Source: https://www.pep-edu.pl/okres-przechowywania-dokumentow-zgoda-na-przetwarzanie-podstawa-prawna-przetwarzania/
Timestamp: 2020-07-15 09:42:40
Legal References Found: art. 22
 art. 22
 art. 22
 art. 18
 art. 6
 art. 33
 art. 22
 art. 5

Document Content:
Okres przechowywania dokumentów kandydatów do pracy
Dokumentacja CV a RODO
Ile wynosi okres przechowywania dokumentów aplikacyjnych kandydatów do pracy?
Czy należy opracować odpowiednią klauzulę?
Zgoda na przetwarzanie?
Obecnie obowiązujące zasady, przetwarzania danych kandydata do pracy nie wymagają uzyskania jego zgody, zawartej np. w CV. Obowiązek ich podania wynika z kodeksu pracy. Problem pojawia się w przypadku, gdy firma zamierza pozyskać dodatkowe informacje o kandydacie, bezpośrednio od niego lub z internetu. Publiczna dostępność profilu społecznościowego kandydata nie oznacza, że firma może przetwarzać jego dane z tego profilu do własnych celów. Takie przetwarzanie wymaga podstawy prawnej, czyli uzasadnionego interesu podmiotu. Przyszły pracodawca zanim przejrzy zawartość profilu kandydata powinien rozważyć, czy jest on powiązany z celami biznesowymi czy prywatnymi kandydata do pracy.
art. 22 Kodeksu Pracy;
W momencie kiedy przyszły pracodawca zbierał dane osób poszukujących zatrudnienia jedynie na potrzeby konkretnego naboru, to nie może ich wykorzystać do innych celów, np. na potrzeby kolejnych rekrutacji, które będzie prowadził w przyszłości. Tym samym jeżeli cel rekrutacyjny zakończył się, a dana osoba nie została przyjęta do pracy, pracodawca powinien usunąć lub zniszczyć dane zawarte w przesłanych przez nią dokumentach aplikacyjnych. Wyjątkiem mogą być sytuacje określone w przepisach szczególnych, zezwalających na przechowywanie niektórych wniosków aplikacyjnych w konkretnych przypadkach. Ma to miejsce przy naborze pracowników samorządowych. Ustawa określająca zasady ich naboru zezwala, by w sytuacji, gdy w ciągu 3 miesięcy od nawiązania stosunku pracy z osobą wybraną w drodze naboru istniała konieczność ponownego obsadzenia tego samego stanowiska. Wyboru nowego pracownika dokona się spośród najlepszych kandydatów wybranych w czasie rekrutacji. Dlatego aby było to możliwe, złożone przez nich dokumenty muszą być przez 3 miesiące przechowywane.
W pozostałych przypadkach, jeśli pracodawca chciałby pozostawić przesłane dokumenty i dane, by je wykorzystywać w innych celach, np. w kolejnych naborach pracowników lub do przesyłania informacji marketingowych, musiałby wcześniej poinformować osoby, od których te dane pozyskał, o zakładanych celach, w jakich zamierza te dane przechowywać. Ponadto na wykorzystanie danych w każdym z tych celów musiałby uzyskać zgodę osób, które złożyły CV. Przy czym trzeba pamiętać, że taka zgoda może być w każdym czasie odwołana. Wówczas administrator danych osobowych traci prawo do dalszego przetwarzania danych i powinien je zniszczyć w sposób uniemożliwiający ich odtworzenie.
Zgodnie z RODO dane osobowe muszą m.in. być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. Muszą też być przechowywane w formie umożliwiającej identyfikację osoby, której dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. RODO wprowadza zasadę adekwatności, która w odniesieniu do procesu rekrutacji oznacza, że dozwolone jest gromadzenie wyłącznie tych danych na temat kandydatów, które są niezbędne do przeprowadzenia procesu rekrutacji. Zakres danych osobowych, niezbędnych do przeprowadzenia rekrutacji reguluje art. 22 Kodeksu Pracy. Dane te obejmują: imię i nazwisko, imiona rodziców, datę urodzenia, miejsce zamieszkania, wykształcenie oraz przebieg dotychczasowego zatrudnienia.
Zgodę należy pozyskiwać również w przypadku ponownego wykorzystania CV kandydata w przyszłych rekrutacjach oraz podczas zbierania danych w zakresie wykraczającym poza wskazany w art. 22 Kodeksu Pracy.
zasada proporcjonalności – dokumentacja pracownicza
Cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania.
Naczelną zasadą przetwarzania danych jest zasada proporcjonalności i należy uznać, że jedynie ryzyko taką zasadę narusza. Tym samym przyjęcie bezwarunkowego założenia, że wszystkie dane kandydata będą przechowywane „na wszelki wypadek” przez okres 3 lat, tj., do czasu przedawnienia roszczeń, jest błędny według UODO.
