RODO w rekrutacji i zatrudnieniu - Jakie dane zbierać legalnie?

Legalne obchodzenie się z danymi w firmie zaczyna się dużo wcześniej niż od podpisania umowy. Przetwarzanie danych osobowych w rekrutacji i zatrudnieniu wymaga innych decyzji niż zwykła administracja firmowa, bo tu w grę wchodzą jednocześnie RODO, Kodeks pracy, obowiązki kadrowe i prywatność kandydata lub pracownika. W tym artykule porządkuję najważniejsze zasady: co wolno zbierać, na jakiej podstawie, jak długo przechowywać dane i gdzie najczęściej pojawiają się błędy.

Kiedy przetwarzanie danych osobowych w pracy ma solidną podstawę

Ja zaczynam od trzech pytań: czy ta informacja jest mi naprawdę potrzebna, czy mam do niej jasną podstawę i czy potrafię wytłumaczyć, po co ją zbieram. W zatrudnieniu to ważniejsze niż sama technika przechowywania plików, bo właśnie na etapie decyzji zapada większość błędów. Jak przypomina UODO, zgoda pracownika nie jest uniwersalnym „bezpiecznikiem” dla wszystkiego, co chce zrobić pracodawca.

W praktyce najczęściej działają cztery podstawy prawne, ale każda służy do czegoś innego. Nie warto ich mieszać, bo wtedy łatwo stworzyć wrażenie, że firma zbiera dane „na wszelki wypadek”, a tego RODO nie lubi.

Kiedy już widać, na jakiej podstawie działasz, trzeba zejść poziom niżej i sprawdzić, jakie konkretnie informacje wolno pobrać od kandydata.

Jakie dane można zebrać od kandydata do pracy

UODO podkreśla, że pracodawca nie powinien żądać danych wykraczających poza ustawowy zakres, zwłaszcza takich, które nie mają związku z celem zatrudnienia. W praktyce oznacza to, że zdjęcie w CV, profile z prywatnych mediów społecznościowych, stan cywilny, plany rodzinne czy informacje o zdrowiu nie są standardowym elementem rekrutacji. Jeśli kandydat sam z własnej inicjatywy poda dodatkowe informacje, można je uwzględnić, ale nie wolno zamieniać takiej nadwyżki w obowiązek.

Jest jeszcze jedna ważna granica: dane o niekaralności albo inne dane szczególnie chronione można zbierać tylko wtedy, gdy wyraźnie pozwala na to przepis albo charakter stanowiska naprawdę tego wymaga. To ma znaczenie zwłaszcza przy pracy z dziećmi, w ochronie, w niektórych zawodach regulowanych i wszędzie tam, gdzie ustawodawca wprost przewidział dodatkową weryfikację.

Po podpisaniu umowy zasady nie znikają, tylko stają się bardziej techniczne i zaczynają dotyczyć teczki osobowej, archiwizacji oraz dostępu do systemów.

Co zmienia się po zatrudnieniu

Po zatrudnieniu firma wchodzi w bardziej uporządkowany reżim kadrowy. Jak przypomina Ministerstwo Rodziny, Pracy i Polityki Społecznej, dokumentacja pracownicza obejmuje akta osobowe oraz inną dokumentację związaną ze stosunkiem pracy. To oznacza, że nie chodzi już tylko o samą rekrutację, ale o cały cykl życia danych w firmie.

Najważniejsza różnica polega na tym, że część informacji trzeba przechowywać przez ściśle określony czas, a część trzeba ograniczać albo porządkować po zakończeniu celu. Dla większości nowszych zatrudnień domyślny okres przechowywania dokumentacji pracowniczej to 10 lat od końca roku kalendarzowego, w którym stosunek pracy się zakończył. W przypadku danych kandydatów, którzy nie zostali zatrudnieni, praktycznym punktem odniesienia bywa 3-letni okres związany z przedawnieniem roszczeń ze stosunku pracy.

W codziennej pracy najwięcej daje zasada ograniczonego dostępu. Dane kadrowe powinny widzieć tylko osoby, które naprawdę ich potrzebują: kadry, płace, czasem bezpośredni przełożony, ale nie cały zespół. Warto też pilnować, żeby dokumenty nie rozjeżdżały się po mailach, komunikatorach, pendrive’ach i prywatnych dyskach. Im mniej kopii, tym łatwiej zachować kontrolę.

