Jak sporządzić zgodę na przetwarzanie danych osobowych w celach rekrutacyjnych, żeby była zgodna z RODO

Od 25 maja 2018 r. zgoda kandydata do pracy na przetwarzanie danych osobowych musi być dobrowolna, konkretna, świadoma i jednoznaczna. Takie warunki stawia unijne rozporządzenie RODO, które tego dnia wejdzie w życie. Najbezpieczniej dla pracodawcy będzie, gdy zgoda na przetwarzanie danych osobowych kandydata do pracy zostanie wyrażona na piśmie, elektronicznie lub w formie dokumentowej.

Zasadniczo rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO) łagodzi i eliminuje wiele dotychczasowych rygorów dotyczących dokumentacji związanej z przetwarzaniem danych osobowych. Nie odnosi się to jednak do zgód osób, których dane mają być zbierane i przetwarzane, w tym kandydatów do pracy. Główny Inspektor Ochrony Danych Osobowych (GIODO) na stronie internetowej prezentuje stanowisko, że większość zgód pozyskanych pod rządami obecnych regulacji zachowa swoją ważność, ale wymaga poinformowania osób, których dane są przetwarzane, że mają prawo wycofania zgody w dowolnym momencie, co ma być tak samo łatwe jak jej wyrażenie. Pozwala na to pkt 171 preambuły RODO, ale zastrzega, że jest to możliwe, jeśli pierwotny sposób jej wyrażenia jest zgodny z RODO. W stosunku do kandydatów do pracy ta regulacja nie może być stosowana. Proces rekrutacyjny jest bowiem zamkniętą czasowo procedurą i na tę konkretną procedurę zgadza się osoba ubiegająca się o oferowaną przez pracodawcę pracę. Z art. 4 pkt 11 RODO wynika, że raz udzielona zgoda nie powinna być wykorzystywana w kolejnej rekrutacji na inne stanowisko jako niespełniająca kryterium konkretności. Przepis ten określa też wymagania dotyczące zgód, choć ma swoje uzupełnienie również w innych regulacjach RODO. Poniżej prezentujemy warunki, jaki musi spełniać zgoda kandydata do pracy na przetwarzanie jego danych w celach rekrutacyjnych.

Warunek 1: dobrowolność zgody

Kandydat do pracy musi dobrowolnie wyrazić zgodę na przetwarzanie swoich danych. Ta przesłanka nie jest nowa. Obecnie też jest wymagana całkowita swoboda udzielenia zgody i możliwość jej odmowy bez poniesienia szkody (uzasadnienie do wyroku NSA z 6 września 2011 r., I OSK 1476/10, OSP 2013/10/104). Jednak RODO kładzie szczególny nacisk na ten warunek. Wskazuje, że oceniając, czy osoba pretendująca do otrzymania pracy zgodziła się dobrowolnie na przetwarzanie swoich danych osobowych, w jak największym stopniu uwzględnia się, czy m.in. od tej zgody nie jest uzależnione wykonanie umowy, w tym świadczenie usługi (art. 7 ust. 4 RODO). Wymienia także sytuacje, w których o dobrowolności nie będzie mowy. Wystąpi to, gdy:

• osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji (art. 42 preambuły RODO),
• istnieje wyraźny brak równowagi między kandydatem do pracy a potencjalnym pracodawcą (art. 43 preambuły RODO),
• nie można wyrazić zgody z osobna na różne operacje przetwarzania danych osobowych, mimo że w danym przypadku byłoby to stosowne (art. 43 preambuły RODO).

