Proces rekrutacji to nie tylko wybór najlepszego kandydata, ale również szereg wyzwań związanych z bezpieczeństwem IT i prawem. Odpowiednia ochrona danych podczas rekrutacji jest kluczowym obowiązkiem każdego pracodawcy, który musi skutecznie chronić informacje przed wyciekiem czy złośliwym oprogramowaniem. Zastosowanie sprawdzonych procedur i dobrych praktyk pozwala zminimalizować ryzyko naruszeń i spełnić wymogi RODO. Dowiedz się, na co zwrócić uwagę, aby rekrutacja w Twojej firmie była w pełni bezpieczna.
Proces rekrutacji wiąże się z potencjalnymi zagrożeniami z zakresu cyberbezpieczeństwa oraz obowiązkami w ramach ochrony danych osobowych. Zastosowanie się do prostych rekomendacji może pomóc organizacji w spełnianiu obowiązków wynikających z RODO. Niezmiennie powinniśmy przykładać szczególną uwagę do przetwarzanych dokumentów, aby uniknąć m.in. infekcji złośliwym oprogramowaniem. O czym powinniśmy pamiętać podczas rekrutacji?
Analiza ryzyka a ochrona danych podczas rekrutacji
Art. 32 ust. 1 RODO zobowiązuje administratora (oraz ew. podmioty przetwarzające) do stosowania odpowiednich środków organizacyjnych i technicznych w celu ochrony danych osobowych na podstawie ryzyka naruszenia praw lub wolności osób fizycznych. Oznacza to, że zagrożenia związane z procesami rekrutacyjnymi również muszą być uwzględnione w analizie ryzyka.
W celu zapewnienia zgodności z przepisami administrator powinien m.in.:
- jasno określić zakres przetwarzanych danych (zgodnie z zasadą minimalizacji – art. 5 ust. 1 lit. c RODO);
- określić okres przechowywania danych wraz z usuwaniem ich w momencie, gdy nie będzie to konieczne do celów przetwarzania (art. 5 ust. 1 lit. e RODO);
- regularnie oceniać stosowane środki techniczne i organizacyjne wraz z aktualizowaniem ich w razie potrzeby (art. 32 ust. 1 lit. d RODO).
Zgodnie z art. 22¹ Kodeksu pracy pracodawca ma prawo żądać od kandydata podania następujących danych: imię, nazwisko, data urodzenia, dane kontaktowe (podane przez osobę ubiegającą się o pracę), wykształcenie, kwalifikacje zawodowe, przebieg zatrudnienia.
Rekrutacja a zewnętrzne agencje
Niejednokrotnie rekrutacja jest prowadzona z wykorzystaniem zewnętrznych organizacji – szczególnie w przypadku MŚP. W takim przypadku może wystąpić konieczność zawarcia umowy powierzenia przetwarzania danych osobowych (art. 28 ust. 3 RODO).
Należy przy tym podkreślić, że zawarcie takiego dokumentu nie zwalnia administratora z odpowiedzialności za ten proces. Pokazuje to m.in. decyzja Prezesa UODO z listopada 2024 roku (DKN.5130.2415.2020), gdzie stwierdził: „Powierzenie przetwarzania danych osobowych podmiotowi przetwarzającemu nie zwalnia Administratora z obowiązków wynikających z art. 32 ust. 1 i 2 rozporządzenia 2016/679 (RODO – przyp. red.)”. Warto również wspomnieć o tym, że administrator powinien wybrać podmiot oferujący wystarczające gwarancje ochrony danych, co wynika z art. 28 ust. 1 RODO.
Portale z ogłoszeniami a ochrona danych podczas rekrutacji
W poradniku UODO z października 2018 roku poruszono kwestię prowadzenia rekrutacji na podstawie portali internetowych. W dokumencie podkreślono konieczność jasnego zdefiniowania roli takiego podmiotu, ponieważ w sytuacji, gdy portal przetwarza dane osobowe w imieniu pracodawcy, konieczne będzie rozważenie zawarcia umowy powierzenia danych osobowych.
Przykład 1.
Firma publikuje ogłoszenie na portalu internetowym, które zawiera wyłącznie adres e-mail lub link do wewnętrznego systemu rekrutacyjnego firmy. Wówczas nie ma potrzeby zawierania umowy powierzenia przetwarzania danych, ponieważ zewnętrzny portal internetowy nie przetwarza danych osobowych kandydatów.
Przykład 2.
Przedsiębiorstwo postanawia wykorzystać podczas rekrutacji platformę internetową, która umożliwia m.in. przesłanie CV przez dedykowany formularz na stronie wraz z przechowywaniem dokumentów kandydatów, przetwarzając dane w imieniu pracodawcy. W takiej sytuacji powinno się zawrzeć umowę powierzenia przetwarzania danych.
Ostrożność wobec plików
W trakcie rekrutacji nie powinniśmy zapominać o możliwych próbach zaatakowania naszych systemów. W grudniu 2024 roku The DFIR Report opisało kampanię cyberprzestępców, gdzie rekruterów nakłaniano do pobrania pliku rzekomo zawierającego CV kandydata. W rzeczywistości był to plik, który zawierał złośliwe oprogramowanie.
Osoby odpowiedzialne za rekrutację powinny zachować szczególną ostrożność w przypadku zachęcania ich do pobrania plików z zewnętrznych portali. Jednocześnie konieczne jest każdorazowe zwracanie uwagi na faktyczne rozszerzenia – „CV.pdf.exe” a „CV.pdf” to dwa zupełnie inne rodzaje plików.
Przykład 3.
