Projekt Kodeksu Ochrony Danych Osobowych w rekrutacji

Rekrutacja stanowi jeden z podstawowych i najprostszych elementów procesu zarządzania zasobami ludzkimi w organizacji polegającym na sformalizowanym naborze osób na wakujące stanowisko lub studia. Zmiany prawa, z którymi przyszło się zmierzyć branży rekrutacyjnej po wejściu w życie rozporządzenia ogólnego w sprawie ochrony danych osobowych (RODO), wywołują jednak coraz więcej emocji i rodzą pytania, w jaki sposób bezpiecznie przetwarzać dane osobowe kandydatów. Naprzeciw tym problemom wyszła grupa robocza zbudowana z przedstawicieli portalu Pracuj.pl oraz eRecruiter, która właśnie poddała pod społeczne konsultacje projekt pierwszego w Polsce Kodeksu Ochrony Danych Osobowych w Rekrutacji opracowanego we współpracy z kancelarią GKK Gumularz Kozik pod patronatem m.in. Stowarzyszenia Agencji Zatrudnienia i Związku Pracodawców Rzeczypospolitej Polskiej.

Cel, zakres i charakterystyka – czyli kilka słów wstępu na temat Kodeksu Ochrony Danych w Rekrutacji 

25 maja 2018 roku weszło w życie rozporządzenie ogólne w sprawie ochrony danych osobowych (RODO), które wymusiło szereg zmian zaostrzając wymagania w zakresie pozyskiwania, przetwarzania i ochrony danych osobowych. Zmiany te nie pozostały obojętne dla branży rekrutującej, szczególnie biorąc pod uwagę fakt, że w procesie naboru często operujemy na szczególnych kategoriach danych, jak również nie do końca możemy mieć wpływ na zakres i rodzaj danych, które przekazuje nam kandydat. Po ponad pół roku obowiązywania nowych przepisów wciąż aktualna pozostaje potrzeba wsparcia rekrutujących w określeniu dozwolonych praktyk przetwarzania i ochrony danych. Naprzeciw powyższym problemom postanowili wyjść liderzy branży rekrutacyjnej – największy w Polsce serwis pracy Pracuj.pl oraz czołowy dostarczyciel narzędzia do rekrutacji – eRecruiter, którzy podjęli próbę opracowania pierwszego w kraju Kodeksu Ochrony Danych Osobowych w Rekrutacji za cel stawiając sobie zidentyfikowanie najistotniejszych problemów związanych z przetwarzaniem danych osobowych na etapie rekrutacji oraz określenie i sprecyzowanie dozwolonych ram w obrębie regulacji wprowadzonych przez RODO.  

W toku prac nad Kodeksem grupa robocza zdefiniowała 16 podstawowych modeli rekrutacyjnych powszechnie spotykanych na polskim rynku. Jak podkreślają sami autorzy w Kodeksie uwzględniono zarówno realia prowadzenia rekrutacji, jak również wykorzystywane nowoczesne metody, w tym profilowanie i biometrię. 

Rekrutacja, czyli tak naprawdę proces zachęcenia odpowiedniej liczby kandydatów do ubiegania się o wolne stanowisko pracy a następnie ich selekcja pod kątem wybranych cech wydaje się być jednym z najprostszych elementów zarządzania zasobami ludzkimi w ramach funkcjonowania organizacji. Pracodawca dysponujący wolnym etatem ogłasza nabór, a zainteresowany kandydat wyraża chęć współpracy poprzez złożenie aplikacji rekrutacyjnej. Nic bardziej mylnego. W rzeczywistości rekrutacja wcale nie musi zakończyć się zatrudnieniem Kandydata, a sam proces może dotyczyć budowania zbioru potencjalnych pracowników, przygotowań do zawarcia umowy, jak również badania satysfakcji z procesu rekrutacji (tzw. candidate experience). Co więcej, obecnie rynek dostarcza wielu narzędzi i rozwiązań wspomagających ten proces, które bezpośrednio determinują podstawy prawne przetwarzania danych. Zarówno pracodawca, jak i pracownik mogą korzystać z internetowych serwisów ułatwiających aplikacje, Agencji Doradztwa Personalnego czy Agencji Pracy Tymczasowej. Sam proces poszukiwań i naboru może odbywać się wewnątrz danej firmy lub w obrębie grupy przedsiębiorstw nazywanych podmiotami powiązanymi. Może dotyczyć pracy w kraju lub poza jego granicami, zatrudnienia obywatela państwa członkowskiego Unii Europejskiej lub osób spoza jej obszarów. Kandydat może zgłosić się sam lub może zostać polecony. Wszystkie te możliwości uwzględniono i przeanalizowano w omawianym Kodeksie branżowym, wskazując równocześnie odpowiednie podstawy prawne oraz główne zagrożenia stosowania każdego z dostępnych rozwiązań rekrutacyjnych. 

