Czy w ogłoszeniu o pracę należy zamieszczać klauzulę informacyjną?

Najkrótsza odpowiedź brzmi – nie zawsze trzeba wpisywać pełną klauzulę informacyjną w samą treść ogłoszenia, ale obowiązek informacyjny wobec kandydata trzeba spełnić najpóźniej wtedy, gdy pracodawca pozyskuje jego dane, a w praktyce bardzo często najwygodniej zrobić to właśnie w ogłoszeniu albo przez wyraźny link do klauzuli. UODO w poradniku dla pracodawców wskazuje, że obowiązek informacyjny w rekrutacji można wypełnić między innymi w treści ogłoszenia o pracę, bezpośrednio po otrzymaniu CV albo w formie automatycznej odpowiedzi e-mail. To oznacza, że ogłoszenie jest jedną z dopuszczalnych form, ale nie jedyną.

Z tego artykułu dowiesz się:

• czy klauzula informacyjna w ogłoszeniu o pracę jest obowiązkowa
• kiedy dokładnie powstaje obowiązek informacyjny z RODO
• czym różni się klauzula informacyjna od zgody na przetwarzanie danych
• kiedy wystarczy link do klauzuli
• co zmienia formularz aplikacyjny, e-mail rekrutacyjny albo agencja rekrutacyjna
• jakie błędy w rekrutacji pojawiają się najczęściej

Co to właściwie jest klauzula informacyjna?

Klauzula informacyjna to nie zgoda kandydata, tylko zestaw informacji, które administrator danych ma przekazać osobie, której dane przetwarza. UODO wylicza, że w rekrutacji kandydat powinien zostać poinformowany w sposób jasny, czytelny i łatwo dostępny między innymi o administratorze, danych kontaktowych inspektora ochrony danych, celu i podstawie przetwarzania, odbiorcach danych, okresie przechowywania, przysługujących prawach, prawie wniesienia skargi do Prezesa UODO oraz o tym, czy podanie danych jest obowiązkowe lub dobrowolne i jakie są konsekwencje ich niepodania.

W praktyce klauzula informacyjna odpowiada kandydatowi na pytania:

• kto przetwarza moje dane
• po co to robi
• na jakiej podstawie
• jak długo będzie je trzymał
• komu może je przekazać
• jakie mam prawa wobec tych danych

To ważne, bo wielu pracodawców nadal myli dwa różne dokumenty:

• klauzulę informacyjną, która informuje o przetwarzaniu danych
• zgodę, która może być potrzebna tylko w niektórych sytuacjach, na przykład dla dodatkowych danych albo przyszłych rekrutacji

Czy klauzula informacyjna musi być w samym ogłoszeniu?

Nie ma przepisu, który nakazywałby, aby pełna treść klauzuli zawsze znajdowała się bezpośrednio pod każdym ogłoszeniem o pracę. UODO wskazuje jednak wyraźnie, że obowiązek informacyjny można wykonać na kilka sposobów, w tym:

• w treści ogłoszenia o pracę
• bezpośrednio po otrzymaniu CV kandydata
• w formie automatycznej odpowiedzi przy komunikacji e-mailowej

To prowadzi do praktycznego wniosku:

• samo ogłoszenie nie musi zawsze zawierać pełnej klauzuli
• ale pracodawca musi mieć realny sposób spełnienia obowiązku informacyjnego
• i nie powinien odkładać tego w nieskończoność, bo gdy dane są zbierane bezpośrednio od kandydata, obowiązek z art. 13 RODO powstaje przy ich pozyskiwaniu

UODO w materiale o obowiązku informacyjnym pokazuje to bardzo obrazowo na przykładzie szkoły publikującej ogłoszenie o pracę – wskazuje wprost, że klauzula informacyjna może być zawarta pod takim ogłoszeniem. To potwierdza, że umieszczenie jej już przy ofercie jest prawidłowe i bezpieczne, ale z samego sformułowania może wynika też coś jeszcze – to rozwiązanie rekomendowane praktycznie, a nie jedyny możliwy model.

Kiedy dokładnie powstaje obowiązek informacyjny?

To zależy od tego, skąd pracodawca bierze dane kandydata. UODO rozróżnia dwa podstawowe przypadki:

• art. 13 RODO – gdy dane są zbierane od samej osoby, której dane dotyczą, na przykład kandydat sam wysyła CV albo wypełnia formularz
• art. 14 RODO – gdy dane pochodzą z innego źródła, na przykład od agencji rekrutacyjnej albo z innej bazy danych

UODO wyjaśnia, że przy art. 13 RODO obowiązek informacyjny powstaje podczas pozyskiwania danych osobowych, a jako przykład podaje właśnie formularz i ogłoszenie o pracę. Z kolei przy art. 14 RODO informację należy przekazać w rozsądnym terminie po uzyskaniu danych, nie później niż w ciągu miesiąca, a jeśli administrator kontaktuje się z osobą wcześniej, to najpóźniej przy pierwszej takiej komunikacji.

