GDPR v nábore: oprávnený záujem, súhlasy a ako dlho smiete uchovávať kandidátov
Najčastejší problém GDPR v nábore je zámena oprávneného záujmu a súhlasu. Keď kandidát sám aktívne odpovedá na vašu pozíciu, ukladáte jeho dáta na základe oprávneného záujmu a súhlas na to nepotrebujete – musíte ale splniť informačnú povinnosť. Súhlas sa rieši až nad rámec výberového konania (keď si kandidáta chcete nechať aj potom) a musí byť dobrovoľný. Kľúčové sú dve veci: ako dlho smiete kandidáta uchovávať (pri oprávnenom záujme len po dobu nevyhnutne potrebnú, pri súhlase po primeranú dobu, ktorú obhájite) a ako ľahko môže kandidát súhlas odvolať, čo musí viesť k úplnej a nezvratnej anonymizácii. Tento článok nie je právne poradenstvo; postup si nechajte schváliť vlastným právnikom.
Najčastejší omyl: oprávnený záujem vs. súhlas
Stretávame sa s tým hlavne na kariérnych weboch, kde firmy v odpovedných formulároch vynucujú súhlas so spracovaním osobných údajov. Typické je to pre agentúry, ktoré predtým robili e-shopy a sú zvyknuté získavať súhlas pri registrácii. V nábore to ale takto nefunguje.
Tým, že kandidát aktívne odpovedá na pozíciu, o súhlas žiadať nemusíte. Podľa niektorých právnych výkladov dokonca platí, že tam, kde máte oprávnený záujem, súhlas naopak získavať nesmiete. K postoju k tejto veci ale existuje viac právnych výkladov.
Informačná povinnosť
Keď kandidáta ukladáte na základe oprávneného záujmu, musíte splniť informačnú povinnosť. Tá býva už súčasťou odpovedného formulára: uvádza, kto je prevádzkovateľ osobných údajov, aké má povinnosti a aké sú práva kandidáta.
Keď ukladáte na základe oprávneného záujmu, môže kandidát kedykoľvek vzniesť námietku (článok 21) a uplatniť právo na výmaz (článok 17) – a to musí v nadväznosti na ATS viesť k plnej a nezvratnej anonymizácii jeho osobných údajov. (Samotné odvolanie súhlasu sa týka len kandidátov, u ktorých je základom súhlas – pozri nižšie.)
Súvisiace funkcie: GDPR compliance · Automatická anonymizácia
Súhlas nad rámec výberového konania
Získavanie súhlasu býva tiež súčasťou odpovedného formulára – ale je to súhlas nad rámec výberového konania. Typicky preto, že si kandidáta chcete uložiť aj potom, čo konkrétne výberové konanie skončí.
Taký súhlas musí byť dobrovoľný:
- nesmie byť predzaškrtnutý,
- musí byť aktívnym krokom kandidáta,
- a nesmie byť povinný.
Pri niektorých formulároch sa presne toto porušuje – zaškrtnutie súhlasu sa vynucuje ako podmienka odoslania. To je zle.
Ako dlho smiete kandidáta uchovávať
Pri oprávnenom záujme ukladáte bez súhlasu nad rámec výberového konania len po dobu nevyhnutne potrebnú na to výberové konanie. A tu na rovinu: niektoré firmy majú nábory otvorené kontinuálne pokojne tri, štyri roky. U nich nemožno tvrdiť, že po celú tú dobu od odpovede kandidáta trvá oprávnený záujem.
Len čo ste kandidáta vo výberovom konaní vyriešili – prijali (to je iná otázka), alebo zamietli a ukončili – môžete si ho ešte chvíľu po nevyhnutne potrebnú dobu ponechať (napríklad kvôli preukázaniu, že ste mu dali vedieť, alebo obrany proti prípadnej antidiskriminačnej žalobe). Nie je to ale neobmedzené – ide o nevyhnutnú dobu v ráde mesiacov podľa premlčacích lehôt, nie o svojvoľné uchovávanie dlho po skončení pozície. Kde presne je hranica, je predmetom výkladového sporu, preto si dobu nechajte potvrdiť právnikom.
