Rozporządzenie o Ochronie Danych Osobowych od lat wpływa na procesy rekrutacyjne. Mimo to niektóre obowiązki wynikające z przepisów RODO oraz ich praktyczne znaczenie potrafią wciąż zaskakiwać.
Czy wiesz, że kandydat, którego rekrutujesz, może poprosić o wgląd w notatki sporządzone na jego temat podczas rozmowy rekrutacyjnej?
Jeśli zastanawiasz się, o co jeszcze może wystąpić kandydat i jak powinien na to żądanie odpowiedzieć rekruter, ten artykuł jest właśnie dla Ciebie.
Przyjrzymy się w nim prawu kandydatów do dostępu do ich danych osobowych oraz temu, jakie wyzwania może to stwarzać dla Twojej organizacji. Dodatkowo podpowiemy, jak ukształtować procesy rekrutacyjne tak, aby Twoje notatki nie stały się kolejnym tematem dnia na mediach społecznościowych.
Każda informacja, która jest lub może być powiązana z konkretną osobą – na przykład kandydatem – staje się daną osobową. W takiej sytuacji kandydat staje się podmiotem danych, który zgodnie z RODO ma określone prawa, w tym prawo dostępu do swoich danych wynikające z art. 15 Rozporządzenia. Takimi danymi mogą być:
Potencjalny pracodawca staje się wtedy administratorem danych, który zgodnie z RODO ma obowiązek zrealizować prawa kandydata.
Osoba, której dane dotyczą, ma prawo uzyskać od administratora potwierdzenie, czy jej dane osobowe są przetwarzane. Jeśli tak, przysługuje jej także dostęp do tych danych oraz informacji dotyczących m.in.:
Jest to stosunkowo szeroki katalog informacji, ale zarówno one, jak i pozostałe wymagane elementy powinny znajdować się w odpowiedniej klauzuli informacyjnej lub polityce prywatności. Jeżeli zadbamy o ich poprawną i przejrzystą treść, wypełnienie obowiązku informacyjnego nie powinno sprawiać większych trudności.
Prawo do uzyskania powyższych informacji to jednak nie wszystko! Zgodnie z ust. 3 tego artykułu, osoba, której dane dotyczą, może zażądać kopii swoich danych osobowych podlegających przetwarzaniu. W praktyce oznacza to wszelkie informacje powiązane z konkretnym kandydatem – na przykład wspomniane wcześniej notatki czy historia rekrutacji danej osoby.
Żądanie należy zrealizować niezwłocznie, nie później niż w terminie miesiąca od jego otrzymania. Przedłużenie terminu o kolejne dwa miesiące może nastąpić jeden raz, w wyjątkowych sytuacjach i wymaga powiadomienia żądającego oraz podania uzasadnienia.
W tym czasie należy m.in. potwierdzić tożsamość żądającego i zakres wniosku, zebrać wymagane dane osobowe, a także odpowiednio je zabezpieczyć i dostarczyć.
Dlatego tak ważne jest wdrożenie właściwych procedur oraz narzędzi, które umożliwią wywiązanie się z obowiązków administratora danych — bezpiecznie, terminowo i przy możliwie najmniejszym nakładzie pracy.
Większość kandydatów wykorzysta otrzymane informacje do poprawy swojego CV lub sposobu prowadzenia rozmów kwalifikacyjnych. Istnieje jednak ryzyko, że kandydat opublikuje nasze notatki w mediach społecznościowych, ujawni informacje o procesach rekrutacyjnych w organizacji lub wykorzysta je w inny sposób, sprzeczny z naszym interesem.
Dlatego o zgodność z RODO należy zadbać już na etapie projektowania procesów rekrutacyjnych — np. decydując, gdzie i jakie dane przetwarzamy.
Dostępu do danych może żądać tylko osoba, której dane dotyczą lub jej przedstawiciel. Dlatego, realizacją prawa lub udzieleniem informacji o danych należy potwierdzić tożsamość żądającego. Udostępnienie danych osobie nieuprawnionej stanowi naruszenie ochrony danych i może skutkować kontrolą UODO oraz karami finansowymi.
Pamiętajmy jednak, że żadne zabezpieczenie nie jest perfekcyjne. W każdej sytuacji należy zastosować zdrowy rozsądek i ocenić, jakie środki weryfikacji tożsamości są właściwe.
Co jeśli nie wprowadzimy odpowiednich procedur?
Przykład:
z adresu jan.kowalski@kandydat.pl otrzymano żądanie udostępnienia danych osobowych kandydata Jana Kowalskiego, który dwa tygodnie wcześniej zaaplikował, używając adresu [email protected]. Brak weryfikacji tożsamości, może doprowadzić do wysłania danych do oszusta, doprowadzając do wycieku danych.
