Bezpłatny fragment - Ochrona danych osobowych w miejscu pracy — Poradnik dla pracodawców i pracowników.

Wprowadzenie

Starając się wyjść naprzeciw trendom, jakie panują na rynku pracy poradnik obejmie kwestie związane z zatrudnieniem na podstawie stosunku pracy oraz w oparciu o tzw. cywilnoprawne lub niepracownicze formy zatrudnienia, na które pracodawcy decydują się coraz częściej, np. gdy wymaga tego charakter wykonywanej pracy lub chcą elastyczniejszej formy kształtowania relacji pomiędzy stronami umowy. Stosunkiem pracy nazywamy zaś sytuację, w której pracownik w zamian za wynagrodzenie zobowiązuje się do wykonywania na rzecz pracodawcy pracy określonego rodzaju, pod jego kierownictwem oraz w miejscu i czasie przez niego wyznaczonym. Charakteryzuje się on zatem, co najmniej podporządkowaniem służbowym oraz odpłatnym charakterem pracy, która dodatkowo wykonywana jest na ryzyko pracodawcy. Z zatrudnianiem na podstawie stosunku pracy wiążą się liczne uprawnienia i obowiązki zarówno po stronie pracownika, jak i pracodawcy. Jego główną ideą jest tzw. zasada uprzywilejowania pracownika. Ustawodawca wyszedł bowiem z założenia, że ze względu na nierówność stron takiej umowy, pewne określone (minimalne) prawa pracownika powinny być wyraźnie wskazane w przepisach prawa, a postanowienia kształtujące stosunek pracy nie mogą być od nich mniej korzystne.

Nie wszystkie z podnoszonych w trakcie konsultacji kwestii znalazły odzwierciedlenie w treści poradnika, lecz będzie on systematycznie uzupełniany, bądź kwestie te zostaną poruszone w innych materiałach autora.

Poradnik w swoim założeniu ma służyć pomocą pracodawcom w ich codziennej pracy. Dlatego zrezygnowano w nim z prezentowania rozbudowanych analiz prawnych, koncentrując się na praktycznych wskazówkach. Informacje zawarte w poradniku nie uwzględniają proponowanych zmian w Kodeksie pracy, które nadal mają status projektu.

Poszukiwanie pracy

Bez względu na to, w jaki sposób pracodawca będzie poszukiwał kandydatów do pracy, proces ten zawsze będzie wiązał się z pozyskiwaniem przez niego danych osobowych zawartych w dokumentach rekrutacyjnych (CV, listach motywacyjnych, świadectwach pracy, listach referencyjnych, zaświadczeniach itd.). Pracodawca powinien przetwarzać tylko takie dane, które są niezbędne ze względu na cel ich zbierania, jakim jest podjęcie przez niego decyzji o zatrudnieniu nowego pracownika. Innymi słowy, pracodawca nie może żądać od kandydata danych nadmiarowych, które nie są niezbędne do przeprowadzenia rekrutacji. Dane osobowe nie mogą być zbierane na zapas, „na wszelki wypadek”, tj. bez wykazania zgodnego z prawem celu ich pozyskania i wykazania ich niezbędności dla realizacji tego celu przez administratora. Ponadto, żądanie przez pracodawcę od kandydatów do pracy informacji wykraczających poza to, co przede wszystkim przewidują przepisy prawa pracy może naruszać zarówno postanowienia RODO, jak i przepisy prawa pracy rodząc np. zarzut dyskryminacji.

Dane wymagane od kandydata w toku rekrutacji

Pracodawca może oczekiwać od kandydata do pracy podania mu danych, które ogólnie możemy określić, jako dane:

— identyfikacyjne (imię, nazwisko, imiona rodziców, data urodzenia);

— kontaktowe (adres zamieszkania) oraz

— o wykształceniu, umiejętnościach, doświadczeniu zawodowym (ukończonych szkołach oraz studiach, przebytych szkoleniach i kursach, poprzednich pracodawcach, zajmowanych stanowiskach oraz obowiązkach zawodowych).

Jest to katalog danych, których pracodawca może żądać od kandydata do pracy, w celu podjęcia działań zmierzających do zawarcia z nim umowy5. Co istotne, z uwagi na specyfikę procesu rekrutacji, do zawarcia tej umowy wcale nie musi ostatecznie dojść.

