Source: http://blog.e-odo.pl/tag/umowa-powierzenia-przetwarzania/
Timestamp: 2018-11-14 03:38:12+00:00
Document Index: 117528810

Matched Legal Cases: ['art. 7', 'art. 24', 'art. 29', 'art. 25', 'art. 25', 'art. 23']

umowa powierzenia przetwarzania Archives - Ochrona Danych Osobowych w Praktyce
Współpraca z headhunterami
3 lutego 2013 przez kadrowa
W obecnych czasach praktycznie każdy z podmiotów działających na rynku korzysta z wyspecjalizowanych firm trudniących się rekrutacją. Headhunterzy posiadają niezbędne „know-how” i sprawdzoną metodologię do znalezienia odpowiedniego kandydata do pracy. Powstaje jednak pytanie, jak ten proces wygląda z punktu widzenia ustawy o ochronie danych osobowych.
Pierwszą kwestią jest ustalenie, który z podmiotów (zlecający czy headhunter) jest administratorem danych w procesie rekrutacji. Zgodnie z art. 7 pkt 4 ustawy o ochronie danych osobowych, administrator danych jest podmiot, który decyduje o celach i środkach przetwarzania. W omawianym stanie faktycznym to zlecający decyduje o środkach (czyli ile pieniędzy przeznaczy na projekt rekrutacyjny) oraz o celach (czyli, że poszukuje np. księgowych, a nie spawaczy). Wiemy więc kto jest administratorem danych, a kto podmiotem, któremu zlecono przetwarzanie (headhunter). Teraz pozostaje odpowiedzieć na pytanie, jakie konsekwencje ma ww. rozkład ról w procesie przetwarzania danych osobowych.
Po pierwsze, administrator danych powinien podpisać umowę powierzenia przetwarzania danych z headhunterem. Umowa powierzenia powinna określać przynajmniej zakres i cel przetwarzanych danych oraz powinna być zawarta w formie pisemnej. Do umowy powierzenia warto oczywiście dodać dodatkowo inne postanowienia, które będą w większym zakresie chronić interes danej strony umowy. Przykładowo, w interesie zlecającego (administratora danych) jest zastrzeżenie prawa do kontroli sposobu przetwarzania danych osobowych przez headhuntera, czy np. zastrzeżenie kar umownych na wypadek wycieku danych osobowych z winy headhuntera.
Dodatkowo, headhunter powinien zostać zobowiązany umownie do spełnienia obowiązku informacyjnego z art. 24 ust. 1 ustawy o ochronie danych osobowych z uwagi na okoliczność, iż zlecający nie będzie miał technicznej możliwości spełnienia takiego obowiązku. Zlecający nie może zastrzec sobie anonimowości w procesie rekrutacji. Należy podkreślić, iż w razie wystąpienia jakiegoś incydentu związanego z naruszeniem zasad ochrony danych osobowych np. udostępnienia danych osobie nieupoważnionej, odpowiada zarówno administrator danych jak i procesor. W internecie można znaleźć liczne przypadki gdy dokumenty zawierające dane osobowe zostały wyrzucone na śmietnik lub gdy były dostępne online dla każdej osoby. Niektóre z tych spraw skończyły się w prokuraturze np. wyciek danych z Pekao.
Sytuacja komplikuje się jednak w sytuacji, gdy headhunter pozyskuje dane osobowe potencjalnych pracowników również dla siebie („Przykład nr 6: łowcy głów” – Opinia Grupy Roboczej art. 29 1/2010 w sprawie pojęć „administrator danych” i „przetwarzający”) – czyli chce je wciągnąć do administrowanej przez siebie bazy danych. Tego typu sytuacja ma miejsce np. w sytuacji jeżeli headhunter ma własny portal przeznaczony dla osób szukających pracy. Osoba rejestrując się na takim portalu podaje swoje dane, których administratorem danych staje się headhunter. Headhunter przekazuje następnie dane osób, które spełniają określone kryteria do potencjalnego pracodawcy. Wspomniane przekazanie danych należy uznać za ich udostępnienie. Na skutek udostępniania, administratorem danych staje się podmiot, któremu udostępniono dane osobowe, a więc firma poszukująca pracownika (zlecający).
W takiej sytuacji, co do zasady, nie należy podpisywać umowy powierzenia przetwarzania z headhunterem. Należy jednak pamiętać o konieczności spełniania obowiązku informacyjnego z art. 25 ust. 1 ustawy o ochronie danych osobowych względem osób, których dane osobowe zostały udostępnione. Konieczność spełnienia obowiązku informacyjnego z art. 25 ust 1 ustawy o ochronie danych osobowych wynika z okoliczności, że dane zostały udostępnione na rzecz zlecającego przez headhuntera a więc nie zostały zebrane bezpośrednio od osób, których dane dotyczą. Należy podkreślić, iż jeżeli headhunter wysyła wyłącznie tzw. „blind CV” to nie udostępnia danych osobowych i wobec takich kandydatów do pracy nie należy spełniać obowiązku informacyjnego o którym mowa powyżej.
Przesłanką legalizującą przetwarzanie danych jest w opisywanej sytuacji art. 23 ust 1 pkt 1, 3 i 5 ustawy o ochronie danych osobowych zarówno w przypadku huadhuntera jak i potencjalnego pracodawcy.
Jeżeli dane pomiędzy headhunterem a zlecającym są przesyłane siecią publiczną to taki przepływ powinien być zabezpieczony za pomocą kryptograficznych środków ochrony (jeżeli CV i listy motywacyjne są przesyłane jako załącznik e-maila to taki załącznik powinien być zahasłowany).
Kategorie dane kadrowe, GIODO, odpowiedzi na pytania, ustawa o ochronie danych osobowychTagi administrator danych, blind CV, headhunter, obowiązek informacyjny, podstawa przetwarzania, rekrutacja, umowa powierzenia przetwarzania, zabezpieczenie danych2 komentarze