Po zakończeniu rekrutacji dane kandydata zawarte w przesłanych dokumentach aplikacyjnych – co do zasady – powinny zostać usunięte. Dodatkowo należy to zrobić w taki sposób, by nie było możliwe odtworzenie usuwanych danych.
Okres przechowywania dokumentów aplikacyjnych kandydatów do pracy na cele przyszłych rekrutacji oraz zabezpieczenia mogące ograniczyć potencjalne roszczenia
Okres przechowywania dokumentów aplikacyjnych kandydata do pracy wynosi 10 lata,
Wydłużenie okresu przechowywania danych zawartych w aplikacji, powinno być wyjątkiem od reguły niezwłocznego ich usuwania oraz powinno być szczególnie uzasadnione,
Warto przy okazji spełniania obowiązku informacyjnego wobec kandydata zawrzeć tam również informacje o okresie przechowywania danych na wypadek potencjalnych roszczeń,
Zasadnym rozwiązaniem jest, aby kandydat otrzymał informację, że niezgłoszenie zarzutów np. co do dyskryminacji w określonym terminie po odmowie zatrudnienia będzie miało ten skutek, że dane zostaną usunięte – oczywiście nie oznacza, że kandydat traci roszczenie, ale osłabia jego wiarygodność w przypadku wytoczenia sporu. Utrudnia także uprawdopodobnienie roszczenia,
Nie trzeba wpisywać klauzuli w CV o zgodzie na przetwarzanie danych osobowych, samo przesłanie CV przez kandydata, jest wyrażeniem zgody na chęć uczestnictwa w procesie rekrutacji,
Roszczenia a okres przechowywania
Jeżeli pojawia się roszczenie, to trzeba pamiętać, że okres przedawnienia w tego typu sprawach wynosi 3 lata, więc najbezpieczniej byłoby przechowywać dane przez taki okres. Jeśli pracodawca zdecyduje się na krótsze przechowywanie danych, ryzykuje potencjalnym sporem sądowym.
Przechowywanie danych osobowych w celach dalszej rekrutacji
Niezwłocznie po zakończeniu rekrutacji firma powinna usunąć dane osobowe kandydata, z którym nie podpisano umowy (np. zniszczyć je lub odesłać). Może je dalej przechowywać, np. jeżeli zainteresowany angażem wyraził zgodę na przetwarzanie informacji o nim na potrzeby przyszłych naborów.
Sposób zabezpieczenia dokumentów / ochrona
Przede wszystkim należy zagwarantować, że dostęp do danych osobowych kandydatów mają wyłącznie osoby, które zostały do tego upoważnione. Pracodawca musi zadbać, aby dokumenty były zabezpieczone przed nieuprawnionym dostępem. Należy pamiętać, że jeśli podjęliśmy decyzję o wydrukowaniu dokumentów aplikacyjnych, to po procesie rekrutacji musimy je skutecznie zniszczyć, tak aby zagwarantować, że dokumenty nie zostaną przekazane osobom nieuprawnionym. Wiadomości e-mail zawierające dane osobowe kandydatów powinny zostać szyfrowane, a hasło przesyłane innym kanałem komunikacyjnym. Należy pamiętać o zarządzaniu dostępem do systemów, platform oraz stron www, na których odbywa się proces rekrutacyjny. Nadane uprawnienia powinny dawać możliwość rozcieńczalności działań poszczególnych pracowników. Z punktu widzenia nowych przepisów ważne jest, aby ograniczyć liczbę miejsc przechowywania danych, ponieważ RODO wymaga od pracodawców zapewnienia odpowiedniego poziomu bezpieczeństwa. Przy rozproszeniu informacji o kandydatach w różnych systemach i narzędziach może to być kłopotliwe. Warto rozważyć wybranie jednego miejsca, w którym będziemy przechowywać dane kandydatów. W przypadku zgłoszenia żądania o usunięcie danych, będziemy mieli wtedy pewność, że dokumenty kandydata były przechowywane tylko w danym miejscu i zrealizujemy obowiązek ich usunięcia.
RODO wprowadza jasne przepisy: kandydaci muszą zostać poinformowani, w jakim celu przetwarzane będą ich dane osobowe, ile czasu będą przechowywane i komu dane te zostaną udostępnione.
Dane osobowe można przechowywać nie dłużej, niż jest to konieczne do celów, do których pracodawca wszedł w ich posiadanie. Dostęp do danych osobowych kandydata mogą mieć jedynie osoby bezpośrednio zaangażowane w proces rekrutacji.
Niedopuszczalne jest przetwarzanie danych tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem osoby, której dotyczą. ze strony nieprzyjętego kandydata.
