Rekrutacja a RODO: jak długo przechowywać CV, o co pytać i co musi zawierać klauzula informacyjna

CV kandydata to zbiór danych osobowych, więc każda rekrutacja jest jednocześnie procesem przetwarzania danych w rozumieniu RODO. Najważniejsze zasady: zbieraj tylko dane potrzebne do rekrutacji, informuj kandydata, po co i jak długo je przetwarzasz, a po zakończeniu procesu usuń CV, chyba że kandydat wyraził zgodę na przechowywanie na przyszłość. Poniżej omawiamy te zasady w praktyce, z perspektywy firm i agencji.

Jakie dane możesz zbierać od kandydata

Zakres danych, których pracodawca może wymagać od kandydata, określa Kodeks pracy (art. 22¹). Obejmuje on:

• imię (imiona) i nazwisko,
• datę urodzenia,
• dane kontaktowe wskazane przez kandydata,
• wykształcenie,
• kwalifikacje zawodowe,
• przebieg dotychczasowego zatrudnienia.

Inne dane, na przykład zdjęcie, stan cywilny, informacje o rodzinie czy hobby, kandydat może podać dobrowolnie, ale pracodawca nie może ich wymagać. Dane szczególnych kategorii (zdrowie, przekonania, pochodzenie) są objęte dodatkową ochroną i zasadniczo nie powinny być zbierane na etapie rekrutacji, chyba że wynika to z przepisów związanych z konkretnym stanowiskiem.

Dodatkowo nie powinno się prosić o numer PESEL, dane z dowodu osobistego ani dane bankowe na etapie CV. Są one potrzebne dopiero po podpisaniu umowy, w zakresie wymaganym przepisami. Przestrzega przed tym także nasz artykuł fałszywe oferty pracy: prośba o takie dane na początku procesu to typowy sygnał oszustwa.

Podstawa prawna: kiedy potrzebna jest zgoda

Dla rekrutacji na konkretne stanowisko podstawą przetwarzania danych z zakresu Kodeksu pracy jest przepis prawa, więc zgoda kandydata nie jest do tego potrzebna. Zgoda jest natomiast potrzebna, gdy:

• chcesz przechowywać CV na potrzeby przyszłych rekrutacji,
• zbierasz dane wykraczające poza zakres z Kodeksu pracy (np. zdjęcie, jeśli prosisz o nie świadomie),
• przekazujesz dane innym podmiotom w sposób niewynikający z przepisów.

Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Oznacza to, że nie może być warunkiem udziału w rekrutacji, nie może być ukryta w długim tekście i musi dać się cofnąć w każdej chwili. Kandydat, który cofnie zgodę, nie może ponieść z tego powodu negatywnych skutków w bieżącym procesie.

Klauzula informacyjna

Każdy kandydat powinien dostać informacje o tym, jak przetwarzane są jego dane. Klauzula informacyjna (obowiązek z art. 13 RODO) powinna zawierać:

1. tożsamość i dane kontaktowe administratora, czyli firmy, która prowadzi rekrutację (a przy agencji także informację, dla kogo rekrutacja jest prowadzona),
2. dane kontaktowe inspektora ochrony danych, jeśli został powołany,
3. cel przetwarzania i podstawę prawną (np. przepis prawa przy rekrutacji na stanowisko, zgoda przy przyszłych rekrutacjach),
4. odbiorców danych (np. agencja, klient, dostawcy systemów rekrutacyjnych),
5. okres przechowywania lub kryteria jego ustalenia,
6. prawa kandydata: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie danych, cofnięcie zgody, skarga do organu nadzorczego,
7. informację o dobrowolności podania danych oraz skutkach ich niepodania,
8. informację o ewentualnym zautomatyzowanym podejmowaniu decyzji, jeśli ma zastosowanie.

Klauzula powinna być napisana prostym językiem i dostępna przy zbieraniu danych: w ogłoszeniu, w formularzu lub w pierwszej wiadomości. Nasze zasady opisujemy w polityce prywatności.

Jak długo przechowywać CV

RODO nie podaje jednego terminu, ale wynika z niego zasada ograniczenia przechowywania: dane można przechowywać nie dłużej, niż jest to niezbędne do celu, w którym je zebrano. W rekrutacji oznacza to:

• po zakończeniu rekrutacji na konkretne stanowisko dane kandydatów, którzy nie zostali zatrudnieni, należy usunąć albo zwrócić. Zwyczajowo robi się to bez zbędnej zwłoki,
• jeśli kandydat wyraził zgodę na przechowywanie dokumentów na potrzeby kolejnych rekrutacji, możesz je zachować na określony, proporcjonalny okres. W praktyce stosuje się okresy od kilku miesięcy do roku lub dwóch, ale najważniejsze jest, aby był on jasno wskazany i uzasadniony,
• kandydat zatrudniony otrzymuje nową klauzulę związaną z zatrudnieniem, a dokumenty z rekrutacji przechodzą do akt osobowych tylko w zakresie wymaganym przepisami,
• w razie sporu lub roszczeń (np. zarzutu dyskryminacji w rekrutacji) część danych bywa przechowywana na podstawie uzasadnionego interesu administratora na czas obrony roszczeń. Zakres i czas należy ocenić indywidualnie.

