Trzy kroki do zgodności z RODO w rekrutacji dla HR

Zacznij od trzech rzeczy: przekaż kandydatowi obowiązek informacyjny najpóźniej w momencie zbierania danych, ogranicz zakres danych do tego, co dopuszcza art. 22¹ Kodeksu pracy, i skonfiguruj w swoim ATS automatyczną retencję z możliwością usunięcia lub anonimizacji CV. Reszta przepisów RODO w rekrutacji sprowadza się do udokumentowania tych trzech decyzji tak, by w razie kontroli UODO można było je wykazać.

Krótko mówiąc:

• W rekrutacji obowiązkowo trzeba przekazać kandydatowi informację o przetwarzaniu danych najpóźniej podczas zbierania informacji, preferując publikację ogłoszenia, link do polityki lub automatyczną odpowiedź.

• Podstawą przetwarzania danych wymienionych w art. 22¹ Kodeksu pracy jest obowiązek prawny z art. 6 ust. 1 lit. c RODO, a zgoda i uzasadniony interes mają ograniczone zastosowanie.

• Kontakt z kandydatem z LinkedIn czy innych źródeł publicznych wymaga jasnego, określonego celu i informacji w momencie pierwszego kontaktu, zgodnie z art. 13 i 14 RODO.

• System ATS musi posiadać zabezpieczenia techniczne i organizacyjne, takie jak role, szyfrowanie, logi i automatyczna retencja, aby wykazać zgodność z RODO.

• Przechowywanie CV kandydatów trzeba uzasadnić i cyklicznie weryfikować, aby nie przekraczać proporcjonalnego okresu retencji, w razie potrzeby dokumentując uzasadnienie.

Spis treści

• Obowiązek informacyjny i klauzula informacyjna w rekrutacji

• Zgoda, prawo pracy czy uzasadniony interes: która podstawa prawna działa w rekrutacji

• Sourcing z LinkedIn i innych źródeł publicznych: jak zacząć zgodnie z prawem

• ATS zgodny z RODO: jakie zabezpieczenia techniczne i organizacyjne musisz wdrożyć

• Ile trzymać CV kandydatów: okresy retencji i test równowagi

• Agencja rekrutacyjna a RODO: kto odpowiada za obowiązek informacyjny

• Profilowanie i scoring kandydatów w ATS: gdzie są granice automatyzacji

• Checklista RODO w rekrutacji: co wdrożyć w tym tygodniu

• Perspektywa Recruitify: technologia jako wsparcie, nie zamiennik procedur

• Recruitify jako wsparcie zgodności z RODO w codziennej rekrutacji

• Źródła

Obowiązek informacyjny i klauzula informacyjna w rekrutacji

Artykuł 13 RODO nakazuje przekazać kandydatowi konkretny zestaw informacji, i zrobić to najpóźniej w chwili zbierania jego danych, nie później. To nie jest formalność do dopełnienia po fakcie. Poradnik UODO dla pracodawców precyzuje, że najlepszym momentem jest publikacja ogłoszenia albo moment wypełniania formularza aplikacyjnego.

Klauzula informacyjna, żeby była kompletna, musi zawierać:

• tożsamość i dane kontaktowe administratora danych,

• cele przetwarzania i podstawę prawną dla każdego z nich,

• kategorie odbiorców danych, jeśli dane są komukolwiek przekazywane,

• informację o przekazywaniu danych poza Europejski Obszar Gospodarczy, jeśli do tego dochodzi,

• planowany okres przechowywania danych albo kryteria jego ustalenia,

• prawa kandydata: dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie, wniesienie sprzeciwu i skargi do UODO,

• dane inspektora ochrony danych, jeśli administrator go wyznaczył.

W praktyce masz trzy sposoby wywiązania się z tego obowiązku. Pierwszy to pełna klauzula wprost w treści ogłoszenia. Drugi, wygodniejszy przy dłuższych tekstach, to link do polityki prywatności w rekrutacji umieszczony przy formularzu aplikacyjnym. Trzeci to autoresponder wysyłany automatycznie po otrzymaniu CV, co dopuszczają branżowe interpretacje, o ile treść jest kompletna i łatwo dostępna, a nie schowana w regulaminie.

Porada profesjonalisty: Przy direct search sprawdza się klauzula warstwowa: krótka informacja w pierwszej wiadomości do kandydata, z linkiem do pełnej wersji na stronie firmy. Kandydat dostaje najważniejsze fakty od razu, a Ty nie musisz kopiować całego art. 13 do wiadomości na LinkedIn.

