Czy pracodawca może wykorzystać raz wysłane CV w ramach innych rekrutacji?

W praktyce odpowiedź brzmi – tak, ale nie zawsze i nie automatycznie. Jeżeli kandydat wysłał CV do jednej konkretnej rekrutacji to pracodawca nie powinien z góry zakładać, że może użyć tego samego dokumentu także przy kolejnych naborach. W rekrutacji trzeba odróżnić dwa cele przetwarzania danych – udział w bieżącej rekrutacji oraz udział w przyszłych rekrutacjach. Zasadniczo, przetwarzanie danych kandydata do pracy znajduje podstawę prawną w przepisach kodeksu pracy, a więc nie jest potrzebna do tego zgoda tego kandydata. W przypadku przyszłych rekrutacji – potrzebna jest już wyraźna zgoda kandydata.

Z tego artykułu dowiesz się:

• czy pracodawca może użyć raz wysłanego CV w innej rekrutacji
• kiedy wystarczy obecna podstawa przetwarzania, a kiedy potrzebna jest dodatkowa zgoda
• czym różni się bieżąca rekrutacja od przyszłych rekrutacji
• czy zgoda na przyszłe rekrutacje musi być osobna i dobrowolna
• jak długo można przechowywać CV
• co zrobić z CV wysłanym bez ogłoszenia, z własnej inicjatywy 
• jakie błędy pracodawców są najczęstsze

Najkrótsza odpowiedź – kiedy wolno, a kiedy nie?

Jeżeli kandydat wysłał CV na konkretną rekrutację, pracodawca może wykorzystać jego dane do przeprowadzenia właśnie tej rekrutacji. Jeżeli chce użyć tego samego CV w kolejnych rekrutacjach, powinien mieć odrębną zgodę kandydata do tego celu.

To oznacza w praktyce:

• do obecnej rekrutacji – co do zasady tak
• do przyszłych rekrutacji – co do zasady tylko wtedy, gdy kandydat wyraził na to zgodę.

Dlaczego obecna rekrutacja i przyszłe rekrutacje to nie jest to samo?

Kodeks pracy określa, jakich danych pracodawca może żądać od kandydata do pracy. Będą to:

• imię i nazwisko,
• data urodzenia,
• dane kontaktowe,
• wykształcenie,
• kwalifikacje zawodowe i
• przebieg dotychczasowego zatrudnienia,

ale tylko gdy są niezbędne do pracy określonego rodzaju lub na określonym stanowisku. To pokazuje, że ustawowy model rekrutacji jest powiązany z konkretnym procesem naboru, a nie z nieograniczonym czasowo talent pool bez wyraźnych zasad.

UODO w poradniku dla pracodawców pokazuje z kolei dwa różne poziomy podstaw przetwarzania w ramach bieżącej rekrutacji:

• w przypadku danych zwykłych, wymienionych w przepisach kodeksu pracy, np. imię i nazwisko, dane kontaktowe – przepisy kodeksu pracy upoważniają prowadzącego rekrutację do pozyskania i przetwarzania tych danych, 
• w przypadku innych danych, np. zdjęcia, potrzebna jest zgoda kandydata. szerszy zakres danych albo inne cele, dla których podstawą może być zgoda kandydata (najczęściej wyrażona w samym CV).

W efekcie, zbieranie danych osobowych powiązane jest z konkretnym procesem rekrutacyjnym. Bieżąca rekrutacja i kolejne rekrutacje to dwa oddzielne procesy.

Kiedy pracodawca może użyć raz wysłanego CV w kolejnych rekrutacjach?

Najbezpieczniejszy model jest prosty – pracodawca może wrócić do wcześniej przesłanego CV wtedy, gdy kandydat wyraźnie zgodził się na wykorzystanie swoich danych także w przyszłych rekrutacjach. UODO w swoim poradniku podaje wprost przykład zgody na wykorzystanie danych w kolejnych naborach przez określony czas.

