Uwagi do poradnika

Szanowni Państwo,

W imieniu IAB Polska poniżej przedstawiam uwagi do poradnika „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców”

W razie pytań jesteśmy do dyspozycji

Uwagi IAB Polska do Poradnika o przetwarzaniu danych przy zatrudnianiu „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców” z 2018 r.

1. Testy kompetencyjne i ocena w rozmowach rekrutacyjnych w kontekście art. 22¹a kp:

Przeprowadzanie testów wiedzy i umiejętności kandydatów do pracy aktualnie jest problematyczne z uwagi na wątpliwości, czy i które testy można przeprowadzać w oparciu o uzasadniony interes, a które testy wymagają zgody.

a. Z jednej strony pracodawca ma prawo badać kompetencje kandydata, w tym tzw. kompetencje miękkie, i jeżeli robi to “ustnie” np. odpytując, to może to robić bez ograniczeń, natomiast jeżeli w tym celu użyje narzędzi (aplikacji, software’u), to pojawia się problem zgody z RODO;

b. Jeżeli badanie kompetencji miałoby być zawsze oparte o zgodę kandydata, to pojawi się iluzoryczność jej dobrowolności, bo odmowa zgody nie powinna wywoływać negatywnych konsekwencji, a w praktyce trudno sobie wyobrazić sytuację, że kandydat, który odmówi wykonania standardowego testu dla wszystkich ubiegających się o pracę przejdzie pomyślnie dalszą rekrutację;

c. Z kolei oparcie się o uzasadniony interes rodzi często problemy, czy jest to za każdym razem wystarczająca podstawa, ewentualnie, które testy mogą być przeprowadzone w oparciu o uzasadniony interes, a które wymagają zgody.

d. Problem nie dotyczy typowych testów psychometrycznych wymaganych przez prawo, albo nawet nie wymaganych, ale mających taki charakter;

e. Warto dodać, że stosowanie narzędzi pod nadzorem osób (rekruterów, pracowników HR itd.) daje możliwość bardziej obiektywnej oceny kandydatów niż jest to w przypadku dokonywania takiej oceny osobiście. Algorytm np. nie ocenia urody, nadwagi, “chemii”, nie kieruje się uprzedzeniami itp. stąd wprowadzenie takich narzędzi powinno być oceniane jako wsparcie działań antydyskryminacyjnych, oczywiście akcentując konieczność ludzkiego nadzoru i tylko pomocniczego charakteru takich narzędzi.

2. Testy kompetencyjne i ocena pracowników w kontekście art. 22¹a kp: analogicznie jak w pkt 1 z tym, że na etapie zatrudnienia pojawia się problem ewaluacji pracy, ewaluacji rozwoju, oceny talentów itp.

a. Współcześnie coraz częściej stosuje się w tym celu przeznaczone do tego narzędzia i ostatecznie konsultuje się tylko wyniki. Kolizja zgoda vs uzasadniony interes jest również widoczna;

b. Trudno sztywno wymagać zgody, bo jej odmowa będzie w praktyce powodować negatywne konsekwencje i napisanie w przepisie czy przewodniku ogólnej normy, że nie może” będzie w rzeczywistości iluzoryczne.

c. Istnieje potrzeba wskazania granicy, gdzie rzeczywiście pojawia się zgoda, a gdzie może to być inna podstawa prawna.

d. W praktyce też nie jest zrozumiałe, dlaczego ocena dokonywana “osobiście” przez pracownika HR jest dopuszczalna bez ograniczeń, a oceniany pracownik nie może odmówić takiej rozmowy / oceny powołując się na przepisy. Natomiast, gdy użyjemy do tego narzędzia usprawniającego pracę pojawiają się problemy prawne.

f. Warto dodać, że stosowanie narzędzi pod nadzorem osób (rekruterów, pracowników HR itd.) daje możliwość bardziej obiektywnej oceny kandydatów, niż jest to w przypadku dokonywania takiej oceny osobiście. Algorytm np. nie ocenia urody, nadwagi, “chemii”, nie kieruje się uprzedzeniami itp. stąd wprowadzenie takich narzędzi powinno być oceniane jako wsparcie działań antydyskryminacyjnych, oczywiście akcentując konieczność ludzkiego nadzoru i tylko pomocniczego charakteru takich narzędzi.