Zgoda, prawo pracy czy uzasadniony interes: która podstawa prawna działa w rekrutacji

Wybór podstawy prawnej z art. 6 RODO decyduje o tym, jak swobodnie możesz operować danymi kandydata i jak łatwo obronisz się przed zarzutem naruszenia. W polskiej rekrutacji trzy podstawy pracują razem, nie zamiennie.

Dla danych wymienionych w art. 22¹ Kodeksu pracy (imię, nazwisko, wykształcenie, przebieg dotychczasowego zatrudnienia, dane kontaktowe) podstawą jest art. 6 ust. 1 lit. c RODO, czyli obowiązek prawny wynikający z Kodeksu pracy. Nie potrzebujesz tu zgody kandydata, bo prawo już Ci daje uprawnienie do przetwarzania. Dla dalszych czynności zmierzających do zawarcia umowy o pracę zastosowanie ma art. 6 ust. 1 lit. b, czyli działania niezbędne przed zawarciem umowy.

Zgoda wchodzi do gry tylko wtedy, gdy chcesz danych wykraczających poza ten katalog: zdjęcia, danych o zainteresowaniach niezwiązanych ze stanowiskiem, czy zgody na udział w przyszłych rekrutacjach. Problem ze zgodą jako główną podstawą jest praktyczny: musi być dobrowolna, a przy relacji kandydat-pracodawca łatwo o zarzut, że kandydat nie miał realnego wyboru.

Trzecia podstawa, uzasadniony interes administratora (art. 6 ust. 1 lit. f), wchodzi zwykle po zakończeniu rekrutacji, głównie do obrony przed roszczeniami. Wymaga udokumentowanego testu równowagi między Twoim interesem a prawami kandydata, o czym więcej w sekcji o retencji.

Sourcing z LinkedIn i innych źródeł publicznych: jak zacząć zgodnie z prawem

Publiczny profil na LinkedIn nie oznacza, że dane kandydata są „wolne” do nieograniczonego wykorzystania. Zgodność direct search z RODO zależy od proporcjonalności: kontakt musi być uzasadniony realnym związkiem między profilem kandydata a konkretnym stanowiskiem, a nie masowym zbieraniem kontaktów „na przyszłość”.

Kluczowa różnica prawna dotyczy tego, który artykuł stosujesz:

1. Art. 13 obowiązuje, gdy dane pozyskujesz bezpośrednio od kandydata, na przykład przez formularz aplikacyjny.

2. Art. 14 obowiązuje, gdy dane pozyskujesz z innego źródła niż sama osoba, czyli właśnie z LinkedIn albo z bazy poleceń. Tutaj informację trzeba przekazać w rozsądnym terminie, najpóźniej przy pierwszym kontakcie.

3. Wiadomość otwierająca kontakt powinna od razu wskazywać cel, tożsamość rekrutera i link do pełnej klauzuli, zamiast czekać na odpowiedź kandydata.

Taki wzorzec chroni Cię podwójnie: kandydat wie, dlaczego się do niego piszesz, a Ty masz dowód, że obowiązek informacyjny został spełniony w momencie pierwszego kontaktu, nie tydzień później.

ATS zgodny z RODO: jakie zabezpieczenia techniczne i organizacyjne musisz wdrożyć

System ATS to miejsce, gdzie zgodność z RODO albo się materializuje, albo się rozsypuje. Dokumentacja UODO dotycząca zabezpieczeń danych wskazuje wprost, że administrator musi wykazać, jakie środki techniczne i organizacyjne zastosował, nie tylko że jakieś zastosował.

W praktyce sprawdź w swoim systemie:

• role i uprawnienia dostępu, tak by rekruter widział tylko kandydatów przypisanych do jego procesów, a nie całą bazę firmy,

• szyfrowanie danych w spoczynku i w transmisji,

• logi zdarzeń, które pokażą, kto i kiedy otworzył dany profil kandydata,

• automatyczne kopie zapasowe z jasno określonym cyklem,

• funkcję automatycznego usuwania lub anonimizacji CV po upływie zadeklarowanego okresu retencji.

