IV EDYCJA SZKOŁY RODO kontynuujemy od 10 września 2020
zapoznaj się ze szczegółami i dołącz do nas
zapoznaj się
RODO-ŚRODY

Dowiedź się, czym są RODO Środy i weź udział!
rodo-srody.pl
Zgodność w zasięgu ręki
INFOGRAFIKI materiały graficzne opracowane przez nasz zespół
na potrzeby prowadzonych przez nas szkoleń i wystąpień
zobacz materiały
Diagram oceny i notyfikacji naruszeń z przyjemnością udostępniamy Wam diagram
oceny i notyfikacji naruszeń ochrony danych
Pobierz diagram w PDF (wysoka rozdzielczość)
Jak szkolimy? Wybór case’ów Na szkoleniach omawiamy przypadki z naszej praktyki.
Zobacz przykładowe case'y, jakie rozwiązujemy wspólnie z uczestnikami.
Pobierz case’y

Rekrutacje od A do Z

Przedstawiamy Państwu transkrypcję naszego webinarium „Rekrutacje od A do Z”. Mamy nadzieję,że w taki sposób uda się Państwu szybciej odnaleźć odpowiedzi na swoje zapytania. Przyjemnego „wyszukiwania”.

Agenda

 

Dzień dobry Państwu, nazywam się Monika Gierałtowska-Karpowicz, jestem radcą prawnym w kancelarii Maruta Wachta, w praktyce ochrony danych osobowych. Dziś mam przyjemność przeprowadzić dla Państwa webinarium w temacie rekrutacji od A do Z. Na początku przejdźmy krótko przez agendę dzisiejszego webinarium, omówimy sobie obowiązki pracodawcy jako administratora danych osobowych w procesie rekrutacji, przyjrzymy się podstawom prawnym przetwarzania danych osobowych w procesie rekrutacji ze szczególnym uwzględnieniem zmian w Kodeksie pracy, w których wejścia w życie jesteśmy w przededniu. Zastanowimy się i opowiemy krótko o współpracy z agencją zatrudnienia i agencją pracy tymczasowej w procesie rekrutacji, na koniec zastanowimy się i omówmy kwestie przetwarzania danych osobowych już po zakończonym procesie rekrutacji, czyli krótko na temat retencji zgromadzonych w tym procesie danych osobowych.

Obowiązki pracodawcy jako administratora danych osobowych w procesie rekrutacji

 

Przechodząc od razu do pierwszego punktu agendy, „Obowiązki pracodawcy jako administratora danych osobowych”. Musimy pamiętać, że pracodawca, czyli podmiot poszukujący kandydatów do pracy jest przede wszystkim administratorem danych osobowych. Co to oznacza? Oznacza to, że jest on adresatem wszelkich obowiązków, jakie nakłada na podmiot przetwarzający dane osobowe, czyli administratora danych osobowych, RODO, czyli ogólne rozporządzenie dotyczące ochrony danych osobowych. Jest on adresatem obowiązków wszystkich, czyli musi zarówno zadbać o podstawę prawną, jak i spełniać obowiązki informacyjne, ale też zabezpieczać zgromadzone, przetwarzane przez siebie w związku z tym procesem dane osobowe. Wspomniałam, iż pracodawca, jako administrator danych osobowych, podlega wszystkim obowiązkom wskazanym w RODO. Tutaj pozwoliłam sobie na wyodrębnienie tych trzech, na które dziś szczególnie będę zwracała uwagę podczas naszego spotkania. Na pewno jest to podstawa prawna, czyli administrator danych osobowych, pracodawca, który będzie poszukiwał pracowników do zatrudnienia, w związku z tym będzie przetwarzał ich dane osobowe, musi zapewnić sobie do tego podstawę prawną. Gromadząc dane osobowe, pozyskując CV, czy też gromadząc te dane w inny sposób, zobowiązany będzie poinformować konkretnych kandydatów o tym, w jakim celu, na jakiej podstawie będzie przetwarzał ich dane osobowe, a także jakie w związku z tym procesem przetwarzania danych osobowych osobom tym przysługują prawa. I trzecim takim obowiązkiem, dość istotnym z punktu widzenia procesu rekrutacyjnego, zwłaszcza z uwagi na proponowane zmiany w Kodeksie pracy, jest zasada minimalizacji. To oznacza, że jako administrator, jako pracodawca, musimy zastanowić się, czy dane, których podania oczekujemy od naszych kandydatów, nie są nadmiarowe, czyli czy wszystkie informacje, które przetwarzamy w związku z wyborem określonej osoby na konkretne stanowisko pracy, są nam do tego celu niezbędne.

Podstawy prawne przetwarzania danych osobowych w procesie rekrutacji

 

Tak jak wspomniałam wcześniej, administrator danych osobowych, pracodawca jako administrator danych osobowych, w szczególności podlega na pewno reżimowi ogólnego rozporządzenia w sprawie ochrony danych osobowych, czyli, tak jak mówiliśmy, musi zapewnić sobie legalność przetwarzanych informacji. Dodatkowo nawiązanie stosunku pracy oraz jego realizacja została unormowana w przepisach krajowych, w ustawie Kodeks pracy. Dziś zajmiemy się w szczególności zmianami, jakie przewidziane zostały w ustawie Kodeks pracy, w tak zwanej ustawie zmieniającej, czyli akcie prawnym, którego celem jest dostosowanie prawa krajowego do wymogów wynikających z RODO tak, aby można było skutecznie realizować te obowiązki, wynikające z tego rozporządzenia. W zakresie obowiązków administratora danych, który przetwarza dane osobowe w procesie rekrutacji, też możemy znaleźć w Rozporządzeniu Ministra Pracy i Polityki Społecznej, w zakresie dokumentacji pracowniczej. I do tego rozporządzenia sięgniemy przy okazji omawiania kwestii związanych z retencją danych osobowych.

Mam pierwsze pytanie „Kiedy kończy się rekrutacja, a kiedy zaczyna zatrudnienie, proces?”. Może od razu odpowiem. Rekrutacja kończy się z momentem podjęcia decyzji o wyborze konkretnej osoby do zatrudnienia, czyli w momencie zakomunikowania, iż, drogi kandydacie, jesteśmy zainteresowani twoim zatrudnieniem. Jeżeli ta osoba przyjmie przedstawione przez nas warunki pracy i oświadczy, że jest zainteresowana podjęciem tego zajęcia, to wówczas rozpoczynamy ten proces zmierzający do zatrudnienia, czyli wszelkiego rodzaju gromadzenie dokumentów niezbędnych do zatrudnienia, wypełnienie kwestionariusza osobowego dla osoby do zatrudnienia, jak również dostarczenie chociażby orzeczenia lekarskiego o zdolności do pracy, jeżeli osoba zatrudnia się na takie samo stanowisko, na którym pracowała wcześniej. Z momentem podjęcia takiej decyzji i podjęciem decyzji przez konkretnego kandydata, że jest on zainteresowany podjęciem tej pracy, przyjęciem tej oferty, wówczas kończy się rekrutacja, a przechodzimy już w proces zatrudnienia.

Wracając do tych podstaw prawnych przetwarzania w rekrutacji, mówiliśmy, że pracodawca rekrutujący jest administratorem danych osobowych w rozumieniu RODO, czyli można by było powiedzieć, że żeby był on zgodny z tym rozporządzeniem, powinien zapewnić sobie istnienie w tym procesie jednej z podstaw prawnych wskazanych w artykule sześć bądź dziewięć RODO. Jak najbardziej taka sytuacja mogłaby mieć miejsce i taki pracodawca, gdyby zapewnił sobie taką przesłankę, to jak najbardziej byłoby to legalne, ale zwróćmy uwagę na motyw sto pięćdziesiąty piąty RODO i artykuł osiemdziesiąty ósmy RODO, który dał państwom członkowskim możliwość i swobodę w uszczegółowieniu procesów i zasad przetwarzania danych osobowych właśnie w związku z zatrudnieniem, czy w celu rekrutacji. Na czym to uszczegółowienie i te warunki szczególne polegają? Otóż na tym, że RODO dał ustawodawcy państwa członkowskiego zielone światło do tego, żeby uzależnił na przykład, że pewne konkretne informacje o kandydacie do pracy będzie można przetwarzać na przykład tylko za jego zgodą, czyli wyłączona będzie możliwość powołania się na inną podstawę prawną wskazaną w artykule sześć bądź dziewięć RODO. I celem dopuszczalności tej swobody było na pewno zapewnienie ochrony praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z procesem rekrutacji, czy też zatrudnienia.

Jeżeli chodzi o polskiego ustawodawcę, który zaprojektował zmiany w Kodeksie pracy, dostrzegamy tam, za chwilę będziemy omawiać konkretnie te przepisy, ale dostrzegamy w nich skorzystanie przez ustawodawcę z tej właśnie swobody, albowiem pewien zakres informacji o pracowniku można przetwarzać na podstawie jego zgody.

Rekrutacja pracowników, Kodeks pracy.

I tutaj już zajmiemy się konkretnie tymi proponowanymi zmianami, przyjrzymy się temu, jak te zmiany wyglądają i jakie one będą miały konsekwencje dla pracodawcy, który prowadzi proces rekrutacyjny. Musimy jeszcze zwrócić uwagę na jedną rzecz, mamy kolejne pytanie, „Czy przewidywane są zmiany związane z rekrutacją w sektorze publicznym, służba cywilna?”. Powiem szczerze, że w przepisach ustawy zmieniającej wydaje mi się, że są zmiany dotyczące ustawy o służbie cywilnej, natomiast nie chciałabym w tym momencie wprowadzić w błąd, nie kojarzę, żeby to były istotne zmiany, dotyczące zatrudnienia w służbie cywilnej, więc odsyłam do lektury ustawy zmieniającej, i tam bardzo prosiłabym o poszukiwanie odpowiedzi na to pytanie. Może kilka słów na temat potrzeby w ogóle wprowadzenia zmian w ustawie zmieniającej, wprowadzenia tych zmian w ustawach, które przyjęły formę właśnie ustawy zmieniającej. Otóż uchylona dwudziestego piątego maja dwa tysiące osiemnastego roku ustawa o ochronie danych osobowych z tysiąc dziewięćset dziewięćdziesiątego siódmego roku przewidywała jako jedną z przesłanek legalnego przetwarzania danych osobowych niezbędność przetwarzania w celu zrealizowania uprawnienia lub obowiązku wynikającego z przepisu prawa. Wobec takiego brzmienia szereg przepisów, różnych aktów prawnych obowiązujących w kraju przyjmowało właśnie formę bardziej uprawnienia aniżeli obowiązku. RODO zmieniło troszkę podejście i troszkę ujęcie, jeżeli chodzi o tę przesłankę, bowiem w artykule szóstym, ustęp jeden, litera C, jako przesłankę legalnego przetwarzania danych osobowych widzimy niezbędność do realizacji obowiązku wynikającego z przepisu prawa, nałożonego przepisem prawa. Wobec tak sformułowanej przesłanki konieczne było zatem dostosowanie wielu aktów prawnych, których przepisy stanowiły właśnie podstawę do przetwarzania danych osobowych, przeformułowania tych przepisów w ten sposób i po to, żeby można było uznać je za pełnoprawną podstawę do przetwarzania danych osobowych na podstawie RODO. I tutaj właśnie mamy doskonały przykład, jak aktualnie, nawet w dniu dzisiejszym wygląda i brzmi artykuł dwadzieścia dwa ze znaczkiem jeden Kodeksu pracy, który mówi o tym, że pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych, czyli jest tu zdecydowanie mowa o uprawnieniu, nie mamy tutaj mowy o obowiązku. Stąd w dniu dzisiejszym mamy taką sytuację, że z jednej strony mamy przesłankę, która mówi nam, że możemy działać wtedy kiedy mamy taki obowiązek, kiedy prawo oczekuje albo zobowiązuje nas do pewnego działania, a w związku z tym niezbędne jest przetwarzanie danych osobowych, a z drugiej strony mamy taki przepis, który de facto stanowi o pewnym uprawnieniu. Prace nad zmianami legislacyjnymi w blisko stu sześćdziesięciu aktach prawnych trwały bardzo długo, one powinny wejść w życie jednocześnie z RODO, wtedy nie mielibyśmy tej rozbieżności i tych wątpliwości, z którymi aktualnie się borykamy, natomiast aktualnie ustawa zmieniająca jest już w pracach senackich, prawdopodobnie, myślę, że możemy spodziewać się, iż ustawa zmieniająca wejdzie w życie, miejmy nadzieję, w połowie kwietnia, może pod koniec kwietnia, w zależności jeszcze od czasu, w jakim prezydent podpisze uchwalony akt prawny.