Ważne!

Uwzględniając cel, jaki przyświeca gromadzeniu tych danych, tj. podjęcie przez pracodawcę decyzji o zatrudnieniu pracownika, która będzie się opierała na ocenie jego przydatności do pracy na określonym stanowisku, informacje przekazywanie przez pracownika muszą być konkretne, tj. nie mogą ograniczać się jedynie do zdawkowej informacji, że odbył jakieś kursy czy ukończył studia, bez wskazywania, jakie dokładnie.

Jakich danych pracodawca nie może żądać od kandydata do pracy?

Pracodawca nie może żądać od kandydata danych wykraczających poza zakres, który został wskazany w przepisach prawa, danych nadmiarowych, w szczególności takich, które nie mają związku z celem, jakim jest zatrudnienie pracownika (np. danych o stanie cywilnym, wyznaniu, poglądach religijnych czy orientacji seksualnej). Może się oczywiście zdarzyć, że osoba kandydująca na konkretne stanowisko będzie musiała spełnić pewne określone prawem wymogi, np. wymóg niekaralności i wówczas pracodawca będzie uprawniony do pozyskania informacji o nim w tym zakresie.

Czy pracodawca może zbierać informacje o karalności kandydata do pracy?

Zaświadczenie o niekaralności jest dokumentem zawierającym dane o wyrokach skazujących, czynach zabronionych lub powiązanych środkach bezpieczeństwa zawartych w Krajowym Rejestrze Karnym, którego funkcjonowanie jest uregulowane przepisami ustawy z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym (ustawa o KRK). Zgodnie z art. 6 ust. 1 pkt 10 ustawy o KRK, prawo do uzyskania informacji o osobach, których dane osobowe zgromadzone zostały w rejestrze, przysługuje pracodawcom, w zakresie niezbędnym dla zatrudnienia pracownika, co do którego z przepisów ustawy wynika wymóg niekaralności, korzystania z pełni praw publicznych, a także ustalenia uprawnienia do zajmowania określonego stanowiska, wykonywania określonego zawodu lub prowadzenia określonej działalności gospodarczej.

Pracodawca może żądać od przyszłego i obecnego pracownika dokumentów wynikających również z przepisów szczególnych, odnoszących się do konkretnych uregulowań wykonywania określonych zawodów. Jednakże pracodawca musi pamiętać, że w odniesieniu do danych dotyczących niekaralności, musi wynikać to wprost z przepisów prawa. Oznacza to, że pracodawca nie może żądać każdego dokumentu na wszelki wypadek, np. zaświadczenia o niekaralności, chyba że jest do tego uprawniony z mocy ustawy

Przykład:

Istnieją zawody, do których dostęp ograniczony jest ze względu na wymóg niekaralności:

— nauczyciele (art. 10 ust. 8a ustawy — Karta Nauczyciela),

— straż graniczna (art. 31 ust. 1 ustawy o Straży Granicznej),

— detektywi (art. 29 ust. 2 ustawy o usługach detektywistycznych),

— osoby ubiegającej się o zatrudnienie w podmiotach sektora finansowego (art. 3 ustawy z dnia z dnia 12 kwietnia 2018 r. o zasadach pozyskiwania informacji o niekaralności osób ubiegających się o zatrudnienie i osób zatrudnionych w podmiotach sektora finansowego) — w zakresie dotyczącym skazania prawomocnym wyrokiem za przestępstwa wskazane w tej ustawie.

Czy pracodawca, który poszukuje pracowników cieszących się nieposzlakowaną opinią, może żądać od nich informacji o karalności?

Nie. Przepisy szczególne regulujące wykonywanie niektórych zawodów wskazują często na przesłankę nieposzlakowanej opinii, która jest terminem nieostrym i stanowi zwrot niedookreślony odwołujący się do przesłanek uznaniowych, o charakterze ocennym. Nie stanowi ona jednak podstawy do tego, aby pracodawca miał prawo przetwarzać dane pracownika o jego niekaralności, ponieważ nie wynika to bezpośrednio z przepisów prawa. Pracodawca nie może przetwarzać danych, o których mowa w art. 10 RODO nawet za zgodą pracownika. Podkreślić również należy, że przesłanka zgody, rozpatrywana na gruncie prawa pracy, wskazuje na nierówność podmiotów, w związku z tym w przedmiotowej sprawie nie miałaby podstawy zastosowania. Należy także podkreślić, że informacja, iż dana osoba nie widnieje w Krajowym Rejestrze Karnym jest również informacją zawierającą dane określone w art. 10 RODO. Zatem, każde zaświadczenie o niekaralności, które będzie zawierało informacje o wyrokach skazujących, czy też informację o tym, że dana osoba nie była skazana, będzie informacją dotyczącą wyroków skazujących i czynów zabronionych w rozumieniu RODO.