Najwięcej błędów pojawia się jednak przy monitoringu i narzędziach służbowych, bo tam łatwo pomylić bezpieczeństwo z nadmierną kontrolą.

Monitoring i narzędzia służbowe wymagają najwięcej dyscypliny

Monitoring w pracy jest dopuszczalny, ale tylko w określonym celu. Zgodnie z logiką Kodeksu pracy i wyjaśnieniami UODO chodzi zwykle o bezpieczeństwo pracowników, ochronę mienia, kontrolę produkcji albo ochronę informacji, których ujawnienie mogłoby narazić firmę na szkodę. Sama chęć „sprawdzenia, co robi zespół” nie wystarcza.

• Monitoring wizyjny powinien mieć konkretny, wcześniej opisany cel.
• Pracowników trzeba poinformować o nim z wyprzedzeniem, najpóźniej 2 tygodnie przed uruchomieniem.
• System nie powinien rejestrować dźwięku, jeśli mówimy o standardowym monitoringu w miejscu pracy.
• Nagrania co do zasady przechowuje się nie dłużej niż 3 miesiące, chyba że stanowią dowód w postępowaniu.
• Nie wolno wchodzić kamerą tam, gdzie prywatność ma szczególne znaczenie, czyli tam, gdzie pracownik nie powinien być obserwowany bez bardzo mocnej podstawy.

Podobnie działa monitoring poczty elektronicznej i innych narzędzi pracy. Można go stosować, ale nie po to, żeby czytać prywatną korespondencję albo śledzić każdy ruch pracownika. Chodzi o organizację pracy i prawidłowe korzystanie z narzędzi służbowych, a nie o stały nadzór nad człowiekiem. To ważna granica, bo łatwo ją przekroczyć, gdy firma wdraża nowy system bez przemyślenia zasad.

Praktycznie najlepiej działa prosty dokument wewnętrzny: cel, zakres, sposób działania, okres przechowywania, kto ma dostęp i co robić w razie incydentu. Bez tego monitoring szybko staje się źródłem sporów, a nie realnym zabezpieczeniem.

Gdy te pułapki są już nazwane, można ułożyć prosty proces, który działa codziennie, a nie tylko na potrzeby audytu.

Najczęstsze błędy, które w kadrach robią największy bałagan

Z mojego doświadczenia problem rzadko polega na braku wiedzy o samym RODO. Częściej chodzi o nawyki: „weźmy wszystko, przyda się później”, „wrzućmy do jednego folderu”, „poprosimy o zgodę i będzie po sprawie”. To właśnie te skróty najczęściej prowadzą do naruszeń.

1. Zbieranie danych na zapas. CV z dodatkowymi informacjami, zdjęcia, prywatne profile, stan zdrowia albo dane rodziny nie powinny trafiać do procesu bez powodu. To zwykle nie pomaga w wyborze kandydata, a tylko podnosi ryzyko.
2. Traktowanie zgody jak uniwersalnej podstawy. W relacji pracownik-pracodawca zgoda bywa słaba, bo trudno mówić o pełnej swobodzie. Jeśli coś wynika z prawa albo z umowy, to właśnie tym trzeba to uzasadnić.
3. Brak terminów usunięcia. Jeśli rekrutacja się zakończyła, a firma nie ma już celu, dane nie powinny wisieć w ATS-ie, skrzynkach mailowych i lokalnych plikach bez końca.
4. Zbyt szeroki dostęp. Im więcej osób widzi dane kadrowe, tym większa szansa na przypadkowe ujawnienie, błędne przesłanie pliku albo nieuprawnione wykorzystanie informacji.
5. Brak rozdzielenia danych „miękkich” i obowiązkowych. Inaczej traktuje się dane potrzebne do umowy, inaczej do benefitu, a jeszcze inaczej do badań medycyny pracy. Wszystko w jednym worku kończy się chaosem.
6. Nieopisane procesy u dostawców. Gdy zewnętrzna firma obsługuje payroll, ATS, benefity albo archiwum, trzeba wiedzieć, kto jest administratorem, kto przetwarza dane i na jakich zasadach.

