Poznaj nasze usługi z zakresu
ochrony danych osobowych (RODO)Po zamknięciu rekrutacji w bazach HR często zostają dziesiątki CV osób, które nie zostały zatrudnione. Część pracodawców trzyma je „na wszelki wypadek”, licząc na wykorzystanie w kolejnych naborach. Z perspektywy RODO nie jest to jednak obojętne. Pracodawca musi wiedzieć, kiedy CV należy usunąć, kiedy można je zachować i na jakich warunkach wolno wykorzystać je w kolejnych rekrutacjach.
Co dzieje się z CV kandydatów po zakończeniu rekrutacji w praktyce?
Pracodawca prowadzi rekrutację na otwarte stanowisko. W odpowiedzi na ogłoszenie każdego dnia wpływają kolejne zgłoszenia – czasem kilka, czasem kilkanaście, a w większych procesach nawet kilkadziesiąt CV potencjalnych kandydatów. Po dniach, tygodniach, a niekiedy miesiącach rozmów, analiz i porównań udaje się wyłonić osobę najlepiej odpowiadającą potrzebom organizacji. Dochodzi do ostatnich ustaleń, przygotowania dokumentów i podpisania umowy. Rekrutacja zakończona.
W tym momencie pojawia się jednak często praktyczny problem: co zrobić z CV pozostałych kandydatów? Często spotykaną rekcją jest pozostawienie ich w systemie „na przyszłość” – na potrzeby kolejnych naborów, czy potencjalnego kontaktu za kilka miesięcy. Tak właśnie dokumenty aplikacyjne osób, które nie zostały zatrudnione, często pozostają w bazach HR dłużej, niż wynikałoby to z pierwotnego celu ich zebrania.
Przechowywanie CV na zapas a zgodność z przepisami RODO
My również znamy takie scenariusze aż za dobrze.
Jednakże nie od strony prowadzonych przez nas rekrutacji, a od strony klientów, którzy przychodzą do nas z problemami dotyczącymi zgodności z wymogami stawianymi przez RODO i powracającym co jakiś czas pytaniem – „Czy przechowywanie CV kandydatów na zapas jest zgodne z RODO?”.
Co zrobić z CV kandydatów po zamknięciu rekrutacji?
Nie pozostawiają one również w tym zakresie zbyt wiele dowolności w obszarze tego, co z takimi CV po zakończeniu rekrutacji zrobić.
CV kandydatów niezatrudnionych co do zasady należy usunąć niezwłocznie po zakończeniu rekrutacji. W momencie podpisania umowy z wybranym kandydatem i zakończenia rekrutacji na otwarte stanowisko, wszystkie aplikacje pozostałych kandydatów i każdy dokument zawierający ich dane osobowe należy niezwłocznie skasować.
Analiza przepisów RODO nasuwa więc jeden ogólny wniosek: przechowywanie dokumentów „na przyszłość”, „bo może się przyda” albo „na wszelki wypadek” jest co do zasady niezgodne z prawem.
Kluczowe z perspektywy przedsiębiorcy w tym zakresie jest jednak stwierdzenie „co do zasady”, ponieważ, jak to z zasadami często bywa, istnieją od niej wyjątki, które prowadzą do kolejnego pytania.
Kiedy można legalnie zachować CV kandydata na potrzeby przyszłych rekrutacji
Przede wszystkim możliwe jest przechowywanie CV po zakończeniu procesu rekrutacji – ale pod pewnymi warunkami.
Zgoda kandydata na przetwarzanie danych w przyszłych naborach
Istnieje specjalna ścieżka, która pozwoli pracodawcy wykorzystać zebrane wcześniej CV na potrzeby przyszłych rekrutacji, czy zbudować bazę kandydatów „na przyszłość”. Aby zrobić to legalnie i nie narazić się na karę ze strony Prezesa UODO, konieczne jest uzyskanie wyraźniej, odrębnej zgody każdego z kandydatów. Taka zgoda nie może być ani dorozumiana, ani domyślna. Nie sprawdzą się tutaj zabiegi typu „skoro wysłał do nas CV to na pewno będzie chciał wziąć udział w przyszłych rekrutacjach” lub uniwersalne klauzule „każde przesłane do nas CV będzie automatycznie brane pod uwagę w przyszłości”. Właściwe sformułowanie treści zgody jest kluczowe dla jej skuteczności, dlatego warto skorzystać przy jej tworzeniu z profesjonalnej pomocy.
