Source: https://kruczekblog.pl/category/rodo/
Timestamp: 2020-08-03 18:15:50+00:00
Document Index: 51930013

Matched Legal Cases: ['art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 229', 'art. 26', 'art. 9', 'art. 229', 'art. 6', 'art. 6', 'art. 6', 'art. 6', 'art. 22', 'art. 6', 'art. 9', 'art. 10', 'art. 5', 'art. 5', 'art. 32', 'art. 22', 'art. 22', 'art. 22', 'art. 4', 'art. 9']

Jak ustalić prawidłową podstawę przetwarzania danych?
Wybór odpowiedniej podstawy prawnej przetwarzania to zmora wielu administratorów. W końcu to ten wybór w zasadzie implikuje praktycznie wszystko, co dalej robimy z danymi i jak przeprowadzamy ocenę ryzyka. Jednocześnie wybór nie może być dowolny, gdyż trzeba go odpowiednio uzasadnić i – w przypadku kontroli – wytłumaczyć się z niego przez Prezesem UODO. W tym poradniku chcemy przybliżyć nasz sposób ustalania prawidłowej podstawy prawnej przetwarzania, który można w zasadzie wykorzystać przy każdym procesie przetwarzania.
Nieformalna „hierarchia” podstaw przetwarzania
Pamiętajmy, że podstawy prawne przetwarzania danych są równorzędne i żadna z nich nie ma prymatu. Widać to szczególnie dobrze przy okazji lektury podstaw przetwarzania danych zwykłych zgromadzonych w art. 6 RODO. Prawodawca unijny nie dał jakichkolwiek wskazówek odnośnie tego, która podstawa miałaby być „lepsza”. Mylnie zatem czasami wskazuje się na rynku, jakoby to zgoda (z uwagi na to, że jest chronologicznie pierwszą podstawą) miałaby być najlepszą podstawą prawną. Pierwszy nie zawsze oznacza najlepszy. Zgoda w zasadzie jest najgorszą możliwą podstawą prawną przetwarzania, gdyż nie zapewnia jakiejkolwiek stabilizacji procesu przetwarzania danych (może być w każdej chwili wycofana przez osobę, której dane dotyczą).
To, że podstawy są równorzędne wcale nie oznacza, że nie można zbudować sobie hierarchii podstaw na potrzeby poszukiwania prawidłowej podstawy. Taka hierarchia z pewnością bardzo pomoże przy analizie procesu i doborze podstawy prawnej.
Szukajmy przepisu prawa
W pierwszej kolejności należałoby się zastanowić czy istnieje przepis prawa, który nakłada na administratora jakiś obowiązek prawny. Wychodzimy zatem od podstawy prawnej z art. 6 ust. 1 lit. c RODO, a zatem badamy czy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Kategoria „obowiązku” może jednak sprawić w praktyce dużo problemów. O ile polski ustawodawca w wieku ustawach dokonał stosownych zmian, nakładając na administratora takie obowiązki (a nawet zmieniając dotychczasowe „uprawnienie” na „obowiązek” np. w Kodeksie pracy), to wiele aktów prawnych nadal przewiduje uprawnienie a nie obowiązek administratora. Co w takiej sytuacji? Należałoby jednak nadal próbować oprzeć przetwarzanie na art. 6 ust. 1 lit. c RODO. Nie powinniśmy każdorazowo trzymać się literalnej wykładni przepisu art. 6 ust. 1 lit. c RODO, a jednak zmierzać ku wykładni celowościowej, a zatem uwzględniającej cel danej regulacji prawnej. Z pewnością bardzo często administratorzy nie mają obowiązku prawnego, ale przysługuje im uprawnienie wynikające z przepisu prawa. Skoro zatem istnieje przepis prawa, który pozwala administratorowi na przetwarzanie danych w toku realizacji tego przepisu, to czemu nie oprzeć się na tej podstawie przetwarzania? Zawężająca wykładnia mogłoby uczynić podstawę prawną z art. 6 ust. 1 lit. c RODO nieco iluzoryczną.
