Recrutarea de personal in lumina GDPR

In vederea recrutarii de personal, este bine stiut faptul ca o companie care are posturi vacante are doua metode principale de recrutare la dispozitie: fie decide ca procesul de recrutare sa fie efectuat direct de catre departamentul sau de resurse umane, ori prin intermediul firmelor specializate de recrutare de personal.

Avand in vedere ca procesul de recrutare presupune transmiterea CV-ului, contactarea si eventual testarea candidatului, acestuia ii sunt prelucrate date cu caracter personal, in ambele cazuri trebuie asigurata protectia acestor date in conformitate cu prevederile Regulamentul european nr. 679/2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date (denumit in continuare, pe scurt, Regulamentul).

In general, operator al datelor candidatului este compania care organizeaza recrutarea in mod direct sau care solicita firmei de recrutare personal sa gaseasca persoana potrivita pentru un anumit post, caz in care aceasta din urma firma dobandeste calitatea de persoana imputernicita a operatorului.

Cu toate acestea, in functie de obiectul contractului de prestari servicii incheiat intre compania angajatoare si firma de recrutare (respectiv in functie de cine stabileste scopul, dar si mijloacele prelucrarii datelor), compania care face recrutarea de personal poate avea calitatea de operator de date asociat cu firma angajatoare.

Indiferent de metoda de recrutare aleasa (anunturi publice, recrutare on-line pe site-ul propriu ori prin intermediul site-urilor specializate, participare la targuri) si de cine se ocupa in mod efectiv de recrutare, candidatul trebuie sa fie informat in prealabil.

Informarea trebuie sa cuprinda aspecte cum sunt: datele companiei angajatoare si, daca e cazul, datele firmei de recrutare, scopul prelucrarii (angajarea pe un anumit post), durata prelucrarii si cea de stocare a datelor sale (se poate alege varianta stergerii datelor candidatului ulterior angajarii unei alte persoane pentru postul scos la concurs sau cea a pastrarii CV-ului pentru recrutari viitoare, o anumita perioada de timp), dar si drepturile avute conform dispozitiilor Regulamentului.

Asadar, dreptul la informare a persoanei vizate reprezinta unul dintre cele mai importante drepturi, asa incat informarea trebuie sa fie clara, precisa, intr-un limbaj accesibil omului cu cunostinte medii si sa fie concisa.

Aceste conditii referitoare la modul de asigurare a informarii pot fi asigurate, de exemplu, prin includerea informarii in anuntul de angajare, ori includerea in anunt a unui link ce conduce la accesarea politicii interne de recrutare de pe site-ul companiei.

O alta optiune de buna practica ar putea-o reprezenta stabilirea tehnica a posibilitatii de transmitere a CV-ului in forma electronica doar daca persoana in cauza bifeaza da la finalul formularului de consimtamant.

De asemenea, compania trebuie sa se asigure ca datele personale ale candidatilor sunt accesibile doar persoanelor implicate in recrutare (de obicei, personalul de resurse umane) si ca acesta nu divulga mai departe respectivele date, sens in care se recomanda stabilirea unei clauze de confidentialitate extinse in cuprinsul contractului lor individual de munca sau intr-un act aditional la acesta.

Cu titlu de exemplu, daca CV-urile sunt depuse direct la sediul companiei, acestea ar trebui sa fie preluate de catre personalul de resurse umane si stocate intr-un loc securizat; daca CV-urile sunt trimise prin posta electronica, acestea sa fie directionate doar catre posta electronica a unui angajat din departamentul de resurse umane, iar nu catre o adresa ce poate fi accesata de toti angajatii firmei; daca CV-urile sunt depuse intr-un cutie postala existenta la intrarea in companie, accesul la respectiva cutie ar trebui asigurat cu o cheie pe care sa o pastreze doar anumite persoane (in practica, aceasta competenta e atribuita de obicei directorului departamentului de resurse umane).

