RODO w rekrutacji pracowników: zgody, retencja danych i bezpieczny proces

Zapewnienie zgodności z przepisami o ochronie danych osobowych to jeden z kluczowych obowiązków każdego zespołu Talent Acquisition oraz działu HR. Błędy w procedurach zbierania aplikacji, brak kontroli nad retencją CV czy nieprawidłowo skonstruowane zgody mogą prowadzić nie tylko do dotkliwych kar nakładanych przez Urząd Ochrony Danych Osobowych (UODO), ale także do utraty zaufania kandydatów i uszczerbku na wizerunku pracodawcy.

RODO w rekrutacji wymaga opierania przetwarzania danych na odpowiednich podstawach prawnych: przepisach Kodeksu pracy dla danych podstawowych oraz dobrowolnej zgodzie kandydata dla danych dodatkowych i przyszłych rekrutacji. Bezpieczny proces opiera się na realizacji obowiązku informacyjnego (art. 13 RODO), ścisłym przestrzeganiu ustalonych okresów retencji danych oraz stosowaniu systemów HR, które automatyzują usuwanie i anonimizację aplikacji po zakończeniu procesu.

Podstawy prawne przetwarzania danych w rekrutacji

Aby legalnie przetwarzać dane osobowe kandydata do pracy, pracodawca musi posiadać wyraźną podstawę prawną określoną w art. 6 Ogólnego Rozporządzenia o Ochronie Danych (RODO). W polskim porządku prawnym kluczową rolę odgrywa tu powiązanie RODO z przepisami krajowego Kodeksu pracy.

Kodeks pracy a zakres danych kandydata

Zgodnie z art. 22 § 1 Kodeksu pracy, pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania ściśle określonego zakresu danych osobowych:

• Imienia (imion) i nazwiska
• Daty urodzenia
• Danych kontaktowych (wskazanych przez kandydata, np. numeru telefonu, adresu e-mail)
• Wykształcenia
• Kwalifikacji zawodowych
• przebiegu dotychczasowego zatrudnienia

Przetwarzanie powyższych danych w celu przeprowadzenia bieżącej rekrutacji nie wymaga wyrażenia odrębnej zgody przez kandydata. Podstawą prawną jest w tym przypadku podjęcie działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO) oraz wypełnienie obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO).

Kiedy zgoda kandydata jest bezwzględnie wymagana?

Zgoda kandydata (art. 6 ust. 1 lit. a RODO) staje się konieczna w dwóch podstawowych sytuacjach:

1. Dane nadmiarowe (dodatkowe): Jeśli kandydat podaje w CV dane wykraczające poza katalog z Kodeksu pracy (np. zdjęcie, zainteresowania, wizerunek w formie nagrania wideo), ich przetwarzanie odbywa się na podstawie dobrowolnej zgody. Przesłanie takich danych przez kandydata z własnej inicjatywy uznaje się za wyraźne działanie potwierdzające.
2. Przyszłe rekrutacje (Talent Pool): Jeżeli firma chce zachować CV po zakończeniu obecnego procesu rekrutacyjnego na potrzeby przyszłych wakatów, musi uzyskać odrębną, dobrowolną i jednoznaczną zgodę kandydata.

Wskazówka: Pracodawca nie może uzależniać udziału w bieżącej rekrutacji od wyrażenia zgody na przetwarzanie danych na potrzeby przyszłych rekrutacji.

Obowiązek informacyjny (art. 13 RODO) w praktyce HR

Każdy proces zbierania danych osobowych musi wiązać się z przekazaniem kandydatowi pełnej informacji o tym, kto, w jakim celu i na jakich zasadach będzie przetwarzał jego dane. Obowiązek informacyjny należy spełnić w momencie pozyskiwania danych — najczęściej poprzez zamieszczenie klauzuli informacyjnej w ogłoszeniu o pracę lub w formularzu aplikacyjnym.

Zgoda na przetwarzanie danych — najczęstsze mity

Wokoło kwestii zgód RODO w rekrutacji narosło wiele nieporozumień, które często prowadzą do niepotrzebnego wydłużania procesów selekcji.

Mit 1: Brak klauzuli RODO na CV dyskwalifikuje kandydata

Jeśli kandydat wysyła CV w odpowiedzi na konkretne ogłoszenie, samo przesłanie dokumentu jest działaniem zmierzającym do udziału w procesie. Jeżeli CV zawiera wyłącznie dane z Kodeksu pracy, braki w postaci braku ręcznie wpisanej „klauzuli RODO” nie stanowią przeszkody w rozpatrzeniu aplikacji, o ile pracodawca spełnił obowiązek informacyjny w ogłoszeniu.