Innymi słowy: jeśli istnieje przepis prawa przewidujący obowiązek lub nawet uprawnienie administratora do realizacji pewnych działań, z którymi wiąże się przetwarzanie danych, to poszukiwanie podstawy prawnej przetwarzania mamy zakończone.
Jeżeli jednak taki przepis prawa nie istnieje i nie możemy skorzystać z art. 6 ust. 1 lit. c RODO, to musimy przejść do art. 6 ust. 1 lit. b RODO czyli tzw. wykonania umowy. Jest to kolejna „solidna” podstawa prawna przetwarzania, która jest w zasadzie dosyć łatwa do uzasadnienia. Jeżeli zatem jesteśmy stroną jakiejś umowy i ta umowa nadal obowiązuje lub jeszcze nie została zawarta, ale druga strona umowy (będąca podmiotem danych) żąda od nas podjęcia działań zmierzających do zawarcia umowy, to jesteśmy w domu – art. 6 ust. 1 lit. b RODO pasuje jak ulał. Oczywiście i tutaj czyhają na nas pułapki i problemy. Musimy pamiętać, że art. 6 ust. 1 lit. b RODO dotyczy jedynie stron umowy. Na tej podstawie nie można przetwarzać danych personelu strony umowy, pełnomocnika czy osób, w interesie których ta umowa jest wykonywana. Ponadto wykonanie umowy dotyczy jedynie jej przedmiotu. Na literze art. 6 ust. 1 lit. b RODO nie można przetwarzać danych w celu realizacji działań marketingowych w stosunku do naszego kontrahenta czy też nie można dochodzić roszczeń (w tym celu należy obrać inne podstawy prawne przetwarzania).
Szukajmy uzasadnionego interesu
No dobrze, ale co w sytuacji, gdy nie występuje ani przepis prawa ani nie mamy do czynienia z wykonaniem umowy? Tutaj sytuacja „rozjeżdża się” w zależności od tego czy jesteśmy administratorem z sektora publicznego czy prywatnego. Mowa bowiem o art. 6 ust. 1 lit. e lub lit. f RODO czyli o uzasadnionym interesie.
W przypadku sektora prywatnego, można w pewnych przypadkach oprzeć przetwarzanie danych osobowych na uzasadnionym interesie administratora lub – co ważne – również uzasadnionym interesie osoby trzeciej. Wracając zatem do poczynionej wcześniej uwagi o braku możliwości przetwarzania danych osobowych personelu czy też pełnomocnika kontrahenta w oparciu o podstawę dotyczącą wykonania umowy, to właśnie uzasadniony interes administratora (lub również osoby trzeciej – zależy, z której strony patrzeć w tym konkretnym przypadku) będzie podstawą do przetwarzania danych osobowych tych osób. Podstawa uzasadnionego interesu nie jest aż tak „mocną” podstawą jak wcześniej wymienione, gdyż wymaga przeprowadzenia tzw. „testu równowagi” czyli wyważenia interesów i praw administratora oraz podmiotu danych. Taki test powinien być udokumentowany oraz wyraźnie wskazywać jego wynik. Jeżeli prawa i wolności podmiotu danych nie przeważają nad interesem administratora, można oprzeć przetwarzanie danych na tej podstawie prawnej. Jeśli jest odwrotnie – należy szukać innej podstawy, co najczęściej będzie się kończyło koniecznością odebrania zgody od podmiotu danych.
