Od klauzuli w CV do rozmowy z algorytmem, czyli RODO w rekrutacji

Pracodawca często wychodzi z założenia, że im więcej wie o osobie aplikującej do pracy, tym lepiej. Nic w tym dziwnego – w końcu chce jak najlepiej ocenić, czy to właśnie Ty jesteś osobą, której szuka. Czasem jednak informacje, o które prosi, głęboko wkraczają w prywatność i intymność. Gdzie postawić granicę? Czy pracodawca może zapytać o to, czy planujesz w najbliższym czasie mieć dzieci, albo sprawdzić, co publikujesz na Facebooku i jak spędzasz wolny czas? I czy na tej podstawie może podjąć decyzję, czy Cię zatrudnić, czy nie? W tym artykule postaramy się odpowiedzieć na te i inne pytania związane z ochroną danych w rekrutacji.

Polecamy: RODO na tacy. Sezon II: Subiektywny przegląd (złych i dobrych) praktyk

O co może zapytać pracodawca?

Zasadniczo możemy wyróżnić trzy źródła danych, z których pracodawca może chcieć czerpać interesujące go informacje na Twój temat:

• Twoje CV lub inne dokumenty rekrutacyjne (np. list motywacyjny, referencje);
• rozmowa rekrutacyjna;
• inne źródła (np. portale społecznościowe typu LinkedIn, Facebook czy byli pracodawcy).

Zacznijmy od danych, które podajesz pracodawcy w dokumentach rekrutacyjnych. Katalog danych, których może od Ciebie zażądać, wyczerpująco reguluje kodeks pracy. Poza podstawowymi informacjami, takimi jak imię i nazwisko, data urodzenia czy dane kontaktowe, pracodawca może żądać wyłącznie informacji o wykształceniu, kwalifikacjach zawodowych i doświadczeniu. W praktyce odmowa podania tych danych może się wiązać z odrzuceniem aplikacji.

Jeśli chcesz podać w CV lub innych dokumentach dodatkowe informacje, np. załączyć zdjęcie, rekomendację z poprzedniej pracy czy opisać swoje zainteresowania i aktywności niekoniecznie związane z doświadczeniem zawodowym, nic nie stoi temu na przeszkodzie. Pracodawca może wręcz wprost Cię o nie poprosić, jednak nie może uzależniać przyjęcia Twojej aplikacji od ich podania. Innymi słowy: do przetwarzania dodatkowych informacji na Twój temat potrzebna jest Twoja zgoda. Jej nieudzielenie nie może się dla Ciebie wiązać z niekorzystnym traktowaniem ani negatywnymi konsekwencjami, np. odmową zatrudnienia. Choć w praktyce nie zawsze będziesz w stanie zweryfikować przyczynę odrzucenia Twojej kandydatury, to warto o tym pamiętać.

Pracodawca nie może uzależniać przyjęcia Twojego CV od podania innych danych niż te przewidziane w kodeksie pracy.

Drugim źródłem informacji na Twój temat jest rozmowa rekrutacyjna. Podczas rozmowy pracodawca może poprosić o doprecyzowanie informacji zamieszczonych w CV. Bardzo często ocenia też Twoje umiejętności, sposób komunikacji czy daje do rozwiązania praktyczne zadania. To, jakich informacji może od Ciebie oczekiwać, wygląda tak jak w przypadku dokumentów rekrutacyjnych: może żądać odpowiedzi na szczegółowe pytania o wykształcenie, kwalifikacje i dotychczasowe doświadczenia zawodowe. Odmowa udzielenia odpowiedzi na inne pytania nie może być podstawą odrzucenia Twojej kandydatury. Sytuacja wygląda inaczej w przypadku danych wrażliwych – pracodawca może zapoznać się z informacjami o Twoim stanie zdrowia, planach prokreacyjnych czy światopoglądzie tylko wtedy, gdy przekażesz mu te informacje z własnej inicjatywy, co oznacza, że nie może nawet o nie zapytać. Również przewidziane w kodeksie pracy przepisy antydyskryminacyjne chronią Cię przed nierównym traktowaniem, np. ze względu na płeć, niepełnosprawność czy wyznanie.

A co z innymi, potencjalnie atrakcyjnymi dla pracodawcy, źródłami wiedzy na Twój temat? Czy pracodawca może zajrzeć na Twój profil na Facebooku, żeby sprawdzić, jak spędzasz wolny czas (może wstawiasz zdjęcia z imprez w środku tygodnia?) albo jak często wrzucasz posty? W tym przypadku zasada jest prosta – pracodawca nie może czerpać wiedzy o Tobie z żadnych innych źródeł bez Twojej wiedzy i zgody. Oznacza to również, że pracodawca nie powinien bez Twojej zgody kontaktować się z byłymi pracodawcami, nawet wtedy, gdy do CV dołączysz referencje. W ten sposób prawo chroni Cię np. przed sytuacją, w której potencjalny pracodawca dzwoni do aktualnego szefa, który dopiero od niego dowiaduje się, że szukasz nowej pracy.

