Rekrutacja zgodna z RODO zawsze wiąże się z przetwarzaniem danych osobowych. Już samo CV zawiera informacje, które podlegają ochronie, a im bardziej rozbudowany proces naboru, tym większe ryzyko wejścia na grunt naruszeń prawa. Dlatego firmy powinny patrzeć na rekrutację nie tylko przez pryzmat skuteczności, ale też zgodności z przepisami RODO i Kodeksu pracy.
W praktyce oznacza to konieczność zachowania równowagi. Z jednej strony pracodawca chce jak najlepiej ocenić kandydata, z drugiej nie może zbierać dowolnych informacji ani sięgać po nie bez wyraźnej podstawy prawnej wynikającej z RODO.
Dlaczego RODO ma znaczenie w procesie rekrutacji?
Każda aplikacja o pracę zawiera dane osobowe: imię, nazwisko, numer telefonu, adres e-mail, przebieg zatrudnienia czy informacje o wykształceniu – dane te pozwalają zidentyfikować konkretną osobę. Oznacza to, że od momentu otrzymania CV pracodawca staje się administratorem danych osobowych i musi przestrzegać zasad wynikających z RODO.
Podstawową regułą RODO jest zasada minimalizacji danych. Pracodawca powinien pozyskiwać wyłącznie te informacje, które są niezbędne do przeprowadzenia procesu rekrutacyjnego i oceny przydatności kandydata na dane stanowisko.
Jakie dane kandydata można zbierać zgodnie z RODO podczas rekrutacji?
Przepisy art. 22¹ Kodeksu pracy wprost określają katalog danych, które pracodawca może żądać od osoby ubiegającej się o zatrudnienie, takie jak:
- imię i nazwisko,
- data urodzenia,
- dane kontaktowe wskazane przez kandydata,
- informacje dotyczące wykształcenia,
- kwalifikacje zawodowe,
- przebieg dotychczasowego zatrudnienia.
Warto pamiętać, że informacje dotyczące wykształcenia, doświadczenia zawodowego i kwalifikacji powinny być pozyskiwane wyłącznie wtedy, gdy są rzeczywiście potrzebne do wykonywania pracy na danym stanowisku. Jest to jeden z podstawowych wymogów RODO.
RODO a zasada niezbędności danych
Jednym z najczęstszych błędów przedsiębiorców jest gromadzenie danych „na wszelki wypadek”. Tymczasem RODO wymaga, aby pracodawca odpowiedział sobie na pytanie, czy dana informacja jest rzeczywiście potrzebna do podjęcia decyzji o zatrudnieniu.
Jeżeli odpowiedź brzmi „nie”, jej pozyskanie może być trudne do uzasadnienia z perspektywy RODO oraz zasady minimalizacji danych.
Jakich pytań nie wolno zadawać kandydatom podczas rekrutacji?
Rozmowa kwalifikacyjna nie może prowadzić do ingerencji w prywatność osoby ubiegającej się o pracę.
Nieuprawnione są pytania dotyczące:
- poglądów politycznych,
- przekonań religijnych,
- orientacji seksualnej,
- planów rodzicielskich,
- sytuacji rodzinnej,
- innych aspektów życia prywatnego niezwiązanych z wykonywaniem pracy.
Pozyskiwanie takich informacji może prowadzić nie tylko do naruszenia przepisów o ochronie danych osobowych, ale również do zarzutów dyskryminacji lub nierównego traktowania.
Dobrą praktyką jest skupienie rozmowy wyłącznie na kompetencjach, doświadczeniu zawodowym i wymaganiach związanych z konkretnym stanowiskiem.
Zdjęcie, hobby i LinkedIn w CV – czy można je wykorzystywać?
Wielu kandydatów samodzielnie zamieszcza w CV dodatkowe informacje, takie jak zdjęcie, zainteresowania czy link do profilu zawodowego. Dane te nie mieszczą się w katalogu wskazanym w Kodeksie pracy. Powstaje zatem pytanie, czy pracodawca może te dane legalnie przetwarzać?
Jeżeli kandydat przekazuje dodatkowe informacje z własnej inicjatywy, pracodawca przetwarza te dane na podstawie art. 6 ust. 1 lit. a RODO, czyli na podstawie zgody kandydata wyrażonej poprzez dobrowolne udostępnienie tych informacji. W takiej sytuacji pracodawca nie musi pozyskiwać dodatkowego oświadczenia o zgodzie na przetwarzanie danych zawartych w CV. Może je legalnie gromadzić i przechowywać na potrzeby prowadzonej rekrutacji. Nie oznacza to jednak pełnej swobody w korzystaniu z tych informacji. Pracodawca powinien wykorzystywać je wyłącznie w zakresie niezbędnym do oceny kandydatury i zachować szczególną ostrożność przy podejmowaniu decyzji rekrutacyjnych.