Jeżeli natomiast działamy w sektorze publicznym, to odpowiednikiem art. 6 ust. 1 lit. f RODO w tym sektorze, jest art. 6 ust. 1 lit. e, który wskazuje, że można przetwarzać dane osobowe, jeśli przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
Wyjątkowo – ochrona żywotnych interesów
Nie można również zapomnieć o podstawie z art. 6 ust. 1 lit. d RODO, a zatem dotyczącej ochrony żywotnych interesów osoby, której dane dotyczą. Ta podstawa powinna być stosowana wyjątkowo i tylko w okolicznościach, które są związane z ochroną żywotnych interesów, czyli ważnych interesów życiowych podmiotu danych. Z tej przyczyny trudno umieścić ją w naszej „wewnętrznej hierarchii”, ale z pewnością nie powinna być ona pierwszym czy nawet drugim lub trzecim wyborem.
Finalnie dochodzimy do zgody czyli najbardziej kruchej podstawy przetwarzania. Zgoda jest zależna od woli podmiotu danych oraz musi spełniać szereg wymogów stawianych przez RODO m.in. musi być konkretna, dobrowolna i świadoma (a w przypadku zgody na przetwarzanie danych szczególnej kategorii również wyraźna). Co najważniejsze, podmiot danych może cofnąć zgodę w każdej chwili i dlatego opieranie się na tej podstawie prawnej powinno należeć do ostateczności. Jeśli administrator będzie nadużywał zgody jako podstawy prawnej przetwarzania danych, to sam naraża się na utratę możliwości tego przetwarzania. Ponadto nadużywanie zgody prowadzi niejednokrotnie do błędnego określenia podstawy przetwarzania albo wręcz zdublowania tych podstaw, co podlega administracyjnej karze pieniężnej.
Widać zatem, że kolejność podstaw prawnych przetwarzania danych zwykłych określona w art. 6 ust. 1 RODO nie skutkuje jakąś hierarchią podstaw. Nie oznacza jednak to, że dokonując wyboru podstawy prawnej nie możemy stworzyć sobie procedury intelektualnej, która ma nam pomóc w wyborze. Dlatego powyższy tok rozumowania należy stosować w toku projektowania każdego procesu, gdyż wybór podstawy prawnej implikuje następnie szereg innych zagadnień. Jeśli pomylimy się na tym etapie, skutki pomyłki potem będzie już bardzo trudno odwrócić.
Przetwarzanie danych osobowych osoby przyjmowanej do pracy
Polski ustawodawca, starając się dostosować przepisy prawa pracy do RODO, zakreślił wyraźnie katalog danych osobowych, których pracodawca żąda od kandydata do pracy i pracownika. Cel rekrutacji i przetwarzania danych osobowych kandydata do pracy różni się od celu wykonywania stosunku pracy i przetwarzania danych osobowych pracownika. Niestety ustawodawca wyraźnie zapomniał o „kategorii pośredniej” między kandydatami do pracy a pracownikami czyli o osobach przyjmowanych do pracy.
Kim są te osoby? Kluczem do wyznaczenia poszczególnych etapów od bycia „kandydatem do pracy” aż do stania się pracownikiem są zarówno przepisy Kodeksu pracy jak i ustalenie, kiedy kończy się rekrutacja. Według stanowiska Prezesa Urzędu Ochrony Danych Osobowych, koniec rekrutacji na dane stanowisko następuje w momencie podpisania umowy o pracę z wybranym kandydatem. Takie stanowisko stanowi jednak nadmierne uproszczenie. Nie zawsze podpisanie umowy o pracę gwarantuje nawiązanie stosunku pracy. Ponadto bardzo często – w szczególności przy zawieraniu pierwszej umowy o pracę na okres próby – rekrutacja „odżywa” w sytuacji, gdy kandydat nie sprawdził się jako pracownik i temat poszukiwania osoby na dane stanowisko wraca. Abstrahując jednak o tej tematyki, która obecnie jest bardzo kontrowersyjna i prokuruje wiele dyskusji, nie sposób pominąć faktu, że sam ustawodawca przewiduje trzecią, pośrednią kategorię osób, tj. osoby przyjmowane do pracy – wskazuje na to wprost w art. 229 § 1 pkt 1 Kodeksu pracy. Przepis ten przewiduje obowiązek pracodawcy związany z kierowaniem konkretnych kategorii osób na wstępne badania lekarskie. W pierwszej kolejności taką kategorią osób są właśnie osoby przyjmowane do pracy. Taka osoba nie jest już kandydatem do pracy, gdyż została wyłoniona w toku rekrutacji oraz zaakceptowała ofertę pracodawcy, ale nie jest jeszcze pracownikiem, gdyż nie została dopuszczona do pracy, a sam stosunek pracy jeszcze nie został nawiązany.