Mit 2: Zgoda na przyszłe rekrutacje może być udzielona "na zawsze"

Zgodnie z zasadą ograniczenia przechowywania, dane nie mogą być przetwarzane w nieskończoność. Zgoda na przetwarzanie danych w bazach talentów musi określać precyzyjny lub możliwy do ustalenia czas (np. „przez okres 24 miesięcy”). Po tym czasie dane muszą zostać usunięte lub firma musi uzyskać od kandydata ponowne potwierdzenie zgody.

Retencja danych i bezpieczne czyszczenie baz (Talent Pool)

Jednym z najczęstszych uchybień wykrywanych podczas audytów ochrony danych w działach HR jest przetrzymywanie przestarzałych plików CV na dyskach sieciowych, w skrzynkach e-mail rekruterów czy w nieprzystosowanych do tego folderach.

Okresy przechowywania dokumentów aplikacyjnych

1. Rekrutacja zakończona sukcesem: CV zatrudnionego kandydata trafia do akt osobowych pracowników (część A) i jest przechowywane zgodnie z przepisami dotyczącymi dokumentacji pracowniczej.
2. Kandydaci niezakwalifikowani (brak zgody na przyszłe procesy): Dokumenty należy usunąć niezwłocznie po zakończeniu procesu rekrutacyjnego i podpisaniu umowy z wybraną osobą. Dopuszcza się krótkotrwałe przechowywanie danych wyłącznie w celu obrony przed ewentualnymi roszczeniami (np. z tytułu zarzutu dyskryminacji w rekrutacji), co wymaga uzasadnienia w oparciu o prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO).
3. Kandydaci w bazie talentów (zgoda na przyszłe procesy): Dane przechowywane są przez czas wskazany w zgodzie. Warto prowadzić systematyczną retencję danych, np. wykorzystując dedykowane moduły wyborze nowoczesnego ATS, które automatycznie anonimizują pliki po upływie terminu zgody.

Prawidłowa higiena danych w budowaniu własnej bazy talentów pozwala zachować wysoki poziom bezpieczeństwa przy jednoczesnym skróceniu czasu potrzebnego na wyszukiwanie odpowiednich profili.

RODO a szczególne metody rekrutacji

Nowoczesny HR coraz rzadziej opiera się wyłącznie na tradycyjnych spływach CV z portalach ogłoszeniowych. Sourcing w mediach społecznościowych, automatyzacja oraz rekrutacja z polecenia wymagają dodatkowych środków ostrożności.

Direct Search i sourcing na LinkedIn

Pozyskiwanie kandydatów metodą Direct Search wiąże się z przetwarzaniem danych osób, które nie zaaplikowały bezpośrednio do firmy. Przeglądanie publicznych profili jest dozwolone, ale zapisanie danych kandydata w firmowym systemie rekrutacyjnym wymaga spełnienia obowiązku informacyjnego na podstawie art. 14 RODO (najpóźniej przy pierwszym kontakcie z kandydatem).

Rekrutacja z polecenia (Employee Referral)

Częstym błędem jest przyjmowanie przez rekrutera plików CV znajomych, które są bezpośrednio przynoszone lub przesyłane przez obecnych pracowników. Taki proceder narusza zasady RODO, gdyż osoba polecana nie wyraziła zgody na przekazanie swoich danych konkretnemu administratorowi.

Bezpieczny model poleceń pracowniczych:

• Pracownik przekazuje znajomemu unikalny link do ogłoszenia lub platformy rekrutacyjnej.
• Kandydat sam wchodzi na stronę, zapoznaje się z klauzulą informacyjną i samodzielnie składa aplikację, dołączając wymagane zgody.
• Zastosowanie dedykowanego rozwiązania, takiego jak ShareHire, zapewnia, że cała ścieżka zgód i zbierania danych jest w 100% zautomatyzowana i zgodna z RODO.

Szerzej o prawnych aspektach programów rekomendacji przeczytasz w naszym opracowaniu dotyczącym rodo w programach poleceń.

