UODO: Pracodawca nie może korzystać przy rekrutacji z informacji na Facebooku

Od 25 maja 2018 r. zaczęło obowiązywać w Polsce unijne Ogólne Rozporządzenie o Ochronie Danych Osobowych (RODO), które zastąpiło przepisy dotychczasowej ustawy o ochronie danych osobowych. Przepisy RODO, zwane także GDPR (General Data Protection Regulation) dotyczą wszystkich, którzy przetwarzają dane osobowe w związku z prowadzoną działalnością gospodarczą. Obejmują przede wszystkim firmy, które gromadzą i przetwarzają dane dotyczące osób fizycznych, a więc zarówno duże korporacje, jak na przykład firmy ubezpieczeniowe czy instytucje finansowe, ale także niewielkie rodzinne przedsiębiorstwa, jak sklep internetowy czy salon kosmetyczny.

Teraz Urząd Ochrony Danych Osobowych (UODO) – polska instytucja regulacyjna utworzona po wprowadzeniu RODO wydała poradnik dla firm dotyczący rekrutowania nowych pracowników oraz ograniczeń w tym zakresie wynikających z obowiązujących od maja unijnych przepisów.

Poradnik zatytułowany „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców” wyjaśnia jak przetwarzać dane osobowe zarówno podczas rekrutacji, jak i w ciągu całego okresu zatrudnienia. Nie ogranicza się jedynie do zatrudnienia na podstawie stosunku pracy. Traktuje również o innych, coraz popularniejszych formach zatrudniania, jak np. umowy cywilnoprawne.

„Ślepe” rekrutacje zakazane

Opublikowany przez UODO poradnik zajmuje się m.in. kwestią tego jakie dane może zbierać i przetwarzać pracodawca w procesie poszukiwania i rekrutacji nowych pracowników, a także jakich informacji firma musi udzielić potencjalnemu kandydatowi do pracy.

Według UODO pracodawca powinien przetwarzać tylko takie dane, które są niezbędne ze względu na cel ich zbierania, jakim jest podjęcie przez niego decyzji o zatrudnieniu nowego pracownika.

Innymi słowy, pracodawca nie może żądać od kandydata danych nadmiarowych, które nie są niezbędne do przeprowadzenia rekrutacji. Dane osobowe nie mogą być zbierane na zapas, „na wszelki wypadek”, tj. bez wykazania zgodnego z prawem celu ich pozyskania i wykazania ich niezbędności dla realizacji tego celu przez administratora.

Ponadto, żądanie przez pracodawcę od kandydatów do pracy informacji wykraczających poza to, co przede wszystkim przewidują przepisy prawa pracy może naruszać zarówno postanowienia RODO, jak i przepisy prawa pracy rodząc np. zarzut dyskryminacji.

Regulator zaznacza w poradniku, że podczas poszukiwania pracowników za pośrednictwem internetu niedopuszczalne są w myśl RODO tzw. rekrutacje „ślepe” bądź „ukryte”.

- Motywy pracodawców decydujących się na ich przeprowadzenie są różne – od chęci utajnienia rekrutacji przed pracownikiem, którego mają zamiar zwolnić (najczęściej, gdy zatrudniony jest na samodzielnym stanowisku, np. głównego księgowego), po chęć gromadzenia bazy kandydatów niejako „na zapas” - tłumaczy UODO. - Do przeprowadzenia rekrutacji „ukrytej” wykorzystywane są zazwyczaj portale internetowe, które pośredniczą w rekrutacji udostępniając narzędzie wykorzystywane do publikowania ogłoszeń. Takiego typu rekrutacji nie można uznać za zgodną z przepisami o ochronie danych osobowych, ponieważ kandydat do pracy nie posiada wiedzy, jaki podmiot zbiera jego dane osobowe i wobec jakiego podmiotu może realizować swoje prawa. O prawidłowym wykonaniu obowiązku informacyjnego nie możemy mówić również w sytuacji, gdy klauzula informacyjna zostanie wysłana przez potencjalnego pracodawcę w odpowiedzi na otrzymaną aplikację, ponieważ obowiązek poinformowania m.in. o tożsamości pracodawcy powinien być realizowany przez niego na etapie zbierania danych osobowych, a nie na etapie ich utrwalania.

