Przepisy polskie i unijne, a także stanowiska UODO wskazują na restrykcyjne ograniczenia możliwości pozyskiwania danych osobowych kandydatów, a co za tym idzie – ich możliwej weryfikacji przed zatrudnieniem.

Coraz częściej firmy detektywistyczne czy oferujące usługi weryfikacji potencjalnych pracowników lub współpracowników otrzymują zlecenia weryfikacji kandydatów (tzw. background check). Również kancelarie prawne dostają zapytania od różnych podmiotów – w szczególności z państw trzecich (spoza UE i EOG) – dotyczące możliwości oraz zakresu dopuszczalnej weryfikacji kandydatów na pracowników czy współpracowników. Pracodawcy chcą sprawdzać kandydatów, aby zatrudnić jak najlepszych specjalistów i uniknąć potencjalnych problemów w przyszłości. Czy mogą one bezwarunkowo weryfikować kandydatów? Czy zgoda kandydata stanowi wystarczającą podstawę usprawiedliwiającą weryfikację przeszłości takiej osoby?

Unijne ograniczenia

W niektórych państwach możliwość weryfikacji przeszłości kandydatów jest bardzo szeroka i może obejmować kwestie związane z: życiem prywatnym (np. sytuacja rodzinna, sprawy rozwodowe); sytuacją finansową (możliwość weryfikacji historii kredytowych, wypłacalności); postępowaniami sądowymi dotyczącymi kandydata; karalnością kandydata czy innymi kwestiami. Zakres możliwej weryfikacji wynika z wielu aspektów, takich jak różnice kulturowo-systemowe, a także w szczególności zasady i normy prawne obowiązujące w danym państwie.

W krajach Unii Europejskiej, a w szczególności w Polsce, możliwość weryfikacji kandydatów jest ograniczona. Powyższe związane jest bezpośrednio z zasadami i regulacjami określającymi możliwość pozyskiwania i przetwarzania danych osobowych, a także prawem do prywatności, które jest uznawane za jedno z podstawowych praw człowieka każdej jednostki.

Wzmocniona ochrona

Sytuacja na rynku pracy w Polsce zmieniła się po przyjęciu Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (dalej: Rozporządzenie). Przyjęcie Rozporządzenia w Unii Europejskiej przyczyniło się do wzmocnienia ochrony danych osobowych osób fizycznych, a także wpłynęło na możliwość ich pozyskiwania i przetwarzania.

Regulacje odnoszące się do ochrony danych osobowych (dalej: RODO) obejmują nie tylko samo Rozporządzenie, które jest stosowane bezpośrednio w państwach członkowskich, ale i wewnętrzne regulacje danego państwa członkowskiego przyjęte w tym zakresie.

Podstawa przetwarzania

Z punktu widzenia zasad RODO weryfikacja kandydatów do pracy musi być oparta o jedną z podstaw przetwarzania danych osobowych zawartą w Rozporządzeniu. Co do zasady są to przepisy kodeksu pracy, zgoda kandydata albo przepis prawa nakładający obowiązek na podmiot poszukujący kandydatów do pracy / współpracy. Z przepisów Rozporządzenia wynika, że uprawnienie to czy obowiązek muszą wynikać z prawa polskiego lub prawa Unii Europejskiej, a nie prawa jakiegokolwiek państwa, z którego pochodzi potencjalny pracodawca spoza UE.

W zgodzie z RODO

Ponadto background check dopuszczalny jest w zakresie zgodnym z podstawowymi zasadami RODO, a w szczególności z zasadą ograniczenia celu i minimalizacji danych.

Zasada ograniczenia celu polega na możliwości pozyskiwania danych osobowych w ściśle określonym i prawnie uzasadnionym celu, a także na możliwości przetwarzania tych danych tylko w związku z tym wyraźnie i konkretnie określonym celem. Zasada minimalizacji polega natomiast na możliwości pozyskiwania danych osobowych w niezbędnym zakresie. Ograniczenie to sprowadza się do pozyskiwania danych adekwatnych do celów, w których są przetwarzane.

Kolejnym aspektem ograniczającym możliwość weryfikacji kandydatów do pracy jest prawo do ochrony prywatności, określone w szczególności w art. 47 Konstytucji Rzeczypospolitej Polskiej czy w art. 8 Konwencji o ochronie praw człowieka i podstawowych wolności, które to prawo uznawane jest za jedno z fundamentalnych praw człowieka.

Kodeksowe regulacje

Ponadto w kodeksie pracy zostały wprowadzone dodatkowe regulacje, które ograniczają w dalszym zakresie możliwość pozyskiwania danych od kandydatów właściwie do informacji odnoszących się tylko do wykształcenia, kwalifikacji czy doświadczenia danej osoby.