Uzasadniony interes pracodawcy jako podstawa przechowywania CV
Kolejna przesłanka uzależnia dopuszczalność przechowywania CV nieprzyjętych kandydatów od celu, w jakim pracodawca zamierza je zachować i wymaga szczególnej ostrożności. Przechowywanie CV może być prawnie uzasadnione, jeżeli służy ochronie interesów pracodawcy, w szczególności obronie przed potencjalnymi roszczeniami z tytułu dyskryminacji w związku z przeprowadzoną rekrutacją – nie dłużej jednak niż do upływu terminu przedawnienia takich roszczeń. Dane przechowywane na tej podstawie nie mogą być wykorzystywane w żadnym innym celu. Przesłanka ta wymaga każdorazowej, indywidualnej oceny okoliczności, ponieważ nie może stanowić ogólnej podstawy do rutynowego gromadzenia CV. Należy traktować ją raczej jako wyjątek niż regułę.
Zasady przechowywania CV kandydatów to tylko jeden z elementów szerszego systemu ochrony danych w firmie. Bez prawidłowo przygotowanej dokumentacji RODO nawet najlepiej prowadzona rekrutacja może okazać się nieskuteczna w razie kontroli UODO. Jak zbudować dokumentację RODO, która faktycznie działa – a nie tylko leży w segregatorze? Wyjaśniamy to w poniższym artykule
Dokumentacja RODO w firmie – jak zbudować działający system ochrony danych →Podstawy prawne przetwarzania CV kandydatów według RODO
Przede wszystkim, taki sposób działania z CV kandydatów wynika z podstawowych zasad RODO, zgodnie z którymi dane osobowe można przetwarzać wyłącznie w konkretnym i jasno określonym celu, a następnie przechowywać nie dłużej, niż jest to niezbędne do realizacji tego celu. W przypadku rekrutacji takim celem jest co do zasady przeprowadzenie konkretnego procesu naboru na konkretne stanowisko. Gdy rekrutacja się kończy, kończy się również podstawowy cel, dla którego pracodawca pozyskał CV kandydatów.
Kary i konsekwencje za niezgodne z RODO przechowywanie CV
Brak spełnienia norm RODO w tym zakresie może prowadzić nie tylko do zarzutu jego naruszenia, lecz również do konkretnych konsekwencji po stronie przedsiębiorcy.
Kandydat może złożyć skargę do Prezesa UODO, a ten może nakazać usunięcie danych, zmianę praktyki przetwarzania lub wszcząć postępowanie prowadzące do nałożenia administracyjnej kary pieniężnej. Z pozornie drobnego zaniedbania może więc dla przedsiębiorcy powstać realne ryzyko prawne, finansowe, a nawet wizerunkowe.
Decyzje Prezesa UODO są jawne i publikowane na stronie internetowej Urzędu, co oznacza, że informacja o naruszeniu jest łatwo dostępna dla każdego, w tym pracowników, kandydatów, konkurencji, kontrahentów czy mediów, co może doprowadzić do podważenia zaufania do przedsiębiorcy, jako organizacji odpowiedzialnie zarządzającej danymi.
Test RODO – szybka weryfikacja zgodności w Twojej firmie
Nie wiesz, czy procesy w Twojej firmie spełniają wymogi RODO? Zanim zdecydujesz się na pełny audyt, możesz w kilka minut wykonać nasz bezpłatny Test RODO online.
To krótki kwestionariusz, który pomoże wstępnie ocenić, w których obszarach Twoja organizacja działa zgodnie z przepisami, a gdzie mogą występować luki wymagające uporządkowania – również w zakresie rekrutacji i przetwarzania CV kandydatów.
Wykonaj test RODO →Audyt procesu rekrutacyjnego pod kątem zgodności z RODO
Jeżeli masz wątpliwości czy proces rekrutacyjny w Twojej firmie jest zgodny z RODO, możemy przeanalizować go od strony praktycznej: sprawdzić, jakie dane kandydatów są zbierane, gdzie trafiają, jak długo są przechowywane i kto ma do nich dostęp. Na tej podstawie pomożemy ustalić, czy obecne zasady wymagają zmian oraz które elementy warto uporządkować w pierwszej kolejności.