O ile już wskazałam tutaj tę różnicę, podstawę i przyczyny, dlaczego były wprowadzone zmiany w zakresie przeformułowania przepisów prawa, wskażę teraz Państwu, jakie są wyniki tych prac legislacyjnych w zakresie właśnie Kodeksu pracy. I tak jak wcześniej wskazałam, była mowa na początku, i dziś aktualnie jest mowa, pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie, i tutaj ten przepis został przeformułowany w ten sposób, że pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych. Ewidentnie z przepisu tego wynika zatem obowiązek, a jednocześnie podstawa prawna do tego, żeby żądać i przetwarzać w procesie rekrutacyjnym dane osobowe właśnie wskazane i wymienione w paragrafie pierwszym artykułu dwadzieścia dwa ze znaczkiem jeden projektu ustawy zmieniającej.

Jeżeli chodzi o sam zakres danych, to tutaj też mamy kilka bardzo ważnych i cennych zmian. Mianowicie proszę wziąć pod uwagę, że w aktualnie obowiązującym Kodeksie pracy jako dane, które pracodawca może przetwarzać w związku z ubieganiem się konkretnej osoby o zatrudnienie, wskazane mamy imię, nazwisko, imiona rodziców, datę urodzenia, miejsce zamieszkania, miejsce zamieszkania jako adres do korespondencji. Doskonale wiemy, osoby, które na co dzień prowadzą postępowania rekrutacyjne wiedzą, że miejsce zamieszkania jako adres do korespondencji, czyli jak rozumiem, informacja, którą chcielibyśmy przetwarzać w związku z komunikacją z tą osobą, czyli w celu zaproszenia jej na konkretną rozmowę rekrutacyjną czy też zakomunikowania jej wyników przeprowadzonej rekrutacji, troszeczkę nie idzie w parze, ponieważ dziś mało kto komunikuje się w procesie zatrudnienia właśnie poprzez wysłanie listu drogą tradycyjną i czeka na odpowiedź też w ten sposób. Dziś używamy i stosujemy do tego zdecydowanie adres mailowy, względnie numer telefonu. Ta potrzeba i ta praktyka właśnie została dostrzeżona i zmieniona w projekcie ustawy zmieniającej. Tutaj już wyraźnie wskazane zostało, że pracodawca na etapie zatrudniania osoby, ubiegającej się o zatrudnienie może żądać od niej podania danych kontaktowych. Tutaj jest szeroki katalog, dane kontaktowe, przez te dane kontaktowe należy rozumieć zarówno numer telefonu, adres mailowy, jak i też adres zamieszkania, ten adres do korespondencji. Oczywiście może być taka sytuacja, że ktoś zechce się komunikować z nami w ten sposób. Nie oznacza to, że będziemy mogli, w momencie wejścia w życie tych przepisów, żądać od pracownika, od osoby ubiegającej się o zatrudnienie, kompletu tych informacji. Proszę pamiętać, że jako administrator danych osobowych przyszły pracodawca, podmiot rekrutujący, jest zobowiązany do stosowania też zasady minimalizacji danych, czyli jeżeli mamy podaną jedną daną informację, którą możemy wykorzystać w celu kontaktowania się z konkretnym kandydatem, to należy zastanowić się, czy jest podstawa prawna i sens, i jest niezbędne, żeby przetwarzać też w celu kontaktowym właśnie inne dane tej osoby.

Tutaj ustawodawca zaproponował podejście, dane kontaktowe wskazane przez taką osobę, czyli możemy w kwestionariuszu, formularzu dedykowanym pozyskiwaniu danych przyszłych pracowników wskazać, wymienić adres zamieszkania, numer telefonu czy e-mail i pozostawić osobie do wyboru, którą z tych danych kontaktowych będzie chciała nam udostępnić. Jeżeli chodzi o dalsze informacje i zakres danych, jakie będziemy mogli o osobie ubiegającej się o zatrudnienie przetwarzać, mamy tutaj dodatkową kategorię, czyli kwalifikacje zawodowe. Jak Państwo widzicie, paragraf pierwszy artykułu dwadzieścia dwa ze znaczkiem jeden wprowadza nam pewien katalog zamknięty tych informacji, których pracodawca będzie mógł żądać od osoby ubiegającej się o zatrudnienie. To nie jest też do końca tak, że od każdej osoby, niezależnie od tego, na jakie stanowisko ona będzie do nas aplikowała, będziemy uprawnieni do żądania tego właśnie katalogu danych. Proszę bowiem zwrócić uwagę na paragraf drugi artykułu dwadzieścia dwa ze znaczkiem jeden, który wskazuje nam, że pracodawca żąda podania danych osobowych, o których mowa w paragrafie jeden, punkt cztery do sześć, czyli wykształcenia, kwalifikacji zawodowych, przebiegu dotychczasowego zatrudnienia, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.

Paragraf drugi projektowanego artykułu dwadzieścia dwa ze znaczkiem jeden stanowi w mojej ocenie i również w ocenie ustawodawcy, czytamy o tym w uzasadnieniu do ustawy zmieniającej, przejaw właśnie minimalizacji danych. Pracodawca musi zastanowić się już na etapie planowania rekrutacji, czy konkretne stanowisko, na które chce rekrutować, wymaga przetwarzania przez niego informacji o wykształceniu, kwalifikacjach zawodowych czy przebiegu dotychczasowego zatrudnienia. Jeżeli bowiem jest to stanowisko niewymagające wysokich kwalifikacji, na przykład poszukujemy osoby do serwisu sprzątającego, to faktycznie można się zgodzić z tym, że niekoniecznie nie jest niezbędne odpytywanie tego kandydata o jego wykształcenie, jego kwalifikacje zawodowe czy przebieg dotychczasowego zatrudnienia. Tak więc tu jest już taka pierwsza istotna zmiana, która wskazuje, że już planując rekrutację będziemy musieli się zastanowić, do pozyskania jakiego zakresu danych osobowych od kandydata będziemy mieli prawo.

Paragraf czwarty, za chwilę będziemy mówić o paragrafie trzecim, ale przejdziemy teraz od razu do paragrafu czwartego, który stanowi, że pracodawca żąda podania innych danych osobowych niż określone w paragrafie jeden i trzy, właśnie paragraf trzy dotyczy pracownika, gdy jest to niezbędne do wypełnienia obowiązku pracodawcy nałożonego przepisem prawa. Jak to rozumieć? W ten sposób, że na podstawie obowiązku wynikającego z przepisu prawa będziemy mogli przetwarzać dane wskazane w paragrafie pierwszym, w punktach jeden do sześć, oczywiście jeżeli uznamy, że rekrutujemy na tak zwane niższe stanowisko, to będziemy uprawnieni na tej podstawie tylko do przetwarzania danych w zakresie informacji od jeden do trzy, a inne dane osobowe będziemy mogli przetwarzać tylko wtedy, kiedy będzie to niezbędne do wypełnienia obowiązku nałożonego przepisem prawa, z tym że tu nie chodzi o przepisy prawa, stricte Kodeks pracy, ale również inne ustawy. I tutaj właśnie wspomniana ustawa o służbie cywilnej, z której wyraźnie wynika, że kandydat do pracy musi być osobą niekaraną. Już na etapie właśnie rekrutacji potrzebujemy zdobyć tę informację, bo możemy przeprowadzić rozmowy z tą osobą, może ona nam merytorycznie i doświadczeniem zawodowym jak najbardziej odpowiadać, natomiast ustawa o służbie cywilnej wprowadza pewne dodatkowe wymogi dla kandydata, bez których spełnienia nie będziemy, nawet jeżeli będzie on najlepszym kandydatem na dane stanowisko, a będzie karany, czyli nie spełni jednego z wymogów, nie będziemy mogli go zatrudnić.

Na ten moment na pewno już wiemy, że po pierwsze, będziemy mogli przetwarzać te, o których mowa w artykule dwadzieścia dwa ze znaczkiem jeden, paragraf jeden, a także te informacje, do których przetwarzania zobowiążą nas też jako przyszłego pracodawcę inne przepisy prawa. Czy to oznacza, że to są wszystkie dane osobowe i wszystkie informacje o osobie ubiegającej się o zatrudnienie, jakie możemy przetwarzać? Nie, ustawa zmieniająca wprowadza nowy artykuł, artykuł dwadzieścia dwa ze znaczkiem jeden A, w którym wskazuje właśnie i stanowi o zgodzie na przetwarzanie danych osobowych pracownika, i co my tutaj czytamy? Paragraf jeden, zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w artykule dwadzieścia dwa ze znaczkiem jeden, paragraf jeden, czyli ten katalog, który przed chwilą omawialiśmy, z wyjątkiem danych osobowych, o których mowa w artykule dziesięć. Artykuł dziesięć, dane osobowe dotyczące wyroków skazujących i naruszeń prawa. Wynika z tego, że jeżeli chcemy przetwarzać inne dane osobowe naszego kandydata do pracy, inne niż wymienione w artykule dwadzieścia dwa ze znaczkiem jeden, paragraf jeden, to oczywiście, mamy taką możliwość, ale może to się odbywać tylko za zgodą tej osoby. Co ważne, za zgodą pracownika będą mogły być przetwarzane nie tylko te informacje, które on sam, z własnej inicjatywy będzie chciał nam przekazać, ale również odebranie zgody od danego kandydata będzie potrzebne w momencie kiedy to my będziemy inicjowali przekazanie przez niego konkretnych informacji.

Bardzo ważnym elementem tych zmian i warunkiem jest paragraf drugi, który wskazuje, że, tak, podmiocie rekrutujący pracowników, będziesz mógł przetwarzać dane osobowe osób ubiegających się o zatrudnienie w zakresie wykraczającym poza zakres wskazany w artykule dwadzieścia dwa ze znaczkiem jeden, na podstawie zgody tego pracownika, ale jeżeli ten kandydat z jakiegoś powodu nie będzie chciał nam udzielić tej zgody albo uprzednio wyraził ją, ale następnie wycofał, taka sytuacja nie będzie mogła mieć niekorzystnego wpływu na traktowanie tej osoby, czy to w procesie właśnie rekrutacji, czy też zatrudnienia. Odnosząc się może do przykładu, kiedy chcielibyśmy pozyskać dodatkowe informacje od naszych kandydatów, którzy zgłosili swoje kandydatury w danym procesie rekrutacyjnym i wnioskujemy, żeby przekazali nam jeszcze dodatkowe informacje na swój temat. Jedna z tych osób wyraża na to zgodę, odebraliśmy od niej zgodę i mamy pełne przyzwolenie na przetwarzanie tych danych osobowych, natomiast drugi z kandydatów tej zgody nie wyraził. Wówczas nie możemy potraktować tej osoby, która odmówiła nam podania tych informacji, w sposób gorszy, czyli nie możemy odmówić jej zatrudnienia tylko z tego względu, że o tamtym kandydacie, który wyraził zgodę, wiemy więcej. Jest to, powiem szczerze, troszeczkę kontrowersyjne, bo trudno będzie też udowodnić, że okoliczność niewyrażenia zgody miała tutaj znaczenie bądź nie miała znaczenia dla ostatecznego rozstrzygnięcia, natomiast taki warunek i taki przepis prawa został przez ustawodawcę przewidziany. Czyli co do zasady możesz, podmiocie, przetwarzać dane o pracowniku inne niż te, do których przetwarzania upoważnia cię przepis prawa, ale wtedy kiedy on ci wyrazi na to zgodę, jeżeli nie wyrazi ci na to zgody, no to nie możesz wyciągać wobec niego żadnych negatywnych konsekwencji z tego tytułu.

