Co każdy rekruter powinien wiedzieć o danych osobowych i RODO?
Czym są dane osobowe według RODO?
Zgodnie z Rozporządzeniem o Ochronie Danych Osobowych (RODO), dane osobowe to wszelkie informacje pozwalające na identyfikację osoby fizycznej, bezpośrednio lub pośrednio. W kontekście rekrutacji są to między innymi:
- imię i nazwisko
- adres e-mail
- numer telefonu
- wykształcenie i przebieg zatrudnienia
- wizerunek kandydata (np. zdjęcie)
- inne dane podane w CV lub formularzu aplikacyjnym.
Warto pamiętać, że nawet jeśli pojedyncze dane, takie jak ukończona uczelnia, miasto zamieszkania i stanowisko pracy nie pozwalają bezpośrednio zidentyfikować kandydata, to ich łączne zestawienie może już prowadzić do identyfikacji konkretnej osoby fizycznej, zwłaszcza w wąskich grupach zawodowych czy branżowych.
Przykład: informacja o kandydacie, który ukończył niszowy kierunek na małej uczelni, mieszka w określonym mieście i pracuje w konkretnej firmie – może wystarczyć, by zidentyfikować go w lokalnym środowisku rekrutacyjnym.
Warto też wiedzieć, że RODO wyróżnia dane zwykłe oraz szczególne (wrażliwe), do których należą np. informacje o stanie zdrowia, poglądach politycznych czy przynależności do związków zawodowych. Ich przetwarzanie wymaga szczególnego uzasadnienia prawnego.
Podstawy prawne przetwarzania danych w rekrutacji
W procesie rekrutacji dane osobowe można przetwarzać na podstawie:
- art. 6 ust. 1 lit. b ROOD – gdy przetwarzanie jest niezbędne do podjęcia działań na żądanie osoby przed zawarciem umowy (np. kontakt z kandydatem)
- art. 6 ust. 1 lit. c RODO – gdy przetwarzanie jest wymagane przepisami prawa pracy (np. 221 par. 1 kp w przypadku zatrudnienia na podstawie umowy o pracę)
- art. 6 ust. 1 lit. a RODO – w szczególności, gdy kandydat podaje dane wykraczające poza niezbędne (np. zdjęcie, dane do przyszłych rekrutacji)
- art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora, ale nie dotyczy to danych wrażliwych.
Warto pamiętać, że zgoda kandydata musi być dobrowolna, świadoma i konkretna oraz jednoznaczna. Oznacza to, że kandydat musi mieć swobodę wyboru, być w pełni poinformowany o celu przetwarzania jego danych i wyraźnie wyrazić zgodę, bez żadnych wątpliwości. Dodatkowo, zgoda powinna być odrębna dla różnych operacji przetwarzania danych, jeśli jest to uzasadnione.
Prawidłowe pozyskiwanie danych od kandydatów
Kluczowym aspektem RODO jest zasada minimalizacji danych – zbieraj tylko informacje niezbędne do realizacji procesu rekrutacyjnego. Określ jasno cel przetwarzania danych, uzyskaj jednoznaczną zgodę kandydata na przetwarzanie danych, gdy jest wymagana (np. dla celów przyszłych rekrutacji) oraz poinformuj go o przysługujących mu prawach, takich jak prawo dostępu, poprawiania czy usuwania danych.
Nie wolno pozyskiwać danych wrażliwych, takich jak informacje o stanie zdrowia, przekonaniach religijnych, orientacji seksualnej, przynależności związkowej, chyba że istnieje wyraźna podstawa prawna i spełnione są warunki z art. 9 ust. 2 RODO (np. wyraźna zgoda – i to w bardzo ograniczonych przypadkach).
Obowiązki informacyjne rekrutera
RODO nakłada na pracodawców obowiązek poinformowania kandydatów o: tożsamości administratora danych, celach i podstawach prawnych przetwarzania, przewidywanym okresie przechowywania danych oraz potencjalnych odbiorcach tych informacji (wewnętrznych i zewnętrznych) oraz wspomnianych powyżej prawach. Pamiętaj, że informacje te muszą być przedstawione w sposób jasny, zwięzły i zrozumiały, np. poprzez klauzule w formularzu aplikacyjnym.
Czas i bezpieczeństwo przechowywania danych osobowych
Okres przechowywania danych osobowych powinien być ograniczony do czasu niezbędnego do realizacji celu przetwarzania. Dłuższe przechowywanie jest dopuszczalne jedynie za wyraźną zgodą kandydata na cele przyszłych rekrutacji.
Kwestia bezpieczeństwa przechowywania danych osobowych jest szczególnie istotna. Zgodnie z zasadą integralności i poufności, dane muszą być chronione przed nieuprawnionym dostępem. Obejmuje to m.in.:
- zabezpieczenia fizyczne (np. zamykane szafy),
- zabezpieczenia techniczne (np. szyfrowanie, hasła),
- szkolenia pracowników i regularne audyty procedur,
- ograniczenie dostępu tylko do osób, którym dane są rzeczywiście potrzebne.
Jak postępować w przypadku naruszenia ochrony danych?
Każde naruszenie ochrony danych osobowych wymaga natychmiastowej reakcji. Zgodnie z przepisami RODO, pracodawca ma obowiązek zgłosić takie zdarzenie, w ciągu 72 godzin od stwierdzenia naruszenia, organowi nadzorczemu (w Polsce jest to Prezes UODO), a także poinformować osoby, których dane dotyczą, jeśli naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności. Zaniedbania mogą skutkować poważnymi karami finansowymi i prawnymi.
Podsumowanie
Przestrzeganie przepisów RODO w rekrutacji to nie tylko spełnienie wymogów prawnych, ale również budowanie profesjonalnego wizerunku pracodawcy, który szanuje prywatność kandydatów. Rekruterzy, którzy wdrażają dobre praktyki związane z ochroną danych, zyskują zaufanie kandydatów, co przekłada się na ich pozytywne doświadczenia i długofalową współpracę. Pamiętaj, że odpowiedzialność za ochronę danych osobowych to także Twoja wizytówka jako specjalisty HR. Trzymaj się tych kluczowych zasad:
- Zbieraj tylko dane niezbędne – unikaj pytań o wiek, stan cywilny, dzieci, poglądy.
- Nie przetwarzaj danych wrażliwych, jeśli nie masz wyraźnej podstawy.
- Nie wymagaj zgód tam, gdzie nie są konieczne, ale tam, gdzie są – zadbaj o ich prawidłową treść wymaganą przepisami prawa.
- Realizuj obowiązek informacyjny – przekazuj pełną i zrozumiałą klauzulę informacyjną.
- Usuń dane po zakończeniu procesu, jeśli nie masz zgody na ich dalsze przetwarzanie.
