Při výběru nového zaměstnance se neobejdete bez osobních údajů uchazečů. Jaké údaje můžete od uchazečů požadovat a jak splnit všechny právní povinnosti? Přečtěte si o klíčových pravidlech, která vám pomohou postupovat v souladu s právními předpisy.
S osobními údaji uchazečů o práci byste měli nakládat v souladu s obecným nařízením o ochraně osobních údajů (GDPR). Aby to pro vás bylo jednodušší, provedeme vás krok za krokem pravidly, na která při hledání nového zaměstnance myslet.
Předem si určete, za jakými účely chcete s osobními údaji uchazečů nakládat. Zároveň si stanovte právní důvody pro jejich zpracování, jak je vymezuje článek 6 GDPR.
Pravděpodobně budete potřebovat informace o uchazečích za účelem jejich zařazení do výběrového řízení a vyhledání nového zaměstnance. Právním důvodem zpracování těchto údajů je nezbytnost pro uzavření pracovní smlouvy, dohody o provedení práce (DPP) nebo dohody o pracovní činnosti (DPČ).
Možná si budete chtít informace poskytnuté zaměstnancem ověřit z veřejně dostupných zdrojů. Za tímto účelem můžete údaje uchazeče zpracovávat na základě vašeho oprávněného zájmu na volbě nejvhodnějšího zaměstnance. Váš oprávněný zájem ale musí převážit nad právy a svobodami uchazeče. To se zpravidla nestane při prohledávání soukromých profilů na neprofesních sociálních sítích uchazeče (např. na Facebooku nebo Instagramu). Pokud vystupování uchazeče na sociální síti není podstatné (např. v případech, kdy hledáte managera, jehož vystupování by mohlo ohrozit vaši pověst), můžete profil uchazeče prohledávat jen s jeho dobrovolným souhlasem. Uchazeč je v rámci výběrového řízení ale ve slabším postavení, a získání skutečně dobrovolného souhlasu je v praxi problematické. Proto se soukromým profilům na sociálních sítích raději vyhněte.
Plánujete si informace o uchazeči ověřit u současného nebo bývalého zaměstnavatele? Potom budete potřebovat za tímto účelem jeho souhlas. Ten je třeba také pro uchování údajů neúspěšných uchazečů po skončení výběrového řízení za účelem nabídky další pracovní pozice.
V dalším kroku si stanovte, jaké konkrétní informace potřebujete od uchazečů za vámi určenými účely získat.
Pozor na to, že dle zákoníku práce můžete požadovat jen informace, které bezprostředně souvisejí s uzavřením pracovní smlouvy, DPP nebo DPČ. Zároveň dle GDPR musí jít jen o minimum informací, které skutečně potřebujete k dosažení stanoveného účelu.
Během výběrového řízení si můžete od uchazeče vyžádat například jméno, kontaktní údaje, informace o vzdělání, pracovních zkušenostech a jeho motivaci u vás pracovat.
Naopak nesmíte zjišťovat informace o těhotenství, rodinných a majetkových poměrech, sexuální orientaci, původu, členství v odborové organizaci, v politických stranách nebo hnutích, o příslušnosti k církvi nebo náboženské společnosti nebo trestněprávní bezúhonnosti. Výjimkou jsou případy, kdy to povaha práce nebo zákon vyžaduje.
Stejná pravidla platí i pro vyhledávání těchto informací z veřejně dostupných zdrojů. Je v pořádku, pokud si prohlédnete profesní profil uchazeče na síti LinkedIn. Soukromým profilům na síti Facebooku, Instagram nebo TikTok se ale raději vyhněte, pokud vám k tomu uchazeč nedá skutečně dobrovolný souhlas (např. vás k prohlídce sám vyzve). Problematické bude i ověřování solventnosti uchazeče v insolvenčním rejstříku nebo centrální evidenci exekucí. Pokud solventnost není nezbytnou podmínkou pro výkon práce nového zaměstnance, raději tyto zdroje informací vynechejte.
Osobní údaje byste měli vhodně zabezpečit před jejich odcizením, ztrátou, poškozením nebo jiným zneužitím. Je vhodné zavést aspoň následující bezpečnostní opatření:
Pokud uchazeč ve výběrovém řízení neuspěje, nebudete mít souhlas s uchováním jeho údajů a nebude existovat jiný důvod pro uchování jeho údajů, měli byste jeho údaje co nejrychleji po skončení výběrové řízení smazat.
Když vám uchazeč souhlas dal, určete si období, během kterého pro vás může být perspektivní a kdy ho skutečně můžete chtít kontaktovat. Délku uchování údajů neúspěšných uchazečů může ovlivnit třeba pracovní pozice, na kterou by se uchazeč hodil, nebo jeho věk. Pokud jste například ve výběrovém řízení hledali studenty na pozici recepčního, nemá význam si údaje uchazečů uchovávat poté, co dostudují. Přiměřená doba uchování jejich údajů může být proto 3 až 5 let. Naopak pokud jste hledali zkušeného operátora CNC stroje, je možné si obhájit i 10letou dobu uchování údajů. Raději se vyhněte uchování údajů uchazečů po neomezenou dobu. Zpravidla si takto dlouhou dobu uchování neobhájíte a budete údaje uchazečů zpracovávat nezákonně.