Pytania

Mam tutaj kilka już pytań, może postaram się od razu odpowiedzieć, żeby nie umknęło, i mamy chyba pytanie pierwsze, kolejne, natomiast jeszcze z tych, na które nie odpowiadałam, „Czy charakter pracy może uzasadniać pozyskiwanie na przykład telefonu, serwis IT?”. To znaczy rozumiem, chodzi o numer telefonu, tak? Tutaj wszystko zależy od tego, o jakim rodzaju zatrudnienia mówimy, czy chodzi tutaj o numer telefonu prywatny. Jeżeli chodzi o jakieś zapewnienie ciągłości działania w firmie, czyli konieczność wydzwonienia na przykład takiego pracownika. Nie do końca wiem, jaka jest intencja tego pytania, ponieważ my rozmawiamy o procesie rekrutacji i nie wiem, czy na etapie rekrutacji do serwisu IT ma znaczenie, jaki miałby być cel akurat pozyskania numeru telefonu. Na etapie rekrutacji dane kontaktowe, numer telefonu, adres e-mail pozyskujemy tylko po to, żeby się skontaktować z kandydatem, czyli umówić z nim ewentualnie rozmowę kwalifikacyjną czy też poinformować o wyniku tego postępowania.

Kolejne pytanie, „Czy to oznacza, że dla pozyskania informacji o wyższym wykształceniu konieczne będzie podanie takiego wykształcenia jako wymogu przy zatrudnieniu w ogłoszeniu o pracę?”. Tutaj troszeczkę wybiegamy do przodu, bo właśnie chciałam ten wątek poruszyć, powiem szczerze, że zastanawiałam się nad tym. Na pewno będzie to jeden ze sposobów dla uchronienia się przed przetwarzaniem danych w tak zwanym nadmiarowym zakresie, w sytuacji kiedy będziemy rekrutować na stanowisko tak zwane niższe. Możemy to zrobić właśnie w ten sposób, że jeżeli będziemy wiedzieli, że chcemy zatrudnić osobę do serwisu sprzątającego, to już w treści ogłoszenia możemy wskazać, że w odpowiedzi na ofertę prosimy o zawarcie takiego i takiego zakresu danych osobowych. Natomiast nie oszukujmy się, praktyka jest taka, że mało kto czyta treść może ogłoszeń o pracę i wysyła z reguły CV, które ma już przygotowane od dawien dawna, ma ono określoną formę i zawiera informacje o wykształceniu, więc bardzo możliwe jest to, że nawet po przeczytaniu treści takiego ogłoszenia dana osoba i tak wyśle nam CV w pełnym brzmieniu. Czy to oznacza, że my będziemy mogli to zalegalizować na przykład sobie jakąś zgodą na przetwarzanie danych osobowych? Bo uznamy w tym momencie, że te informacje, które wykraczają poza zakres, do którego jesteśmy uprawnieni, będziemy mogli przetwarzać na podstawie zgody, o której mowa w paragrafie drugim artykułu dwadzieścia dwa ze znaczkiem jeden A. Tu wydaje mi się, że nie, dlatego że wyraźnie z treści tego przepisu wynika, że zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienionych w dwadzieścia dwa ze znaczkiem jeden, paragraf jeden, czyli innych niż właśnie wykształcenie czy kwalifikacje zawodowe. Zatem nie będziemy mogli zalegalizować posiadania tych informacji poprzez odebranie zgody o tej osoby. W związku z tym co zrobić w takiej sytuacji, kiedy otrzymamy takie CV, a rekrutujemy na stanowisko, które nie wymaga przetwarzania tego typu informacji? Czy my będziemy musieli je usunąć? Niewątpliwie, jeżeli mamy taką możliwość, jeżeli jesteśmy w stanie na bieżąco zarządzać zakresem informacji, które przetwarzamy w związku ze spływającymi do nas zgłoszeniami, to najbardziej rozsądnym byłoby usunięcie takich informacji, natomiast jeżeli rekrutacja wiąże się z masowym wpływem CV, wydaje się, że możemy uznać, iż nie jesteśmy administratorem danych osobowych, tych informacji, ponieważ ich nie żądaliśmy. Przepis mówi, pracodawca żąda, ma podstawę, jeżeli w treści ogłoszenia wyraźnie wskazaliśmy, „Proszę swoje zgłoszenie ograniczyć do wskazania konkretnego tylko zakresu danych osobowych”, natomiast kandydat i tak przesyła nam więcej, to możemy tutaj uznać, że my nie chcemy przetwarzać tych danych osobowych, nie decydujemy o celach i środkach przetwarzania tych danych osobowych, ale wtedy też konsekwentnie faktycznie nie możemy tych danych osobowych w tym celu przetwarzać. Czyli to, że my poprosiliśmy o inny zakres danych, ale ostatecznie kandydat przesłał nam coś więcej, to nie znaczy, że możemy już wtedy w pełni legalnie wziąć te dane pod uwagę przy jego ocenie, zwłaszcza przy ocenie i porównaniu tego kandydata z innym kandydatem. Stąd też wydaje mi się, że dobrym rozwiązaniem będzie wskazywanie już w treści ogłoszenia, że żądamy określonego, okrojonego zakresu danych, natomiast na pewno nie uchroni to podmiotu, który będzie prowadził rekrutację, przed tym, że będzie i tak dostawał CV zawierające komplet informacji.

Kolejne pytanie, „Czy to wyklucza przetwarzanie na podstawie litery F, na przykład w celu ochrony przed roszczeniami?”. Pozwolę sobie pozostawić to pytanie, ponieważ będziemy na ten temat mówić w dalszej części naszego webinarium. Tak, chodzi o szybki kontakt do serwisanta, tak, ale wracamy do tego pytania o numer telefonu, czy można numer telefonu dla serwisu IT. Rozumiem, serwis IT i serwisant, serwisantem ta osoba będzie już w momencie kiedy my ją zatrudnimy, czyli tu już wchodzimy w etap zatrudnienia, natomiast dziś webinarium poświęcone jest etapowi rekrutacji, czyli etapowi podjęcia przez pracodawcę decyzji o tym, że chce kogoś zatrudnić, opublikowania ogłoszenia czy też pozyskania danych kandydatów w inny sposób i dalszej ścieżki wyboru danego kandydata. Tak więc tutaj wydaje mi się, że okoliczność, iż chcielibyśmy pozyskać numer telefonu na tym etapie, z uwagi na charakter pracy, że będzie to później serwisant, na tym etapie się nie obroni. To już w momencie zatrudnienia ewentualnie będziemy mogli próbować uzasadniać konieczność i potrzebę przetwarzania tego typu informacji o już wtedy pracowniku.

I kolejne pytanie, „Czy informacje udostępniane za zgodą mogą być dodatkowym atutem kandydata, na przykład osoba udostępniająca ma dodatkowy punkt, a osoba odmawiająca brak dodatkowych punktów?”. Ustawa, jak Państwo widzicie, projekt ustawy zmieniającej mówi o tych negatywnych konsekwencjach, czyli na pewno wiemy, że jak ktoś odmówi nam podania dodatkowej informacji, to nie może być niekorzystanie traktowany. Ustawa nie wskazuje, że w związku z tym ten, który udostępnił, może być korzystnie traktowany. I tu jest pytanie, jaką sytuację nazwiemy właśnie tym korzystnym czy niekorzystnym traktowaniem? To jest uzasadnienie ustawy zmieniającej w zakresie właśnie dotyczącym Kodeksu pracy, nie rozwija tego, nie wskazuje, w jaki sposób będzie to weryfikowane, oceniane, w jaki sposób ta niekorzystność traktowania będzie mogła być tutaj oceniana i szacowana. Wydaje się, że na pewno musimy tutaj pozostać w zgodzie z wyraźnym wskazaniem przepisu, czyli nie możemy wyciągnąć negatywnych konsekwencji z tego faktu, że ktoś nam odmówił wyrażenia zgody, natomiast w pozostałym zakresie wydaje się, że jak najbardziej, skoro mamy zgodę na przetwarzanie takich informacji, możemy z nich skorzystać i jeżeli ostatecznie podejdziemy do tego od tej strony, że w związku z tym ten wyraził zgodę, więc jest lepiej traktowany, to będzie to do obronienia.

„Czy pracodawca może wykorzystać numer telefonu pozyskany w toku rekrutacji już po zatrudnieniu pracownika?”. Tak, dlaczego? Oczywiście jeżeli ten nasz kandydat do pracy nam ten numer telefonu podał, ale tutaj zakładam, że podał. Tak, dlatego że paragraf drugi czy paragraf trzeci naszej ustawy, akurat właśnie tutaj nie mam, z uwagi na to, że rozmawiamy dzisiaj o rekrutacji, paragraf trzeci artykułu dwadzieścia dwa ze znaczkiem jeden mówi nam, że pracodawca już może pozyskać od osoby zatrudnionej, poza informacjami wskazanymi w paragrafie jeden i dwa, także dodatkowe informacje. I tam mamy tak jak do tej pory, PESEL, informacje na przykład dotyczące dzieci, jeżeli ten pracownik będzie korzystał z naszego zaplecza socjalnego, to też. Jeżeli na etapie zatrudnienia wśród danych kontaktowych, które są wskazane w punkcie trzecim paragrafu pierwszego artykułu dwadzieścia dwa ze znaczkiem jeden, nasz kandydat do pracy taki numer telefonu nam podał, to jak najbardziej po jego zatrudnieniu pracodawca będzie mógł przetwarzać ten numer telefonu, to wynika z zestawienia właśnie treści paragrafu pierwszego z paragrafem trzecim artykułu dwadzieścia dwa ze znaczkiem jeden.

Pytanie, „Przepraszam, jeśli była o tym mowa, ale na jakiej podstawie powinniśmy przetwarzać dane kandydata, które musimy mieć, bo wymaga od nas tego przepis prawa?”. Tak, faktycznie była o tym mowa, ale powiem jeszcze krótko i za chwilkę też będziemy podsumowywać te podstawy prawne. Jeżeli jest przepis prawa, czy to Kodeksu pracy, czy inny przepis prawa innej ustawy, który stanowi o obowiązku przetwarzania danych informacji albo o obowiązku konkretnego zachowania pracodawcy, z którym to zachowaniem niezbędne jest przetwarzanie danych osobowych, wtedy podstawą prawną przetwarzania tych informacji będzie artykuł szósty, ustęp jeden, litera C, RODO, właśnie możemy tutaj wskazać tę podstawę prawną już prawa krajowego.

„Dziękuję za wyjaśnienie, numer telefonu, a czy nie ma ryzyka zmiany celu? Kandydat podaje numer telefonu w celu związanym z rekrutacją, czy byłoby wymagane wykonanie obowiązku informacyjnego z artykułu trzynaście?”. W mojej ocenie nie ma tutaj takiego zagrożenia, dlatego że wyraźnie takie uprawnienie do przetwarzania tych danych osobowych mamy i wyraźnie ustawodawca właśnie w paragrafie trzecim wskazuje nam, że pracodawca, czyli już po zatrudnieniu pracownika, przetwarza dane pracownika w związku z zatrudnieniem, przetwarza dane wskazane w paragrafie pierwszym i w paragrafie drugim. Czyli można powiedzieć, że tutaj jakby już sam ustawodawca przewidział i zalegalizował tę zmianę celu, właśnie poprzez to stwierdzenie. Jeżeli ustawodawca nam zalegalizował i sam wskazał, że macie prawo przetwarzać dane zgromadzone na etapie rekrutacji w procesie zatrudnienia, to już tutaj jakby mamy podstawę prawną do przetwarzania. Oczywiście, mamy zmianę celu, ale mamy też podstawę prawną, uzasadniającą przetwarzanie właśnie w tym celu, w tym momencie już w tym celu zatrudnienia. Jeżeli chodzi o obowiązek informacyjny z artykułu trzynastego, to oczywiście, inny obowiązek informacyjny musimy zrealizować na etapie rekrutacji, a inny już na etapie zatrudnienia, od tego oczywiście nie uciekniemy, więc w sytuacji kiedy mamy właśnie zatrudnioną osobę i na etapie rekrutacji otrzymała ona od nas obowiązek informacyjny, w którym wskazaliśmy na cele związane z prowadzonym postępowaniem rekrutacyjnym, to z momentem jej zatrudnienia musimy jej wręczyć kolejny obowiązek informacyjny i tam też wskazać, że przetwarzamy te dane zgromadzone na przykład dotychczas już w związku z zatrudnieniem na podstawie konkretnych przesłanek i konkretnego artykułu, czy to RODO, czy Kodeksu pracy.