3. Nowe podejście do mediów społecznościowych: Poradnik w pkt. 3.11 zakazuje “gromadzenia” danych z mediów społecznościowych dotyczących pracowników, ale nie wyjaśnia w ten sposób co wolno

a. Zakazuje “gromadzenia”, ale nie rozstrzyga, czy wolno przeglądać, wykorzystywać, zestawiać z innymi danymi itd. Tworzy to szarą strefę, bo w praktyce rekrutacja, która kieruje się zasadami “nie weryfikujemy kandydata w sieci” nie istnieje;

b. istnieje potrzeba pozytywnego ukierunkowania co wolno robić w obecnych czasach i w obecnej powszechności social mediów, względnie zakreślenia stref szczególnego ryzyka, gdzie wykorzystanie danych z mediów społecznościowych nie będzie dopuszczalne.

Problematyką wykorzystania publicznie dostępnych danych o kandydatach w trakcie rekrutacji zajął się francuski organ nadzoru – CNIL, który w swoich wytycznych (Le guide du recrutement z dnia 30.01.2023, s. 76 ) wskazał, że zbieranie publicznie dostępnych online danych o kandydatach jest dopuszczalne gdy :

a. gdy zbieranie danych z publicznie dostępnych źródeł online następuje z inicjatywy rekrutującego i ma na celu uzupełnienie lub ocenę spójności informacji dostarczonych przez kandydata, ewentualnie poszukiwania nowych profili pod warunkiem, że dane są ściśle związane z działalnością zawodową kandydatów, jak np. ich profile w serwisie społecznościowym dla profesjonalistów,

b. gdy kandydat z własnej inicjatywy zwrócił uwagę rekrutującego na określone treści online w celu uzupełnienia lub zilustrowania swoich umiejętności lub informacji przekazanych rekrutującemu, np. kandydat na stanowisko grafika przekazuje w ramach swojej aplikacji na stanowisko link do bloga, na którym publikuje swoje grafiki. Tego rodzaju treści mogą być uznane za wyraźnie związane z działalnością zawodową kandydata i konieczne do oceny jego umiejętności.

4. Nowe podejście do zbierania referencji kandydata: Poradnik w pkt 3.2 zakazuje kontaktu z poprzednimi pracodawcami bez zgody kandydata.

a. W praktyce jest to często łamane lub “obchodzone” poprzez nieformalne kontakty między rekruterami, którzy po prostu dzwonią do siebie i rozmawiają na temat danej osoby. Proces rekrutacji robi się wtedy w tym zakresie nietransparentny, a referencje są w praktyce zebrane i wpływają na decyzję o zatrudnieniu lub odmowie.

Wydaje się, że wiele korzyści można by odnieść z poluzowania wymogów i odejścia od wymogu uzyskania zgody kandydata lub pójścia chociażby w kierunku opt-out i np. nałożenia na rekruterów obowiązku ujawnienia posiadania takich opinii oraz ich źródeł. W takiej sytuacji kandydat mógłby wiedzieć, który poprzedni pracodawca wydał o nim opinię, mógłby się z taką opinią skonfrontować, wytłumaczyć itd., a bez tego jest w zasadzie bezbronny.