Przyjrzyjmy się zatem szczegółowo jakie modele oraz zalecenia zaproponowała grupa robocza w poddanym do społecznych konsultacji Kodeksie Ochrony Danych Osobowych w Rekrutacji. 

Rekrutacja wewnętrzna

Proces rekrutacji ze względu na źródło pozyskania kandydatów powszechnie dzieli się na rekrutację wewnętrzną oraz zewnętrzną. W przypadku rekrutacji wewnętrznej pracodawca rozpatruje po prostu kandydatury zgłaszane przez swoich pracowników. W Kodeksie zaznaczono, że procesem można objąć jedynie tych pracowników, którzy wyrazili jednoznaczną chęć i zgodę do wzięcia udziału w rekrutacji, przy czym zgoda ta może być rozumiana jako świadome przystąpienie do rekrutacji (nie musi mieć ona formy pisemnej). Istotne jest również to, aby pracodawca zadbał, aby w procesie rekrutacji nie zostały wykorzystane dane nadmiarowe pracowników, charakterystyczne już dla procesu zatrudnienia. 

Rekrutacja zwykła oraz Rekrutacja – dostawca usług online, jako dwa podstawowe modele rekrutacji

Spośród zaproponowanych przez grupę roboczą modeli rekrutacji zewnętrznych, dwoma najbardziej popularnymi i wydaje się, że najczęściej stosowanymi i występującymi zazwyczaj równolegle są rekrutacja zwykła oraz rekrutacja prowadzona z pomocą zewnętrznego dostawcy online. Jak wygląda to w praktyce? 

Rekrutacja zwykła to nic innego jak proces prowadzony i koordynowany przez samego pracodawcę i jego pracowników, bez udziału podmiotów zewnętrznych. Pracodawca dysponujący wolnym stanowiskiem ogłasza za pośrednictwem własnej strony internetowej (najczęściej jest to odrębna zakładka typu Karieralub Praca u nas) nabór, decydując jednocześnie o celach, zakresie i sposobach przetwarzania danych. Jak podkreśla grupa robocza to właśnie cele pracodawcy oraz to, jak będzie postępował dalej ze zgormadzonymi danymi determinują podstawę prawną przetwarzania. Przykładowo, jeśli zakres danych obejmuje jedynie dane wskazane w Kodeksie pracy i zostaną one usunięte z chwilą zakończenia rekrutacji, pracodawca może przetwarzać je zgodnie z art. 6 ust. 1 lit. c RODO tj. przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Jeśli jednak będzie on chciał zachować informacje tworząc bazę kandydatów na potrzeby przyszłych naborów, niezbędna będzie dobrowolna zgoda kandydata (art. 6 ust. 1 lit. a RODO). Nasuwa się jednak pytanie, co w sytuacji, kiedy kandydat sam dostarczy nam większej niż wymagana liczby danych? Jest to sytuacja powszechna w momencie, kiedy w procesie rekrutacji składane są CV z założenia zawierające zdjęcie kandydata czy informacje o jego zainteresowaniach. W takim przypadku grupa robocza jednoznacznie wskazuje, że kandydat składając CV z własnej woli wyraził zgodę na przetwarzanie tychże danych (art. 6 ust. 1 lit. a RODO). 

