Recrutarea salariaților și GDPR: Pentru cât timp pot fi prelucrate datele candidaților

Raportul pe anul 2019 al ANSPDCP poate fi accesat aici și conține, printre altele, și problema prelucrării datelor de către recrutori.

Primul aspect scos în evidență de autoritate este că orice prelucrare trebuie să vizeze doar acele date necesare în procesul de recrutare, precum și faptul că acestea trebuie păstrate doar atât cât este necesar în procesul de recrutare - în acest caz, finalizarea procesului de angajare.

În același timp, îi este recomandat angajatorului să stabilească el însuși un termen maxim de stocare (cu excepția situației în care acte normative specifice conțin, deja, un asemenea termen), având în vedere că ar trebui să își fi organziat procesul de recrutare, inclusiv din perspectiva duratei acestuia.

Bineînțeles că, practic, cele mai multe întrebări ar putea apărea în ceea ce îi privește pe candidații respinși. Regula ar trebui să fie că datele acestora nu vor fi menținute dincolo de durata necesară finalizării procesului de selecție. În plus, ANSPDCP s-a referit la două ipoteze concrete în care e clar că procesul de selecție s-a încheiat pentru candidatul/candidații respins/respinși:

• când devine evident că nu i se va oferi poziția candidatului respins;
• când devine clar că un candidat nu va accepta o ofertă.

Excepțional, s-ar putea ca angajatorul să păstreze datele prelucrate, cu privire la candidații respinși, și ulterior procesului de selecție. În acest caz, angajatorul va putea să acționeze astfel doar dacă are un interes legitim pentru o astfel de prelucrare, iar interesul său depășește interesul candidatului respins de a-i fi respectată confidențialitatea datelor.

În acest context, candidatul are mai multe drepturi pe care le poate exercita:

• dreptul de a fi informat (care ar trebui să fie respectat din momentul începerii procesului de angajare);
• dreptul de a se opune prelucrării date date în baza interesului legitim al angajatorului;
• dreptul la ștergerea datelor deținute de firma pentru care a aplicat;
• dreptul de a-și retrage consimțământul, dacă acela a fost temeiul pentru prelucrare.

În ce măsură poate un angajator să caute informații despre potențialii salariați pe rețele de socializare

Un alt aspect important scos în evidență de ANSPDCP este că angajatorii sunt limitați în ceea ce privește posibilitatea de a căuta informații despre potențialii salariați pe internet sau pe rețele de socializare. Acest lucru reprezintă o prelucrare de date.

Primul lucru pe care trebuie să îl ia în considerare angajatorul, când caută asemenea informații, este natura rețelei de socializare. Cel mai probabil, temeiul prelucrării, în această situație, este interesul legitim - interesul legitim presupune că se iau în considerare și așteptările rezonabile ale persoanei vizate de prelucrare (ale candidatului, în acest caz).

Cu alte cuvinte, trebuie văzut dacă potențialul salariat s-ar aștepta, în mod legitim, să fie căutate informații despre el pe rețele de socializare. De exemplu, cineva s-ar putea aștepta să îi fie vizitat profilul de LinkedIn, în timp ce s-ar putea să nu se aștepte ca profilul de Facebook să îi fie vizualizat de potențialul angajator. 

În plus, ar trebui vizualizate doar acele informații ce sunt relevante pentru postul respectiv. În concret, este greu de văzut cum cineva care vizitează un profil de LinkedIn, de exemplu, ar putea să aleagă să vadă doar acele informații esențiale, din moment ce, oricum, nu știe care sunt. Eventual, s-ar putea pune problema de o prelucrare a informațiilor esențiale atunci când angajatorul arhivează undeva datele prelucrate de pe o rețea de socializare, neavând niciun motiv să le arhiveze pe acelea care nu sunt relevante pentru postul pentru care s-a aplicat.