Czy pracodawca musi poinformować kandydatów do pracy o przetwarzaniu ich danych osobowych?

Tak. Każdy potencjalny pracodawca, który zbiera dane od kandydatów do pracy, jest zobowiązany poinformować te osoby o:

— pełnej nazwie i adresie swojej siedziby,

— danych kontaktowych inspektora ochrony danych (o ile go wyznaczył),

— celu przetwarzania danych oraz podstawie prawnej przetwarzania,

— znanych mu w chwili gromadzenia danych odbiorcach danych (rozumianych szeroko) lub ich kategoriach,

— zamiarze transgranicznego przetwarzania danych (o ile taki istnieje),

— okresie, przez który dane będą przetwarzane bądź kryteriach ustalania tego okresu,

— przysługujących jej prawach do żądania dostępu do danych, w tym otrzymania ich kopii, ich sprostowania, usunięcia lub ograniczenia ich przetwarzania,

— prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem (jeżeli dane są zbierane na podstawie zgody),

— prawie wniesienia skargi do Prezesa UODO,

— dobrowolności lub obowiązku podania danych i konsekwencjach ich nie podania.

Pracodawca ma obowiązek poinformować kandydata do pracy o tych okolicznościach w chwili pozyskiwania tych danych w sposób jasny, czytelny i łatwo dostępny dla kandydata. Może to zrobić np. w treści ogłoszenia o pracę lub w informacji zwrotnej bezpośrednio po otrzymaniu od kandydata aplikacji do pracy.

Znaczenie zgody na przetwarzanie danych osobowych

Zgoda jest jedną z podstaw prawnych uprawniających do przetwarzania danych. Dotychczasowa praktyka zamieszczenia w liście motywacyjnym CV zgody na przetwarzanie danych w celach rekrutacyjnych nie jest właściwa. Zgoda, a w szczególności wyraźna zgoda na przetwarzanie wybranych danych może być niezbędna jedynie w określonych sytuacjach.

Ważne! „Zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.

Czy pracodawca może przetwarzać dane zamieszczone przez kandydata w CV, które wykraczają poza to, co przewidują przepisy prawa pracy?

Zdarza się, że osoby kandydujące do pracy przekazują z własnej inicjatywy więcej danych, niż wskazane w Kodeksie pracy. W takiej sytuacji dane osobowe kandydata, o ile nie należą do szczególnej kategorii danych, są przetwarzane przez potencjalnego pracodawcę na podstawie zgody, która może polegać na oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych. Aplikacja kandydata stanowi zazwyczaj odpowiedź na ogłoszenie o pracę pracodawcy, kandydat jest świadomy, do jakiego podmiotu składa aplikację oraz w jakim celu jego dane mają być przetwarzane. Kandydat zna jednocześnie zakres danych, jaki przekazuje pracodawcy. Oznacza to, że zwykłe dane osobowe, które wykraczają poza zakres uregulowany przepisami prawa pracy, są przetwarzane przez pracodawcę na podstawie zgody kandydata, która przejawia się przez działanie, polegające np. na przesłaniu pracodawcy życiorysu i listu motywacyjnego.

Osoba ubiegająca się o pracę umieściła w CV szczególne kategorie danych (tzw. dane wrażliwe). Czy pracodawca może je przetwarzać?