Jeśli korzystasz z zewnętrznego dostawcy ATS, to on jest podmiotem przetwarzającym, a Ty administratorem. Umowa powierzenia z art. 28 RODO musi określać zakres przetwarzania, obowiązek zgłaszania naruszeń, warunki podwykonawstwa (subprocesorów) i procedurę zwrotu lub usunięcia danych po zakończeniu współpracy. Analityka rekrutacyjna dobrze zaprojektowana pomaga też wykryć, gdzie dane zalegają dłużej niż powinny.

Porada profesjonalisty: Zanim podpiszesz umowę z dostawcą ATS, zapytaj konkretnie: czy system pozwala ustawić automatyczne usuwanie danych po X miesiącach bez ręcznej interwencji? Jeśli odpowiedź brzmi „trzeba zgłosić do supportu”, to nie jest zgodność z RODO, to obietnica zgodności.

Ile trzymać CV kandydatów: okresy retencji i test równowagi

Nie ma jednego ustawowego terminu przechowywania CV, co często dezorientuje działy HR. Termin ustala administrator, biorąc pod uwagę cel przetwarzania i realne ryzyko sporu.

Praktyka rynkowa ustala zwykle różne okresy przechowywania danych kandydatów, w zależności od sytuacji oraz podstawy prawnej; jednak nie ma jednego ustawowego terminu. Dane osób odrzuconych mogą być przechowywane przez okres potrzebny do realizacji procesu, a w przypadku zgody na przyszłe rekrutacje lub uzasadnionego interesu administratora okres ten jest zazwyczaj dłuższy, uwzględniając także konieczność obrony przed potencjalnymi roszczeniami.

Ta trzecia opcja ma oparcie w orzecznictwie. Naczelny Sąd Administracyjny (sygn. III OSK 2700/22) potwierdził, że dłuższe przechowywanie danych kandydata może być uzasadnione potrzebą obrony przed roszczeniem, ale nie zwalnia to z obowiązku przeprowadzenia i zapisania testu równowagi. Dokument z testu powinien wskazywać, jakie ryzyko uzasadnia retencję, dlaczego jest proporcjonalne i kiedy zostanie ponownie zweryfikowane.

Bez takiego zapisu trzymanie CV „na wszelki wypadek” jest właśnie tym błędem, na który wskazują praktyczne przewodniki HR: danymi, których nikt formalnie nie potrzebuje, a które leżą w bazie bez podstawy prawnej. Ustal cykliczny audyt, na przykład kwartalny, który usuwa albo anonimizuje profile przekraczające zadeklarowany termin.

Agencja rekrutacyjna a RODO: kto odpowiada za obowiązek informacyjny

Współpraca z agencją rekrutacyjną wymaga jasnego określenia roli każdej ze stron, bo od tego zależy, kto faktycznie ponosi odpowiedzialność wobec kandydata. W praktyce zdarzają się trzy scenariusze.

• Agencja działa jako podmiot przetwarzający na zlecenie Twojej firmy: obowiązuje wtedy umowa powierzenia z art. 28, a obowiązek informacyjny formalnie spełnia Twoja firma jako administrator, choć operacyjnie może to robić agencja w Twoim imieniu.

• Agencja działa jako niezależny administrator, na przykład gdy sama buduje bazę kandydatów do wielu klientów: informuje kandydatów sama, na własnej podstawie prawnej.

• Obie strony są współadministratorami (art. 26), gdy wspólnie decydują o celach i sposobach przetwarzania: wymaga to pisemnego porozumienia określającego, kto realizuje który element obowiązku informacyjnego i kto odpowiada na żądania kandydatów.

Niezależnie od modelu, kandydat musi w każdej chwili wiedzieć, do kogo zwrócić się z pytaniem o swoje dane. Brak tej jasności to jeden z częstszych powodów skarg do UODO w kontekście rekrutacji zewnętrznej.

Profilowanie i scoring kandydatów w ATS: gdzie są granice automatyzacji

Coraz więcej systemów ATS oferuje automatyczne rankingowanie czy scoring kandydatów na podstawie CV. Art. 22 RODO ogranicza tu Twoje pole działania: kandydat ma prawo nie podlegać decyzji opartej wyłącznie na automatycznym przetwarzaniu, jeśli wywołuje ona dla niego istotne skutki prawne, na przykład automatyczne odrzucenie z procesu bez udziału człowieka.