Jakmile vámi stanovená doba uchování uplyne nebo uchazeč svůj souhlas odvolá, údaje smažte.
Než se uchazeč do výběrového řízení přihlásí, měli byste ho informovat o tom, jaké osobní údaje a za jakým účelem budete zpracovávat. Dále by měl vědět, na jakém právním základě údaje zpracováváte, jak dlouho je budete zpracovávat, kdo k nim bude mít přístup a jaká uchazeči náleží práva.
Informace musí být pro uchazeče jasné a snadno dostupné, bez potřeby dlouhého hledání. Můžete je například umístit na náborovou webovou stránku, na kterou uchazeče odkážete v kontaktním formuláři, nebo je zaslat emailem.
Chcete-li zjišťovat informace o zaměstnanci od jeho současného nebo bývalého zaměstnavatele nebo chcete uchovávat údaje neúspěšných uchazečů pro budoucí nabídky, potřebujete jejich souhlas. Ten vám uchazeč musí dát dobrovolně, poté, co jste ho informovali o zpracování osobních údajů a předtím, než za daným účelem začnete jeho údaje zpracovávat.
Způsob, jakým souhlas od uchazeče získáte, je na vás. Souhlas můžete získat například zaškrtnutím políčka ve formuláři s přihláškou do výběrového řízení nebo emailem.
Úřadu pro ochranu osobních údajů musíte být schopni prokázat, že jste splnili své povinnosti stanovené v GDPR. Proto si logujte proces přihlášení do výběrového řízení přes online formulář a ukládejte si e-mailovou komunikaci, ve které uchazeč obdržel informace o zpracování osobních údajů a udělil souhlas.
Evidenci si ponechávejte tak dlouho, dokud potřebujete uchovávat osobní údaje uchazeče. Typicky do skončení výběrového řízení nebo do uplynutí období, ve kterém můžete neúspěšné uchazeče kontaktovat s nabídkou pracovní pozice.
Bezpečnostní opatření na papíře vám nebudou nic platná, pokud je nebudete skutečně dodržovat. Během výběrového řízení si proto například zkontrolujte, zda se provádí zálohování, zda vám nevypršela licence k antivirovému programu a zda k údajům mají přístup jen oprávnění zaměstnanci.
Uchazeči se na vás dle GDPR mohou obrátit se řadou žádostí týkajících se jejich práv na ochranu osobních údajů. Mají například právo na přístup k informacím o tom, jaké údaje o nich shromažďujete a jak je používáte. Uchazeči mohou také žádat o opravu poskytnutých údajů nebo odvolat svůj souhlas se zpracováním osobních údajů pro budoucí pracovní nabídky a žádat jejich výmaz.
Pověření zaměstnanci by měli vědět, že tyto žádosti musíte vyřídit do 1 měsíce od jejich doručení a jakým způsobem na ně mají reagovat.
Po skončení výběrového řízení si můžete standardně ponechat jen údaje budoucího zaměstnance a těch neúspěšných uchazečů, kteří vám dali souhlas s jejich uchováním pro možné budoucí nabídky pracovních pozic. Bez souhlasu uchazeče si jeho osobní údaje můžete ponechat i v případech, kdy potřebujete chránit své zájmy ve sporech s uchazečem. Osobní údaje, které vám takto zůstanou, byste měli nadále dostatečně zabezpečit. Ostatní osobní údaje o neúspěšných uchazečích musíte bez zbytečného odkladu smazat.
Uchazeč, který úspěšně prošel výběrovým řízením, se brzy stane vaším zaměstnancem. Tady se kolo povinností dle GDPR roztáčí znovu. Od nového zaměstnance budete totiž potřebovat další osobní údaje, které budete používat k mnoha dalším účelům. Při podpisu pracovní smlouvy, DPP nebo DPČ tak budete muset nového zaměstnance o zpracování osobních údajů informovat znovu a nadále dodržovat další povinnosti stanovené v GDPR.
Chcete mít jistotu, že během výběrového řízení zpracováváte osobní údaje uchazečů správně? Pak nás neváhejte kontaktovat na e-mailu kancelar@kroupalide.cz.
KROUPALIDÉ advokátní kancelář s.r.o.
IČO: 29310571, DIČ: CZ29310571
Společnost zapsaná v obchodním rejstříku vedeném Krajským soudem v Brně pod sp. zn.
C 73338
Subjektem mimosoudního řešení sporu
se spotřebiteli je Česká advokátní komora