Przykładowo zainteresowania mogą pomóc lepiej poznać kandydata, ale nie powinny stanowić podstawy decyzji o odrzuceniu aplikacji.
Czy pracodawca może weryfikować kandydata i sprawdzać referencje?
Weryfikacja informacji z CV, czyli tzw. background screening, staje się coraz popularniejsza. Nie oznacza to jednak, że pracodawca może samodzielnie kontaktować się z byłymi przełożonymi czy zbierać opinie bez wiedzy kandydata.
Jeżeli firma chce pozyskać referencje od poprzedniego pracodawcy, powinna dysponować wyraźną zgodą kandydata. Zgoda nie może być dorozumiana ani ukryta w ogólnym formularzu. Musi być dobrowolna, świadoma i odnosić się do konkretnego celu.
Jak długo można przechowywać CV kandydatów?
RODO wymaga, aby dane osobowe były przechowywane nie dłużej, niż jest to konieczne do realizacji celu, dla którego zostały zebrane.
Po zakończeniu procesu rekrutacyjnego pracodawca powinien przeanalizować, czy dalsze przechowywanie dokumentów jest uzasadnione.
W praktyce większość organizacji przechowuje CV do zakończenia procesu rekrutacji, chyba że kandydat wyraził odrębną zgodę na udział w przyszłych procesach rekrutacyjnych. Wówczas pracodawca musi określić, jak długo takie dane będą przetwarzane, np. do 12 miesięcy od zakończenia obecnego procesu rekrutacyjnego.
Niektóre firmy przetwarzają dane do czasu upływu terminu przedawnienia roszczeń w celu obrony przed roszczeniami związanymi z rekrutacją. Przetwarzanie w tym celu wiąże się z dodatkowym obowiązkiem dla pracodawcy – wykonaniem testu uzasadnionego interesu (tzw. test równowagi).
Jakie są najważniejsze zasady rekrutacji zgodnej z RODO?
Aby ograniczyć ryzyko prawne i prowadzić rekrutację zgodną z RODO, warto pamiętać o kilku podstawowych regułach:
- zbieraj tylko dane, które są rzeczywiście potrzebne,
- nie pytaj o kwestie z życia prywatnego,
- ostrożnie podchodź do dodatkowych informacji ujawnionych przez kandydata,
- nie kontaktuj się z poprzednimi pracodawcami bez jasnej zgody,
- weryfikuj niekaralność tylko wtedy, gdy pozwala na to przepis,
- nie przechowuj CV dłużej, niż to uzasadnione,
- przy przyszłych rekrutacjach opieraj się na odrębnej zgodzie,
- kontroluj sposób działania narzędzi cyfrowych i AI pod kątem zgodności z RODO.
Przestrzeganie zasad RODO w rekrutacji nie powinno być postrzegane wyłącznie jako obowiązek prawny. Odpowiedzialne zarządzanie danymi osobowymi kandydatów pomaga ograniczyć ryzyko naruszeń, wzmacnia wiarygodność pracodawcy i wpływa na pozytywne doświadczenia osób uczestniczących w procesie rekrutacyjnym. W praktyce staje się więc elementem budowania profesjonalnego wizerunku organizacji.
Czy pracodawca może sprawdzać profil kandydata w mediach społecznościowych?
Tak, jednak tylko w ograniczonym zakresie. Pracodawca może analizować publicznie dostępne informacje, które mają związek z oceną kwalifikacji zawodowych kandydata. Nie powinien natomiast wykorzystywać danych dotyczących życia prywatnego, poglądów politycznych czy przekonań religijnych, ponieważ może to naruszać przepisy RODO oraz zasady równego traktowania.
Czy pracodawca może przechowywać CV po zakończeniu rekrutacji?
Po zakończeniu rekrutacji pracodawca powinien usunąć CV, chyba że istnieje podstawa prawna do dalszego przechowywania danych lub kandydat wyraził zgodę na ich wykorzystanie w przyszłych rekrutacjach.
Jakie konsekwencje grożą za naruszenie RODO podczas rekrutacji?
Naruszenie przepisów może skutkować skargą do Prezesa Urzędu Ochrony Danych Osobowych, odpowiedzialnością finansową, a także prowadzić do negatywnych konsekwencji wizerunkowych dla pracodawcy.
