Podczas rekrutacji pracowników do pracodawcy trafiają dane osób ubiegających się o zatrudnienie. Czy możliwe jest przechowywanie danych kandydatów do pracy, którzy nie zostali zatrudnieni? Są to przecież chronione przez RODO dane osobowe. Czy można je zachować?
Dokumenty rekrutacyjne niezatrudnionych osób - co z nimi zrobić?
Pojawiło się sporo wątpliwości dotyczących tego, na jakich zasadach jest możliwe przechowywanie danych kandydatów do pracy. Czy można po zakończeniu rekrutacji zachować CV osoby, której nie zatrudniono? Na jakie przepisy się powołać?
Na wniosek Rzecznika Małych i Średnich Przedsiębiorstw, Minister Cyfryzacji wydał objaśnienia prawne dotyczące przechowywania danych niedoszłych pracowników. To pierwsze w Polsce formalne objaśnienia w oparciu o Konstytucję Biznesu.
Gdy kandydat zgodził się na udział tylko w jednej rekrutacji
Wielu kandydatów przesyła pracodawcom swoje dane (np. CV, list motywacyjny) w związku z konkretną rekrutacją. Nie wpisują oświadczenia, że dane można wykorzystać także w przyszłych rekrutacjach.
W takiej sytuacji:
-
dane można wykorzystać tylko w tej jednej, konkretnej rekrutacji;
-
nie ma potrzeby uzyskiwania zgody na przetwarzanie danych osobowych na potrzeby tej jednej rekrutacji. Podstawą przetwarzania danych są przepisy Kodeksu pracy i RODO;
-
nie można wykorzystać danych w przyszłych rekrutacjach, bo nie ma na to zgody kandydata;
-
po zakończeniu rekrutacji przechowywanie danych kandydatów jest możliwe w celu ochrony przed ewentualnymi roszczeniami (np. gdyby kandydat twierdził, że niezatrudnienie go było przejawem dyskryminacji).
Przechowywanie danych kandydatów do zakończenia rekrutacji
Jaka jest podstawa prawna przetwarzania danych podczas rekrutacji? Ministerstwo Cyfryzacji wskazuje przepisy Kodeksu pracy (art. 221 § 1 K.p.) oraz RODO ( art. 6 ust. 1 lit. b RODO). Dają one możliwość przetwarzania danych na potrzeby rekrutacji - do momentu jej zakończenia.
Co wynika z Kodeksu pracy? Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
-
imię (imiona) i nazwisko;
-
imiona rodziców;
-
datę urodzenia;
-
miejsce zamieszkania (adres do korespondencji);
-
wykształcenie;
-
przebieg dotychczasowego zatrudnienia.
Co jeśli pracownik podał więcej danych? Podstawą ich przetwarzania jest art. 6 ust. 1 lit. b RODO. Przetwarzanie danych jest wtedy uzasadnione “niezbędnością podjęcia działań przed zawarciem umowy”.
Po zakończeniu konkretnej rekrutacji, danych nie można wykorzystać w innych rekrutacjach. Można to zrobić tylko wtedy, gdyby kandydat się na to zgodził. Taki przypadek opisujemy w dalszej części artykułu.
Nie oznacza to, że dane trzeba wtedy zwrócić pracownikowi lub zniszczyć. Możliwe jest dalsze przechowywanie danych kandydatów - w celu ochrony przed ewentualnymi roszczeniami niezatrudnionej osoby. Ministerstwo Cyfryzacji wyjaśniło, jak powinno się to odbywać oraz na jakie przepisy się powołać.
Przechowywanie danych kandydatów po rekrutacji
To, że kandydat zgodził się na udział tylko w jednym naborze nie oznacza, że tych danych nie można wykorzystać do kolejnych rekrutacji. Ale pracodawca ma uzasadniony interes w tym, żeby danych się od razu nie pozbywać. Dlaczego?
Osoba, której nie zatrudniono, może np. uznać, że jest to dyskryminacja. I zażądać od przedsiębiorcy, który jej nie zatrudnił, odszkodowania. Pracodawca musi mieć możliwość obrony. Gdyby pozbył się wszystkich dokumentów z naboru pracowników, obrona byłaby trudna, a nawet niemożliwa. Dlatego może te dokumenty przechowywać. Podstawą prawną jest wtedy 6 ust. 1 lit. f RODO.
Jak długo przechowywać dane na wypadek roszczeń?
