Jakie zasady ograniczają zakres danych pracodawcy?
RODO nie daje pracodawcy nieograniczonego prawa do zbierania informacji o kandydatach i pracownikach. Zakres danych określają przede wszystkim art. 22¹ i następne Kodeksu pracy, przepisy szczególne oraz zasady ochrony danych. Informacje muszą być przetwarzane zgodnie z prawem, w konkretnym celu i tylko w zakresie niezbędnym do jego realizacji.
Pracodawca jest administratorem danych, jeśli sam ustala, dlaczego i w jaki sposób je przetwarza. Dla każdego celu powinien wskazać podstawę prawną, określić potrzebny zakres informacji, ograniczyć dostęp do osób upoważnionych i ustalić czas przechowywania. Dane powinny być prawidłowe, a gdy przestaną być potrzebne, należy je usunąć lub ograniczyć ich wykorzystanie.
W praktyce oznacza to, że nie należy gromadzić informacji „na zapas”. Sam fakt, że kandydat umieścił coś w CV, ankiecie lub publicznym profilu internetowym, nie uzasadnia automatycznie dalszego przetwarzania. Każda informacja powinna mieć związek z celem rekrutacji, zatrudnienia albo konkretnym obowiązkiem prawnym.
Jakie dane można zbierać podczas rekrutacji?
Podstawowy katalog informacji o kandydacie obejmuje trzy grupy danych, o które można zasadniczo pytać w każdym naborze: imię i nazwisko, datę urodzenia oraz wskazane przez kandydata dane kontaktowe. Kandydat może sam zdecydować, czy poda na przykład numer telefonu, adres e-mail czy inny sposób kontaktu.
Kolejne trzy kategorie, czyli wykształcenie, kwalifikacje zawodowe i przebieg dotychczasowego zatrudnienia, można pozyskiwać wtedy, gdy są niezbędne do wykonywania pracy na konkretnym stanowisku. Przykładowo przy rekrutacji na stanowisko wymagające określonych uprawnień pracodawca może zapytać o kwalifikacje i poprosić o informacje potwierdzające ich posiadanie. Jeśli doświadczenie zawodowe nie ma znaczenia dla danego naboru, nie powinno być zbierane automatycznie.
Pracodawca nie powinien żądać danych niezwiązanych z pracą, takich jak szczegóły życia rodzinnego, tylko dlatego, że pojawiły się w formularzu rekrutacyjnym. Wyjątkiem mogą być informacje potrzebne do ustalenia uprawnienia wynikającego z prawa pracy, ale wtedy zakres i cel muszą wynikać z przepisów. Przed rozpoczęciem naboru warto ustalić kryteria oceny, niezbędne dane oraz podstawę ich przetwarzania, a następnie przekazać kandydatom klauzulę informacyjną i zabezpieczyć dokumenty przed dostępem osób nieuprawnionych.
Zgoda nie jest automatycznie potrzebna do przetwarzania danych, których pracodawca może żądać na podstawie Kodeksu pracy. Może być natomiast właściwa w dodatkowych, dobrowolnych sytuacjach, na przykład gdy kandydat chce uczestniczyć w przyszłych rekrutacjach. Taka zgoda musi być rzeczywiście dobrowolna, a odmowa jej udzielenia nie powinna zamykać drogi do udziału w aktualnym naborze. Okres przechowywania danych na potrzeby kolejnych rekrutacji powinien odpowiadać wskazanemu celowi. Przykładowe dziewięć miesięcy nie jest uniwersalnym terminem ustawowym.
Jakie informacje można przetwarzać po zatrudnieniu?
Po nawiązaniu stosunku pracy pracodawca może przetwarzać dane potrzebne do zawarcia i realizacji umowy, wypłaty wynagrodzenia, rozliczeń publicznoprawnych, prowadzenia dokumentacji pracowniczej oraz wykonywania obowiązków z zakresu prawa pracy. W zależności od celu mogą to być między innymi adres, PESEL, dane niezbędne do przelewu wynagrodzenia i informacje wymagane do prowadzenia akt osobowych.
