Agencja rekrutacyjna, a RODO – jak powinna wyglądać współpraca

Wielu pracodawców planując rozpoczęcie procesu rekrutacyjnego, decyduje się na nawiązanie współpracy z agencją rekrutacyjną, która w profesjonalny sposób dokona wyboru i selekcjonowania kandydatów do pracy.

W związku z nawiązaniem tego rodzaju współpracy mogą pojawić się wątpliwości jak uregulować kwestie przetwarzania danych osobowych kandydatów do pracy. Kto będzie pełnił role Administratora danych osobowych, kto podmiotu przetwarzającego, a być może będziemy mieli do czynienia z udostępnieniem danych osobowych.

W naszym dzisiejszym artykule omówimy trzy modele współpracy jakie mogą Państwo spotkać podczas współpracy z agencjami. Wskażemy również rozwiązania, które należy zastosować w określonych sytuacjach, aby zachować zgodności z RODO.

Agencja rekrutacyjna, jako administrator danych osobowych kandydatów

Pierwszy z omawianych modeli współpracy zakłada następującą sytuację:

Model ten zakłada, że agencja czerpie kandydatów z własnych baz lub we własnym imieniu wyszukuje kandydatów (np. zamieszcza ogłoszenia o pracę, nawiązuje kontakty poprzez dedykowane portale) i włącza ich do swoich zbiorów danych. W tym zakresie agencja będzie działała, jako administrator danych osobowych kandydatów do pracy, to ona będzie decydowała o celach i sposobach przetwarzania danych osobowych. Na niej ciążyły będą obowiązki wskazane w RODO, m. in. dopełnienie obowiązku informacyjnego, ponieważ dane kandydatów przetwarza jako Administrator danych, w swoim własnym celu – przeprowadzenie pierwszego etapu rekrutacji – pozyskanie CV oraz selekcjonowanie kandydatów. Dane osób zainteresowanych poszukiwaniem pracy będzie przetwarzała nie tylko w celu tej jednej konkretnej rekrutacji, ale także na potrzeby innych postępowań rekrutacyjnych dla szeregu różnych pomiotów, z którymi nawiąże współpracę.

W związku ze współpracą z klientem, agencja wyszukuje w swoich własnych zasobach odpowiednich kandydatów do pracy, spełniających wymagania wskazane w umowie o współpracę. Przekazanie danych osobowych odpowiedniego kandydata następuje poprzez udostępnienie danych osobowych (dokumentów aplikacyjnych CV, list motywacyjny). Podstawa prawa udostępnienie danych osobowych zależeć będzie od relacji jaką agencja ma z kandydatami. W większości przypadków proces udostępnienie opierał się będzie na przesłance zgody, jednak nie musi być tak w każdym przypadku. Niekiedy agencje zatrudnienia podpisują z kandydatami umowę, w związku z tym udostępnienie może nastąpić na podstawie przesłanki z art. 6 ust. 1 lit. b RODO – realizacja umowy.

Klient (jako potencjalny pracodawca zlecający agencji wyszukanie kandydata) w momencie otrzymania dokumentów aplikacyjnych staje się Administratorem danych osobowych. Spoczywa na nim obowiązek informacyjny wtórny z art. 14 RODO, czyli musi poinformować kandydatów między innymi o tym kto jest Administratorem danych osobowych, jaki jest cel oraz podstawa przetwarzania danych, a także jakie jest źródło danych i kategorie odnośnych danych. Obowiązek tego zgodnie z art. 14 ust. 3 RODO powinien zostać spełniony w takim przypadku „przy pierwszej komunikacji z osobą, której dane dotyczą”.

Praktyczny kurs e-learningowy RODO w kadrach

Ze szkolenia dowiesz się jak sprawnie i zgodnie z RODO: rekrutować, zatrudniać, gromadzić i usuwać dane, wykorzystywać wizerunek oraz monitoring wizyjny i poczty elektronicznej, udostępniać spółkom z grupy kapitałowej, placówkom medycznym i dostawcom benefitów.

Sprawdź jak przetwarzać dane osobowe pracowników i kandydatów do pracy.