W czasie rekrutacji nie powstaje żaden stosunek zobowiązaniowy pomiędzy kandydatem do pracy, a pracodawcą. Brak jest dokonania wzajemnych rozliczeń lub możliwości zarzucenia drugiej stronie niewykonania umowy lub nieprawidłowego jej wykonania. Nie ma więc podstaw do uznania, że pracodawca jest uprawniony do przetwarzania danych z uwagi na konieczność ustalenia istnienia roszczenia. Działanie pracodawcy stanowiłoby przetwarzanie danych kandydata „na wszelki wypadek”. Nie można traktować danych wszystkich kandydatów jednakowo i w niektórych przypadkach faktycznie przechowywanie danych będzie nieuzasadnione – wszystko będzie zależało od zaawansowania procesu rekrutacji.
UODO opinia
Dalsze przetwarzanie danych zawartych w CV kandydata jedynie w celu zabezpieczenia się przed ewentualnymi i przyszłymi roszczeniami jest niedopuszczalne, bo pojawiałyby się wątpliwości co do długości okresu przechowywania CV. Nawet ewentualne wystąpienie z roszczeniem z tytułu dyskryminacji nie uzasadnia zachowania CV. Zdaniem UODO nie jest to niezbędne do wykazania, że firma równo traktowała kandydatów. Ciężar dowodu spoczywa na pracodawcy, ale to kandydat musi przedstawić fakty, z których wynika domniemanie nierównego traktowania. Firma może np. wskazywać przed sądem obiektywne powody, które przesądziły o zatrudnieniu innej osoby (do tego nie potrzebuje CV skarżącego). UODO wskazuje też, że najczęściej zarzuty dyskryminacji pojawiają się w związku z przebiegiem rozmowy kwalifikacyjnej (a nie z uwagi na dane zawarte w aplikacji).
Jakie jest ryzyko po stronie pracodawcy
Pracodawcę pozbawia się prawa do przechowywania dowodów, w sytuacji gdy istnieje znaczące ryzyko wniesienia roszczenia. W ten sposób pracodawca poprzez obowiązek niszczenia CV ogranicza swoje szanse na oddalenie roszczeń osób, które w CV nie wskazują cech, które mogłyby być potencjalnym kryterium dyskryminacyjnym, a następnie już po odrzuceniu ich aplikacji powołują się na nie jako przyczynę nierównego traktowania i domagają się odszkodowania przed sądem.
Pojawiają się już pierwsze sprawy o dyskryminację przy zatrudnieniu po wejściu RODO. Są pracodawcy, którzy na prośby o podanie przyczyn odrzucenia aplikacji odpowiadają kandydatom, że nie mają już ich danych, bo zgodnie z RODO zostały zanimizowane. Kodeks pracy nie rozstrzyga, przez jaki czas mogą być przechowywane dane kandydata, z którym umowa nie została zawarta. Po zakończeniu rekrutacji przetwarzanie takich danych nie jest niezbędne do podjęcia czynności przygotowujących do jej podpisania, a tym bardziej do wykonania umowy – bo pracodawca wybrał na to stanowisko innego kandydata. Ale jeśli pracodawca usunie CV, a niedoszły pracownik zgłosi się z zarzutem np. dyskryminacji w zatrudnieniu, to pracodawca będzie bezbronny.
Po zakończonej rekrutacji pracodawca ma prawo przechowywać dokumenty rekrutacyjne osób, które nie zostały zatrudnione, w celach ochrony przed ewentualnymi roszczeniami mogącymi pojawić się w związku z prowadzoną uprzednio rekrutacją. Takie stanowisko reprezentuje Ministerstwo Cyfryzacji.
UODO stoi na stanowisku, że dane osobowe kandydata, z którym pracodawca nie zdecydował się zawrzeć umowy o pracę, należy trwale usunąć (np. poprzez zniszczenie bądź odesłanie) niezwłocznie po zakończeniu procesu rekrutacji, tj. podpisaniu umowy o pracę z nowo zatrudnionym pracownikiem, chyba że ze względu na zainteresowanie przyszłymi naborami sam wyraża zgodę na dłuższe wykorzystywanie jego danych. To wskazówki zawarte w oficjalnym poradniku wydanym przez UODO.
Zgodnie z motywem 50 preambuły RODO „przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane.” Celem pierwotnym w takim przypadku jest rekrutacja, zaś celem zgodnym z rekrutacją będzie ochrona przed ewentualnymi przyszłymi roszczeniami pracownika, wynikającymi z tej rekrutacji. Niedoszły pracodawca, zachowując CV może więc się ochronić np. przed przyszłym ewentualnym posądzeniem o dyskryminację.