Druga z form rekrutacji opiera się na współpracy pracodawcy z dostarczycielem usług online, czyli po prostu korzysta z powszechnie serwisów/aplikacji internetowych specjalizujących się w rekrutacji, dysponujących bazą potencjalnych kandydatów lub dostarczających narzędzi do efektywnego przeprowadzenia procesu (np. Pracuj.pl eRecruiter). W modelu tym dostawca usług pełni rolę tzw. podmiotu przetwarzającego dane, ponieważ o celach rekrutacji i zakresie danych decyduje sam pracodawca inicjujący rekrutację. W Kodeksie zwrócono uwagę, że bardzo często aplikując przez zewnętrzne serwisy internetowe kandydat proszony jest o przekazanie dodatkowych danych, umożliwiających jego identyfikację w systemie (np. adres e-mail) oraz zapewnienie bezpieczeństwa tych danych w dedykowanym do tego narzędziu, w związku z czym pracodawca już w ogłoszeniu powinien jasno poinformować zainteresowanych, że korzysta z usług zewnętrznego systemu lub aplikacji. Po spełnieniu tego warunku będzie mógł on przetwarzać dane w oparciu o swój prawnie uzasadniony interes, zgodnie z art. 6 ust. 1 lit. RODO. Co więcej, powinien on w umowie z dostawcą usług online zobowiązać go do obowiązkowego komunikowania jego roli podmiotu przetwarzającego dane. Głównym zagrożeniem, które dostrzega grupa robocze w tym modelu jest możliwość wykorzystania przez dostawcę danych osobowych kandydatów do własnych celów bez podstawy prawnej. 

Udział pomiotów zewnętrznych w rekrutacji – Agencja Doradztwa Personalnego i Agencja Pracy Tymczasowej

Pracodawcy poszukując kandydatów na wybrane stanowisko dla większej efektywności procesu korzystają nie tylko z pomocy zewnętrznego dostawcy usług online, ale również podmiotów świadczących pomoc w zakresie pośrednictwa pracy i doradztwa personalnego – Agencji Doradztwa Personalnego (ADP) czy Agencji Pracy Tymczasowej (APT). Agencje te w procesie rekrutacji mogą występować w roli administratora lub podmiotu przetwarzającego dane, przy czym o ich roli decyduje to, kto wyznacza cele, zakres i sposoby przetwarzania danych. W sytuacji, kiedy ADP lub APT udostępniają zainteresowanemu pracodawcy dane kandydatów z uprzednio przez nich zbudowanej bazy mamy do czynienia z dwoma administratorami danych – Agencją oraz pracodawcą. Podmioty te mają bowiem różne cele przetwarzania, jak również inny jest zakres potrzebnych im danych. Będąc administratorem danych Agencja ocenia, które dane osobowe są istotne dla konkretnej rekrutacji i które przekaże pracodawcy, które z danych będzie przechowywać, jak również sprawuje kontrolę nad środkami technicznymi i organizacyjnymi wykorzystywanymi do zabezpieczenia swoich baz. To ona również decyduje o kanałach, za pomocą których publikuje ogłoszenia o pracę. W momencie jednak, kiedy to pracodawca inicjując rekrutację zleca ADP znalezienie kandydatów o określonych cechach i tożsamości, Agencja stają się wówczas procesorem tych danych, wykonując jedynie instrukcje zleceniodawcy. Trochę inaczej wygląda to w przypadku Agencji Pracy Tymczasowej, która procesorem jest wówczas, gdy to pracodawca sam poszukuje pracownika, a ona stanowi jedynie stronę w zawieranej z kandydatem umowie o pracę (pracownik formalnie zostaje zatrudniony przez APT). W Kodeksie jednoznacznie podkreślono, że dla zachowania zgodności z prawem, Agencje działające na polecenie pracodawcy nie powinny zbierać danych ponad te wymagane przez zleceniodawcę, a jeśli chcą zasilić swoją bazę o dane zrekrutowanych kandydatów powinny uzyskać odrębną zgodę od osób składających aplikację. 

