Pracodawca powinien zadbać o to, aby ubiegający się o posadę wyraził zgodę na udostępnienie swojego CV i przetwarzanie zawartych w nim informacji.  Zgodnie z art. 7 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. DzU z 2002 r. nr 101, poz. 926 ze zm.; dalej: ustawa), zainteresowany musi złożyć oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych przez określony podmiot.

Gdy firma sama poszukuje kandydatów, pod ogłoszeniem umieszcza zwykle klauzulę zawierającą zgodę na gromadzenie i przetwarzanie przez nią danych osobowych w procesie rekrutacji. Jeśli w jej imieniu działa agencja rekrutacyjna, to trzeba zadbać, aby zgoda kandydata obejmowała  wszystkie podmioty uczestniczące w procesie rekrutacji – przede wszystkim potencjalnego pracodawcę.

Przykładowy zapis:

Wyrażam zgodę na gromadzenie i przetwarzanie moich danych osobowych zawartych w aplikacji dla potrzeb niezbędnych do realizacji procesów rekrutacji przez firmę X oraz pozostałe podmioty uczestniczące w procesie rekrutacji (zgodnie z ustawą z 29 sierpnia 1997 r. o ochronie danych osobowych, tekst jedn. DzU z 2002 r. nr 101, poz. 926 ze zm.).

Taka klauzula powinna pojawić się w treści CV lub jako załącznik do niego.

Wyraźne przyzwolenie

Zgoda kandydata, w tym także na to, aby agencja przekazała dane zlecającej rekrutację firmie, nie może być dorozumiana lub domniemana z oświadczenia woli o innej treści. Nie można uznać, że kandydat przez samą odpowiedź na ogłoszenie wyraża zgodę na przekazanie swoich danych potencjalnemu pracodawcy. Z treści zgody powinno w sposób niebudzący wątpliwości wynikać, w jakim celu, w jakim zakresie i przez kogo dane osobowe będą przetwarzane (por. wyrok NSA z 4 kwietnia 2003 r., II SA 2135/2002). W każdym czasie można ją też odwołać.

Niekiedy agencje w imieniu zainteresowanego kandydata kontaktują się z wieloma firmami, aby zaoferować jego kandydaturę. Na takie działanie również potrzebują wyraźnej zgody klienta.

Profesjonalne agencje zwykle w umowach z klientem regulują wszelkie kwestie dotyczące przekazywania sobie danych osobowych kandydatów oraz odpowiedzialności stron wynikającej z naruszenia poufności.

Wątpliwość Generalnego Inspektora Ochrony Danych Osobowych (dalej: GIODO) wzbudza praktyka nieinformowania kandydatów o tym, dla kogo agencja prowadzi rekrutację (zarówno wtedy, gdy publikuje ogłoszenie, jak i gdy kontaktuje się bezpośrednio z kandydatem, proponując w niej udział).

Wyjściem jest blind CV

Jeśli jednocześnie przekazuje do pracodawcy CV wraz z imieniem, nazwiskiem oraz innymi informacjami dotyczącymi przebiegu kariery zawodowej, które pozwalają na identyfikację osoby, to zdaniem GIODO mamy do czynienia z naruszeniem art. 24 ust. 1 ustawy. Zgodnie z tym przepisem, administrator danych musi poinformować osobę, od której zbiera informacje, m.in. o adresie swojej siedziby i pełnej nazwie, a także o celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych ich odbiorcach. Rozwiązaniem może być przekazywanie tzw. blind CV, zawierających informacje o przebiegu kariery, ale bez nazwiska kandydata czy danych kontaktowych.

Przeszukiwanie bazy

Inna metoda poszukiwania kadry to korzystanie z baz danych kandydatów – zarówno z  istniejących zewnętrznych zbiorów (są one na większości portali kariery), jak i tworzonych samodzielnie przez pracodawcę na swoje potrzeby w oparciu o zakupione lub własne systemy informatyczne.

Umieszczając na portalu kariery profil zawodowy, powierzamy swoje dane osobowe podmiotowi, który portalem zarządza. Kandydat powinien zwrócić uwagę, czy regulamin zawiera  regulacje pozwalające portalowi na udostępnianie jego danych i na jakich zasadach. Ustawienia dotyczące udostępniania danych innym użytkownikom portalu (w tym rekruterom i potencjalnym pracodawcom) powinny być zgodne z intencjami zarejestrowanego. Jeśli więc nie jest otwarty na zmianę pracy, to może ograniczyć dostęp do profilu jedynie do osób będących jego znajomymi na portalu.

