Wciąż spotkać można na rozmaitych portalach ogłoszenia o pracę formułowane w następujący sposób: „Dla naszego klienta, lidera branży … poszukujemy kandydata na stanowisko …”. Nigdzie w ogłoszeniu nie pada nazwa potencjalnego pracodawcy, obsługą procesu rekrutacji zwykle zajmuje się pośrednik i jedynie jego dane zna (przynajmniej na wstępnym etapie rekrutacji) kandydat. Czy takie działanie jest zgodne z przepisami ustawy o ochronie danych osobowych?
Skąd wątpliwości?
Już na wstępie można oczywiście mieć zastrzeżenia do sytuacji, w której mamy wysyłać aplikację, zawierającą wiele ważnych informacji o nas, nie znając faktycznego odbiorcy tych danych. Dla większości osób składających podanie o pracę to, kto jest potencjalnym pracodawcą ma przecież istotne znaczenie. Nie chcielibyśmy na przykład, z dość oczywistych względów, wysłać podania o pracę do naszego aktualnego pracodawcy.
Taki model rekrutacji budzi jednak poważne wątpliwości co do zgodności z RODO. Ważnym, choć niejedynym, warunkiem legalnego przetwarzania danych osobowych (w tym ich zbierania) jest wypełnienie przez administratora tych danych obowiązku informacyjnego względem osób, których dane dotyczą. Jeżeli dane są zbierane bezpośrednio od osoby, której dotyczą, administrator musi wymagane przez RODO (wskazane m. in. w art. 13) informacje podać już podczas pozyskiwania tych danych. Istotny jest właśnie moment wykonania tego obowiązku. Zgodnie z tym przepisem, nie można go odłożyć „na później”. Osoba, której dane dotyczą już w momencie ich przekazania odbiorcy ma prawo być poinformowana m. in. o tożsamości odbiorcy, celach przetwarzania, ewentualnych innych odbiorcach danych i wielu innych kwestiach, których szczegółowo RODO wymaga. Dlatego też nie będzie prawidłowe wysłanie przez ukrytego pracodawcę ewentualnej informacji kandydatowi dopiero w odpowiedzi na wysłane przezeń dokumenty aplikacyjne.
Co na to UODO?
Opisywany tu problem dostrzegł już Prezes Urzędu Ochrony Danych Osobowych. Swoje stanowisko wyraził m. in. w poradniku Ochrona Danych Osobowych w Miejscu Pracy1, a także w opublikowanym niedawno sprawozdaniu z działalności w 2018 r.2, wskazując generalnie, że bez prawidłowego wykonania względem kandydata obowiązku informacyjnego nie można mówić o zgodnym z prawem przetwarzaniu danych osobowych.
UODO wskazał jednak, że remedium może być powierzenie procesu rekrutacji agencji zatrudnienia na takich warunkach, w których to agencja w pierwszym etapie tego procesu będzie pełniła zadania administratora danych osobowych (to na niej zatem będzie m. in. spoczywał obowiązek informacyjny), a dane zawarte w aplikacjach nie będą na tym etapie przekazywane do klienta – pracodawcy. Dopiero po dokonaniu przez agencję selekcji zgłoszeń, wybrani kandydaci zostaną poproszeni o zgodę na przekazanie ich danych klientowi (będzie on musiał już na tym etapie być ujawniony), a zatem do pracodawcy trafią dane osób, które wyraziły na to wyraźną zgodę. W takim przypadku oczywiście także na pracodawcy spoczywać będzie ciężar wykonania obowiązku informacyjnego.
1 https://uodo.gov.pl/pl/file/1469
2 https://www.uodo.gov.pl/pl/file/2356