W tym kontekście nie sposób zapominać o tym, że samo podpisanie umowy o pracę nie oznacza nawiązania stosunku pracy. Zgodnie z art. 26 Kodeksu pracy, stosunek pracy nawiązuje się w terminie określonym w umowie jako dzień rozpoczęcia pracy, a jeżeli terminu tego nie określono – w dniu zawarcia umowy. Strony umowy o pracę mają zatem swobodę w określeniu późniejszej daty nawiązania stosunku pracy aniżeli data zawarcia umowy o pracę i w praktyce takie rozwiązanie jest bardzo często stosowane.
Co zatem z przetwarzaniem danych osobowych osób w tym przejściowym okresie? Przepisy prawa pracy wprost nie przewidują katalogu danych osobowych, które można przetwarzać po zakończeniu rekrutacji a przed nawiązaniem stosunku pracy. W przypadku badań wstępnych należałoby jednak szukać podstawy prawnej w art. 9 ust. 2 lit. b RODO, art. 229 § 1 pkt 1 Kodeksu pracy oraz w przepisach Rozporządzenia Ministra Zdrowia i opieki społecznej z dnia 30 maja 1996 r. w sprawie przeprowadzania badań lekarskich pracowników, zakresu profilaktycznej opieki zdrowotnej nad pracownikami oraz orzeczeń lekarskich wydawanych dla celów przewidzianych w Kodeksie pracy. Co jednak z innymi danymi np. danymi potrzebnymi do przygotowania stanowiska dla tej osoby czy nawet przygotowania umowy o pracę? Dla przykładu: numer PESEL nie znajduje się w katalogu danych, które można przetwarzać na etapie rekrutacji, ale znajduje się on w katalogu danych pracownika.
Skoro ustawodawca pozostawił wyraźną lukę w przepisach prawa, to administrator nie ma wyjścia, jak tylko poszukiwania innej podstawy prawnej wskazanej w katalogu art. 6 RODO. Jedną z takich podstaw, które można byłoby zastosować w opisanym powyżej przypadku jest art. 6 ust. 1 lit. b RODO. Przygotowanie projektu umowy o pracę jest działaniem administratora podjętym na żądanie osoby przyjmowanej do pracy przed zawarciem umowy – wypełnia zatem zdecydowanie przesłanki tej podstawy prawnej. Poszukiwanie innej podstawy prawnej np. zgody mogłoby również być uzasadnione, jednak wydaje się nieco trącić sztucznością, a poza tym charakteryzuje się dużym stopniem braku stabilizacji i pewności (zgodę zawsze można wycofać bez negatywnych konsekwencji). O ile w relacjach z kandydatem do pracy i pracownikiem należy głównie opierać się na art. 6 ust. 1 lit. c RODO (obowiązek prawny) oraz art. 6 ust. 1 lit. a RODO (zgoda), to w przypadku osoby przyjmowanej do pracy, należy poszukiwać innych rozwiązań, gdyż ustawodawca o tej kategorii osób po prostu zapomniał.
Czy zgoda pracownika załatwia wszystko?