Aplikowanie poprzez systemy rekrutacyjne powiązane ze stronami kariery pracodawcy staje się standardem na rynku i zastępuje tradycyjne wysyłanie CV mailem lub pocztą. Zainteresowany konkretną ofertą (bądź aplikujący do firmy „spontanicznie") wypełnia on-line kwestionariusz, odpowiadając na listę pytań dotyczących doświadczeń zawodowych, wykształcenia, znajomości języków obcych, etc. Jakie informacje pracodawca ma prawo pozyskiwać do swojej bazy od kandydatów? Te, o których mowa w art. 221 kodeksu pracy. Ograniczenia wynikające z tego przepisu trzeba mieć na uwadze zarówno konstruując kwestionariusz, jak i pisząc klasyczne ogłoszenie o pracę.

O co można zapytać

Bez względu na to, w jaki sposób prowadzona jest rekrutacja, pracodawca ma związane ręce, jeśli chodzi o dane, które może pozyskiwać od kandydatów do pracy. Zgodnie z art. 221 k.p. może żądać podania:

- imion i nazwiska,

- imion rodziców,

- daty urodzenia,

- miejsca zamieszkania (adresu do korespondencji),

- wykształcenia,

- przebiegu dotychczasowego zatrudnienia.

Zakres danych przetwarzanych przez pracodawcę zwiększa się, gdy już daną osobę przyjmie do pracy. Wówczas dodatkowo może żądać:

- innych danych osobowych pracownika, a także imion i nazwisk oraz dat urodzenia jego dzieci, jeżeli podanie ich jest konieczne ze względu na korzystanie ze szczególnych uprawnień przewidzianych w prawie pracy,

- numeru PESEL pracownika.

Niekiedy wolno żądać też innych danych osobowych, jeżeli obowiązek ich podania wynika z odrębnych przepisów. Mogą to być np.:

- zaświadczenie o niekaralności,

- potwierdzenie obywatelstwa polskiego

gdy z pragmatyk służbowych wynika obowiązek jego przedstawienia przez kandydata do pracy,

- dane o zdrowiu gromadzone w razie wypadku przy pracy lub zatrudniania niepełnosprawnego.

Wszelkie dane pracownik udostępnia w formie oświadczenia, ale pracodawca może żądać ich udokumentowania.

A jeśli w kwestionariuszu rekrutacyjnym znajdą się inne pytania, np. o nazwisko rodowe matki? Zdaniem GIODO jest to niezgodne z prawem. Przetwarzanie takich informacji wykracza poza zakres danych osobowych wskazany w art. 221 § 1 i 2 k.p., a obowiązek ich podania nie wynika z odrębnych przepisów prawa (por. decyzję GIODO z 30 października 2009 r. , nr DIS/DEC-1089 /39969/09 dot. DIS-K-421 /141/09).

Dalej wskaże ustawa

Art. 221 k.p. co prawda ma pierwszeństwo stosowania, ale odnosi się jedynie do danych, których pracodawca żąda. A przecież czasem pozyskuje je w inny sposób – np.  kandydat do pracy udostępnia je z własnej inicjatywy, choćby  przez wysłanie CV, mimo braku rekrutacji. Niekiedy informacje pochodzą z innego źródła niż pracownik (np. od poprzedniego pracodawcy), a w trakcie zatrudnienia  firma przetwarza samodzielnie wytworzone dane, np. o wynagrodzeniu, urlopie. W tych sytuacjach stosuje się ustawę o ochronie danych osobowych. Pracodawca, aby jego działanie było legalne, musi spełnić jedną z przesłanek wymienionych w art. 23 ust. 1 tej ustawy.

Stosownie do tego przepisu przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy:

1) osoba, której dane dotyczą, wyrazi na to zgodę,

2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,

3) jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub jeśli jest to konieczne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,

4) jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,

5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

W pierwszej kolejności bada się, czy przetwarzanie uzasadniają przepisy prawa (pkt 2), a dopiero dalej, czy nie zachodzą pozostałe przesłanki, w tym zgoda uprawnionego. W wypadku danych wrażliwych (np. dotyczących stanu zdrowia) trzeba też uwzględnić rygory art. 27 ustawy.