W praktyce zgoda na przyszłe rekrutacje może być udzielona na przykład:

• w treści CV
• przez zaznaczenie checkboxa w formularzu
• mailowo
• przez inne wyraźne działanie potwierdzające, o ile jest ono dobrowolne, konkretne i świadome

Żeby taki model był bezpieczny, warto dopilnować kilku zasad:

• zgoda powinna dotyczyć przyszłych rekrutacji,
• kandydat powinien wiedzieć, kto przetwarza dane i jak długo,
• zgoda musi być możliwa do wycofania w każdym czasie
• brak zgody nie powinien eliminować kandydata z bieżącego naboru.

Kiedy pracodawca nie powinien wykorzystywać starego CV w nowym naborze?

Najczęstsza sytuacja wygląda tak – kandydat wysłał CV na jedno konkretne stanowisko, nie dał zgody na przyszłe rekrutacje, a pracodawca po jakimś czasie chce wrócić do tego dokumentu przy nowym naborze. Taki ruch jest ryzykowny, bo cel przetwarzania danych zmienił się z bieżącej rekrutacji na kolejną rekrutację, jeśli nie ma na to zgody osoby wysyłającej CV.

UODO w poradniku opisuje też sytuację, w której osoba wysyła aplikację z własnej inicjatywy, niezależnie od tego, czy pracodawca prowadzi nabór. Jako możliwe działania wskazuje wtedy:

• zaproszenie na rozmowę lub do pracy
• usunięcie danych
• odesłanie życiorysu

To sugeruje bardzo praktyczny wniosek – samo otrzymanie CV nie daje pracodawcy swobody jego dalszego używania w dowolnych przyszłych procesach rekrutacyjnych. Jeżeli nie chce z niego skorzystać w aktualnym naborze i nie ma zgody na przyszłe rekrutacje, powinien raczej dane usunąć albo nie wykorzystywać ich dalej poza celem, dla którego je otrzymał. To jest logiczna konsekwencja zasady ograniczenia celu i ograniczenia przechowywania.

Czy zgoda na przyszłe rekrutacje musi być osobna i dobrowolna?

Tak, i to jest jedna z najważniejszych rzeczy w całym temacie. UODO przypomina, że zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Dodatkowo w oficjalnych klauzulach rekrutacyjnych powtarza się zasada, że zgoda może zostać odwołana w dowolnym czasie.

W praktyce oznacza to:

• nie powinno się zakładać zgody z milczenia
• nie warto ukrywać zgody na przyszłe rekrutacje wśród innych treści
• lepiej wyraźnie rozdzielić zgodę na aktualną rekrutację od zgody na przyszłe rekrutacje
• kandydat musi mieć realną możliwość odmowy bez negatywnych konsekwencji dla bieżącego naboru, jeśli chodzi o podstawowe dane rekrutacyjne

Jak długo wolno przechowywać CV?

Tu nie ma jednej sztywnego okresu wpisanego do kodeksu pracy. UODO przypomina jednak, że dane osobowe powinny być przechowywane przez okres nie dłuższy, niż jest to niezbędne do celów, w których są przetwarzane.W praktyce, po zakończeniu konkretnego postępowania rekrutacyjnego, CV należy usunąć, chyba że jest zgoda kandydata na wykorzystanie CV w innych naborach. W tym samym poradniku UODO zaznacza też, że dopuszczalne może być dalsze przetwarzanie na potrzeby ustalenia, dochodzenia lub obrony roszczeń już po zakończeniu rekrutacji.

W praktyce wiele instytucji publicznych wpisuje konkretny okres dla przyszłych rekrutacji, na przykład 3 miesiące, 6 miesięcy albo 3 lata, ale to nie jest uniwersalna ustawowa liczba dla wszystkich. Najważniejsze jest to, żeby okres był określony, komunikowany kandydatowi i powiązany z celem, a nie bezterminowy.

Co jeśli kandydat sam wysłał CV bez żadnego ogłoszenia?

To częsty przypadek i właśnie dlatego warto go oddzielić od zwykłej odpowiedzi na ogłoszenie. UODO w poradniku nazywa to rekrutacją bez rekrutacji i wskazuje, że kiedy osoba z własnej inicjatywy przesyła aplikację, możliwe działania pracodawcy to:

• zaproszenie na rozmowę lub do pracy
• usunięcie danych
• odesłanie życiorysu

Taki model nie daje pracodawcy prawa do trzymania CV bez końca i używania go w każdym kolejnym naborze tylko dlatego, że kandydat kiedyś się odezwał. Jeżeli firma chce budować bazę kandydatów do przyszłych rekrutacji, powinna jasno to zakomunikować, spełnić obowiązek informacyjny i oprzeć dalsze wykorzystanie danych na prawidłowej podstawie, najczęściej na zgodzie kandydata.