I teraz kolejne, „Gdzie w tym wszystkim jest informacja o niekaralności?”. Tak jak tutaj już zostało wcześniej powiedziane, wszystkie inne dane osobowe niż wymienione w artykule dwadzieścia dwa ze znaczkiem jeden, paragraf jeden, czy paragraf trzy, w przypadku osób zatrudnionych już, pracodawca będzie mógł przetwarzać w sytuacji gdy kandydat wyrazi nam na to zgodę, ale tutaj wyraźnie przepis wskazał i wyłączył możliwość wyrażenia zgody na przetwarzanie danych dotyczących niekaralności. Podyktowane to było przede wszystkim tym, że można byłoby się spodziewać tutaj nadużywania ze strony podmiotów zatrudniających, przetwarzania i żądania oczekiwania przedstawienia tych informacji. wtedy kiedy nie ma jakby uzasadnienia wynikającego na przykład z przepisu prawa, a pracodawcy, chcąc się jak najbardziej zabezpieczyć przed zatrudnieniem nierzetelnego, nielojalnego pracownika, chcieliby przetwarzać tego typu informacje i na przykład odbieraliby zgodę. Trudno byłoby uznać, że taka zgoda byłaby zgodą dobrowolną dlatego że takie osoby ubiegające się o zatrudnienie mogłyby udzielać jej, mając nadzieję na to, że ten proces rekrutacyjny przebiegnie dla nich pomyślnie, natomiast w momencie kiedy jednak by sprzeciwiły się udzieleniu takiej informacji, mogłyby obawiać się, że będą w związku z tym traktowane też gorzej. Stąd też została zdecydowanie wyłączona możliwość przetwarzania danych o niekaralności na podstawie zgody, informacje o niekaralności możemy przetwarzać tylko wtedy, kiedy przepis prawa przewiduje taki obowiązek, że jako podmiot zatrudniający konkretną osobę muszę, mam obowiązek poproszenia jej o to, żeby przedstawiła mi informacje o niekaralności. I tutaj w uzasadnieniu projektu czytamy, że biorąc właśnie pod uwagę istniejącą praktykę, pokazującą silne dążenie pracodawców do pozyskania tego rodzaju danych oraz nierówność stron w stosunkach pracy, istnieje zbyt duże ryzyko, że dane te byłyby w stosunkach pracy pobierane za zgodą nadmiarowo. W stosunkach pracy natomiast proszę wziąć pod uwagę, że zmiany w ustawie Kodeks pracy dotyczą zarówno etapu rekrutacji, jak i zatrudnienia i W większości te przepisy odnoszą się do tych dwóch etapów, tak że chodzi tutaj również o etap nie tylko samego zatrudnienia, ale i również rekrutacji.

Przetwarzanie danych osobowych tak zwanych wrażliwych, czyli tych, o których mowa w artykule dziewiątym, tutaj propozycja zmian w Kodeksie pracy idzie w tym kierunku, że pracodawca sam z siebie, podmiot rekrutujący, nie będzie mógł żądać i przetwarzać danych tak zwanych wrażliwych, czyli na przykład danych o stanie zdrowia, o poglądach politycznych, przekonaniach religijnych, natomiast jeżeli z jakiegoś powodu na etapie rekrutacji nasz kandydat zdecyduje, że widzi potrzebę, chęć, chciałby się podzielić tą informacją z podmiotem rekrutującym, czyli przyszłym pracodawcą, to oczywiście, może to zrobić, musi jednak wyrazić zgodę wyraźną. Zgoda wyraźna to jest zgoda taka, która nie musi być zgodą pisemną, ponieważ RODO odchodzi od pisemności zgody, natomiast musi przyjąć formę takiego oświadczenia woli. Nie może być to zgoda wyrażona w sposób dorozumiany, poprzez czynność potwierdzającą, w przeciwieństwie do zgody, która może być wyrażona w ten sposób, jeżeli chodzi o przetwarzanie danych zwykłych. Zatem jak Państwo widzicie, przetwarzanie danych wrażliwych przez pracodawcę jest zdecydowanie wyeliminowane, natomiast jeżeli byłaby taka wola, intencja, inicjatywa osoby ubiegającej się o zatrudnienie, wówczas jeżeli faktycznie też administrator, czyli nasz podmiotu rekrutujący stwierdziłby, że taka informacja jest mu potrzebna, bo my musimy też cały czas mieć w tyle głowy, że to, że nasz kandydat bardzo by chciał się podzielić tą informacją, to my też musimy tutaj zachować umiar, musimy pamiętać o zasadzie minimalizacji, myśmy pamiętać o tym, żeby przetwarzać dane osobowe tylko w zakresie niezbędnym do osiągnięcia celu, dla którego są przetwarzane. Tak że to też nie jest tak, że zawsze bezrefleksyjnie musimy taką zgodę odebrać i przetwarzać te dane w tym procesie rekrutacyjnym.

I konsekwentnie tutaj w przypadku wyrażenia zgody na przetwarzanie danych wrażliwych mamy powtórzony artykuł dwadzieścia dwa ze znaczkiem jeden A, czyli też, jeżeli nasza osoba ubiegająca się o zatrudnienie chciałaby podzielić się z nami tego typu informacją, my wiedząc, że chcemy przetwarzać te informacje, wiemy, że musimy odebrać od niej zgodę, występujemy do niej o wyrażenie takiej zgody, a ona nam mimo wszystko jednak tej zgody nie udziela, to tutaj też nie może być mowy o wyciągnięciu negatywnych konsekwencji wobec tej osoby w procesie rekrutacji. Przetwarzając dane osobowe na etapie rekrutacji, dane osobowe tak zwane wrażliwe, osoby dopuszczone do przetwarzania tych danych muszą mieć pisemne upoważnienie do przetwarzania danych osobowych. Co do zasady RODO nie wypowiada się w sposób konkretny, jeżeli chodzi o upoważnienia do przetwarzania danych osobowych, na pewno te upoważnienia nie muszą mieć teraz formy pisemnej, mogą być nadane poprzez przyznanie jakichś uprawnień w systemach informatycznych, czy też w inny sposób. Mimo wszystko w przypadku przetwarzania danych osobowych wrażliwych przez podmioty poszukujące pracownika, rekrutujące, wyraźnie zostało wskazane, że takie upoważnienie do przetwarzania danych osobowych powinno być pisemne.

I przejdźmy dalej – Zgoda. I teraz właśnie kilka słów na temat tej zgody, ponieważ już wiemy, że zarówno za zgodą pracownika będzie podmiot rekrutujący mógł przetwarzać dane zwykłe, czyli dane niewymienione w artykule dziewiątym, jak i dane szczególnie chronione. Jeżeli chodzi właśnie o zgodę na przetwarzanie danych zwykłych, to musimy pamiętać, że taka zgoda musi odpowiadać wszystkim wymogom z RODO, jak również tym wymogom wynikającym z projektowanych przepisów Kodeksu pracy. Jaka to jest zgoda odpowiadająca wymogom RODO? Otóż na pewno musi być to zgoda wyraźna, to musi być zgoda konkretna, czyli ja, wyrażając zgodę, muszę wiedzieć, na co tą zgodę wyrażam. To klauzula tej zgody czy też zapytanie o wyrażenie tej zgody, z jego treści powinno wynikać, na co ja tę zgodę faktycznie wyrażam, czyli musi być konkretna, musi być dobrowolna, to w szczególności, a także musi odpowiadać warunkom artykułu siódmego RODO. Czyli przed jej wyrażeniem osoba, która ma tę zgodę wyrazić, powinna być poinformowana o prawie do wycofania zgody oraz o konsekwencjach ewentualnego wycofania tej zgody, że wycofanie zgody nie wpłynie na legalność wcześniejszego procesu przetwarzania danych osobowych. Jeżeli chodzi o zgodę na przetwarzanie danych tak zwanych zwykłych, to tutaj tak jak powiedziałam, ona może być wyrażona poprzez działanie potwierdzające.

Czym jest to działanie potwierdzające? Chcąc posłużyć się przykładem, właśnie z rekrutacji, i chcąc wyjaśnić, na czym może polegać zgoda poprzez czynność potwierdzającą, mogę Państwu zaproponować i przestawić taki zapis. Otóż jeżeli w ogłoszeniu o pracę nie zawrzemy, bo nie będzie to ogłoszenie o pracę dotyczące niższego stanowiska, czyli będziemy uprawnieni do przetwarzania danych osobowych wskazanych w artykule dwadzieścia dwa ze znaczkiem jeden, punkt jeden do sześć, to jak najbardziej mamy do tego podstawę prawną, natomiast nie wiemy, jakie jeszcze informacje kandydaci mogą zamieścić w CV, a wiemy, że zgodnie z proponowanymi zmianami wszelkie inne dane wykraczające poza ten katalog z artykułu dwadzieścia dwa ze znaczkiem jeden będziemy mogli przetwarzać na podstawie zgody kandydata. Tak że jak zareagować na taką sytuację, kiedy otrzymamy CV, które zawiera więcej aniżeli artykuł dwadzieścia dwa ze znaczkiem jeden, paragraf jeden? Otóż albo w ten sposób, że musimy wystąpić do tej osoby o wyrażenie tej zgody albo możemy właśnie zastosować tak zwaną zgodę poprzez czynność potwierdzającą, to znaczy w treści ogłoszenia o pracę możemy zawrzeć taki komunikat, „Przesłanie do”, tutaj oczywiście podmiot, który rekrutuje, „danych osobowych w zakresie szerszym niż określony w artykule dwadzieścia dwa ze znaczkiem jeden, paragraf jeden Kodeksu pracy, stanowi zgodę na ich przetwarzanie przez”, i tutaj również ten sam podmiot, „w celu prowadzenia procesu rekrutacyjnego. Zgodę można wycofać w dowolnym czasie, wycofanie zgody nie wpływa na zgodność w sprawie przetwarzania, dokonanego przed jej wycofaniem”. Jeżeli w treści naszego ogłoszenia zawrzemy taki komunikat, to możemy przyjąć, że osoba, która odpowiada nam na treść tego ogłoszenia, przesyła nam swoje CV, a to CV zawiera więcej informacji niż dwadzieścia dwa ze znaczkiem jeden, to możemy uznać, że mamy podstawę prawną do przetwarzania tych informacji, do ich wykorzystania w procesie rekrutacji, dlatego że poprzez właśnie wysłanie ta osoba złożyła nam to oświadczenie zgodne z treścią załączoną przez nas do treści tego ogłoszenia. Należy jednak pamiętać, że nie zapewnimy sobie legalności w ten sposób właśnie tych danych wrażliwych, czyli nawet w sytuacji kiedy taką treścią opatrzymy ogłoszenie o pracę i otrzymamy CV, które będzie zawierało dane osobowe na przykład wrażliwe, to już tutaj wymagana jest zgoda wyraźna. Czyli tutaj musielibyśmy już zwrócić się, jeżeli oczywiście stwierdziliśmy, że te informacje są nam potrzebne i są oczywiście przekazane z inicjatywy kandydata do pracy i stwierdzamy, że tak, chcielibyśmy je przetwarzać, to tu musimy sobie już zapewnić tę zgodę wyraźną. Czyli wtedy należałoby się zwrócić do tej osoby, odebrać tę zgodę, jeżeli ona tej zgody nam nie udzieli, powinniśmy takie dane usunąć.

Kilka pytań nam się pojawiło w międzyczasie, „Czy może pani powtórzyć, jakie cechy powinna mieć zgoda wyraźna?”. Zgoda wyraźna na pewno powinna mieć wszystkie te same cechy jak zgoda, można powiedzieć, niewyraźna, czyli zgoda na przetwarzanie danych osobowych zwykłych. Czyli musi być to zgoda konkretna, ja muszę wiedzieć konkretnie, jakiemu podmiotowi wyrażam zgodę na przetwarzanie danych osobowych, na przetwarzanie jakiego zakresu danych osobowych ja tę zgodę wyrażam. Musi być dobrowolna, czyli nie może być w żaden sposób wymuszona, musi być sformułowana jasnym, klarownym językiem, zrozumiałym dla odbiorcy, musi zawierać informacje o prawie do wycofania tej zgody, natomiast na pewno nie musi być to zgoda pisemna i nie musi być to zgoda, która ma formę oświadczenia. Przy zgodzie wyraźnej właśnie musimy zadbać o to, najlepiej, żeby ona była wyrażona albo w formie jakiegoś oświadczenia podpisanego, ona nie musi być pisemna, ale ze względów dowodowych dobrze jest, żeby była utrwalona, ponieważ nie może być wyrażona w wyniku czynności potwierdzającej, czyli jakby zinterpretujemy sobie, że poinformowaliśmy, że jak zachowasz się w ten sposób, to tak odczytamy tę zgodę, to w przypadku zgody wyraźnej nie możemy tego zrobić. Czyli ona musi mieć wszystkie elementy zgody z RODO, ale powinna być wyraźna, czyli najlepiej jakby była albo do wyrażenia poprzez zaznaczenie jakiegoś checkboxa, albo żeby osoba na przykład w mailu odpisała nam swoje oświadczenie, żebyśmy mogli do czegoś się odwołać, w jakiś sposób udokumentować, że ta zgoda została wyrażona w inny sposób aniżeli poprzez naszą interpretację konkretnego zachowania danej osoby.