Nie trzeba zatem danych niedoszłego pracownika usuwać od razu po zakończeniu rekrutacji. Ale jak długo możliwe jest przechowywanie danych kandydatów?
Powinien to ocenić pracodawca. W tym celu powinien przeprowadzić ocenę ryzyka pojawienia się takich roszczeń. Powinna ona uwzględniać rzeczywiste zagrożenia. Okres przechowywania dokumentów powinien być jednak jak najkrótszy. Należy go określić w wewnętrznych procedurach.
Z reguły wystarczy kilka miesięcy na przechowywanie danych kandydatów po zakończeniu naboru.
Co jeśli z oceny wyjdzie, że ryzyko roszczeń jest wysokie? Przedsiębiorca może wtedy przechowywać dane osobowe kandydatów przez pełny, trzyletni okres przedawnienia. Może to mieć miejsce np. w przypadku bardzo porównywalnych kandydatur.
Ministerstwo Cyfryzacji wskazuje też, najczęściej dochodzi do dyskryminacji ze względu na płeć oraz stosunek do związków zawodowych. Trzeba więc ocenić, czy w naborze wzięli udział kandydaci, którzy mieli podobne kompetencje, ale równocześnie różnili się płcią czy ujawnionym stosunkiem do związków zawodowych. Jeśli ryzyko jest duże można stosować najdłuższy okres przechowywania dokumentów.
Zgoda kandydata na przyszłe rekrutacje
Wielu kandydatów z własnej inicjatywy przesyła dokumenty rekrutacyjne. Robią to nawet wtedy, gdy firma nie ogłasza naboru pracowników. Składając dokumenty od razu informują pracodawcę, że proszą o wykorzystanie dokumentów w przypadku, gdy w danym zakładzie pracy będzie organizowana jakakolwiek rekrutacja. Pozwala to na przechowywanie danych kandydatów.
Podstawą prawną gromadzenia przez pracodawcę takich dokumentów jest zgoda, wyrażona przez osobę ubiegającą się o zatrudnienie. Jeśli zgoda na wykorzystanie danych osobowych dla celów przyszłych rekrutacji wyrażona jest jedynie ustnie, może powstać problem dowodowy. Pracodawca może nie mieć możliwości wykazania, że faktycznie kandydat taką zgodę wyraził. Trudno wtedy w razie np. kontroli udowodnić, że przechowywanie danych kandydatów jest zgodne z prawem.
Przekazanie dokumentów do zakładu pracy wraz z informacją, że można je wykorzystać w naborach prowadzonych w przyszłości - jest wyrażeniem zgody na ich przetwarzanie. W takim przypadku przechowywanie danych kandydatów przez pracodawcę jest możliwe o czasu odwołania zgody przez osobę, która je przesłała. Wynika to z objaśnień Ministerstwa Cyfryzacji.
Przedsiębiorca powinien:
-
w każdym przypadku dokonać oceny, czy zakres gromadzonych w dokumentach danych nie wykracza poza cel związany z rekrutacją;
-
mieć dowód, że kandydat zgodził się na wykorzystanie danych w przyszłych rekrutacjach;
-
usunąć dokumenty przekazane przez kandydata, a co do których wiadomo, że z uwagi na ich treść nigdy w rekrutacji nie będą wykorzystane.
Obowiązek informacyjny pracodawcy - art. 13 RODO
Przedsiębiorca musi pamiętać o obowiązku informacyjnym, wynikającym z art. 13 RODO. Jeśli dostaje dokumenty rekrutacyjne i uzna, że w przyszłości być może skorzysta z danych kandydata na potrzeby rekrutacyjne, to tym samym ustala cel przetwarzania. To powoduje, że powinien wykonać obowiązek informacyjny z art. 13 RODO. Można tego uniknąć, zamieszczając wymagane przez art. 13 RODO informacje na stronie internetowej. Jeśli składający dokumenty mógł się z danymi uprzednio zapoznać, np. odwiedzając stronę internetową przedsiębiorcy, to nie trzeba mu tych informacji odrębnie przekazywać.
Przykłady i rekomendowane działania
Ministerstwo Cyfryzacji zamieściło w objaśnieniach trzy przykłady i zalecane działania, które objaśniają przechowywanie danych kandydatów do pracy.