Skierowanie pracownika do pracy poza siedzibą, czyli model Rekrutacja – praca delegowana na terenie UE oraz Pracodawca outsourcujący – Odbiorca usług outsourcingu, 

A co w sytuacji, kiedy pracodawca prowadzący rekrutację od samego początku zakłada, że zrekrutowana przez niego osoba po zawarciu umowy zostanie skierowana do pracy w siedzibie i na rzecz innego podmiotu tzw. odbiorcy usług? Jak powinno odbywać się to w praktyce i zgodnie z prawem? Otóż cechą charakterystyczną tego procesu jest wymiana danych osobowych kandydatów pomiędzy dwoma podmiotami na etapie rekrutacji, dlatego też już w ogłoszeniu należy jasno określić na jakich zasadach będzie odbywać się zatrudnienie oraz jakie dane podczas rekrutacji będą przekazywane pomiędzy podmiotami. Kiedy powyższy obowiązek zostanie spełniony podstawą prawną udostępniania danych będzie art. 6 ust. 1 lit f RODO – prawnie uzasadniony interes administratorów (pracodawcy outsourcującego i odbiorcy tych usług). W każdej innej sytuacji zaleca się rozważenie zbierania zgód od kandydatów. 

Inną z form rekrutacji, chociaż jej celem podobnie jak powyżej jest skierowanie pracownika do pracy poza siedzibą firmy jest model – praca delegowana na terenie Europy. Odbywa się ona zgodnie z przepisami Ustawy o pracy delegowanej, niemniej w obowiązku pracodawcy jest zweryfikowanie i udokumentowanie wymogów przepisów prawa lokalnego, a jeśli zakres wymaganych danych jest szerszy niż wynikający z przepisów krajowych powinien on poinformować kandydata, dlaczego dodatkowe informacje są od niego zbierane. Podstawą prawną takiego przetwarzania będzie wówczas uzasadniony interes pracodawcy inicjującego rekrutację (art. 6 ust. 1 lit. f RODO), a w przypadku zbierania szczególnych kategorii danych – przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonania szczególnych praw administrator lub osoby, której dane dotyczą (art. 9 ust. 2 lit. b RODO). 

Zatrudnienie osoby spoza Unii Europejskiej

Jeszcze inną, odrębną sytuacją jest, kiedy to pracodawca zamierza zatrudnić obcokrajowca, nieposiadającego obywatelstwa żadnego z państw członkowskich Unii Europejskiej. Wówczas podmiot ten musi uzyskać dla pracownika zgodę na wykonywanie pracy na terenie kraju, co bezpośrednio może wiązać się z konieczności pozyskania dodatkowych (nieprzewidzianych w Kodeksie pracy) informacji i zgodnie z przyjętą procedurą przekazania ich do właściwego organu administracyjnego. Działa on jednak w oparciu o art. 6 ust. 1 lit. c. RODO – przetwarzanie danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. 

Rekrutacja w ramach podmiotów powiązanych

Analizując projekt Kodeksu zauważymy, że grupa robocza szczególną uwagę poświęciła rekrutacji odbywającej się w ramach tzw. podmiotów powiązanych, definiując trzy modele rekrutacji, w których może dojść do współadministrowania, występowania dwóch administratorów lub administratora i procesorów danych. Jak to wygląda w praktyce? Ze współadministrowaniem mamy do czynienia wówczas, kiedy podmioty z grupy powiązanej prowadzą wspólną rekrutację, oba wyznaczają wspólne jednakowe cele i sposoby przetwarzania danych, a zwerbowany kandydat potencjalnie może stać się pracownikiem każdej z tych firm. W przypadku, kiedy jeden z podmiotów korzysta z zasobów personelu drugiego (typ rekrutacji zbliżony do rekrutacji wewnętrznej) mamy do czynienia z udostępnianiem danych pomiędzy dwoma administratorami – pierwszy to dotychczasowy pracodawca, drugi to podmiot inicjujący rekrutację. Obaj administratorzy mają inne cele, zakres oraz sposób przetwarzania danych jednak działają w oparciu o art. 6 ust. 1 lit. f RODO – uzasadniony interes każdego z nich. Ostatni z modeli wyodrębnionych w ramach grup powiązanych to model, w którym jeden z podmiotów (administratora danych) korzysta z pomocy, wiedzy i doświadczenia innych podmiotów z tej grupy (procesorów danych). Przedsiębiorstwa wspierające administratora nie zbierają samodzielnie danych jednak analizują je w celu wskazania potencjalnie najbardziej odpowiedniego kandydata. 

