Kandydat wysyłający CV powinien wiedzieć, kto będzie korzystał z jego danych, po co je zbiera i jak długo je zachowa. Dobrze przygotowana klauzula RODO porządkuje te informacje, ale nie jest tym samym co zgoda na przetwarzanie danych. Wyjaśniam, co taki dokument powinien zawierać w rekrutacji i zatrudnieniu, kiedy zgoda jest potrzebna oraz jak uniknąć typowych błędów.
Przejrzysta informacja o danych chroni kandydata i porządkuje obowiązki pracodawcy
- Klauzula informacyjna wyjaśnia, kto, po co i na jakiej podstawie przetwarza dane.
- Zgoda nie jest potrzebna do każdej czynności rekrutacyjnej, szczególnie gdy podstawą jest obowiązek prawny.
- Przyszłe rekrutacje powinny być opisane oddzielnie i nie mogą być ukryte w ogólnej treści.
- CV nie powinno zawierać nadmiarowych danych, zwłaszcza informacji o zdrowiu, rodzinie czy poglądach.
- Okres przechowywania trzeba określić konkretnie albo opisać przez jasne kryteria.
Co naprawdę oznacza informacja RODO w pracy i rekrutacji
W języku potocznym określenie „klauzula RODO” bywa używane zarówno wobec informacji dla osoby, której dane dotyczą, jak i wobec zgody na ich przetwarzanie. To dwa różne dokumenty lub oświadczenia. Informacja jest obowiązkiem pracodawcy, a zgoda może być potrzebna tylko w określonych sytuacjach.
Klauzula informacyjna odpowiada na kilka prostych pytań: kto zbiera dane, w jakim celu, na jakiej podstawie, komu może je udostępnić, jak długo będzie je przechowywać oraz jakie prawa ma kandydat lub pracownik. Nie służy do uzyskiwania pozwolenia na wszystko. Jej rolą jest przejrzyste poinformowanie osoby o przetwarzaniu danych.
W rekrutacji najczęściej mamy do czynienia z obowiązkiem informacyjnym z art. 13 RODO, ponieważ dane pochodzą bezpośrednio od kandydata. Jeżeli firma otrzyma CV od agencji, innego pracownika albo z zawodowego portalu, może pojawić się także obowiązek z art. 14 RODO, czyli poinformowanie o źródle danych.
Informacja a zgoda
| Element | Znaczenie | Kiedy występuje |
|---|---|---|
| Klauzula informacyjna | Opisuje sposób i cel przetwarzania danych | Przy zbieraniu danych od kandydata lub pracownika |
| Zgoda | Dobrowolne pozwolenie na konkretny cel | Na przykład przy przyszłych rekrutacjach lub danych dodatkowych |
| Oświadczenie kandydata | Potwierdza zapoznanie się z informacją albo przekazanie danych | Zależnie od procedury pracodawcy |
Nie podpisywałbym automatycznie każdej zgody dołączonej do CV. Najpierw sprawdzam, czego dokładnie dotyczy i czy odmowa rzeczywiście może wpłynąć na udział w rekrutacji. Zgoda wymuszona albo ukryta w ogólnym oświadczeniu nie spełnia swojej funkcji.
Co musi zawierać dokument przekazywany kandydatowi
Dobra informacja powinna być kompletna, ale nie musi przypominać kilku stron kancelaryjnego regulaminu. Kandydat powinien móc szybko znaleźć najważniejsze dane, dlatego preferuję krótkie akapity, śródtytuły i jasne nazwy celów.
- Administrator danych, czyli pełna nazwa pracodawcy i jego dane kontaktowe.
- Kontakt do inspektora ochrony danych, jeśli został wyznaczony.
- Cele przetwarzania, na przykład przeprowadzenie konkretnej rekrutacji.
- Podstawy prawne dla poszczególnych celów.
- Odbiorcy danych albo kategorie odbiorców, takie jak dostawca systemu rekrutacyjnego.
- Informacja o transferze poza Europejski Obszar Gospodarczy, jeżeli taki transfer występuje.
- Okres przechowywania danych albo jasne kryteria jego ustalenia.
- Prawa osoby, między innymi dostęp do danych, ich sprostowanie, ograniczenie przetwarzania i usunięcie, gdy przepisy na to pozwalają.
- Prawo wniesienia skargi do organu nadzorczego.
- Informacja o dobrowolności lub obowiązku podania danych i skutkach ich niepodania.
- Informacja o profilowaniu lub zautomatyzowanym podejmowaniu decyzji, jeśli firma rzeczywiście z nich korzysta.