Przykład 1. - pozostawienie CV na recepcji
Na recepcję firmy zgłasza się osoba, która jest zainteresowana pracą, mimo że w chwili obecnej nie jest prowadzona rekrutacja na żadne stanowisko. Chce jednak zostawić swoje CV, na którym nie ma pisemnej informacji, że zgadza się na przetwarzanie danych osobowych we wszystkich rekrutacjach w tej firmie – informuje o tym tylko ustnie recepcjonistkę.
Rekomendowane działanie:
Od takiej osoby należy odebrać w pisemnej formie utrwalonej dla celów dowodowych (np. odręczne oświadczenie na pozostawianych dokumentach) potwierdzenie zgody na przetwarzanie danych osobowych na potrzeby przyszłych rekrutacji organizowanych przez danego przedsiębiorcę (odbierającego oświadczenie), oraz dopełnić obowiązku informacyjnego na podstawie art. 13 RODO. Może być on zrealizowany poprzez zamieszczenie stosownej informacji na ladzie recepcji, o ile precyzyjnie informuje o treściach przewidzianych w art. 13 RODO. W ramach tego obowiązku należy poinformować m.in. o podstawie prawnej przetwarzania danych, tj. że jest nią art. 6 ust. 1 lit. a RODO. Mając na względzie udział tej osoby w przyszłych rekrutacjach oraz fakt, że osoba ta może nie uzyskać pracy w wyniku rekrutacji warto już na tym etapie zagwarantować sobie prawo do przetwarzania danych dla celów ewentualnego dochodzenia roszczeń - jako podstawę dla tego celu wskazując przy tej okazji również art. 6 ust. 1 lit. f RODO (tj. prawnie uzasadniony interes administratora).
Przykład 2. - e-mail do firmy z CV
Do firmy drogą mailową przesłane zostaje CV wraz z informacją w treści maila, że osoba chciałaby być uwzględniania w ewentualnych przyszłych rekrutacjach.
Rekomendowane działanie:
Wiadomość taka powinna zostać uznana za zgodę na przetwarzanie danych osobowych przez potencjalnego pracodawcę w celach związanych z organizacją naborów pracowników. Dodatkowo należy (podobnie jak we wcześniejszym przypadku) dopełnić obowiązku informacyjnego na podstawie art. 13 RODO. W ramach tego obowiązku należy poinformować m.in., o podstawie prawnej przetwarzania danych, tj. iż jest nią wspomniany wcześniej art. 6 ust. 1 lit. a RODO. Podobnie jak w sytuacji opisanej powyżej, mając na względzie udział tej osoby w przyszłych rekrutacjach oraz fakt, że osoba ta może nie uzyskać pracy w wyniku udziału w naborach, warto już na tym etapie zagwarantować sobie prawo do przetwarzania danych dla celów ewentualnego dochodzenia roszczeń - jako podstawę dla tego celu wskazując przy tej okazji również art. 6 ust. 1 lit. f RODO (tj. prawnie uzasadniony interes administratora).
Przykład 3. - CV do konkretnej rekrutacji
Do firmy zostaje przesłane CV w związku z jedną konkretną rekrutacją, bez informacji, że dana osoba chce brać udział w przyszłych procesach rekrutacji w danej firmie. Oferta pracy dotyczy kierowniczego stanowiska z wysokim wynagrodzeniem i istnieje ryzyko, że osoby, które nie zostaną wybrane będą domagały się wyjaśnień.
Rekomendowane działanie:
Od takiej osoby nie ma potrzeby uzyskiwania zgody na przetwarzanie jej danych osobowych. Podstawą przetwarzania w tym przypadku jest art. 221. § 1 Kodeksu pracy, a w zakresie dodatkowych danych - przede wszystkim niezbędność podjęcia działań przed zawarciem umowy tj. art. 6 ust. 1 lit. b RODO. Jeśli kandydat nie zostanie zatrudniony, potencjalny pracodawca nadal ma prawo do przechowywania danych w celu ochrony przed ewentualnymi roszczeniami. Takie dalsze przechowywanie danych osobowych wynika z prawnie uzasadnionych interesów (tj. na podstawie i z uwzględnieniem treści art. 6 ust. 1 lit. f RODO). Wystarczy zatem dopełnienie wobec tej osoby obowiązku informacyjnego z art. 13 RODO. Każdy ze wskazanych celów przetwarzania w tym przypadku wynika z innej podstawy prawnej, o czym należy poinformować kandydata.
