Informacje ogólne, czyli kilka słów wstępu
Zanim przejdziemy do sedna, kilka słów należy poświęcić samym danym osobowym. Dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”). Natomiast możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Polecamy: Dokumentacja kadrowa. Zasady prowadzenia i przechowywania
Wyróżniamy trzy kategorie danych:
- dane zwykłe – czyli imię i nazwisko, adres zamieszkania, numer telefonu, zawód, wizerunek, data urodzenia, adres e-mail itp.
- dane szczególnej kategorii (w poprzednich regulacjach prawnych nazywane danymi wrażliwymi) – są to dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, biometryczne (w celu jednoznacznego zidentyfikowania osoby fizycznej), dane dotyczące zdrowia, seksualności lub orientacji seksualnej
- dane dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa
Ważnym pojęciem, które będzie nam potrzebne przy omawianiu ochrony danych w zatrudnieniu jest również zasada minimalizacji danych, co oznacza, że dane powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Należy również mieć na uwadze fakt, że dane powinny być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach.
Ponadto pracodawca pozyskujący i przetwarzający dane musi mieć podstawę prawną do ich przetwarzania, czyli konkretny przepis (przepisy prawa) lub zgoda kandydata do pracy.
Rekrutacja
Na etapie rekrutacji pracodawca chciałby, oczywiście pozyskać jak najwięcej informacji o potencjalnym pracowniku, aby wybrać tego najlepszego. Kwestie danych i informacji jakich można żądać od kandydatów reguluje Kodeks pracy.
Jakich danych można żądać od kandydata do pracy?
Najpierw zajmiemy się danymi, których pracodawca będzie mógł żądać od osoby ubiegającej się o zatrudnienie na określonym stanowisku. Zgodnie z art. 221 § 1 i § 2 KP od kandydata do pracy można żądać takich danych, jak:
- imię (imiona) i nazwisko,
- data urodzenia,
- dane kontaktowe wskazane przez taką osobę,
- wykształcenie,
- kwalifikacje zawodowe,
- przebieg dotychczasowego zatrudnienia.
Takie dane jak imię (imiona) i nazwisko, data urodzenia nie budzą wątpliwości. Natomiast, po nowelizacji Kodeksu pracy, w związku z wejściem w życie ogólnego rozporządzenia unijnego dotyczącego RODO, w omawianym artykule pojawił się zapis o danych kontaktowych. W poprzednim brzmieniu tego przepisu można było pozyskiwać adres zamieszkania (do korespondencji). W obecnym brzmieniu tego przepisu, już nie ma podstaw do żądania od kandydata takich danych. To osoba ubiegająca się o zatrudnienie decyduje, jakie dane nam przekaże jako dane do kontaktu. Może to być adres zamieszkania, adres do korespondencji, numer telefonu lub adres e-mail.
Kolejną kwestią, która jest nowością w KP, to możliwość żądania przez pracodawcę takich danych jak wykształcenie, kwalifikacje zawodowe, czy przebieg dotychczasowego zatrudnienia tylko wówczas, gdy jest to niezbędne do wykonywania pracy określonego rodzaju bądź pracy na określonym stanowisku. Zatem na etapie rekrutacji pracodawca nie będzie uprawniony do żądania od kandydata całej historii zatrudnienia oraz jego kwalifikacji, a tylko tych, które wiążą się bezpośrednio z wymaganiami określonymi na dane stanowisko (do wykonywania danego rodzaju pracy). I tylko wówczas, gdy posiadanie takich kwalifikacji jest niezbędne do zatrudnienia. Innymi słowy, jeżeli pracodawca będzie szukał pracownika do prostych prac, do których nie są wymagane żadne kwalifikacje – na etapie procesu rekrutacji nie będzie mógł żądać od kandydata informacji z tego zakresu.
Na co należy zatem zwrócić uwagę? Wskazanym zatem jest opracowanie wymagań kwalifikacyjnych (formalnych, faktycznych) na wakujące stanowisko pracy, tak aby w razie wątpliwości można było wykazać, że pracodawca w procesie rekrutacji był upoważniony do żądania określonych informacji od kandydatów.
Dane pozyskiwane za zgodą kandydata
Niejednokrotnie w czasie procesu rekrutacyjnego do pracodawców wpływają życiorysy zawodowe (CV) z informacjami wykraczającymi poza zakres wskazany w Kodeksie pracy. Kandydaci niejednokrotnie zamieszczają w takich dokumentach dodatkowe informacje o swoich zainteresowaniach, sposobie spędzania wolnego czasu itp. Są to informacje niewątpliwie wykraczające poza zakres wskazany w przepisach Kodeksu pracy. Czy zatem pracodawca będzie upoważniony do przetwarzania takich danych? Otóż informacje przekazane przez osobę ubiegającą się o zatrudnienie, które są informacjami wykraczającymi poza ramy przepisów prawa mogą być przetwarzane przez pracodawcę, gdyż należy uznać, że kandydat zamieścił je dobrowolnie – czyli udostępnia je za swoją zgodą.
Pracodawca może pozyskiwać inne dane niż wymienione w KP, ale ich podania nie może żądać od pracownika, natomiast może wejść w ich posiadanie tylko wówczas, gdy osoba ubiegająca się o zatrudnienie poda je dobrowolnie (za swoją zgodą). Jak już wspomniałam na wstępie wyróżniamy trzy kategorie danych osobowych (zwykłe, szczególnej kategorii oraz dotyczące wyroków skazujących). Dane zwykłe mogą być udostępniane potencjalnemu pracodawcy zarówno z inicjatywy kandydata do pracy, jak i samego pracodawcy. Podkreślenia jednak wymaga fakt, że odmowa wyrażenia zgody na podanie takich dodatkowych danych przez kandydata nie może być powodem do dyskwalifikacji danej osoby w procesie rekrutacji.
Pracodawca powinien jednak pamiętać, że może przetwarzać tylko takie dane, które są niezbędne ze względu na cel ich zbierania, a tym celem jest podjęcie przez niego decyzji o wyborze i zatrudnieniu nowego pracownika. Nie powinien zatem pozyskiwać informacji, które są zbędne i nadmiarowe w stosunku do tego celu.
Zgoda może być wyrażona w dowolnej formie (pisemnie, poprzez np. wysłanie CV z dodatkowymi informacjami, wyraźne działanie – np. odpowiedź na pytanie rekrutera). Pracodawca jednak jako administrator danych będzie musiał wykazać (udowodnić), ze uzyskał zgodę na przetwarzanie tych danych.
Zgoda musi również spełniać kilka warunków, tj. musi to być dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, przyzwala na przetwarzanie dotyczących jej danych osobowych.
Ubiegający się o zatrudnienie może również podać z własnej inicjatywy dane należące do kategorii danych o szczególnym charakterze. Na przetwarzanie takich danych potencjalny pracodawca musi oczywiście posiadać zgodę kandydata, z uwagi na ich charakter, najlepiej pozyskaną w formie pisemnej. I powinno to być odrębne oświadczenie tak, aby nie było wątpliwości, że kandydat udzielił wyraźnej zgody na przetwarzanie danych osobowych.
Nie będzie natomiast dopuszczalne, nawet za zgodą kandydata, przetwarzanie danych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa. Podstawą przetwarzania tego rodzaju danych musi być wyraźny przepis prawa.
Przedstawiony powyżej materiał nie wyczerpuje oczywiście wszystkich zagadnień związanych z RODO podczas rekrutacji, dlatego wrócimy do tego tematu w kolejnym artykule.
Podstawa prawna:
art. 221 Kodeksu pracy
art. 5, art. 6, art. 9.1, art. 10 - Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)