Rozporządzenie o Ochronie Danych Osobowych – RODO – dotyczy przetwarzania danych osobowych osób fizycznych przez przedsiębiorstwa, organizacje i osoby fizyczne w UE. Zostało przyjęte przez Parlament Europejski i Radę Unii Europejskiej 24 maja 2016 roku. Kraje członkowskie UE miały dwa lata na wdrożenie nowych przepisów. Od 25 maja 2018 roku w RP RODO zastąpiło polską ustawę o ochronie danych osobowych, wprowadzając liczne zmiany w zakresie przetwarzania danych osobowych, w tym także w procesach rekrutacyjnych.
Kogo dotyczy RODO?
RODO stosuje się, gdy: Jesteś zobowiązany do stosowania przepisów RODO, jeśli prowadzisz działalność na terenie UE i przetwarzasz dane osobowe (niezależnie od faktycznego miejsca przetwarzania danych), a także jeśli prowadzisz działalność z siedzibą poza UE, ale w związku z oferowanymi towarami lub usługami osobom fizycznym przetwarzasz ich dane w UE. Ponadto firmy spoza Unii Europejskiej, które przetwarzają dane osób mieszkających w UE, zobowiązane są do wyznaczenia swojego przedstawiciela w Unii.
Naruszenie przepisów RODO
Organizacja nieprzestrzegająca przepisów RODO musi liczyć się z koniecznością zapłaty kary finansowej. Jej dokładna wysokość jest uzależniona od tego, które z obowiązujących postanowień zostanie naruszone, w jakim stopniu, jaka jest skala nieprzestrzegania danego obowiązku, a także jakie działania podjęła organizacja w celu spełnienia wymogów RODO. W przepisach mamy ujęty maksymalny wymiar kary, którego wysokość może zostać ustalona nawet na poziomie 20 mln euro lub 4% światowego obrotu danego przedsiębiorstwa. Dodatkowo organ ochrony może nakazać wdrożenie dodatkowych środków naprawczych jak np. zaprzestanie przetwarzania danych osobowych.
Kiedy RODO nie obowiązuje?
RODO nie ma zastosowania w przypadku osoby nieżyjącej; jeśli dane dotyczą osoby prawnej, a także jeśli przetwarzane dane nie są związane z działalnością gospodarczą, handlową lub zawodową osoby te dane przetwarzającej.
Dane na rozmowie kwalifikacyjnej
RODO wprowadziło zmiany w przepisach krajowych – nowelizacja art. 221, wprowadzenie art. 221a i art. 221b w Kodeksie pracy, które są istotne w procesie rekrutacji. Regulacje prawne przyjęte w Kodeksie pracy mają na celu zabezpieczenie danych osobowych pracownika (i kandydata do pracy) i odnoszą się do wszystkich pracodawców. Pamiętajmy natomiast, że Kodeks pracy zakresowo nie uwzględnia umów o charakterze cywilnoprawnym jak np. umowy zlecenia czy umowy o dzieło, więc omawiane kwestie dotyczą tylko pracodawców i pracowników w zakresie umowu o pracę.
Przy aktualnym stanie prawnym informacje dotyczące pracownika są objęte szczególną ochroną tak przez prawo Unii Europejskiej, jak i prawo krajowe. Z tego względu pracodawca ma prawo poprosić osobę ubiegającą się o pracę, a później pracownika, o podanie tylko tych informacji o samym sobie, na których przekazanie pozwalają mu przepisy prawa. Zdarzają się także takie sytuacje, gdy pracodawca nie jest uprawniony do wypytywania o dane osobowe pracownika, mogące wpłynąć na przebieg i charakter pracy, do czasu, aż nie wyjawi ich osobiście pracownik, należy do nich m.in. niepełnosprawność.
Jakich danych ma prawo żądać pracodawca na rozmowie kwalifikacyjnej?
W myśl art. 221 Kodeksu pracy nie mogą być to dane inne, aniżeli te wskazane w regulacjach prawnych, pod warunkiem, że są one niezbędne do wykonywania przez danego pracownika proponowanej mu posady.
Dane te obejmują:
imię i nazwisko;
datę urodzenia;
dane kontaktowe;
wykształcenie – jedynie w takim zakresie, jaki związany jest z wykonywaną pracą (lub pracą, o jaką się stara kandydat).
kwalifikacje zawodowe-rozumiane nie tylko jako doświadczenie, ale wszelkie cechy, umiejętności i predyspozycje w zakresie jak wykształcenie;
przebieg dotychczasowego zatrudnienia-przy czym znaczenie mają tylko te informacje, których charakter jest niezbędny do wykonywanej pracy;
W przypadku takich danych jak np. obywatelstwo-podanie go jest wymagane tylko w sytuacji, kiedy jest to niezbędne do wypełnienia obowiązku wynikającego z obowiązujących przepisów prawa np. stanowisko urzędnika publicznego. Jeśli chodzi o kwestię ciąży i jej planowania-nie ma obowiązku ujawniania takich informacji, pod warunkiem że wykonywana praca nie jest zakazana ze względu na ochronę macierzyństwa.
Na etapie rekrutacji nie jest wymagane podanie imion rodziców i adresu zamieszkania/korespondencyjnego.
Dokumentacja danych osobowych
Podanie przez pracownika lub kandydata danych osobowych, z założenia, ma postać pisemnego oświadczenia osoby, której one dotyczą, w zakresie niezbędnym do ich potwierdzenia. Pracodawca poza oświadczeniami pisemnymi ma prawo żądać udokumentowania informacji na temat kandydatów do pracy przez okazanie świadectw pracy i dokumentów poświadczających ich kwalifikacje.
