Po 25 maja wśród rekruterów pojawia się wiele wątpliwości dotyczących tego, w jaki sposób oraz w jakiej formie zbierać zgody od kandydatów, tak aby były one ważne i zgodne z RODO. Aby rozwiać wszelkie wątpliwości postanowiliśmy poprosić o wsparcie międzynarodową kancelarię specjalizującą się w ochronie danych osobowych Bird & Bird.
Na jakiej podstawie prawnej można przetwarzać dane kandydatów?
Jak już pewnie wiecie, w zależności od celu oraz zakresu przetwarzanych danych w ramach rekrutacji pracodawcy mogą opierać się na różnych podstawach prawnych przetwarzania. Zaliczamy do nich:
- zgodę kandydata do pracy (art. 6 ust. 1 pkt a RODO),
- niezbędność do wypełnienia obowiązku prawnego ciążącego na pracodawcy (administratorze) (art. 6 ust. 1 pkt c RODO),
- prawnie uzasadniony interes realizowany przez potencjalnego pracodawcę (art. 6 ust. 1 pkt f RODO).
W procesie rekrutacji podstawą przetwarzania danych osobowych wymaganych przez przepisy prawa pracy od osoby ubiegającej się o zatrudnienie jest tzw. niezbędność do wypełnienia obowiązku prawnego ciążącego na pracodawcy. Nie możemy jednak zapominać, że dotyczy to tylko danych wskazanych w przepisach kodeksu pracy lub przepisach szczególnych, które mogą być wymagane przez pracodawcę w ramach procesu rekrutacyjnego.
Kwestią budzącą wiele wątpliwości rekrutujących jest sytuacja, kiedy kandydat w dokumentach aplikacyjnych postanawia przekazać dodatkowe dane, niewymagane przez przepisy kodeksu pracy lub przepisy szczególne (np. wizerunek) lub chce, aby jego dane były przetwarzane również w celu prowadzenia przyszłych rekrutacji. W tych przypadkach podstawą przetwarzania danych jest wtedy dobrowolna zgoda kandydata.
Dodatkowo podstawą przetwarzania danych osobowych kandydata może być prawnie uzasadniony interes pracodawcy, jeżeli dane przetwarzane są w celu ustalenia, dochodzenia lub obrony przed roszczeniami przed sądami lub organami państwowymi.
Jaki charakter musi mieć zgoda na przetwarzanie danych osobowych ?
W nawiązaniu do powyższego akapitu, zanim poprosimy kandydata o zgodę, musimy zastanowić się czy jest ona konieczna tzn. czy posiadamy podstawę prawną, która pozwala nam przetwarzać dane bez dodatkowej zgody. Jeśli okażę się, że takową powinniśmy pozyskać to zgoda aplikującego (zarówno w celu jednorazowej rekrutacji jak w celach przyszłych rekrutacji) musi być: dobrowolnym, świadomym, konkretnym i jednoznacznym okazaniem woli, w którym kandydat, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie jego danych osobowych.
Musimy przy tym pamiętać, że niedozwolone jest wymuszanie zgody na przetwarzanie danych, jako warunku koniecznego do wzięcia udziału w procesie rekrutacji. Zgoda wymuszona nie spełnia wymogu dobrowolności, przez co automatycznie staje się nieważna.
W jaki sposób kandydat wyraża zgodę?
Zgodnie z artykułem 4 pkt 11 RODO zgoda musi stanowić jedynie jednoznaczne okazanie woli, którym kandydat, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie jego danych osobowych. Takim oświadczeniem kandydata może być np. zgłoszenie swojej kandydatury poprzez kliknięcie przycisku „Wyślij” lub „Aplikuj” zamieszczonego w formularzu aplikacyjnym. Taka zgoda jest ważna, ale dotyczy wyłączenie aktualnie prowadzonej rekrutacji.
Odpowiadając na pytanie: Czy konstrukcja zgody oparta na kliknięciu przez kandydata w przycisk „Aplikuj” lub „Wyślij” spełnia wymagania RODO oraz polskich przepisów prawa pracy w zakresie wyrażenia zgody przez kandydata na przetwarzanie jego danych dla celów prowadzenia rekrutacji na stanowisko wskazane w ogłoszeniu (obecna rekrutacja)?, Kancelaria Bird & Bird tj. szef praktyki ochrony danych osobowych i prywatności, Izabela Kowalczuk-Pakuła oraz Katarzyna Zaklikocka, prawnik w tym zespole, zaznaczają i tłumaczą:
Tak, przedstawiona konstrukcja spełnia wymagania RODO oraz polskich przepisów prawa pracy w zakresie wyrażenia zgody przez kandydata na przetwarzanie jego danych dla celów prowadzenia rekrutacji na stanowisko wskazane w ogłoszeniu.
Możliwość zastosowania takiej konstrukcji wynika wprost z definicji zgody wskazanej w artykule 4 pkt 11 RODO. (…) Dodatkowo motyw 32 RODO wskazuje, że okazanie woli może to polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych.
Biorąc pod uwagę powyższe, nie pozostawia wątpliwości, że zgoda na przetwarzanie danych osobowych może zostać udzielona także poprzez wyraźne działanie potwierdzające, tj. określone zachowanie osoby, z którego jednoznacznie wynika, że zgadza się ona na przetwarzanie jej danych w konkretnej sytuacji.
