Dane wrażliwe w rekrutacji - czy w ogóle możemy je przetwarzać?

Jaki zakres danych mogę przetwarzać w procesie rekrutacji?

Zakres danych osobowych, jaki może być pozyskiwany przez pracodawcę w procesie rekrutacji wynika wprost z przepisów prawa tj. art. 22(1) § 1 Kodeksu pracy. Zakres ten obejmuje: imię (imiona) i nazwisko, datę urodzenia, dane kontaktowe wskazane przez daną osobę, wykształcenie, kwalifikacje zawodowe, przebieg dotychczasowego zatrudnienia.

Jeżeli pracodawca decyduje się pozyskać inne dane osobowe, powinien wykazać, że posiada podstawę prawną takiego żądania. Przykładem takiej sytuacji może być pozyskiwanie danych o niekaralności. Pracodawca może pozyskiwać tego rodzaju dane o przyszłym pracowniku wyłącznie wtedy, kiedy istnieje przepis prawa, który nakłada spełnienie wymogu niekaralności do zatrudnienia na konkretnym stanowisku, np. osoba, która chce pracować na stanowisku nauczyciela, nie może być skazana prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo skarbowe (art. 10 ust. 5 pkt 4 i ust. 8, art. 91b ust. 2b Karty Nauczyciela). W takiej sytuacji pracodawca, przed zatrudnieniem osoby na tym stanowisku, musi pozyskać od niej zaświadczenie z Krajowego Rejestru Karnego.

Często również pojawia się wątpliwość związana z tym, jak ustalać dopuszczalny zakres pozyskiwanych danych w związku z zatrudnianiem osób w oparciu o umowy cywilnoprawne, jak np. umowę zlecenia. W zakresie tego stosunku prawnego nie mają zastosowania przepisy Kodeksu pracy. Niemniej należy pamiętać, że mogą one stanowić w tym zakresie dla pracodawców cenną wskazówkę, gdyż zakres danych, jakie powinny być pozyskiwane od kandydatów będzie podobny, niezależnie od formy zatrudnienia. Ponadto należy mieć na uwadze, że podstawową zasadą, którą pracodawcy powinni kierować się w każdym procesie rekrutacyjnym, jest zasada minimalizacji danych, o której mowa wprost w art. 5 RODO. Zgodnie z tą zasadą, administrator (w tym wypadku pracodawca) każdorazowo może pozyskiwać jedynie taki zakres danych, jaki pozostaje niezbędny do osiągnięcia konkretnego celu ich przetwarzania.

Co z danymi wrażliwymi?

Zdarza się, że w procesie rekrutacji istnieje konieczność przetwarzania danych szczególnych kategorii, tzw. danych wrażliwych. Katalog danych wrażliwych wskazano w art. 9 ust. 1 RODO i jest on katalogiem zamkniętym. Zgodnie z przywołanym przepisem, do danych osobowych szczególnych kategorii zalicza się: dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby.  

W trakcie procesu rekrutacyjnego najczęściej pojawiają się dane dotyczące stanu zdrowia. Związane to jest w szczególności z ogłoszeniami, które otwarte są również dla kandydatów z niepełnosprawnościami. W trakcie takiego procesu rekrutacyjnego kandydat może również przedłożyć potencjalnemu pracodawcy orzeczenie potwierdzające niepełnosprawność. Zgodnie z art. 2b Ustawy o rehabilitacji zawodowej i społecznej oraz zatrudnianiu osób niepełnosprawnych, przedstawienie pracodawcy dokumentów potwierdzających dane osobowe o stanie zdrowia jest dobrowolne. Należy przy tym pamiętać, że prowadzący rekrutację pracodawca nie ma obowiązku pozyskiwania wówczas dodatkowej zgody na przetwarzanie danych wrażliwych w związku z przekazanym orzeczeniem, ponieważ kandydat przekazuje je z własnej inicjatywy. Możliwość taka wynika wprost z przepisów prawa. Jednocześnie, jak podkreśla Prezes UODO, przedstawienie orzeczenia jest konieczne do przyznania osobie z niepełnosprawnością ulg i świadczeń z tego tytułu, odpowiedniego dostosowania miejsca pracy bądź przyznania jej pierwszeństwa (przy jednoczesnym spełnieniu innych wymagań w naborze na stanowisko w służbie cywilnej).

Warto w tym miejscu zwrócić uwagę również na przepis art. 22(1)(b) § 1 KP, zgodnie z którym zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę tzw. danych wrażliwych wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Przepis ten jasno więc mówi, że pracodawca publikujący ogłoszenie nie może w żaden sposób wymusić na kandydacie udostępnienia danych wrażliwych, wskazując przy tym, że przesyłając swoją aplikację kandydat godzi się na ich przetwarzanie przez potencjalnego pracodawcę. Inicjatywa ich podania musi być po stronie kandydata. Warto również podkreślić, że nawet jeśli w toku prowadzonej rekrutacji zdarzy się, że kandydat z własnej inicjatywy przekaże administratorowi dane osobowe, np. o swoim stanie zdrowia, powinien on wyrazić odrębną zgodę na przetwarzanie tego rodzaju danych osobowych, chyba że możliwość ich przetwarzania przez pracodawcę wynika z przepisów prawa, jak w przypadku zatrudniania pracowników z niepełnosprawnościami.

Wymóg odebrania przez pracodawcę odrębnego oświadczenia wynika z treści art. 9 ust. 2 RODO, zgodnie z którym zgoda na przetwarzanie szczególnych kategorii danych powinna być wyraźna, np. w formie odrębnego oświadczenia. W przypadku braku wyraźnej zgody na przetwarzanie danych wrażliwych pracodawca nie powinien przetwarzać takich danych, a gdy otrzymał je od kandydata, powinien je niezwłocznie usnąć.

Istnieją również sytuacje, w których przepis ustawy nie pozostawia swobody decyzyjnej po stronie kandydata , a wprost nakłada na przyszłego pracodawcę obowiązek pozyskania danych wrażliwych, jak np. art. 25 ust. 2 Ustawy o policji, który stanowi, że przyjęcie kandydata do służby w policji następuje po przeprowadzeniu postępowania kwalifikacyjnego mającego na celu ustalenie, czy kandydat spełnia warunki przyjęcia do służby w policji oraz określenie jego predyspozycji do pełnienia tej służby. Postępowanie kwalifikacyjne składa się m.in. z testu sprawności fizycznej, testu psychologicznego oraz ustalenia zdolności fizycznej i psychicznej do służby w policji. W trakcie całego procesu będzie więc dochodziło do przetwarzania danych o stanie zdrowia kandydata.

Upoważnienie do przetwarzania danych wrażliwych

Istotną kwestią w kontekście przetwarzania danych wrażliwych jest konieczność nadania przez administratora pisemnego upoważnienia osobom dopuszczonym do przetwarzania tych danych.

Obowiązek ten wynika wprost z art. 22(1)(b) § 3 Kodeksu pracy, zgodnie z którym do przetwarzania danych wrażliwych mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie do przetwarzania takich danych, wydane przez pracodawcę. Osoby dopuszczone do przetwarzania takich danych są obowiązane do zachowania ich w tajemnicy.

Podsumowanie

Odpowiedź na pytanie, czy w procesie rekrutacji dopuszczalne jest przetwarzanie danych szczególnych kategorii, jest twierdząca, jednak z zastrzeżeniem, że pracodawca zawsze musi legitymować się ważną podstawą prawną przetwarzania takich danych. Może to być wyraźna zgoda kandydata lub przepis prawa, który nakłada na pracodawcę obowiązek przetwarzania danych wrażliwych.