Wraz ze złożeniem dokumentów rekrutacyjnych pomiędzy kandydatem a potencjalnym pracodawcą powstaje więź zobowiązaniowa, wynikająca z prawnego obowiązku przeciwdziałania dyskryminacji (art. 94 pkt 2b w zw. z art. 18(3a) k.p.). Z tego powodu zarzut dyskryminacji kandydata, jako emanacja naruszenia dóbr osobistych, wywodzony jest z czynu niedozwolonego. Dlatego przyjęcie, że skoro nie zawarto umowy o pracę to ustała podstawa przetwarzania danych nie jest przekonujące, pozostaje bowiem ryzyko roszczeń ze strony kandydata w związku z nie zawarciem umowy.
CV przechowywane w celu ochrony przed potencjalnymi roszczeniami nie powinno być wykorzystywane w innych celach. Wyjątkiem w tym zakresie wydaje się być kontakt potencjalnego pracodawcy z pozostałymi kandydatami, gdy okaże się, że osoba zakwalifikowana jednak nie podjęła pracy. Podstawą w tym przypadku byłby nie tylko prawnie uzasadniony interes potencjalnego pracodawcy, ale również kandydatów.
Po zakończonej rekrutacji pracodawca ma prawo przechowywać dokumenty rekrutacyjne osób, które nie zostały zatrudnione, w celach ochrony przed ewentualnymi roszczeniami mogącymi pojawić się w związku z prowadzoną uprzednio rekrutacją. I to jest zasadnicza różnica w stosunku do stanowiska UODO.
Podstawę prawną takiego działania podaje art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadniony interes niedoszłego pracodawcy, czyli ochrona przed ewentualnymi przyszłymi roszczeniami osoby, która nie została zatrudniona w wyniku rekrutacji, która nie została zatrudniona. Co szczególnie ważne, powołaniu się na tą przesłankę towarzyszyć powinno uprzednie przeprowadzenie testu – zaznaczono w objaśnieniach. Test powinien wykazać, czy osobę, której dane będą przetwarzane w prawnie uzasadnionym celu, łączy z administratorem jakaś więź oraz czy osoba taka mogła podejrzewać, że jej dane będą przetwarzane w uzasadnionym interesie.
Pogodzenie interpretacji UODO a MC przez Konstytucję dla Biznesu
To pierwsze – w oparciu o Konstytucję dla Biznesu – objaśnienia prawne, do których wydawania uprawnieni są ministrowie członkowie Rady Ministrów. O tym, że ustawa – Prawo przedsiębiorców może pomóc RODO, pisaliśmy w naszym serwisie już w październiku. Dokładnie chodzi o art. 33 tej ustawy, zgodnie z którym ministrowie oraz organy, które upoważnione są do przedkładania projektów aktów prawnych, mogą z urzędu lub na wniosek Rzecznika Małych i Średnich Przedsiębiorców wydawać tzw. objaśnienia prawne. Są to wyjaśnienia przepisów regulujących podejmowanie, wykonywanie lub zakończenie działalności gospodarczej, dotyczące praktycznego ich stosowania. Rzecznik MŚP wystąpił w takim wnioskiem w listopadzie 2018 roku. Objaśnienia wydane 23 stycznia 2019 roku przez ministra cyfryzacji są odpowiedzią.
Dokumenty, które zostały przekazane przez kandydata, a co do których wiemy, że z uwagi na ich treść nigdy w rekrutacji nie będą wykorzystane powinny zostać usunięte.
Znaczna część osób decyduje się wysłać swoje dokumenty rekrutacyjne w związku z konkretnymi, organizowanymi przez potencjalnych pracodawców rekrutacjami. W takim przypadku cały proces rekrutacji może być uznany za podejmowanie działań przed zawarciem umowy. W związku z tym do zakończenia rekrutacji w zakresie wykraczającym poza dane, o którym mowa w art. 22(1) Kodeksu pracy, podstawą przetwarzania danych osobowych kandydatów jest przepis, wskazujący, że jest ono niezbędne do podjęcia działań przed zawarciem umowy (art. 6 ust. 1 lit. b RODO), z uwzględnieniem przewidzianej w art. 5 ust. 1 lit. c RODO zasady minimalizacji danych. Na przepis ten można się powołać również do czasu ogłoszenia wyników rekrutacji, gdy w jej efekcie potencjalny pracodawca nie zdecyduje się zatrudnić żadnej osoby, jednak tylko w celu przetwarzania na potrzeby tej konkretnej rekrutacji. Podstawy tej nie da się wykorzystać na potrzeby przetwarzania dla celów przyszłych rekrutacji. Częstym błędem jest pozyskiwanie od kandydatów zgody na przetwarzanie danych osobowych w celu przeprowadzenia danej rekrutacji. Takie podejście jest nieprawidłowe i może prowadzić do nieuzasadnionego pomijania kandydatów, którzy takiego oświadczenia zgody nie złożą.
Stosowanie przepisów o ochronie danych osobowych w związku z zatrudnieniem wciąż budzi wątpliwości. W momencie pojawienia się pierwszych wyroków sądowych, będzie można wyrokować, która interpretacja jest właściwa.