Ponadto nawiązując do treści klauzuli informacyjnej zaproponowanej przez eRecruiter, argumentuje:
Zgoda wyrażona w ten sposób jest dobrowolna, ponieważ podanie dodatkowych danych jest dobrowolne oraz wymaga podjęcia własnej inicjatywy przez kandydata. Kandydat ma swobodę wyrażenia zgody oraz może wyrażoną zgodę cofnąć w każdym czasie. Zgodnie z propozycją klauzuli informacyjnej przedstawioną przez eRecruiter (po odpowiednim jej uzupełnieniu przez pracodawcę) kandydat jest informowany o sposobie cofnięcia zgody, a cofnięcie zgody jest równie łatwe jak jej wyrażenie.
Warunek konkretności zgody zostaje zrealizowany poprzez precyzyjne określenie, w jakim celu będą przetwarzane dane osobowe kandydata na podstawie wyrażonej zgody, tj. dla celów prowadzenia rekrutacji na stanowisko wskazane w ogłoszeniu (obecna rekrutacja).
Wzór klauzuli informacyjnej zaproponowany przez eRecruiter zapewnia kandydatom możliwość podjęcia świadomej decyzji o wyrażeniu zgody. Przed wyrażeniem zgody, kandydat jest informowany o: danych administratora, celu przetwarzania i podstawach prawnych przetwarzania danych, tym jakie dane będą zbieranie i wykorzystywane, prawie do cofnięcia zgody oraz innych prawa przysługujących w związku z przetwarzaniem danych osobowych, braku transferu danych do państw poza EOG. Przekazywane informacje są sformułowane jasnym i prostym językiem, realizują tym samym zasadę przejrzystego informowania osób.
Zachowanie kandydata polegające na kliknięciu w przycisk „Aplikuj” lub „Wyślij” stanowi jednoznaczne okazanie woli, w formie wyraźnego działania potwierdzającego.
Jak pobierać zgody od kandydatów na przyszłe rekrutacje?
W przypadku zgody kandydata na przetwarzanie jego danych dla celów przyszłych rekrutacji skuteczne może być np. wyrażenie zgody poprzez zaznaczenie checkboxa umieszczonego po lewej stronie od treści zgody. Kluczowe dla tego typu zgody jest jednak, aby checkbox nie był domyślnie zaznaczony. Wyrażenie zgody kandydata będzie wymagało podjęcia działania potwierdzającego, czyli zaznaczenia checkboxa.
Bywa, że pracodawcy stosują przy zgodach dwa checkboxy – tak/nie przy każdej zgodzie. Nie jest to jednak konieczne, ponieważ kliknięcie w checkbox (kiedy jest tylko jeden) uznaje się za wyraźne działanie potwierdzające, przez które kandydat wyraża zgodę na przetwarzanie jego danych w przyszłych rekrutacjach, gdy kandydat został uprzednio poinformowany, że kliknięcie w checkbox będzie oznaczało wyrażenie zgody.
Naturalnie w przypadku niezaznaczenia przez kandydata checkboxa, czyli niewyrażenia zgody na przetwarzanie jego danych dla celów przyszłych rekrutacji możliwe jest jedynie wykorzystanie przesłanej aplikacji do celów obecnego procesu rekrutacyjnego. Dodatkowo, jak już wspomnieliśmy wcześniej, nie jest możliwe np. zablokowanie możliwości przesłania przez kandydata formularza aplikacyjnego, jeżeli nie wyraził on zgody na przetwarzanie danych dla celów przyszłych rekrutacji.
Zarówno zgoda wyrażana przez wyraźne działanie – kliknięcie przycisku „Aplikuj”, jak i wykorzystanie checkboxów do pozyskiwania zgód kandydatów na dodatkowe dane i przyszłe rekrutacje są rozwiązaniami dostępnymi w eRecruiter.
Jeśli jeszcze wczoraj Twoją głowę zaprzątały wątpliwości związane z tym, czy skutecznie i zgodnie z prawem pozyskujesz zgody od kandydatów, to mamy nadzieję, że ten artykuł rozwiał je wszystkie. Oczywiście nie są to jedyne dozwolone metody działania, jednak jeśli właśnie takie stosujesz w prowadzonych rekrutacjach, z pewnością możesz spać spokojnie.
Powyższa opinia odnosi się wyłącznie do kwestii w niej poruszonych i nie może być interpretowana rozszerzająco. Opinia została sporządzona wyłącznie na podstawie przepisów polskiego prawa oraz mających zastosowanie regulacji Unijnych, według stanu na dzień jej sporządzenia. Kancelaria Bird & Bird Szepietowski i wspólnicy sp. k. („Kancelaria„) nie jest zobowiązana do aktualizowania opinii w przypadku zmiany przepisów prawa po dacie jej sporządzenia. Opinia została sporządzona jedynie do wykorzystania przez eRecruitment Solutions Sp. z o.o., Kancelaria nie ponosi jakiejkolwiek odpowiedzialności za treść opinii wobec jakiegokolwiek innego podmiotu ani osoby. Opinia nie może być cytowana w całości ani części, ani być powoływana w inny sposób, ani złożona lub udostępniona jakiejkolwiek innej osobie bądź podmiotowi bez uprzedniej wyraźnej zgody kancelarii Bird & Bird Szepietowski i wspólnicy sp. k., chyba że obowiązek udostępnienia wynika z bezwzględnie obowiązujących przepisów prawa.
Poza Kancelarią, żaden z podmiotów stowarzyszonych z Kancelarią, wymienionych na stronie internetowej Bird & Bird LLP, ani żaden z partnerów, dyrektorów, współpracowników, pracowników lub konsultantów Kancelarii, nie ponosi odpowiedzialności w zakresie niniejszej opinii.