Najczęstsze błędy pracodawców

W praktyce najwięcej problemów pojawia się przy czterech założeniach:

• skoro kandydat raz wysłał CV, to firma może wracać do niego przy każdej kolejnej rekrutacji
• zgoda na przyszłe rekrutacje jest domyślna, jeśli kandydat nie zaprotestował
• przechowywanie CV na potrzeby ewentualnych roszczeń daje też prawo do jego używania w nowych naborach
• kandydat musi wkleić zgodę do CV, bo inaczej w ogóle nie można przetwarzać jego danych w bieżącej rekrutacji

Tymczasem z przepisów wynikają zgoła odmienne wnioski:

• do bieżącej rekrutacji podstawą są przepisy prawa pracy i RODO dotyczące tego konkretnego procesu
• dla przyszłych rekrutacji przewiduje się osobną zgodę
• obowiązek informacyjny trzeba spełnić jasno i we właściwym czasie
• zgoda może być odwołana w każdym czasie

Praktyczny wniosek dla pracodawcy

Najbezpieczniejszy model rekrutacji wygląda tak:

1. oddzielasz bieżącą rekrutację od przyszłych rekrutacji
2. przekazujesz kandydatowi czytelną klauzulę informacyjną
3. nie żądasz zgody na dane, które przetwarzasz na podstawie Kodeksu pracy w aktualnym naborze
4. jeżeli chcesz wracać do CV później, zbierasz odrębną zgodę na przyszłe rekrutacje
5. określasz okres przechowywania danych i respektujesz możliwość cofnięcia zgody

To jest podejście zgodne z logiką RODO i najłatwiejsze do obrony organizacyjnie. Pozwala uniknąć sytuacji, w której firma sięga po stare CV bez jasnej podstawy i dopiero potem próbuje uzasadnić, dlaczego użyła danych do nowego celu.

Podsumowanie

Pracodawca nie powinien zakładać, że raz wysłane CV można automatycznie wykorzystać w każdej kolejnej rekrutacji. Dla bieżącego naboru podstawą przetwarzania są przepisy prawa pracy dotyczące konkretnego procesu rekrutacyjnego. Dla przyszłych rekrutacji sytuacja wygląda inaczej – wymagana jest wyraźna zgoda kandydata. Najprostsza praktyczna zasada jest więc taka – do jednej rekrutacji można użyć CV wysłanego na tę rekrutację, ale do innych rekrutacji warto wracać tylko wtedy, gdy kandydat został o tym jasno poinformowany i wyraził na to zgodę.

FAQ

Czy pracodawca może użyć mojego CV w innej rekrutacji bez pytania?

Co do zasady nie powinien robić tego automatycznie. Oficjalne klauzule rekrutacyjne rozdzielają bieżącą rekrutację od kolejnych rekrutacji i dla tych drugich przewidują wyraźną zgodę kandydata.

Czy kandydat musi wkleić zgodę do CV, żeby brać udział w bieżącej rekrutacji?

Nie dla podstawowych danych przetwarzanych w aktualnej rekrutacji na podstawie kodeksu pracy. Zgoda jest typowo potrzebna przy danych dodatkowych albo przy przyszłych rekrutacjach.

Czy zgodę na przyszłe rekrutacje można cofnąć?

Tak. Zgoda może zostać odwołana w dowolnym czasie.

Czy pracodawca może trzymać CV bezterminowo?

Nie powinien. UODO przypomina o zasadzie ograniczenia przechowywania, zgodnie z którą dane trzyma się nie dłużej, niż jest to niezbędne do celu przetwarzania.

Co jeśli wysłałem CV sam z siebie, bez ogłoszenia?

UODO wskazuje, że w takiej sytuacji pracodawca może zaprosić Cię do rozmowy, usunąć dane albo odesłać życiorys. Nie wynika z tego automatyczne prawo do używania Twojego CV w dowolnych przyszłych naborach.