Klauzula zgody w CV a RODO – kiedy jest potrzebna, a kiedy zbędna
W większości procesów rekrutacyjnych w Polsce dodawanie klauzuli zgody w CV nie jest wymagane przez RODO i często jest zbędne. Zgoda jest potrzebna tylko w ściśle określonych przypadkach, np. przy danych szczególnej kategorii lub wykorzystaniu CV w przyszłych rekrutacjach.
Zgoda jest jedną z podstaw prawnych uprawniających dany podmiot (administratora danych) do przetwarzania danych osobowych (RODO, art. 6 ust. 1 lit. a).
Kiedyś wrzucanie klauzuli zgody do CV było standardem. I choć RODO rozgościło się u nas już ładnych parę lat temu, a sam UODO wskazywał na niepoprawność tej praktyki – wciąż nie do końca potrafimy się z nią pożegnać.
Rekruterzy wymagają (często niepoprawnie sformułowanej klauzuli).
Kandydaci panikują, czy jak jej nie wkleją to automatycznie wypadną z procesu rekrutacyjnego.
I tak błędne koło się zamyka.
Dlaczego klauzula zgody w CV zwykle NIE jest uzasadniona zgodnie z RODO?
Ponieważ:
(1) Część danych przetwarzana jest nie na podstawie zgody, tylko z obowiązku prawa (np. Kodeks pracy) lub w celu podjęcia działań niezbędnych do zawarcia umowy.
(2) Dla większości pozostałych danych wystarczy zgoda dorozumiana (czyli sam fakt wysłania CV).
O jakiego rodzaju danych osobowych mowa?
Dane osobowe możemy podzielić na trzy kategorie:
(1) Tzw. dane zwykłe, takie jak imię, nazwisko, adres zamieszkania, data i miejsce urodzenia, numer telefonu, zawód, wizerunek – np. zdjęcie w CV, adres e-mail itp.
(2) Szczególne kategorie danych osobowych (tzw. dane wrażliwe), stanowiące zamknięty katalog z art. 9 RODO, ujawniające:
– pochodzenie rasowe lub etniczne,
– poglądy polityczne,
– przekonania religijne lub światopoglądowe,
– przynależność do związków zawodowych,
– dane genetyczne,
– dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej,
– dane dotyczące zdrowia, seksualności lub orientacji seksualnej tej osoby;
(3) Dane dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa, wymienione w art. 10 RODO.
Jakie dane mogą być przetwarzane bez zgody kandydata w procesie rekrutacji?
Zgoda na przetwarzanie danych osobowych w CV nie jest domyślną podstawą prawną rekrutacji i w większości przypadków nie jest wymagana zgodnie z RODO.
(1) Przy rekrutacji na umowę o pracę
Tu Kodeks pracy (art. 22 (1) § 1) wymaga konkretnych danych:
– imię i nazwisko,
– data urodzenia,
– dane kontaktowe oraz
– wykształcenie, kwalifikacje zawodowe oraz przebieg dotychczasowego zatrudnienia (z wyłączeniem informacji o wynagrodzeniu w obecnym i poprzednich stosunkach pracy) – przy czym podanie tych danych jest wymagane tylko kiedy jest to niezbędne do pracy na określonym stanowisku.
W przypadku poszczególnych zawodów mogą istnieć dodatkowe przepisy zezwalające bądź nakazujące pracodawcy zebranie od kandydata dodatkowych danych.
(2) Przy rekrutacji na umowy cywilnoprawne (B2B, zlecenie, dzieło)
Tu nie działa Kodeks pracy, ale dane niezbędne do zawarcia umowy można przetwarzać na podstawie „podjęcia działań przed zawarciem umowy” (RODO art. 6(1)b) lub wypełnienia obowiązku prawnego (jeśli istnieją odrębne przepisy mające zastosowanie w danej sytuacji). To, jakie dane są niezbędne, ustala się w zależności od danej sytuacji, co do zasady, katalog danych nie powinien odbiegać od informacji przewidzianych w Kodeksie pracy.
W dwóch powyższych przypadkach dane nie są przetwarzane na podstawie żadnej zgody.
Jakie dane można przetwarzać na podstawie zgody dorozumianej w rekrutacji?
Poza danymi wymaganymi w rekrutacji, w CV często znajdują się dodatkowe informacje – najczęściej zainteresowania, linki do social mediów (np. LinkedIn, portfolio), projekty. W większości to będą dane „zwykłe”, nie mające charakteru wrażliwego.
Takie informacje można przetwarzać na podstawie zgody kandydata. Ale nie jest tu potrzebna żadna dodatkowa klauzula. Samo wysłanie CV przez kandydata jest traktowane jako zgoda dorozumiana na przetwarzanie danych zwykłych zawartych w CV.
