Source: https://rodo.maruta.pl/przetwarzanie-danych-osobowych-w-procesie-rekrutacji/
Timestamp: 2019-07-23 03:04:38
Legal References Found: art. 22
 art. 22
 art. 10
 art. 6
 Art. 23

Art. 6
 art. 221
 art. 221
 art. 221
 art. 221
 art. 221
 art. 221
 art. 221
 art. 221
 art. 221
 art. 221
 art. 221
 art. 221
 art. 221
 Art. 29
 art. 221
 art. 221

Document Content:
W Senacie Rzeczypospolitej Polskiej trwają aktualnie prace nad projektem ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), dalej „ustawa zmieniająca”. Zaproponowane zmiany objęły także ustawę Kodeks pracy. Oznacza to, iż jesteśmy coraz bliżej terminu wejścia w życie nowych zasad rekrutacji i zatrudnienia.
Czy proponowane zmiany są dla nas zrozumiałe?
W niniejszym opracowaniu przyjrzymy się jednej z przygotowanych zmian legislacyjnych. Zastanowimy się, jak może ona wpłynąć na sposób powadzenia procesu rekrutacyjnego.
W ustawie zmieniającej czytamy:
„w ustawie z dnia 24 czerwca 1974 r. – Kodeks pracy (Dz. U. z 2018 r. poz. 917, z poźn. zm.6) wprowadza się następujące zmiany:
221 otrzymuje brzmienie:
»art. 221. § 1. Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
2. Pracodawca żąda podania danych osobowych, o których mowa w § 1 pkt 4–6, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.«
Dodatkowo ustawodawca proponuje także dodanie art. 22 1a w brzmieniu:
»art. 22 1a. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 22 1 § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (…)”, dalej RODO.«”
Zanim przejdziemy do analizy cytowanych przepisów, należy podkreślić, że pracodawca – czy to w procesie rekrutacji, czy to zatrudnienia – podlega nie tylko zasadom i obowiązkom nałożonym na niego przepisami ustawy Kodeks pracy. Jako administrator danych osobowych w rozumieniu RODO jest także adresatem obowiązków przewidzianych
w tym rozporządzeniu. W szczególności podlega on zatem obowiązkowi przetwarzania danych osobowych zgodnie z zasadami wskazanymi w RODO. Dotyczy to m.in. zasady legalności i adekwatności.
W art. 6 ust. 1 RODO wskazane zostały podstawy prawne legalnego przetwarzania danych osobowych. Poza zgodą osoby, której dane dotyczą, czy niezbędnością przetwarzania dla prawnie uzasadnionego interesu realizowanego przez administratora danych, podstawa prawna przetwarzania może wiązać się z niezbędnością wypełnienia obowiązku prawnego nałożonego na administratora przepisem prawa. Wskazać w tym miejscu należy, że RODO wprowadziło nowe ujęcie tej podstawy przetwarzania (w stosunku do uchylonej w dniu 25 maja 2018 r. ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych). Art. 23 ust. 1 pkt 2 uchylonej ustawy zezwalał bowiem na przetwarzanie danych osobowych wtedy, gdy było to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Wpłynęło to na kształt wielu przepisów, które stanowiły dotychczas podstawę prawną przetwarzania. Zostały one tak sformułowane, że nie zawsze oznaczały obowiązek konkretnego działania czy zachowania po stronie adresata.
Art. 6 ust 1 lit c RODO odnosi się w swej treści jedynie do kategorii obowiązku prawnego.
By zapewnić właściwe stosowanie RODO w Polsce, konieczne było wprowadzenie w przepisach szeregu zmian w tym zakresie. Czytamy o tym w uzasadnieniu do projektu ustawy zmieniającej. Wprowadzone w niej zmiany, dotyczące 162 aktów prawnych, mają na celu sformułowanie przepisów prawa w taki sposób, by stanowiły one o obowiązku działania w określony sposób, nie zaś o uprawnieniu do takiego działania.
Cytowany wyżej przepis art. 221 § 1 projektu ustawy Kodeks pracy wprowadza taki właśnie obowiązek. Ustawodawca zobowiązuje pracodawcę, który poszukuje pracownika, do pozyskania od niego danych wskazanych w art. 221 § 1 pkt 1-6. Zakres żądanych przez niego informacji ma być ograniczony do tych wskazanych w art. 221 § 1 pkt 1-3, jeśli będzie rekrutował na stanowisko czy do wykonywania pracy określonego rodzaju, które nie uzasadniają potrzeby przetwarzania danych w zakresie wskazanym w art. 221 § 1 pkt 4-6. Mówiąc krótko, pracodawca rekrutujący np. pracownika do serwisu sprzątającego nie będzie mógł żądać od niego podania informacji m.in. o jego wykształceniu.
Co w sytuacji, gdy kandydat przekaże pracodawcy takie informacje w przesłanym CV?