Możemy również doradzić, jak bezpiecznie korzystać z portali ogłoszeniowych i systemów rekrutacyjnych, tak aby pracodawca wiedział, kto odpowiada za dane kandydatów i na jakich zasadach są one przetwarzane. Jeżeli firma chce zachowywać CV kandydatów na potrzeby przyszłych rekrutacji, pomożemy także przygotować odpowiednią treść zgody oraz sposób jej pozyskiwania, tak aby nie budziły wątpliwości z perspektywy RODO.
Celem takiego wsparcia jest nie tylko przygotowanie dokumentów, ale przede wszystkim stworzenie jasnych zasad dla osób prowadzących rekrutację. Dzięki temu dział HR wie, kiedy CV należy usunąć, kiedy można je zachować, jak długo wolno to robić i jak prawidłowo poinformować o tym kandydata.
FAQ
Co do zasady CV kandydata, który nie został zatrudniony, należy usunąć niezwłocznie po zakończeniu rekrutacji. Dłuższe przechowywanie jest dopuszczalne tylko wtedy, gdy pracodawca uzyskał odrębną zgodę kandydata na udział w przyszłych naborach albo gdy zachowanie dokumentów wynika z ochrony przed potencjalnymi roszczeniami – w tym drugim przypadku nie dłużej niż do upływu terminu przedawnienia tych roszczeń.
Tak, ale wyłącznie po uzyskaniu wyraźnej i odrębnej zgody kandydata. Zgoda nie może być dorozumiana ani domyślna – samo wysłanie CV przez kandydata nie oznacza, że pracodawca może wykorzystać je w kolejnych naborach. Klauzule typu „każde przesłane CV będzie automatycznie brane pod uwagę w przyszłości” są nieskuteczne z perspektywy RODO.
Pracodawca ma obowiązek przekazania kandydatowi klauzuli informacyjnej, w której wskazuje m.in. cel przetwarzania danych, podstawę prawną oraz okres przechowywania CV. Sam moment usunięcia dokumentów nie wymaga osobnego powiadomienia, ale kandydat powinien od początku wiedzieć, jak długo jego dane będą przetwarzane i co się z nimi stanie po zakończeniu rekrutacji.
Kandydat może złożyć skargę do Prezesa UODO, który może nakazać usunięcie danych, zmianę praktyki przetwarzania lub nałożyć administracyjną karę pieniężną. Decyzje Prezesa UODO są publikowane na stronie Urzędu, co oznacza dodatkowe ryzyko wizerunkowe – informacja o naruszeniu jest dostępna dla pracowników, kandydatów, konkurencji i mediów.
W ograniczonym zakresie tak – jeżeli pracodawca przechowuje dokumenty wyłącznie w celu obrony przed potencjalnymi roszczeniami z tytułu dyskryminacji w rekrutacji. Dane na tej podstawie nie mogą być wykorzystywane w żadnym innym celu (np. do kontaktu w sprawie nowych ofert pracy), a okres przechowywania ogranicza się do terminu przedawnienia takich roszczeń. Każdy taki przypadek wymaga indywidualnej oceny.
Zgoda powinna być wyraźna, dobrowolna, konkretna i odrębna od zgody na udział w bieżącej rekrutacji. Z treści musi jasno wynikać, że kandydat wyraża zgodę na przetwarzanie jego danych w celu udziału w przyszłych procesach rekrutacyjnych, ze wskazaniem okresu przechowywania danych i prawa do wycofania zgody w dowolnym momencie. Treść takiej zgody warto skonsultować z prawnikiem.
Tak. Każda forma przechowywania CV – w skrzynce e-mail, w systemie ATS, na dysku komputera czy w wersji papierowej – stanowi przetwarzanie danych osobowych w rozumieniu RODO. Oznacza to, że CV w archiwum poczty rekrutacyjnej również należy usunąć po zakończeniu rekrutacji, jeżeli nie ma podstawy prawnej do dalszego ich przechowywania.
Odpowiedzialność zależy od ustaleń między pracodawcą a operatorem portalu i może się różnić w zależności od konkretnego serwisu. Zwykle pracodawca pozostaje administratorem danych kandydatów, a portal pełni rolę podmiotu przetwarzającego lub odrębnego administratora. Warto sprawdzić regulamin i zawartą umowę powierzenia, aby wiedzieć, kto i na jakich zasadach przetwarza dane kandydatów.