ATS by malo strážiť primerane dlhú dobu od odpovede kandidáta po okamih, keď oprávnený záujem prestáva byť nevyhnutne potrebný – nie to nechať na pamäti recruitera.
Súvisiace funkcie: Stráženie primeranej dĺžky oprávneného záujmu · Stráženie termínov · Upozornenie pred vypršaním súhlasu
Dĺžka súhlasu do talent poolu
U kandidátov, ktorí dali súhlas nad rámec výberového konania, si určíte, ako dlho ich budete uchovávať. GDPR vám žiadnu konkrétnu dobu nenariaďuje – súhlas ale musí byť „primeraný", teda taký, aby ste ho dokázali obhájiť.
Bežná prax je dnes medzi tromi a piatimi rokmi. Pri niektorých pozíciách si ale obhájite aj dlhšiu dobu – výnimočne a len pri špecifických pozíciách môže byť legitimita uchovania kandidáta aj výrazne dlhšia. Musí to dávať zmysel a musíte to vedieť obhájiť pred úradom.
Čím ľahšie sa dá súhlas zrušiť, tým dlhšiu dobu obhájite
Dlhšiu dobu obhájite lepšie, keď má kandidát v každej komunikácii z ATS v pätičke odkaz na odhlásenie – podobne ako unsubscribe link, ktorý poznáte z e-shopov. Tu ale neslúži na odhlásenie z newslettera, ale na to, aby kandidát na jedno kliknutie zmazal a anonymizoval svoje dáta, respektíve zrušil súhlas.
Aké jednoduché bolo súhlas udeliť, také jednoduché by malo byť ho zrušiť.
Väčšina súhlasov uvádza e-mail na DPO (zodpovednú osobu pre ochranu osobných údajov), cez ktorú kandidát právo uplatní. Výhoda ATS je, že do každého súhlasu automaticky pridá aj ten odkaz na jedno kliknutie, ktorým kandidát nenávratne zmaže svoje dáta z celej databázy. Recruiteri sa často boja, že im budú kandidáti miznúť pod rukami – v praxi k tomu ale dochádza len výnimočne.
Súvisiace funkcie: Vlastná dĺžka súhlasu · Komunikácia v doménovom mene
Čo má ATS vedieť
Dobré ATS by malo:
- súhlas aktívne získavať,
- v prípade kontroly ho vedieť preukázať,
- poskytnúť kandidátovi jeho práva,
- a automatizovať anonymizáciu pre dobu, ktorú si zvolíte.
Rešpektovanie dĺžky súhlasu z pracovného portálu
Pozor na jeden detail. Keď si v ATS nastavíte súhlas na päť rokov, ale kandidát príde z pracovného portálu, kde bol súhlas vaším menom získaný napríklad na tri roky (niektoré portály dĺžku súhlasu pre prevádzkovateľa nastavujú defaultne), musí ATS rešpektovať, čo bolo kandidátovi sľúbené na portáli – teda dobu nepredlžovať a ctiť tie tri roky.
A naopak: keď si nastavíte firemnú politiku na tri roky, ale portál by získaval dlhšiu dobu (päť rokov), malo by ATS vedieť dĺžku defaultne orezať z piatich rokov na tri.
Anonymizácia: čo zmazať a čo ponechať
Pri plnej anonymizácii sa zamerajte na to, aby ATS nezmazalo úplne všetko, ale len informácie, ktoré sa týkajú osobných údajov kandidáta. Malo by si ponechať torzo informácií o tej odpovedi – záznamy, poznámky, zdroj, odkiaľ kandidát odpovedal.
