Proces rekrutacji pracowniczej wiąże się z koniecznością przestrzegania wielu regulacji prawnych dotyczących ochrony danych osobowych. Kandydaci przekazują pracodawcy zarówno informacje identyfikujące ich tożsamość, jak i dane wrażliwe. Zrozumienie kluczowych zasad oraz wymogów, jakie stawia RODO i krajowe prawo, pozwala uniknąć ryzyka sankcji oraz budować wizerunek odpowiedzialnego administratora.
Podstawy prawne i definicje
Każde działanie obejmujące zbieranie, przechowywanie lub analizowanie danych osobowych musi opierać się na jednej z podstaw prawnych określonych w art. 6 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679. Do najczęściej wykorzystywanych w rekrutacji należą:
- zgoda kandydata (art. 6 ust. 1 lit. a) – stosowana zwłaszcza przy daleko idących formach przetwarzanie lub gdy informacje nie wynikają wprost z zawartej relacji pracodawca–pracownik;
- uzasadniony interes administratora (art. 6 ust. 1 lit. f) – w sytuacji, gdy profilowanie czy selekcja kandydatów służy zapewnieniu właściwego doboru personelu;
- spełnienie obowiązku prawnego (art. 6 ust. 1 lit. c) – obowiązki dokumentacyjne nałożone na pracodawcę przez Kodeks pracy lub przepisy o ubezpieczeniach społecznych.
W kontekście rekrutacji warto też wyróżnić pojęcie danych szczególnej kategorii, czyli takich, które dotyczą zdrowia, przekonań religijnych czy orientacji seksualnej (art. 9 RODO). Ich gromadzenie jest co do zasady zabronione, chyba że względy bezpieczeństwa pracy czy wymogi prawne uzasadniają wyjątek.
Zasady legalności, celowości i przejrzystości
Zgodnie z art. 5 RODO administrator musi zapewnić, by przetwarzanie danych odbywało się w sposób:
- legalny – oparty na jednej z określonych przesłanek;
- celowy – dane zbierane są wyłącznie w jasno określonych celach rekrutacyjnych;
- przejrzysty – kandydat musi otrzymać pełną informację o sposobie, czasie i odbiorcach danych.
Obowiązek informacyjny realizowany jest w momencie pozyskiwania danych (art. 13 RODO) lub, gdy dane nie zostały pozyskane bezpośrednio od osoby, której dotyczą (art. 14 RODO). W praktyce wystarczy przekazać kandydatowi:
- tożsamość i dane kontaktowe administratora;
- cele i podstawę prawną przetwarzania;
- informacje o odbiorcach danych i o zamiarze ewentualnego przekazania ich poza UE;
- okres przechowywania lub kryteria jego ustalania;
- przysługujące prawa (dostępu, sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia, sprzeciwu).
Minimalizacja danych i ograniczenie celu
W rekrutacji należy stosować zasadę minimalizacji – gromadzić tylko te dane, które są niezbędne do oceny kompetencji i kwalifikacji. Przykładowo, informacje o hobby czy preferencjach prywatnych powinny być pozyskiwane wyłącznie wtedy, gdy mają realny wpływ na wykonywaną pracę.
Podstawowe kategorie danych obejmują:
- dane identyfikacyjne (imię, nazwisko, PESEL, adres e-mail);
- wykształcenie i kwalifikacje zawodowe;
- doświadczenie zawodowe;
- umiejętności językowe i obsługa narzędzi specjalistycznych;
- referencje od poprzednich pracodawców.
Dane zgromadzone na potrzeby jednej rekrutacji nie mogą być automatycznie wykorzystywane w przyszłych procesach bez uprzedniego poinformowania kandydata lub uzyskania od niego nowej zgody.
Prawa kandydatów i obowiązki administratora
Każda osoba, której dane są przetwarzane, ma prawo żądać od administratora:
- dostępu do swoich danych i otrzymania kopii;
- sprostowania nieprawdziwych lub niekompletnych informacji;
- usunięcia danych („prawo do bycia zapomnianym”), o ile nie zachodzą obowiązki prawne ich dalszego przechowywania;
- przenoszenia danych do innego administratora.
Administrator zobowiązany jest odpowiedzieć na wniosek w terminie miesiąca (przy złożoności sprawy – w ciągu dwóch miesięcy). Naruszenie praw osób, których dane dotyczą, może skutkować nałożeniem przez Prezesa Urzędu Ochrony Danych Osobowych wysokich kar finansowych.
Praktyczne wytyczne dla działu HR
W codziennej pracy dział HR powinien wdrożyć procedury, które zapewnią:
- aktualizację dokumentacji rekrutacyjnej oraz polityki prywatności;
- szkolenia dla pracowników odpowiedzialnych za selekcję kandydatów;
- zawarcie umów powierzenia z podmiotami przetwarzającymi dane (np. platformy ATS);
- monitorowanie okresów przechowywania dokumentów kandydatów;
- wdrożenie środków bezpieczeństwo technicznych i organizacyjnych, takich jak szyfrowanie czy kontrola dostępu;
- procedury postępowania na wypadek naruszenia ochrony danych (notyfikacja, analiza ryzyka, działania naprawcze).
Regularne audyty i weryfikacja zgodności procesów rekrutacyjnych z obowiązującymi przepisami pomagają utrzymać wysoki standard ochrony danych osobowych oraz budować zaufanie kandydatów i partnerów biznesowych.