Checklista: Jak audytować proces rekrutacji pod kątem RODO

Aby upewnić się, że procesy rekrutacyjne w Twojej organizacji są w pełni bezpieczne i zgodne z przepisami, przeprowadź weryfikację według poniższej checklisty:

• [ ] Zweryfikuj treść ogłoszeń: Sprawdź, czy każde ogłoszenie zawiera czytelną klauzulę informacyjną zgodną z art. 13 RODO.
• [ ] Rozdziel formularze zgód: Upewnij się, że zgoda na udział w bieżącej rekrutacji jest odseparowana od zgody na przyszłe procesy rekrutacyjne.
• [ ] Przeglądnij kanały spływu aplikacji: Zlikwiduj praktykę przyjmowania papierowych CV na recepcji czy przesyłania ich na prywatne skrzynki mailowe menedżerów rekrutujących.
• [ ] Wdroż automatyczną retencję: Ustaw w systemie ATS lub narzędziu rekrutacyjnym automatyczne reguły usuwania aplikacji po upływie terminu ważności zgody.
• [ ] Zabezpiecz dostęp do danych: Ogranicz uprawnienia do przeglądania profili kandydatów wyłącznie do osób bezpośrednio zaangażowanych w dany proces rekrutacyjny.
• [ ] Przeszkol zespół HR i menedżerów: Zadbaj o to, aby osoby prowadzące rozmowy kwalifikacyjne wiedziały, jakich pytań nie wolno zadawać (np. dotyczących stanu cywilnego, planów rodzinnych czy stanu zdrowia).
• [ ] Podpisz umowy powierzenia (UMD): Upewnij się, że masz podpisane umowy powierzenia przetwarzania danych ze wszystkimi dostawcami oprogramowania HR Tech.

Najczęstsze pytania (FAQ)

Czy kandydat musi zamieścić klauzulę RODO w CV, aby firma mogła rozpatrzyć jego aplikację?

Nie. Zgodnie z art. 6 ust. 1 lit. b RODO przetwarzanie danych zawartych w Kodeksie pracy na potrzeby bieżącej rekrutacji odbywa się z inicjatywy kandydata. Brak klauzuli w CV nie dyskwalifikuje aplikacji, o ile firma spełniła obowiązek informacyjny w ogłoszeniu. Zgoda jest wymagana jedynie na cele przyszłych rekrutacji lub na dane nadmiarowe.

Jak długo można legalnie przechowywać CV po zakończeniu rekrutacji?

Po zakończeniu procesu i wyłonieniu pracownika CV pozostałych kandydatów należy usunąć, chyba że wyrazili oni dobrowolną zgodę na udział w przyszłych rekrutacjach. W przypadku posiadania zgody na przyszłe procesy, standardowy i bezpieczny okres retencji wynosi od 12 do 24 miesięcy.

Czy można zbierać dane kandydata z profilu LinkedIn bez jego wiedzy?

Samo przeglądanie profilu publicznego jest dozwolone, ale pobieranie danych i wprowadzanie ich do firmowej bazy kandydatów (ATS) stanowi przetwarzenie danych osobowych. Wymaga to spełnienia obowiązku informacyjnego wobec kandydata (art. 14 RODO) najpóźniej przy pierwszym kontakcie.

Jak bezpiecznie realizować polecenia pracownicze w świetle RODO?

Bezpieczny model polega na wysłaniu linku polecającego przez pracownika do znajomego, aby ten sam zaaplikował i wyraził wymagane zgody, lub na udostępnieniu dedykowanego portalu poleceń, który automatyzuje zbieranie zgód i realizację obowiązku informacyjnego.

Kluczowe wnioski

• Podstawa prawna zależy od celu: Rekrutacja bieżąca opiera się na Kodeksie pracy i działaniach zmierzających do zawarcia umowy, natomiast budowanie bazy na przyszłość wymaga dobrowolnej zgody kandydata.
• Obowiązek informacyjny to podstawa: Każde ogłoszenie i formularz aplikacyjny muszą wyraźnie informować kandydata o tym, kto i w jakim celu przetwarza jego dane.
• Retencja pod ścisłą kontrolą: Przechowywanie CV bez aktualnych zgód to prosta droga do uchybień w świetle RODO. Proces usuwania przestarzałych danych powinien być zautomatyzowany.
• Bezpieczeństwo nowoczesnych kanałów: Korzystanie z metod takich jak rekomendacje pracownicze wymaga wdrożenia narzędzi, które eliminują ryzyko przekazywania CV osób trzecich bez ich wiedzy.

Co dalej?

Chcesz uporządkować program poleceń w swojej firmie i mieć pewność, że cały proces rekomendacji działa w 100% zgodnie z RODO? Skonsultuj bezpieczny model poleceń z ekspertami ShareHire i dowiedz się, jak automatyzacja pomaga chronić dane przy jednoczesnym zwiększaniu sprawności rekrutacji.

Pamiętaj: Niniejszy artykuł ma charakter wyłącznie informacyjny i edukacyjny i nie stanowi wiążącej porady prawnej. W przypadku wątpliwości dotyczących wdrażania procedur ochrony danych w konkretnej organizacji zalecamy konsultację z Inspektorem Ochrony Danych (IOD) lub radcą prawnym.

‍