Życiorys z fotografią

Czy w takim razie pracodawca może oczekiwać, że otrzyma od kandydatów „CV ze zdjęciem"? Art. 221 k.p. nie wymienia wizerunku jako informacji, którą pracodawca ma prawo pozyskiwać, co wskazywałoby na zakaz gromadzenia takich danych. Jednak zgodnie z poglądem GIODO, jeżeli kandydat z własnej woli udostępni dodatkowe informacje na swój temat, np. zdjęcie, to wyrażona przez niego zgoda na wykorzystanie jest elementem legalizującym przetwarzanie tych danych na potrzeby naboru.

Za niedozwolone należy natomiast uznać sugerowanie przez pracodawcę, jakie dodatkowe informacje kandydat powinien w aplikacji zamieścić, np. przez zamieszczenie w ogłoszeniu o pracę komentarza „zdjęcie mile widziane". NSA w wyroku z 1 grudnia 2009 r. (I OSK 249/09) wskazuje, że „brak równowagi w relacji pracodawca pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (fotografii). Tym samym uznać należy, że przetwarzanie zdjęcia jest możliwe jedynie wtedy, gdy kandydat samodzielnie zadecydował o przekazaniu zdjęcia i nie był nagabywany o to przez przyszłego pracodawcę".

Więcej nie zawsze oznacza lepiej

Agnieszka Gostkowska-Szmyt, menedżer personalny

W CV warto zawrzeć tylko te informacje, które mają znaczenie przy ubieganiu się o pracę. Dobrze jest zastanowić się, czy podawanie daty urodzenia, statusu rodzinnego lub zamieszczanie fotografii będzie w konkretnym przypadku przemawiać na korzyść kandydata. Jeśli dysponuje on kontaktami referencyjnymi, lepiej żeby udostępnił je potencjalnemu pracodawcy na etapie ostatecznej weryfikacji, a nie już w CV. Wcześniej powinien się upewnić, że osoby, które mają udzielać referencji, nie mają nic przeciw przekazaniu ich nazwisk i numerów telefonu osobom trzecim. Aplikując do pracy poza Polską warto zapoznać się z lokalnymi przepisami prawnymi i zwyczajami. We Francji przyjęte jest zbieranie w procesie rekrutacji informacji dotyczących wieku czy statusu rodzinnego, jak również zdjęć kandydatów. Media francuskie cyklicznie dyskutują, że może to prowadzić do dyskryminacji ze względu na pochodzenie etniczne. Rząd przymierzał się do wprowadzenia przepisów zobowiązujących pracodawców zatrudniających więcej niż 50 pracowników do korzystania z tzw. CV anonimowych, na co się jednak nie zdecydował. Podobne regulacje starały się wprowadzać inne europejskie państwa, m.in. Szwecja, Wielka Brytania, Belgia i Holandia. Ostatecznie jednak ograniczyły ich zastosowanie do sektora publicznego lub określonego regionu.

Administrator odpowie za naruszenia

Magdalena Januszewska, radca prawny

Pracodawca (również potencjalny) jest administratorem danych osobowych kandydatów. W związku z tym ma obowiązek sprawować nadzór nad procesem ich przetwarzania, a w szczególności zapewnić, aby były one odpowiednio zabezpieczone (art. 36 ust. 1 ustawy). Jak wskazuje GIODO, wybór środków gwarantujących optymalne zabezpieczenie pozostawia się do uznania konkretnemu administratorowi, gdyż to on najlepiej wie, w jakim środowisku je przetwarza i jakie mogą wystąpić w nim zagrożenia. Administrator nie musi działać sam. Może dopuścić do przetwarzania danych inne osoby, nadając im do tego upoważnienie (art. 37 ustawy). Nadal jednak to on jest odpowiedzialny, jeśli np. podwładni zaangażowani w proces rekrutacji ujawnią dane osobom trzecim. Nie należy tego bagatelizować. Za nieprzestrzeganie zasad ochrony danych osobowych grozi bowiem odpowiedzialność karna (art. 49 – art. 54a ustawy). Pracodawca nie musi natomiast zgłaszać zbioru danych pracowników związanych z zatrudnieniem u niego do rejestracji GIODO (art. 43 ust. 1 pkt 4 ustawy). Dotyczy to także informacji o kandydatach do pracy i byłych podwładnych.