RODO w rekrutacji i kadrach – przewodnik bezpieczeństwa dla HR
Czy na samo słowo „RODO” dostajesz gęsiej skórki, wyobrażając sobie kontrolę UODO i gigantyczne kary? Jako Dyrektor HR dźwigasz na sobie ogromną odpowiedzialność za dane setek ludzi. Przepisy są zawiłe, a kandydaci coraz bardziej świadomi swoich praw. Spokojnie. W tym artykule przeprowadzimy audyt Twoich procesów „na papierze”. Pokażę Ci, jak przetwarzać dane legalnie, bezpiecznie i bez paraliżu decyzyjnego. Zmienimy RODO z potwora w Twoją prawną tarczę.
1. Dane osobowe kandydata do pracy (Art. 22¹ KP) – o co wolno pytać?
Fundamentem Twojego bezpieczeństwa jest Art. 22¹ Kodeksu pracy. To Twoja „lista zakupów” – nie możesz wrzucić do koszyka niczego, co się na niej nie znajduje, chyba że kandydat sam Ci to podsunie (i wyrazi zgodę).
Na etapie rekrutacji, od kandydata możesz żądać wyłącznie:
- imienia (imion) i nazwiska,
- daty urodzenia,
- danych kontaktowych wskazanych przez taką osobę,
- wykształcenia, kwalifikacji zawodowych oraz przebiegu dotychczasowego zatrudnienia – ale tylko wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku.
Zwróć uwagę na ten ostatni punkt. Jeśli szukasz pracownika fizycznego do prostych prac, żądanie pełnej historii zatrudnienia może zostać uznane za naruszenie zasady minimalizacji danych.
👁️ Okiem Praktyka
Często widzę w formularzach rekrutacyjnych pole „PESEL”. To błąd! Na etapie rekrutacji numer PESEL jest dla Ciebie daną nadmiarową. Prawo do żądania PESEL-u nabywasz dopiero w momencie zatrudnienia pracownika. Wcześniej to „zbędny balast”, który w razie wycieku danych narazi Cię na poważne konsekwencje. Trzymaj się żelaznej zasady: im mniej danych zbierasz na początku, tym mniejsze ryzyko ponosisz.
2. Kserowanie dowodu osobistego – zakaz i wyjątki
To jeden z najczęstszych grzechów w działach kadr. Czy w aktach osobowych Twoich pracowników zalegają kserokopie dowodów osobistych? Jeśli tak, masz problem. Urząd Ochrony Danych Osobowych (UODO) traktuje kserowanie dowodów jako poważne naruszenie.
Dowód osobisty zawiera dane, których pracodawca nie ma prawa przetwarzać (np. wzrost, kolor oczu, wizerunek biometryczny). Co zamiast ksera?
- Okazanie do wglądu: Poproś pracownika o pokazanie dowodu w celu weryfikacji tożsamości.
- Spisanie numeru: Możesz odnotować numer i serię dowodu w kwestionariuszu osobowym (jeśli jest to niezbędne np. do zgłoszenia do ZUS), ale nie rób jego kopii.
⚠️ HR Alert – Uważaj na te błędy
- Syndrom „przydasia”: Kserowanie dowodu „bo może się przydać w banku” to prosta droga do mandatu. Banki mają swoje procedury, Ty masz swoje ograniczenia.
- Przechowywanie „brudnopisów”: Karteczki z zapisanymi danymi kandydatów, które leżą na biurku rekrutera, to incydent bezpieczeństwa. Jeśli sprzątaczka lub gość firmy je zobaczy, naruszasz poufność danych.
3. Klauzula informacyjna RODO w umowie
Pracodawca jako Administrator Danych Osobowych (ADO) ma obowiązek informacyjny wynikający z Art. 13 RODO. Musisz poinformować kandydata (a potem pracownika) kto przetwarza dane, w jakim celu i jakie ma prawa.
Gdzie umieścić tę klauzulę? Masz dwie opcje:
- Pod ogłoszeniem o pracę (link lub treść): To absolutne minimum na etapie rekrutacji.
- Załącznik do umowy o pracę: Gdy kandydat staje się pracownikiem, zakres przetwarzania danych się zmienia (dochodzi ZUS, podatki, BHP). Dlatego przy podpisywaniu umowy warto wręczyć zaktualizowaną klauzulę RODO i poprosić o pokwitowanie jej odbioru (do akt osobowych, część B).
