Przeprowadzając proces rekrutacji w swojej firmie musisz mierzyć się nie tylko z wyzwaniem znalezienia odpowiedniego kandydata. Jednocześnie musisz pamiętać, żeby postępować zgodnie z prawem, a przede wszystkim przestrzegać zasad przetwarzania danych osobowych. Dołączanie klauzuli zgody do CV do niedawna było stałym elementem dokumentów aplikacyjnych, jednak obecnie rekrutacja najczęściej oparta jest o inne podstawy prawne z RODO. Co zatem pracodawca musi wiedzieć, aby nie złamać przepisów RODO? Jakie dane może przetwarzać bez zgody i jak poprawna klauzula powinna wyglądać?

Jakie mogą być podstawy prawne przetwarzania danych osobowych kandydata?

Możliwe podstawy prawne przetwarzania danych osobowych kandydata powinny być ustalane w oparciu o art. 6 RODO. Każda z tych podstaw jest równorzędna, jednak wybór odpowiedniej do danej sytuacji jest kluczowy. W przypadku zatrudnienia możemy oprzeć się o następujące podstawy prawne:

• zgoda (art. 6 ust. 1 lit. a RODO) - w przypadku, gdy kandydaci podają więcej danych z własnej inicjatywy (np. zdjęcia, nr PESEL, informacje o wolontariacie itd.) albo gdy udzielają zgody na udział w przyszłych rekrutacjach;
• konieczność wykonywania obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO) w związku z art. 221 Kodeksu pracy (określone dane osobowe wymienione powyżej) – dotyczy osób ubiegających się o stanowisko w ramach zatrudnienia na podstawie umowy o pracę;
• podjęcie działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO) – w przypadku osób ubiegających się o stanowisko w ramach umowy cywilnoprawnej/B2B.

Wybór odpowiedniej podstawy przetwarzania będzie zależał z jednej strony od planowanej podstawy zatrudnienia, zakresu zbieranych danych, a także od statusu podmiotu, zbierającego dane na potrzeby rekrutacji. Przykładowo, jeśli dane osobowe zbiera pracodawca bezpośrednio i zamierza zatrudniać na podstawie umowy o pracę to podstawą prawną w zakresie bieżącej rekrutacji będzie obowiązek prawny. Jeśli natomiast rekrutację prowadzi agencja pracy na rzecz swoich klientów to podstawą prawną będzie zazwyczaj zgoda, albowiem agencja nie będzie przyszłym pracodawcą, nie ma zatem obowiązku wypełnienia obowiązku prawnego ani nie będzie zawierała bezpośredniej umowy z kandydatem.

Do przetwarzania jakich danych zgoda w CV jest konieczna?

Jeśli jednak rekrutacja jest prowadzona przez pracodawcę, a cv zawiera wyłącznie dane wymagane przez prawo pracy, zgoda nie jest konieczna. Dotyczy to kandydatów, którzy ubiegają się o umowę o pracę i chodzi o dane wymienione w art. 221 Kodeksu pracy:

• imię (lub imiona) i nazwisko kandydata;
• datę urodzenia;
• dane kontaktowe kandydata (numer telefonu, adres e-mail);
• wykształcenie;
• klasyfikacje zawodowe;
• przebieg dotychczasowego zatrudnienia kandydata.

W tym zakresie, jak wskazano już powyżej, podstawą przetwarzania danych osobowych będzie obowiązek prawny (art. 6 ust. 1 lit. c RODO).

Jak powinna wyglądać klauzula CV wyrażająca zgodę kandydata?

W zakresie w jakim przetwarzanie danych na potrzeby rekrutacji może mieć miejsce w oparciu o zgodę, należy pamiętać o prawidłowym skonstruowaniu odpowiedniej klauzuli. Klauzula zgody w CV musi spełniać wymagania dotyczące zgody określone w art. 7 RODO. Co to oznacza? Zgoda ma być:

• dobrowolna – kandydat sam decyduje o przekazaniu dodatkowych danych i nie może być do tego przymuszony;
• konkretna i świadoma – jasno wskazywać cel przetwarzania danych, czyli udział w procesie rekrutacyjnym;
• możliwa do wycofania w dowolnym momencie, bez negatywnych konsekwencji dla kandydata.

Należy jednocześnie podkreślić, że w przypadku zgody z art. 7 zgoda nie musi być wyraźna, a może zostać wyrażona poprzez odpowiednie zachowanie kandydata. Niekoniecznie zatem musimy mieć określoną klauzulę, a wyrażenie zgody może mieć miejsce przykładowo poprzez zawarcie większej ilości danych osobowych w cv przez kandydata niż wskazanych w Kodeksie pracy. Zazwyczaj w tym zakresie zgoda ma charakter dorozumiany.

Natomiast w przypadku, gdy zamierzamy przetwarzać dane kandydata na podstawie zgody także w innym zakresie (np. w celu przyszłych rekrutacji) to kandydat powinien udzielić nam osobnej zgody. Warto, aby taka zgoda miała charakter odrębnego oświadczenia, wyraźnie wyodrębnionego od innych ewentualnych oświadczeń.

W wypadku jakich danych zgoda w CV nie będzie wystarczająca dla pracodawcy?

Należy pamiętać, że przetwarzanie danych osobowych w celach rekrutacyjnych, bez względu na obraną podstawę przetwarzania, nie daje nam podstaw do postępowania z danymi w sposób dowolny, a na dodatkowe czynności powinniśmy mieć odrębne podstawy przetwarzania, w tym np. zgodę. Przykładowo, w sytuacji zamiaru przeprowadzenia tzw. background checku, czyli sprawdzania kandydata, powinniśmy mieć odrębną podstawę przetwarzania danych. W jakich sytuacjach pracodawca może się oprzeć w tym zakresie na odrębnej zgodzie kandydata:

• kontakt z byłym pracodawcą w celu uzyskania referencji może nastąpić tylko po wyraźnej, osobnej zgodzie kandydata;
• to samo dotyczy weryfikacji kandydata poprzez profile w serwisach społecznościowych – może to nastąpić tylko za wyraźną, osobną zgodą;
• natomiast nawet otrzymanie od kandydata zgody nie pozwoli pracodawcy na sprawdzenie dyplomu kandydata (według UODO jest to niezgodne z prawem) oraz na weryfikację danych o karalności kandydata (taka weryfikacja jest możliwa wyłącznie na podstawie przepisu prawa);

inną sytuacją jest weryfikacja zobowiązań finansowych kandydata – będzie ona możliwa tylko, kiedy w momencie rekrutacji kandydat prowadzi już działalność gospodarczą i ma zostać zatrudniony w ramach kontraktu B2B.

Źródło: https://paluckiszkutnik.pl/proces-rekrutacji-zgodny-z-rodo-cv-klauzule-a-ochrona-danych-osobowych-kandydatow/