W trakcie szukania nowego zajęcia normą jest wysyłanie swojego CV do kilkunastu, a nierzadko do kilkudziesięciu firm. Kandydaci raczej nie zastanawiają się wtedy nad kwestią ochrony danych osobowych. A warto wiedzieć, jakie związane są z tym prawa i obowiązki.

Podejście firmy oferującej pracę do kwestii danych osobowych wiele mówi o jej profesjonalizmie. Dlatego dobrze zwracać na to uwagę. Niestety bywa też tak, że ogłoszenie o pracę jest fałszywe i służy jedynie wyłudzeniu danych.

Dane osobowe, o które może poprosić pracodawca 

Ilość i rodzaj danych osobowych podawanych w trakcie rekrutacji nie zależy od woli pracodawcy, lecz od przepisów Kodeksu pracy. Dane, które musi przekazać kandydat, to:

• imienia (imion) i nazwiska,
• daty urodzenia,
• danych kontaktowych wskazanych przez taką osobę,
• wykształcenia,
• kwalifikacji zawodowych,
• przebiegu dotychczasowego zatrudnienia.

W odniesieniu do pracownika już zatrudnionego pracodawca może żądać dodatkowo numeru PESEL oraz danych osobowych koniecznych do korzystania przez niego ze szczególnych uprawnień przewidzianych w prawie pracy. Obowiązek podania danych osobowych innych niż wymienione może wynikać z przepisów szczególnych (np. gdy wykonywanie danej pracy zależy od posiadania odpowiednich uprawnień, certyfikatów itp.).

Pracodawca ma prawo więc żądać podania jedynie takich danych, na jakie zezwala mu prawo albo takich, których podanie jest obowiązkowe na mocy przepisów szczególnych. Nie oznacza to, że nie wolno umieszczać w CV dodatkowych danych, np. zdjęcia, posiadanych umiejętności lub zainteresowań. Jeżeli jednak kandydat nie chce ich podawać, nie może zmniejszać to jego szans na zatrudnienie. Gdyby pracodawca przychylniej oceniał życiorysy wzbogacone o dodatkowe dane, mogłoby to stanowić dyskryminację (CZYTAJ WIĘCEJ: Jak znaleźć dobrą pracę zaraz po studiach?).

Obowiązek informacyjny pracodawcy

Potencjalny pracodawca farmaceuty szukającego nowej pracy będzie Administratorem jego danych osobowych, które zostaną zawarte w CV. Jeżeli pracodawca umieszcza publiczne ogłoszenie o pracę (w Internecie, w prasie, na słupie ogłoszeniowym), to tym samym przedstawia żądanie podania danych osobowych (CZYTAJ WIĘCEJ: Jak bezpiecznie znaleźć pracę?). W związku z tym powinien wypełnić tzw. obowiązek informacyjny.

Reguluje go art. 13 unijnego rozporządzenia o ochronie danych osobowych (RODO). Na mocy tego przepisu pracodawca musi podać:

1. swoje dane identyfikacyjne (imię i nazwisko osoby fizycznej/firmę osoby prawnej, a także adres siedziby, numer wpisu do KRS, numer NIP) oraz dane kontaktowe (adres do korespondencji, adres e-mail, numer telefonu);
2. dane kontaktowe Inspektora Ochrony Danych (jeżeli go wyznaczył);
3. dane osobowe, których podania wymaga od kandydata;
4. cele przetwarzania danych osobowych – w omawianym przypadku będzie nim aktualna rekrutacja lub także przyszłe; pracodawcy nie wolno przetwarzać danych osobowych w celach innych niż te, w których je zebrał;
5. prawną podstawę przetwarzania – w przypadku danych wymienionych w Kodeksie pracy taką podstawą będą przepisy kodeksu; pracodawca może zamieścić w ogłoszeniu informację, że kandydat może dobrowolnie podać także inne dane osobowe, wtedy podstawą przetwarzania jest zgoda; pracodawcy nie wolno przetwarzać danych osobowych bez podstawy prawnej;
6. informację o odbiorcach danych osobowych, jeżeli tacy istnieją – ma to zastosowanie, gdy do podanych przez kandydata danych osobowych mają dostęp podmioty inne niż Administrator;
7. informację, czy dane osobowe kandydata są przekazywane do państwa trzeciego lub są wykorzystywane do zautomatyzowanego podejmowania decyzji, w tym profilowania;
8. okres przetwarzania danych osobowych – najczęściej będzie to okres aktualnej rekrutacji, a jeżeli pracodawca będzie chciał wykorzystać CV także w przyszłości – inny termin; pracodawcy nie wolno przetwarzać danych osobowych, jeśli okres ich przetwarzania upłynął (np. rekrutacja została zakończona);
9. informację o prawie kandydata do dostępu do swoich danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
10. informację o prawie do cofnięcia zgody na przetwarzanie danych osobowych w dowolnym momencie;
11. informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym albo warunkiem zawarcia umowy oraz czy kandydat musi je podać i jakie są ewentualne konsekwencje, gdy ich nie poda – pracodawca ma prawo żądać od kandydata danych określonych w Kodeksie pracy i przepisach szczególnych oraz może uzależnić zawarcie umowy o pracę od ich podania;
12. informację o prawie wniesienia skargi do organu nadzorczego – w Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych, PUODO.