W przypadku danych pozyskanych z innego źródła trzeba dodatkowo wskazać ich źródło, a czasem także kategorię danych. Samo stwierdzenie, że firma „przetwarza dane zgodnie z RODO”, jest zbyt ogólne i nie zastępuje prawidłowej informacji.
Osobny dokument lub rozszerzenie informacji może być potrzebne po zatrudnieniu. Pracownik może być objęty przetwarzaniem związanym z płacami, czasem pracy, monitoringiem, świadczeniami socjalnymi, kontrolą dostępu czy narzędziami informatycznymi. Nie wszystkie te cele da się sensownie opisać jednym zdaniem w ogłoszeniu.
Kiedy potrzebna jest zgoda, a kiedy nie
Pracodawca może żądać od osoby ubiegającej się o zatrudnienie między innymi imienia i nazwiska, daty urodzenia, danych kontaktowych, informacji o wykształceniu, kwalifikacjach zawodowych i przebiegu zatrudnienia. Ten zakres wynika z prawa pracy, więc nie trzeba budować całej rekrutacji na zgodzie kandydata.
Inaczej wygląda sytuacja, gdy kandydat sam przekazuje informacje wykraczające poza niezbędny zakres. Przykładem może być fotografia, dodatkowy adres, szczegółowe zainteresowania albo dane o stanie zdrowia. Pracodawca powinien ocenić, czy naprawdę potrzebuje tych danych, a w razie braku innej podstawy zadbać o dobrowolną i konkretną zgodę.
| Cel | Typowa podstawa | Praktyczna uwaga |
|---|---|---|
| Przeprowadzenie bieżącej rekrutacji | Obowiązek prawny, działania związane z zatrudnieniem lub prawnie uzasadniony interes | Podstawa zależy od rodzaju danych i konkretnego procesu |
| Przetwarzanie danych na potrzeby przyszłych naborów | Zgoda albo inna właściwa podstawa oceniona przez administratora | Cel powinien być wyraźnie oddzielony od bieżącej rekrutacji |
| Dane szczególnych kategorii | Wyjątkowa podstawa przewidziana w RODO i prawie pracy | Nie należy zbierać ich na zapas |
| Obrona przed roszczeniami | Prawnie uzasadniony interes | Zakres i czas przechowywania muszą być proporcjonalne |
Najczęstszy błąd polega na dodawaniu jednego zdania: „Wyrażam zgodę na przetwarzanie wszystkich moich danych w celach rekrutacyjnych”. Taka formuła jest zbyt szeroka. Nie wyjaśnia, jakie dane obejmuje, do którego naboru się odnosi ani czy pozwala na kontakt przy kolejnych ofertach.
Przeczytaj również: Czas pracy na pełnym etacie - godziny i dni wolne
Przyszłe rekrutacje wymagają osobnego celu
Jeżeli firma chce zachować CV i odezwać się przy następnym naborze, powinna powiedzieć o tym wprost. Kandydat powinien wiedzieć, że jego dane będą wykorzystywane nie tylko przy obecnym stanowisku, lecz także w określonym, dodatkowym celu.
Najbezpieczniejsza praktyka to osobne, dobrowolne pole wyboru oraz wskazanie okresu, na przykład 12 miesięcy. Samo przesłanie CV na jedno stanowisko nie powinno automatycznie oznaczać zgody na bezterminowe umieszczenie osoby w bazie kandydatów.
Wzór klauzuli do rekrutacji, który można dostosować
Poniższy przykład pokazuje konstrukcję dokumentu, a nie uniwersalny formularz dla każdej firmy. Przed użyciem trzeba uzupełnić dane administratora, faktyczne systemy, odbiorców, cele i okresy przechowywania. Nie należy kopiować wzoru bez sprawdzenia, czy odpowiada realnemu procesowi.
Administratorem danych jest [pełna nazwa pracodawcy] z siedzibą w [adres]. Kontakt z administratorem jest możliwy pod adresem [adres e-mail] lub numerem [numer telefonu]. Jeżeli w organizacji wyznaczono inspektora ochrony danych, można się z nim skontaktować pod adresem [adres IOD].
Dane osobowe będą przetwarzane w celu przeprowadzenia rekrutacji na stanowisko [nazwa stanowiska], oceny kwalifikacji oraz kontaktu w sprawie procesu. Podstawą przetwarzania danych wymaganych przez przepisy prawa pracy jest właściwy obowiązek prawny, natomiast dane dodatkowe mogą być przetwarzane na podstawie zgody, jeżeli jest ona wymagana.
Dane mogą być przekazywane podmiotom wspierającym administratora, takim jak dostawca systemu rekrutacyjnego, dostawca usług IT lub podmiot obsługujący kadry, wyłącznie w zakresie potrzebnym do realizacji wskazanych celów.