Gromadzenie danych z Facebooka niezgodne z RODO

Poradnik UODO wyjaśnia także, że niedopuszczalne jest pozyskiwanie przez potencjalnego pracodawcę informacji o kandydacie na pracownika od jego poprzedniego pracodawcy, jeśli nie posiada on na to zgody kandydata.

- Należy też pamiętać, że złożenie przez kandydata do pracy tzw. referencji nie uprawnia pracodawcy do kontaktu z podmiotem je wystawiającym w celu pozyskania dodatkowych informacji o kandydacie – zastrzega regulator. - Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą. Potencjalny pracodawca nie może tym samym zwrócić się do poprzedniego pracodawcy o informację, jakie zadania realizował kandydat u tego podmiotu oraz jaką ma opinię o kandydacie do pracy. Podczas procesu rekrutacyjnego źródłem informacji, które dotyczą przebiegu pracy zawodowej, powinien być sam kandydat.

Podobne ograniczenia występują także w wypadku sprawdzania wykształcenia deklarowanego przez kandydata do pracy w procesie rekrutacji.

- Potwierdzanie prawdziwości dyplomu ukończenia studiów wyższych, jak i innych danych zawartych w dokumentach przedkładanych przez kandydata w toku rekrutacji, poprzez kierowanie zapytań do podmiotów, które wydały te dokumenty jest niedopuszczalne – ocenia UODO. - Polski prawodawca co zasady nie przewiduje w przepisach krajowych uprawnienia pracodawcy do występowania do innych podmiotów w celu potwierdzenia lub sprawdzenia prawdziwości dokumentów i danych w nich zawartych przedłożonych przez kandydatów w toku rekrutacji.

Okazuje się także, że potencjalny pracodawca starając się o nowych pracowników nie może pozyskiwać informacji na ich temat z serwisów społecznościowych, takich jak Facebook czy Twitter.

- Co do zasady niedopuszczalne jest gromadzenie przez pracodawców i agencje rekrutacyjne informacji zamieszczanych przez kandydatów do pracy na swój temat w mediach społecznościowych i innych ogólnodostępnych źródłach – zaznacza UODO. - Co prawda rozwój społeczeństwa informacyjnego pozwala na „budowanie” przez potencjalnych kandydatów do pracy swojego wizerunku w sieci, również w oczach przyszłego pracodawcy, poprzez zamieszczane w Internecie różnych informacji na swój temat, ale nie oznacza to, że informacje te mogą zostać wykorzystane w procesie rekrutacyjnym. Należy również pamiętać, że takie działanie potencjalnie może mieć negatywny wpływ na ocenę kandydata do pracy i prowadzić do profilowania go na podstawie dostępnych w Internecie danych – wyjaśnia regulator.

Z kolei kontaktowanie się pracodawcy z kandydatem do pracy w toku rekrutacji za pośrednictwem wyspecjalizowanych platform, takich jak np. LinkedIn jest w świetle przepisów dopuszczalne, ale po pewnymi warunkami.

- Jeżeli możliwość korzystania z takiego portalu będzie wiązała się z obowiązkiem podania danych, a może tak być, bo żeby założyć konto i aby dane z tego konta mogły być udostępniane potencjalnym pracodawcom, to portal musi mieć do tego podstawy prawne – podkreśla UODO. - Przepisem umożliwiającym pozyskiwanie, gromadzenie, udostępnianie danych użytkowników (kandydatów) do pracy, będzie zgoda osoby, której dane dotyczą czy też/lub potrzeba wykonania umowy (ewentualnie podjęcie działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy). Inną kwestią natomiast będzie możliwość kontaktowania się (przetwarzania danych w związku z tym) przez pracodawcę z kandydatem w innej formie np. mailowej (poza portalem, na którym doszło do kontaktu) – tłumaczy regulator.