Rozporządzenie ogólne o ochronie danych osobowych, które zacznie być stosowane od 25 maja 2018 roku, nakłada na administratorów danych osobowych (w tym na pracodawców) obowiązek przekazania osobom, od których dane są zbierane (w przypadku rekrutacji, tymi osobami są kandydaci) bardzo wielu informacji. Obowiązki informacyjne względem kandydata powstają niezależnie od konieczności zapewnienia odpowiedniej podstawy do przetwarzania ich danych (np. powołując się na przepis prawa pracy). Oznacza to, że niezależnie od tego, czy administrator będzie przetwarzał dane w oparciu o zgodę, czy np. w celu realizacji ciążącego na nim obowiązku prawnego, będzie musiał przekazać kandydatowi informacje wymagane Rozporządzeniem. Wyjątkiem będzie wyłącznie sytuacja, w której osoba, której dane dotyczą, będzie już dysponować stosownymi informacjami, co jednak w praktyce – zwłaszcza w przypadku rekrutacji – będzie mieć miejsce niezwykle rzadko.
Jakie informacje powinna zawierać klauzula?
Katalog informacji, które pracodawca powinien przekazać podczas pozyskiwania danych od kandydata, został zawarty w art. 13 Rozporządzenia. Ilość podawanych informacji została przy tym znacząco zwiększona, w stosunku do liczby informacji, które obecnie muszą być przekazane kandydatom do pracy na gruncie obowiązującej ustawy o ochronie danych osobowych. W związku z tym, pracodawcy, którzy będą rekrutowali kandydatów do pracy i wobec tego będą administratorami ich danych, powinni przygotować się do wskazanych wyżej zmian i przygotować nową treść obowiązku informacyjnego stosowanego w procesie rekrutacji. Prócz przepisów Rozporządzenia, rekrutujący pracodawcy powinni także uwzględnić treść zmian w kodeksie pracy, które nie tylko wpłyną na treść obowiązku informacyjnego, ale przede wszystkim na zakres pozyskiwanych danych kandydatów i podstawy przetwarzania ich danych.
Co jeszcze należy zawrzeć w klauzuli informacyjnej?
Przy formułowaniu treści obowiązku informacyjnego pracodawcy prowadzący rekrutacje powinni mieć także na względzie obowiązek zapewnienia przejrzystości przetwarzania, co w pewnych sytuacjach może prowadzić do konieczności podania podmiotowi danych pewnych dodatkowych informacji, mających na celu np. wyjaśnienie kandydatowi, że wyrażenie przez niego zgody jest zawsze dobrowolne albo wskazanie, jakie dane kandydata nie mogą być przetwarzane nawet w oparciu o jego zgodę (na gruncie projektowanych zmian w kodeksie pracy byłyby to dane osobowe biometryczne oraz pewne kategorie danych wrażliwych).
W jaki sposób informować kandydatów?
Co istotne, informacje zawarte w klauzuli powinny być przekazane w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą (art. 12 Rozporządzenia). Niezależnie od wybranej formy przekazania informacji, pracodawcy powinni zwrócić uwagę na konieczność zapewnienia rozliczalności, tj. powinni być w stanie wykazać, że zrealizowali obowiązek informacyjny zgodnie z przepisami prawa.
Zasadę rozliczalności pracodawcy powinni uwzględnić w zakresie momentu spełnienia obowiązku informacyjnego, który jak wskazuje art. 13 Rozporządzenia, powinien być zrealizowany podczas pozyskiwania danych. Będzie to np. moment wypełniania formularza aplikacyjnego przez kandydata w odpowiedzi na zamieszone przez pracodawcę ogłoszenie o pracy. Dla wielu pracodawców spełnienie obowiązku informacyjnego będzie wymagało zmiany wewnątrz organizacji np. w postaci stworzenia procedury przyjmowania papierowych CV na portierni.
Jak wygląda przykładowa treść klauzuli informacyjnej?
Poniżej podajemy treść klauzuli informacyjnej, która w najbardziej typowych sytuacjach powinna być przedstawiona kandydatom do pracy w czasie rekrutacji prowadzonej przez pracodawcę na własne potrzeby tj. jako administratora.