Od kiedy ustawodawca popełnił dostosowanie Kodeksu pracy i innych ustaw do RODO, pracodawcy są w posiadaniu w miarę klarownego katalogu kategorii danych osobowych, których mają obowiązek żądać od pracowników. Inne dane osobowe aniżeli przetwarzane w oparciu o wykonanie obowiązku prawnego, pracodawca może przetwarzać w oparciu o zgodę pracownika. Zgodnie z art. 22(1a) zgoda osoby, która ubiega się o zatrudnienie (kandydata do pracy) lub pracownika może stanowić podstawę przetwarzania innych danych aniżeli wymienionych wprost w Kodeksie pracy. Należy przy tym pamiętać o wyjątkowej regulacji dotyczącej danych szczególnych kategorii, gdyż w tym przypadku pracownik może wyrazić zgodę na przetwarzania takich danych, ale ich przekazanie pracodawcy może nastąpić tylko z inicjatywy pracownika lub kandydata do pracy.
Wszystko wydaje się proste i klarowne, ale czy taka zgoda załatwia absolutnie wszystko? Dla przykładu: pracodawca żąda od pracownika podania jego prywatnego numeru telefonu albo imion rodziców. Podchodząc do problemu bez znajomość RODO, można przyjąć, że skoro mamy zgodę (udzieloną dobrowolnie, świadomie i konkretnie), to do czasu jej wycofania pracodawca może brać od pracownika wszelkie dane, także te szczególnej kategorii, które pracownik przekazał z własnej inicjatywy. I właśnie przy danych szczególnych kategorii – nawet bez znajomości RODO – zapala się czerwona lampka. Czy pracodawcy potrzebne są informacje np. o orientacji seksualnej pracownika albo o jego poglądach politycznych?
Wybierając podstawę przetwarzania danych osobowych (art. 6, art. 9 i art. 10 RODO), nie można zapominać o zasadach przetwarzania danych znajdujących się w art. 5 RODO. Te zasady stanowią fundament projektowania jakichkolwiek działań związanych z danymi i muszą być uwzględniane również przy opieraniu przetwarzania o zgodę. W art. 5 ust. 1 lit. c RODO przewidziano tzw. zasadę minimalizacji danych. Zgodnie z tym przepisem dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Nie można zatem przetwarzać danych „na zapas” ani więcej niż potrzeba do realizacji celu.
Wracając więc to wyżej przytoczonych przykładów: czy w celu realizacji umowy o pracę pracodawcy potrzebne są informacje o imionach i nazwiskach rodziców? Co do zasady nie (chyba, że w przepisach prawa przewidziano taką ewentualność). Idąc dalej: czy potrzebne są informacje o prywatnym numerze telefonu? Nie, o ile pracownik nie podał go jako danej kontaktowej. Czy potrzebne są dane o orientacji seksualnej pracownika lub o jego poglądach politycznych? Na pewno nie i jeżeli pracownik przekazał takie dane, to nie można ich przetwarzać nawet w oparciu o wyraźną zgodę pracownika. Na straży prawidłowego stosowania zgody stoi bowiem zasada minimalizacji. Jeżeli pracodawca nie potrzebuje jakichś danych osobowych do realizacji umowy o pracę bądź realizacji innych celów związanych ze stosunkiem pracy, to nie może zbierać tych danych. Odmienne działanie stanowiłoby złamanie zasady minimalizacji i z pewnością byłoby podstawą do nałożenia na pracodawcę odpowiednich rygorów, w tym administracyjnej kary pieniężnej.
Praca zdalna w dobie koronawirusa a ryzyko w ochronie danych
Epidemia wirusa SARS-CoV-2 zmienia naszą rzeczywistość, w tym bezpośrednio wpływa na naszą pracę i ochronę danych. Oczywiście epidemia nie zawiesza stosowania RODO. Wręcz przeciwnie – koronawirus stanowi próbę również dla sprawności i prawidłowości stosowania RODO.