I teraz jeszcze wrócimy tutaj do Zgody. Już powiedzieliśmy, że jeżeli chodzi o dane zwykłe, to tutaj może być zgoda wyrażona poprzez wyraźne działanie potwierdzające, natomiast jeżeli mamy przetwarzać dane wrażliwe, czyli dane, których katalog wymieniony został w artykule dziewiątym RODO, to tutaj musimy pamiętać, że ta zgoda nie może być wyrażona poprzez to działanie potwierdzające, tylko powinna w jakiś sposób odróżniać się, w sposób wyraźny od takiej zgody wyrażonej w ten sposób.

I teraz podsumowując – „Podstawy prawne przetwarzania danych kandydatów na podstawie uzasadnienia projektu ustawy zmieniającej”

Tutaj mają Państwo sformułowania przeniesione wprost właśnie z tego uzasadnienia tej ustawy, i czytamy w niej, „Pracodawca pozyskując obligatoryjne dane osobowe osoby ubiegającej się o zatrudnienie lub pracownika spełni przesłankę niezbędności wypełnienia obowiązku prawnego”, czyli właśnie artykuł sześć, ustęp jeden, litera C, czyli wszystko to, co będziemy przetwarzać na podstawie paragrafu drugiego artykułu dwadzieścia dwa ze znaczkiem jeden, czy paragrafu trzeciego, czy później na podstawie zgody z artykułu dwadzieścia dwa ze znaczkiem jeden A. Tutaj będziemy mówić o podstawie prawnej wynikającej z obowiązku prawnego. Jeżeli będziemy przetwarzać dane osobowe na podstawie zgody, czyli będzie pewien zakres informacji, które albo z inicjatywy kandydata, albo z naszej inicjatywy pozyskamy i będziemy mieli tę zgodę, to tutaj wskażemy, że pozyskaliśmy i przetwarzamy na podstawie artykułu sześć, ustęp jeden, litera A, czyli zgoda. W przypadku danych szczególnych wyraźnie zostało wskazane i dopuszczona jest przesłanka przetwarzania danych osobowych wrażliwych też podstawie zgody. I tutaj ciekawostka, ponieważ z jednej strony z uzasadnienia projektu ustawy zmieniającej wynika, że w procesie rekrutacji będziemy mogli przetwarzać dane osobowe na podstawie trzech już wymienionych tutaj przesłanek i podstaw, czyli na podstawie artykułu sześć, ustęp jeden, litera C, kiedy musimy tak zadziałać z uwagi na to, że do tego nas zobowiązuje przepis prawa. Może nam kandydat wyrazić zgodę na przetwarzanie danych zwykłych, na przetwarzanie danych wrażliwych, natomiast w uzasadnieniu dalej czytamy, „W pozostałym zakresie zastosowanie znajdą inne przesłanki przetwarzania danych osobowych przewidzianych w artykule sześć i dziewięć RODO”.

Powiem Państwu szczerze, że sama naprawdę mocno zastanawiam się, z czego wynika ta rozbieżność, bo z jednej strony wprost zostało wskazane, że możemy tylko przetwarzać w oparciu o te trzy podstawy prawne, a z drugiej strony ustawodawca dopuszcza możliwość stosowania innych przesłanek wskazanych w artykule sześć i dziewięć. Jestem generalnie bardzo ciekawa, w jakim to pójdzie kierunku, oczywiście uzasadnienie w dalszej części milczy na temat tego, jak należy to interpretować i czy w związku z tym to jest możliwość przetwarzania na uzasadnionym interesie na przykład, czy nie ma możliwości przetworzenia danych osobowych w procesie rekrutacji na uzasadnionym interesie. Wydaje się, że jeżeli zostało to tak przedstawione, pewną furtkę do przetwarzania danych osobowych na podstawie uzasadnionego interesu mamy, z tym, że jak w tym momencie dokonać rozróżnienia, które to dane osobowe inne niż wskazane w katalogu artykułu dwadzieścia dwa ze znaczkiem jeden, paragraf jeden muszą być na zgodzie, a jakie informacje z kolei ja mogę przetwarzać na podstawie uzasadnionego interesu? Nie mam gotowego rozstrzygnięcia powiem szczerze, bo sama mocno się zastanawiam nad tym, w jakim to kierunku pójdzie i czy po prostu to jest przemyślane, i w jaki sposób należy to interpretować. Na ten moment w mojej ocenie, biorąc pod uwagę, że do tej pory, w wyniku wszystkich zmian legislacyjnych, które były prowadzone właśnie nad projektem ustawy, w toku tych zmian uzasadnienie też zmieniało się wielokrotnie i zawsze ten zapis zostawał. W mojej ocenie jest możliwość powołania się na ten moment na inną przesłankę przetwarzania danych w procesie rekrutacyjnym aniżeli tylko te, które zostały wymienione w punktach od jeden do trzy tego slajdu.

Kolejne pytanie, „Czy dane osobowe w rekrutacji mogą być przetwarzane na podstawie uzupełnionego interesu?”. Myślę, że odpowiedziałam na to pytanie, na pewno nie wynika to wprost z przepisów, bo treść przepisów przedstawiłam Państwu na poprzednich slajdach, tak one wyglądają. Żaden z tych przepisów wprost nie stanowi o tym, że taka przesłanka będzie mogła mieć tutaj zastosowanie, natomiast w uzasadnieniu znajdujemy właśnie taki wyboldowany zapis, który mówi, że w pozostałym zakresie takie przesłanki będą mogły mieć zastosowanie. Stąd też wydaje się, że będzie można oprzeć proces przetwarzania danych osobowych w procesie rekrutacji o uzasadniony interes, natomiast na ten moment trudno coś więcej powiedzieć na ten temat. Zgodę poprzez czynność potwierdzającą de facto mamy już wstępnie omówioną, czyli jak zabezpieczyć się na okoliczność przesłania nam danych osobowych w zakresie szerszym aniżeli ten, do którego przetwarzania jesteśmy upoważnieni na podstawie przepisu prawa. To już sobie omówiliśmy, możemy w treści ogłoszenia rekrutacyjnego na przykład zawrzeć taką klauzulę i wtedy poczytywać, że wszystkie informacje, które zostały nam przesłane w CV, a wykraczające poza ten katalog, przetwarzamy na podstawie zgody wyrażonej poprzez czynność potwierdzającą.

Krótko na temat obowiązku informacyjnego. Obowiązek informacyjny, jak mówiliśmy, każdy administrator danych osobowych z momentem pozyskania danych osobowych osób fizycznych powinien poinformować i spełnić wobec tej osoby obowiązek informacyjny, w którym powinien przekazać takie informacje, kto będzie administratorem, jak długo będzie przetwarzał, w jakich celach komu będzie udostępniał, jakie prawa w związku z tym procesem przysługują tej osobie. I jeżeli chodzi o obowiązki informacyjne w procesie rekrutacji, to bardzo takim często praktykowanym sposobem realizacji tego obowiązku jest zamieszczanie ich już na etapie ogłoszenia. To oczywiście w tych kanałach rekrutacji, które wykorzystują do tego właśnie ogłoszenia prasowe, tutaj klauzula obowiązku informacyjnego może już stanowić treść ogłoszenia o pracę. Co zrobić w sytuacji, kiedy mamy niedostateczną ilość miejsca na teraz aktualnie mocno rozbudowaną treść klauzuli obowiązku informacyjnego? Propozycja tutaj Państwu przedstawiona jest taka, żeby w treści tego ogłoszenia zamieścić tylko skróconą klauzulę, czyli z informacjami o tym, kto jest administratorem i w jakim celu dane będą przetwarzane, natomiast właśnie do pełnej, tej kompletnej klauzuli informacyjnej odesłać poprzez albo wskazanie, w zależności od tego, jakim kanałem prowadzimy tę rekrutację, w ogłoszeniu prasowym możemy podać cały adres strony internetowej, pod którą możemy zapoznać się z tym pełnym brzmieniem klauzuli informacyjnej., natomiast w przypadku ogłoszeń publikowanych w Internecie możemy podlinkować od razu stronę do takiej informacji.

I teraz króciutko, ale też długo na temat tego, jak taki obowiązek informacyjny powinien wyglądać, czyli musimy na pewno poinformować o tym, kto będzie administratorem danych osobowych, czy wyznaczyliśmy IOD-a, jeżeli wyznaczyliśmy, to podać jego dane kontaktowe, wskazać na pewno cele przetwarzania danych osobowych. I teraz, jak Państwo zechcecie zauważyć, w punkcie trzy A wskazaliśmy na podstawę prawną przetwarzania danych osobowych w procesie rekrutacyjnym na stanowisko, na którym będzie osoba wykonywała pracę w oparciu o umowę o pracę. Bo weźmy pod uwagę, że Kodeks pracy stanowi o stosunku pracy na podstawie umowy o pracę, oczywiście też mamy tutaj mianowanie i inne podstawy, natomiast takimi najbardziej powszechnymi stosunkami i postawami zatrudnienia, można powiedzieć, osób, jest albo umowa o pracę, albo umowa zlecenie. Umowa zlecenie jest stosunkiem zobowiązaniowym wynikającym z Kodeksu cywilnego, zatem tutaj nie będziemy mówić, że mamy podstawę prawną do przetwarzania danych osobowych, wynikającą z Kodeksu pracy. To też jeżeli na etapie poszukiwania pracownika nie do końca jeszcze wiemy, w jakich warunkach będziemy chcieli go zatrudnić, czy to będzie zatrudnienie w oparciu o umowę o pracę, czy to będzie zatrudnienie w oparciu o umowę cywilno-prawną, a dopiero na przykład w czasie rozmów kwalifikacyjnych czy później, już po wyborze konkretnego kandydata będziemy podejmować decyzję, czy zatrudnimy go w oparciu o umowę o pracę, czy umowę cywilno-prawną, to tutaj troszkę będziemy mieli inne brzmienie obowiązku informacyjnego, więc jeżeli na etapie publikowania ogłoszeń nie wiecie Państwo jeszcze, jaka będzie forma zatrudnienia, natomiast chcieliby Państwo już na tym etapie spełnić ten obowiązek informacyjny, żeby później nie trzeba było za każdym razem, z momentem otrzymania danych osobowych, przekazywać indywidualnie tej treści klauzuli obowiązku informacyjnego, można spróbować określić cele te właśnie w ten sposób, jak mamy wskazane w punkcie trzy A. Czyli pierwszy punkt odnosi się właśnie w przypadku preferowania zatrudnienia w oparciu o umowę o pracę. W celu wykonania obowiązków wynikających z przepisów prawa, związane z procesem zatrudnienia, i tutaj wyraźnie wskazujemy na Kodeks pracy i na podstawę prawną, czyli obowiązek wynikający z przepisu prawa, artykuł sześć, ustęp jeden, litera C, i w zakresie tych informacji, które będą wykraczały poza katalog informacji z artykułu dwadzieścia dwa ze znaczkiem jeden, możemy wskazać, że w celu przeprowadzenia procesu rekrutacji w zakresie danych niewymaganych przepisami podstawą prawną będzie właśnie ta zgoda, wyrażona poprzez czynność potwierdzającą. Jeżeli chodzi o umowę cywilno-prawną, to tutaj alternatywnie właśnie możemy w punkcie B wskazać, że w przypadku zatrudnienia w oparciu o umowę cywilną podstawą prawną przetwarzania będzie dążenie do zawarcia umowy, a w zakresie wykraczającym, i tutaj nie będziemy wskazywać, o zakres wykraczający poza katalog z artykułu dwadzieścia dwa ze znaczkiem jeden, tylko określimy te dane jako dane fakultatywne. Czyli przyjmiemy, że niezależnie od tego, czy zatrudnimy ostatecznie w oparciu o umowę o pracę, czy w oparciu o umowę cywilno-prawną, katalog danych, które będziemy przetwarzać na etapie rekrutacji, przyjmiemy, że będzie ten sam. Tych samych informacji będziemy potrzebowali do podjęcia decyzji o zatrudnieniu kogoś na umowę o pracę, jak i cywilno-prawną, z tym, że tutaj w treści, formułując właśnie cel przetwarzania w związku z zatrudnieniem w oparciu o umowę o pracę, nie będziemy się posługiwali tutaj artykułem dwadzieścia dwa ze znaczkiem jeden, tylko możemy wskazać, że w zakresie danych fakultatywnych podstawą prawną będzie zgoda wyrażona też w sposób dorozumiany.

