W rekrutacji nie obowiązuje zasada „pytam, o co chcę, kandydat sam zdecyduje”. Kodeks pracy wymienia dane, których pracodawca żąda od osoby ubiegającej się o zatrudnienie, i poza ten katalog wychodzi się tylko wyjątkowo. Poniżej granice zbierania danych na każdym etapie: od ogłoszenia po kosz na CV.
Zamknięty katalog z art. 22¹ § 1
Od kandydata pracodawca żąda: imienia (imion) i nazwiska, daty urodzenia, danych kontaktowych wskazanych przez tę osobę, wykształcenia, kwalifikacji zawodowych oraz przebiegu dotychczasowego zatrudnienia — z wyłączeniem informacji o wynagrodzeniu w obecnym i poprzednich stosunkach pracy. Ostatnie zastrzeżenie bywa przeoczone: pytanie „ile pan dziś zarabia” nie mieści się w przepisie. Zwróć też uwagę na sformułowanie „dane kontaktowe wskazane przez taką osobę” — to kandydat decyduje, czy poda e-mail, czy telefon. Żądanie numeru komórkowego jako warunku aplikowania jest nadmiarowe.
Wykształcenie i doświadczenie — tylko gdy są potrzebne
Art. 22¹ § 2 zawęża rzecz dodatkowo: danych o wykształceniu, kwalifikacjach zawodowych i przebiegu zatrudnienia pracodawca żąda, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Przy rekrutacji na stanowisko pomocnicze CV z pełnym przebiegiem kariery i skanami dyplomów bywa więc nadmiarowe. Dane udostępnia się w formie oświadczenia kandydata; udokumentowania (dyplomu, świadectwa pracy) pracodawca może żądać tylko w zakresie niezbędnym do ich potwierdzenia — art. 22¹ § 5. Kolejność ma znaczenie: najpierw oświadczenie, dokumenty dopiero wtedy, gdy trzeba je zweryfikować.
Numer PESEL i adres — dopiero po zatrudnieniu
Adres zamieszkania, PESEL, numer rachunku płatniczego czy dane członków rodziny to katalog z art. 22¹ § 3, dotyczący pracownika, a nie kandydata. Formularz aplikacyjny z polem „PESEL” jest klasycznym błędem — na etapie rekrutacji te dane nie są do niczego potrzebne. Szerszego zakresu można żądać tylko wtedy, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (§ 4), na przykład przy stanowiskach objętych szczególnymi wymaganiami ustawowymi.
Kiedy zgoda naprawdę działa
Zgoda kandydata może być podstawą przetwarzania innych danych niż wymienione w art. 22¹ § 1 i 3 — tak stanowi art. 22¹a § 1. Są dwa ograniczenia. Po pierwsze, zgoda nie obejmuje danych z art. 10 RODO, czyli dotyczących wyroków skazujących i czynów zabronionych; zaświadczenia o niekaralności wolno żądać tylko tam, gdzie każe to odrębna ustawa. Po drugie, brak zgody albo jej wycofanie nie może być podstawą niekorzystnego traktowania i w szczególności nie może uzasadniać odmowy zatrudnienia (§ 2). Zgoda działa zarówno wtedy, gdy dane udostępniono na wniosek pracodawcy, jak i z inicjatywy kandydata (§ 3) — ale tylko jeśli jest realnie dobrowolna.
Zdjęcie, stan cywilny, plany rodzinne
Fotografii w CV nie ma w katalogu ustawowym, więc jej przetwarzanie opiera się co najwyżej na zgodzie z art. 22¹a — a skoro tak, nie wolno wymagać zdjęcia w ogłoszeniu ani odrzucać aplikacji z tego powodu. Stan cywilny, liczba dzieci, plany macierzyńskie czy sytuacja mieszkaniowa nie mieszczą się w art. 22¹ i zwykle są nadmiarowe; pytania o nie na rozmowie to dodatkowo ryzyko zarzutu dyskryminacji. Dane o dzieciach i najbliższej rodzinie pojawiają się legalnie dopiero u pracownika — gdy są konieczne ze względu na szczególne uprawnienia prawa pracy.
Dane szczególnych kategorii i upoważnienia
Dane z art. 9 ust. 1 RODO — o zdrowiu, przynależności związkowej, przekonaniach, biometryczne — pracodawca może przetwarzać na podstawie zgody wyłącznie wtedy, gdy ich przekazanie następuje z inicjatywy kandydata (art. 22¹b § 1). Nie wolno więc o nie pytać; wolno je przyjąć, gdy kandydat sam je poda, na przykład dołączając orzeczenie o niepełnosprawności. Zgoda ma tu być „wyraźna” w rozumieniu art. 9 ust. 2 lit. a RODO. Pisemna forma dotyczy czegoś innego: do przetwarzania takich danych mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie wydane przez pracodawcę, zobowiązane do zachowania tajemnicy (art. 22¹b § 3). Komplet upoważnień, klauzul i formularzy zawiera Pakiet RODO rekrutacja.
CV niezamówione i przechowywanie po rekrutacji
Aplikacja przysłana spontanicznie to dane przekazane z inicjatywy kandydata. Nie znaczy to, że wolno je trzymać bezterminowo: bez prowadzonej rekrutacji brakuje podstawy z art. 6 ust. 1 lit. b RODO, a kandydat nie wyraził zgody na zapas. Bezpieczne rozwiązanie to albo niezwłoczne usunięcie, albo odezwanie się z prośbą o zgodę na udział w przyszłych rekrutacjach z podanym okresem — wzór takiej zgody jest w pakiecie dokumentów dla rekrutacji — na przykład na 12 miesięcy. Po zakończeniu rekrutacji dane osób niezatrudnionych usuwa się, gdy tylko cel przestaje istnieć; wyjątkiem jest przechowywanie dla obrony przed roszczeniami o dyskryminację, które trzeba ograniczyć w czasie i opisać, a nie deklarować „bezterminowo”. Cały proces wpisujesz do rejestru czynności przetwarzania, a jeżeli rozmowy rekrutacyjne odbywają się w pomieszczeniu z kamerą, sprawdź też zasady opisane we wpisie o monitoringu wizyjnym w firmie.
Najczęstsze pytania (FAQ)
Czy klauzula zgody w CV jest w ogóle potrzebna?
Do danych z art. 22¹ § 1 Kodeksu pracy nie — podstawą jest przepis i działania przed zawarciem umowy. Zgoda ma sens tylko dla danych spoza katalogu (np. zdjęcia) albo dla udziału w przyszłych rekrutacjach. Brak klauzuli nie jest powodem do odrzucenia aplikacji.
Czy mogę żądać zaświadczenia o niekaralności?
Tylko wtedy, gdy wymaga tego odrębny przepis dla danego stanowiska. Dane o wyrokach skazujących są wyłączone spod zgody z art. 22¹a § 1, więc zgoda kandydata nie zastąpi podstawy ustawowej.
Jak długo można trzymać CV po zakończonej rekrutacji?
Tylko tak długo, jak trwa cel. Po wyborze kandydata pozostałe aplikacje usuwa się niezwłocznie, chyba że kandydat zgodził się na udział w przyszłych rekrutacjach — wtedy przez zadeklarowany okres.
Czy agencja rekrutacyjna potrzebuje umowy powierzenia?
Zależy od roli. Gdy prowadzi rekrutację na Twoje zlecenie i według Twoich poleceń, jest podmiotem przetwarzającym i umowa powierzenia z art. 28 RODO jest konieczna. Gdy buduje własną bazę kandydatów i decyduje o celach, działa jako odrębny administrator.