RODO przy rekrutacji: jak przygotować wniosek albo oświadczenie?

Proces pozyskiwania nowych pracowników to jeden z kluczowych elementów funkcjonowania każdego przedsiębiorstwa, niezależnie od jego wielkości czy branży. Wiąże się on jednak z koniecznością gromadzenia, analizowania i przechowywania znacznej ilości danych osobowych kandydatów do pracy. W dobie rygorystycznych przepisów o ochronie danych osobowych, kwestia ta wymaga szczególnej uwagi i precyzji ze strony działów kadr oraz kadry zarządzającej. Stosowanie zasad RODO przy rekrutacji to nie tylko kwestia unikania wysokich kar finansowych, które może nałożyć organ nadzorczy, ale również kluczowy element budowania profesjonalnego i godnego zaufania wizerunku pracodawcy (employer branding) na konkurencyjnym rynku pracy. W tym kompleksowym artykule szczegółowo wyjaśniamy, jak prawidłowo przygotować niezbędne dokumenty, takie jak wniosek o realizację praw, oświadczenie o wyrażeniu zgody czy klauzula informacyjna, aby cały proces przebiegał w zgodzie z obowiązującym prawem.

Podstawowe zasady ochrony danych w procesie naboru pracowników

Każdy pracodawca, który rozpoczyna proces naboru na wolne stanowisko pracy, automatycznie staje się administratorem danych osobowych (ADO) osób ubiegających się o zatrudnienie. Oznacza to, że to na nim spoczywa pełna odpowiedzialność za bezpieczeństwo tych informacji oraz za to, aby były one przetwarzane zgodnie z prawem. Przepisy ogólnego rozporządzenia o ochronie danych (RODO) przy rekrutacji wymagają bezwzględnego przestrzegania kilku fundamentalnych zasad, które powinny stanowić fundament każdej profesjonalnej procedury HR.

Pierwszą i niezwykle ważną zasadą jest zasada minimalizacji danych, nazywana często adekwatnością. Zgodnie z nią, pracodawca może żądać od kandydata wyłącznie takich informacji, które są niezbędne do osiągnięcia celu, jakim jest ocena kwalifikacji do wykonywania określonej pracy. Zbieranie danych na zapas, na przykład wypytywanie o plany rodzinne, stan zdrowia czy poglądy polityczne, jest rażącym naruszeniem prawa. Kolejną zasadą jest zasada przejrzystości – kandydat musi od samego początku wiedzieć, kto zbiera jego dane, w jakim celu, jak długo będą one przechowywane oraz jakie prawa mu w związku z tym przysługują. Ostatnią kluczową regułą jest zasada integralności i poufności, która zobowiązuje pracodawcę do zabezpieczenia dokumentów aplikacyjnych przed dostępem osób nieuprawnionych, zarówno w formie papierowej, jak i cyfrowej.

Warto również podkreślić, że ochrona danych osobowych zaczyna się na długo przed otrzymaniem pierwszego życiorysu. Już na etapie projektowania ogłoszenia o pracę oraz wyboru kanałów dystrybucji (np. portale ogłoszeniowe, media społecznościowe, agencje zatrudnienia) pracodawca musi upewnić się, że stosowane narzędzia i procedury są zgodne z RODO. Jeśli w firmie powołano Inspektora Ochrony Danych (IOD), powinien on zostać włączony w proces opiniowania formularzy rekrutacyjnych oraz weryfikacji umów z podmiotami zewnętrznymi, które wspierają firmę w poszukiwaniu talentów.

Jakie dane można przetwarzać na podstawie przepisów Kodeksu pracy?

Polskie prawo pracy w sposób bardzo precyzyjny i jednoznaczny określa granice uprawnień pracodawcy w zakresie żądania informacji od osoby ubiegającej się o zatrudnienie. Zgodnie z Kodeksem pracy, pracodawca ma prawo żądać od kandydata podania następujących danych osobowych: imienia (imion) i nazwiska, daty urodzenia, danych kontaktowych (które wskazuje sam kandydat, np. numer telefonu lub adres e-mail), a także wykształcenia, kwalifikacji zawodowych oraz przebiegu dotychczasowego zatrudnienia. Warto jednak pamiętać, że żądanie informacji o wykształceniu i doświadczeniu zawodowym jest uzasadnione tylko wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.