Dla celów przyszłych rekrutacji, będziemy mówić w kolejnych slajdach o przyszłych rekrutacjach i podstawie prawnej do prowadzenia tych procesów, ale jeżeli automatycznie w treści ogłoszenia zawarlibyśmy taką informację, że jeżeli jesteś zainteresowany, żebyśmy przetwarzali twoje dane osobowe także w innych procesach rekrutacyjnych, zamieść klauzulę zgody w swoim CV czy w swojej aplikacji zamieść klauzulę zgody, to wtedy też do celów prowadzenia przyszłych procesów rekrutacyjnych, w przypadku wyrażenia zgody. Czyli już jakby tutaj alternatywnie, ta osoba oczywiście nie będzie musiała nam zawrzeć tej klauzuli w CV, które do nas odeśle, ale jeżeli faktycznie na to się zdecyduje, to już będzie miała informację na temat podstaw prawnych przetwarzania danych osobowych. Tutaj zaproponowaliśmy właśnie, w punkcie D, podstawę prawną przetwarzania danych osobowych w oparciu o uzasadniony interes administratora, „w celu weryfikacji posiadanych przez panią, pana kwalifikacji i umiejętności oraz ustalenia warunków współpracy”. W katalogu danych osobowych wskazanych w artykule dwadzieścia dwa ze znaczkiem jeden, paragraf jeden mamy taki punkt, który mówi o kwalifikacjach zawodowych. Przez kwalifikacje zawodowe możemy tutaj rozumieć znajomość języków obcych, ukończone dodatkowe kursy, które nie będą zaliczały się do wykształcenia, ale jakąś są dodatkową kwalifikacją zawodową, i na przykład na etapie rekrutacji, spotkania rekrutacyjnego będziemy chcieli potwierdzić te umiejętności, to w naszej ocenie przeprowadzenie takiej próbki pracy nie będzie się mieściło właśnie w pojęciu kwalifikacji zawodowych. I tutaj upatrujemy właśnie podstawy prawnej dla przetwarzania tych informacji zebranych w toku właśnie tego procesu tak zwanej próbki pracy, podstawy prawnej przetwarzania na podstawie uzasadnionego interesu administratora. A ten uzasadniony interes administratora polega na tym, że chcemy zweryfikować informacje, które zostały nam wskazane w treści CV i które zostały nam oświadczone. W celu ewentualnego dochodzenia roszczeń, ochrony przed tymi roszczeniami oczywiście będziemy w dalszej części jeszcze rozmawiać na temat tego dwugłosu, który pojawia się w obszarze tego problemu, czyli stanowiska UODO, jak i Ministerstwa Cyfryzacji. W naszej ocenie wydaje się, że skoro z uzasadnienia ustawy zmieniającej do przepisów Kodeksu pracy wynika ta furtka, możliwość zastosowania uzasadnionego interesu, przetwarzanie danych pozyskanych w procesie rekrutacyjnym w związku z obroną przed ewentualnymi roszczeniami jak najbardziej miałoby uzasadnienie. Natomiast oczywiście trzeba pamiętać i mieć w tyle głowy, że tutaj różne stanowiska przez różne podmioty są w tym kreowane. I dalsze elementy obowiązku informacyjnego, to już są obowiązki standardowe, myślę, że tutaj nie będziemy dłużej na ten temat rozmawiać. Klauzula jest dla Państwa, będzie dostępna w prezentacji, prezentacja będzie dostępna dla Państwa razem z tą klauzulą, więc wydaje mi się, że ja nie ma tutaj potrzeby dalszego omawiania.

Mamy z kolei następne pytanie, „Zgodnie ze szkoleniem UODO odnośnie wydania poradnika dotyczącego zatrudnienia podstawą prawną do gromadzenia danych w procesie rekrutacji jest umowa. Jak odnosi się pani do takiego podejścia?”. Powiem tak, sam organ, jeżeli chodzi o treść obowiązków informacyjnych, które zamieszcza na swoich stronach internetowych, w zakładce „Kariera” czy „Oferty pracy”, jako podstawę prawną do przetwarzania danych osobowych w procesie rekrutacji wskazuje obowiązek wynikający z przepisu prawa. I tutaj mamy właśnie rozbieżność, że co innego jest w poradniku, a co innego organ zamieszcza i na inną przesłankę powołuje się w swoich obowiązkach informacyjnych. Ja osobiście uważam, że podstawą prawną przetwarzania danych osobowych w procesie rekrutacyjnym jest przepis prawa, obowiązek wynikający z przepisu prawa, nie zaś dążenie do zawarcia umowy. Dążenie do zawarcia umowy będzie w sytuacji kiedy będziemy zatrudniać na umowę cywilno-prawną.

„Pozyskiwanie informacji o kandydacie”, zarówno aktualnie, jak i w projekcie ustawy zmieniającej w zakresie Kodeksu pracy mamy taką normę i uregulowanie, z którego wynika, że udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Czyli należy to interpretować, i tak też wskazuje organ w swoim poradniku właśnie dla pracodawców, że co do zasady wszystkie informacje, które przetwarzamy i które będzie mogli przetwarzać na etapie rekrutacji, powinny pochodzić od naszego kandydata, który przekaże nam te informacje w formie oświadczenia. I takim oświadczeniem, rozumiem tutaj, będą wszelkie dokumenty aplikacyjne. Jeżeli ktoś w CV wskazuje, że ma wykształcenie takie, skończył taką i taką uczelnię, to tutaj organ stoi na stanowisku, że jeżeli nie mamy podstaw do tego, żeby przypuszczać, iż to oświadczenie jest nieprawdziwe, że faktycznie ta osoba nie ukończyła tej uczelni, to nie mamy prawa, jako osoba rekrutująca, dochodzić prawdziwości informacji na własną rękę. Tutaj ewentualnie możemy zawiadomić prokuraturę o możliwości popełnienia przestępstwa i to będzie organ, który będzie mógł badać prawdziwość tych dokumentów. Tak że co do zasady, jako podmiot rekrutujący, powinniśmy opierać się tylko na tych informacjach, które zakomunikował nam sam kandydat.

Co w takim razie z Pozyskiwaniem danych osobowych z portali społecznościowych? Tutaj organ konsekwentnie podtrzymuje, że niedopuszczalne jest pozyskiwanie tego typu informacji, weryfikowanie i wykorzystywanie zwłaszcza tych informacji w procesie rekrutacyjnym. Troszeczkę w innym tonie, może troszkę bardziej łagodnym, wypowiedziała się grupa robocza w dwa tysiące siedemnastym roku, która wskazała, iż co do zasady jest to uzależnione od tego, jaki jest profil danego portalu społecznościowego. Jeżeli jest to profil o charakterze czysto prywatnym, to tutaj faktycznie nie powinien pracodawca poszukiwać tych informacji, a nawet jak je poszuka, nie powinien ich wykorzystać. Czyli nie powinno być sytuacji, w której chcemy zatrudnić młodą mężatkę albo młodą osobę, kobietę i sprawdzamy na portalu społecznościowym, że niedawno wyszła za mąż, więc możemy zakładać, że prawdopodobnie w najbliższym czasie będzie chciała powiększyć rodzinę, i na przykład na tej podstawie odmówić jej zatrudnienia. Natomiast jeżeli jest to profil o charakterze czysto zawodowym, biznesowym, czyli profil, w którym ja dzielę się informacjami dotyczącymi mojego doświadczenia, mojej kariery ścieżki zawodowej, to tutaj grupa robocza już nam zasugerowała, że w tym zakresie jak najbardziej tak. Jeżeli chodzi o Linkedin, i tutaj mamy właśnie pytanie, to również we wspomnianym już poradniku dla pracodawców, który wydał prezes urzędu, też możemy zauważyć, że organ mimo wszystko skłania się właśnie do tego stanowiska grupy roboczej. Wyraźnie czytamy tam, że jeżeli jest to portal poświęcony właśnie życiu zawodowemu danej osoby, portal, do którego osoba ta, przystępując, wyraziła zgodę, zaakceptowała regulamin, z regulaminu wynika, że dane tej osoby będą udostępniane właśnie celu skontaktowania się z nią na przykład przez podmioty, które będą chciały nawiązać z nią kontakt pod kątem właśnie jej zrekrutowania do swoich firm, to tak. Tutaj dość pokrętnie, ale mimo wszystko, dopuszcza taką możliwość, natomiast z wyraźnym wskazaniem, że ten kontakt będzie uzasadniony i wykorzystanie tych informacji będzie uzasadnione tylko właśnie przy użyciu tego portalu, tego narzędzia, natomiast krytycznie wypowiada się w zakresie pozyskania tych informacji, zaciągnięcia na przykład adresu mailowego z tego portalu i skontaktowania się właśnie już drogą tradycyjną, czyli mailową, przeniesienia jakby tych swoich działań na inny kanał. Czyli reasumując, w zakresie Linkedina można dojść do wniosku, że organ troszeczkę już bardziej liberalnie podchodzi do tego problemu, dopuszcza taką możliwość, ale tylko właśnie w tym zakresie, kiedy ten kontakt odbywa się przy wykorzystaniu tego właśnie portalu społecznościowego.

Pozyskanie informacji o kandydacie, ciąg dalszy, bardzo często zadawane pytanie: co z referencjami? Czy możemy o takie referencje występować, czy też możemy je potwierdzać? I tutaj też, również argumentując to w ten sam sposób jak poprzednie pozyskiwanie informacji, UODO wskazuje, że jest to niedopuszczalne, chyba że posiadamy na to zgodę kandydata. Czyli wychodzi na to, że pozyskanie dodatkowych informacji w zakresie referencji, czy to z inicjatywy naszego kandydata, czy też sami, gdybyśmy chcieli wystąpić do danego podmiotu, będzie kwalifikowane przez organ do tych informacji, o których mowa w dodanym w aktualnym projekcie ustawy artykule dwadzieścia dwa ze znaczkiem jeden A, czyli tych informacji, które muszą być przetwarzane na podstawie zgody. Czyli jeżeli będziemy chcieli potwierdzić referencje otrzymane od naszego kandydata, musimy poprosić go o wyrażenie zgody. Tutaj referencje nie będą zawierały danych wrażliwych, więc to nie musi być zgoda wyraźna, natomiast oczywiście ze względów dowodowych najlepiej byłoby mieć ją odebraną w formie jakiejś utrwalonej, żeby później móc ewentualnie argumentować podstawę prawną przetwarzania tych informacji i tego działania.