Czy musisz załączać w CV klauzulę zgody na przetwarzanie danych?

Wielu pracodawców prosi o dodanie do CV klauzuli zgody na przetwarzanie danych. Niepotrzebnie: to oznacza, że niewłaściwie zinterpretowali wymogi prawa. Jeśli odpowiadasz na ogłoszenie o pracę, a nawet jeśli wysyłasz CV poza rekrutacją, nie musisz załączać takiej klauzuli, bo o ile dane w CV mieszczą się w katalogu określonym w kodeksie pracy, do ich przetwarzania nie jest potrzebna Twoja zgoda. Nawet jeśli w Twoim CV znajdą się informacje wykraczające poza ten katalog (np. zdjęcie czy zainteresowania), to sam fakt przesłania CV może być uznany za wyrażenie zgody.

Zazwyczaj nie musisz dołączać klauzuli zgody do CV.

Dołączenie wyraźnej klauzuli zgody będzie potrzebne zasadniczo w dwóch sytuacjach: gdy w dokumentach rekrutacyjnych podajesz dane wrażliwe, np. o swoim stanie zdrowia, oraz gdy chcesz, aby pracodawca zachował Twoje CV na potrzeby przyszłych rekrutacji. Taką zgodę możesz w dowolnym momencie wycofać, a pracodawca w takim przypadku będzie musiał usunąć Twoje dane.

Czy algorytm może zdecydować o wyniku rekrutacji?

Rekrutacja, jak wiele innych procesów, podlega w coraz większym stopniu automatyzacji. Proces rekrutacji rzadko bywa w pełni zautomatyzowany: ostateczną decyzję o zatrudnieniu tej, a nie innej osoby i tak podejmuje człowiek. Już teraz jednak zdarza się, że automat dokonuje preselekcji i odrzuca część kandydatów, którzy nie spełniają wskazanych przez przyszłego pracodawcę kryteriów, takich jak np. znajomość języków, rodzaj wykształcenia czy liczba lat doświadczenia.

Prawo nie stoi temu na przeszkodzie, ale zapewnia szereg gwarancji, które mają chronić Cię przed błędami algorytmów. Po czym w ogóle zorientujesz się, że decyzję w Twojej sprawie podjął automat? Czasem jest to dość oczywiste (np. gdy otrzymasz informację zwrotną 3 sekundy po wrzuceniu CV do systemu), kiedy indziej nie jest widoczne na pierwszy rzut oka. Dlatego prawo wymaga, by pracodawca za każdym razem poinformował Cię o tym, że decyzja będzie podjęta automatycznie. W takiej sytuacji masz prawo do zakwestionowania decyzji, wyrażenia własnego stanowiska i zażądania weryfikacji przez człowieka, czy Twoje CV faktycznie nie spełnia ustalonych kryteriów.

Na jakich zasadach może się z Tobą skontaktować headhunter?

Do tej pory skupialiśmy się na rekrutacji, w której to Ty inicjujesz kontakt z pracodawcą, ale czasem to pracodawcy aktywnie poszukują przyszłych pracowników. Robią to samodzielnie lub korzystają z usług headhunterów – osób, których zadaniem jest Cię odnaleźć i zaprosić do uczestnictwa w rekrutacji. Zdaniem Magdaleny Derlukiewicz, ekspertki eRecruiter, firma lub headhunter będą mogli przetwarzać Twoje dane i się z Tobą skontaktować, jeśli masz podstawy się tego spodziewać. Ocena będzie zależała od konkretnego przypadku. Według ekspertki: „w przypadku portali społecznościowych w pierwszej kolejności powinniśmy wziąć pod uwagę ich charakter – jedne z nich, jak np. Facebook wykorzystywane są głównie do celów prywatnych, inne jak np. LinkedIn skupiają swoją działalność, m.in. na budowaniu wizerunku pracowników na rynku pracy i z takim zamiarem ich użytkownicy uzupełniają swoje profile”.

Rekrutacja ukryta jest zabroniona. Masz prawo wiedzieć, do jakiej firmy prowadzona jest rekrutacja.