To oznacza w praktyce:

• jeśli kandydat wysyła CV bezpośrednio do pracodawcy, obowiązek informacyjny trzeba zrealizować od razu przy pozyskaniu danych albo natychmiast po ich otrzymaniu
• jeśli kandydat trafia do firmy przez agencję albo inną rekrutację pośrednią, może uruchomić się mechanizm z art. 14 RODO i obowiązek po stronie pracodawcy powstaje wtórnie

Czy wystarczy link do klauzuli?

W praktyce bardzo często tak, o ile kandydat rzeczywiście może łatwo do tej informacji dotrzeć. UODO podkreśla, że informacja ma być przekazana jasno, czytelnie i łatwo dostępnie, a w innym materiale wskazuje też możliwość warstwowego przekazywania informacji i łączenia różnych form informowania. To wspiera model, w którym ogłoszenie zawiera krótką informację oraz link do pełnej klauzuli lub w formularzu aplikacyjnym.

Najbezpieczniej działa taki układ:

• w ogłoszeniu krótka wzmianka, kto jest administratorem
• link do pełnej klauzuli
• klauzula widoczna przed wysłaniem aplikacji albo najpóźniej w momencie przesłania danych
• automatyczna odpowiedź e-mailowa jako dodatkowe zabezpieczenie organizacyjne

Słabiej wygląda sytuacja, gdy:

• ogłoszenie w ogóle nie wspomina o przetwarzaniu danych
• formularz nie odsyła do klauzuli
• kandydat nie dostaje automatycznej wiadomości
• pracodawca zakłada, że spełni obowiązek dopiero kiedyś później, bez konkretnego momentu i procedury.

Klauzula informacyjna a zgoda – to nie jest to samo

To jeden z najczęstszych błędów w rekrutacji. Klauzula informacyjna nie zastępuje zgody, ale też zgoda nie zastępuje klauzuli informacyjnej. 

Kodeks pracy wskazuje też zamknięty podstawowy katalog danych, których pracodawca może żądać od kandydata do pracy. To między innymi:

• imię i nazwisko
• data urodzenia
• dane kontaktowe wskazane przez kandydata
• wykształcenie, kwalifikacje zawodowe i przebieg dotychczasowego zatrudnienia, ale tylko gdy są niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku

Dodatkowe dane mogą być przetwarzane na podstawie zgody.

Ponadto, zgoda jest potrzebna, gdyby pracodawca chciał wykorzystać pozyskane dane (w zakresie wynikającym z kodeksu pracy), ale na potrzeby innych rekrutacji.

W praktyce oznacza to:

• do zwykłej rekrutacji na umowę o pracę nie potrzebujesz od kandydata zgody na przetwarzanie danych wymaganych przez prawo pracy
• ale nadal musisz przekazać mu klauzulę informacyjną
• zgoda może być potrzebna przy danych dodatkowych albo przy rekrutacjach przyszłych

Czy wszystko zależy od modelu rekrutacji?

Tak, i to bardzo. Jeżeli kandydat aplikuje bezpośrednio do pracodawcy, sprawa jest prostsza – to pracodawca jako administrator musi zadbać o obowiązek informacyjny zgodnie z art. 13 RODO. Gdy w procesie uczestniczy agencja rekrutacyjna, model może być inny. UODO opisuje sytuacje, w których:

• agencja działa jako administrator i sama spełnia obowiązek z art. 13 wobec kandydatów
• po przekazaniu danych pracodawcy to pracodawca staje się administratorem i przejmuje wtórny obowiązek informacyjny z art. 14
• albo agencja działa jako podmiot przetwarzający w imieniu pracodawcy i wtedy obowiązek informacyjny zasadniczo spoczywa na pracodawcy, choć może być wykonany przez agencję w jego imieniu na podstawie ustaleń umownych

To bardzo ważne przy praktyce rekrutacyjnej:

• nie każda oferta z agencji oznacza ten sam układ odpowiedzialności
• to, kto ma dać klauzulę, zależy od roli agencji w danym procesie
• kandydat powinien finalnie wiedzieć, kto jest administratorem jego danych i na jakich zasadach są one przekazywane dalej

Kiedy w ogłoszeniu warto dać pełną klauzulę, a kiedy wystarczy skrót lub link?

Najbezpieczniejsza odpowiedź praktyczna brzmi – jeżeli ogłoszenie jest miejscem, z którego kandydat od razu przechodzi do wysłania CV albo formularza, warto zapewnić mu klauzulę już tam lub tuż obok tego miejsca. UODO wprost wymienia ogłoszenie o pracę jako jedną z prawidłowych metod spełnienia obowiązku informacyjnego.

