Ograniczenie danych pobieranych od kandydata na pracownika

W myśl RODO, administrator, czyli podmiot, który ustala sposoby i cele przetwarzania przez siebie informacji, ma obowiązek postępować zgodnie z zasadami przedstawionymi w art. 5 RODO. Dotyczy to także zatrudniającego, który organizuje nabór pracowników na konkretne stanowiska pracy. W takiej sytuacji celem pozyskiwania informacji osobowych jest oczywiście "rekrutacja", w związku z czym, przed podjęciem jakichkolwiek czynności z tym związanych, pracodawca powinien odpowiedzieć sobie na kilka pytań, a mianowicie:

1. Jakie dane są niezbędne dla rekrutacji (zasada minimalizacji danych)?

2. Jaka jest podstawa prawna zbierania takich danych (dane muszą być gromadzone zgodnie z prawem)?

3. W jaki sposób będzie je zabezpieczał?

4. Czy będzie podejmował w przedstawionym celu współpracę z firmami zewnętrznymi (pozyskiwanie danych od podmiotu zewnętrznego, przekazywanie na zewnątrz)?

5. Co zrobi z zebranymi danymi, które okażą się zbędne (w zależności od etapu realizacji postępowania) i jak długo będzie je przechowywał?

Przepis art. 5 ust. 1 lit. c oraz motyw 156 preambuły RODO stanowi o ograniczaniu gromadzonych informacji do koniecznego minimum, co oznacza, że pozyskiwać należy tylko te, które są nieodzowne dla wyznaczonego celu. W przypadku rekrutacji, wskazówką co do zakresu niezbędnych informacji jest katalog zawarty w przepisach prawa pracy (art. 22¹ K.p.). Nie warto go bez wyraźnej podstawy prawnej bądź potrzeby rozszerzać o inne pozycje, bowiem im mniejszą ilością danych zatrudniający będzie dysponował, tym mniejsze wystąpią straty w razie ich nieuprawnionego wydostania się na zewnątrz i tym mniejsze konsekwencje będzie ponosił.

Z obecnego brzmienia art. 22¹ § 1 K.p. wynika, że pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych takich jak:

• imię (imiona) i nazwisko,
   
• data urodzenia,
   
• dane kontaktowe wskazane przez taką osobę,
   
• wykształcenie,
   
• kwalifikacje zawodowe,
   
• przebieg dotychczasowego zatrudnienia.

Przepis ten stanowi legalną podstawę przetwarzania informacji o kandydacie, choć w przypadku trzech ostatnich pozycji jest to reglamentowane (art. 22¹ § 2 K.p.).

Co do pozostałych danych, nieumieszczonych w katalogu omawianego przepisu, dla ich pozyskania niezbędne jest istnienie po stronie pracodawcy stosownego uprawnienia bądź konieczność wypełnienia spoczywającego na nim obowiązku albo zgoda rekrutowanego. Zapytanie o nią musi być przedstawione w zrozumiałej i łatwo przystępnej formie (art. 7 ust. 2 RODO). Powinna ona zostać wyrażona w sposób dobrowolny, konkretny, jednoznaczny (art. 4 pkt 11 RODO) oraz nastąpić poprzez złożenie oświadczenia lub wyraźne działanie (np. przy wypełnianiu papierowego kwestionariusza czy formularza online). Szczegółowe wymagania dla takiej deklaracji zostały opisane w motywach 32, 42, 43 preambuły RODO. Kwestia innych danych kandydata niż wskazane w art. 22¹ § 1 K.p. została znormalizowana także w art. 22^1a K.p. oraz art. 22^1b K.p. Ten drugi stanowi, że przekazanie danych należących do grupy danych szczególnej kategorii, tj. ujawniających między innymi:

• pochodzenie rasowe lub etniczne,
   
• poglądy polityczne,
   
• przekonania religijne lub światopoglądowe,
   
• przynależność do związków zawodowych,

jak również przetwarzanie danych: genetycznych, biometrycznych dotyczących zdrowia, seksualności lub orientacji seksualnej może nastąpić wyłącznie z inicjatywy osoby ubiegającej się o zatrudnienie (art. 22^1b § 1 K.p.).