RODO pozwala na wykonywanie kopii dokumentów przedkładanych przez pracownika (kandydata). Należy je przechowywać w aktach osobowych pracownika prowadzonych w formie papierowej.
Podstawy prawne przetwarzania danych osobowych
Za jeden z zasadniczych obowiązków wynikających z RODO należy uznać proces przetwarzania danych w oparciu o konkretną podstawę prawną. Dla kandydatów na pracowników takową podstawą będzie przede wszystkim spełnienie obowiązków prawnych spoczywających na pracodawcy jako administratorze danych osobowych. Będzie to wspomniany art. 221. § 1 Kodeksu pracy, na podstawie którego pracodawca „żąda” od kandydata do pracy podania wskazanych wyżej danych osobowych. Pozostałe obowiązki ustawowe mogą natomiast wynikać z kolejnych przepisów prawa pracy lub ubezpieczeń społecznych.
Zgoda zawarta w CV
Na ogół jest jednak tak, że CV kandydata zawiera więcej informacji o sobie niż te, które są wymagane przez Kodeks pracy (np. adres zamieszkania, PESEL czy zdjęcie). Czy konieczne będzie wówczas zebranie od niego zgody na przetwarzanie danych wykraczające poza katalog ustawowy?
Wyrażona przez kandydata do pracy zgoda może być podstawą przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 221. § 1 Kodeksu pracy, z wyłączeniem danych osobowych, o których mowa w art. 10 RODO (przetwarzanie danych osobowych dotyczących wyroków skazujących i czynów zabronionych). Za wyraźną deklarację potwierdzającą uznaje się bowiem zachowanie, które w sposób jednoznaczny oznacza zgodę na przetwarzanie danych osobowych, za które można uznać dobrowolne i świadome umieszczenie swoich dodatkowych danych osobowych w CV przez kandydata.
Należy podkreślić, że wspomniany wyżej brak zgody bądź jej wycofanie nie może stanowić przesłanek do nieprzychylnego traktowania kandydata do pracy i wywoływać wobec niego jakichkolwiek negatywnych konsekwencji, w szczególności zaś nie może być przyczyną powodującą odmowę zatrudnienia.
Natomiast zgoda w formie wyraźnego oświadczenia będzie konieczna do przetwarzania:
– danych wrażliwych, określonych w art. 9 ust. 1 RODO ( kiedy kandydat podaje w CV np. dane o stopniu swojej niepełnosprawności, chorobie przewlekłej lub zaburzeniach wzroku). Przy czym podanie tych danych może nastąpić wyłącznie z inicjatywy samego pracownika;
– danych osobowych na potrzeby przyszłych rekrutacji – tutaj należy wskazać okres przetwarzania (zaleca się, aby nie był dłuższy niż 3 lata.
Wyrażona zgoda kandydata nie może jednak stanowić podstawy przetwarzania danych o wyrokach skazujących i czynach karnych, o których mowa w art. 10 RODO, ponieważ wyłączną taką podstawą może być nałożony na pracodawcę obowiązek prawny wynikający z art. 221. § 1 Kodeksu pracy w związku z art. 10 i art. 6 ust. 1 lit. c RODO.
Okres przechowywania danych kandydata
Kandydat do pracy powinien otrzymać od pracodawcy informację o zasadach przetwarzania jego danych osobowych. Pracodawca, jako administrator danych osobowych, zgodnie z art. 13 RODO powinien w tym zakresie spełnić obowiązek informacyjny.
Długość okresu przechowywania danych osobowych kandydatów zależna jest od wyniku rekrutacji.
- W przypadku kandydatów, którzy nie zostali zakwalifikowani do dalszego etapu rekrutacji/nie zostali zatrudnieni i nie wyrazili zgody na przetwarzanie danych do przyszłych rekrutacji – do momentu zakończenia rekrutacji na dane stanowisko.
Pod pewnymi warunkami jednak, a w zwłaszcza gdy zachodzi spore prawdopodobieństwo, że nieprzyjęty kandydat będzie dochodził roszczeń, powołując się na rzekomą dyskryminację w postępowaniu rekrutacyjnym, pracodawca może przechowywać dane osobowe takiego kandydata do czasu przedawnienia roszczeń, powołując się na swój uzasadniony interes zgodnie z art. 6 ust. 1 lit. f RODO. Taka sytuacja powinna być jednak uznana za wyjątkową i należycie uzasadnioną przebiegiem konkretnej rekrutacji.
2. Do upływu okresu przedawnienia roszczeń z tytułu dyskryminacji w zatrudnieniu (do 3 lat) – w przypadku kandydatów, którzy brali aktywny udział w rekrutacji.
3. Dla kandydatów, którzy wyrazili zgodę na udział w rekrutacjach przyszłych – do z góry okreśonego czasu.
4. Z kolei w przypadku zatrudnienia kandydata, zgodnie z § 3 ust. 1 rozporządzenia Ministra Rodziny, Pracy i Polityki Społecznej z dnia 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej, m.in. oświadczenia i dokumenty dotyczące jego danych osobowych zebrane w związku ze złożoną aplikacją o pracę należy przechowywać w części A akt osobowych. To znaczy, że będą przetwarzane w trakcie trwania zatrudnienia, a także przez 10 lat od końca roku kalendarzowego, w którym ustał stosunek pracy, co wprost wynika z art. 94(9b) Kodeksu pracy.