Przy pierwszym kontakcie headhunter powinien poinformować Cię o tym, dla jakiego podmiotu pracuje (a więc kto jest administratorem Twoich danych, rekrutacja ukryta jest zabroniona), w jaki sposób wykorzystuje informacje o Tobie i komu je przekaże. W takiej sytuacji możesz sprzeciwić się przetwarzaniu Twoich danych i dalszemu kontaktowi.

Co dzieje się z Twoimi danymi po zakończeniu rekrutacji?

Jeśli nie wyrazisz zgody na zachowanie CV na potrzeby przyszłych rekrutacji, pracodawca ma co do zasady obowiązek usunąć Twoje dane niezwłocznie po zakończeniu rekrutacji. Według Ministerstwa Cyfryzacji pracodawca może zachować Twoje CV przez z góry określony czas na potrzeby obrony przed ewentualnymi roszczeniami. Przeciwnego zdania jest Urząd Ochrony Danych Osobowych. Choć dla pracodawców taka niespójność interpretacji niewątpliwie jest dużym problemem, to niezależnie od tego, którą interpretację wybierze dany pracodawca, powinien w ogłoszeniu poinformować Cię o tym, jak długo będzie przechowywać Twoje dane.

Co możesz zrobić, gdy Twoje prawa zostaną naruszone?

Jeśli bardzo zależy Ci na konkretnej pracy, to możesz mieć problem z postawieniem granic potencjalnemu pracodawcy. Warto jednak zwrócić uwagę, że to, jak wygląda proces rekrutacyjny i o co pyta potencjalny pracodawca, może być sygnałem tego, jak będzie Cię traktować jako pracownika.

Kodeks pracy i RODO to dwie niezależne podstawy odpowiedzialności pracodawcy.

Co więc możesz zrobić? Jeśli podczas rozmowy pracodawca zapyta Cię np. o stan cywilny, możesz odpowiedzieć, że nie przekażesz tej informacji, bo nie ma ona związku z rekrutacją. Jeśli uważasz, że pracodawca dopuścił się wobec Ciebie dyskryminacji (np. nie zatrudnił Cię właśnie ze względu na odmowę odpowiedzi na pytanie o wyznanie czy plany prokreacyjne), przepisy antydyskryminacyjne zawarte w kodeksie pracy pozwalają Ci domagać się odszkodowania. Niezależną podstawą odpowiedzialności pracodawcy jest RODO. Na gruncie tych przepisów możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych lub wnieść pozew do sądu (zobacz, jak to zrobić). Przysługują Ci również wszystkie pozostałe prawa, jakie przewiduje RODO, np. prawo dostępu do danych czy do żądania ich usunięcia, jeśli nie są już pracodawcy potrzebne.

Jak chronione są dane osób, które będą zatrudnione na umowach cywilnoprawnych?

Kodeks pracy ma zastosowanie tylko wtedy, gdy docelową formą umowy jest umowa o pracę. W przypadku umów cywilnoprawnych, takich jak umowa zlecenia czy umowa o dzieło, oraz samozatrudnienia kodeks pracy i przewidywane przez niego ograniczenia dotyczące danych osobowych nie znajdą zastosowania. To jednak nie oznacza, że w przypadku umów cywilnoprawnych rekruter może pytać o wszystko. Zastosowanie znajdą ogólne zasady wynikające z RODO (w końcu nadal mówimy o Twoich danych osobowych!), a więc m.in. zasada minimalizacji, która pozwala administratorowi przetwarzać tylko takie dane, które są niezbędne do przeprowadzenia rekrutacji. W takiej sytuacji przysługują Ci też wszystkie prawa wynikające z RODO, np. prawo dostępu do danych czy prawo żądania ich usunięcia.

Rekrutacja zakończyła się dla Ciebie sukcesem? Przeczytaj artykuły, w których opisujemy, w jaki sposób pracodawca może kontrolować Twoją pracę: Pracownik pod lupą. Na co może sobie pozwolić Twój pracodawca?; Pracownik pod nadzorem. Co zmieniło RODO?

A może chcesz się z nami podzielić doświadczeniami związanymi z mniej tradycyjnymi formami rekrutacji (np. poprzez portal Pracuj.pl) lub ciekawią Cię wątki, których nie poruszyliśmy? Zostaw komentarz lub napisz do nas na adres: fundacja@panoptykon.org.

Karolina Iwańska

Współpraca: Wojciech Klicki, Małgorzata Szumańska

Polecamy

Uwagi Fundacji Panoptykon do projektu Kodeksu Ochrony Danych Osobowych w Rekrutacji

Wspieraj nas w walce o dobre praktyki firm i instytucji! Przekaż Fundacji Panoptykon 1,5% podatku. Nasz numer KRS: 0000327613.