W praktyce dobrze sprawdza się taki podział:

Pełna klauzula w ogłoszeniu

• przy prostym ogłoszeniu na stronie firmowej
• przy krótkich formularzach
• gdy pracodawca chce maksymalnie ograniczyć ryzyko zarzutu, że kandydat nie został poinformowany na czas

Krótka informacja plus link

• przy ogłoszeniach na portalach z ograniczoną liczbą znaków
• gdy jest osobna zakładka kariera albo osobna strona rekrutacji
• gdy link prowadzi bezpośrednio do pełnej i aktualnej klauzuli, a kandydat dostaje link najpóźniej przed wysłaniem CV 

Najczęstsze błędy pracodawców

W praktyce najwięcej problemów powstaje nie dlatego, że firma w ogóle nie zna RODO, tylko dlatego, że miesza różne obowiązki.

Najczęstsze błędy to:

• traktowanie klauzuli informacyjnej i zgody jako tego samego dokumentu
• wpisywanie do ogłoszenia samej formułki o zgodzie, bez realnej informacji z art. 13 RODO
• brak klauzuli w ogłoszeniu i jednocześnie brak jej w formularzu lub autoresponderze
• żądanie od kandydatów szerszego zakresu danych, niż wynika z kodeksu pracy bez ich zgody
• brak aktualizacji klauzuli przy rekrutacjach przyszłych lub zmianie administratora danych

Szczególnie ryzykowny jest model, w którym ogłoszenie kończy się wyłącznie zdaniem typu wyrażam zgodę na przetwarzanie moich danych osobowych. Taki zapis nie realizuje sam w sobie pełnego obowiązku informacyjnego, bo nie mówi kandydatowi między innymi kto jest administratorem, jak długo dane będą przechowywane i jakie prawa mu przysługują.

Podsumowanie

Klauzula informacyjna w ogłoszeniu o pracę nie jest obowiązkowa w tym sensie, że RODO nie narzuca jednej sztywnej formy jej przekazania i UODO wyraźnie dopuszcza kilka sposobów wykonania obowiązku informacyjnego. Można zrobić to w treści ogłoszenia, bezpośrednio po otrzymaniu CV albo w automatycznej odpowiedzi e-mailowej. Kluczowe jest jednak nie to, gdzie technicznie umieścisz klauzulę, ale to, czy kandydat rzeczywiście otrzyma pełną informację we właściwym momencie. W praktyce najlepszym rozwiązaniem jest takie zorganizowanie rekrutacji, aby kandydat nie musiał domyślać się, kto przetwarza jego dane i na jakich zasadach. Dlatego z punktu widzenia bezpieczeństwa prawnego najczęściej opłaca się dać pełną klauzulę przy ogłoszeniu albo przynajmniej wyraźny link do niej już na etapie aplikowania.

FAQ

Czy klauzula informacyjna w ogłoszeniu o pracę jest obowiązkowa?

Nie zawsze w samej treści ogłoszenia. UODO wskazuje jednak, że obowiązek informacyjny można wypełnić między innymi w ogłoszeniu o pracę, po otrzymaniu CV albo w automatycznej odpowiedzi e-mailowej.

Czy wystarczy link do klauzuli RODO?

Często tak, jeżeli kandydat ma do niej łatwy dostęp i otrzymuje pełną informację najpóźniej przy pozyskiwaniu danych. UODO podkreśla wymóg jasności, czytelności i łatwej dostępności informacji oraz dopuszcza warstwowe przekazywanie informacji.

Czy do zwykłej rekrutacji trzeba prosić o zgodę na przetwarzanie danych?

Nie dla podstawowych danych, których pracodawca może żądać na podstawie Kodeksu pracy. Dla tych danych podstawą jest obowiązek prawny. Zgoda może być potrzebna przy danych dodatkowych albo przy przyszłych rekrutacjach.

Jakie dane kandydat musi podać zgodnie z Kodeksem pracy?

Kodeks pracy wymienia przede wszystkim imię i nazwisko, datę urodzenia, dane kontaktowe wskazane przez kandydata, a także wykształcenie, kwalifikacje zawodowe i przebieg dotychczasowego zatrudnienia, gdy są niezbędne dla danego stanowiska.

Co jeśli rekrutację prowadzi agencja?

To zależy od modelu współpracy. UODO wskazuje, że czasem agencja działa jako administrator, a czasem jako podmiot przetwarzający. Od tego zależy, kto i na jakim etapie realizuje obowiązek informacyjny wobec kandydata.

Czy sama formułka wyrażam zgodę na przetwarzanie moich danych wystarczy?

Nie jako klauzula informacyjna. Sama zgoda nie zastępuje pełnej informacji wymaganej przez art. 13 albo art. 14 RODO. Kandydat powinien dostać także informacje o administratorze, celu, podstawie, okresie przechowywania danych i swoich prawach.