W związku z rosnącym rozwojem gospodarczym pracodawcy stale poszukują pracowników, którzy będą mieć realny wpływ na rozwój ich przedsiębiorstw. Kadry to w chwili obecnej nie tylko naliczanie wynagrodzeń i kontrola ewidencji pracy, ale również profesjonalne zespoły rekrutacyjne, które skupiają się na poszukiwaniu i zatrudnianiu pracowników, którzy będę w przyszłości tworzyć realną wartość dla pracodawców. W jaki sposób przeprowadzić rekrutację, aby nie naruszyć przepisów RODO? Jakie dane osobowe mogą być gromadzone przez pracodawcę w trakcie rekrutacji, a które z nich należy niezwłocznie usunąć? Czy rekrutacje ukryte są zgodne z RODO? Jaki jest okres przechowywania CV? Odpowiedzi na ww. pytania znajdą Państwo w poniższym artykule.

Zakres danych osobowych gromadzonych podczas rekrutacji

Zgodnie z art. 22(1) §1 ustawy z dnia 26 czerwca 1974 r. Kodeks pracy pracodawca żąda od kandydata do pracy podania danych osobowych takich jak: imię (imiona) i nazwisko, data urodzenia, dane kontaktowe (wskazane przez kandydata!), a w przypadku, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku również informacji o wykształceniu, kwalifikacjach zawodowych oraz przebiegu dotychczasowego zatrudnienia.

Zgodnie z orzecznictwem Sądu Najwyższego (wyrok SN.z 11.1.2017, sygn. I PK 25/16) przebieg dotychczasowego zatrudnienia rozumiany jest również jako informacja dot. zatrudnienia na podstawie umowy cywilnoprawnej lub czas prowadzenia działalności gospodarczej. W odniesieniu natomiast do danych kontaktowych przekazywanych przez samego kandydata należy wskazać, że ma on pełną dowolność w tym zakresie, co oznacza, że jeżeli będzie chciał komunikować się z potencjalnym pracodawca wyłącznie za pośrednictwem poczty elektronicznej i adresu e-mail, to pracodawca nie może żądać od niego przekazania innych danych kontaktowych np. numeru telefonu, czy adresu zamieszkania.

Opracowując treść ogłoszenia o pracę i analizując zakres danych osobowych, które można uzyskać od kandydata do pracy, pracodawcy mogą posiłkować się wzorem formularza dla kandydata dostępnym na stronie internetowej Ministerstwa Pracy i Polityki społecznej pod adresem: https://www.gov.pl/web/rodzina/bip-pomocnicze-wzory-dokumentow-zwiazanych-z-ubieganiem-sie-o-zatrudnienie-nawiazaniem-zmiana-oraz-ustaniem-stosunku-pracy.

Porozmawiaj z ekspertem 🎯

Borykasz się z zagadnieniem, które tutaj poruszyłem? Skontaktuj się ze mną! Wspólnie znajdziemy najlepsze rozwiązanie dla Twojego biznesu.

Bezpłatna konsultacja

Czy kandydat do pracy może przekazać pracodawcy szerszy zakres informacji, aniżeli ten wymagany przez pracodawcę zgodnie z art. 22(1) §1 k.p. (np. wizerunek)?

Tak. Zgodnie z  art. 22 (1a) § 1 k.p. zgoda osoby ubiegającej się o zatrudnienie może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych,niż wymienione w art. 22(1) § 1, z wyjątkiem danych osobowych, o których mowa w art. 10 RODO (dane osobowe dotyczące wyroków skazujących i czynów zabronionych). Zgoda, o której mowa powyżej musi być dobrowolna, wyraźna, konkretna i świadoma, a przede wszystkim wyrażona w warunkach art. 7 RODO. Dobrą praktyką podczas tworzenia ofert pracy jest poinformowanie uprzednio kandydata o możliwości przekazania pracodawcy dodatkowych danych osobowych zwykłych oraz informacją, że podstawą prawną takiego przekazania danych będzie art. 6 ust. 1 lit.a) RODO, czyli dobrowolna zgoda kandydata, którą w każdej chwili może wycofać. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.