W praktyce oznacza to konkretne obowiązki:

• jeśli ATS automatycznie odrzuca kandydatów poniżej określonego wyniku, musi istnieć realna możliwość interwencji człowieka i odwołania się od decyzji,

• klauzula informacyjna powinna wprost wspominać o profilowaniu, jeśli je stosujesz, a nie ukrywać ten fakt w ogólnych sformułowaniach o „automatyzacji procesów”,

• jeśli wykorzystujesz modele oparte na sztucznej inteligencji do oceny kandydatów, dokumentuj, na jakich danych są trenowane i jak testujesz je pod kątem obciążenia (bias) wobec określonych grup.

Bezpieczniejsze podejście to traktowanie scoringu jako wsparcia decyzyjnego dla rekrutera, nie jako finalnego werdyktu.

Checklista RODO w rekrutacji: co wdrożyć w tym tygodniu

Zamiast czytać kolejny przepis, zrób to od razu:

1. Dodaj klauzulę informacyjną do wszystkich aktywnych ogłoszeń i formularzy aplikacyjnych.

2. Sprawdź w ATS, czy działa automatyczne usuwanie lub anonimizacja danych po ustalonym terminie.

3. Ogranicz pola formularza do zakresu z art. 22¹ Kodeksu pracy, chyba że dodatkowe dane mają jasną podstawę prawną.

4. Przygotuj szablon wiadomości otwierającej kontakt przy direct search, z linkiem do klauzuli.

5. Zweryfikuj umowę z dostawcą ATS pod kątem zapisów z art. 28.

6. Ustal harmonogram audytu retencji danych, na przykład raz na kwartał.

Perspektywa Recruitify: technologia jako wsparcie, nie zamiennik procedur

Dobrze skonfigurowany ATS nie zastąpi decyzji prawnych, ale radykalnie ułatwia ich wykonanie. Uprawnienia dostępu, automatyczna retencja i logi zdarzeń zmieniają zgodność z RODO z ręcznej, podatnej na błędy procedury w ustawienie, które działa w tle. Największym ryzykiem nie jest brak wiedzy o przepisach, lecz brak systemu, który wymusza ich stosowanie każdego dnia, a nie tylko przy audycie.

— Recruitify Team

Recruitify jako wsparcie zgodności z RODO w codziennej rekrutacji

Recruitify zamienia rozproszone arkusze i skrzynki mailowe w jeden system, gdzie uprawnienia dostępu, retencja danych i historia działań są widoczne i konfigurowalne, a nie rozsiane po kilku narzędziach naraz.

Zamiast ręcznie śledzić, które CV przekroczyło termin przechowywania, ustawiasz reguły raz i pozwalasz systemowi pilnować terminów. System ATS Recruitify dla działów HR łączy zarządzanie kandydatami z kontrolą dostępu i historią zdarzeń w jednym miejscu, co ułatwia wykazanie zgodności przed UODO, gdyby taka potrzeba się pojawiła. Firmy korzystające z Recruitify zyskują też dostęp do praktycznych materiałów, jak ebook o wyzwaniach rekrutacyjnych w HR, który rozwija tematy związane z organizacją procesu rekrutacyjnego. Sprawdź, jak wygląda konfiguracja retencji i uprawnień w Twoim przypadku, umawiając prezentację systemu.

Źródła

Zamiast szukać odpowiedzi za każdym razem od nowa, warto trzymać pod ręką kilka dokumentów. Poradnik UODO dla pracodawców to podstawowe źródło dotyczące zakresu danych i obowiązku informacyjnego w rekrutacji, wart wydrukowania i przechowywania razem z wewnętrzną polityką HR. Dokumentacja techniczna UODO dotycząca zabezpieczeń stanowi punkt odniesienia przy negocjacjach z dostawcą ATS.

Dla szkoleń zespołu HR z zakresu przepisów i dobrych praktyk przydatny bywa blog Together Consulting, gdzie znajdziesz materiały o organizacji procesów rekrutacyjnych. Zachowuj kopie każdej wersji klauzuli informacyjnej, którą stosujesz, wraz z datą wprowadzenia, to najprostszy dowód na to, że Twoja firma traktuje zgodność z RODO jako proces, nie jednorazowe działanie.

• Poradnik dla pracodawców — UODO (fragmenty dotyczące rekrutacji)

• UODO — Poradnik powiązany / dokumenty (art-docs)

Rekomendacje

• System ATS dla działów HR

• Pokonywanie wyzwań rekrutacyjnych w HR

• Projekty rekrutacyjne | Kontrola nad procesem HR

• Od Ręcznych Procesów do Automatyzacji: Jak Przejść na Nowoczesny „Workflow Rekrutacyjny”