Wniosek o dostęp do danych nie zawsze zawiera precyzyjne informacje o tym, czego dotyczy.
Przykład: Pan Jan Kowalski żąda „wszystkich jego danych”.
Zanim przystąpimy do realizacji żądania, należy upewnić się, czy obejmuje ono wyłącznie pojedynczy proces rekrutacji, czy też wszystkie działania, w związku z którymi przetwarzane były dane pana Jana. Warto również ustalić, jakich kategorii danych oczekuje kandydat i czy rzeczywiście są to dane osobowe.
Nie możemy zakładać, że żądanie obejmuje jedynie np. notatki ze spotkania, pomijając informacje dotyczące celów przetwarzania, okresu przechowywania czy danych związanych z rekrutacją prowadzoną w ubiegłym roku. Z drugiej jednak strony, jeśli kandydat chce otrzymać tylko określone informacje, zbieranie pozostałych danych byłoby niepotrzebne.
Kluczem jest otwarta komunikacja z osobą składającą żądanie oraz doprecyzowanie jej intencji, tak aby w razie kontroli można było wykazać, że działaliśmy zgodnie z oczekiwaniami kandydata. Najlepszym rozwiązaniem jest uzyskanie pisemnego potwierdzenia zakresu żądania, a po jego realizacji – potwierdzenia braku zastrzeżeń i dalszych wniosków.
Katalog informacji i danych, których kandydat może zażądać, wynika bezpośrednio z art. 15 RODO. Kandydat może poprosić o wszystkie lub tylko wybrane spośród nich. Dobrą praktyką jest przygotowanie odpowiedniej klauzuli informacyjnej lub umieszczenie tych danych w Polityce Prywatności. Ułatwia to nie tylko realizację prawa wynikającego z art. 15, ale także wykonanie obowiązków informacyjnych określonych w art. 13 i 14 RODO.
Większym wyzwaniem może być jednak zebranie danych, których kopii kandydat ma prawo żądać. Obejmuje to wszystkie informacje, które można bezpośrednio powiązać z daną osobą, co często oznacza dużą liczbę danych i plików przechowywanych w różnych miejscach.
Jak poradzić sobie z tym wyzwaniem?
Dane powinny zostać odesłane tym samym kanałem, przez który otrzymaliśmy żądanie. Jeśli kandydat zwrócił się o dane drogą elektroniczną i nie wskazał innej formy, kopia danych również powinna zostać przekazana elektronicznie. Kandydat może jednak poprosić o przekazanie danych w formie papierowej, a Administrator ma obowiązek to uwzględnić.
W przypadku formy elektronicznej format pliku powinien umożliwiać jego otwarcie na standardowym komputerze lub przy użyciu powszechnie dostępnego oprogramowania, warto więc zadbać o możliwość łatwego eksportu przetwarzanych danych.
Plik powinien być także zabezpieczony hasłem, które przekazujemy kandydatowi innym, zweryfikowanym kanałem komunikacji. Dzięki temu znacząco ograniczamy ryzyko, że plik trafi do osoby nieuprawnionej.
Zgodnie z RODO w niektórych przypadkach można odmówić realizacji prawa dostępu:
W praktyce, wyjątki znajdą zastosowanie jedynie w nielicznych sytuacjach. Administrator musi przeanalizować każdy taki przypadek, udokumentować spełnienie opisanych w RODO warunków, oraz poinformować żądającego o przyczynie odmowy. Brak realizacji żądania może być również skontrolowany przez Urząd Ochrony Danych Osobowych, który surowo ocenia przedstawione przez Administratora wyjaśnienia i dowody.
Odpowiednie ustrukturyzowanie procesów w Twojej organizacji jest więc znacznie pewniejszym rozwiązaniem niż próby odmowy wykonania prawa dostępu.
RODO daje osobom, których dane dotyczą, wiele praw – w tym prawo do uzyskania informacji o przetwarzanych danych osobowych oraz prawo do otrzymania ich kopii. Uprawnienie to ma liczne zalety i pozwala na większą kontrolę nad informacjami dotyczącymi danej osoby. Może jednak wiązać się z pewnymi wyzwaniami dla administratorów, w tym pracodawców prowadzących rekrutacje, którzy muszą takie żądanie zrealizować.
Na szczęście odpowiednia struktura procesu, właściwie dobrane narzędzia oraz wewnętrzne standardy i wytyczne dotyczące rekrutacji mogą znacząco usprawnić realizację tych praw i pomóc uniknąć większości trudności oraz ryzyk.
Jeżeli chcesz dowiedzieć się więcej o tym, jak eRecruiter wspiera zgodność z RODO, napisz do nas!
Podziel się
Podziel się wrażeniami!