Powyższe regulacje nie pozostają bez wpływu na zakres możliwych do pozyskania informacji od kandydatów ubiegających się o zatrudnienie, a co za tym idzie – na ich możliwą weryfikację.
Jakie informacje można pozyskiwać od kandydatów nie naruszając powyższych zasad? Jaki wpływ na możliwości podmiotu, który chce zweryfikować przeszłość kandydatów mają prawo do prywatności i zasady RODO?

1. Weryfikacja kandydata na etat

Jak wyżej wspomniano, możliwość weryfikacji kandydatów na pracowników jest znacznie ograniczona. Kodeks pracy wprost określa katalog informacji, które pracodawca może pozyskiwać od kandydata, tj.:

• imię (imiona) i nazwisko,
• datę urodzenia,
• dane kontaktowe wskazane przez kandydata,
• informacje dotyczące wykształcenia,
• informacje dotyczące kwalifikacji zawodowych,
• informacje dotyczące przebiegu dotychczasowego zatrudnienia.

Przy czym informacje odnoszące się do wykształcenia, kwalifikacji zawodowych czy dotychczasowego zatrudnienia mogą być pozyskiwane tylko, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Ponadto pracodawca może pozyskiwać od kandydata inne informacje, jeżeli udzielenie ich jest niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

Zgodnie z przepisami pracodawca może na podstawie zgody kandydata pozyskiwać inne dane na jego temat, z wyjątkiem danych osobowych dotyczących wyroków skazujących i czynów zabronionych, których pozyskiwanie jest zabronione. Wyjątkowo w przypadku, gdy przepisy prawa zezwalają na pozyskiwanie informacji, można pozyskiwać od kandydata informacje o jego / jej karalności. Jednak jest to dopuszczalne w niewielu sytuacjach, np. przy ubieganiu się o zatrudnienie w podmiotach sektora finansowego lub w przypadku niektórych zawodów zaufania publicznego. Każdy przypadek powinien być zbadany celem ustalenia dopuszczalności pozyskania tego typu danych. Lista instytucji zaliczanych do podmiotów sektora finansowego określona jest w ustawie z 12 kwietnia 2018 r. o zasadach pozyskiwania informacji o niekaralności osób ubiegających się o zatrudnienie i osób zatrudnionych w podmiotach sektora finansowego.

Ponadto szczególne kategorie danych osobowych mogą być przetwarzane przez pracodawcę za zgodą tylko z inicjatywy kandydata do pracy. Chodzi o dane ujawniające:

• pochodzenie rasowe lub etniczne,
• poglądy polityczne,
• przekonania religijne lub światopoglądowe,
• przynależność do związków zawodowych,
• dane genetyczne, dane biometryczne – w celu jednoznacznego zidentyfikowania osoby fizycznej,
• dane dotyczące zdrowia, seksualności lub orientacji seksualnej danej osoby.

Zgodnie ze słownikiem języka polskiego PWN inicjatywa to „propozycja realizacji jakiegoś nowego projektu lub pomysłu; też: działania mające na celu ich realizację”. Mając na uwadze definicję językową, wydaje się, że jakiekolwiek działania, prośby czy nawet sugestie pracodawcy w przedmiocie udostępnienia powyższych danych osobowych mogą być uznane za brak inicjatywy po stronie kandydata. Nie dotyczy to sytuacji, gdy upoważnienie do pozyskania takich danych wynika z przepisu prawa.

Wspomniane zasady wynikające z kodeksu pracy ograniczają dodatkowo zasady RODO (tj. zasada ograniczenia celu i minimalizacji danych), a także prawo do prywatności każdej osoby fizycznej. Ponadto Urząd Ochrony Danych Osobowych (dalej: UODO) od lat stoi na stanowisku ochrony praw jednostki dotyczących jej danych osobowych i rekomenduje pozyskiwanie informacji o kandydacie / pracowniku tylko w zakresie niezbędnym i bezpośrednio związanym z oferowanym stanowiskiem pracy, a więc właściwie informacje związane z wykształceniem, kwalifikacjami i doświadczeniem zawodowym kandydata.

W przypadku gdy potencjalny pracodawca będzie chciał pozyskiwać dane pracownika w szerszym zakresie, zaleca się zbadanie występowania uzasadnionego celu, a także weryfikację, czy pozyskiwanie innych danych osobowych na podstawie zgody kandydata jest możliwe. Należy mieć na uwadze, że zgoda kandydata wydaje się niewystarczającą podstawą do przetwarzania danych osobowych ponad zakres bezpośrednio związany z oferowanym stanowiskiem pracy.

