Dopuszczalność weryfikacji kandydata do pracy w procesie rekrutacji
Czy od kandydata do pracy można wymagać przedstawienia referencji? I czy dopuszczalna jest weryfikacja kandydata do pracy u byłego pracodawcy? A jeżeli tak, to jak zrobić to legalnie?
Zakres danych, których żądać może pracodawca
Pracodawcy chcą wiedzieć o zatrudnianych pracownikach jak najwięcej. Zakres danych osobowych kandydata do pracy, które pracodawca może przetwarzać, jest jednak ograniczony i określony przez przepisy Kodeksu pracy. Z postanowienia art. 221 § 1 Kodeksu pracy wynika, że pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących: imię (imiona) i nazwisko, datę urodzenia, dane kontaktowe, wykształcenie, kwalifikacje zawodowe i przebieg dotychczasowego zatrudnienia. Dodatkowo, trzech ostatnich kategorii danych pracodawca żąda od kandydata tylko wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Pracodawca może żądać podania innych danych osobowych, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Opinia o pracowniku wystawiona przez byłego pracodawcę nie mieści się w kategorii danych osobowych, które pracodawca może przetwarzać na podstawie art. 221 Kodeksu pracy. Obowiązek przedstawienia referencji nie wynika też z innych przepisów prawa.
W poradniku dla pracodawców pt. „Ochrona danych osobowych w miejscu pracy” opublikowanym przez Urząd Ochrony Danych Osobowych podkreślona została wynikająca z przepisów rozporządzenia RODO zasada minimalizmu, z której wynika m.in. to, że pracodawca powinien przetwarzać tylko takie dane, które są niezbędne ze względu na cel ich zbierania, jakim jest podjęcie przez niego decyzji o zatrudnieniu nowego pracownika. Pracodawca nie może zatem wymagać od kandydata danych wykraczających poza zakres, który został wskazany w przepisach prawa, w szczególności takich, które nie mają związku z celem, jakim jest zatrudnienie pracownika (np. danych o stanie cywilnym, wyznaniu, poglądach religijnych czy orientacji seksualnej).
A co z referencjami?
Z powyższego wynika, że pracodawca nie może wymagać od pracownika przedstawienia referencji. Jeżeli jednak pracownik posiada referencje od byłego pracodawcy i sam z własnej inicjatywy przedstawia je potencjalnemu pracodawcy wraz z dokumentami aplikacyjnymi, nie oznacza to, że pracodawca nie może danych zawartych w referencjach przetwarzać. Podstawą przetwarzania danych zawartych w referencjach nie będzie jednak w tym przypadku art. 6 ust. 1 lit. c RODO, który znajdzie zastosowanie do danych wskazanych w art. 221 § 1 Kodeksu pracy wymienionych na wstępie, ale art. 6 ust. 1 lit. a RODO, a więc zgoda kandydata do pracy na przetwarzanie jego danych zawartych w referencjach. Rozporządzenie RODO nie wymaga, aby taka zgoda była udzielona w formie pisemnej, dopuszczając zasadniczo udzielenie zgody w postaci wyraźnego działania potwierdzającego (czynności konkludentne). Można zatem przyjąć, że kandydat do pracy przez samą czynność przedłożenia pracodawcy referencji udziela jednocześnie zgody na przetwarzanie danych zawartych w referencjach.
Weryfikacja pracownika u osoby trzeciej
Odnosząc się do weryfikacji kandydata do pracy u byłego pracodawcy, należy stwierdzić, iż oczywistym jest, że pracodawca z własnej inicjatywy nie może jej przeprowadzić. Dokonanie takiej weryfikacji wykracza bowiem poza zakres określony w art. 221 § 1 Kodeksu pracy, stanowiąc jednocześnie naruszenie prywatności oraz przepisów o ochronie danych osobowych. Wątpliwości wzbudza jednak to, czy zgoda udzielona przez kandydata na pracownika legalizuje jego weryfikację u osoby trzeciej (np. byłego pracodawcy). Z treści art. 221a § 3 Kodeksu pracy wynika, że przetwarzanie danych innych niż wskazane w art. 221 §§ 1 i 3 Kodeksu pracy, tj. danych osobowych przetwarzanych „za zgodą”, odnosi się do danych osobowych udostępnianych przez osobę ubiegającą się o zatrudnienie lub pracownika na wniosek pracodawcy lub danych osobowych przekazanych pracodawcy z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Są to więc wyłącznie dane pozyskane od kandydata do pracy lub pracownika lub z ich inicjatywy przekazane pracodawcy przez osobę trzecią. Wyklucza to zatem inicjatywę pracodawcy w pozyskiwaniu tych danych. Musiałyby one zatem zostać pracodawcy przekazane, a nie pozyskane przez samego pracodawcę. W tym kontekście należy zwrócić uwagę, że Urząd Ochrony Danych Osobowych w przywołanym wyżej poradniku wskazał, że niedopuszczalne jest pozyskiwanie przez potencjalnego pracodawcę informacji o kandydacie na pracownika od jego poprzedniego pracodawcy, jeśli nie posiada on zgody kandydata na powyższe, wskazując w ten sposób, że taka weryfikacja jest możliwa za zgodą pracownika. W świetle wskazanego powyżej art. 221a § 3 Kodeksu pracy powyższe stanowisko Urzędu Ochrony Danych Osobowych budzi jednak wątpliwości, a w każdym wypadku nie stanowi podstawy legalizacji takich działań pracodawcy.
Pracodawca, który otrzymał już od kandydata na pracownika referencje wraz z jego zgodą na weryfikację danych wskazanych w referencjach (łącznie z danymi kontaktowymi do poprzedniego pracodawcy) może skontaktować się z tym pracodawcą, jeżeli uzna taką weryfikację za niezbędną np. z powodu podejrzenia co do prawdziwości danych osobowych czy rzetelności informacji zawartych w referencjach. Wówczas dodatkową przesłanką legalizującą takie działanie będzie niezbędność przetwarzania danych do celów wynikających z prawnie uzasadnionych interesów administratora, w tym przypadku pracodawcy (art. 6 ust. 1 lit. f RODO). Należy jednak pamiętać, że aby przetwarzać dane osobowe na podstawie uzasadnionego interesu administratora, trzeba przeprowadzić test równowagi. Test równowagi polega na porównaniu prawnie uzasadnionych interesów realizowanych przez administratora w związku z konkretnymi czynnościami przetwarzania danych osobowych z interesami lub podstawowymi prawami i wolnościami osoby, której dane są przetwarzane. W wyniku analizy administrator powinien określić, czyje interesy – jego własne, czy osoby, której dane dotyczą – są w danych okolicznościach przeważające. Aby móc legalnie przetwarzać dane osobowe na tej podstawie, pracodawca musi zatem wykazać nadrzędny charakter swojego interesu nad interesami i podstawowymi wolnościami pracownika.
Należy także pamiętać, że jeżeli pracownik udostępnia potencjalnemu pracodawcy dane osoby trzeciej (np. byłego pracodawcy lub pracownika byłego pracodawcy), to w odniesieniu do tych danych również dochodzi do ich przetwarzania. Pracodawca powinien zatem wypełnić wobec takiej osoby trzeciej obowiązki informacyjne.