Przetwarzanie wyżej wymienionych danych osobowych opiera się na wypełnieniu obowiązku prawnego ciążącego na administratorze i nie wymaga uzyskania odrębnej, dobrowolnej zgody kandydata na pracę. Oznacza to, że jeśli kandydat przesyła dokumenty aplikacyjne zawierające wyłącznie te informacje, pracodawca może je przetwarzać w celu przeprowadzenia bieżącego procesu rekrutacyjnego bez konieczności odbierania od niego dodatkowych oświadczeń. Wszelkie próby wymuszania zgody na przetwarzanie danych, które pracodawca i tak ma prawo przetwarzać na mocy ustawy, są błędem metodologicznym i mogą prowadzić do nieporozumień.

Kiedy oświadczenie o wyrażeniu zgody kandydata jest niezbędne?

W realiach rynkowych sytuacja, w której kandydat przesyła CV ograniczone wyłącznie do minimum ustawowego, należy do rzadkości. Osoby poszukujące pracy chętnie umieszczają w swoich dokumentach aplikacyjnych dodatkowe informacje, które w ich ocenie mogą zwiększyć szanse na zatrudnienie. Do takich danych należą przede wszystkim: wizerunek (zdjęcie), informacje o zainteresowaniach, linki do profili zawodowych w mediach społecznościowych, a także referencje od poprzednich pracodawców. Ponadto pracodawcy bardzo często chcą zachować otrzymane aplikacje na potrzeby przyszłych projektów rekrutacyjnych, aby w razie nagłego zapotrzebowania kadrowego móc szybko skontaktować się z wybranymi osobami.

W każdym z tych przypadków podstawą prawną przetwarzania danych wykraczających poza katalog z Kodeksu pracy jest dobrowolna zgoda kandydata. Zgoda ta musi przybrać formę wyraźnego oświadczenia woli. Zgodnie z RODO, zgoda musi być sformułowana w sposób jasny, zrozumiały i łatwo dostępny. Nie może być ona ukryta w regulaminach ani sformułowana w sposób sugerujący, że jej brak uniemożliwi udział w podstawowym procesie rekrutacji. Kandydat musi mieć pełną swobodę wyboru – może zgodzić się na przetwarzanie dodatkowych danych w bieżącej rekrutacji, ale odmówić zgody na udział w przyszłych naborach.

Jak prawidłowo sformułować oświadczenie o wyrażeniu zgody?

Przygotowując wzory dokumentów rekrutacyjnych, pracodawca powinien zadbać o to, aby oświadczenie o wyrażeniu zgody było precyzyjne i jednoznaczne. Dobrą praktyką jest stosowanie oddzielnych oświadczeń dla różnych celów przetwarzania danych. Przykładowo, oświadczenie dotyczące przetwarzania dodatkowych danych w bieżącym procesie rekrutacyjnym może brzmieć następująco: Wyrażam zgodę na przetwarzanie moich danych osobowych, które wykraczają poza katalog określony w przepisach prawa pracy, a które zostały przeze mnie dobrowolnie zamieszczone w przesłanych dokumentach aplikacyjnych, w celu przeprowadzenia obecnego procesu rekrutacji.

Jeżeli pracodawca chce zachować dokumenty na przyszłość, konieczne jest przygotowanie drugiego, niezależnego oświadczenia: Wyrażam zgodę na przetwarzanie moich danych osobowych przez administratora w celu wykorzystania ich w przyszłych procesach rekrutacyjnych prowadzonych na podobne stanowiska przez okres 12 miesięcy od dnia przesłania aplikacji. Niezwykle ważne jest również dodanie informacji o prawie do wycofania zgody w dowolnym momencie. Informacja ta może brzmieć: Mam świadomość, że wyrażoną zgodę mogę wycofać w każdym czasie, a wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem.

Obowiązek informacyjny pracodawcy – struktura i treść klauzuli

Spełnienie obowiązku informacyjnego to absolutny fundament RODO przy rekrutacji. Każda osoba, której dane są zbierane, musi zostać poinformowana o szczegółach tego procesu najpóźniej w momencie pozyskiwania danych. W praktyce oznacza to, że klauzula informacyjna powinna być integralną częścią ogłoszenia o pracę, formularza aplikacyjnego na stronie internetowej lub być wysyłana w automatycznej wiadomości potwierdzającej otrzymanie aplikacji.