Pracodawca może przetwarzać także dalsze dane, w tym informacje o dzieciach pracownika, jeśli są konieczne do przyznania uprawnień przewidzianych w prawie pracy. Nie oznacza to jednak prawa do gromadzenia pełnych informacji o rodzinie. Należy ograniczyć się do danych potrzebnych do ustalenia konkretnego uprawnienia i przechowywać je przez okres uzasadniony celem lub przepisami.
Informacje o zdrowiu, poglądach, przynależności związkowej i inne szczególne kategorie danych podlegają szczególnej ochronie. Pracodawca nie powinien ich wymagać bez wyraźnej podstawy prawnej lub obowiązku wynikającego z przepisów. Jeśli określona informacja jest niezbędna w szczególnej sytuacji, trzeba zweryfikować, czy istnieje podstawa do jej pozyskania i jak ograniczyć dostęp do niej.
Jakie obowiązki informacyjne i prawa przysługują osobie?
Kandydat i pracownik powinni otrzymać jasną informację o tym, kto jest administratorem danych, w jakim celu i na jakiej podstawie są one przetwarzane, jak długo będą przechowywane oraz jakie prawa przysługują osobie. Informacja powinna odpowiadać rzeczywistym procesom, a nie być ogólnym opisem, który nie wyjaśnia, co dzieje się z konkretnymi danymi.
Osoba może żądać dostępu do dotyczących jej danych oraz uzyskać informacje o ich przetwarzaniu. W określonych sytuacjach może również domagać się usunięcia danych, na przykład gdy ustał cel ich przetwarzania i nie ma innej podstawy do dalszego przechowywania. Możliwość usunięcia może być ograniczona, jeśli pracodawca musi zachować dokumentację na podstawie przepisów albo potrzebuje niezbędnych informacji do obrony przed roszczeniami.
Po zakończeniu rekrutacji dane kandydata należy usunąć, gdy przestają być potrzebne do celu, dla którego je zebrano, chyba że istnieje odrębna podstawa do ich ograniczonego przechowywania. Zachowanie dokumentów na wypadek ewentualnych roszczeń powinno obejmować tylko niezbędny zakres i odpowiedni okres. Nie może służyć jako pretekst do dalszego wykorzystywania danych w innych celach.
Jak RODO stosuje się do monitoringu i narzędzi cyfrowych?
Rekrutacja online, automatyzacja selekcji, elektroniczna ewidencja czasu pracy i monitoring aktywności cyfrowej mogą prowadzić do zbierania informacji wykraczających poza to, co jest konieczne. Narzędzie może przetwarzać dane bezpośrednio, na przykład dane identyfikacyjne, albo pośrednio, tworząc historię aktywności, wyniki oceny czy profile. Technologia nie zwalnia pracodawcy z obowiązku minimalizacji danych i poszanowania prywatności.
Monitoring poczty elektronicznej i innych aktywności musi służyć określonemu, zgodnemu z prawem celowi. Nie może naruszać tajemnicy korespondencji ani dóbr osobistych pracownika. Pracodawca powinien poinformować o monitoringu, opisać jego cel, zakres i sposób w odpowiednich regulacjach zakładowych oraz zapewnić, że dostęp do zebranych informacji mają wyłącznie uprawnione osoby.
Przed wdrożeniem systemu warto ocenić nie tylko rodzaj używanego narzędzia, ale także konieczność zbierania poszczególnych danych, ich zakres, dostęp do wyników i czas retencji. Okresowy przegląd procesów pozwala wykryć informacje zbędne i usunąć je, zanim będą przechowywane bez uzasadnienia.
Przy audycie danych pracowniczych należy sprawdzić, czy każda kategoria informacji ma określony cel i podstawę prawną, dostęp ograniczono do uprawnionych osób, a termin usunięcia został ustalony. Trzeba również udokumentować potrzebę dalszego przechowywania danych po ustaniu pierwotnego celu. Takie podejście pomaga ograniczyć ryzyko naruszeń i zapewnia, że procesy kadrowe pozostają zgodne z zasadami RODO.
Źródła
- https://uodo.gov.pl/pl/581
- https://uodo.gov.pl/pl/701/4469
- https://uodo.gov.pl/pl/701/4471
- https://bip.uodo.gov.pl/pl/589/3202
- https://uodo.gov.pl/pl/file/1469