Dane osobowe kandydatów dla celów przyszłych rekrutacji mogą być przetwarzane jedynie wówczas, gdy pracodawca pozyskał stosowną zgodę na przetwarzanie danych w tym celu. Okres przechowywania danych na potrzeby przyszłych procesów rekrutacyjnych powinien być ustalony przez pracodawcę z uwzględnieniem specyfiki jego działalności, w tym w szczególności liczby toczących się rekrutacji, rotacji na konkretnych stanowiskach czy też dostępności na rynku kandydatów określonej branży. Oczywiście, termin przetwarzania danych osobowych, zgodnie z zasadą ograniczenia przechowywania danych wyrażoną w RODO, powinien być możliwie najkrótszy.

Przekładając powyższe na konkretne liczby, należy stwierdzić, że dane osobowe co do zasady nie powinny być przetwarzane w omawianym celu dłużej niż dwa lata od momentu ich pozyskania.

LinkedIn jest platformą dedykowaną relacjom biznesowym. Jak wskazuje Prezes UODO w swoim poradniku dla pracodawców, portale takie, umożliwiając kandydatom do pracy czy pracodawcom wzajemny kontakt, ułatwiają efektywne znalezienie pracy lub pracownika. Najczęściej, użytkownicy takich portali (poszukujący pracy), zanim zaczną korzystać z usług oferowanych przez portale, muszą zapoznać się z regulaminami, politykami prywatności i je zaakceptować. Jeżeli możliwość korzystania z takiego portalu będzie wiązała się z obowiązkiem podania danych (aby założyć konto i aby dane z tego konta mogły być udostępniane potencjalnym pracodawcom), portal musi mieć do tego podstawy prawne. Przepisem umożliwiającym pozyskiwanie, gromadzenie, udostępnianie danych użytkowników (kandydatów do pracy) będzie zgoda osoby, której dane dotyczą lub potrzeba wykonania umowy (ewentualnie podjęcie działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy). Stąd nie ma potrzeby pozyskiwania osobnej zgody od kandydatów na kontakt via LinkedIn.

Jeśli chodzi o możliwość kontaktowania się (w związku z tym: przetwarzania danych) przez pracodawcę z kandydatem w innej formie, np. mailowej (poza portalem, na którym doszło do kontaktu), również nie ma konieczności pozyskiwania zgody, ponieważ kontakt w tych celach stanowi prawnie uzasadniony interes pracodawcy i odbywa się w oparciu o art. 6 ust. 1 lit. f RODO. Osoba, która udostępnia swoje dane kontaktowe na LinkedIn może spodziewać się kontaktu ze strony rekruterów. Warto jednak zwrócić uwagę na funkcjonalność udostępnianą przez LinkedIn, tj. możliwość zaznaczenia przez użytkownika, że jest otwarty na oferty rekrutacyjne i kierować oferty pracy/współpracy do osób, które zaznaczyły w swoim profilu taką otwartość.

Tak, jeśli są to portale społecznościowe o charakterze biznesowo-zawodowym typu LinkedIn. Podstawą prawną przetwarzania takich danych będzie wówczas uzasadniony interes pracodawcy (art. 6 ust. 1 lit. f RODO). Pracodawca nie powinien weryfikować kandydata na portalach o charakterze prywatnym, np. Facebook, Instagram.

Agencja rekrutacyjna, świadcząc usługi rekrutacyjne, co do zasady pełni rolę odrębnego administratora danych w stosunku do danych osobowych kandydatów do pracy. Rola i obowiązki agencji wynikają w szczególności z Ustawy o promocji zatrudnienia i należy przez nie rozumieć świadczenie usług pośrednictwa pracy polegających m.in. na organizowaniu kontaktów osób poszukujących odpowiedniego zatrudnienia z pracodawcami, a także na udzielaniu pracodawcom informacji o kandydatach do pracy oraz usług doradztwa personalnego.

W związku z powyższym, co do zasady na pracodawcy nie ciąży obowiązek zawarcia umowy powierzenia przetwarzania danych z agencją. Niemniej pracodawca powinien pamiętać, że otrzymując dane kandydata od agencji staje się ich odrębnych administratorem i w związku z tym ciążą na nim obowiązki wynikające z RODO, w szczególności takie jak konieczność spełnienia obowiązku informacyjnego, o którym mowa w art. 14 RODO, względem kandydata.