Przetwarzanie danych osobowych szczególnych kategorii

Co zatem z przetwarzaniem przez pracodawców danych osobowych szczególnej kategorii, w szczególności danych dot. zdrowia? Zdarza się, że kandydaci w ramach składanych aplikacji dołączają np. orzeczenia o niepełnosprawności lub przekazują informacje dot. swojej orientacji seksualnej, chcąc być w ten sposób przejrzystymi i transparentnymi wobec swojego (być może) przyszłego pracodawcy. Pracodawca na etapie rekrutacji nie powinien jednak przetwarzać danych dot. stanu zdrowia osoby, m.in. z uwagi na brak uzasadnionego celu przetwarzania. Informacja dotycząca zdolności do pracy jest co do zasady niezbędna dopiero na etapie zawarcia umowy o pracę, w ramach przeprowadzania badań wstępnych, o których mowa w art. 229 Kodeksu pracy.

Obowiązek przedłożenia orzeczenia dot. zdolności do wykonywania pracy wystawionego przez lekarza dotyczy wyłącznie osoby przyjmowanej do pracy, a więc kandydata, z którym faktycznie zostanie nawiązany stosunek pracy. Wyjątkiem od tej reguły mogą być sytuacje, w których przepisy szczególne wymagają uzyskania przez pracodawcę informacji o stanie zdrowia już na etapie rekrutacji. Przykładem może być rekrutacja do służby w Policji, gdzie wymóg przedstawienia danych dotyczących stanu zdrowia wynika wprost z przepisów prawa i jest uzasadniony charakterem przyszłej służby. W sytuacji, gdy pracodawca otrzyma na etapie rekrutacji dokumenty lub informacje dot. szczególnych kategorii, a obowiązek ich żądanie nie wynika wprost z przepisów prawa – powinien je niezwłocznie usunąć lub zwrócić kandydatowi.

Przetwarzanie danych dot. niekaralności

Pracodawcy są uprawnieni do żądania od kandydata do pracy informacji o niekaralności wyłącznie w odniesieniu do określonych stanowisk i tylko wówczas, gdy takie uprawnienie wynika wprost z przepisów prawa. Zgodnie z art. 6 ust. 1 pkt 10 ustawy z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym, prawo do uzyskania informacji o osobach, których dane osobowe zgromadzone zostały w Rejestrze, przysługuje pracodawcom w zakresie niezbędnym dla zatrudnienia pracownika, wobec którego z przepisów odrębnych wynika wymóg niekaralności, korzystania z pełni praw publicznych bądź konieczność ustalenia uprawnienia do zajmowania określonego stanowiska, wykonywania zawodu lub prowadzenia działalności gospodarczej.

Taka sytuacja będzie miała miejsce m.in. w przypadku zatrudniania pracowników w jednostkach sektora finansów publicznych lub na innych stanowiskach, dla których ustawowo przewidziano wymóg niekaralności. Co istotne, ustawodawca w art. 22¹a § 1 Kodeksu pracy wyraźnie wskazuje, że zgoda osoby ubiegającej się o zatrudnienie może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22¹ § 1 k.p., z wyjątkiem danych, o których mowa w art. 10 RODO. Oznacza to, że nawet jeśli kandydat z własnej inicjatywy przekaże pracodawcy oświadczenie lub zaświadczenie o niekaralności z Krajowego Rejestru Karnego – a pracodawca nie był uprawniony do żądania takiej informacji – dokument ten należy niezwłocznie usunąć z dokumentacji rekrutacyjnej.

Czy rekrutacja ukryta jest zgodna z RODO?

Rekrutacja ukryta budzi liczne wątpliwości wśród specjalistów zajmujących się ochroną danych osobowych. Wynika to z faktu, że w tego rodzaju procesach rekrutacyjnych kandydat na etapie składania aplikacji nie ma możliwości uzyskania informacji o tym, który podmiot jest administratorem jego danych osobowych ani kto może być ich odbiorcą. Takie stanowisko zostało potwierdzone przez Prezesa Urzędu Ochrony Danych Osobowych w „Poradniku dla pracodawców” opublikowanym w 2018 r.

