GDPR v náboru: oprávněný zájem, souhlasy a jak dlouho smíte uchovávat kandidáty
Nejčastější problém GDPR v náboru je záměna oprávněného zájmu a souhlasu. Když kandidát sám aktivně odpovídá na vaši pozici, ukládáte jeho data na základě oprávněného zájmu a souhlas k tomu nepotřebujete – musíte ale splnit informační povinnost. Souhlas se řeší až nad rámec výběrového řízení (když si kandidáta chcete nechat i potom) a musí být dobrovolný. Klíčové jsou dvě věci: jak dlouho smíte kandidáta uchovávat (u oprávněného zájmu jen po dobu nezbytně nutnou, u souhlasu po přiměřenou dobu, kterou obhájíte) a jak snadno může kandidát souhlas odvolat, což musí vést k úplné a nevratné anonymizaci. Tenhle článek není právní poradenství; postup si nechte schválit vlastním právníkem.
Nejčastější omyl: oprávněný zájem vs. souhlas
Setkáváme se s tím hlavně na kariérních webech, kde firmy v odpovědních formulářích vynucují souhlas se zpracováním osobních údajů. Typické je to pro agentury, které předtím dělaly e-shopy a jsou zvyklé získávat souhlas při registraci. V náboru to ale takhle nefunguje.
Tím, že kandidát aktivně odpovídá na pozici, o souhlas žádat nemusíte. Podle některých právních výkladů dokonce platí, že tam, kde máte oprávněný zájem, souhlas naopak získávat nesmíte. K postoji k této věci ale existuje víc právních výkladů.
Informační povinnost
Když kandidáta ukládáte na základě oprávněného zájmu, musíte splnit informační povinnost. Ta bývá už součástí odpovědního formuláře: uvádí, kdo je správce osobních údajů, jaké má povinnosti a jaká jsou práva kandidáta.
Když ukládáte na základě oprávněného zájmu, může kandidát kdykoli vznést námitku (článek 21) a uplatnit právo na výmaz (článek 17) – a to musí v návaznosti na ATS vést k plné a nevratné anonymizaci jeho osobních údajů. (Samotné odvolání souhlasu se týká jen kandidátů, u kterých je základem souhlas – viz níže.)
Související funkce: GDPR compliance · Automatická anonymizace
Souhlas nad rámec výběrového řízení
Získávání souhlasu bývá také součástí odpovědního formuláře – ale je to souhlas nad rámec výběrového řízení. Typicky proto, že si kandidáta chcete uložit i poté, co konkrétní výběrové řízení skončí.
Takový souhlas musí být dobrovolný:
- nesmí být předzaškrtnutý,
- musí být aktivním krokem kandidáta,
- a nesmí být povinný.
U některých formulářů se přesně tohle porušuje – zaškrtnutí souhlasu se vynucuje jako podmínka odeslání. To je špatně.
Jak dlouho smíte kandidáta uchovávat
U oprávněného zájmu ukládáte bez souhlasu nad rámec výběrového řízení jen po dobu nezbytně nutnou k tomu výběrovému řízení. A tady na rovinu: některé firmy mají nábory otevřené kontinuálně klidně tři, čtyři roky. U nich nelze tvrdit, že po celou tu dobu od odpovědi kandidáta trvá oprávněný zájem.
Jakmile jste kandidáta ve výběrovém řízení vypořádali – přijali (to je jiná otázka), nebo zamítli a ukončili – můžete si ho ještě chvíli po nezbytně nutnou dobu ponechat (třeba kvůli prokázání, že jste mu dali vědět nebo obrany proti případné antidiskriminační žalobě). Není to ale neomezené – jde o nezbytnou dobu v řádu měsíců podle promlčecích lhůt, ne o svévolné uchovávání dlouho po skončení pozice. Kde přesně je hranice, je předmětem výkladového sporu, proto si dobu nechte potvrdit právníkem.
ATS by mělo hlídat přiměřeně dlouhou dobu od odpovědi kandidáta po okamžik, kdy oprávněný zájem přestává být nezbytně nutný – ne to nechat na paměti recruitera.
Související funkce: Hlídání přiměřené délky oprávněného zájmu · Hlídání termínů · Upozornění před vypršením souhlasu
Délka souhlasu do talent poolu
U kandidátů, kteří dali souhlas nad rámec výběrového řízení, si určíte, jak dlouho je budete uchovávat. GDPR vám žádnou konkrétní dobu nenařizuje – souhlas ale musí být „přiměřený", tedy takový, abyste ho dokázali obhájit.
Běžná praxe je dnes mezi třemi a pěti lety. U některých pozic si ale obhájíte i delší dobu – výjimečně a jen u specifických pozic může být legitimita uchování kandidáta i výrazně delší. Musí to dávat smysl a musíte to umět obhájit před úřadem.
