Rekrutacja pracowników a nowe unijne przepisy o ochronie danych osobowych

Nowe unijne przepisy dotyczące ochrony danych osobowych wymuszają też zmiany w procesach naboru pracowników – przekonuje ekspert.

Aktualizacja: 05.10.2017 09:17 Publikacja: 05.10.2017 07:49

Rekrutacja pracowników a nowe unijne przepisy o ochronie danych osobowych

Foto: 123RF

Rozporządzenie Parlamentu Europejskiego i Rady 2016/679 (RODO), które zacznie obowiązywać od 25 maja 2018 r., przynosi szereg istotnych zmian w obszarze ochrony danych osobowych oraz szeroko pojętej prywatności osób fizycznych. RODO wymaga traktowania przetwarzania danych jako ciągłego procesu, którego każda część składowa – odpowiednia dokumentacja, procesy organizacyjne, systemy IT, świadomość pracowników – jest równie istotna. To wymusza na administratorach zapewnienie stałej ochrony danych oraz konieczność szybkiego reagowania na naruszenia bezpieczeństwa danych i na żądania osób, których dane dotyczą (np. żądanie usunięcia informacji ich dotyczących).

Nowelizacja prawa dotyczy również danych przetwarzanych w związku z zatrudnieniem. Każdy podmiot, który zatrudnia pracowników, pozyskuje szereg informacji dotyczących kandydatów do pracy. Pierwsze dane osobowe kandydatów na pracowników pracodawca otrzymuje wraz z nadesłanym CV.

Warto zatem wskazać na przykładowe dobre praktyki, jakie może przyjąć dział HR w związku z rekrutacją, aby przetwarzanie danych było od początku efektywne i bezpieczne.

Jednorazowo czy wielokrotnie?

Powszechne, lecz niezgodne z wymogami RODO, jest przechowywanie przez pracodawców CV kandydatów do pracy przez okres dłuższy niż czas trwania danego postępowania rekrutacyjnego. Jak wskazuje europejski organ doradczy w sprawach ochrony danych osobowych – Grupa Robocza art. 29 – w opinii 2/2017 w sprawie przetwarzania danych w pracy, co do zasady dane kandydatów powinny być usuwane w momencie, w którym pracodawca zadecyduje o niezłożeniu oferty zatrudnienia pracownikowi. Jeżeli natomiast pracodawca chciałby przetwarzać takie dane przez dłuższy okres, np. dla potrzeb kolejnych rekrutacji, powinien mieć ku temu odpowiednią podstawę prawną (np. zgodę kandydata).

Dobrą praktyką może być pozostawienie kandydatowi możliwości wyboru, czy swoje dane chce przekazać na potrzeby jednego czy większej liczby rekrutacji, wraz z określeniem maksymalnego okresu przechowywania CV (ustalanego w zależności od okoliczności, np. jednego roku). Daje to kandydatowi kontrolę nad swoimi danymi osobowymi, a pracodawcy pozwala na praktyczną realizację zasady rozliczalności (tj. wykazania, że przetwarza dane zgodnie z prawem) w odniesieniu do danych zbieranych w procesie rekrutacji. Należy również umożliwić kandydatowi wycofanie zgody.

Ostrożnie przy poleceniu

Często spotykaną praktyką w dużych organizacjach jest system polecania kandydatów do pracy przez osoby z wewnątrz organizacji (innych pracowników). Przy zbieraniu danych osobowych w taki sposób dział HR powinien również mieć na względzie konieczność spełnienia obowiązku informacyjnego wobec poleconego kandydata. Zakres informacji może różnić się w zależności od tego, czy CV pracodawca pozyska od osoby trzeciej czy bezpośrednio od kandydata. Z tego względu warto jest przygotować odpowiednią procedurę rekrutacji wewnętrznej, w której zostanie określony sposób prowadzenia rekrutacji oraz przekazywania danych kandydatów, a także zakres i sposób realizacji obowiązku informacyjnego.