Warto prowadzić prosty rejestr: kto, kiedy i na jakiej podstawie złożył dokumenty, jaki jest termin usunięcia i czy została wyrażona zgoda na przyszłe rekrutacje.

Prawa kandydata w praktyce

Kandydat może w każdej chwili:

• zapytać, jakie dane o nim przetwarzasz i w jakim celu,
• poprosić o sprostowanie nieaktualnych danych,
• żądać usunięcia danych, jeśli nie ma podstawy do dalszego przetwarzania,
• cofnąć zgodę na przechowywanie CV na przyszłość,
• wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych.

Na wnioski należy odpowiadać bez zbędnej zwłoki, co do zasady w ciągu miesiąca. Warto mieć proces, który to ułatwia, na przykład jedną skrzynkę do spraw danych osobowych, jak nasza [email protected].

Agencje rekrutacyjne i dane kandydatów

Gdy rekrutację prowadzi agencja, układ jest bardziej złożony: agencja zbiera dane kandydatów i przekazuje je klientowi. Z perspektywy RODO ważne są trzy kwestie:

1. Kto jest administratorem. Zależy od roli: agencja prowadząca rekrutację dla klienta bywa odrębnym administratorem lub podmiotem przetwarzającym. Rola powinna być jasna dla kandydata i opisana w umowie.
2. Zgoda na przekazanie profilu klientowi. Kandydat powinien wiedzieć, do jakiej firmy trafia jego profil, i zgodzić się na to dla konkretnej oferty. U nas profil trafia do firmy dopiero po wyraźnej zgodzie kandydata, a życiorysów nie udostępniamy w żadnej bazie, do której mają dostęp klienci.
3. Bezpieczeństwo. Szyfrowane kanały, ograniczony dostęp, jasne zasady usuwania danych i procedury reagowania na incydenty. Pracujemy w oparciu o certyfikowane systemy jakości i bezpieczeństwa informacji.

Przy wyborze agencji zapytaj o te zasady. Pełną listę pytań znajdziesz w artykule jak wybrać agencję rekrutacyjną.

Poufność kandydatów a przepisy o danych

Poufność w rekrutacji jest wymogiem etycznym i praktycznym, który ma też wymiar prawny. Dane kandydatów, zwłaszcza zatrudnionych w innych firmach, wymagają szczególnej ostrożności. Dlatego w poszukiwaniach poufnych ograniczamy krąg osób znających zlecenie, nie ujawniamy nazwy klienta bez potrzeby i nie przekazujemy danych bez zgody, o czym piszemy na stronie rekrutacja poufna.

Lista kontrolna dla firmy

• Czy ogłoszenie i formularz zbierają tylko dane z zakresu Kodeksu pracy (oraz dobrowolne)?
• Czy kandydat otrzymuje klauzulę informacyjną w momencie składania dokumentów?
• Czy zgoda na przyszłe rekrutacje jest osobna, dobrowolna i opisana (okres, cel)?
• Czy masz procedurę usuwania CV po rekrutacji i terminy?
• Czy dostęp do dokumentów mają tylko osoby biorące udział w procesie?
• Czy umowy z agencją i dostawcami systemów regulują przetwarzanie danych?
• Czy wiesz, kto odpowiada na wnioski kandydatów i w jakim terminie?
• Czy nie prosisz kandydatów o PESEL, dowód ani dane bankowe na etapie CV?

Kandydaci: jak zadbać o swoje dane

Kandydat może chronić swoje dane, wysyłając CV tylko do zweryfikowanych podmiotów, nie wpisując w dokumencie PESEL i danych bankowych, sprawdzając politykę prywatności oraz pytając o zasady usuwania danych. Wskazówki dotyczące CV znajdziesz w artykule jak napisać CV menedżera, a o weryfikacji agencji piszemy w poradniku jak sprawdzić agencję zatrudnienia.

Najczęstsze pytania

Pytania o dane osobowe w naszych procesach kieruj na [email protected]. Zasady przetwarzania opisujemy w polityce prywatności. Jeśli planujesz rekrutację i chcesz omówić zasady poufności, napisz do nas.