Z PORADNIKA UODO: Dane kandydata, który nie zostanie zatrudniony, należy usunąć niezwłocznie po zakończeniu rekrutacji. Niedopuszczalne jest ich przetwarzanie tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem osoby, której dotyczą. Nie usprawiedliwia tego również roszczenie z tytułu dyskryminacji, bo przechowywanie danych w takim przypadku nie jest dla pracodawcy niezbędne.
dr Paweł Litwiński adwokat, partner w Barta Litwiński Kancelaria Radców Prawnych i Adwokatów / DGP
DR PAWEŁ LITWIŃSKI: Zasadą wynikającą z art. 5 ust. 1 pkt e RODO jest możliwość przechowywania danych osobowych tak długo, jak to jest niezbędne do realizacji celu ich przetwarzania. Jeżeli jednak pierwotnym celem przetwarzania jest rekrutacja, to dane osobowe mogą być też przetwarzane do innych celów (cele wtórne), pod warunkiem że nie są one niezgodne z celem pierwotnym (art. 5 ust. 1 pkt b RODO). Tak więc np. cel w postaci wykonania umowy umożliwia też dochodzenie roszczeń z niej wynikających – czy miałbym rozumieć, że (zapominając na chwilę o przepisach o rachunkowości) jeżeli wykonam usługę i wystawię fakturę, to powinienem natychmiast usunąć te dane? Przecież to absurd! A co, jeżeli usługobiorca mi nie zapłaci? Jak miałbym dochodzić swoich praw przed sądem? Dlatego w RODO nie mówimy o celach „innych”, ale o celach „niesprzecznych” z celem pierwotnym, i w art. 6 ust. 4 RODO mamy opisane zasady oceny, czy cel jest sprzeczny, czy niesprzeczny z celem pierwotnym. Z tych powodów zbierając dane w celu rekrutacji, możemy je przetwarzać do realizacji celu pierwotnego (rekrutacja) i innych celów niesprzecznych z celem pierwotnym (ochrona przed roszczeniami, np. opartymi o zakaz dyskryminacji). Nie musimy tych danych usuwać natychmiast po zakończonej rekrutacji.
Justyna Tyc radca prawny, associate w kancelarii Domański Zakrzewski Palinka / DGP
JUSTYNA TYC: Zgadzam się z powyższą opinią. Uważam, że administrator może przetwarzać dane osobowe kandydatów do pracy do czasu przedawnienia ewentualnych roszczeń. Autorzy poradnika najwyraźniej wyszli z założenia, że dane kandydatów zbierane podczas rekrutacji to tylko CV i pracodawca zapamięta przebieg wszystkich rekrutacji, aby w ewentualnym sporze sądowym móc wykazać, że przy wyborze pracownika kierował się wyłącznie obiektywnymi przesłankami. W praktyce procesy rekrutacyjne często są wielostopniowe, biorą w nich udział dziesiątki kandydatów, a dane pochodzą nie tylko z CV, lecz także z różnych rozmów z kandydatem, notatek, referencji czy przeprowadzonych testów. Usuwanie danych dotyczy natomiast wszystkich danych pozyskanych/utrwalonych za pomocą wymienionych źródeł. Wyobrażam sobie zatem trudność w obronie swoich praw w sporze sądowym przez pracodawcę, który bez jakichkolwiek dokumentów będzie musiał udowodnić, że dany kandydat został wykluczony z rekrutacji na etapie x z powodów y, zwłaszcza jeśli takie roszczenie zostanie zgłoszone tuż przed upływem trzech lat. Dlatego uważam, że pracodawcy mają usprawiedliwiony interes w tym, aby dane kandydatów przechowywać dłużej niż zakończenie procesu rekrutacji, np. do czasu przedawnienia ewentualnych roszczeń.
Paulina Komorowska adwokat w zespole prawa nowych technologii i własności intelektualnej kancelarii CMS / DGP
PAULINA KOMOROWSKA: Podejście do przechowywania danych kandydatów przedstawione w poradniku jest restrykcyjne i może budzić wątpliwości. Zgodnie bowiem z przepisami RODO przechowywanie danych osobowych dopuszczalne jest przez okres, w którym są one niezbędne do osiągnięcia celów przetwarzania. Takim celem może być ustalenie, dochodzenie lub obrona roszczeń, np. związanych z naruszeniem zasady równego traktowania – wówczas okres przetwarzania danych może odpowiadać okresowi przedawnienia roszczeń. Pracodawca powinien mieć prawo obrony przed roszczeniem nie tylko na podstawie danych przedstawianych przez kandydata w postępowaniu sądowym, lecz także na podstawie własnych informacji, takich jak analizy kandydatur uzasadniające wybór danej osoby. O przetwarzaniu danych do wskazanego celu należy poinformować kandydata.
