Source: http://olgierd.bblog.pl/data,2008,7,strona,10.html
Timestamp: 2017-03-26 03:25:42+00:00
Document Index: 37749713

Matched Legal Cases: ['art. 23', 'art. 29', 'art. 22', 'art. 29', 'art. 25', 'art. 24', 'art. 51', 'art. 31']

Załóż blogaStrona główna 2008-07-17 13:49
Na marginesie sprawy wycieku danych z Pekao SA -- o głośnej sprawie wycieku danych ze strony zainwestujwprzyszłosc.pl napisano już tak dużo, że nie wiadomo do czego linkować; podlinkuję zatem kontrowersyjny wywiad z odkrywcą sprawy (niestety, słowo 'odkrywca' ma w tym przypadku podwójne znaczenie...) -- warto napisać pięć zdań na temat zasad ochrony i przetwarzania danych osobowych w rekrutacji i w outsourcingu rekrutacji. Wydaje mi się czasem (mam nadzieję, że to mylne wrażenie), że nawet poważne firmy zajmujące się tą działalnością zawodowo zapominają o pewnych zasadach. Nie mówiąc o tym, że świadomość kandydatów ubiegających się o pracę jest praktycznie zerowa. Podstawową zasadą przetwarzania danych osobowych w rekrutacji jest uzyskanie zgody od osoby, której dane będą przetwarzane (art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych). Dlatego też nie sposób praktycznie spotkać dziś ogłoszenia o pracy bez wzmianki o konieczności dodania przez aplikującego stosownej klauzuli. Standardem jest coś w rodzaju "Wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w mojej ofercie pracy dla potrzeb niezbędnych do realizacji procesu rekrutacji (zgodnie z ustawą z dn. 29.08.97 roku o Ochronie Danych Osobowych Dz. Ust Nr 133 poz. 883)" (ściągnięte z popularnego serwisu ogłoszeniowego). Pomijając dość oczywisty błąd w oznaczeniu ustawy -- na dziś promulgacja ustawy to Dz. U. Nr 101 poz. 926 z 2002 r. -- klauzula tego rodzaju nie daje rekrutującemu uprawnień do tego wszystkiego, na czym polega tzw. 'profesjonalna rekrutacja'.
Profesjonalna rekrutacja polega bowiem m.in. na sondowaniu opinii o kandydacie wśród byłych i obecnych pracodawców aplikującego. Oznacza to, że dane tej osoby wędrują, bez zgody a nawet wiedzy zainteresowanego, do innych podmiotów. W takim przypadku nie dochodzi wprawdzie bezpośrednio do przekazywania danych osobowych -- o ile firma, której dane udostępniono nie tworzy z nich odrębnej bazy (o tym więcej poniżej) -- jednak wbrew pobożnym życzeniom rekrutujących działanie polegające na jednostkowym udostępnieniu danych innym podmiotom nie znajduje podstawy w art. 29 ust. 2 ustawy o ochronie danych osobowych, który daje uprawnienie do udostępniania danych innej osobie bez podstawy prawnej, 'jeżeli w sposób wiarygodny uzasadnią potrzebę posiadania tych danych, a ich udostępnienie nie naruszy praw i wolności osób, których dane dotyczą', jednak w literaturze przyjmuje się, iż przepis ten nie dotyczy to pracowników, do których zastosowanie ma art. 22(1) kp (por. rozważania o zaświadczeniu o niekaralności przy przyjęciu do pracy) -- (tak Andrzej Drozd, Zasady przetwarzania danych w aktach osobowych pracowników, PZiS 2005/3/11).
Wcale nie na marginesie warto zapamiętać -- uwagę tę kieruję do czytających Lege Artis rekruterów i pracowników działów HR -- iż art. 29 ustawy wyraźnie wyłącza możliwość włączania udostępnionych danych osobowych do własnych zbiorów, a zatem tworzenia własnej, odrębnej bazy zawierającej dane osobowe kandydatów do pracy. Praktyką z pogranicza szarej strefy w relacjach firm zajmujących się outsourcingiem w zakresie rekrutacji z ich klientami jest wzajemne wymienianie się bazami aplikujących, bądź w celu ułatwienia sobie życia na przyszłość (mityczne 'profile' kandydatów), bądź też oddzieleniu osób, które aplikują na większą ilość stanowisk w krótkim czasie. W ten sposób -- chyba nieumyślnie -- obchodzi się zarówno przepisy o administracji danych (bo któż by się tym przejmował?), jak i o obowiązku poinformowania zainteresowanego o zbieraniu danych od innej osoby, niż tej, której dane są przetwarzane (art. 25). Osobną sprawą jest rekrutacja na zlecenie anonimowego klienta, czyli w sytuacji gdy firma XYZ szuka kandydatów do pracy dla swojego kontrahenta, który jednak -- z różnych przyczyn -- woli pozostać w cieniu. W zasadzie nic nie stoi na przeszkodzie takiemu działaniu, aczkolwiek... zgodnie z art. 24 ust. 1 pkt 2 ustawy o ochronie danych osobowych administrator powinien poinformować przyszłego pracownika o znanych mu w tym czasie odbiorcach danych -- a zatem o kliencie, na rzecz którego pracuje. (Zwracam też uwagę na wiążące się z tym nakazem przepisu karne -- art. 51 ust. 1 oraz 54 ustawy o ochronie danych osobowych). Ostatnią sprawą do poruszenia jest powierzenie przez administratora przetwarzania danych innemu podmiotowi (to jest właśnie, jak sądzę, kazus Pekao SA i strony Zainwestujwprzyszłość.pl). Zgodnie z art. 31 ustawy o ochronie danych osobowych jest to całkowicie dopuszczalne -- na podstawie pisemnej umowy, z zachowaniem celu określonego w umowie (a zarazem celu, w jakim osoba zainteresowana przekazała swoje dane) i po przedsięwzięciu wszelkich środków technicznych i organizacyjnych mających na celu prawidłowe zabezpieczenie bazy.
praca,	prawo,	dane osobowe,	outsourcing,	rekrutacja	Kategoria
eBay nie odpowiada za przedaż...
Facebook mówi: StudiVZ zapatrzył...