Dział HR zbiera CV kandydatów, przechowuje je miesiącami po zakończonym naborze i przekazuje część dokumentów kierownikowi zespołu bez większego zastanowienia nad podstawą prawną takiego działania. Tego rodzaju praktyki zdarzają się w wielu firmach, choć wiążą się z konkretnymi obowiązkami wynikającymi z przepisów o przetwarzaniu danych osobowych kandydatów do pracy. Ochrona danych osobowych obejmuje bowiem nie tylko relacje z klientami, ale też cały proces rekrutacyjny, od publikacji ogłoszenia po archiwizację dokumentów. W tym artykule wyjaśniamy, jakie zasady obowiązują pracodawcę na poszczególnych etapach rekrutacji oraz jak uniknąć najczęstszych błędów przy przetwarzaniu danych kandydatów.
Jakie dane pracodawca może zbierać od kandydata?
Zakres danych, których pracodawca może żądać od osoby ubiegającej się o pracę, jest ściśle określony przepisami prawa pracy oraz przepisami o ochronie danych osobowych. Poza podstawowymi informacjami, takimi jak imię, nazwisko czy dane kontaktowe, pracodawca nie powinien domagać się szczegółów wykraczających poza to, co jest niezbędne do oceny kwalifikacji kandydata.
Przepisy dopuszczają zbieranie danych o wykształceniu, przebiegu dotychczasowego zatrudnienia oraz kwalifikacjach zawodowych, natomiast dane dotyczące zdrowia, orientacji czy przekonań religijnych wymagają odrębnej podstawy prawnej. Umieszczenie w ogłoszeniu rekrutacyjnym prośby o dołączenie zdjęcia albo dodatkowych informacji osobistych, które nie mają związku ze stanowiskiem, bywa oceniane jako przekroczenie zakresu dopuszczalnego przetwarzania.
Jak długo można przechowywać dokumenty kandydatów?
Czas przechowywania danych zebranych w trakcie rekrutacji zależy od tego, czy kandydat wyraził zgodę na udział w przyszłych naborach, czy dokumenty dotyczą wyłącznie zakończonego procesu. Poniższa lista przedstawia sytuacje, które warto rozróżnić przy planowaniu polityki przechowywania danych rekrutacyjnych:
- dokumenty osoby zatrudnionej trafiają do akt osobowych i podlegają odrębnym zasadom archiwizacji;
- dane kandydatów niezakwalifikowanych powinny zostać usunięte po zakończeniu rekrutacji, jeśli nie wyrazili zgody na dłuższe przechowywanie;
- zgoda na udział w przyszłych naborach pozwala przechowywać dane przez czas w niej określony;
- brak wyraźnej podstawy prawnej do dalszego przechowywania danych oznacza obowiązek ich usunięcia.
Firmy, które przechowują CV kandydatów bez wyraźnej podstawy prawnej przez wiele miesięcy po zakończonym naborze, narażają się na zarzut przetwarzania danych niezgodnie z zasadą minimalizacji.
Jak wygląda proces reagowania na naruszenie w trakcie rekrutacji?
Naruszenie ochrony danych osobowych w procesie rekrutacyjnym może wynikać z pomyłki, na przykład wysłania listy kandydatów do niewłaściwego adresata, albo z ataku na system, w którym przechowywane są dokumenty. Reakcja na takie zdarzenie przebiega zwykle przez kilka etapów:
- Ustalenie zakresu naruszenia oraz liczby osób, których dane zostały ujawnione.
- Ocena ryzyka dla praw i wolności kandydatów, których dane dotyczą.
- Podjęcie decyzji o zgłoszeniu naruszenia do organu nadzorczego w terminie 72 godzin.
- Poinformowanie osób dotkniętych naruszeniem, jeśli ryzyko dla nich jest znaczące.
- Udokumentowanie zdarzenia oraz wdrożenie działań zapobiegających powtórzeniu się sytuacji.
Warto zaznaczyć, że nawet pomyłkowe wysłanie dokumentów do niewłaściwej osoby kwalifikuje się jako naruszenie w rozumieniu przepisów, choć jego skutki bywają mniej dotkliwe niż w przypadku celowego ataku na system.
Jakie konsekwencje grożą za nieprawidłowości w przetwarzaniu danych kandydatów?
Sankcje za naruszenie przepisów dotyczących danych kandydatów zależą od charakteru uchybienia oraz jego wpływu na osoby, których dane dotyczą. Poniższa tabela przedstawia przykładowe sytuacje oraz to, jakie konsekwencje mogą z nich wynikać.
| Rodzaj nieprawidłowości | Możliwa konsekwencja | Kto ponosi odpowiedzialność |
|---|---|---|
| Zbieranie danych wykraczających poza zakres dopuszczalny | kara administracyjna, skarga kandydata | pracodawca jako administrator danych |
| Zbyt długie przechowywanie CV bez podstawy prawnej | zalecenie usunięcia danych, kara przy powtarzających się naruszeniach | pracodawca, dział HR |
| Ujawnienie danych kandydatów osobom nieuprawnionym | obowiązek zgłoszenia naruszenia, możliwa kara | pracodawca jako administrator danych |
Poza sankcjami finansowymi firma ryzykuje też pogorszenie swojego wizerunku jako pracodawcy, co w przypadku rekrutacji ma znaczenie równie realne jak w relacjach z klientami.
Kiedy warto skonsultować proces rekrutacyjny z prawnikiem?
Kancelaria prawna RODO przydaje się firmom, które planują zmianę systemu do obsługi rekrutacji albo chcą wprowadzić bazę kandydatów na potrzeby przyszłych naborów. Kancelaria prawna ochrona danych osobowych zajmuje się wtedy zwykle przygotowaniem klauzul zgody, aktualizacją formularzy rekrutacyjnych oraz szkoleniem osób odpowiedzialnych za kontakt z kandydatami.
Wsparcie takiego zespołu bywa szczególnie przydatne przy rekrutacjach na dużą skalę, gdzie liczba kandydatów oraz ilość przetwarzanych dokumentów zwiększa ryzyko pomyłek organizacyjnych prowadzących do naruszenia przepisów.
Zrozumienie zasad rządzących ochroną danych osobowych w procesie rekrutacyjnym przydaje się nie tylko dużym działom HR, ale każdemu przedsiębiorcy, który samodzielnie prowadzi nabór na pojedyncze stanowisko. Regularny przegląd praktyk stosowanych podczas rekrutacji bywa równie istotny jak sama treść ogłoszenia o pracę, ponieważ pozwala uniknąć problemów, zanim jeszcze pojawi się pierwsza skarga kandydata.