Aby jednak umożliwić pracodawcom korzystanie z tej formy rekrutacji, można rozważyć przeprowadzenie procesu za pośrednictwem agencji zatrudnienia. W takiej sytuacji to agencja – na początkowym etapie rekrutacji – pełniłaby rolę administratora danych osobowych kandydatów, a dopiero po wyłonieniu określonej grupy osób mogłaby przekazać dane właściwemu pracodawcy, już w ramach ustalonych zasad współadministrowania lub powierzenia przetwarzania danych.

Przyjęcie takiego rozwiązania wymaga jednak każdorazowej analizy konkretnego przypadku oraz precyzyjnego określenia zasad współpracy pomiędzy zaangażowanymi podmiotami, tak aby zapewnić zgodność całego procesu z przepisami RODO.

Przez jaki czas pracodawcy mogą przetwarzać dane osobowe zawarte w aplikacjach rekrutacyjnych?

Początkowe stanowisko PUODO zawarte w poradniku dla pracodawców (2018) determinowało przyjęcie, że dane osobowe zgromadzone w ramach procesu rekrutacji należy usunąć bezpośrednio po zakończonej rekrutacji, chyba że kandydat wyraził zgodę na ich przetwarzanie do celów przyszłych rekrutacji. W lutym 2024 Naczelny Sąd Administracyjny w swoim orzeczeniu (sygn. akt III OSK 2700/22) wskazał, że możliwe jest przetwarzanie danych osobowych kandydata do pracy po zakończeniu procesu rekrutacji, jednakże przetwarzanie ograniczone powinno być wyłącznie do ich przechowywania (a nie np. kontaktowania się z kandydatem w celu zaproponowania mu udziału w kolejnych rekrutacjach). Przetwarzanie danych po zakończeniu rekrutacji nie powinno trwać dłużej, niż do upływu okresu przedawnienia ewentualnych roszczeń z tytułu dyskryminacji (3 lata wynikające z art. 291 § 1 k.p.).

Obowiązki pracodawców wynikające z RODO w ramach procesów rekrutacji

Poza precyzyjnym wskazaniem zakresu danych osobowych gromadzonych od kandydatów do pracy pracodawca zobowiązany jest do wypełnienia szeregu innych obowiązków wynikających z przepisów RODO takich jak spełnienie wobec kandydatów obowiązku informacyjnego z art. 13 RODO, uzupełnienie Rejestru Czynności Przetwarzania oraz dokonanie analizy ryzyka naruszenia praw i wolności osób, których dane dotyczą. W przypadku korzystania ze wsparcia podmiotów zewnętrznych niewykluczone, że konieczne będzie zawarcie umowy powierzenia przetwarzania danych osobowych z podmiotem realizujących lub chociażby wspierającym procesy rekrutacyjne.

Podsumowanie

Zasady ochrony danych osobowych w procesie rekrutacji wymagają od pracodawców dużej świadomości prawnej i organizacyjnej. RODO nie zabrania przetwarzania danych kandydatów, ale nakłada obowiązek, aby odbywało się to w sposób legalny, przejrzysty i proporcjonalny do celu. Pracodawca powinien przetwarzać wyłącznie te dane, które są niezbędne do oceny kwalifikacji kandydata i podjęcia decyzji o zatrudnieniu, a wszelkie dane wykraczające poza ten zakres – w tym dotyczące zdrowia, niekaralności czy życia prywatnego – mogą być przetwarzane tylko wtedy, gdy istnieje wyraźna podstawa prawna. Przestrzeganie zasad RODO to nie tylko obowiązek prawny – to również przejaw szacunku wobec kandydatów i istotny element reputacji organizacji na rynku pracy.

Patrycja Myśliwiec
PRAWNIK

Specjalizuję się w ochronie danych osobowych i bezpieczeństwie informacji. Od ponad 10 lat wspieram firmy i instytucje w zgodności z RODO, audytach oraz wdrażaniu systemów ochrony danych. Mam doświadczenie jako Inspektor Ochrony Danych i audytor. Pomagam organizacjom tworzyć bezpieczne i zgodne z prawem rozwiązania.

Skontaktuj się ze mną, chętnie odpowiem na Twoje pytania dotyczące naszej oferty i przedstawię rozwiązania dostosowane do Twojego biznesu.

Bezpłatna konsultacja