Spis treści
CV w świetle RODO
Podczas procesu rekrutacji nieodzownym jego elementem jest przekazanie potencjalnemu pracodawcy własnego CV zawierającego szereg informacji o nas, w tym również nasz wizerunek. Niejednokrotnie katalog udostępnianych przez kandydata danych jest szerszy od tego zamieszczonego w przepisach KP. Ważne jest, by każdy kandydat wyraził zgodę na przetwarzanie jego danych przez pracodawcę w procesie rekrutacyjnym. Zgodnie bowiem z art. 6 ust 1 lit. a) rozporządzenia, przetwarzanie danych jest zgodne z prawem wyłącznie w przypadkach, gdy m.in. osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów. Najlepiej, jak zgoda taka będzie załączona do przesyłanego CV. Wynika to z faktu, że zgodnie z normą art. 7 ust 1 rozporządzenia, jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. Dlatego rzeczą naturalną jest preferowanie zgody udzielonej w formie pisemnej, dokumentowej czy elektronicznej (z kwalifikowanym podpisem elektronicznym), co ma znaczenie dla celów dowodowych.
Zgoda na przetwarzanie danych osobowych
Rozporządzenie wskazuje, że zgoda na przetwarzanie danych osobowych powinna być udzielona przede wszystkim przez osobę, której dane dotyczą, a także stanowić dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. (art. 4 pkt 11 rozporządzenia). Jeżeli oświadczenie o wyrażeniu zgody przygotowane jest przez pracodawcę, to powinien on pamiętać, by miało ono zrozumiałą i łatwo dostępną formę, było sformułowane jasnym i prostym językiem i nie zawierało nieuczciwych warunków. Może się zdarzyć, że kandydat nie zamieścił stosownej zgody na przetwarzanie danych osobowych. Milczenie równoznaczne jest z brakiem zgody. Nie trzeba podkreślać, że brak zgody kandydata na przetwarzanie danych osobowych będzie skutkować de facto pominięciem jego kandydatury w procesie rekrutacji. Dlatego może zdarzyć się tak, że rekruter wystąpi do takiego kandydata ze stosowanym zapytaniem. Jeżeli osoba, której dane dotyczą, ma wyrazić zgodę w odpowiedzi na zapytanie, zapytanie takie musi być jasne i zwięzłe.
Zgoda na przetwarzanie danych osobowych w kolejnym procesie rekrutacji na to samo lub inne stanowisko pracy
Z przepisów rozporządzenia wynika jednoznacznie, że zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia (pamiętajmy, że z uwagi na obowiązki dowodowe forma ustna nie jest zalecana). Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele. Jest to szczególne ważne w procesie rekrutacji, gdy rekrutacja odbywa się na dane, konkretne stanowisko. Osoba aplikująca musi więc złożyć dodatkowe oświadczenie woli, jeżeli chce, by jej kandydatura była brana pod uwagę także w innym procesie rekrutacyjnym, np. kolejnej rekrutacji na to samo bądź inne stanowisko w danej firmie.
Dobrowolność zgody na przetwarzanie danych osobowych
Ważnym aspektem zgody na przetwarzanie danych osobowych jest jej dobrowolność. Świadczy o tym m.in. fakt, że prawodawca wskazał tę cechę na pierwszym miejscu. Odwołując się do reguł wykładni językowej, dobrowolny oznacza wynikający z wolnej woli; działający bez przymusu (źródło: Słownik języka polskiego PWN). Powyższe znajduje potwierdzenie w dalszych przepisach rozporządzenia, gdzie prawodawca wskazał, że oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy (art. 7 ust 4 rozporządzenia). Wyrażenia zgody nie należy uznawać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji.
Konkretność zgody na przetwarzanie danych osobowych
Zgoda kandydata musi być konkretna. Co to oznacza? Rozporządzenie nie zawiera definicji normatywnej wskazanego pojęcia, stąd w pierwszej kolejności winno się odwołać do jego powszechnego znaczenia. I tak zgodnie ze Słownikiem języka polskiego PWN konkretny oznacza «istniejący realnie»; «precyzyjnie określony, rzeczowy»; «działający i rozumujący w sposób logiczny, praktyczny»; «duży, znaczny». Istotne będzie tutaj drugie z prezentowanych znaczeń. A zatem zgoda kandydata musi odnosić się do celu przetwarzania danych osobowych, a więc konkretnego procesu rekrutacyjnego. Zgodnie z art. 5 ust 1 lit b rozporządzenia, dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami.
Świadomość zgody na przetwarzanie danych osobowych
Zgoda musi być świadoma. Po raz kolejny w pierwszej kolejności zastosowanie znajdą dyrektywy wykładni językowej. Według Słownika języka polskiego PWN świadomy znaczy tyle, co «zdający sobie sprawę z czegoś»; «dobrze zorientowany w swojej dziedzinie i podejmujący przemyślane decyzje i działania»; «zaplanowany, celowy». Jak wynika z rozporządzenia, aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych.
Obowiązki informacyjne
Administrator danych musi dopełnić również obowiązków informacyjnych. Przede wszystkim musi określić cele, w których przetwarzanie danych będzie dokonywane. Oprócz tego rozporządzenie wymaga, by osoba udzielająca zgody znała tożsamość administratora. Ponadto powinien on poinformować aplikujących, że osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Jak wskazuje rozporządzenie w art. 7 ust. 3, osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę, zaś samo wycofanie zgody musi być równie łatwe jak jej wyrażenie. Na marginesie warto przypomnieć, że wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Kandydat powinien zostać także poinformowany, że przysługuje mu prawo dostępu do swoich danych oraz prawo ich sprostowania, usunięcia lub ograniczenia przetwarzania lub prawo do wniesienia sprzeciwu wobec przetwarzania. Podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą także innych informacje, takie jak chociażby okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu.
Podstawa prawna:
Art. 4 art. 5, art. 7, art. 11 rozporządzenia Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), Dz.U.UE.L.2016.119.1.
Art. 22 ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy (t.j. Dz.U. z 2018 r., poz. 917).
