RODO, czyli inaczej Ogólne Rozporządzenie o Ochronie Danych Osobowych, to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679. Rozporządzenie obowiązuje w porządkach prawnych krajów członkowskich Unii Europejskiej od 25 maja 2018 r. Obowiązki w zakresie ochrony danych osobowych wynikające z rozporządzenia dotyczą wszystkich podmiotów, które przetwarzają dane w związku z prowadzoną działalnością gospodarczą.
💡 Najważniejsze wnioski
- Proces rekrutacyjny nierozerwalnie wiąże się z przetwarzaniem danych osobowych kandydatów i podlega pod RODO.
- Pracodawca ma obowiązek poinformować kandydata m.in. o celu zbierania danych, ich administratorze i prawach kandydata (tzw. obowiązek informacyjny).
- Brak specjalnej „klauzuli RODO” w wysłanym do pracodawcy CV zwykle nie stanowi problemu – samo wysłanie aplikacji z danymi w odpowiedzi na konkretne ogłoszenie jest już uznawane za zgodę.
- Gromadzenie CV „na zapas” do celów przyszłych rekrutacji bez wyraźnej i oddzielnej zgody kandydata na takie przetwarzanie jest niedozwolone.
W przypadku naruszenia obowiązków wynikających z RODO, podmiot naruszający może zostać ukarany sumą nawet 20 000 000 euro lub 4% jego całkowitego rocznego światowego obrotu.
Ochrona danych osobowych (RODO) w procesie rekrutacji
Ochrona danych osobowych w procesie rekrutacji pracownika
Niezależnie od tego, w jaki sposób pracodawca poszukuje kandydatów do pracy, procedura rekrutacyjna zawsze wiąże się z pozyskiwaniem i przetwarzaniem danych osobowych zawartych w dokumentach (CV, listy motywacyjne, referencje). Pracodawca, który prowadzi proces rekrutacyjny, ma obowiązek poinformować kandydatów o przetwarzaniu ich danych w sposób jasny i łatwo dostępny (np. w treści oferty o pracę). Należy przekazać m.in. informacje o:
- pełnej nazwie i adresie swojej siedziby,
- danych kontaktowych inspektora ochrony danych (jeśli został wyznaczony),
- odbiorcach danych,
- zamiarze transgranicznego przetwarzania danych,
- okresie, przez który dane będą przetwarzane,
- przysługujących prawach (dostępu do danych, ich poprawiania, usunięcia),
- prawie wniesienia skargi do Prezesa UODO,
- dobrowolności podania danych i konsekwencjach ich niepodania.
Pracodawca może zbierać jedynie przewidziane prawem dane osobowe; nie może ponadto gromadzić ich „na zapas” na poczet przyszłych rekrutacji, bez wyraźnej zgody kandydata.
Zgoda na przetwarzanie danych osobowych
Zgoda jest jedną z podstaw prawnych uprawniających do przetwarzania danych. Nie tylko klauzula RODO zamieszczona w dokumentach aplikacyjnych jest wyrazem zgody na przetwarzanie. Zgoda oznacza bowiem dobrowolne, konkretne, świadome i jednoznaczne okazanie pozwolenia – w formie oświadczenia lub wyraźnego działania potwierdzającego.
Zatem sama czynność wysłania CV do pracodawcy w odpowiedzi na ogłoszenie o pracę, wskazuje, że kandydat rozumie do jakiego podmiotu aplikuje i w jakim celu przekazuje dane. Tym samym wraz z wejściem w życie RODO zmienił się dotychczasowy obowiązek zamieszczania klauzuli w CV. Dziś gdy jej nie ma – nie stanowi to problemu.
Dane inne niż wymagane przez prawo pracy a zgoda w CV
Często kandydaci z własnej inicjatywy przekazują w CV więcej danych, niż wymaga tego prawo pracy. Ponieważ aplikacja kandydata stanowi świadomą odpowiedź na ogłoszenie, pracodawca może te dobrowolnie podane dane przetwarzać, nawet jeśli kandydat nie umieścił klauzuli. Jeżeli jednak dane te należą do kategorii danych wrażliwych (np. informacja o stanie zdrowia), a kandydat nie zawarł oddzielnej, wyraźnej zgody na ich przetwarzanie – pracodawca nie może ich przetwarzać i ma obowiązek je niezwłocznie usunąć.
RODO a zgoda na przyszłe rekrutacje
Inaczej kształtuje się sytuacja w przypadku wykorzystania danych kandydata na cele przyszłych rekrutacji. Jeżeli aplikujący nie wyraził na to wyraźnej zgody w CV, pracodawca nie może przetwarzać jego danych na zapas i powinien je całkowicie usunąć po zamknięciu aktualnej rekrutacji.
Przykłady klauzuli RODO do CV
Jeśli kandydat chce zagwarantować sobie udział w przyszłych naborach, wystarczy na dole CV dodać sformułowanie:
„Wyrażam zgodę na przetwarzanie moich danych osobowych w celu przeprowadzenia rekrutacji na aplikowane przeze mnie stanowisko. Jednocześnie wyrażam zgodę na przetwarzanie moich danych osobowych na cele przyszłych procesów rekrutacyjnych.”
Wycofanie zgody na przetwarzanie danych osobowych
Co istotne, kandydat musi być poinformowany o możliwości wycofania zgody w momencie pozyskania jego danych. Wycofanie powinno być łatwe i możliwe w dowolnym momencie. W przypadku zgłoszenia żądania usunięcia danych pracodawca traci uprawnienie do ich dalszego przetwarzania i jest zobowiązany do ich natychmiastowego wykasowania ze swoich systemów.