Warunek 2: konkretność zgody

Zgoda kandydata do pracy musi być konkretna. Powinna być więc dokładnie określona, precyzyjna i rzeczowa. Ma się odnosić do jednego celu (tu: określony proces rekrutacyjny), w którym dane osobowe będą przetwarzane (art. 5 ust. 1 lit. b RODO). Kilka procesów rekrutacyjnych należałoby zakwalifikować jako kilka celów, ponieważ w każdym z nich chodzi o pozyskanie pracownika na inne stanowisko z odmiennymi wymaganiami. Dlatego na każdy z nich potrzebna będzie odrębna zgoda (pkt 32 preambuły RODO). Podobnie jest teraz za sprawą orzecznictwa NSA i decyzji GIODO. Ich zdaniem zgoda na przetwarzanie danych musi być wyraźna, a jej umieszczenie jako dodatkowego elementu innego zobowiązania niezawierającego informacji o celach i zakresie przetwarzania tych danych nie spełnia tego wymagania (wyrok NSA z 4 kwietnia 2003 r., II SA 2135/02, Wokanda 2004/6/30, i decyzja GIODO z 30 kwietnia 2004 r., znak GI- DEC-DIS-105/04/208).

Warunek 3: świadomość udzielenia zgody

Udzielenie zgody przez kandydata do pracy musi być świadome. Zatem taka osoba ma wiedzieć, komu (tożsamość potencjalnego pracodawcy), po co (rekrutacja na konkretne stanowisko) i w jakim zakresie (wykorzystanie tylko przez potencjalnego pracodawcę lub inne podmioty z nim powiązane) daje prawo do przetwarzania danych osobowych (pkt 42 preambuły RODO). Tak jest również obecnie. Według NSA zgoda nie może być domniemana, dorozumiana czy abstrakcyjna, natomiast osoba ją wyrażająca musi rozumieć jej istotę, cel i skutki (wyrok NSA z 10 stycznia 2013 r., I OSK 2029/11).

Osoba ubiegająca się o etat musi być też świadoma, że w każdej chwili może wycofać swoją zgodę.

Warunek 4: jednoznaczność zgody

Zgoda kandydata do pracy ma być jednoznaczna. Oznacza to, że ma być tak skonstruowana, aby nie było żadnych wątpliwości, że to właśnie ta osoba uprawniła rekrutującego pracodawcę do przetwarzania swoich danych w konkretnym procesie poszukiwania pracownika (pkt 32 preambuły RODO).

Warunek 5: forma zgody

Kandydatowi do pracy wolno wyrazić zgodę na przetwarzanie danych osobowych w formie każdego rodzaju oświadczenia (pisemnego, elektronicznego, dokumentowego i ustnego). Ma też prawo podjąć określone czynności, np. zaznaczając właściwe okienko w formularzu przygotowanym przez pracodawcę prowadzącego rekrutację. Milczenie kandydata albo jego bierność nie mogą być interpretowane jako zgoda (pkt 32 preambuły RODO).

UWAGA!

Milczenie kandydata do pracy albo jego bierność nie mogą być traktowane jako wyrażenie zgody na przetwarzanie danych osobowych.

Ze względu na zasadę rozliczalności, tj. konieczność wykazania, że kandydat do pracy wyraził zgodę na przetwarzanie danych osobowych w konkretnym procesie rekrutacyjnym (art. 7 ust. 1 RODO), najbezpieczniej dla pracodawcy jest zebranie zgód w formie oświadczenia pisemnego, elektronicznego (z kwalifikowanym podpisem elektronicznym) lub dokumentowego (postać elektroniczna dokumentu dostarczona na określonym nośniku, np. USB, lub przesłana zwykłym e-mailem). Gdy oświadczenie zostanie złożone ustnie, dobrze byłoby przygotować notatkę na ten temat. Do sporządzania takich notatek w celu dokumentowania czynności związanych z pozyskiwaniem zgód zachęca też GIODO.

Przykładowy wzór zgody kandydata do pracy na przetwarzanie danych osobowych w procesie rekrutacji

Podstawa prawna:

pkt 32, pkt 42, pkt 43, pkt 171 preambuły, art. 4 pkt 11, art. 5 ust. 1 lit. b, art. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE - Dz.U. UE. L. z 2016 r. Nr 119, str. 1

Jadwiga Sztabińska,

prawnik specjalizujący się w prawie pracy, w tym z zakresu sfery budżetowej