Dane osobowe w rekrutacji pracowników – 2

Dane osobowe w rekrutacji pracowników to coś, co wiąże się bezpośrednio z przebiegiem zatrudnienia. Niniejszy artykuł, omawiający właśnie dane osobowe w rekrutacji pracowników to druga część naszego poradnika Zatrudnianie pracowników krok po kroku. W kolejnej części już niebawem omówimy rodzaje umów o pracę – którą wybrać, ile umów o pracę na okres próbny czy czas określony można zawierać i jak to generalnie najkorzystniej „rozegrać”.

A teraz, zanim w ogóle omówimy, jakich danych osobowych można żądać od pracownika czy kandydata w procesie rekrutacji, zacznijmy od obowiązków pracodawcy w kontekście gromadzenia i przetwarzania danych osobowych w rekrutacji pracowników, a także potem w realizacji zatrudnienia.

O przetwarzaniu danych osobowych kandydatów do zatrudnienia i pracowników mówimy szerzej w naszym szkoleniu online – Kurs online RODO w kadrach i rekrutacji

Gdyby to zagadnienie zainteresowało Cię szerzej, to zapraszamy do udziału w naszym szkoleniu: szkolenie online RODO z zaświadczeniem MEN (zapoznaj się z pełnym programem szkolenia). O samej rekrutacji z kolei, w takim podstawowym zakresie, mówimy również w naszym szkoleniu: rekrutacja i selekcja szkolenie online

Dane osobowe w rekrutacji pracowników a przepisy RODO

Omawiając kwestię danych osobowych, jakie pracodawca może pozyskiwać od pracowników a przyszły pracodawca od kandydatów do zatrudnienia należy w pierwszej kolejności zwrócić uwagę na jedną istotną rzecz – pracodawca czy przyszły pracodawca jako administrator danych osobowych, jakie pozyskał od pracownika czy kandydata do pracy ma wobec tych osób fizycznych pewne obowiązki informacyjne. Obowiązki te nakłada na pracodawcę czy zatrudniającego bezpośrednio RODO – ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Stosownie do art. 13 RODO pracodawca, pozyskując dane osobowe w rekrutacji pracowników, ma obowiązek podać następujące informacje:

1. swoją tożsamość i dane kontaktowe, a także, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela,
2. dane kontaktowe inspektora ochrony danych, jeżeli taki został powołany (obowiązek powołania wynika z art. 37 RODO, ale administrator może to zrobić także dobrowolnie),
3. cele oraz podstawę prawną przetwarzania danych osobowych,
4. dane odbiorców danych osobowych lub informacje o kategoriach odbiorców, jeżeli administrator ma zamiar udostępniać zebrane dane innym podmiotom,
5. informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej (jeżeli ma to zastosowanie),
6. okres przechowywania danych albo kryteria ustalania tego okresu (opis sytuacji lub zdarzenia, wystąpienie których wpłynie na okres przechowywania danych),
7. informacje o prawie do żądania od administratora dostępu do danych osobowych, prawie do ich sprostowania, usunięcia lub ograniczenia przetwarzania, o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,
8. informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem, jeżeli przetwarzanie odbywa się na podstawie zgody (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO),
9. informacje o prawie wniesienia skargi do organu nadzorczego państwa członkowskiego (do Prezesa Urzędu Ochrony Danych Osobowych),
10. informację czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych,
11. informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą,
12. informację o tym innym celu, jeżeli administrator planuje dalej przetwarzać dane osobowe w celu innym niż cel.

Oprócz powyższych pracodawca jako administrator danych osobowych musi poinformować kandydata czy już zatrudnionego pracownika, w jakim okresie te dane osobowe będą przetwarzane, poinformować o prawie do wniesienia skargi do organu nadzorczego, wskazać, czy przetwarzanie danych jest obowiązkiem ustawowym itp. Dane osobowe w rekrutacji pracowników podlegają dokładnie takiej samej ochronie, jak każde inne dane osobowe, nie ma tu znaczenia, że kandydat chce podjąć zatrudnienie, w jego interesie jest przetwarzanie jego danych osobowych itp. Należy o tym pamiętać.

Przekazanie powyższych informacji kandydatowi do zatrudnienia przez przyszłego pracodawcę odbywa się z reguły poprzez doręczenie informacji dla osoby ubiegającej się o zatrudnienie o przetwarzaniu danych osobowych. Taka informacja nie musi mieć specjalnej formy – wskazuje się w niej, kto jest administratorem danych osobowych, wskazuje osobę Inspektora Ochrony Danych osobowych (jeśli w danym zakładzie pracy został powołany), wskazuje cel przetwarzania danych (przetwarzanie danych w rekrutacji pracowników) oraz informuje, że dane będą przetwarzane do zakończenia przebiegu rekrutacji, a także wskazuje możliwość wniesienia skargi do prezesa Urzędu Ochrony Danych Osobowych.