Sprawdź

Agencja rekrutacyjna, jako procesor

Model ten zakłada, że agencja w imieniu klienta (potencjalnego pracodawcy) wyszukuje kandydatów, czyli np. zamieszcza ogłoszenia o pracę, prowadzi rozmowy rekrutacyjne, proponuje widełki wynagrodzeń itp. Nie czerpie ona kandydatów z własnych zasobów, ale w sposób aktywny poszukuje ich w imieniu klienta.

W opisanej sytuacji Spółka ABC (potencjalny pracodawca) jest administratorem danych osobowych kandydatów, decyduje o celach i sposobach przetwarzania danych osobowych. W takiej sytuacji należy podpisać z agencją rekrutacyjną umowę powierzenia przetwarzania danych osobowych, w której Spółka ABC (jako potencjalny pracodawca) powierza agencji do przetwarzania dane osób ubiegających się w niej o zatrudnienie/dane rekrutacyjne.

Klient powinien pamiętać o tym, że w przypadku tego modelu współpracy to on będzie pełnił rolę administratora danych osobowych. W modelu tym, w odróżnieniu od pierwszej z opisanych sytuacji, administratorem danych będzie od samego początku procesu rekrutacyjnego. Spoczywać więc będzie na nim obowiązek informacyjny z art. 13 RODO. W związku z tym, powinien zadbać o to, aby dodać w umowie o współpracę stosowne zastrzeżenie, traktujące o tym, że agencja w jego imieniu zobowiązuje się dopełnić obowiązku informacyjnego w stosunku do kandydatów, a jako załącznik do umowy zamieścić wzór takiego obowiązku.

W tym modelu agencja rekrutacyjna występuje jako podmiot przetwarzający, który w imieniu i na rzecz potencjalnego pracodawcy wyszukuje kandydatów do pracy. Agencja nie wykorzystuje zebranych danych osobowych w swoich własnych celach, nie włącza ich do swoich zbiorów danych osobowych. Po zakończeniu współpracy zgodnie z dyspozycją umowy powierzenia przetwarzania danych osobowych, powinna usunąć dane osobowe kandydatów.

Model mieszany

Ostatni z modeli współpracy możemy określić jako mieszany. Agencja w imieniu naszej spółki ABC (potencjalnego pracodawcy) prowadzić będzie rekrutacje dwutorowo. Wyszukuje kandydatów poprzez ogłoszenia o prace publikowane w imieniu klienta, ale może również czerpać aplikacje ze swoich własnych zbiorów danych. Będziemy mieć w związku z tym do czynienia z połączeniem dwóch wyżej opisanych sytuacji.

W związku z powyższym należy zauważyć, że dwa wyżej wymienione sposoby pozyskiwania kandydatów w odmienny sposób będą kształtowały obowiązek informacyjny. W sytuacji gdy agencja pozyskuje kandydatów we własnym imieniu i włącza ich do swoich baz, przekazanie aplikacji będzie następowało poprzez udostępnienie danych potencjalnemu pracodawcy, który powinien dopełnić obowiązku informacyjnego wtórnego z art. 14 RODO. Natomiast gdy agencja w imieniu i na rzecz klienta poszukuje kandydatów, powinna ona dopełnić w jego imieniu obowiązku informacyjnego z art. 13 RODO.

Więcej na temat samego obowiązku informacyjnego mogą Państwo przeczytać w serii artykułów na naszym blogu: obowiązek informacyjny RODO.

Podsumowanie

Podejmując współpracę z agencją rekrutacyjną potencjalny pracodawca powinien dokładnie przeanalizować w jaki sposób rekrutacja będzie prowadzona. To właśnie od sposobu prowadzenia naboru kandydatów zależały będę prawa i obowiązki stron, oraz kształt obowiązku informacyjnego. Troska o prawidłowe przekazywanie danych osobowych kandydatów do pracy między agencją, a potencjalnym pracodawcą nie jest i nie powinien być jednostronny. Każda agencja powinna zweryfikować sposób swojej działalności w zakresie przetwarzania i przekazywania danych osobowych kandydatów poza jej struktury. Przyjęcie błędnego modelu współpracy i legalizacji procesu przekazywania danych osobowych może bowiem ściągnąć zarówno na agencje, jak i jej klientów negatywne konsekwencje, w postaci kontroli organu nadzorczego, kary pieniężnej, bądź nawet roszczeń odszkodowawczych.