W toku prowadzonej rekrutacji może zdarzyć się, że kandydat z własnej inicjatywy przekaże administratorowi dane osobowe np. o swoim stanie zdrowia. Jeżeli kandydat do pracy nie wyrazi odrębnej zgody na przetwarzanie tego rodzaju danych osobowych, a pracodawca nie legitymuje się przepisem prawa, który zobowiązuje go do ich przetwarzania, pracodawca powinien usunąć te dane ze swoich zasobów. Ewentualna zgoda na przetwarzanie szczególnych kategorii danych, powinna być wyraźna, np. w formie odrębnego oświadczenia. Są jednak pewne sytuacje, w których potencjalny pracodawca będzie uprawniony do przetwarzania szczególnych kategorii danych na podstawie odrębnych przepisów prawa. Przykładem takich regulacji są np. przepisy dotyczące wymogów dotyczących stanu zdrowia, jakie musi spełniać kandydat na policjanta.

Przykład

Art. 25 ust. 2 ustawy z dnia 6 kwietnia 1990 r. o policji (t.j. Dz. U. z 2017 r.,poz. 2067) stanowi, że przyjęcie kandydata do służby w policji następuje po przeprowadzeniu postępowania kwalifikacyjnego mającego na celu ustalenie, czy kandydat spełnia warunki przyjęcia do służby w policji oraz określenie jego predyspozycji do pełnienia tej służby. Postępowanie kwalifikacyjne, składa się m.in. z testu sprawności fizycznej, test psychologicznego oraz ustalenia zdolności fizycznej i psychicznej do służby w policji.

Czy pracodawca może wykorzystać dane kandydatów do pracy pozyskane w konkretnym procesie rekrutacyjnych do celów przyszłych rekrutacji?

Nie, jeżeli kandydat nie wyraził na to zgody. Pracodawca po zakończeniu procesu rekrutacji powinien usunąć dane osobowe kandydata, jeżeli jednak kandydat do pracy, w składanych potencjalnemu pracodawcy dokumentach, wyraził zgodę na przetwarzanie jego danych w celu wzięcia udziału w przyszłych rekrutacjach prowadzonych przez pracodawcę, dane te mogą być w tym celu przetwarzane.

Przykład 1:

„Wyrażam zgodę na przetwarzanie danych w celu wykorzystania ich w kolejnych naborach prowadzonych przez X przez okres najbliższych 6 miesięcy.”

Przykład 2:

„Wyrażam zgodę na przetwarzanie szczególnych kategorii danych, o których mowa w art. 9 ust. 1 RODO, które zamieściłem w liście motywacyjnym oraz załączonych do niego dokumentach.”

Ważne!

Kandydat musi być poinformowany o możliwości i sposobie wycofania zgody. Sposób wycofania zgody powinien być równie łatwy, jak było jej wyrażenie.

Czy pracownik może wycofać swoją zgodę?

Tak. Zgoda na przetwarzanie danych w celach rekrutacyjnych może być wycofana w dowolnym momencie. W takiej sytuacji pracodawca traci uprawnienie do dalszego przetwarzania tych danych i powinien niezwłocznie je usunąć. O prawie do wycofania zgody pracodawca powinien poinformować pracownika w momencie pozyskania jego danych.

Prowadzenie rekrutacji on-line

Gromadzenie danych przez Internet jest obecnie jednym z najbardziej popularnych sposobów tworzenia baz danych, często wykorzystywanym także w procesie rekrutacji pracowników. Jeżeli potencjalny pracodawca zdecyduje się pozyskiwać dane kandydatów przez Internet, powinien wdrażać odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw i wolności tych osób związanym ze specyfiką cyberprzestrzeni. Obowiązek ten ma zastosowanie także do administratorów innych niż pracodawcy, np. agencji zatrudnienia. Każdy bowiem administrator, bez względu na sposób gromadzenia danych, musi działać zgodnie z przepisami o ochronie danych osobowych.

Na co pracodawca powinien zwrócić uwagę decydując się na poszukiwanie pracowników za pośrednictwem stron internetowych?

W zależności od tego czy zadaniem podmiotu zajmującego się publikacją ogłoszeń o pracę jest tylko i wyłącznie udostępnienie narzędzi do ich publikacji, czy również przetwarzanie danych kandydatów, pracodawca powinien rozważyć, czy zawrzeć z takim podmiotem umowę powierzenia przetwarzania danych osobowych. Umowę powierzenia należy zawrzeć, jeżeli podmiot zajmujący się publikacją ogłoszeń o pracę będzie przetwarzał dane kandydatów wyłącznie w imieniu i na rzecz pracodawcy. Należy w niej określić m.in. charakter i cel przetwarzania, przedmiot i czas trwania przetwarzania, rodzaj danych osobowych oraz kategorie osób (w tym przypadku dane kandydatów do pracy), których dane dotyczą, a także obowiązki i prawa administratora. Przypomnieć należy, że pracodawca może korzystać wyłącznie z usług podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi prawa i chroniło prawa osób, których dane dotyczą, czyli osób fizycznych (kandydatów do pracy). Przed powierzeniem danych pracodawca musi, więc ocenić czy poziom zabezpieczeń danych osobowych, stosowanych przez podmiot przetwarzający, jest odpowiedni.

