2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,
3) jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub jeśli jest to konieczne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,
4) jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,
5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
W pierwszej kolejności bada się, czy przetwarzanie uzasadniają przepisy prawa (pkt 2), a dopiero dalej, czy nie zachodzą pozostałe przesłanki, w tym zgoda uprawnionego. W wypadku danych wrażliwych (np. dotyczących stanu zdrowia) trzeba też uwzględnić rygory art. 27 ustawy.
Życiorys z fotografią
Czy w takim razie pracodawca może oczekiwać, że otrzyma od kandydatów „CV ze zdjęciem"? Art. 221 k.p. nie wymienia wizerunku jako informacji, którą pracodawca ma prawo pozyskiwać, co wskazywałoby na zakaz gromadzenia takich danych. Jednak zgodnie z poglądem GIODO, jeżeli kandydat z własnej woli udostępni dodatkowe informacje na swój temat, np. zdjęcie, to wyrażona przez niego zgoda na wykorzystanie jest elementem legalizującym przetwarzanie tych danych na potrzeby naboru.
Za niedozwolone należy natomiast uznać sugerowanie przez pracodawcę, jakie dodatkowe informacje kandydat powinien w aplikacji zamieścić, np. przez zamieszczenie w ogłoszeniu o pracę komentarza „zdjęcie mile widziane". NSA w wyroku z 1 grudnia 2009 r. (I OSK 249/09) wskazuje, że „brak równowagi w relacji pracodawca pracownik stawia pod znakiem zapytania dobrowolność w wyrażeniu zgody na pobieranie i przetworzenie danych osobowych (fotografii). Tym samym uznać należy, że przetwarzanie zdjęcia jest możliwe jedynie wtedy, gdy kandydat samodzielnie zadecydował o przekazaniu zdjęcia i nie był nagabywany o to przez przyszłego pracodawcę".
Więcej nie zawsze oznacza lepiej
Agnieszka Gostkowska-Szmyt, menedżer personalny
W CV warto zawrzeć tylko te informacje, które mają znaczenie przy ubieganiu się o pracę. Dobrze jest zastanowić się, czy podawanie daty urodzenia, statusu rodzinnego lub zamieszczanie fotografii będzie w konkretnym przypadku przemawiać na korzyść kandydata. Jeśli dysponuje on kontaktami referencyjnymi, lepiej żeby udostępnił je potencjalnemu pracodawcy na etapie ostatecznej weryfikacji, a nie już w CV. Wcześniej powinien się upewnić, że osoby, które mają udzielać referencji, nie mają nic przeciw przekazaniu ich nazwisk i numerów telefonu osobom trzecim. Aplikując do pracy poza Polską warto zapoznać się z lokalnymi przepisami prawnymi i zwyczajami. We Francji przyjęte jest zbieranie w procesie rekrutacji informacji dotyczących wieku czy statusu rodzinnego, jak również zdjęć kandydatów. Media francuskie cyklicznie dyskutują, że może to prowadzić do dyskryminacji ze względu na pochodzenie etniczne. Rząd przymierzał się do wprowadzenia przepisów zobowiązujących pracodawców zatrudniających więcej niż 50 pracowników do korzystania z tzw. CV anonimowych, na co się jednak nie zdecydował. Podobne regulacje starały się wprowadzać inne europejskie państwa, m.in. Szwecja, Wielka Brytania, Belgia i Holandia. Ostatecznie jednak ograniczyły ich zastosowanie do sektora publicznego lub określonego regionu.
Administrator odpowie za naruszenia
Magdalena Januszewska, radca prawny
Pracodawca (również potencjalny) jest administratorem danych osobowych kandydatów. W związku z tym ma obowiązek sprawować nadzór nad procesem ich przetwarzania, a w szczególności zapewnić, aby były one odpowiednio zabezpieczone (art. 36 ust. 1 ustawy). Jak wskazuje GIODO, wybór środków gwarantujących optymalne zabezpieczenie pozostawia się do uznania konkretnemu administratorowi, gdyż to on najlepiej wie, w jakim środowisku je przetwarza i jakie mogą wystąpić w nim zagrożenia. Administrator nie musi działać sam. Może dopuścić do przetwarzania danych inne osoby, nadając im do tego upoważnienie (art. 37 ustawy). Nadal jednak to on jest odpowiedzialny, jeśli np. podwładni zaangażowani w proces rekrutacji ujawnią dane osobom trzecim. Nie należy tego bagatelizować. Za nieprzestrzeganie zasad ochrony danych osobowych grozi bowiem odpowiedzialność karna (art. 49 – art. 54a ustawy). Pracodawca nie musi natomiast zgłaszać zbioru danych pracowników związanych z zatrudnieniem u niego do rejestracji GIODO (art. 43 ust. 1 pkt 4 ustawy). Dotyczy to także informacji o kandydatach do pracy i byłych podwładnych.