Rekrutacja z polecenia

W praktyce gospodarczej często mamy do czynienia z sytuacją, kiedy jeden z pracowników przekazuje CV osoby formalnie nie związanej z danym pracodawcą (rekrutacja z polecenia). Pojawiają się wówczas uzasadnione obawy pracodawcy czy, a jeśli tak to w oparciu o jaką podstawę prawną może on przetwarzać otrzymane dane. Grupa robocza zaleca, aby przedsiębiorstwa przezornie przygotowały się na taką sytuację np. poprzez opracowanie specjalnych formularzy zgód, które powinny być złożone wraz z dostarczonym CV. Stanowiłoby to formalny dowód na to, że osoba, której dane otrzymaliśmy przekazała je dobrowolnie i jest świadoma procesu, w którym uczestniczy. Dodatkowo, jeśli pracodawca zdecyduje się zatrzymać CV zobowiązany jest do niezwłocznego spełnienia obowiązku informacyjnego względem kandydata. 

Rekrutacja przyszła i nieplanowana

Na koniec warto jeszcze w kilku słowach poruszyć temat związany ze zbieraniem danych kandydatów w czasie, kiedy nie dysponujemy wolnym stanowiskiem. Powszechnie sytuacja taka nazywana jest rekrutacją przyszłą/spontaniczną oraz rekrutacją nieplanowaną. Czym różnią się te dwa modele? W przypadku rekrutacji przyszłej pracodawca świadomie gromadzi dane kandydatów w swojej bazie z założeniem wykorzystania ich w przyszłości. Proces ten może odbywać się jako element innej rekrutacji (wówczas niezbędna jest zgoda Kandydata na przechowywanie jego danych – art. 6 ust. 1 lit. a RODO) lub odrębnie jako bezpośredni proces budowania bazy kandydatów o czym podmiot jednoznacznie informuje w ogłoszeniu. Względem tego modelu rekrutacji grupa robocza wyraża poważne obawy co do poprawnego wywiązania się z obowiązku informacyjnego w przypadku gromadzenia danych nie pochodzących bezpośrednio od strony zainteresowanej czy też brakiem określenia czas usuwania danych, ponieważ proces może mieć charakter ciągły. Rekrutacja nieplanowana natomiast to taka, w której to sam kandydat z nadzieją na rozpatrzenie jego kandydatury, świadomie przekazuje swoje CV potencjalnemu pracodawcy w czasie, kiedy oficjalnie nie uruchomiono procesu poszukiwania i naboru. Pracodawca ma wówczas dwa wyjścia – po wstępnej weryfikacji może natychmiastowo usunąć otrzymaną aplikację, o czym nie musi informować kandydata lub ją zatrzymać spełniając jednocześnie obowiązek informacyjny względem osoby której dane dotyczą.  

Podsumowanie

Jak omówiono powyżej zasady jakimi powinniśmy kierować się w czasie poszukiwań i naboru nowych pracowników ściśle determinowane są przez charakter i zakres zbieranych danych, ilość podmiotów występujących w procesie i pełnione przez nich role, czy w końcu stosowane narzędzia i techniki rekrutacyjne. Wszystkie one i ich wzajemne powiązania nakładają konieczność podejścia do każdej z prowadzonych rekrutacji indywidualnie i z dużą ostrożnością. Mając powyższe na uwadze oraz uwzględniając zmiany w dotychczas obowiązujących przepisach prawa i trudności z ich prawidłową implementacją podjęto próbę opracowania Kodeksu Ochrony Danych Osobowych w Rekrutacji, którego nadrzędnym celem ma być wskazanie zasad postępowania w obszarze bezpiecznej i zgodnej z prawem rekrutacji. Przedstawione w artykule modele wciąż jednak stanowią tylko propozycję, dotychczas formalnie nie zaakceptowaną przez Prezesa Urzędu Ochrony Danych Osobowych. Zachęcamy zatem do wzięcia czynnego udziału w odbywających się konsultacjach społecznych, aby jego ostateczna wersja w najwyższym możliwym stopniu poruszała i wyjaśniała wszystkie zagadnienia pojawiające się w raz z prowadzeniem procesu poszukiwań i naboru.