Czy pracodawca będzie mógł zalegalizować ich przetwarzanie i wykorzystać w procesie rekrutacji, np. poprzez odebranie zgody od kandydata? Analiza projektowanego art. 221a § 1 projektu ustawy Kodeksu pracy skłania do wniosku, że nie. Z treści art. 221a § 1 projektu ustawy Kodeksu pracy wyraźnie wynika, iż pracodawca będzie mógł gromadzić i przetwarzać dane osobowe osoby ubiegającej się o zatrudnienie na podstawie jej zgody tylko w zakresie danych innych niż wymienione w art. 221 § 1. Takie działanie zdaje się być przejawem dostosowania przepisów Kodeksu pracy do jednej z zasad RODO. Chodzi tu o zasadę adekwatności przetwarzanych danych. Należy rozumieć ją jako zasadę niezbędności przetwarzania konkretnego zakresu danych osobowych do realizacji celu, w jakim są przetwarzane.
W przypadku pracy związanej z podejmowaniem czynności porządkowych przetwarzanie informacji w zakresie wykształcenia czy doświadczenia faktycznie nie jest potrzebne.
Czy to oznacza, że w takiej sytuacji pracodawca będzie zobowiązany takie dane niezwłocznie usunąć?
Nie – jednakże nie będzie mógł ich przetwarzać ani w celu związanym z prowadzoną rekrutacją, ani w żadnym innym. Przepis art. 221 § 1 projektu ustawy Kodeks pracy mówi, jakie dane osobowe pracodawca może przetwarzać w związku z prowadzonym procesem rekrutacyjnym. A dokładniej – podania jakich informacji może żądać od zgłaszających się kandydatów. Oczywiście wskazane w art. 221 § 1 dane nie są jedynymi, jakie pracodawca może przetwarzać w związku z wyborem pracownika. Następne przepisy przewidują także inne podstawy prawne. Dla niniejszych rozważań znaczenie ma jednak właśnie katalog informacji wskazanych w art. 221 § 1 pkt 1-6. Istotne jest, aby pracodawca nie naruszył zasady ujętej w art. 221 § 2. Nie powinien zatem żądać od kandydata na niewykwalifikowane stanowisko pracy podania danych w zakresie wskazanym w art. 221 § 1 pkt 4-6 projektu ustawy Kodeks pracy.
Co, jeżeli pracodawca nie zażąda od kandydata podania informacji wskazanych w art. 221 § 1 pkt 4-6, natomiast konkretny kandydat przekaże mu te informacje w przesłanym CV? Nie oznacza to, iż pracodawca ma obowiązek niezwłocznego usunięcia tych danych. Wydaje się, że skoro nie żąda ich podania, jego intencją nie będzie ich przetwarzanie w związku
z prowadzonym postępowaniem. Nie będzie zatem można uznać, iż z chwilą otrzymania ich od kandydata stanie się on ich administratorem. Taki pracodawca, nie podejmując żadnych decyzji co do celu i sposobu wykorzystania tych informacji, nie będzie o nich decydował. Takie podejście jest zgodne ze stanowiskiem Grupy Roboczej Art. 29 z dokumentu 00264/10/PL WP 169 Opinia 1/2010 w sprawie pojęć „administrator danych” i „przetwarzający”. Stwierdza ona bowiem, że: „bycie administratorem danych wynika przede wszystkim z okoliczności faktycznej, w której podmiot podjął decyzję o przetwarzaniu danych osobowych dla własnych celów”.
Co powinien zrobić pracodawca by uniknąć przetwarzania nadmiarowych danych w procesie rekrutacji na tzw. niewykwalifikowane stanowisko pracy?
Podkreślić należy, iż art. 221 § 2 Kodeksu pracy nie należy odnosić jedynie do tak oczywistego przykładu, jak zatrudnienie pracownika serwisu sprzątającego. Istnieje bowiem szereg innych prac i stanowisk, do których wykonywania nie jest niezbędne określone wykształcenie, doświadczenie zawodowe czy konkretne kwalifikacje. Pracodawca już na etapie planowania procesu rekrutacyjnego powinien dokonać oceny, czy dany rodzaj pracy wymaga posiadania wcześniejszego doświadczenia czy odpowiedniego wykształcenia – a co za tym idzie, czy ma on obowiązek, rozumiany w tej sytuacji jako podstawa prawna, żądać i przetwarzać dane osobowe w zakresie wskazanym w art. 221 § 1 pkt 4-6. Jeżeli uzna, iż żądanie tych informacji nie jest potrzebne, nie powinien oczekiwać ich podania.
Dotyczy to zwłaszcza zobowiązywania kandydata w treści ogłoszenia o pracę do podania także tych konkretnych informacji. Ponadto pracodawca nie powinien dopytywać o te informacje również na dalszym etapie rekrutacji (np. podczas rozmowy kwalifikacyjnej).
W sytuacji otrzymania od kandydata takich informacji nie powinien brać ich pod uwagę przy ocenie jego kandydatury. Jak ograniczyć możliwość spontanicznego i swobodnego przesłania takich informacji przez kandydatów na tzw. niewykwalifikowane stanowisko pracy? Uzasadnione wydaje się, aby pracodawca – w zależności od kanału, jakim prowadzi rekrutację – stosował formularze dedykowane konkretnym procesom rekrutacyjnym, których treść dostosowana będzie każdorazowo do konkretnej rekrutacji. Inną opcją jest wskazywanie w treści ogłoszenia o pracę zakresu danych osobowych, jakich podania się oczekuje.
CV, projekt ustawy, rekrutacja, RODO