Čím snáz jde souhlas zrušit, tím delší dobu obhájíte
Delší dobu obhájíte líp, když má kandidát v každé komunikaci z ATS v patičce odkaz pro odhlášení – podobně jako unsubscribe link, který znáte z e-shopů. Tady ale neslouží k odhlášení z newsletteru, ale k tomu, aby kandidát na jedno kliknutí smazal a anonymizoval svá data, respektive zrušil souhlas.
Jak jednoduché bylo souhlas udělit, tak jednoduché by mělo být ho zrušit.
Většina souhlasů uvádí e-mail na DPO (pověřence pro ochranu osobních údajů), přes kterého kandidát právo uplatní. Výhoda ATS je, že do každého souhlasu automaticky přidá i ten odkaz na jedno kliknutí, kterým kandidát nenávratně smaže svá data z celé databáze. Recruiteři se často bojí, že jim budou kandidáti mizet pod rukama – v praxi k tomu ale dochází jen výjimečně.
Související funkce: Vlastní délka souhlasu · Komunikace v doménovém jméně
Co má ATS umět
Dobré ATS by mělo:
- souhlas aktivně získávat,
- v případě kontroly ho umět prokázat,
- poskytnout kandidátovi jeho práva,
- a automatizovat anonymizaci pro dobu, kterou si zvolíte.
Respektování délky souhlasu z pracovního portálu
Pozor na jeden detail. Když si v ATS nastavíte souhlas na pět let, ale kandidát přijde z pracovního portálu, kde byl souhlas vaším jménem získán třeba na tři roky (některé portály délku souhlasu pro správce nastavují defaultně), musí ATS respektovat, co bylo kandidátovi slíbeno na portálu – tedy dobu neprodlužovat a ctít ty tři roky.
A obráceně: když si nastavíte firemní politiku na tři roky, ale portál by získával delší dobu (pět let), mělo by ATS umět délku defaultně oříznout z pěti let na tři.
Anonymizace: co smazat a co ponechat
U plné anonymizace se zaměřte na to, aby ATS nesmazalo úplně všechno, ale jen informace, které se týkají osobních údajů kandidáta. Mělo by si ponechat torzo informací o té odpovědi – záznamy, poznámky, zdroj, odkud kandidát odpověděl.
Proč? Kvůli analytice a reportingu (kolik kandidátů se přihlásilo, z jakých zdrojů, průběh výběrového řízení) – a hlavně kvůli tomu, abyste v případě potřeby prokázali negativní skutečnost: že jste kandidáta uchovávali a vypořádali, i když už nevíte, jak se jmenoval.
Po anonymizaci nedokážete prokázat, koho jste měli. Ale díky ponechanému torzu a časovým razítkům doložíte, že k danému datu kandidát požádal o zrušení souhlasu a došlo k anonymizaci.
Pozor na hranici: aby bylo torzo skutečně mimo působnost GDPR, musí být nevratně anonymní – nesmí jít z něj osobu ani nepřímo re-identifikovat. Jakmile by ponechané poznámky byly individuálně spojitelné s konkrétním člověkem, jde už jen o pseudonymizaci a data dál podléhají GDPR (držíte je pak na jiném titulu, ne „mimo GDPR"). Doložení v agregátu – kolik kandidátů na pozici bylo anonymizováno – je neosobní; adresné doložení u jmenovitě určeného člověka nikoli.
Typický scénář: kandidát si mezitím stěžuje na Úřad pro ochranu osobních údajů a ten po vás chce doložit, že jste splnili povinnosti. Jak ale dokázat negativní skutečnost, když data už jsou anonymizovaná? Právě z ponechaného torza a data, kdy kandidát požádal o smazání, doložíte, kteří kandidáti na konkrétní pozici byli anonymizováni – a tím tu negativní skutečnost prokážete.
Související funkce: Automatická anonymizace · Uchování poznámek a analytiky po anonymizaci · Přehled zdrojů odpovědí
Souhlas do talent poolu (kariérní web)
Zvláštní případ je registrace do firemního talent poolu. Představte si na kariérním webu odstavec „Nenašli jste vhodnou pozici? Chcete být uloženi v naší databázi?" s odkazem na formulář, který kandidáta registruje do talent poolu.
Tady oprávněný zájem uplatnit nelze – z našeho pohledu je nutné získat souhlas se zpracováním osobních údajů a bez něj data ukládat nesmíte. Odpovědní formulář se tu tedy chová jinak než při aktivní odpovědi na konkrétní pozici. Samotná délka souhlasu, jeho vypořádání i práva jsou pak obdobná jako u souhlasu nad rámec výběrového řízení.
A co sourcing na LinkedInu?
