UZASADNIENIE
Przetwarzanie danych osobowych jest dopuszczalne m.in. wówczas, gdy osoba, której dane dotyczą, wyrazi na to zgodę w formie oświadczenia woli. Zgoda ta nie może być domniemana ani dorozumiana z oświadczenia woli o innej treści. Oznacza to, że osoba wyrażająca zgodę na przetwarzanie danych musi mieć świadomość tego, na co się zgadza. Zgoda ta może obejmować także przetwarzanie danych w przyszłości pod warunkiem, że nie zmienia się cel przetwarzania (art. 23 ust. 2 ustawy o ochronie danych osobowych).
Jeżeli zatem kandydat na dane stanowisko pracy przesyła dokumenty aplikacyjne w postaci CV wraz z oświadczeniem, że wyraża zgodę na przetwarzanie jego danych ujawnionych w tych dokumentach na potrzeby rekrutacji, a także po jej zakończeniu, to tym samym tzw. administrator danych jest upoważniony do ich przetwarzania. Wówczas pracodawca ma prawo m.in. do przechowywania CV w przypadku, gdy osoba nie zostanie zatrudniona na danym stanowisku pracy i do jego wykorzystania w kolejnym procesie rekrutacyjnym.
PRZYKŁAD
Firma handlowa X poszukująca osób do pracy na stanowisko handlowca zamieściła stosowne ogłoszenie w prasie we wrześniu 2009 r. wskazując jako termin nadsyłania aplikacji 25 września 2009 r. Spośród 20 nadesłanych aplikacji wybrano 5 osób i każdą z nich zatrudniono na stanowisku handlowca. Z pozostałych 15 dokumentów aplikacyjnych 14 zawierało klauzule wyrażające zgodę na przetwarzanie danych ujawnionych w tych dokumentach na potrzeby rekrutacji również po jej zakończeniu. W związku z tym firma ta, jako upoważniona do przetwarzania danych, przechowywała te dokumenty na potrzeby przyszłych rekrutacji. Jedna z aplikujących osób przesłała CV, w którym nie było klauzuli zezwalającej na przetwarzanie danych. W związku z tym, że osoba ta nie została zatrudniona, firma X po zakończeniu procesu rekrutacji była zmuszona odesłać tej osobie dokumenty aplikacyjne.
Administrator, który przetwarza dane osobowe, ma obowiązek dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. W szczególności jest zobowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem i przechowywane nie dłużej, niż to jest niezbędne do osiągnięcia celu przetwarzania. Administrator danych powinien zastosować środki techniczne i organizacyjne, zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. W szczególności ma on obowiązek zabezpieczyć te dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.
Po określonym czasie pracodawca powinien usunąć dane zawarte w CV, tj. powinien zniszczyć dane osobowe lub dokonać takiej ich modyfikacji, aby było niemożliwe ustalenie tożsamości osoby, której te dane dotyczą. Termin usunięcia takiego dokumentu może być dowolny, z tym że powinien on uwzględniać ewentualne potrzeby wykorzystania przetwarzanych danych w przyszłości (np. w kolejnym procesie rekrutacyjnym) zgodnie z celem, dla którego zostały zebrane.
Podstawa prawna:
- art. 2 ust. 1, art. 7 pkt 2, pkt 3, pkt 5, art. 23 ust. 1 pkt 1, ust. 2, art. 26 ust. 1, art. 36 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (DzU z 2002 r. nr 101, poz. 926 ze zm.).
Orzecznictwo uzupełniające:
- Zgoda na przetwarzanie danych osobowych musi być wyraźna. Nie spełnia tego wymagania podpisanie oświadczenia o wyrażeniu zgody na przetwarzanie danych, stanowiącego dodatkowy element innego zobowiązania niezawierającego informacji o celach i zakresie przetwarzania tych danych. (Wyrok Naczelnego Sądu Administracyjnego z 4 kwietnia 2003 r., II SA 2135/02, Wokanda 2004/6/30)