Dopuszczalność ogłoszenia naboru bez podania danych pracodawcy

Biorąc pod uwagę przepisy RODO należy przyjąć, iż pracodawca mógłby nie ujawniać w ogłoszeniu o naborze swoich danych wtedy, gdyby nie był ich administratorem, czyli gdyby zlecił nabór podmiotowi zewnętrznemu (podmiotowi przetwarzającemu), który przejmie od niego tę funkcję. Wtedy jednak to na tym podmiocie zewnętrznym spoczywał będzie obowiązek informacyjny, w tym przede wszystkim konieczność dostarczenia informacji o celu gromadzenia przez niego danych, którego z kolei elementem będą dane pracodawcy poszukującego pracownika.

Administrator ma obowiązek ujawniać informacje o sobie wszystkim osobom fizycznym, których dane przetwarza (art. 12 RODO). Informacja taka powinna być zwięzła, przejrzysta, zrozumiała, napisana w łatwo dostępnej formie, jasnym i prostym językiem oraz powinna wskazywać:

• tożsamość administratora,
   
• dane kontaktowe,
    
• gdy ma to zastosowanie, tożsamość i dane kontaktowe przedstawiciela (np. inspektora),
   
• cele oraz podstawę prawną przetwarzania.

Poza powyższymi, administrator danych osobowych musi także przekazać informacje o ewentualnych odbiorcach zebranych danych osobowych. Jeżeli zatem pracodawca zleciłby przeprowadzenie naboru pracowników firmie zewnętrznej, to firma ta jako administrator i tak będzie musiała poinformować zainteresowanych kandydatów o tym, że ich dane zostaną temu pracodawcy przekazane, bowiem musi przedstawić, w jakim celu je gromadzi (tu w celu przedstawienia pracodawcy zlecającemu rekrutację - art. 13 ust. 1 lit. e RODO).

Przepisy nakazujące administratorowi informowanie o odbiorcach danych osób fizycznych nie wskazują zakresu tych informacji, trudno jednak byłoby obronić tezę, że wystarczą informacje ogólnikowe (bez podania nazwy i danych kontaktowych). W opracowaniu pt. "Wytyczne w sprawie przejrzystości na podstawie rozporządzenia 2016/679", Grupa Robocza Art. 29 stwierdziła, że w praktyce odbiorca powinien zostać: "(...) wymieniony z nazwiska lub nazwy, tak aby osoby, których dane dotyczą, wiedziały dokładnie, kto jest w posiadaniu ich danych osobowych. Jeśli administrator zamierza przedstawić kategorie odbiorców, informacje powinny być w jak największym stopniu szczegółowe, tzn. należy wskazać rodzaj odbiorcy (np. poprzez odniesienie do działalności, którą prowadzi), branżę, sektor, podsektor oraz lokalizację odbiorcy (...).". Przyjąć zatem należy, że jeżeli pracodawca zleci nabór podmiotowi zewnętrznemu przekazując mu rolę administratora, to podmiot ten będzie zobowiązany wypełnić obowiązek informacyjny względem kandydatów, w tym między innymi podać dane pracodawcy.

Z inną sytuacją będziemy mieli do czynienia gdy zatrudniający jedynie skorzysta z dostarczanej przez jakiś podmiot możliwości publikacji ogłoszenia o naborze na prowadzonym przez ten podmiot serwisie. Sam fakt umieszczenia ogłoszenia o przeprowadzaniu rekrutacji na portalu internetowym nie spowoduje, że dostarczający takie usługi "przejmie" od pracodawcy (lub podmiotu zobowiązującego się do przeprowadzenia rekrutacji) rolę podmiotu rekrutującego (administratora danych). Po pierwsze dlatego, że w takiej sytuacji strony zwiążą się umową, której celem będzie publikacja ogłoszenia, a nie umową o przeprowadzenie rekrutacji. Po drugie, dane przesyłane przez kandydatów najprawdopodobniej w ogóle nie będą dostarczane podmiotowi prowadzącemu portal internetowy - w wyjątkowych sytuacjach portal ten może wygospodarować i dostarczyć miejsce na serwerze, gdzie będą przechowywane dane aplikujących, ale wtedy uzyska jedynie status podmiotu przetwarzającego, a nie administratora. Wtedy także pracodawca bezwzględnie, jako administrator, musi podać o sobie informacje.