dr Edyta Bielak-Jomaa prezes Urzędu Ochrony Danych Osobowych / DGP
DR EDYTA BIELAK-JOMAA: Cieszę się, że za sprawą naszego poradnika rozpoczęła się dyskusja na ten temat. Kwestia roszczeń kandydatów do pracy, zwłaszcza tych dotyczących równego traktowania, to bowiem zagadnienie niezwykle skomplikowane. Nawet w doktrynie i orzecznictwie toczy się spór, od jakiego momentu należy liczyć bieg ich przedawnienia. A skoro z jego ustaleniem jest problem, to trudno też określić, kiedy się kończy. To mogłoby prowadzić do absurdalnego wniosku, że z tego powodu pracodawcom wolno przechowywać dane z rekrutacji w nieskończoność. To byłoby działanie niezgodne z RODO, prowadzące do naruszenia zasady ograniczenia przechowywania danych. Poza tym warto by też przeanalizować, czy dokumenty składane na potrzeby rekrutacji są rzeczywiście wykorzystywane w rozstrzyganiu spraw związanych z tego typu roszczeniami. Kolejna sprawa to skala tego zjawiska. Być może dobrym rozwiązaniem byłoby określenie okresu, przez jaki pracodawcy mieliby prawo przechowywać dokumenty z rekrutacji do takich właśnie celów wprost w przepisach prawa. Niemniej jednak ustawodawca musiałby takie rozwiązanie odpowiednio uzasadnić, a UODO oceniałby je w procesie legislacyjnym pod kątem zgodności z RODO.
DR MACIEJ KAWECKI: Prawdą jest, że chyba żaden inny dokument urzędowy dotyczący RODO nie wywołał tak żywej reakcji, jak wydany poradnik dotyczący RODO w zatrudnieniu. Liczba skierowanych do nas, różnymi kanałami, stanowisk w jego sprawie jest ogromna. Najwięcej wątpliwości budzi pewnie stanowisko dotyczące wymogu niezwłocznego usuwania danych osobowych kandydatów, z którym pracodawca nie zdecydował się zawrzeć umowy o pracę. Interpretacja, jak rozumiem, dotyczy prawa krajowego – przepisów kodeksu pracy ‒ oraz prawa unijnego, tj. RODO. Przynajmniej w ograniczonym zakresie zastosowanie znaleźć powinna tutaj – i o tym nie wolno nam zapomnieć – wyrażona w art. 11 ustawy z 6 marca 2018 r. – Prawo przedsiębiorców (Dz.U. poz. 646 ze zm.) zasada przyjaznej interpretacji przepisów. Ma ona zastosowanie w działaniach prowadzonych przez organy władzy publicznej, których przedmiotem jest nałożenie na przedsiębiorcę obowiązku bądź ograniczenie lub odebranie uprawnienia. Zasada ta nakazuje organom, aby te w przypadku, gdy możliwych jest wiele różnych interpretacji przepisu, rozstrzygały wątpliwości na korzyść przedsiębiorcy.

pozyskiwanie danych z portali społecznościowych

Z PORADNIKA UODO: Co do zasady niedopuszczalne jest gromadzenie przez pracodawców i agencje rekrutacyjne informacji zamieszczanych przez kandydatów do pracy na swój temat w mediach społecznościowych i innych ogólnodostępnych źródłach.
DR PAWEŁ LITWIŃSKI: Dane osobowe mogą być przetwarzane nie tylko wtedy, gdy zezwala na to przepis prawa lub gdy zgodziła się na to zainteresowana osoba, lecz także wtedy, gdy mamy w tym uzasadniony interes i przeważa on nad prawami i wolnościami osób, których dane dotyczą. Uzasadniony interes to kategoria interesu faktycznego – pracodawca ma interes faktyczny w tym, żeby np. poszukiwać dobrego kandydata do pracy w serwisach społecznościowych. Potencjalni kandydaci sami, z własnej inicjatywy, ujawniają swoje dane w tych serwisach – nie ma więc mowy o tym, by ich prawa i wolności (prawo do ochrony danych osobowych) w tym przypadku przeważały nad interesem pracodawcy. Co więcej, w przypadku danych wrażliwych RODO wprost stanowi, że można przetwarzać dane podane do wiadomości publicznej przez osobę, której takie dane dotyczą (art. 9 ust. 2 pkt e RODO). Nie powinno więc być żadnych wątpliwości, że przeglądanie serwisów społecznościowych przez pracodawców w poszukiwaniu np. kandydatów do pracy jest zgodne z RODO.
