W artykułach: Firmy nie mogą tworzyć baz danych kandydatów do pracy oraz: Po rekrutacji tworzenie baz danych CV jest niedozwolone (GP nr 159 z 14 sierpnia 2008 r.) zostało przedstawione niezwykle istotne dla funkcjonowania zakładu pracy stanowisko. Wynika z niego, że po zakończeniu rekrutacji pracodawca nie może nadal przetwarzać dokumentów CV oraz znajdujących się w nich danych niezatrudnionych kandydatów do pracy. Cytowany w tekście Michał Serzycki (generalny inspektor ochrony danych osobowych) kategorycznie stwierdził:
- Dane osobowe kandydatów przesłane na potrzeby rekrutacji, którzy ostatecznie nie zostali zatrudnieni, powinny zostać zniszczone lub odesłane im po zakończeniu rekrutacji na dane stanowisko.
Zgodnie z przepisami o ochronie danych osobowych nie można zgodzić się z tym stanowiskiem. Kodeks pracy w art. 221 ogranicza zakres danych, których pracodawca może żądać od osoby ubiegającej się o zatrudnienie. Jednak nie wyznacza się w tym artykule dopuszczalnego czasu przetwarzania takich danych. Nie jest to w ogóle przedmiotem regulacji. Po wejściu w życie tego przepisu (1 stycznia 2004 r.) GIODO słusznie zauważył, że stosuje się go na etapie samej rekrutacji. Po tym okresie do przetwarzania danych mają zastosowanie ogólne zasady zawarte w ustawie z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. nr 101, poz. 926 z późn. zm.). Stanie się tak ze względu na odesłanie znajdujące się w art. 221 par. 5 k.p. oraz przepisy samej ustawy o ochronie danych osobowych, określające zakres jej stosowania (art. 2 ust. 1-2).
Dopuszczalność przetwarzania danych należy oceniać na podstawie przesłanek wskazanych w art. 23 ust. 1 ustawy o ochronie danych osobowych. Jedną z nich, alternatywną wobec szczególnego przepisu prawa, jest zgoda na przetwarzanie danych osobowych. Takie oświadczenie osoby, której dane dotyczą, musi spełniać szczególne warunki ustawowe. Nie może być domniemane lub dorozumiane z oświadczenia woli o innej treści. Wszystkie aspekty przetwarzania danych, których dotyczy zgoda, powinny być znane składającemu oświadczenia w momencie jej wyrażania.
Niewystarczające jest zatem stosowanie rozpowszechnionego w praktyce oświadczenia, w którym akceptuje się przetwarzanie swoich danych w celach rekrutacyjnych. Nie wynika z niego bowiem w ogóle, że po zakończeniu rekrutacji będą one nadal przetwarzane przez pracodawcę. Oprócz tego zgoda musi zostać wyrażona swobodnie. Nie można warunkować udziału kandydata w rekrutacji od udzielenia jej na późniejsze przetwarzanie jego danych. Kandydat ma prawo w każdym czasie złożyć oświadczenie wycofujące swoją zgodę, pomimo że takiej możliwości nie przewidują wprost przepisy ustawy.
Po spełnieniu tych warunków nie ma ograniczeń, aby po zakończeniu rekrutacji pracodawca nadal przetwarzał dane niezatrudnionych kandydatów na podstawie oświadczenia zgody. Czynności te mogą obejmować np. pozostawienie dokumentów CV oraz tworzenie i prowadzenie elektronicznych baz danych kandydatów. Pracodawca (jako administrator danych) jest oczywiście obowiązany zastosować środki zabezpieczające dane osobowe (w tym przed udostępnieniem danych osobom nieupoważnionym).
GRZEGORZ SIBIGA
Instytut Nauk Prawnych PAN, Kancelaria Traple, Konarski, Podrecki