W dzisiejszym wpisie postaram się rozwiać wątpliwości pracodawców i kandydatów do pracy dotyczące umieszczania na dole CV formuły zgody na przetwarzanie danych osobowych w celu przeprowadzenia rekrutacji.

Osoby, które wysyłają swoje CV w związku z ogłoszeniami o pracę, z reguły zamieszczają pod swoim CV oświadczenie o zgodzie na przetwarzanie ich danych osobowych przez firmę, która prowadzi rekrutację na stanowisko, którym te osoby są zainteresowane.

Pojawia się pytanie, czy w świetle RODO jest to konieczne i jak powinien się zachować pracodawca, który otrzyma CV, w której takiej formułki nie ma. Czy jest on uprawniony przetwarzać dane osobowe kandydata i uwzględnić jego zgłoszenie na dalszych etapach procesu rekrutacji?

W większości przypadków odpowiedź brzmi: „tak”. Zgodnie z aktualną wykładnią Urzędu Ochrony Danych Osobowych, samo wysłanie CV przez kandydata w odpowiedzi na ogłoszenie pracodawcy o prowadzonej rekrutacji na określone stanowisko jest równoznacznie z wyrażeniem przez tę osobę zgody na przetwarzanie danych osobowych zawartych w jej życiorysie.

Warto jednak zaznaczyć, że w przypadku niektórych kategorii danych osobowych z dokumentów aplikacyjnych zgoda nie jest nawet wymagana. Zgodnie z art. 22¹ Kodeksu pracy, pracodawca może żądać od pracownika określonych rodzajów danych osobowych. W zakresie tych danych dysponuje on podstawą ustawową ich przetwarzania.

Właśnie na tym tle pojawiają różnego rodzaju wątpliwości, ponieważ w zgłoszeniach przesłanych w odpowiedzi na ogłoszenie o pracę, kandydaci rzadko kiedy ograniczają się do danych osobowych wskazanych w przepisie art. 22¹ Kodeksu pracy.

W związku z tym wiele osób ma wątpliwości czy inne dane osobowe kandydata, w szczególności podane przez tę osobę z własnej inicjatywy (tj. bez żądania ze strony firmy prowadzącej rekrutację), pracodawca ma prawo przetwarzać. A jeżeli tak, to jakie są warunki dopuszczalności takiego przetwarzania? W zakresie tych danych podstawą przetwarzania jest zgoda kandydata, przy czym – jak wskazałem wyżej – może być ona udzielona przez czynność faktyczną, jaką jest przesłanie zgłoszenia (CV) w odpowiedzi na ogłoszenie o prowadzonej rekrutacji.

Standardowa formułka umieszczana pod CV w rodzaju: „Wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w powyższym życiorysie dla celów rekrutacji” nie jest zatem potrzebna i powinna powoli odejść do lamusa.

Ale UWAGA! Mamy jednak pewne wyjątki.

Pierwszym takim wyjątkiem jest przypadek, w którym kandydat do pracy przekazuje w odpowiedzi na ogłoszenie o pracę dane szczególnie chronione. O ile konkretny pracodawca nie legitymuje się ustawową podstawą prawną ich przetwarzania (określoną w przepisie szczegółowym), niezbędne jest uzyskanie wyraźnej zgody kandydata do pracy na ich przetwarzanie. W tym przypadku zgoda udzielona w sposób dorozumiany przez sam fakt dobrowolnego przesłania swojego CV, nie będzie wystarczająca.

Kolejny wyjątek dotyczy zamiaru przetwarzania przez firmę danych osobowych kandydata na potrzeby przyszłych rekrutacji. W takim przypadku konieczne jest uzyskanie zgody osoby, której dane dotyczą, na dłuższe przechowywanie dokumentów aplikacyjnych, w szczególności CV. Podobnie jak w przypadku danych wrażliwych nie może to być zgoda dorozumiana, ale wyraźna, konkretna i jednoznaczna.

Zgoda na przetwarzanie danych osobowych do celów przyszłych rekrutacji powinna określać albo konkretny okres, przez jaki firma może przetwarzać dane osobowe danego kandydata do tych konkretnych celów (np. 6 miesięcy, 1 rok) albo zostać udzielona w oparciu o przekazaną przez firmę klauzulę informacyjną, w której należy określić okres przechowywania danych osobowych.

Co istotne, zgoda kandydata na przetwarzanie danych osobowych może być cofnięta w każdym czasie, o czym firma prowadząca nabór powinna poinformować w ramach wykonania obowiązku informacyjnego.

Podsumowując, ocena czy w konkretnej rekrutacji pracodawca powinien odbierać zgodę na przetwarzanie danych osobowych kandydatów i w jakiej ewentualnie formie, powinna być indywidualna i dokonana w oparciu o to, kim jest administrator, jakie są cechy i wymogi stanowiska pracy, na które rekrutacja jest prowadzona oraz jakie przepisy szczególne obowiązują w tym zakresie. O ile zatem możemy wskazać pewne ogólne zasady, tak automatyzm w ich stosowaniu jest niewskazany.

W niniejszym wpisie omawiam ogólne reguły, a nie okoliczności konkretnych rekrutacji, które w praktyce mogą być specyficzne i niestandardowe oraz wymagać indywidualnego podejścia.

Jeszcze raz warto podkreślić, że niezależnie od tego, na jakiej podstawie firma chce przetwarzać dane osobowe kandydatów do pracy, to podczas pozyskiwania danych osobowych musi zrealizować obowiązek informacyjny administratora. Jeżeli nie dopełni tego obowiązku, to po pierwsze naruszy przepisy RODO, co jest zagrożone karą pieniężną, a po drugie zgoda kandydata na przetwarzanie jego danych osobowych będzie nieważna i w zakresie tych danych, do których zgoda jest potrzebna, ich przetwarzanie będzie po prostu nielegalne.