Najdroższe błędy zwykle nie wyglądają spektakularnie. To najczęściej drobne zaniedbania, które długo pozostają niewidoczne, a potem wracają w czasie skargi, kontroli albo sporu z kandydatem. Dlatego lepiej zbudować proces niż liczyć na pamięć pojedynczych osób.

Na tym tle dobrze widać, że potrzebna jest nie rozbudowana polityka w szufladzie, tylko prosta procedura, którą da się utrzymać w zwykłej pracy.

Jak ułożyć prostą procedurę zgodną z RODO

Jeśli miałbym zbudować sensowny model dla małej lub średniej firmy, zrobiłbym to w kilku krokach. Nie potrzebujesz do tego rozbudowanego systemu, tylko konsekwencji i jednego właściciela procesu. Najlepiej sprawdza się model, w którym każdy etap ma swoją podstawę prawną, okres przechowywania i osobę odpowiedzialną.

1. Spisz przepływ danych. Pokaż, skąd dane przychodzą, kto je ogląda, gdzie trafiają i kiedy są usuwane. Rekrutacja, kadry, płace, bhp, benefity i archiwum to zwykle osobne punkty.
2. Przypisz cel do każdej kategorii danych. Inne informacje są potrzebne do kontaktu z kandydatem, inne do umowy, a jeszcze inne do rozliczeń. Dzięki temu nie powstają przypadkowe zbiory.
3. Ogranicz formularze. Każde dodatkowe pole w formularzu rekrutacyjnym powinno mieć uzasadnienie. Jeśli nie umiesz go obronić, usuń je.
4. Przygotuj klauzule informacyjne. Kandydat i pracownik powinni wiedzieć, kto administruje danymi, po co je zbiera, komu je przekazuje, jak długo je przechowuje i jakie prawa ma wobec firmy.
5. Ustal terminy usuwania. Nie zostawiaj retencji „na później”. Warto mieć prosty harmonogram: rekrutacja, zatrudnienie, zakończenie stosunku pracy, archiwizacja, usunięcie.
6. Ogranicz dostęp techniczny. Uwierzytelnianie, hasła, logi, upoważnienia i zasada minimum dostępu robią większą różnicę niż najdłuższy regulamin.
7. Przeszkol osoby, które pracują z danymi. Rekruter, kadrowa i przełożony muszą wiedzieć, że wysłanie CV do złej osoby lub zapisanie danych w prywatnym notatniku nie jest drobiazgiem.
8. Sprawdź dostawców. Jeśli korzystasz z systemu ATS, programu kadrowo-płacowego albo biura rachunkowego, dopilnuj umów powierzenia i realnego zakresu odpowiedzialności.

W praktyce bardzo pomaga też szybka ocena skutków dla ochrony danych wtedy, gdy firma wdraża monitoring, profilowanie kandydatów albo nowe narzędzia automatyzujące decyzje. To nie musi być rozbudowany dokument, ale powinno odpowiedzieć na pytanie, gdzie leży ryzyko i czy można je ograniczyć prostszymi środkami.

Na koniec warto dodać kilka drobiazgów, które zwykle robią największą różnicę w codziennej pracy kadr.

Co jeszcze porządkuje proces lepiej niż sam regulamin

Najbardziej niedoceniane są rzeczy proste: porządek w folderach, krótkie upoważnienia, regularny przegląd starych plików i jasna zasada, że dane kadrowe nie żyją w prywatnych skrzynkach mailowych. To właśnie takie elementy decydują, czy procedura działa naprawdę, czy tylko wygląda dobrze na papierze.

Warto też pamiętać o trzech rzeczach, które często wychodzą dopiero przy audycie albo sporze:

• jedna osoba lub jeden dział powinien odpowiadać za zamykanie dostępu po odejściu pracownika;
• dokumenty z rekrutacji nie powinny pozostawać w systemie „na wszelki wypadek”, jeśli nie ma do nich podstawy;
• informacje z monitoringu, benefity, medycyna pracy i płace powinny mieć oddzielne zasady przechowywania, bo nie wszystko znika w tym samym momencie.

Jeśli firma robi te podstawy rzetelnie, ochrona danych przestaje być zbiorem nerwowych reakcji, a staje się normalnym elementem dobrej organizacji pracy. I właśnie tak powinno to wyglądać w nowoczesnych kadrach.