Kto w organizacji i pod jakimi warunkami może mieć dostęp do danych osobowych kandydatów na pracowników i pracowników?

Dane osobowe kandydatów na pracowników i pracowników przede wszystkim powinny trafiać do tych członków działów personalnych, którzy bezpośrednio odpowiadają za przeprowadzanie rekrutacji lub potem są odpowiedzialni za proces zatrudnienia. Może się jednak zdarzyć, że w procesie rekrutacji będą brały udział jeszcze inne osoby z organizacji, jak np. kierownik określonego działu, który chce weryfikować kompetencje potencjalnych, nowych członków swojego zespołu. Taka ewentualność jest możliwa, pod warunkiem że zrobimy to zgodnie z zasadami RODO i przygotujemy dla takich sytuacji odpowiednią procedurę, która będzie uzasadniała udział wspomnianych osób trzecich w procesie rekrutacji bądź zatrudnienia.

Coraz częściej w procesie wyboru kandydata do pracy biorą udział osoby, które nie są związane bezpośrednio z działami personalnymi. Zazwyczaj są to kierownicy lub członkowie określonych działów w organizacji, którzy poszukują do swoich zespołów kandydatów o określonych kompetencjach, mając konkretne wymagania dla danego stanowiska. Bywa też tak, że dotychczasowy pracownik poszukuje dla siebie asystenta, do którego oddeleguje część swoich zadań, a wykonując je na co dzień, najlepiej wie, jakie kompetencje powinien mieć kandydat.

Udział w rekrutacji osoby spoza działów personalnych może być chwilowy, tylko na danym etapie rekrutacji, lub osoba taka może aktywnie uczestniczyć w całym jej przebiegu, np. opiniując doświadczenie kandydata już na etapie zbierania CV. Sytuacja taka nie musi wynikać ze złej organizacji pracy, ale raczej z konieczności wyłonienia najbardziej odpowiedniego kandydata na dane stanowisko.

Jeżeli do procesu rekrutacji mają być dopuszczone osoby spoza działów personalnych, trzeba pamiętać o kilku kluczowych kwestiach w ramach całego procesu. Przede wszystkim należy pamiętać o zastosowaniu zasad przetwarzania danych osobowych, w tym głównie zasady ograniczenia celu oraz minimalizacji danych. W przypadku tej pierwszej dane mają być zbierane w konkretnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. W przypadku minimalizacji danych dane, jakie zbieramy, mają być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. W praktyce oznacza to, że osoby spoza działów personalnych powinny mieć dostęp tylko do tych kategorii danych osobowych, które konieczne są im do oceny kompetencji kandydata na pracownika. Można byłoby zaryzykować stwierdzenie, że żadne informacje bezpośrednio identyfikujące daną osobę nie są w tym przypadku konieczne, bo można przecież oznaczać kandydatów np. numerem, a ocena kompetencji następowałaby w oparciu tylko o doświadczenie zawodowe czy wykształcenie kandydata nr 1, 2, 3 itd. O ile takie podejście byłoby najbardziej ostrożnościowym, o tyle nie ma potrzeby, aby przeprowadzać anonimizację w takim stopniu. Nie ma przeszkód, aby kierownik danego działu wszedł w posiadanie takich danych, jak imię i nazwisko kandydata. Czy powinien wejść w posiadanie większej ilości danych osobowych? To zależy. Co do zasady nie ma przesłanek do tego, ale sytuacje są różne i może się okazać, że pojawią się przypadki, kiedy kolejne kategorie danych będą musiały trafić poza dział personalny. Warunek to zachowanie w całym procesie ww. zasad, a więc posiadanie faktycznego uzasadnienia dla przekazywania określonych kategorii danych, a ponadto ich przetwarzanie tylko w określonym, uzasadnionym celu.

Kolejnym aspektem, jaki trzeba wziąć pod uwagę, to ułożenie pod całość procesu i wdrożenie odpowiednich procedur z tym związanych. Jeżeli w organizacji dane osobowe przetwarzane są w oparciu o pisemne upoważnienia do ich przetwarzania, to również dla takich osób spoza działu personalnego takie upoważnienie powinno zostać wydane. Osoby spoza działu personalnego powinny zostać również zobowiązane do zachowania poufności w związku z przetwarzaniem ww. danych, a sam fakt powinien znaleźć odzwierciedlenie w rejestrze czynności przetwarzania danych, tak aby administrator danych osobowych był w stanie wykazać, do jakiej czynności ma dostęp konkretna osoba z organizacji.

Osoby spoza działów personalnych muszą mieć świadomość obowiązujących procedur, a także tego, że dane, w których posiadanie wchodzą, mają wykorzystywać tylko do procesu rekrutacji.

Analogicznie do udziału osób trzecich w procesie rekrutacji można udostępniać dane osobowe osób już zatrudnionych, pod warunkiem że jest ku temu jakiekolwiek uzasadnienie (mając na uwadze prawnie uzasadnione interesy administratora i wspomniane już wcześniej zasady ograniczenia celu i minimalizacji danych). W praktyce jednak, kiedy dana osoba jest już członkiem organizacji, działy personalne nie są często angażowane czy zobowiązywane do udostępniania kategorii danych, na których same pracują. Do kontaktu z konkretną osobą wystarczą jej personalia lub dane kontaktowe (telefon, e-mail), a te wewnątrz organizacji są z reguły powszechnie znane. Udostępnianie innych kategorii danych, które są znane tylko działom personalnym, poza wyraźnym poleceniem administratora danych osobowych, w uzasadnionych przypadkach, jest zabronione.

Potrzebujesz wsparcia w zakresie RODO w Twojej firmy lub dla działu personalnego? Skontaktuj się z nami! Specjalizujemy się w ochronie danych osobowych od 2012 r.,  oferujemy kompleksowe doradztwo, a także obsługę Inspektora Ochrony Danych.