5. Retencja danych w procesie rekrutacji:

Poradnik w pkt 3.2 wskazuje, że:

Niedopuszczalne jest przetwarzanie danych tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem osoby, której dotyczą. W przeciwnym razie może pojawić się wątpliwość jak długo należy przetwarzać dane osobowe, jeżeli ta osoba nie zdecyduje się na wytoczenia powództwa przeciwko pracodawcy. W toku rekrutacji nie powstaje żaden stosunek zobowiązaniowy pomiędzy kandydatem do pracy, a pracodawcą. Brak jest dokonania wzajemnych rozliczeń lub możliwości zarzucenia drugiej stronie niewykonania umowy lub nieprawidłowego jej wykonania. Nie ma więc podstaw do uznania, że pracodawca jest uprawniony do przetwarzania danych z uwagi na konieczność ustalenia bądź nie, istnienia roszczenia. Działanie pracodawcy stanowiłoby przetwarzanie danych kandydata „na wszelki wypadek.

W świetle wyroku NSA z 20.02.2024 r.. (sygn. akt III OSK 2700/22) :

a. możliwe jest przetwarzanie danych po zakończeniu procesu rekrutacji,

b. przetwarzanie danych po zakończeniu rekrutacji powinno polegać wyłącznie na ich przechowywaniu (a nie np. wykorzystywaniu do kontaktowania się w przypadku kolejnych rekrutacji, o ile nie było do tego odrębnej zgody),

c. przetwarzanie danych po zakończeniu rekrutacji nie powinno trwać dłużej niż do upływu okresu przedawnienia ewentualnych roszczeń (3 lata wynikające z art. 291 § 1 k.p.),

d. przesłanka prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f) RODO) może być podstawą przetwarzania danych osobowych w celu obrony przed możliwymi, potencjalnymi roszczeniami, a nie wyłącznie przed roszczeniami, które już w jakiś sposób zostały zakomunikowane (np. przez wysłanie wezwania do zapłaty czy złożenie pozwu).

Mając powyższe na uwadze zasadne jest zaktualizowane wytycznych UODO poprzez wskazanie w Poradniku, że na podstawie art. 6 ust. 1 lit. f RODO dopuszczalne jest przetwarzanie danych osobowych uzyskanych w procesie rekrutacji przez okres 3 lat, aż do upływu terminu przedawnienia potencjalnych roszczeń związanych z dyskryminacją lub nierównym traktowaniem

6. Szkolenia pracowników: wskazówki w Poradniku w dalszym ciągu nie dają pracodawcom klarownych zaleceń. Wskazane byłoby opisanie większej ilości możliwych sytuacji przeprowadzania szkoleń z uwzględnieniem kilku podmiotów zaangażowanych oraz celu/charakteru szkoleń. Pomocna byłaby jasno sprecyzowana grafika obrazująca, na jakie elementy takiej współpracy pracodawca powinien zwrócić uwagę, żeby prawidłowo określić status poszczególnych podmiotów, a co za tym idzie swoje obowiązki (jak np. grafiki przygotowane przez EROD w załączniku 1 do Wytycznych 07/2020 dotyczących pojęć administratora i podmiotu przetwarzającego zawartych w RODO vide: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_plOdnosząc się np. do kwestii szkolenia BHP: w Poradniku UODO wskazuje na dwie możliwości: upoważnienia lub powierzenia. Natomiast w publikowanych później zaleceniach organ wskazuje, że zewnętrzny podmiot przeprowadzający szkolenie BHP ma status odrębnego administratora (vide: https://archiwum.uodo.gov.pl/pl/225/1736)

7. Rozszerzenie zagadnienia wykorzystywania wizerunku pracownika: w Poradniku UODO jest mowa jedynie o „identyfikatorach”, „swojej stronie internetowej” i „intranecie”. Przy tym nie poruszono kwestii np.:

a. w której pracodawca działa w ramach grupy i np. wraz z innymi spółkami (także zagranicznymi) ma „wspólny” Intranet

b. publikowania wizerunku pracownika w mediach społecznościowych pracodawcy

c. utrwalania i ewentualnego rozpowszechniania wizerunku pracownika podczas imprez pracowniczych, szkoleń, konferencji etc.

8. Brak wytycznych dotyczących prowadzenia procesu rekrutacyjnego za pośrednictwem środków porozumiewania się na odległość