Przetwarzanie danych osobowych w procesie rekrutacji i w zatrudnieniu

Przeczytaj także: Dane osobowe pracownika i kandydata do pracy

Przetwarzanie danych za zgodą i z mocy przepisów

Przetwarzanie danych osobowych jest możliwe bez uzyskiwania zgody, gdy spełnione zostaną poniższe przesłanki:

• jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,
• jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,
• jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,
• jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

W innych przypadkach wymagana jest zgoda osoby, której dane dotyczą. Akceptacja taka przyjmuje formę pisemnego oświadczenia woli i nie może być domniemana, dorozumiana, ani wymuszona. Nie może również wynikać z oświadczenia woli o innej treści.

Zgoda na przetwarzanie danych osobowych kandydata nie będzie potrzebna w zakresie wymienionym w art. 221 Kodeksu pracy, czyli następujących danych:

• imienia (imion) i nazwiska,
• imion rodziców,
• daty urodzenia,
• miejsca zamieszkania (adres do korespondencji),
• wykształcenia,
• przebiegu dotychczasowego zatrudnienia.

Przeważnie kandydaci umieszczają w CV znacznie więcej danych poza tymi znajdującymi się w zamkniętym katalogu ustawowym. Wówczas podstawą legalności przetwarzania ich danych przez potencjalnego pracodawcę jest zgoda kandydata.

W związku z tym, że kandydat wyraża zgodę na przetwarzanie danych wyłącznie w celu konkretnej rekrutacji niedopuszczalne jest wykorzystywanie ich w innych celach (np. marketingowych), natomiast po zakończonym procesie rekrutacji powinny one zostać usunięte.

Dane osobowe pracownika

Po zatrudnieniu pracownika pracodawca ma prawo żądać uzupełnienia danych wymienionych w w art. 221 Kodeksu pracy o:

• inne dane osobowe pracownika, a także imiona i nazwiska oraz daty urodzenia dzieci pracownika, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy,
• numeru PESEL pracownika nadanego przez Rządowe Centrum Informatyczne Powszechnego Elektronicznego Systemu Ewidencji Ludności (RCI PESEL),
• inne dane osobowe, jeżeli obowiązek ich podania wynika z odrębnych przepisów.

Zakres danych osobowych, których pracodawca może domagać się od pracownika uzupełnia rozporządzenie Ministra Pracy i Polityki Socjalnej z dnia 28 maja 1996 r. w sprawie zakresu prowadzenia przez pracodawców dokumentacji w sprawach związanych ze stosunkiem pracy oraz sposobu prowadzenia akt osobowych pracownika.

Dodatkowo pracodawca ma prawo żądać udokumentowania danych osobowych swoich pracowników w postaci oświadczenia o zgodności danych z dowodem osobistym z podaniem serii i numeru dowodu.

Należy pamiętać, że przetwarzanie danych osobowych musi mieć konkretny i uzasadniony cel, a gromadzone dane muszą być adekwatne w stosunku do tego celu. Pracodawca nie powinien przetwarzać danych niepotrzebnych i zbyt szczegółowych dla osiągnięcia założonego celu. Wykluczone jest przechowywanie w aktach osobowych kserokopii dowodu osobistego pracownika, czy kserokopii aktów zgonu i małżenstwa uprawniające do urlopów okolicznościowych. Wystarczające jest spisanie serii i numeru wymienionych dokumentów.

Upoważnienie do przetwarzania danych

Każdy podmiot będący pracodawcą, a więc jednocześnie administratorem danych osobowych, ma obowiązek upoważnić swoich pracowników mających jakąkolwiek styczność z danymi osobowymi pozostałych zatrudnionych do ich przetwarzania. Bez tego upoważnienia nie wolno ich dopuścić do danych osobowych pracowników. Tak przewiduje art. 37 ustawy o ochronie danych osobowych. Dodatkowo pracodawca ma obowiązek prowadzić ewidencję osób upoważnionych.

Odpowiedzialność

To na pracodawcy jako administratorze danych osobowych spoczywa obowiązek dołożenia szczególnej staranności, aby dane były przetwarzane zgodnie z prawem, nie poddawane dalszemu przetwarzaniu niezgodnemu z pierwotnym celem, a także przechowywane w bezpiecznym miejscu i nie dłużej niż jest to niezbędne dla osiągnięcia celu ich przetwarzania.

Za niestosowanie się do powyższego przewidziana jest sankcja karna. Zgodnie z art. 51 ustawy o ochronie danych osobowych, kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Jeżeli sprawca działa nieumyślnie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.