Czy można poszukiwać pracowników w ramach tzw. rekrutacji „ślepych”, „ukrytych”?

Prowadzenie procesów rekrutacyjnych, w których pracodawca zlecający firmie rekrutacyjnej przeprowadzenie postępowania rekrutacyjnego, zastrzega sobie anonimowość, jest coraz powszechniejszym zjawiskiem na rynku pracy. Motywy pracodawców decydujących się na ich przeprowadzenie są różne — od chęci utajnienia rekrutacji przed pracownikiem, którego mają zamiar zwolnić (najczęściej, gdy zatrudniony jest na samodzielnym stanowisku, np. głównego księgowego), po chęć gromadzenia bazy kandydatów niejako „na zapas”. Do przeprowadzenia rekrutacji „ukrytej” wykorzystywane są zazwyczaj portale internetowe, które pośredniczą w rekrutacji udostępniając narzędzie wykorzystywane do publikowania ogłoszeń. Takiego typu rekrutacji, nie można uznać za zgodną z przepisami o ochronie danych osobowych, ponieważ kandydat do pracy nie posiada wiedzy, jaki podmiot zbiera jego dane osobowe i wobec jakiego podmiotu może realizować swoje prawa. O prawidłowym wykonaniu obowiązku informacyjnego, nie możemy mówić również w sytuacji, gdy klauzula informacyjna zostanie wysłana przez potencjalnego pracodawcę w odpowiedzi na otrzymaną aplikację, ponieważ obowiązek poinformowania m.in. o tożsamości pracodawcy powinien być realizowany przez niego na etapie zbierania danych osobowych, a nie na etapie ich utrwalania. Osoba przekazująca dane osobowe powinna posiadać wiedzę odnośnie tego, komu je udostępnia. Ma to szczególne znaczenie w związku z sytuacjami, w których ogłoszenia o prace są sposobem na wyłudzanie danych osobowych przez nieuczciwe podmioty do własnych celów niezwiązanych z zatrudnianiem pracowników.

Agencje zatrudnienia

Rozwiązaniem umożliwiającym pracodawcy utrzymanie anonimowości na wstępnym etapie rekrutacji może być zlecenie jej przeprowadzenia innym podmiotom, np. agencjom zatrudnienia, których działalność uregulowana jest prawnie i które zobowiązane są do przetwarzania posiadanych danych osobowych zgodnie z przepisami o ochronie danych osobowych.

Jaka będzie rola agencji zatrudnienia w procesie przetwarzania danych kandydatów do pracy? Jakie są obowiązki przyszłego pracodawcy, a jakie agencji?

Gdy pracodawca zleca rekrutację agencji zatrudnienia kandydaci mogą kierować swoje zgłoszenia do agencji, która w takiej sytuacji będzie pełniła rolę administratora ich danych. Będzie ona przetwarzać dane osobowe kandydatów na podstawie ich zgody wyrażonej w zgłoszeniu w celu przeprowadzenia pierwszego etapu rekrutacji — pozyskania CV oraz selekcji pracowników. W tej sytuacji obowiązek informacyjny podczas pozyskiwania danych powinna spełnić agencja. Obowiązek informacyjny po stronie pracodawcy, który wcześniej nie ujawnił swojej tożsamości powstaje w momencie, kiedy dane wybranych przez agencję kandydatów mają być mu przekazane. Wówczas wybrani kandydaci przed przekazaniem danych powinni zostać poinformowani przez agencję o danych potencjalnego pracodawcy oraz wyrazić zgodę na przekazanie ich kandydatur. Pracodawca otrzymuje dane osobowe tylko tych kandydatów, którzy wyrażą stosowną zgodę.

Proces rekrutacyjny