Samostatné téma je GDPR při sourcingu na LinkedInu, kde data neberete od kandidáta, ale aktivně ho oslovujete. Věnujeme se mu v samostatném článku Sourcing na LinkedInu: jak ho dělat správně.
Tohoto průvodce vydává Recruitis.io, český ATS. Jak GDPR řešíme:
- Oprávněný zájem hlídáme časově: od odpovědi kandidáta máme nastavenou maximální délku jednoho roku, než dojde k vypořádání osobních údajů (plné anonymizaci). Zpravidla to ale nastane dřív – při archivaci pozice se vypořádají práva kandidátů, takže když výběrové řízení za pár měsíců uzavřete a zaarchivujete, anonymizují se ti, kdo nedali souhlas nad rámec řízení.
- Souhlas nad rámec řízení: u kandidátů se souhlasem si nastavíte vlastní délku uchování a systém hlídá její vypršení.
- Odhlášení na jedno kliknutí: do každé komunikace přidáváme odkaz, kterým kandidát nenávratně smaže svá data z celé databáze.
- Respektování délky z portálu: pokud portál získal souhlas na kratší dobu, ATS ji nectí neprodlužuje, ale ořízne na to, co bylo kandidátovi slíbeno.
- Torzo po anonymizaci: zůstávají neosobní záznamy o odpovědi (zdroj, průběh) pro reporting a pro doložení, že jste povinnosti splnili.
Na rovinu: tento článek není právní poradenství. Konkrétní nastavení délek, souhlasů a anonymizace si nechte posoudit vlastním právním oddělením nebo DPO.
Časté otázky
Potřebuji souhlas kandidáta, když sám odpoví na pracovní nabídku?
Ne. Když kandidát sám aktivně odpovídá na vaši pozici, ukládáte jeho osobní údaje na základě oprávněného zájmu a souhlas k tomu nepotřebujete. Podle některých právních výkladů dokonce platí, že tam, kde máte oprávněný zájem, souhlas naopak získávat nemáte. Časté je opačné pochybení, kdy firmy, zvyklé na e-shopy, v odpovědním formuláři souhlas vynucují. V náboru to takto nefunguje. Při ukládání na základě oprávněného zájmu ale musíte splnit informační povinnost: kdo je správce, jaké má povinnosti a jaká jsou práva kandidáta, včetně práva vznést námitku podle článku 21 a uplatnit právo na výmaz podle článku 17, což musí vést k plné a nevratné anonymizaci. Odvolat souhlas lze jen tam, kde je základem souhlas, tedy u uložení nad rámec výběrového řízení.
Jak dlouho smí firma uchovávat osobní údaje kandidáta?
Záleží na právním základu. U oprávněného zájmu smíte kandidáta bez souhlasu uchovávat jen po dobu nezbytně nutnou k výběrovému řízení; po jeho vypořádání ještě krátkou nezbytnou dobu, ne však půl roku či rok po skončení pozice. U souhlasu nad rámec výběrového řízení, tedy uložení do talent poolu, GDPR žádnou konkrétní dobu nenařizuje, ale musí být přiměřená a obhajitelná. Běžná praxe je tři až pět let, u některých pozic obhájíte i deset let. Delší dobu obhájíte snáz, pokud má kandidát v každé komunikaci odkaz, kterým souhlas na jedno kliknutí zruší. Dobré ATS by mělo dobu uchování automaticky hlídat a anonymizaci automatizovat.
Co je souhlas nad rámec výběrového řízení a jak má vypadat?
Je to souhlas se zpracováním osobních údajů, kterým si kandidáta chcete uložit i poté, co konkrétní výběrové řízení skončí, typicky do talent poolu. Musí být dobrovolný: nesmí být předzaškrtnutý, musí být aktivním krokem kandidáta a nesmí být povinný jako podmínka odeslání formuláře. Zvláštní případ je registrace do firemního talent poolu z kariérního webu, kde kandidát neodpovídá na konkrétní pozici. Tam oprávněný zájem uplatnit nelze a bez souhlasu se zpracováním osobních údajů data ukládat nesmíte.
Co má zůstat po anonymizaci kandidáta v ATS?
Anonymizace by neměla smazat úplně všechno, ale jen osobní údaje kandidáta. Systém by si měl ponechat neosobní torzo informací o odpovědi: záznamy, poznámky a zdroj, odkud kandidát odpověděl. Slouží to pro analytiku a reporting, tedy kolik kandidátů se přihlásilo a z jakých zdrojů, a hlavně pro doložení negativní skutečnosti. Po anonymizaci už nedokážete říct, koho jste měli, ale z ponechaného torza a časových razítek doložíte, že k danému datu kandidát požádal o zrušení souhlasu a došlo k anonymizaci. To se hodí, když si kandidát stěžuje na Úřad pro ochranu osobních údajů a vy musíte prokázat, že jste povinnosti splnili.