Klauzula uwzględnia przepisy Rozporządzenia oraz projekt przepisów wprowadzających ustawę o ochronie danych osobowych opublikowany przez Ministerstwo Cyfryzacji 14 września b.r., w którym zawarte zostały propozycje zmian w kodeksie pracy odnoszące się do danych osobowych pracowników i kandydatów do pracy. Przed skorzystaniem z poniższej klauzuli obowiązku informacyjnego, należy uwzględnić ostateczne brzmienie przepisów kodeksu pracy, które może spowodować, że jej treść będzie wymagała modyfikacji. Pracodawcy powinni wziąć także pod uwagę treść przepisów szczególnych np. prawa bankowego.
PRZYKŁADOWA KLAUZULA INFORMACYJNA W PRZYPADKU ZBIERANIA BEZPOŚREDNIO OD KANDYDATA
Administratorem danych osobowych jest ______ z siedzibą w _____________________ przy ulicy__________(dalej: „administrator”).
Dane kontaktowe:
– administratora: _______________
– Inspektora Ochrony Danych: _______________
Dane osobowe w zakresie wymienionym w art. art. 222 1 kodeksu pracy będą przetwarzane w celu:
- realizacji procesu rekrutacji (podstawa prawna: 221 1 kodeksu pracy w zw. z art. 6 ust. 1 lit. c. Rozporządzenia z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – dalej „Rozporządzenie”) w ramach realizacji obowiązku prawnego ciążącego na administratorze danych.
A jeżeli wyrazi Pani/Pan na to dobrowolną zgodę zawartą w formularzu aplikacyjnym Pani/Pana dane osobowe będą przetwarzane także:
- w zakresie wizerunku (podstawa prawna: 222 1 kodeksu pracy w zw. z art. 6 ust. 1 lit. a Rozporządzenia);
- w celu prowadzenia przyszłych rekrutacji (podstawa prawna: 222 1kodeksu pracy w zw. z art. 6 ust. 1 lit. a Rozporządzenia).
Jeżeli wyrazi Pani/Pan którąkolwiek z wyżej wskazanych zgód, przysługiwać będzie Pani/Panu prawo do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem. Zgodę można cofnąć w następujący sposób_______________________
Podanie danych osobowych, o których mowa w lit. a) powyżej jest dobrowolne, ale konieczne do wzięcia udziału w rekrutacji. Podanie danych i wyrażenie zgód, o których mowa w lit. b) oraz c) powyżej jest dobrowolne i nie wpływa na możliwość udziału w rekrutacji (nie będzie podstawą niekorzystnego traktowania kandydata i nie będzie stanowiło przyczyny uzasadniającej odmowę zatrudnienia).
Dane osobowe zbierane w celu realizacji procesu rekrutacji będą przetwarzane przez okres________ , a dane przetwarzane w oparciu o zgodę na przyszłe rekrutacje przez okres______________. W razie cofnięcia zgody na przyszłe rekrutacje lub wykorzystanie wizerunku dane te zostaną niezwłocznie usunięte.
Przewidywane kategorie odbiorców danych: pracownicy działu HR oraz kadra kierownicza decydująca o zatrudnieniu, dostawcy usług służących rekrutacji:_____________.
Dane osobowe nie będą przekazywane do państwa trzeciego.
Przysługuje Pani/Panu prawo do żądania od administratora dostępu do danych osobowych dotyczących swojej osoby, ich sprostowania, usunięcia lub ograniczenia przetwarzania, a także prawo sprzeciwu oraz prawo do przenoszenia danych. Przysługuje Pani/Panu także prawo wniesienia skargi do organu nadzorczego (Prezesa Urzędu Ochrony Danych Osobowych albo Generalnego Inspektora Ochrony Danych Osobowych). Informuję, iż Pani/Pana dane będą przetwarzane w sposób zautomatyzowany na etapie zawierania umowy w celu weryfikacji prawidłowości podanych danych, niemniej jednak nie będzie to prowadziło do zautomatyzowanego podejmowania decyzji.
Przykładowa klauzula informacyjna wraz z wyjaśnieniami znajduje się w poniższej prezentacji:
*Artykuł nie ma charakteru porady prawnej, nie wyczerpuje zmian wynikających z przepisów RODO i nie dotyczy konkretnego systemu służącego do rekrutacji pracowników, niemniej wskazuje główne obszary zmian, istotne z punktu widzenia HR