Oczywiście jeżeli pracodawca zbierze w ten sposób jakieś dane – np. wynotuje sobie kilka osób, z którymi chciałby się skontaktować – powinien wobec nich wykonać obowiązek informacyjny z art. 14 RODO, czyli m.in. ujawnić im swoją tożsamość i poinformować ich o przysługujących im prawach, w tym o prawie do sprzeciwu wobec przetwarzania danych. Jeżeli taka osoba wykona prawo sprzeciwu – możemy przecież nie chcieć, żeby ktoś przetwarzał nasze dane – pracodawca powinien zaprzestać takiego przetwarzania.
JUSTYNA TYC: Przy obecnych regulacjach prawnych korzystanie z serwisów społecznościowych wydaje się dopuszczalne, o ile administrator wykaże swój usprawiedliwiony interes, który jest jedną z podstaw przetwarzania danych (na razie ta podstawa nie została wyłączona w stosunku do rekrutacji). Rynek pracodawców i ich potrzeb jest bardzo zróżnicowany, zatem nie można wykluczyć, że przy rekrutacji na pewne stanowiska pozyskiwanie danych z portali może być usprawiedliwione, zwłaszcza tam, gdzie wymogiem jest nieskazitelny wizerunek. Pracodawcy muszą jednak pamiętać o prawidłowym wykorzystywaniu danych w ten sposób pozyskanych, zwłaszcza z punktu widzenia zasad równego traktowania. Posługując się przykładem, jeśli pracodawca z portalu społecznościowego pozyska informacje o orientacji seksualnej kandydata do pracy, która to orientacja nie będzie odpowiadała poglądom pracodawcy, to nie może z tego względu wykluczyć kandydata z rekrutacji. Wówczas dochodzi do dyskryminacji ze względu na orientację i pracodawca realnie naraża się na roszczenia ze strony kandydata.
PAULINA KOMOROWSKA: Dopuszczalność gromadzenia informacji o kandydatach z portali społecznościowych powinna być oceniana z uwzględnieniem charakteru danego portalu społecznościowego. Portale o charakterze profesjonalnym wykorzystywane są bowiem w praktyce do budowania wizerunku zawodowego, a tworzenie na nich profili zawodowych można interpretować jako zgodę na wykorzystywanie zawartych w nich danych w celach związanych z rozwojem kariery zawodowej. Odmiennie należałoby natomiast spojrzeć na portale społecznościowe, które służą do celów prywatnych. Zazwyczaj zawierają one informacje skierowane do kręgu znajomych, do których przetwarzania pracodawca nie jest uprawniony bez zgody kandydata (np. hobby). Przetwarzanie danych kandydata zawartych w profesjonalnym portalu społecznościowym wymaga poinformowania go o tym źródle pozyskiwania danych.
DR EDYTA BIELAK-JOMAA: Nasze stanowisko jest w tym względzie niezmienne od lat i podyktowane m.in. brzmieniem obowiązujących przepisów. To bowiem ustawodawca przesądził, jakich danych można żądać na potrzeby rekrutacji. Dlatego uznając, że w tym zakresie od dawna prawie nic się nie zmieniło, zagadnienie to ujęliśmy w poradniku w sposób bardzo skondensowany, raczej dla przypomnienia i uporządkowania wiedzy. Odzew świadczy o tym, że nasze stanowisko warto będzie opisać szerzej, wskazując m.in., że inaczej oceniać trzeba korzystanie z informacji zawartych na portalach, których użytkownicy prezentują się od strony zawodowej, od tych, na których występują jako osoby prywatne, dzielące się informacjami ze swego życia prywatnego.
To oczywiste, że w dzisiejszych czasach, choć żaden przepis kodeksu pracy nie upoważnia pracodawców do przetwarzania w toku rekrutacji tych informacji o kandydatach, które znajdują się w sieci, duża część z nich próbuje i może się z nimi zapoznać, jeżeli są publicznie dostępne. Dlatego zawsze, gdy rozmawiam na ten temat, podkreślam, że warto się zastanowić, jakie informacje na swój temat udostępniamy na portalach społecznościowych. Nawet jeśli pracodawca nie będzie ich oficjalnie przetwarzał, nie możemy być pewni, że w jakimś stopniu nie wpłyną one na podjęcie decyzji o zatrudnieniu bądź niezatrudnieniu danej osoby. Mimo że zgodnie z prawem nie może tego robić.

weryfikacja prawdziwości dyplomu

Z PORADNIKA UODO: Potwierdzanie prawdziwości dyplomu ukończenia studiów wyższych, jak i innych danych zawartych w dokumentach przedkładanych przez kandydata w toku rekrutacji, poprzez kierowanie zapytań do podmiotów, które wydały te dokumenty (np. szkół wyższych), jest niedopuszczalne.