Prečo? Kvôli analytike a reportingu (koľko kandidátov sa prihlásilo, z akých zdrojov, priebeh výberového konania) – a hlavne kvôli tomu, aby ste v prípade potreby preukázali negatívnu skutočnosť: že ste kandidáta uchovávali a vyriešili, aj keď už neviete, ako sa volal.
Po anonymizácii nedokážete preukázať, koho ste mali. Ale vďaka ponechanému torzu a časovým pečiatkam doložíte, že k danému dátumu kandidát požiadal o zrušenie súhlasu a došlo k anonymizácii.
Pozor na hranicu: aby bolo torzo skutočne mimo pôsobnosti GDPR, musí byť nezvratne anonymné – nesmie sa z neho osoba ani nepriamo re-identifikovať. Len čo by ponechané poznámky boli individuálne spojiteľné s konkrétnym človekom, ide už len o pseudonymizáciu a dáta ďalej podliehajú GDPR (držíte ich potom na inom titule, nie „mimo GDPR"). Doloženie v agregáte – koľko kandidátov na pozíciu bolo anonymizovaných – je neosobné; adresné doloženie pri menovite určenom človeku nie.
Typický scenár: kandidát sa medzitým sťažuje na Úrad na ochranu osobných údajov SR a ten po vás chce doložiť, že ste splnili povinnosti. Ako ale dokázať negatívnu skutočnosť, keď dáta už sú anonymizované? Práve z ponechaného torza a dátumu, keď kandidát požiadal o zmazanie, doložíte, ktorí kandidáti na konkrétnu pozíciu boli anonymizovaní – a tým tú negatívnu skutočnosť preukážete.
Súvisiace funkcie: Automatická anonymizácia · Uchovanie poznámok a analytiky po anonymizácii · Prehľad zdrojov odpovedí
Súhlas do talent poolu (kariérny web)
Zvláštny prípad je registrácia do firemného talent poolu. Predstavte si na kariérnom webe odsek „Nenašli ste vhodnú pozíciu? Chcete byť uložení v našej databáze?" s odkazom na formulár, ktorý kandidáta registruje do talent poolu.
Tu oprávnený záujem uplatniť nemožno – z nášho pohľadu je nutné získať súhlas so spracovaním osobných údajov a bez neho dáta ukladať nesmiete. Odpovedný formulár sa tu teda správa inak než pri aktívnej odpovedi na konkrétnu pozíciu. Samotná dĺžka súhlasu, jeho vyriešenie aj práva sú potom obdobné ako pri súhlase nad rámec výberového konania.
A čo sourcing na LinkedIne?
Samostatná téma je GDPR pri sourcingu na LinkedIne, kde dáta neberiete od kandidáta, ale aktívne ho oslovujete. Venujeme sa mu v samostatnom článku Sourcing na LinkedIne: ako ho robiť správne.
Tohto sprievodcu vydáva Recruitis.io, český ATS. Ako GDPR riešime:
- Oprávnený záujem strážime časovo: od odpovede kandidáta máme nastavenú maximálnu dĺžku jedného roka, než dôjde k vyriešeniu osobných údajov (plnej anonymizácii). Spravidla to ale nastane skôr – pri archivácii pozície sa vyriešia práva kandidátov, takže keď výberové konanie za pár mesiacov uzavriete a zaarchivujete, anonymizujú sa tí, kto nedali súhlas nad rámec konania.
- Súhlas nad rámec konania: u kandidátov so súhlasom si nastavíte vlastnú dĺžku uchovania a systém stráži jej vypršanie.
- Odhlásenie na jedno kliknutie: do každej komunikácie pridávame odkaz, ktorým kandidát nenávratne zmaže svoje dáta z celej databázy.
- Rešpektovanie dĺžky z portálu: ak portál získal súhlas na kratšiu dobu, ATS ju nepredlžuje, ale oreže na to, čo bolo kandidátovi sľúbené.
