Skopiuj link
Zakres danych, które pracodawca może pozyskać od kandydata do pracy, wynika z przepisów prawa pracy i obejmuje w dużym uproszczeniu dane identyfikacyjne (imię i nazwisko, data urodzenia oraz dane kontaktowe) oraz dane pozwalające na ustalenie kwalifikacji przyszłego pracownika i jego doświadczenia zawodowego (art. 221 § 1 kodeksu pracy). Warto zwrócić uwagę, że zgodnie z § 2 art. 221 pracodawca żąda podania danych osobowych, o których mowa w § 1 pkt 4-6 (czyli danych dotyczących wykształcenia, kwalifikacji zawodowych oraz przebiegu dotychczasowego zatrudnienia), gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Dane osobowe wymienione powyżej należą do kategorii danych osobowych obligatoryjnych, a ich pozyskanie przez pracodawcę od kandydata do pracy spełni przesłankę niezbędności wypełnienia obowiązku prawnego ciążącego na administratorze, o której mowa w art. 6 ust. 1 lit. c rozporządzenia 2016/679 (RODO).
Pracodawca nie może żądać od kandydata danych, które wykraczają poza zakres uzasadniony celem ich gromadzenia. Nie ma bowiem podstawy prawnej do ich przetwarzania. Ta może wystąpić, jeżeli na stanowisku, którego dotyczy rekrutacja, niezbędne są szerzej określone wymagania. Wtedy pracodawca może żądać przedłożenia dodatkowych dokumentów, informacji czy zaświadczeń o posiadaniu konkretnych uprawnień. Ponadto pracodawca żąda podania innych danych osobowych niż określone w § 1, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 221 § 4 kodeksu pracy).
Może się również zdarzyć, że aplikujący na dane stanowisko z własnej inicjatywy, dobrowolnie, w dokumentach kwalifikacyjnych zamieści więcej danych niż wymaga tego etap rekrutacji i uzasadniają przepisy prawa pracy. W takiej sytuacji powinien on również wyrazić zgodę na przetwarzania danych „nadmiernych”. Zgoda będzie w takiej sytuacji jedyną właściwą podstawą przetwarzania danych osobowych, które nie wynikają wprost z przepisów prawa pracy. Taka zgoda może zostać wyrażona w sposób wyraźny (oświadczenie) lub dorozumiany – poprzez zachowanie, które w sposób jasny wskazuje, że osoba ta zaakceptowała proponowane przetwarzanie jej danych osobowych. „Aplikacja kandydata stanowi zazwyczaj odpowiedź na ogłoszenie o pracę pracodawcy, kandydat jest świadomy, do jakiego podmiotu składa aplikację oraz w jakim celu jego dane mają być przetwarzane. Kandydat zna jednocześnie zakres danych, jaki przekazuje pracodawcy. Oznacza to, że zwykłe dane osobowe, które wykraczają poza zakres uregulowany przepisami prawa pracy, są przetwarzane przez pracodawcę na podstawie zgody kandydata, która przejawia się przez działanie, polegające np. na przesłaniu pracodawcy życiorysu i listu motywacyjnego.” (wyjaśnienia Urzędu Ochrony Danych Osobowych dotyczące przetwarzania danych osobowych kandydatów do pracy).
Pracodawca w każdym przypadku jest zobowiązany do spełnienia wobec każdego kandydata do pracy pełnego obowiązku informacyjnego, zgodnie z aktualnie obowiązującymi przepisami dotyczącymi ochrony danych osobowych. Przede wszystkim musi poinformować o okresie, przez który dane będą przetwarzane, lub kryteriach ustalania tego okresu. Po jego upływie powinien trwale usunąć zebrane dane osobowe.
Potencjalny pracodawca nie może na własną rękę weryfikować informacji przekazanych przez kandydata do pracy, chociażby u jego poprzedniego pracodawcy lub w ukończonej szkole, jeżeli kandydat nie wyraził na to zgody. Takie działanie nie znajduje umocowania w obowiązujących przepisach. Nawet jeśli złoży referencje, to przeprowadzający rekrutację nie jest uprawniony do kontaktu z podmiotem je wystawiającym. Podczas procesu rekrutacyjnego źródłem informacji, które dotyczą przebiegu pracy zawodowej i wykształcenia, powinien być sam kandydat.
Magdalena Jeziorska
radca prawny