Kandydat przesyła CV w formie linku do pliku w formacie ZIP lub RAR. Taka sytuacja powinna zaalarmować rekrutera, ponieważ w archiwum może znajdować się złośliwe oprogramowanie.
Osobne środowisko do rekrutacji
Rekrutacja na nowe stanowisko wiąże się z koniecznością przetwarzania plików od nieznanych osób, dlatego warto rozważyć korzystanie z osobnego środowiska informatycznego. Dzięki temu potencjalnie złośliwe działanie zostanie ograniczone – mowa m.in. o atakach phishingowych czy infekowaniu złośliwym oprogramowaniem.
Zazwyczaj w rekrutacji wykorzystuje się skrzynki mailowe. W celu zwiększenia poziomu cyberbezpieczeństwa zaleca się założenie dedykowanego maila (lub maili) do rekrutacji, zamiast wykorzystywania kont pracowników. Warto przy tym dodać, że takie konto powinno być zarządzane poprzez nadawanie użytkownikom odpowiednich uprawnień, a nie na podstawie współdzielenia danych logowania pomiędzy kilkoma osobami. Niezmiennie należy zwrócić uwagę na to, aby konto mailowe wykorzystywało dwuetapowe uwierzytelnianie, co znacznie utrudnia cyberprzestępcom uzyskanie nieuprawnionego dostępu.
W ramach przetwarzania plików związanych z rekrutacją zaleca się również korzystanie z konta systemowego niemającego uprawnień administratora, lecz działanie na zwykłych kontach użytkowników (bez podniesionych uprawnień). Dzięki temu można ograniczyć ewentualne próby uruchomienia złośliwych plików.
W ramach potrzeb oraz możliwości organizacji warto również rozważyć oddzielenie logiczne sieci na podstawie tzw. VLAN-ów, czyli wirtualnych sieci lokalnych. Umożliwia to wiele urządzeń, które już znajdują się w sieciach JST czy MŚP. Dzięki temu potencjalne skutki cyberataku zostaną ograniczone (np. do jednego działu przedsiębiorstwa).
Praktyczne usuwanie nadmiarowych danych
Usuwanie informacji, których dalsze przetwarzanie jest bezcelowe, pozwala nam zarówno spełnić wymogi RODO, jak i ograniczyć skutki potencjalnego nieuprawnionego dostępu do naszego środowiska. W ramach rekrutacji należy pamiętać o tym, że przechowywanie danych „na przyszłość” bez jasnego celu i zgody kandydata jest niedopuszczalne. Jednocześnie w maju 2024 roku Polska Agencja Rozwoju Przedsiębiorczości na podstawie wyroku Naczelnego Sądu Administracyjnego (sygn. akt III OSK 2700/22) podkreślała, że:
- prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) może umożliwiać przetwarzanie danych osobowych w celu ochrony przed ew. roszczeniami;
- okres przetwarzania danych nie może przekraczać okresu potencjalnych roszczeń, który wynosi 3 lata (art. 291 §1 kp).
Proces usuwania danych powinien z założenia obejmować ich uprzednie katalogowanie. W praktyce oznacza to, że wszystkie pliki związane z rekrutacją powinny zostać odpowiednio opisane, np. od samego początku przechowywane w folderze na danym urządzeniu lub zasobie sieciowym. Dzięki temu możliwe jest proste usunięcie wszystkich zbędnych plików bez konieczności przeszukiwania danych z przeszłości.
W przypadku wiadomości e-mail zaleca się katalogowanie (porządkowanie) do odpowiednich folderów – szczególnie w sytuacji, gdy zawierają załączniki z danymi osobowymi.
Ochrona poufnych informacji
W trakcie rekrutacji niezmiennie powinniśmy pamiętać o ochronie przed nieuprawnionym dostępem do danych. Niejednokrotnie pliki są przechowywane na laptopach czy zewnętrznych nośnikach, dlatego powinniśmy zadbać o szyfrowanie danych na poziomie partycji. Przy zastosowaniu odpowiednio złożonych haseł (np. DużyCzerwonyBalkonNaZielonymOsiedlu34) możemy znacznie ograniczyć możliwość uzyskania dostępu do danych w przypadku kradzieży czy zgubienia urządzenia.
Przykład 4.
CV kandydatów są przechowywane na pendrivie. Nośnik powinien być szyfrowany, aby uniknąć ewentualnego naruszenia ochrony danych. W tym celu można wykorzystać Bitlockera (oprogramowanie wbudowane w wiele wersji systemu Windows) czy VeraCrypt.
Podsumowanie
Cyberbezpieczeństwo i ochrona danych podczas rekrutacji wiążą się z koniecznością zastosowania się do zapisów RODO oraz zadbania o odpowiednie zabezpieczenia w środowisku informatycznym. Administratorzy powinni mieć na uwadze to, że osoby odpowiedzialne za rekrutację będą otwierać załączniki od nieznanych nadawców, dlatego warto odizolować urządzenia oraz konta od głównej infrastruktury.
Powinniśmy również zwrócić uwagę na retencję danych na podstawie wcześniejszego tworzenia odpowiednich katalogów, co pozwala na proste usunięcie plików w przyszłości.
W praktyce zaleca się również uwzględnienie procesu rekrutacji w analizie ryzyka, ponieważ to właśnie ten dokument jest jedną z podstaw do wykazania stosowania odpowiednich środków technicznych i organizacyjnych do poziomu ryzyka (art. 32 ust. 1 RODO).
Przy korzystaniu z zewnętrznych usług – zarówno portali, jak i agencji – konieczne jest każdorazowe rozważenie podpisania umowy powierzenia przetwarzania danych osobowych.