- Torzo po anonymizácii: zostávajú neosobné záznamy o odpovedi (zdroj, priebeh) pre reporting a pre doloženie, že ste povinnosti splnili.
Na rovinu: tento článok nie je právne poradenstvo. Konkrétne nastavenie dĺžok, súhlasov a anonymizácie si nechajte posúdiť vlastným právnym oddelením alebo DPO.
Časté otázky
Potrebujem súhlas kandidáta, keď sám odpovie na pracovnú ponuku?
Nie. Keď kandidát sám aktívne odpovedá na vašu pozíciu, ukladáte jeho osobné údaje na základe oprávneného záujmu a súhlas na to nepotrebujete. Podľa niektorých právnych výkladov dokonca platí, že tam, kde máte oprávnený záujem, súhlas naopak získavať nemáte. Časté je opačné pochybenie, keď firmy zvyknuté na e-shopy v odpovednom formulári súhlas vynucujú. V nábore to takto nefunguje. Pri ukladaní na základe oprávneného záujmu však musíte splniť informačnú povinnosť: kto je prevádzkovateľ, aké má povinnosti a aké sú práva kandidáta, vrátane práva vzniesť námietku podľa článku 21 a uplatniť právo na výmaz podľa článku 17, čo musí viesť k plnej a nezvratnej anonymizácii. Odvolať súhlas možno len tam, kde je základom súhlas, teda pri uložení nad rámec výberového konania.
Ako dlho smie firma uchovávať osobné údaje kandidáta?
Záleží od právneho základu. Pri oprávnenom záujme smiete kandidáta bez súhlasu uchovávať len po dobu nevyhnutne potrebnú na výberové konanie; po jeho vyriešení ešte krátku nevyhnutnú dobu, nie však pol roka či rok po skončení pozície. Pri súhlase nad rámec výberového konania, teda pri uložení do talent poolu, GDPR žiadnu konkrétnu dobu nenariaďuje, ale musí byť primeraná a obhájiteľná. Bežná prax sú tri až päť rokov, pri niektorých pozíciách obhájite aj desať rokov. Dlhšiu dobu obhájite ľahšie, ak má kandidát v každej komunikácii odkaz, ktorým súhlas na jedno kliknutie zruší. Dobré ATS by malo dobu uchovania automaticky strážiť a anonymizáciu automatizovať.
Čo je súhlas nad rámec výberového konania a ako má vyzerať?
Je to súhlas so spracovaním osobných údajov, ktorým si kandidáta chcete uložiť aj potom, čo konkrétne výberové konanie skončí, typicky do talent poolu. Musí byť dobrovoľný: nesmie byť predzaškrtnutý, musí byť aktívnym krokom kandidáta a nesmie byť povinný ako podmienka odoslania formulára. Zvláštny prípad je registrácia do firemného talent poolu z kariérneho webu, kde kandidát neodpovedá na konkrétnu pozíciu. Tam oprávnený záujem uplatniť nemožno a bez súhlasu so spracovaním osobných údajov dáta ukladať nesmiete.
Čo má zostať po anonymizácii kandidáta v ATS?
Anonymizácia by nemala zmazať úplne všetko, ale len osobné údaje kandidáta. Systém by si mal ponechať neosobné torzo informácií o odpovedi: záznamy, poznámky a zdroj, odkiaľ kandidát odpovedal. Slúži to na analytiku a reporting, teda koľko kandidátov sa prihlásilo a z akých zdrojov, a hlavne na doloženie negatívnej skutočnosti. Po anonymizácii už nedokážete povedať, koho ste mali, ale z ponechaného torza a časových pečiatok doložíte, že k danému dátumu kandidát požiadal o zrušenie súhlasu a došlo k anonymizácii. To sa hodí, keď sa kandidát sťažuje na Úrad na ochranu osobných údajov SR a vy musíte preukázať, že ste povinnosti splnili.