Subskrybuj nas na Youtube
Nawet ze zgodą kandydata nie będzie można przetwarzać szczególnych kategorii danych – o nałogach, stanie zdrowia, życiu seksualnym lub orientacji. Nie oznacza to, że przetwarzanie innych danych osobowych wrażliwych będzie na etapie rekrutacji możliwe
Przygotowany w związku z koniecznością wdrożenia do prawa krajowego rozporządzenia 2016/679 o ochronie danych osobowych (dalej: rodo), które zacznie być stosowane od 25 maja 2018 r., i opublikowany 14 września projekt rozstrzyga istotne wątpliwości interpretacyjne, które od dłuższego czasu rodziła praktyka stosowania obecnych przepisów prawa pracy, w szczególności w zakresie możliwości pozyskiwania zgód kandydatów do pracy. Podstawą wprowadzenia proponowanych zmian jest przepis art. 88 ust. 1 rodo, którego znaczenie wyjaśnia motyw 155 preambuły, zgodnie z którym „w prawie państwa członkowskiego lub w porozumieniach zbiorowych, w tym zakładowych porozumieniach z przedstawicielami pracowników, mogą być przewidziane przepisy szczegółowe o przetwarzaniu danych osobowych pracowników w związku z zatrudnieniem, w szczególności warunki, na których dane osobowe w związku z zatrudnieniem można przetwarzać za zgodą pracownika do celów procedury rekrutacyjnej”. Chociaż nie wynika to z art. 88 ust. 1 rodo, przesądza to o możliwości uregulowania przez państwa członkowskie także kwestii zgód na etapie rekrutacji.
Podstawy przetwarzania
Projekt, podobnie jak obecnie obowiązujące przepisy kodeksu pracy, definiuje zakres danych osobowych, które mogą być pozyskiwane na etapie rekrutacji (m.in. imię i nazwisko, nr telefonu). W zakresie danych osobowych wskazanych w art. 221 par. 1 k.p. nie uzyskuje się zgody na przetwarzanie danych osobowych od kandydatów do pracy. Podobnie bez zgody kandydata pracodawca będzie mógł przetwarzać inne niż wymienione w projektowanym art. 221 par. 1 k.p. dane, jeżeli obowiązek ich podania wynikać będzie z przepisu prawa lub gdy będzie to niezbędne do wypełnienia obowiązku. Co istotne, dotyczy to także danych wrażliwych, w tym danych biometrycznych (projektowany art. 222 par. 2 i 5 k.p.).
Problem dopuszczalności przetwarzania danych osobowych kandydatów do pracy na podstawie ich zgody będzie aktualny, gdy pracodawca:
● nie będzie mógł przetwarzać ich danych osobowych w oparciu o przepis kodeksu pracy,
● nie będzie w stanie wykazać, że obowiązek podania danych wynika z przepisu prawa (przepisu szczególnego) lub gdy przetwarzanie danych jest niezbędne do wypełnienia obowiązku (projektowany art. 223 par. 1 k.p.).
Na gruncie jeszcze obowiązującego prawa zbieranie zgód od kandydatów do pracy na przetwarzanie innych danych jest kwestią dość kontrowersyjną, nieuregulowaną wprost w przepisach kodeksu pracy. Jak wskazuje generalny inspektor ochrony danych osobowych, pracodawca nie może sugerować innego niż wyrażony w przepisach prawa pracy zakresu danych, które kandydat miałby mu przekazywać za swoją zgodą, gdyż w relacjach pracodawca – kandydat do pracy trudno byłoby uznać taką zgodę za dobrowolną, co potwierdził m.in. Naczelny Sąd Administracyjny w wyroku z 1 grudnia 2009 r. (sygn. akt I OSK 249/09).
Warunki dopuszczalności
Projekt zmian w kodeksie pracy wyraźnie dopuszcza pozyskiwanie dodatkowych danych osobowych kandydata do pracy w oparciu o udzieloną przez niego zgodę. Stosownie do projektowanego art. 222 par. 1 k.p., przetwarzanie przez pracodawcę innych danych osobowych niż wymienione we wskazanym powyżej katalogu (np. w ramach testów językowych) jest dopuszczalne tylko wtedy, gdy dotyczą one stosunku pracy, a kandydat wyrazi na to zgodę w oświadczeniu. Takie oświadczenie może być przy tym złożone w postaci papierowej lub elektronicznej. Projekt różni się w tym zakresie od przepisów rodo, które nie zawierają w swej treści wymogu udzielenia zgody na przetwarzanie danych osobowych w określonej formie.
Możliwość pozyskiwania dodatkowych danych osobowych w oparciu o zgodę kandydata nie będzie dotyczyć danych osobowych biometrycznych, tj. danych osobowych, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby, takich jak dane daktyloskopijne. Z punktu widzenia rekrutacji przede wszystkim istotna jest kwestia przetwarzania wizerunku kandydata. W tym kontekście trzeba stwierdzić, że – jeśli przepis szczególny nie będzie dawał takiej podstawy – to przetwarzanie wizerunku kandydata dopuszczalne będzie w oparciu o jego zgodę, chyba że wizerunek zostanie zakwalifikowany jako dana biometryczna. W tym ostatnim przypadku nawet zgoda nie zalegalizuje takiego przetwarzania. Co istotne, nie każdy wizerunek jest daną biometryczną – kluczowa jest tutaj kwestia technicznego przetwarzania i jednoznacznej identyfikacji danej osoby. Wobec tego przetwarzanie wizerunku utrwalonego w postaci zdjęcia nadrukowanego w CV kandydata nie będzie przetwarzaniem danych osobowych biometrycznych (ale będzie nim już zastosowanie rozwiązań pozwalających na rozpoznawanie twarzy w urządzeniach mobilnych).
Artykuł 222 par. 5 k.p. wskazuje, że w oparciu o zgodę kandydata niemożliwe będzie przetwarzanie także innych szczególnych kategorii danych osobowych, tj. informacji o nałogach, stanie zdrowia, życiu seksualnym lub orientacji seksualnej. Nie oznacza to jednak, iż a contrario przetwarzanie innych danych osobowych wrażliwych (oraz danych o karalności) za zgodą kandydata będzie na etapie rekrutacji możliwe. Takie wnioskowanie byłoby sprzeczne z wyrażoną w rodo zasadą minimalizacji danych.
Choć projekt nie odnosi się wprost do przetwarzania danych kandydata na potrzeby przyszłych rekrutacji, jak się wydaje, należy się opowiedzieć za dopuszczalnością takiego przetwarzania w oparciu o jego zgodę, analogicznie jak ma to miejsce na gruncie aktualnie obowiązujących przepisów.
Brak wyrażenia zgody na przetwarzanie danych na potrzeby rekrutacji nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie ani powodować wobec niej jakichkolwiek negatywnych konsekwencji. W szczególności nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenia stosunku pracy lub jego rozwiązania bez wypowiedzenia przez pracodawcę.
Stara zgoda wystarczy
Zgodnie z motywem 171 rodo, jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46/WE, osoba, której dane dotyczą, nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom niniejszego rozporządzenia; dzięki temu administrator może kontynuować przetwarzanie po dacie rozpoczęcia stosowania niniejszego rozporządzenia. Oznacza to, iż zgody zebrane od kandydatów przed 25 maja 2018 r. będą skuteczne, o ile będą sformułowane w sposób zgodny z rodo oraz obejmujący zakres opisanych danych.