Aby klauzula informacyjna była w pełni zgodna z przepisami, musi zawierać szereg szczegółowych informacji określonych w art. 13 RODO. Do kluczowych elementów należą:

Tożsamość i dane kontaktowe administratora: Pełna nazwa firmy, adres siedziby oraz dane kontaktowe (np. dedykowany adres e-mail do spraw ochrony danych).
Dane kontaktowe Inspektora Ochrony Danych (IOD): Jeśli w firmie powołano takiego specjalistę, należy podać jego adres e-mail, aby kandydaci mogli bezpośrednio się z nim kontaktować.
Cele i podstawy prawne przetwarzania: Należy wyraźnie wskazać, że dane podstawowe są przetwarzane na podstawie Kodeksu pracy, dane dodatkowe na podstawie zgody kandydata, a ewentualne dochodzenie roszczeń na podstawie prawnie uzasadnionego interesu administratora.
Okres przechowywania danych: Dane na potrzeby bieżącej rekrutacji powinny być usuwane niezwłocznie po jej zakończeniu (np. w terminie do 3 miesięcy od zakończenia procesu). W przypadku zgody na przyszłe rekrutacje należy wskazać konkretny termin (np. 1 rok).
Odbiorcy danych: Należy poinformować kandydata, czy jego dane będą przekazywane innym podmiotom, np. dostawcom systemów HR, firmom IT obsługującym serwery czy agencjom rekrutacyjnym.
Prawa kandydata: Szczegółowe wyliczenie praw, w tym prawa do dostępu do danych, ich sprostowania, usunięcia (prawo do bycia zapomnianym), ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu.
Prawo do wniesienia skargi: Informacja o prawie do złożenia skargi do organu nadzorczego – w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO).

Jak przygotować wniosek o realizację praw kandydata?

Osoby ubiegające się o zatrudnienie są coraz bardziej świadome swoich praw i chętnie z nich korzystają. Pracodawca musi być przygotowany na sytuację, w której kandydat złoży wniosek o usunięcie jego danych, sprostowanie informacji zawartych w CV lub o udzielenie informacji o tym, jakie konkretnie dane są przetwarzane. Aby ułatwić ten proces obu stronom, warto przygotować i udostępnić na stronie internetowej firmy prosty wzór wniosku o realizację praw na gruncie RODO.

Wniosek taki powinien być sformułowany w sposób przejrzysty. Powinien zawierać pola na podanie danych identyfikacyjnych wnioskodawcy (imię, nazwisko, adres e-mail użyty podczas rekrutacji), co pozwoli administratorowi na jednoznaczne potwierdzenie tożsamości i zapobiegnie przypadkowemu ujawnieniu danych osobie nieuprawnionej. W treści wniosku należy umieścić listę opcji do wyboru (np. wycofanie zgody na przetwarzanie, żądanie usunięcia danych, żądanie ograniczenia przetwarzania, sprostowanie danych). Dzięki temu kandydat może w prosty sposób wskazać, czego dokładnie oczekuje od pracodawcy.

Termin na rozpatrzenie wniosku kandydata i konsekwencje opóźnień

Obsługa wniosków kandydatów nie może być odkładana na później. Przepisy RODO nakładają na administratora danych obowiązek udzielenia odpowiedzi bez zbędnej zwłoki, a w każdym razie w terminie jednego miesiąca od dnia otrzymania żądania. Jest to termin nieprzekraczalny w standardowych sytuacjach. W tym czasie pracodawca must nie tylko przeanalizować wniosek, ale również podjąć odpowiednie działania (np. trwale usunąć dane z serwerów i niszczarek) oraz poinformować wnioskodawcę o sposobie załatwienia sprawy.

W wyjątkowo skomplikowanych przypadkach, ze względu na złożony charakter żądania lub dużą liczbę wniosków, termin ten może zostać przedłużony o kolejne dwa miesiące. Jednak nawet w takiej sytuacji pracodawca ma obowiązek poinformować kandydata o przedłużeniu terminu w ciągu pierwszego miesiąca od otrzymania wniosku, podając jednocześnie konkretne przyczyny opóźnienia. Niedopełnienie tego obowiązku lub ignorowanie pism kandydata stanowi rażące naruszenie prawa. W takich przypadkach kandydat może skierować sprawę do organu nadzorczego, co może skutkować wszczęciem postępowania kontrolnego przez Prezesa UODO oraz nałożeniem dotkliwych administracyjnych kar pieniężnych.