Raportat la verificarile facute in faza de recrutare, in practica, compania angajatoare si firmele de recrutare specializate nu se rezuma doar la informatiile primite de la candidat odata cu depunerea CV-ului, ci fac si o verificare proprie, accesand profilele personale ale acestuia de pe retelele de socializare.

Avand in vedere ca prin Regulament se urmareste asigurarea dreptului la viata privata si se consacra principii cum sunt cel al proportionalitatii datelor personale colectate, recomandam sa nu fie accesate date cu caracter personal care nu sunt strict necesare pentru angajare.

Asadar, nu este recomandata verificarea profilelor de Facebook, Instagram etc. deoarece informatiile oferite de candidat pe aceste profile privesc viata privata a acestuia. In schimb, verificarea profilului de Linkedin este acceptata in opinia Grupului de Lucru Art. 29, acesta reprezentand un profil profesional.

De asemenea, cu ocazia interviului, nu ar trebui sa se verifice candidatul in asa fel incat prin intrebarile adresate acestuia sa fie accesate informatii pur personale care nu sunt necesare in vederea angajarii si care sunt prea intruzive in viata privata a candidatului (de exemplu comunicarea apartenentei la un partid politic, orientarea sexuala sau numarul de copii avuti).
De luat in considerare este si faptul ca, pentru a verifica daca respectivul candidat este potrivit sau nu echipei si postului alocat, perioada de proba reprezinta un instrument de verificare ce poate fi folosit.

In ceea ce priveste perioada de stocare a datelor personale ale candidatului, avand in vedere ca Regulamentul si proiectul de lege tac in acest sens, companiile angajatoare si firmele de recrutare isi pot stabili in politica interna perioada de timp cat vor stoca datele candidatului care nu a fost ales, dar si datele din CV-urile propriilor angajati.

Pentru rigurozitate, datele personale ale candidatului ar trebui sterse de indata ce compania incheie un contract individual de munca cu un alt candidat, ori cand este sigur ca nu va alege respectiva persoana.

Mai in toate cazurile insa, CV-urile candidatilor se stocheaza pe o perioada mai indelungata de timp, pentru ipoteza in care postul pentru care a concurat devine ulterior vacant ori daca in viitor se elibereaza un post cu care candidatul respins ar putea fi compatibil.

In acest sens, amintim faptul ca Regulamentul impune ca orice prelucrare sa aiba la baza un temei legal dintre cele prevazute de art. 6. Pentru situatia in care prelucrarea se intemeiaza pe consimtamantul candidatului (lit. a), consideram ca ar fi necesara obtinerea consimtamantului si pentru continuarea prelucrarii datelor personale din CV (adica pastrarea CV-ului) ulterior angajarii ori neangajarii sale, pentru o perioada clar determinata.

Practic, acest consimtamant se poate obtine fie de la bun inceput, la momentul depunerii CV-ului ori la primul interviu, fie odata cu informarea candidatului cu privire la acceptarea sau neacceptarea sa pe postul pentru care a fost intervievat.

Pentru situatia in care prelucrarea datelor candidatului indicate in CV este facuta in temeiul interesului legitim al operatorului (lit. f), atunci este necesar ca prelucrarea sa se efectueze doar atat timp cat operatorul de date (compania angajatoare sau firma de recrutare) poate justifica legitimitatea interesului avut.

Dupa indeplinirea termenului de stocare pentru care candidatul si-a dat consimtamantul, ori pentru care operatorul poate justifica legitimitatea interesului, acesta din urma trebuie sa stearga toate datele personale ale candidatului.

In concluzie, recomandam companiilor sa aiba o politica interna destinata recrutarii, sa proceseze datele candidatului in conditii de siguranta si doar prin intermediul departamentului de resurse umane tinut de clauza de confidentialitate extinsa ori a unei firme de recrutare ce respecta dispozitiile Regulamentului, iar verificarile efectuate cu privire la candidat sa fie cat mai putin intruzive in viata personala a acestuia.