Obsługa procesów rekrutacyjnych na większą skalę wymaga często zawierania umów z podmiotami takimi, jak agencje rekrutacyjne lub portale zewnętrzne, przez które kandydaci mogą aplikować do firmy. W zależności od rodzaju świadczonych usług wymiana danych pomiędzy pracodawcą a usługodawcą może przybrać postać relacji dwóch administratorów lub też administratora oraz podmiotu przetwarzającego dane osobowe na zlecenie. Konieczne jest zatem dokonanie przeglądu zawartych umów oraz analiza struktury, w jakiej następuje wymiana danych osobowych w celu określenia wymogów, jakim powinna odpowiadać umowa powierzenia przetwarzania danych (w relacji administrator – podmiot przetwarzający) lub dokumentacja przewidująca udostępnienie danych (w relacji dwóch administratorów). Niezależnie od powyższego, dział HR powinien także rozważyć stworzenie rejestru podmiotów, którym powierza lub udostępnia dane osobowe. Rejestr taki pozwoli na identyfikację, jakie dane zostały udostępnione konkretnym podmiotom. Precyzyjne ustalenie takich informacji umożliwi odpowiednio szybką reakcję w przypadku naruszenia bezpieczeństwa danych lub otrzymania przez kandydata na pracownika żądania dotyczącego jego danych.

Wspólna rekrutacja

Częstą praktyką w dużych organizacjach jest obsługa procesów rekrutacyjnych przez dział HR funkcjonujący jedynie u jednego pracodawcy (administratora danych) dla kilku podmiotów w grupie spółek. Sytuacja ta rodzi konsekwencje na gruncie ochrony danych osobowych. Jeżeli bowiem kilku administratorów wspólnie ustala cele i sposoby przetwarzania, stają się oni współadministratorami w odniesieniu do takich danych. Tacy współadministratorzy powinni dokonać odpowiednich uzgodnień i określić w nich zakresy odpowiedzialności za dane kandydatów do pracy. Kandydaci powinni być powiadomieni o zasadniczej treści takich uzgodnień (np. poprzez informację zamieszczoną na stronie internetowej spółki prowadzącej procesy rekrutacyjne). Taki wysiłek organizacyjny może okazać się korzystny, ponieważ wyłącza obowiązek zawierania, a następnie odpowiedniego weryfikowania i aneksowania umów powierzenia przetwarzania danych osobowych pomiędzy spółkami z grupy.

Autor jest prawnikiem w Zespole Prawa Pracy Kancelarii Dentons

Rozporządzenie Parlamentu Europejskiego i Rady 2016/679 (RODO), które zacznie obowiązywać od 25 maja 2018 r., przynosi szereg istotnych zmian w obszarze ochrony danych osobowych oraz szeroko pojętej prywatności osób fizycznych. RODO wymaga traktowania przetwarzania danych jako ciągłego procesu, którego każda część składowa – odpowiednia dokumentacja, procesy organizacyjne, systemy IT, świadomość pracowników – jest równie istotna. To wymusza na administratorach zapewnienie stałej ochrony danych oraz konieczność szybkiego reagowania na naruszenia bezpieczeństwa danych i na żądania osób, których dane dotyczą (np. żądanie usunięcia informacji ich dotyczących).

Pozostało 88% artykułu
2 / 3
artykułów
Czytaj dalej. Subskrybuj
Opinie Prawne
Marek Kobylański: Dziś cisza wyborcza jest fikcją
Materiał Promocyjny
Wykup samochodu z leasingu – co warto wiedzieć?
Opinie Prawne
Tomasz Pietryga: Reksio z sekcji tajnej. W sprawie Pegasusa sędziowie nie są ofiarami służb
Opinie Prawne
Robert Gwiazdowski: Ideowość obrońców konstytucji
Opinie Prawne
Jacek Czaja: Lustracja zwycięzcy konkursu na dyrektora KSSiP? Nieuzasadnione obawy
Materiał Promocyjny
Jak kupić oszczędnościowe obligacje skarbowe? Sposobów jest kilka
Opinie Prawne
Jakubowski, Gadecki: Archeolodzy kontra poszukiwacze skarbów. Kolejne starcie