Najczęstsze błędy pracodawców w obszarze RODO przy rekrutacji

Mimo że przepisy RODO obowiązują już od wielu lat, w praktyce rekrutacyjnej wielu firm wciąż można spotkać poważne błędy i uchybienia. Do najczęściej powtarzających się nieprawidłowości należą:

Żądanie nadmiarowych danych na wczesnym etapie: Wymaganie od kandydatów podania numeru PESEL, serii i numeru dowodu osobistego, dokładnego adresu zamieszkania czy informacji o stanie cywilnym w formularzu aplikacyjnym. Dane te pracodawca może pobrać dopiero w momencie zatrudnienia pracownika.
Brak weryfikacji tożsamości przy realizacji praw: Usuwanie danych lub udzielanie informacji o rekrutacji na prośbę telefoniczną lub mailową bez uprzedniego upewnienia się, czy osoba wnioskująca jest rzeczywiście tym kandydatem, za którego się podaje.
Niewłaściwe przechowywanie dokumentów papierowych: Pozostawianie wydrukowanych CV na biurkach w działach kadr, w miejscach dostępnych dla osób postronnych (np. kurierów, gości firmy) lub przechowywanie ich w niezamykanych szafach.
Brak procedur niszczenia danych: Wyrzucanie dokumentów aplikacyjnych do zwykłych koszy na śmieci zamiast korzystania z niszczarek o odpowiednim stopniu tajności lub brak trwałego usuwania plików z poczty elektronicznej i dysków sieciowych.
Weryfikacja referencji bez wiedzy kandydata: Kontaktowanie się z poprzednimi pracodawcami kandydata w celu uzyskania opinii o jego pracy bez uzyskania uprzedniej, wyraźnej zgody zainteresowanego.

Praktyczny przykład: Scenariusz rekrutacyjny krok po kroku

Aby lepiej zrozumieć, jak w praktyce powinno wyglądać prawidłowe stosowanie przepisów RODO przy rekrutacji, przeanalizujmy następujący scenariusz. Firma Beta Sp. z o.o. poszukuje pracownika na stanowisko doradcy klienta. Przygotowując proces, dział HR opracował ogłoszenie, pod którym umieścił link do klauzuli informacyjnej oraz dwa oddzielne checkboxy: jeden na przetwarzanie zdjęcia w CV, drugi na udział w przyszłych rekrutacjach przez okres 6 miesięcy.

Pani Anna przesyła swoje zgłoszenie. W swoim CV zamieściła zdjęcie oraz szczegółowy opis doświadczenia zawodowego, a także zaznaczyła oba checkboxy. Po przeprowadzeniu rozmów kwalifikacyjnych firma Beta Sp. z o.o. decyduje się na zatrudnienie innego kandydata. Ponieważ pani Anna wyraziła zgodę na przyszłe rekrutacje, her dokumenty nie są niszczone, lecz zostają bezpiecznie zarchiwizowane w systemie ATS (Applicant Tracking System) z ustawionym automatycznym terminem usunięcia za 6 miesięcy.

Po dwóch miesiącach pani Anna znajduje zatrudnienie w innej firmie i postanawia wycofać swoje dane z bazy firmy Beta Sp. z o.o. Wypełnia prosty wniosek o usunięcie danych, który pobrała ze strony internetowej firmy Beta, i wysyła go e-mailem do Inspektora Ochrony Danych wskazanego w klauzuli. Inspektor weryfikuje tożsamość pani Anny, porównując adres e-mail z adresem w bazie, a następnie zleca działowi HR trwałe usunięcie jej profilu z systemu rekrutacyjnego. Cała operacja zostaje zakończona w terminie 5 dni roboczych, o czym pani Anna zostaje poinformowana drogą mailową. Proces przebiegł sprawnie, bezpiecznie i w pełnej zgodzie z prawem, eliminując ryzyko, że jakikolwiek organ nadzorczy dopatrzy się uchybień.

Podsumowanie i rekomendacje dla działów HR

Prawidłowe przygotowanie dokumentacji rekrutacyjnej oraz wdrożenie bezpiecznych procedur przetwarzania danych osobowych to nie tylko prawny obowiązek, ale również wyraz szacunku wobec kandydatów do pracy. Kluczem do sukcesu jest rzetelne opracowanie wzorów dokumentów – wniosek o realizację praw kandydata, oświadczenie o wyrażeniu zgody oraz klauzula informacyjna muszą być napisane prostym, zrozumiałym językiem i precyzyjnie określać zasady gry. Pracodawca musi pamiętać o zasadzie minimalizacji danych, przestrzeganiu ustawowych terminów na realizację wniosków oraz o konieczności bezpiecznego niszczenia dokumentów po zakończeniu procesów rekrutacyjnych. Działając w sposób transparentny i zorganizowany, każda firma może skutecznie zminimalizować ryzyko prawne i budować silną, opartą na zaufaniu markę pracodawcy.