Kiedy potrzebna jest wyraźna, pisemna klauzula zgody w CV?
Są właściwie dwa przypadki, w których dołączenie klauzuli zgody faktycznie ma sens i jest wymagane:
(1) Gdy w CV znajdują się szczególne kategorie danych (art. 9 RODO)
Wyraźna, pisemna zgoda jest potrzebna tylko wtedy, gdy kandydat z własnej inicjatywy ujawnia w CV dane szczególnej kategorii w rozumieniu art. 9 RODO – np. o poglądach politycznych, wyznaniu, zdrowiu czy orientacji seksualnej – i nie wynika to z obowiązku podania takich danych z przepisów prawa.
Warto pamiętać, że:
- pracodawca nie może zachęcać kandydata do podania takich danych ani o nie wypytywać, jeśli prawo nie daje mu wyraźnej podstawy (Kodeks pracy, art. 22(1b) §1),
- przy danych o wyrokach skazujących (RODO art. 10) w ogóle nie działa zgoda – można je przetwarzać tylko na podstawie konkretnych przepisów prawa.
(2) Gdy kandydat chce, aby firma wykorzystała jego CV w przyszłych rekrutacjach
Jeśli ktoś chce umożliwić ponowne użycie swoich danych w innych procesach rekrutacyjnych, musi wyrazić na to zgodę. Bez niej CV można wykorzystać wyłącznie w tej jednej rekrutacji, na którą zostało wysłane.
Dużo firm rozwiązuje dziś te dwie kwestie wewnętrznymi formularzami, checkboxami lub klauzulami pojawiającymi się przy aplikacji online. Jeśli zgoda została już zebrana w taki sposób, wpisywanie jej ponownie w CV jest zbędne – choć nie jest błędem, o ile treści się nie wykluczają.
Jakie dane z CV mogą być traktowane jako dane szczególnej kategorii (art. 9 RODO)?
RODO wskazuje zamknięty katalog takich danych.
Jak odróżnić w CV dane zwykłe od tych wpadających w katalog art. 9 RODO?
Przykładowo, informacja „Lubię oglądać debaty polityczne” lub „Pasjonuje mnie religioznawstwo” – to informacje ogólne, nie ujawniające poglądów politycznych i przekonań religijnych. Ale „Popieram partię XYZ” lub „Jestem praktykującym katolikiem” – już zdecydowanie tak.
Co do zasady – jeśli jakaś informacja nie jest wymagana przepisami albo nie jest naprawdę potrzebna w procesie rekrutacji, nie powinna się w CV znaleźć.
Dlaczego większość klauzul zgody w CV jest po prostu błędna?
Bo w większości nie są dostosowane do powyższych stanów faktycznych, zawierają nieaktualne podstawy prawne lub wprowadzają w błąd, przez co są wadliwe i nie przynoszą żadnej wartości.
Jak powinna wyglądać poprawna klauzula zgody w CV?
Nie istnieje jeden oficjalny wzór.
Nie ma więc np. wymogu przytaczania podstawy prawnej lub podawania nazwy firmy.
Zgoda w CV musi być za to dopasowana do sytuacji, na którą zgadza się kandydat.
Przykład 1:
„Wyrażam zgodę na przetwarzanie moich danych przez XYZ w celu wykorzystania ich w kolejnych naborach prowadzonych przez 6 miesięcy.”
Przykład 2:
„Wyrażam zgodę na przetwarzanie zawartych w CV danych osobowych szczególnej kategorii, o których mowa w art. 9 ust. 1 RODO.”
Czy zgodę w CV można wycofać?
Tak, zgodę na przetwarzanie danych osobowych zawartą w CV można w każdej chwili wycofać. Wycofanie zgody nie wymaga uzasadnienia i nie może powodować negatywnych konsekwencji dla kandydata, jednak działa wyłącznie na przyszłość.
Wycofanie zgody nie wpływa na legalność działań sprzed jej cofnięcia, ale od tego momentu firma traci prawo do dalszego przetwarzania danych. O takim prawie należy informować w momencie pozyskiwania danych.
Powyższy artykuł dotyczy polskiego porządku prawnego i jest oparty o stan prawny, aktualne orzecznictwo oraz praktykę stosowaną w momencie publikacji artykułu. Zakres i sposób przetwarzania danych osobowych w ramach rekrutacji i stosunku pracy może się różnić pomiędzy krajami i jest uzależniony od lokalnych przepisów prawa na terytorium danego państwa.
Źródła i więcej informacji:
Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy (Dz.U. 1974 nr 24 poz. 141)
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000)
Urząd Ochrony Danych Osobowych, Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców, październik 2018.