Co zrobić, jeżeli w CV nie zawarto zgody na przetwarzanie danych osobowych?

Zgodnie z przepisami RODO, czyli Rozporządzenia 2016/679 z dnia 27 kwietnia 2016 r. o ogólnej ochronie danych osobowych, w każdym przypadku przetwarzanie danych osobowych powinno odbywać się w oparciu o określoną podstawę prawną. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy spełniony jest co najmniej jeden z warunków określonych w art. 6 RODO.

Przepisy rozporządzenia w ww. normie prawnej przewidują, że podstawą przetwarzania danych osobowych (m.in. w przypadku cv) może być:

• zgoda osoby, której dane dotyczą,
• przetwarzanie jest niezbędne do wykonania (lub zawarcia) umowy, której stroną jest osoba,
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
• przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
• przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią (wyjątkiem w tym zakresie jest sytuacja, w której nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą).

Niewątpliwie, w przypadku procesów rekrutacyjnych na pierwszy rzut oka można mówić o prawnie uzasadnionych interesach administratora lub też wypełnieniu obowiązku prawnego, który ciąży na administratorze. W tych kwestiach może jednak wystąpić wiele wątpliwości, bowiem są to stwierdzenia “nieostre”, które każdorazowo trzeba poddać procesowi wykładni.

Z tego względu wiele przedsiębiorców- pracodawców decyduje się przetwarzać dane osobowe na podstawie zgody kandydata umieszczonej w CV. Zazwyczaj jednak zgoda ta wyrażona jest w formie gotowych klauzul dostępnych na wzorach CV (najczęściej w postaci: wyrażam zgodę na przetwarzanie moich danych osobowych…), czy zbierana przy użyciu portali z ogłoszeniami o pracę.

Na samym początku warto wskazać, że w tym tekście poruszamy kwestię CV bez klauzuli o wyrażeniu zgody na przetwarzanie danych osobowych, a nie o CV procedowanym bez zgody kandydata. Nie ulega wątpliwości, że w przypadku rekrutacji kandydat musi wyrazić zgodę na przetwarzanie danych osobowych w określonej formie.

Wspomnieliśmy o formie wyrażenia zgody na przetwarzanie danych osobowych. Jest to aspekt, który warto dokładniej przeanalizować.

Zgodnie z motywem 32 RODO, zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, (…) która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia (…) lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych. Tym samym jasne jest, że zgoda na przetwarzanie danych nie musi być w formie pisemnej. Zgodą może być całokształt czynności poprzedzających przesłanie aplikacji, jeżeli okoliczności ich dokonania nie budzą żadnych wątpliwości.

W związku z powyższym- z perspektywy pracodawcy możliwe jest procedowanie CV bez klauzuli na przetwarzanie danych osobowych, pod warunkiem, że zgoda została wyrażona w inny, nawet dorozumiany sposób. Takim sposobem może być m.in przesłanie aplikacji, maila czy listu polecającego. Z drugiej strony pamiętajmy, że pracodawcy może być ciężko udowodnić (czy nawet sprawdzić) czy to kandydat przesłał aplikację i wyraził zgodę (a nie np. członek jego rodziny czy partner, potajemnie).

Zgodnie z przepisami warto pamiętać, że w razie ewentualnej kontroli, to przedsiębiorca musi wykazać, że przetwarza dane zgodnie z prawem. Z punktu widzenia bezpieczeństwa prawnego w przedsiębiorstwie, w wielu wątpliwych przypadkach warto podchodzić do tematu RODO w trakcie rekrutacji z należytą ostrożnością.

Oczywiście, najbardziej klarowne jest wyrażenie zgody w formie pisemnej czy dokumentowej. CV bez klauzuli i zgody na przetwarzanie danych osobowych nie musi byćjednak przez pracodawcę automatycznie skreślone (chyba, że zawiera tzw. dane wrażliwe).

Powyżej opisaliśmy prawne aspekty rozpatrywania CV bez klauzuli RODO. Warto jednak zwrócić uwagę na jeszcze jedną kwestię- mianowicie na kwestię wykorzystywania (bądź usunięcia) CV po zakończeniu procesów aplikacyjnych.

Nie ulega wątpliwości, że większość klauzul (nawet publicznie dostępnych wzorców) zawiera również zgodę na przetwarzanie danych osobowych na potrzeby przyszłych rekrutacji. Jak w przypadku brakiem takiej klauzuli pracodawca powinien postąpić z aplikacją po zakończeniu danej konkretnej rekrutacji?

Kwestia ta może budzić wątpliwości, bowiem zgodnie z RODO, zgoda na przetwarzanie danych osobowych (w tym również zgoda udzielona w sposób dorozumiany) powinna być jednoznaczna. W praktyce najprostsze rozwiązania często są najbezpieczniejsze i najskuteczniejsze- zatem warto skontaktować się z kandydatem (np. w formie mailowej) i zapytać, czy jego CV może zostać pozostawione w bazie danych i wykorzystane na potrzeby przyszłych rekrutacji.

Alternatywnie, można go poinformować o określonym czasie przetwarzania danych. Co do zasady przedsiębiorca – pracodawca nie powinien przetwarzać danych zbyt długo. Można zatem poinformować o np. przetwarzaniu danych z CV przez 6-12 miesięcy od zakończenia rekrutacji. Nasza praktyka pokazuje, że ten okres nie jest zbyt nadmierny w ocenie Prezesa UODO i nie powinna narażaćprzedsiębiorcę na negatywne konsekwencje prawne.

Warto jednak pamiętać, że orzecznictwo i poglądy UODO mogą się zmieniać, warto zatem “wejśćw szczegóły” i przeanalizować najnowsze orzecznictwo, jeżeli w Państwa przedsiębiorstwie zajdzie potrzeba wykorzystania CV zebranych przy okazji poprzednich rekrutacji.