Pracodawca, który ma świadomość tych obowiązków, powinien umieścić w ofercie pracy wszystkie powyższe elementy lub przesłać je niezwłocznie po otrzymaniu CV. Jeśli nie spełni któregokolwiek z tych punktów, warto się zastanowić, czy odpowiadać na takie ogłoszenie. A już na pewno trzeba unikać anonimowych ogłoszeń (np. z podanym jedynie numerem telefonu czy adresem e-mail). Wówczas to prawie pewne, że takie ogłoszenie może służyć do wyłudzania danych osobowych.

Prawa do zarządzania danymi

Gdy kandydat wysyła pracodawcy CV zawierające dane osobowe, zachowuje nad nimi kontrolę i może decydować, co się z nimi dzieje. Czym charakteryzują się przysługujące mu prawa?

Prawo dostępu do danych umożliwia kandydatowi żądanie od pracodawcy informacji, jakie jego dane przetwarza. Może to być przydatne np. gdy wysyła się dużo różnych CV i nie można ustalić, jakie dane trafiły do konkretnego podmiotu.

Podczas pisania życiorysu może zdarzyć się błąd w zapisie danych osobowy (np. nieprawidłowa data urodzenia, błędny okres poprzedniego zatrudnienia), który możemy sprostować dzięki prawu do poprawiania danych osobowych.

Prawo do usunięcia danych osobowych najczęściej przysługuje, kiedy pracodawca mimo zakończonej rekrutacji nadal przetwarza dane osobowe kandydata bez uzyskania zgody. W przypadku danych osobowych, które pracodawca przetwarza na podstawie zgody (np. wizerunku na zdjęciu), przysługuje prawo do jej cofnięcia w dowolnym momencie.

Ponadto można skorzystać także z prawa do ograniczenia przetwarzania, prawa do wniesienia sprzeciwu lub prawa do przeniesienia danych do innego podmiotu. To pierwsze prawo dotyczy sytuacji, gdy przetwarzanie jest „zamrażane” na określony czas i w prawnie określonym celu, np. na czas ustalenia prawidłowości danych. Prawo do wniesienia sprzeciwu przysługuje, jeżeli kandydat wybrał inną ofertę. Z resztą pracodawca i tak powinien usunąć dane po zakończeniu rekrutacji, z własnej inicjatywy lub na żądanie kandydata. Prawa te z pewnością będzie można wykorzystać, gdy otrzymamy pracę u przyszłego pracodawcy.

Zgoda na przetwarzanie danych osobowych

Aby pracodawca nie musiał wczytywać się w CV i oceniać podstawy przetwarzania każdej kategorii danych osobowych z osobna, najlepiej objąć je zbiorczą zgodą na przetwarzanie danych osobowych w celu przeprowadzenia aktualnej rekrutacji lub także przyszłych. Dobrze jest umieścić taką zgodę na każdej stronie życiorysu, np. w stopce.

Klauzule dotyczące przetwarzania danych osobowych stały się powszechne jeszcze przed nastaniem RODO. Klauzula powinna składać się z elementów, takich jak:

1. jednoznaczne oświadczenie wyrażające zgodę, np. „udzielam zgody”, „zgadzam się”;
2. informacja, jakiemu podmiotowi udzielamy zgody na oznaczenie danych osobowych, na których przetwarzanie się zgadzamy, np. „danych umieszczonych w CV i/lub w dołączonych dokumentach”;
3. oznaczenie celu przetwarzania, np. „rekrutacji” albo „obecnie prowadzonej, a także przyszłych rekrutacji”;
4. oznaczenie stanowiska, na które aplikujemy – to bardzo ważne, gdy pracodawca prowadzi kilka rekrutacji jednocześnie. Jeżeli aplikujemy na stanowisko A, pracodawca nie może wykorzystać naszego CV w rekrutacji na stanowisko B.

Poniżej przykładowa klauzula:

Udzielam zgody na przetwarzanie przez [dane pracodawcy] moich danych osobowych umieszczonych w CV i/lub dołączonych do niego dokumentach w celu przeprowadzenia rekrutacji na stanowisko [nazwa stanowiska].

Opcjonalnie można dodać:

Ponadto udzielam zgody na przetwarzanie wspomnianych wyżej danych osobowych także w celach rekrutacji przeprowadzanych przez [dane pracodawcy] w przyszłości (lub przez czas określony).

Zgoda może być też niejako domniemana, ponieważ nie ma wymogu formy, w jakiej ma być udzielona. Można więc uznać, że samo wysłanie CV w związku z konkretnym stanowiskiem jest wyrażeniem opisywanej zgody. Należy pamiętaj, żeby nie wysyłać danych wrażliwych (dane szczególnej kategorii) dotyczących np. stanu zdrowia lub poglądów politycznych.

Źródło: Szczudło A., Cichoń K., "CV a RODO, czyli jak chronić dane osobowe, poszukując pracy", MGR.FARM NR 5/2018(21) str. 32-35