DR PAWEŁ LITWIŃSKI: Zgodnie z art. 5 ust. 1 pkt d RODO administrator danych osobowych (pracodawca) ma podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe, zostały niezwłocznie sprostowane. Jest to zasada prawidłowości danych osobowych. Jeżeli więc pracodawca ma wątpliwości, czy kandydat podał w CV prawdziwe dane, np. dotyczące wykształcenia, ma prawny obowiązek podjąć działania w celu ich zweryfikowania. Może zweryfikować te dane u źródła, czyli np. na uniwersytecie, co do którego kandydat informuje, że go ukończył. W razie wątpliwości pracodawca nie tyle więc może zwrócić się o potwierdzenie danych, co powinien to zrobić. Podkreślam ‒ w razie wątpliwości, bo praktyka potwierdzania wszelkich danych podanych w CV u źródła także jest nieprawidłowa. Ale nie można pracodawcy pozbawiać tej możliwości, która jest działaniem w wykonaniu obowiązku prawnego.
JUSTYNA TYC: Kodeks pracy stanowi, że udostępnienie pracodawcy danych następuje w formie oświadczenia, ale pracodawca ma prawo żądać udokumentowania tych danych. Takim dokumentem jest bez wątpienia dyplom. Zwracając się do uczelni o potwierdzenie autentyczności dokumentu, pracodawca nie pozyskuje nowych danych osobowych kandydata, a jedynie potwierdza te, które już ma. Zatem problemem nie jest samo potwierdzenie danych, ale podstawa udostępnienia przez pracodawcę danych kandydata uczelni w celu sprawdzenia. Taką podstawą może być usprawiedliwiony interes administratora, ale pracodawca musi pamiętać, że to na nim będzie ciążył obowiązek wykazania, że taki interes zaistniał. Zatem przestrzegałabym przed stałą taką praktyką, na zasadzie – sprawdzamy każdego z góry. Powinno to następować tylko wtedy, gdy jest uzasadnione podejrzenie co do autentyczności dyplomu.
PAULINA KOMOROWSKA: Przepisy nie przewidują wprost możliwości zwrócenia się do uczelni wyższej z prośbą o potwierdzenie, czy dana osoba jest jej absolwentem, jednak kategoryczne wykluczenie takiej możliwości nie wydaje się uzasadnione. Skoro, trafnie, za dopuszczalne jest uznane kontaktowanie się na podstawie zgody kandydata z poprzednim pracodawcą w celu uzyskania informacji o nim, należałoby uznać, że nie ma przeszkód, aby np. zgoda stanowiła także podstawę do uzyskania potwierdzenia wydania dyplomu bezpośrednio w uczelni.
DR EDYTA BIELAK-JOMAA: Przepisy kodeksu pracy i aktów wykonawczych do niego ściśle określają, jakich dokumentów poświadczających wykształcenie oraz kwalifikacje zawodowe można żądać w toku rekrutacji. Przy czym dokumenty te mają być dostarczane przez kandydata do pracy. Żaden przepis nie uprawnia pracodawcy do samodzielnego ich pozyskiwania, również z uczelni. Także ustawa z 20 lipca 2018 r. – Prawo o szkolnictwie wyższym i nauce (Dz.U. poz. 1668) nie uprawnia uczelni do udostępniania pracodawcom danych o absolwentach. Jej art. 344 ściśle określa, komu, w jakich celach i w jakim zakresie udostępnia się dane o studentach gromadzone w Systemie POL-on. Ponadto zwracając się do uczelni z prośbą o potwierdzenie określonych danych, pracodawcy ujawniają, że dana osoba ubiega się u nich o pracę, a przecież kandydat ma prawo sobie tego nie życzyć.
Fakt ukończenia studiów ma potwierdzać wydany dyplom, a jeśli pracodawca ma podejrzenia co do jego wiarygodności, powinien je zgłosić organom ścigania. Posługiwanie się fałszywym dokumentem, np. dyplomem, to przestępstwo ścigane przez odpowiednie organy, np. policję. Gdybyśmy uznali, że pracodawcy mają prawo weryfikować dostarczane w toku rekrutacji dokumenty, to mogłoby się okazać, iż chcieliby oni sprawdzać również prawdziwość okazywanych dowodów osobistych czy świadectw ukończenia szkół. Na zagadnienie to warto też spojrzeć w kontekście podważania wiarygodności kandydata do pracy i możliwości dochodzenia przez niego roszczeń odszkodowawczych z tytułu naruszenia dóbr osobistych chronionych przepisami kodeksu cywilnego.