Co istotne – w procesie rekrutacji pracodawca musi podać swoje dane – nie może być tak, że kandydat ubiega się o zatrudnienie nie znając danych pracodawcy jako administratora danych osobowych. RODO wymaga od pracodawcy, aby w procesie rekrutacji stosował się do pewnych ograniczeń – dane osobowe może gromadzić wyłącznie w konkretnym celu, konkretnym zakresie (więcej o nim za chwilę), te dane osobowe w rekrutacji pracowników muszą być adekwatne i ograniczone do tego, co jest pracodawcy rzeczywiście niezbędne do wybrania odpowiedniego kandydata i zatrudnienia go. Oczywiście te dane muszą być odpowiednio przechowywane i zabezpieczone, samo ich przetwarzanie również musi gwarantować odpowiedni poziom bezpieczeństwa danych osobowych.

Mając na uwadze powyższe w procesie rekrutacji pracodawca, działając jako administrator danych osobowych ma obowiązek poinformowania o swojej tożsamości, a gdy zleca przeprowadzenie rekrutacji jakiejś np. agencji headhuntingowej, to taki obowiązek ujawnienia tożsamości ma ta agencja. Ma ona również obowiązek poinformowania, że dane osobowe w rekrutacji pracowników są przekazywane podmiotom trzecim (pracodawcy) i wskazać dane tego pracodawcy.

Należy o tym bezwzględnie pamiętać. Zgodnie bowiem z art. 83 ust. 5 RODO naruszenie obowiązku informacyjnego może być podstawą do nałożenia na pracodawcę grzywny w wysokości do 20 mln Euro albo do 4% jego rocznego obrotu z roku poprzedniego.

Dane osobowe w rekrutacji pracowników – jakich danych można żądać od kandydata do zatrudnienia?

O tym, jakich danych pracodawca może żądać od kandydata do zatrudnienia decyduje przepis art. 22(1) §1 i §2 kodeksu pracy. Stosownie do powołanego przepisu dane osobowe w rekrutacji pracowników obejmują takie dane, jak:

Art. 22(1). § 1. Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:

1. imię (imiona) i nazwisko;
2. datę urodzenia;
3. dane kontaktowe wskazane przez taką osobę;
4. wykształcenie;
5. kwalifikacje zawodowe;
6. przebieg dotychczasowego zatrudnienia.

Co bardzo ważne – jeśli prowadząc proces rekrutacji na dane stanowisko pracodawca nie musi żądać np. danych o wykształceniu czy kwalifikacjach, gdyż nie ma ono dla niego znaczenia, to te dane osobowe w rekrutacji pracowników są zawężane do imienia i nazwiska, daty urodzenia, danych kontaktowych oraz przebiegu dotychczasowego zatrudnienia. Należy bowiem mieć na względzie unormowanie przepisu art. 5 ust. 1 lit c) rozporządzenia RODO, czyli wyrażoną w tym przepisie zasadę minimalizacji danych osobowych (gromadzimy wyłącznie te dane osobowe, które są niezbędne, a te dane, które są zbędne, nie powinny być gromadzone, gdyż nie ma dla nich celu przetwarzania).

Od razu jedna ważna informacja – może się okazać, że dane osobowe w rekrutacji pracowników pracodawca na etapie samej rekrutacji zawęził, np. nie gromadził od kandydatów danych o wykształceniu, gdyż nie były mu zupełnie potrzebne. Po zatrudnieniu kandydata okazuje się jednak, że dane te są niezbędne, choćby do ustalenia stażu urlopowego pracownika i jego wymiaru urlopu (czy pracownik ma za rok kalendarzowy urlop wypoczynkowy 20 czy 26 dni). Nie ma przeszkód, aby wówczas te dane od pracownika pozyskać – podstawą do pozyskania tych danych osobowych jest chociażby interes osoby fizycznej (pracownika), której dane osobowe dotyczą.

Należy jeszcze zwrócić uwagę na jedną rzecz, mającą wpływ na dane osobowe w rekrutacji pracowników. Stosownie do art. 22(1) §4 kodeksu pracy pracodawca żąda podania innych danych osobowych niż określone w § 1 i 3 (czyli te wskazane powyżej – jeśli dotyczą kandydata do zatrudnienia), gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Oznacza to, że katalog danych osobowych w procesie rekrutacji, jakich pracodawca może od kandydata do zatrudnienia pozyskać, zostaje rozszerzony, jeśli ze względu na obowiązki pracodawcy jest to dopuszczalne. Przykładowo, jeśli pracodawca chce zatrudnić pracownika ochrony, który zgodnie z ustawą o ochronie osób i mienia musi być osobą niekaralną, to pracodawca ma prawo żądać od takiego kandydata oświadczenia o niekaralności.

