Kto z nas nie odwiedził choć raz portalu internetowego, pośredniczącego w rekrutacji poprzez udostępnienie ogłoszeń pracodawców i formularzy aplikacyjnych dla potencjalnych kandydatów do pracy?
Każdy kto kiedykolwiek poszukiwał pracy za pośrednictwem takich serwisów rekrutacyjnych musiał spotkać się z ogłoszeniami w stylu:
„Dynamicznie rozwijająca się firma z branży X poszukuje pracownika na stanowisko Y… Zainteresowanych prosimy o przesyłanie CV ze zdjęciem i listem motywacyjnym na adres: rekrutacja@noname.pl”
W dobie RODO należy postawić sobie pytanie – czy tak można?
Odpowiedź jest tylko jedna – nie. Przychodzi nam z nią art. 13 RODO, który stanowi, że każdy administrator – w tym także każdy potencjalny pracodawca – który gromadzi dane od kandydatów do pracy, musi ich poinformować o:
- pełnej nazwie i adresie swojej siedziby,
- danych kontaktowych inspektora ochrony danych (o ile go wyznaczył),
- celu przetwarzania danych oraz podstawie prawnej przetwarzania,
- znanych mu w chwili gromadzenia danych odbiorcach danych (rozumianych szeroko) lub ich kategoriach,
- zamiarze transgranicznego przetwarzania danych (o ile taki istnieje),
- okresie, przez który dane będą przetwarzane bądź kryteriach ustalania tego okresu,
- przysługujących jej prawach do żądania dostępu do danych, w tym otrzymania ich kopii, ich sprostowania, usunięcia lub ograniczenia ich przetwarzania,
- prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem (jeżeli dane są zbierane na podstawie zgody),
- prawie wniesienia skargi do Prezesa UODO,
- dobrowolności lub obowiązku podania danych i konsekwencjach ich nie podania.
W rekrutacjach ślepych, potencjalny pracodawca nie ujawnia zaś swojej tożsamości, przez co już uchybia obowiązkowi informacyjnemu, o którym mowa powyżej.
Co więcej, taki obowiązek informacyjny wobec kandydata do pracy powstaje już w momencie pozyskiwania tych danych, a informacja o przetwarzaniu danych musi być sformułowana jasno, transparentnie, prostym i zrozumiałym dla odbiorcy językiem.
Najlepszym rozwiązaniem jest umieszczenie odpowiedniej klauzuli przy formularzu kontaktowym służącym do pozyskiwania danych kandydatów lub w miejscu służącym do przesyłania plików z CV i listów motywacyjnych. Co ważne, należy zadbać nie tylko o to, aby umieścić właściwe dane obok formularza kontaktowego, ale także o to, aby sprostać wymogowi rozliczalności, który stawia przed nami RODO, to znaczy móc udowodnić, że zapoznaliśmy kandydata z zasadami przetwarzania danych osobowych przez nas stosowanymi. W praktyce najpopularniejszym rozwiązaniem stosowanym przez administratorów danych jest uzależnienie wysłania aplikacji rekrutacyjnej od zaznaczenia przez kandydata odpowiedniego checkboxa, przy którym zwykle umieszczana jest informacja w stylu: „Oświadczam, iż zapoznała/em się z zasadami przetwarzania danych osobowych u Administratora”.
Z powyższego wynika, że w tzw. rekrutacjach ukrytych czy „ślepych”, w których pracodawca pozostaje anonimowy nie można uznać za zgodne z przepisami o ochronie danych osobowych, gdyż kandydat do pracy na etapie powierzania danemu podmiotowi swoich danych osobowych nie wie, kto dokładnie gromadzi i przetwarza jego dane, a także nie zostaje mu zagwarantowana w sposób właściwy możliwość realizacji jego praw dotyczące przetwarzania, w tym, np. prawa do sprostowania danych.
Wydaje się nie być wystarczającym przesyłanie kandydatom do pracy odpowiedniej klauzuli informacyjnej na adres poczty elektronicznej – w wiadomości zwrotnej niezwłocznie po wysłaniu przez nich aplikacji na oferowane stanowisko pracy. RODO bowiem zastrzega powstanie obowiązku informacyjnego już na etapie zbierania a nie utrwalania danych.
Patrząc szerzej, w regulacjach RODO znajdziemy nie tylko gwarancje realizacji naszych praw, ale także zabezpieczenie przed – tak powszechnym dzisiaj – wyłudzaniem danych osobowych i bezprawnym ich pozyskiwaniem.
Czy wobec tego nie jest już możliwym poszukiwanie pracowników bez ujawnienia swojej tożsamości? Owszem, jest to możliwe, ale w nieco innym modelu rekrutacyjnym.
Jeżeli pracodawcy bardzo zależy na zachowaniu anonimowości – choćby we wstępnej fazie rekrutacji – może on skorzystać z usług podmiotów zawodowo zajmujących się pozyskiwaniem pracowników, np. agencji zatrudnienia. W początkowej fazie rekrutacji taka agencja korzysta ze statusu administratora danych osobowych i to ona wówczas wypełnia wobec kandydatów do pracy obowiązek informacyjny. Po wstępnej preselekcji kandydatur agencja winna jednak – przed przystąpieniem do przekazania danych właściwemu pracodawcy – powiadomić kandydatów o danych potencjalnego pracodawcy, a także pozyskać ich zgodę na przekazanie danych do wskazanych podmiotów. Wtedy to po stronie pracodawcy właściwego powstaje obowiązek informacyjny w oparciu już o art. 14 a nie 13 RODO. Oczywiście kandydat po zapoznaniu się z tożsamością pracodawcy właściwego może nie wyrazić zgody na przekazanie swoich danych na dalszy etap rekrutacji, co będzie równoznaczne z zakazem przekazania jego danych przez agencję zatrudnienia.
Warto pamiętać także, że jeżeli podmiot zajmuje się publikacją ogłoszeń o pracę jedynie w imieniu i na rzecz pracodawcy, będzie musiał zawrzeć z pracodawcą umowę powierzenia przetwarzania danych – zgodną z wymogami art. 28 RODO.
ROD(e)O 