektywy 95/46/WE (dalej: RODO),

Ustawa z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000).

Grzegorz Szajerka |Szef praktyki ochrony danych osobowych Grupa Prawna Togatus