Co ważne – oświadczenia o niekaralności, a niekoniecznie już zaświadczenia z Krajowego Rejestru Karnego (tzw. karty karnej). Takie oświadczenie kandydat składa pod groźbą odpowiedzialności karnej za złożenie fałszywych zeznań. Oczywistym jest również, iż złożenie takiego fałszywego oświadczenia może być podstawą do rozwiązania z pracownikiem stosunku pracy w trybie dyscyplinarnym, bez zachowania okresu wypowiedzenia. Należy nadmienić, iż dane dotyczące skazań są danymi szczególnej kategorii w świetle przepisów RODO.

Dane osobowe w procesie rekrutacji mogą obejmować również kwestie związane z uprawnieniami pracownika. Przykładowo, jeśli pracodawca zamierza zatrudnić operatora wózka widłowego, to musi mieć pewność, że kandydat posiada stosowne uprawnienia do obsługi wózków widłowych. A aby to zweryfikować, może zażądać od niego okazania dokumentu potwierdzającego te uprawnienia, ich ważność itp.

Uwaga – jeśli mimo żądania przez zatrudniającego podania tych szerszych danych osobowych, np. dotyczących niekaralności czy posiadanych uprawnień kandydat nie przedłoży tych danych, chociaż zatrudniający ma interes prawny w tym, by te dane pozyskać, taka kandydatura może zostać pominięta w procesie rekrutacji, a zatrudniającemu nie grożą z tego tytułu żadne konsekwencje, np. związane z zakazem dyskryminacji.

Powstaje pytanie, czy jeśli dane osobowe w rekrutacji pracowników wykraczają poza zakres, wskazany w art. 22(1) kodeksu pracy, to czy na ich przetwarzanie wymagana jest dodatkowa zgoda kandydata do zatrudnienia. Taką sytuację reguluje przepis art. 22(1a) kodeksu pracy – zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22(1) § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 rozporządzenia RODO (czyli danych osobowych dotyczących skazań i naruszeń prawa).

Do przetwarzania danych osobowych, takich jak imię i nazwisko, dane kontaktowe itd. pracodawca ma podstawę prawną – art. 22(1) kodeksu pracy. Natomiast dane osobowe dotyczące pochodzenia rasowego czy etnicznego, przekonań religijnych czy światopoglądowych, przynależność do związków zawodowych, dane biometryczne (np. wizerunek pracownika) czy dane osobowe dotyczące orientacji seksualnej mogą być przetwarzane wyłącznie wówczas, gdy ich przekazanie nastąpi z inicjatywy samego kandydata – osoby fizycznej, której te dane dotyczą.

Jeśli dana osoba nie chce przekazać tych danych osobowych, to absolutnie nie może to być podstawą do wyciągania wobec niej jakichkolwiek negatywnych konsekwencji. Dane osobowe w rekrutacji pracowników są chronione na takich samych zasadach, jak wszędzie indziej – obowiązują tu zasady minimalizacji danych. Jeśli kandydat do zatrudnienia nie chce podawać danych, które w procesie rekrutacji są zbędne, to pracodawca nie może ich żądać.

Należy pamiętać, że jeśli podstawą do przetwarzania danych osobowych nie jest przepis prawa (czyli np. art. 22(1) kodeksu pracy), ale zgoda osoby, której te dane osobowe dotyczą, to pracodawca jako administrator musi być w stanie udowodnić, że taką zgodę pozyskał. Warto zatem, przetwarzając dane osobowe w rekrutacji pracowników inne niż wskazane w art. 22(1) kodeksu pracy pozyskać taką zgodę na piśmie. Treść nie jest regulowana przepisami – wystarczy, że pracownik napisze, że wyraża zgodę na przetwarzanie jego danych osobowych, o których mowa w art. 9 ust. 1 RODO przez pracodawcę – Omega sp. z o.o.

Na zakończenie jeszcze zagadnienia, jakim są dane osobowe w rekrutacji pracowników warto wspomnieć, iż jeśli w danym procesie rekrutacji na dane stanowisko kandydat nie zostanie zatrudniony, to te zgody, które wyraził na przetwarzanie jego danych osobowych dotyczą co do zasady tego konkretnego procesu rekrutacji na to konkretne stanowisko. Każda kolejna rekrutacja będzie wymagać ponownych zgód (chyba, że kandydat niejako z góry wyrazi zgodę na przetwarzanie jego danych osobowych w procesie rekrutacji obecnym i przyszłych w tym konkretnym zakładzie pracy).

Niebawem wrócimy do tematu, omawiając dokumenty w procesie rekrutacji i związane z zatrudnieniem pracownika.

Zapraszamy również do zapoznania się z naszą pełną ofertą szkoleniową, gdzie osoby zainteresowane znajdą nie tylko szkolenia z zakresu kadr i płac, ale również szkolenia dla pracowników biurowych i administracji, np. szkolenie pracownik administracyjno-biurowy – kurs online z zaświadczeniem MEN.