Jednym z największych wyzwań jest zapewnienie bezpieczeństwa danych oraz praw osób w kontekście wykonywania pracy zdalnej przez nasz personel. Zgodnie ze specustawą z 2 marca 2020 r., pracodawca może polecić pracownikowi wykonywanie, przez czas oznaczony, pracy określonej w umowie o pracę, poza miejscem stałego jej stałego wykonywania. Przeniesienie wykonywania pracy do domów pracowników zdecydowanie wpływa na organizację firmy w kontekście ochrony danych i praw osób poprzez zwiększenie ryzyka związanego z ochroną. Nietrudno o najbliższe przypadki: większe prawdopodobieństwo wycieku danych, pogorszenie stosowanych zabezpieczeń technicznych i organizacyjnych, zagrożenie poufności danych (możliwy dostęp przez domowników pracownika). Nie można zapominać również o ryzyku biznesowym dla samego administratora w postaci zagrożenia ujawnienia tajemnicy przedsiębiorstwa.
Zabezpieczenia, które należy zastosować zależą od specyfiki danej branży i zostały opisane w wielu artykułach, które pojawiły się tuż po wejściu w życie specustawy dotyczącej koronawirusa. Oświadczenia pracowników, dodatkowe szkolenia, regulaminy, polecenia dotyczące zapewnienia odpowiednich zabezpieczeń danych w warunkach domowych – to tylko niektóre z nich.
Co jednak z koniecznością oceny ryzyka przez pracodawcę – administratora? W wielu przypadkach skierowanie pracowników do pracy zdalnej oznacza reorganizację w zakresie ochrony danych, przyjętych procedur, procesów i dokumentacji. Czy aktualizacja dokumentów na linii pracodawca – pracownik wystarczy? Z pewnością nie. Pamiętajmy o tym, że administrator musi stosować się do reguły privacy de design oraz zapewnić bezpieczeństwo przetwarzania stosownie do art. 32 RODO. Podejście oparte na ryzyku (risk – based approach) oraz zasada rozliczalności wymagają przeprowadzenia analizy ryzyka oraz jej udokumentowania. Zmiana modelu pracy polegająca na skierowaniu pracowników dotychczas świadczących pracę w strukturach pracodawcy (w sensie fizycznym i organizacyjnym czyli po prostu w siedzibie pracodawcy lub znajdujących się w jego władaniu miejscach), na model pracy zdalnej (z domu) wymaga przeprowadzenia oceny ryzyka. Intuicyjnie czujemy, że praca zdalna zwiększa ryzyko naruszenia praw i wolności osób, których dane dotyczą, a także zwiększa ryzyko po stronie samego administratora. Samo jednak „poczucie” zwiększonego ryzyka nie wystarczy dla spełnienia zasady rozliczalności. Podobnie jak dokonywaliśmy i nadal dokonujemy jako administratorzy oceny ryzyka przy poszczególnych procesach, podobnie musimy postąpić w przypadku zmiany modelu organizacji na pracę zdalną. Fakt nagłych zdarzeń w postaci epidemii koronawirusa czy też szybkie zmiany w prawie nie oznaczają zawieszenia lub ograniczenia stosowania RODO – na administratorze spoczywają takie same obowiązki jak dotychczas.
Nie należy tracić z pola widzenia, że w szczególności komunikacja z pracownikiem pracujących zdalnie zwiększa ryzyko. Praca zdalna oznacza zmianę komunikacji pracownika z pracodawcą oraz pracownika z innymi osobami (wewnątrz firmy lub na zewnątrz firmy). Zapewnienie odpowiednich narzędzi i infrastruktury może stanowić nie lada wyzwanie dla administratora. Nie wystarczy jedynie zadbanie o służbowych komputer i telefon, ale również zapewnienie odpowiedniego środowiska komunikacji i wymiany informacji. Wszelkie porady, które można spotkać w Internecie dotyczące możliwości korzystania z Facebooka czy SnapChata przy pracy zdalnej należy traktować – delikatnie mówiąc – z bardzo dużym dystansem. Facebook czy też inne powszechnie dostępne komunikatory internetowe nie zapewniają odpowiedniego poziomu bezpieczeństwa, nie wspominając o tym, że w takiej sytuacji zwykle dochodzi do transferu danych do państwa trzeciego (co wymagałoby wyraźnych zmian w rejestrze czynności, analizie ryzyka i obowiązku informacyjnym). Dlatego zapewnienie odpowiedniego oprogramowania komunikacyjnego może mieć kluczowe znaczenie przy zabezpieczeniu danych w przypadku pracy zdalnej.