Współpraca z agencja zatrudnienia i praca tymczasowa

 

Z uwagi na ograniczenia czasowe naszego webinarium nie przechodzimy podczas niego przez wszystkie modele prowadzenia rekrutacji, natomiast pozwolę sobie zwrócić uwagę na dwie relacje, z którymi najczęściej spotykamy się w procesie rekrutacyjnym, wtedy kiedy pracodawca niekoniecznie sam prowadzi proces rekrutacyjny, tylko wychodzi jakby z tym procesem na zewnątrz. Dlaczego akurat te dwie instytucje? Dlatego że wokół nich jest najwięcej wątpliwości, jeżeli chodzi o kwestie potrzeby zawarcia ewentualnie umowy powierzenia. Jeżeli chodzi o agencję zatrudnienia, ona może występować i prowadzić swoje działania w dwóch rolach, może być administratorem danych osobowych kandydatów do pracy, ale może być też procesorem. Kiedy mamy do czynienia z rolą administratora agencji zatrudnienia? Wtedy kiedy jest to podmiot, który zajmuje się zawodowo tworzeniem baz danych, gromadzeniem informacji o osobach, które poszukują zatrudnienia, a dodatkowo z drugiej strony, które świadczą na rzecz swoich klientów usługę wyszukania właściwego kandydata, wyselekcjonowania go z określonej liczby osób. Te podmioty najczęściej zamieszczają ogłoszenia we własnym imieniu, zapewniają sobie podstawę prawną do przetwarzania danych osobowych, najczęściej jest to albo zgoda, albo realizacja umowy, ponieważ zawierają z tą osobą, która decyduje się na przekazanie swoich danych osobowych do bazy prowadzonej przez ten podmiot. Zawierają swego rodzaju umowę, ja daję wam dane, ale też oczekuję, że będziecie moją kandydaturę przedstawiać różnym podmiotom. I w takiej sytuacji, kiedy pracodawca, który nie chce tam zajmować się procesem rekrutacji, tylko ustala sobie określone warunki, jakie musi spełniać kandydat, wychodzi z tym procesem rekrutacji do agencji zatrudnienia, agencja zatrudnienia wyszukuje ze swoich baz danych osobowych odpowiednich kandydatów spełniających takie warunki albo publikuje ogłoszenia i zbiera nowe kandydatury, a następnie udostępnia naszemu pracodawcy konkretne, już wybrane, wyselekcjonowane osoby. Czyli na przykład pięć, dziesięć osób, które są najbliżej spełnienia tych wymogów postawionych przez pracodawcę. Udostępnia, to znaczy dochodzi do zmiany administratora i celu przetwarzania danych osobowych. Z momentem otrzymania takich danych osobowych, takich CV, takich profili, sylwetek kandydatów wyselekcjonowanych przez agencję zatrudnienia, pracodawca staje się administratorem tych danych i powinien spełnić obowiązek informacyjny i poinformować o celach przetwarzania. To będzie obowiązek informacyjny z artykułu czternastego, zatem też trzeba będzie wskazać źródło pochodzenia danych, jaki zakres pochodzenia danych. W tym modelu nie dochodzi do powierzenia przetwarzania danych osobowych i nie ma potrzeby zawierania umowy powierzenia.

Inaczej sytuacja przedstawia się wtedy kiedy agencja zatrudnienia jest procesorem, to znaczy kiedy administrator od początku decyduje o tym, w jaki sposób ma być prowadzony proces rekrutacji. Czyli agencja zatrudnienia, po pierwsze, nie korzysta ze swojej bazy danych, tylko działa na nasze polecenie, może opublikować i przygotować treść ogłoszenia na naszą prośbę, ale działa de facto już w imieniu administratora. Nie będziemy wtedy w treści tego ogłoszenia mieli informacji, że to agencja zatrudnienia szuka dla swojego klienta określonego kandydata, tylko już takie ogłoszenie powinno być czysto spersonalizowane, w sensie spersonalizowane w rozumieniu podmiotu poszukującego. I wszystkie informacje, wszystkie czynności, wszystkie dane, które zostaną zgromadzone w odpowiedzi na ten proces rekrutacyjny, który jest prowadzony przez agencję zatrudnienia niejako na zlecenie, od początku do końca, to wszystkie te czynności agencja zatrudnienia prowadzi w roli procesora. Formalnie odpowiada za cały ten proces zleceniodawca, czyli pracodawca, który zlecił prowadzenie tej rekrutacji. I właśnie w tej sytuacji mamy do czynienia z powierzeniem, ponieważ tutaj jakby o celach i środkach przetwarzania tych danych osobowych decyduje od początku do końca nasz podmiot zlecający, czyli ten podmiot, który jest zainteresowany zatrudnieniem pracownika, i to jest okoliczność i sytuacja, model, w którym powinniśmy zawrzeć z taką agencją zatrudnienia umowę powierzenia przetwarzania danych osobowych.

I tutaj mamy pytanie, „Czy jeżeli agencja jest administratorem, to nie stosuje ona Kodeksu pracy, a podstawy przetwarzania odnajduje bezpośrednio w RODO?”. Tak, dlatego że agencja zatrudnienia świadczy usługę pośrednictwa pracy i ma podstawy prawne do tego, żeby przetwarzać dane na podstawie jednej z podstaw wynikających z RODO, natomiast tutaj już jest jakby po stronie pracodawcy, w sytuacji tego udostępnienia, relacja między pracodawcą a agencją zatrudnienia wymaga tego, żeby agencja zatrudnienia nie przekazała więcej aniżeli pracodawca, któremu konkretne kandydatury będą przedstawione, może przetwarzać. Czyli w tym momencie już jakby inny zakres danych będzie mogła przedstawić agencja pracy z uwagi na to, że świadczy taką usługę, ale przy tym udostępnieniu danych osobowych już do podmiotu, który faktycznie będzie przetwarzał w celu rekrutacyjnym, to już tutaj strony powinny się porozumieć. Czyli pracodawca powinien oczekiwać, że agencja zatrudnienia będzie mu przekazywała więcej aniżeli ten zakres danych, do którego go on ma uprawnienie czy obowiązek je posiadać.

Zatrudnienie pracownika tymczasowego. Wiele rozbieżności, wiele różnych stanowisk, jeżeli chodzi o tę formę zatrudnienia. Co do zasady, jeżeli chodzi o zatrudnienie pracowników tymczasowych, reguluje to ustawa o zatrudnianiu pracowników tymczasowych. Mamy tutaj do czynienia z dwoma rodzajami pracodawców, pracodawca jako agencja pracy tymczasowej i pracodawca użytkownik, czyli ten podmiot, do którego ten nasz pracownik czasowy jest kierowany. Umowa przez pracownika tymczasowego zawierana jest z agencją pracy tymczasowej, umowa o pracę, tak więc wszystkie obowiązki wynikające z faktu bycia pracodawcą w tym momencie ciążą na agencji pracy tymczasowej, ale nie oznacza to, że nasz pracodawca użytkownik nie ma żadnych obowiązków, innych wobec tych pracowników tymczasowych którzy są do niego kierowani. Wprost z przepisów tej ustawy wynika, że pracodawca użytkownik ma obowiązek prowadzenia po pierwsze, ewidencji czasu pracy tych osób, po drugie, ewidencji czasu zatrudnienia, ma też obowiązek przeprowadzenia i dbania o bezpieczeństwo i higienę pracy tych osób, tak więc wchodzą tutaj w grę wszelkiego rodzaju szkolenia w zakresie BHP. Oczywiście, i w tym zakresie przyjmuje się, że pracodawca użytkownik, czyli ten podmiot, do którego pracownik tymczasowy został skierowany, jest administratorem tych osób, czyli w tym wąskim zakresie musi on spełnić obowiązek informacyjny wobec tej osoby. Czyli to nie jest tak, że my możemy przy pracy tymczasowej zupełnie zapomnieć o tych obowiązkach jakie, nakłada na nas Kodeks pracy czy RODO. Tutaj musimy zapamiętać, że jesteśmy administratorem danych tych osób w tym wąskim zakresie, ze względu na te trzy cele i trzy obowiązki, które mamy nałożone przepisami prawa. I tak jak powiedziałam, było sporo kontrowersji, ponieważ organ stał i do tej pory, można powiedzieć, że stoi na stanowisku, że agencja pracy tymczasowej powierza pracodawcy użytkownikowi dane pracownika tymczasowego. Wydaje się, że z uwagi na to, iż pracodawca użytkownik pełni w pewnym zakresie samodzielną rolę administratora danych osobowych, nie możemy tutaj mówić o powierzeniu danych osobowych, przynajmniej w zakresie tych informacji, które musi on przetwarzać dla realizacji tych celów. Jeżeli jest to cel związany z ewidencją czasu pracy, zatrudnienia BHP, no to wiadomo, że będzie to zakres, imię, nazwisko, numer PESEL, być może, jeżeli jest nam potrzebny w celu właściwej identyfikacji pracowników, czy data urodzenia, ponieważ takie informacje są nam potrzebne w celu wydania na przykład zaświadczenia o odbytym szkoleniu BHP. Więc tutaj w tym zakresie tych informacji, które przekazuje nam agencja pracy tymczasowej, w momencie przekazania i skierowania pracownika do pracy dochodzi do udostępnienia tych danych, które są przetwarzane przez pracodawcę użytkownika we własnych celach, jako administratora danych. Jeżeli proces zatrudnienia pracownika tymczasowego między stronami będzie wyglądał troszeczkę inaczej, to tutaj jak najbardziej wchodzą w grę wszelkiego rodzaju modyfikacje. Czyli jeżeli pewne czynności, na przykład w zakresie szkoleń BHP albo prowadzenia ewidencji czasu pracy w imieniu pracodawcy użytkownika będzie realizowała agencja pracy tymczasowej, to tutaj niewykluczone jest zawarcie umowy powierzenia, ale wtedy pracodawca użytkownik powierzy przetwarzanie agencji pracy tymczasowej właśnie w celu realizacji tych obowiązków, które są na ten podmiot nałożone przepisami prawa.

Budowanie baz rekrutacyjnych. Powoli zbliżamy się do końca, jeszcze kilka informacji. Wspominaliśmy wcześniej, że jest to ostatnio bardzo powszechne, podmioty rekrutujące są zainteresowane tym, żeby móc przetwarzać dane osobowe swoich kandydatów, żeby móc po nie sięgnąć, jak nie w tym procesie rekrutacyjnym, to w kolejnych w przyszłości. I co zrobić, żeby było to możliwe? Na pewno musimy odebrać zgodę takiego kandydata na przetwarzanie w tym celu. To będzie tyle rekrutacyjny, ale inny niż cel aktualnej rekrutacji. Nie możemy na pewno bez zgody naszego kandydata, który wysłał nam CV w odpowiedzi na aktualnie trwające postępowanie rekrutacyjne, przyjąć, że możemy z tych danych korzystać również w celu innych procesów. To są dwa różne cele, cel aktualnego procesu i cel przyszłych procesów rekrutacyjnych.

Zakres przekazanych danych osobowych musi być też adekwatny, oczywiście pytanie, jak podejść do tego teraz w sytuacji, kiedy mamy inny zakres danych, które możemy przetwarzać, przy tych niższych stanowiskach, a inny przy wyższych stanowiskach, ale co do zasady wydaje się, że na potrzeby przyszłych procesów rekrutacyjnych możemy przetwarzać na pewno zakres informacji wskazanych w artykule dwadzieścia dwa ze znaczkiem jeden, paragraf jeden, natomiast jeżeli spośród tych kandydatów później będziemy poszukiwali kandydata na niższe stanowisko, po prostu nie będziemy brać pod uwagę tych informacji, których brać nie powinniśmy, czyli wykształcenia, kwalifikacji zawodowych, dotychczasowego przebiegu kariery zawodowej.

Okres przechowywania CV dla potrzeb przyszłych okresów rekrutacyjnych, co do zasady, jeżeli rekrutacja odbywa się na podstawie zgody, możemy przetwarzać dane osobowe w celu przyszłych procesów rekrutacyjnych na podstawie zgody, czyli przechowywać je, to tak naprawdę ten okres retencji powinien być wyznaczony poprzez fakt wycofania tej zgody, czyli dopóki ktoś się temu nie sprzeciwi, to wtedy przetwarzamy te informacje. Ale jednym z obowiązków wynikających z RODO, nałożonych na administratorów jest obowiązek wprowadzenia retencji danych, czyli niezależnie od tego, czy taka osoba, która wyraziła nam zgodę na przetwarzanie danych w celu przyszłych procesów rekrutacyjnych, wycofała tą zgodę, czy też nie, jako administrator danych powinniśmy ustalić sobie okres, przez który będziemy te CV przetwarzać. To może być okres wynikający z dezaktualizacji tych informacji, czyli w życiu zawodowym danej osoby pół roku może stanowić już dezaktualizację tych informacji, które mamy. I teraz pytanie, czy zasadnym i potrzebnym jest przechowywanie tych materiałów?