Dane będą przechowywane przez okres niezbędny do zakończenia rekrutacji, a następnie przez czas uzasadniony możliwością obrony przed roszczeniami, nie dłużej niż wynika to z przyjętych zasad retencji. Dane przetwarzane na potrzeby przyszłych rekrutacji będą przechowywane przez [okres], jeżeli kandydat wyrazi na to odrębną zgodę.
Osobie, której dane dotyczą, przysługuje prawo dostępu do danych, ich sprostowania, ograniczenia przetwarzania oraz inne prawa przewidziane w RODO. Przysługuje jej również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
Wzór trzeba rozdzielić od zgody. Można dodać osobne oświadczenie: „Wyrażam dobrowolną zgodę na przetwarzanie moich danych w celu udziału w przyszłych rekrutacjach przez okres [okres]”. Kandydat powinien móc odmówić bez utraty możliwości udziału w aktualnym naborze.
Jak przekazać informację i jak długo przechowywać dane
Pracodawca może zamieścić informację już w ogłoszeniu, dołączyć ją do formularza aplikacyjnego albo wysłać automatycznie po otrzymaniu CV. Najważniejsze jest to, aby kandydat otrzymał ją w momencie pozyskiwania danych lub bezpośrednio po nim, a nie dopiero po zakończeniu rekrutacji.
Jeżeli dane przekazuje agencja zatrudnienia, odpowiedzialność może być podzielona między agencję i pracodawcę. Kandydat powinien wiedzieć, kto jest administratorem jego danych na każdym etapie. Ukrywanie nazwy potencjalnego pracodawcy utrudnia realizację praw i może prowadzić do poważnych problemów z przejrzystością procesu.
Okres przechowywania nie powinien być opisany jako „bezterminowo” albo „do odwołania”. Po zakończeniu rekrutacji dane można przechowywać w zakresie potrzebnym do ochrony przed roszczeniami związanymi z procesem, przy czym w praktyce należy uwzględnić maksymalnie trzyletni okres przedawnienia roszczeń pracowniczych. Nie oznacza to jednak prawa do dowolnego wykorzystywania CV przez trzy lata.
Po zakończeniu naboru firma nie powinna bez dodatkowej podstawy kontaktować się z kandydatem przy kolejnych ofertach, profilować go ani wysyłać mu propozycji pracy. Przechowywanie dokumentacji na potrzeby ewentualnej obrony i aktywne wykorzystywanie danych do nowych celów to dwie różne czynności.
Błędy, które najczęściej psują zgodność
- Jedna zgoda na wszystko, obejmująca bieżącą rekrutację, przyszłe nabory, marketing i przekazywanie danych dowolnym podmiotom.
- Brak nazwy administratora albo wskazanie wyłącznie marki handlowej bez pełnych danych firmy.
- Niejasny okres przechowywania, na przykład zapis „tak długo, jak będzie to konieczne”, bez wyjaśnienia, co to oznacza.
- Żądanie nadmiarowych danych, które nie są potrzebne do oceny kandydata.
- Wymuszanie zdjęcia albo traktowanie jego braku jako powodu do odrzucenia aplikacji.
- Brak informacji o systemach zewnętrznych, w których przechowywane są CV i notatki rekrutacyjne.
- Automatyczne zachowanie wszystkich aplikacji bez rozróżnienia między bieżącą rekrutacją a bazą przyszłych kandydatów.
Pracodawca powinien też pilnować spójności. Jeżeli ogłoszenie mówi o jednym celu, formularz o trzech, a polityka prywatności o jeszcze innych, kandydat nie wie, która informacja jest aktualna. W praktyce najlepiej przygotować krótką kartę procesu z celami, podstawami, odbiorcami i terminami usuwania danych.
Co sprawdzić przed publikacją ogłoszenia
Przed uruchomieniem rekrutacji sam przechodzę przez prostą listę kontrolną. Sprawdzam, czy firma zna administratora, zakres danych, dostawców systemów, osoby mające dostęp do CV oraz sposób usuwania dokumentów po upływie właściwego terminu.
Jeżeli w procesie pojawia się test online, nagrywanie rozmowy, analiza profilu zawodowego albo narzędzie wykorzystujące automatyczne rekomendacje, informacja powinna to jasno opisywać. Technologia nie zwalnia z przejrzystości, a kandydat nie powinien dowiadywać się o sposobie oceny dopiero po odrzuceniu aplikacji.
Dobrze napisana informacja nie ma odstraszać formalnym językiem. Ma pozwolić kandydatowi zrozumieć, co dzieje się z jego CV, a pracodawcy wykazać, że proces jest uporządkowany, proporcjonalny i zgodny z prawem pracy.
