Dopuszczalność ogłoszenia naboru bez podania danych pracodawcy

Rozporządzenie unijne RODO ma wpływ na podejmowanie przez pracodawcę wszelkich działań, także tych, związanych z przeprowadzaniem rekrutacji. Na podstawie jego przepisów należy przyjąć, że pracodawca mógłby nie ujawniać w ogłoszeniu o naborze swoich danych jedynie wtedy, gdyby nie był ich administratorem, czyli gdy nabór zleci podmiotowi zewnętrznemu, który przejmie od niego tę funkcję. Za administratora danych nie może natomiast zostać uznany przedsiębiorca, który jedynie dostarcza możliwość umieszczenia ogłoszenia na prowadzonych przez siebie stronach internetowych (portalach pracy).

Podstawowe reguły przetwarzania wymagają, żeby dane były:

• przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty,
• zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach, nieprzetwarzane dalej w sposób niezgodny z tymi celami,
• adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, prawidłowe i w razie potrzeby uaktualniane,
• przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne,
• przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo.

Podmiot przetwarzający nie tylko ma obowiązek przestrzegać powyższych zasad, ale także powinien być w stanie wykazać, że to czyni. Dodatkowo RODO wymaga od niego, jako administratora, aby informował osoby, których dane przetwarza o ich odbiorcy, a zatem o tym, kto jeszcze oprócz niego będzie z nich korzystał (art. 12 RODO). Informacja taka powinna być zwięzła, przejrzysta, zrozumiała, napisana w łatwo dostępnej formie, jasnym i prostym językiem oraz powinna wskazywać:

• tożsamość administratora,
• dane kontaktowe administratora,
• gdy ma to zastosowanie, tożsamość i dane kontaktowe przedstawiciela (np. inspektora),
• cele oraz podstawę prawną przetwarzania.

Poza powyższymi, administrator danych osobowych musi także przekazać informacje o ewentualnych odbiorcach zebranych danych osobowych. Jeżeli zatem pracodawca zleciłby przeprowadzenie naboru pracowników firmie zewnętrznej, to firma ta i tak będzie musiała poinformować zainteresowanych kandydatów o tym, że ich dane zostaną przekazane innemu podmiotowi (tu pracodawcy zlecającemu rekrutację - art. 13 ust. 1 lit. e RODO).

Przepisy nakazujące administratorowi informowanie o odbiorcach danych osób fizycznych nie wskazują zakresu tych informacji, trudno jednak byłoby obronić tezę, że wystarczą informacje ogólnikowe (bez podania nazwy i danych kontaktowych). W opracowaniu pt. "Wytyczne w sprawie przejrzystości na podstawie rozporządzenia 2016/679", Grupa Robocza Art. 29 (GR29) stwierdziła, że w praktyce odbiorca powinien zostać: "(...) wymieniony z nazwiska lub nazwy, tak aby osoby, których dane dotyczą, wiedziały dokładnie, kto jest w posiadaniu ich danych osobowych. Jeśli administrator zamierza przedstawić kategorie odbiorców, informacje powinny być w jak największym stopniu szczegółowe, tzn. należy wskazać rodzaj odbiorcy (np. poprzez odniesienie do działalności, którą prowadzi), branżę, sektor, podsektor oraz lokalizację odbiorcy (...).".

Przyjąć zatem należy, że jeżeli pracodawca zleci nabór podmiotowi zewnętrznemu, to podmiot ten, jako administrator, będzie zobowiązany wypełnić obowiązek informacyjny względem kandydatów, w tym między innymi podać dane pracodawcy.

Sam fakt umieszczenia ogłoszenia na portalu internetowym nie spowoduje, że podmiot dostarczający usługi umożliwiające publikację ogłoszenia "przejmie" od pracodawcy (lub podmiotu zobowiązującego się do przeprowadzenia rekrutacji) rolę podmiotu rekrutującego. Po pierwsze dlatego, że strony zostaną związane umową, której celem będzie publikacja ogłoszenia, a nie umową o przeprowadzenie rekrutacji. Po drugie, dane przesyłane przez kandydatów najprawdopodobniej w ogóle nie będą dostarczane podmiotowi prowadzącemu portal internetowy - w wyjątkowych sytuacjach portal ten może wygospodarować i dostarczyć miejsce na serwerze, gdzie będą przechowywane dane aplikujących, ale wtedy uzyska jedynie status podmiotu przetwarzającego, a nie administratora.

Uwaga! Nieprzedstawienie wymaganych informacji stanowi podstawę ukarania za nieprzestrzeganie przepisów RODO (art. 83 ust. 5 RODO).