Czy w CV trzeba umieszczać oświadczenie o wyrażeniu zgody na przetwarzanie danych osobowych?
Do 25 maja 2018 r. klasyczną praktyką wymaganą przez pracodawców w ogłoszeniach rekrutacyjnych był wymóg umieszczania przez kandydatów do pracy oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych. Po wejściu w życie RODO nagle wielu z administratorów założyło, że sytuacja diametralnie się zmieniła i że teraz trzeba „na nowo” rozważyć podstawę prawną przetwarzania danych osobowych zawartych w otrzymywanych CV. Jak zatem poprawnie podchodzić do podstawy prawnej przetwarzania danych kandydata do pracy?
Oczywiście główną podstawą prawną jest tzw. obowiązek prawny administratora. Zgodnie z art. 22(1) § 1 Kodeksu pracy, Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
Wszelkie pozostałe dane mogą być przetwarzane przez pracodawcę na podstawie zgody kandydata do pracy (art. 22 (1a) Kodeksu pracy). Oczywiście trzeba uwzględnić w tym zakresie także zasadę minimalizacji danych. Co zatem zrobić w sytuacji, gdy CV kandydata do pracy zawiera dane przekraczające zamknięty katalog z art. 22(1) Kodeksu pracy?
Na pewno żądanie zawarcia oświadczenia o wyrażeniu zgody jest błędne. Zgoda nie musi bowiem stanowić udokumentowanego czy – tym bardziej – pisemnego oświadczenia podmiotu danych. Definicja zgody z art. 4 pkt 11 RODO wyraźnie wskazuje, że zgoda może mieć formę oświadczenia lub wyraźnego działania potwierdzającego. Skoro zatem kandydat do pracy w CV zawiera dane przekraczające katalog danych z Kodeksu pracy, to poprzez samo wysłanie CV do pracodawcy wyraża on zgodę na przetwarzanie tych danych. Wysłanie CV należy poczytać za wyraźne działanie potwierdzające. Dlatego nie należy wymagać od kandydatów do pracy załączenia w CV oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych. Jest to obarczone dodatkowo kolejnym błędem, gdyż w CV będą zawarte również dane skategoryzowane w Kodeksie pracy. Wymóg wyrażenia zgody również na te dane oznaczałoby oparcie przetwarzania danych osobowych na błędnej podstawie prawnej, co już jest zagrożone administracyjną karą pieniężną.
Jeśli zatem kandydat do pracy wyśle CV bez oświadczenia o zgodzie, to nie można tego CV odrzucić. Takie działanie pracodawcy mogłoby zostać poczytane za niezasadne odrzucenie kandydata w procesie rekrutacji i uniemożliwienie kandydatowi np. przejścia do kolejnego etapu. Można sobie wyobrazić roszczenie kandydata z uwagi na dyskryminację lub oparte na innych podstawach prawnych z Kodeksu pracy.
Inaczej natomiast ma się sytuacja z danymi szczególnych kategorii z art. 9 RODO. Tutaj przepisy wymagają nie jakiejkolwiek zgody, a wyraźnej zgody. Dlatego jeżeli CV zawiera dane szczególnej kategorii, a brak jest wyraźnej zgody kandydata do pracy, pracodawca powinien usunąć te dane (np. poprzez zanonimizowanie) lub niezwłocznie zwrócić się do kandydata o wyrażenie wyraźnej zgody na przetwarzanie danych osobowych szczególnych kategorii wymienionych w CV.