Jeżeli chodzi o zgodę. Tutaj w jaki sposób najbezpieczniej jest ją odebrać? Przy okazji omawianego obowiązku informacyjnego i treści ogłoszenia rekrutacyjnego wskazywałam, że jeżeli są Państwo zainteresowani przetwarzaniem, czy pracodawca jest zainteresowany przetwarzaniem CV również po zakończeniu konkretnego procesu rekrutacji, już na tym etapie może próbować sobie zabezpieczyć tę przesłankę. Najlepiej oczywiście, w zależności też od kanału, którym prowadzona jest rekrutacja, jeżeli prowadzona jest drogą elektroniczną, możemy zawrzeć w którymś miejscu formularza czy też portalu, za pośrednictwem którego dokonujemy zbierania tych informacji, możemy zamieścić klauzulę, „Wyrażam zgodę na przetwarzanie moich danych osobowych na potrzeby przyszłych procesów rekrutacyjnych”, i też pamiętamy, że ona musi spełniać wszystkie warunki wynikające z RODO, musi też informować o prawie do wycofania zgody. Jeżeli rekrutacja odbywa się poprzez opublikowanie ogłoszenia i wskazanie kanału, którym należy przekazywać swoje aplikacje, możemy treść tej zgody opublikować właśnie w treści tego ogłoszenia ze wskazaniem, „Jeżeli jesteś zainteresowany, abyśmy przetwarzali twoje dane osobowe również w celu przyszłych procesów rekrutacyjnych, zamieść w swoim CV czy innym dokumencie, który będziesz przesyłał do nas jako zgłoszenie swojej kandydatury, taką właśnie zgodę”. I jeżeli otrzymamy CV z taką klauzulą, jak najbardziej będziemy mogli uznać, że mamy podstawę prawną do przetwarzania danych w celu przyszłych procesów rekrutacyjnych.

Pytania

Mamy tu troszkę pytań, więc od razu do nich wrócimy i za chwilkę będziemy jeszcze kontynuować. „Czy jeżeli agencja jest administratorem, to nie stosuje ona”, to już mamy, „Czy mam rozumieć, że agencja pracy tymczasowej nie powierza przetwarzania danych osobowych swoich pracowników pracodawcy użytkownikowi?”. Tak, w mojej ocenie nie mamy tutaj w tym wąskim zakresie informacji, które przekazujemy w celu wprowadzenia pracownika do pracodawcy użytkownika, nie ma potrzeby zawierania umowy powierzenia przetwarzania danych osobowych. „Czy zdjęcie traktować jako dane z artykułu dziewiątego? Może wskazywać na pochodzenie etniczne, wyznanie, na przykład Hindusi”. Ja jestem daleka od tego typu interpretacji, wydaje mi się, że to już są tak zwane dane kontekstowe i dane wyinterpretowane. I w mojej ocenie nie traktowałabym zdjęcia przedstawiającego właśnie osobę o określonym pochodzeniu etnicznym jako danych z artykułu dziewiątego. „Czy klauzula powołująca się jest aktualna?”. Absolutnie, nie jest aktualna, trzeba wyraźnie wskazywać na podstawy prawne przetwarzania danych osobowych aktualne, czyli RODO, względnie przepisy prawa krajowego. „Chodziło mi o zgodę na CV”, pani Iwona. Czyli rozumiem, że to jest do pytania, czy klauzula zgody, nie, nie jest dlatego, po pierwsze, że te klauzule zgody, które były przygotowywane i stosowane z powołaniem się na ustawę z artykułu dziewięćdziesiątego siódmego roku, nie zawierają tego bardzo ważnego elementu zgody, która musi teraz być wyrażona zgodnie z RODO, czyli nie ma w niej informacji o prawie do jej wycofania. Poza tym ustawa z dziewięćdziesiątego siódmego roku jest już ustawą nieobowiązującą i nie ma już podstawy prawnej w postaci zgody wyrażonej na podstawie ustawy o ochronie danych osobowych z dziewięćdziesiątego siódmego roku. Jest teraz zgoda wyrażona na podstawie RODO, czyli wyrażona zgodnie z artykułem sześć, ustęp jeden, litera A RODO.

„To znaczy, mam wyciąć z bazy CV”. Rozumiem, że jeżeli chodzi o te CV, które zawierają jeszcze stare zgody, stare klauzule. Tutaj dotykamy tematu dość istotnego z punktu widzenia biznesowego, bo to jest temat, czy zgody wyrażone przed RODO są aktualne, czy też nie. Wszystko zależy od tego, w jaki sposób były wyrażone, bo jeżeli zgoda zawierała wszystkie te elementy, które musiała zawierać pod rządami ustawy z dziewięćdziesiątego siódmego roku oraz dyrektywy, której ustawa była implementacją, to tutaj są też różne podejścia. Jedni uważają, że jak najbardziej wtedy możemy pozostać przy tych zgodach, inni twierdzą, że powinniśmy je aktualizować, powinniśmy te bazy tak zwanie uzdrawiać, chociażby poprzez przekazanie tym osobom, które takie zgody wcześniej nam wyraziły, informacji o tym, że mają prawo je wycofać w każdej chwili. Wydaje mi się, że na pewno to, co można by było rekomendować, jeżeli ma pani CV, które zawierają stare zgody, to też dobrze by było po pierwsze, zweryfikować, czy jest jeszcze sens przechowywania takich aplikacji, czy właśnie może nie należałoby ich usunąć z uwagi na okres retencji danych, na dezaktualizację tych informacji, sprawdzić, jakie jest brzmienie tej zgody, i tutaj już jednostkowo, indywidualnie zastanowić się, czy te podstawy do przetwarzania danych osobowych są aktualne, czy też nie.

Przechowywanie danych osobowych kandydatów po zakończeniu procesu rekrutacji

 

Przechowywanie informacji o kandydacie po zakończeniu procesu rekrutacji. Możemy tutaj jakby rozróżnić sposób działania i zasady działania uzależnić od tego, czy zatrudniliśmy kandydata, czy też wyraził on nam zgodę na przyszłe rekrutacje, czy też ani go nie zatrudniliśmy, ani nie wyraził zgody na przyszłe rekrutacje. Załóżmy pierwszą sytuację, kiedy przetwarzamy dane w procesie rekrutacyjnym, mamy dokumenty aplikacyjne tej osoby, nie zatrudniamy jej, nie wyraziła ona nam zgody na przyszłe rekrutacje. Co do zasady powinniśmy niezwłocznie po zakończeniu procesu rekrutacyjnego takie dane usunąć. Pytanie, czy możemy je przetwarzać w celu obrony przed ewentualnymi roszczeniami z tytułu dyskryminacji czy też innymi. I tutaj, jak już wstępnie wskazywaliśmy, jest rozbieżność. UODO wyraźnie wskazuje, że nie, nie ma takich możliwości, ponieważ przy zarzucie dyskryminacji ciężar dowodu spoczywa na osobie, która jakby zarzut ten stawia, więc tutaj nie ma potrzeby na zapas przechowywania tego typu informacji, ponieważ to ona musi nam udowodnić, że była dyskryminowana, więc tutaj organ zajmuje takie stanowisko, natomiast Ministerstwo Cyfryzacji wskazuje, że jak najbardziej, w celu ewentualnego dochodzenia roszczeń, czy to dyskryminacyjnych, czy innych, związanych z roszczeniami, które taki kandydat mógłby w stosunku do nas mieć, możemy przetwarzać. Więc tutaj jest pytanie, co do zasady powinno się usunąć, chyba że mamy jakiś cel, stwierdzamy, że faktycznie, może ten konkretny proces rekrutacji był na tyle problematyczny, że możemy przypuszczać, że ta osoba na przykład wróci do nas już, że tak powiem, od innej strony, czyli właśnie będzie chciała dochodzić tych roszczeń, więc tutaj też wydaje się, że każdorazowo należałoby dokonywać oceny podstawy prawnej, jakby niezbędności potrzeby przechowywania tych dokumentów.

Jeżeli zatrudniamy kandydata, to zgodnie z Rozporządzeniem Ministra Rodziny, Pracy i Polityki Społecznej w sprawie dokumentacji pracowniczej, oświadczenia i dokumenty dotyczące danych osobowych zgromadzonych w związku z ubieganiem się o zatrudnienie przechowujemy w aktach osobowych, w części A. Czyli w momencie zatrudnienia kandydata nie musimy usuwać zgromadzonych na etapie rekrutacji dokumentów i oświadczeń dotyczących jego osoby, tylko przechowujemy je w aktach osobowych. I tutaj jeżeli chodzi o okresy przechowywania akt osobowych, a w związku z tym również i tych informacji zgromadzonych na etapie rekrutacji, mamy w tym momencie dwa terminy, utrzymany termin pięćdziesięcioletni dla stosunków pracy nawiązanych przed pierwszym stycznia dwa tysiące dziewiętnaście i dziesięcioletni dla stosunków pracy nawiązanych po pierwszym stycznia dwa tysiące dziewiętnaście. Oczywiście jest kilka wyjątków, natomiast generalna zasada jest taka, czyli zatrudniając pracownika nie musimy usuwać jego CV i innych dokumentów aplikacyjnych, te gromadzimy w części A akt osobowych.

Natomiast jeżeli chodzi o „Zgodę na przyszłe rekrutacje”. To tutaj też już wcześniej powiedzieliśmy, co do zasady możemy je przechowywać do momentu wyrażenia zgody, bo mamy taką podstawę prawną. Jeżeli ktoś wyraził, to jeżeli będzie się temu sprzeciwiał, powinien cofnąć i wtedy nie mamy podstawy prawnej, ale niezależnie od tego, my możemy się nigdy nie doczekać na to, żeby ktoś nam taką zgodę wyraził, powinniśmy tutaj pamiętać, że jako administrator danych osobowych musimy też dać jakąś granicę przetwarzania pewnych informacji, określić okres retencji. GIODO sugeruje, żeby już ten okres retencji, przydatności tego CV, które będziemy przetwarzać w celu przyszłych procesów rekrutacyjnych, komunikować już samemu zainteresowanemu na etapie wyrażenia przez niego zgody, i na przykład właśnie w takiej klauzuli znajdującej się na stronach urzędu Taka klauzula wyrażenia zgody na przetwarzanie danych w celu przyszłych procesów rekrutacyjnych wyraźnie wskazuje, że dane te nie będą przetwarzane dłużej niż na przykład sześć miesięcy, ponieważ organ uznał, że powyżej sześciu miesięcy jakby przetwarzanie się tych informacji nie ma sens.

I już ostatni slajd, i za chwilkę przechodzimy do odpowiedzi na dodatkowe pytania, które się pojawiły. Też w sumie odpowiedzieliśmy już, rozmawialiśmy na ten temat, odpowiedzieliśmy na pytanie, czy dopuszczalne jest przechowywanie informacji w celu obrony przed roszczeniami. Dwugłos, według organu jest to niedopuszczalne, organ uważa, że na etapie procesu rekrutacyjnego między kandydatem a pracodawcą nie dochodzi do żadnego stosunku zobowiązaniowego, na podstawie którego można by było wzajemnie wobec siebie formować jakieś roszczenia, stąd przetwarzanie tych informacji jest przetwarzaniem danych na wszelki wypadek. Natomiast Ministerstwo Cyfryzacji jak najbardziej dostrzega takie możliwości i dopuszcza przetwarzanie w tym celu, właśnie uzasadniając to interesem administratora danych osobowych.

Podoba Ci się ten artykuł?
Nawiąż z nami kontakt lub zapisz się do Newslettera



Jesteś u nas już chwilę, co bardzo nas cieszy.
A może chcesz być na bieżąco i czasami dostawać informacje o nowościach na stronie?
Obiecujemy nie spamować :)

Uzupełnienie powyższego pola oznacza zgodę na otrzymywanie od Maruta Wachta sp.j., z siedzibą w Warszawie (00-684) przy ul. Wspólnej 62, (Kancelaria) informacji dotyczących oferty Kancelarii drogą e-mailową. Zgodę można wycofać w każdym czasie bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. Administratorem danych osobowych jest Kancelaria. Dane osobowe osób zapisujących się na newsletter są przetwarzane w celu przesyłania informacji dotyczących oferty Kancelarii drogą e-mailową. Więcej informacji o przetwarzaniu danych osobowych, w tym o przysługujących Państwu prawach, znajduje się w naszej Polityce Prywatności.