Ochrona danych osobowych w procesie rekrutacji

Pracując na co dzień z klientami kancelarii, dostrzegamy, że w kwestii ochrony danych osobowych najwięcej wątpliwości w sferze HR budzą zagadnienia dotyczące m.in. rekrutacji. O ile konieczność zapewnienia fizycznego i informatycznego bezpieczeństwa nie budzi wątpliwości, o tyle już zakres możliwych (zgodnych z prawem) danych przetwarzanych w celu rekrutacji czy źródła ich pozyskiwania rodzą wiele pytań.

Pracodawca, poszukując i zatrudniając pracowników, przetwarza ich dane osobowe. Oznacza to, że tak, jak zobowiązany jest znać i stosować Kodeks pracy, tak samo – w zakresie przetwarzania danych osobowych w związku z zatrudnianiem – musi znać i stosować przepisy ogólnego rozporządzenia o ochronie danych z 27 kwietnia 2016 r., które obowiązuje od 25 maja 2018 r., powszechnie znanego jako RODO.

Kto to jest pracownik, czym są dane osobowe i na czym polega ich przetwarzanie?

Pod pojęciem pracownika należy rozumieć – zgodnie z art. 3 Kodeksu pracy – osobę zatrudnioną na podstawie umowy o pracę, powołania, mianowania, wyboru lub spółdzielczej umowy o pracę. Tym samym zarówno przepisy stanowiące o pracownikach, jak i niniejsze opracowanie nie dotyczą osób wykonujących pracę/usługi zgodnie z inną podstawą prawną. Nie jest zatem pracownikiem w ww. rozumieniu osoba współpracująca z danym podmiotem na podstawie umowy cywilnoprawnej (np. zlecenia, o dzieło czy o świadczenie usług) czy też tzw. samozatrudniony, tj. osoba prowadząca jednoosobową działalność gospodarczą i współpracująca z jednym podmiotem. Przy takim podziale kandydatem do pracy jest zatem osoba, która ma zostać zatrudniona w ramach stosunku pracy (tj. jako pracownik). Rozróżnienie to jest istotne nie tylko z punktu widzenia prawa pracy, ale także w związku z definiowaniem procesów przetwarzania danych osobowych, w ramach których musimy odwoływać się do odpowiednich podstaw prawnych (a te mogą być inne dla pracowników i inne dla osób na umowach cywilnoprawnych).

Z kolei dane osobowe zostały zdefiniowane w samym RODO jako wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Dane osobowe dzieli się na:

• tzw. dane zwykłe (tj. identyfikacyjne, jak imię, nazwisko, adres, dane o lokalizacji itp.),
• dane szczególnej kategorii (dawniej określane jako wrażliwe, do których zaliczamy m.in. dane o stanie zdrowia, poglądy polityczne, wyznanie czy informacje o przynależności związkowej),
• dane o wyrokach skazujących i czynach zabronionych (traktowane przez RODO odrębnie).

Mówiąc zaś o przetwarzaniu danych osobowych, mamy na myśli jakąkolwiek czynność wykonywaną na tych danych; RODO wskazuje na operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, a także wymienia rodzaje tych operacji. Co istotne, przetwarzaniem danych jest już samo ich zbieranie, niezależnie od tego, czy następuje wskutek naszej aktywności (np. w odpowiedzi na zamieszczone ogłoszenie rekrutacyjne), czy też niezależnie od nas (np. gdy otrzymujemy CV kandydata do pracy, pomimo tego że nie prowadzimy akurat rekrutacji).