4. Upoważnienia do przetwarzania danych dla kadr
Twoi specjaliści ds. kadr i płac mają dostęp do najwrażliwszych danych w firmie (zarobki, zwolnienia lekarskie, dane o dzieciach). Czy każdy z nich ma pisemne upoważnienie nadane przez ADO (Zarząd/Właściciela)?
Upoważnienie musi określać:
- kto jest upoważniony,
- do jakich zbiorów danych ma dostęp (np. „Akta osobowe”, „Płace”, „Rekrutacja”),
- zakres czynności (wprowadzanie, przeglądanie, usuwanie).
Pamiętaj też o Rejestrze osób upoważnionych. W razie kontroli to pierwszy dokument, o który zapyta inspektor. Brak upoważnień oznacza, że osoby postronne mają dostęp do danych – a to już poważny incydent.
5. Retencja danych – jak długo przechowywać CV?
Chomikowanie CV „na czarną godzinę” to biznesowe i prawne ryzyko. Zasada jest prosta: dane przechowujemy tylko tak długo, jak mamy cel ich przetwarzania.
- Rekrutacja zakończona: Jeśli kandydat nie został wybrany i nie wyraził zgody na przyszłe rekrutacje, jego CV należy trwale usunąć (zniszczyć papier, skasować plik) niezwłocznie po zakończeniu procesu.
- Zgoda na przyszłe rekrutacje: Jeśli kandydat zaznaczył odpowiedni „checkbox”, możesz trzymać jego CV przez okres wskazany w klauzuli (np. 12 miesięcy).
- Obrona przed roszczeniami: Niektórzy prawnicy sugerują przetrzymywanie danych przez krótki okres (np. 3 miesiące) po rekrutacji, aby obronić się przed ewentualnym zarzutem o dyskryminację. Jest to jednak stąpanie po cienkim lodzie i wymaga solidnego uzasadnienia w ocenie ryzyka.
💼 Gotowiec dla Zarządu
Prezesie, porządek w RODO to nie koszt, to oszczędność. Po pierwsze: usuwając stare CV (retencja), zwalniamy zasoby serwerowe i przyspieszamy pracę HR – nie przekopujemy się przez nieaktualne aplikacje. Po drugie: wdrożenie procedury niszczenia dowodów i zbierania tylko niezbędnych danych to nasza polisa ubezpieczeniowa. Kara za naruszenie RODO może wynieść do 20 mln EUR lub 4% obrotu, a my eliminujemy to ryzyko prostymi procedurami, które wdrażam od zaraz.
❓ Częste pytania (FAQ)
Czy można prosić kandydata o zaświadczenie o niekaralności?
Co do zasady – NIE. Możesz żądać takiego zaświadczenia tylko wtedy, gdy konkretny przepis ustawy tego wymaga (np. pracownicy ochrony, nauczyciele, pracownicy sektora finansowego). „Widzimisię” pracodawcy nie jest podstawą prawną.
Czy CV kandydatów trzeba niszczyć fizycznie?
Tak. Wyrzucenie CV do zwykłego kosza na śmieci to naruszenie ochrony danych. Dokumenty papierowe muszą trafić do niszczarki (o odpowiedniej klasie bezpieczeństwa), a pliki cyfrowe muszą zostać trwale usunięte z dysków i skrzynek mailowych.
RODO a zdjęcie w CV – czy mogę wymagać zdjęcia?
Nie możesz żądać zdjęcia, ponieważ wizerunek to dana biometryczna (nadmiarowa wg Art 22¹ KP). Jeśli jednak kandydat dobrowolnie zamieści zdjęcie w CV, uznaje się, że wyraził zgodę na jego przetwarzanie. Pamiętaj jednak, by nie oceniać kandydata przez pryzmat wyglądu (ryzyko dyskryminacji).
Dbanie o RODO w HR to proces ciągły, a nie jednorazowa akcja. Jeśli czujesz, że Twoje procedury wymagają odświeżenia lub potrzebujesz audytu dokumentacji pracowniczej, jestem do Twojej dyspozycji. Razem zbudujemy bezpieczne środowisko pracy.