2. Weryfikacja kandydata do zawarcia umowy cywilnoprawnej

Jako że stosunek cywilnoprawny regulowany jest kodeksem cywilnym, ograniczenia wynikające z kodeksu pracy nie mają zastosowania do tych relacji. Czy to oznacza, że w przypadku rekrutacji kandydatów do współpracy na podstawie umów cywilnoprawnych można weryfikować ich przeszłość w szerszym zakresie niż przy umowie o pracę?

Kodeks cywilny nie określa zakresu danych, które wolno pozyskiwać od potencjalnych kandydatów. Z tego względu przy badaniu możliwości weryfikacji kandydata do współpracy na podstawie umowy cywilnoprawnej należy brać pod uwagę przede wszystkim zasady RODO, ale również poszanowanie prawa do ochrony prywatności danej osoby.

W tym zakresie pomocne mogą być rekomendacje UODO wydane w poradniku z października 2018 r. dotyczące ochrony danych osobowych w miejscu pracy. Wskazują one na ograniczoną możliwość pozyskiwania danych od kandydatów do pracy, którzy mają współpracować na podstawie umowy cywilnoprawnej. UODO podkreśla istotność poszanowania zasad ograniczonego celu i minimalizacji danych. Właściwie podmiot, który chce zatrudnić osobę na podstawie umowy cywilnoprawej, ma możliwość pozyskiwania tylko danych osobowych, których pozyskanie jest niezbędne do realizacji danej umowy czy też wypełniania obowiązków z niej wynikających (jak np. odprowadzanie składek na ubezpieczenia społeczne).

Powyższe nasuwa konkluzję, że zarówno zasady RODO, jak i rekomendacje UODO znacznie ograniczają możliwość weryfikacji kandydatów do współpracy na podstawie umowy cywilnoprawnej, nawet na podstawie udzielonej zgody. Co istotne, każdy przypadek powinien być oceniany indywidualnie, a także w nawiązaniu do celu zawarcia umowy i powiązanych obowiązków stron.

3. Weryfikacja współpracownika przedsiębiorcy

A co z osobami prowadzącymi własną działalność gospodarczą? Czy weryfikacja ich przeszłości jest możliwa w szerszym zakresie?

Kandydaci do współpracy, którzy prowadzą własną działalność gospodarczą, są uznawani za podmiot równoważny do podmiotu poszukującego kandydatów. Ponadto są uznawani na rynku za podmioty profesjonalne, działające na własny rachunek i na własną odpowiedzialność. Mogłoby się wydawać, że brak jakiegokolwiek podporządkowania (jak w umowach o pracę), czy też brak nierówności we wzajemnej relacji (jak w umowach cywilnoprawnych zawieranych z osobami fizycznymi) wpłynie na możliwość szerszej weryfikacji takich kandydatów do współpracy. Jednak również w tym przypadku możliwość pozyskiwania danych osobowych, a co za tym idzie – weryfikacji takich kandydatów, musi odbywać się w zgodzie z zasadami RODO i prawem do prywatności danej jednostki.

Rekomendacje UODO dotyczące kandydatów do współpracy B2B również są dość restrykcyjne. Mimo że obie strony takiego stosunku prawnego mogą na równi ukształtować zakres potrzebnych danych, to ich pozyskiwanie, a w konsekwencji możliwa weryfikacja kandydata, powinna odbywać się z poszanowaniem zasady ograniczonego celu i minimalizacji danych. W tym przypadku weryfikacja jest również możliwa w zakresie związanym z celem zawarcia umowy i powiązanych obowiązków stron.

Ograniczenia w praktyce

Powyższe sprowadza się do konkluzji, że przy weryfikacji kandydatów na pracowników czy współpracowników należy zawsze kierować się zasadami RODO, a w szczególności stosować art. 5, 9 i 10 Rozporządzenia. Ponadto ustawodawca polski zdecydował się doprecyzować w kodeksie pracy zakres danych, jaki może być pozyskiwany od kandydatów na pracowników, podczas gdy kodeks cywilny nie zawiera analogicznych regulacji w stosunku do kandydatów na współpracowników. Przykładowo, w odniesieniu do zakazu weryfikacji przeszłości kryminalnej kandydata kodeks pracy wprost zakazuje przetwarzania tego typu danych na podstawie zgody kandydata (co do zasady musi być podstawa w przepisie prawa). Natomiast – mimo że kodeks cywilny nie zawiera analogicznego zakazu – pozyskiwanie tej kategorii danych osobowych na podstawie zgody kandydata do współpracy na podstawie umowy cywilnoprawnej może okazać się nadmierne i niecelowe. Każdy przypadek zasadności weryfikacji kandydata powinien być oceniany indywidualnie oraz w związku z daną ofertą pracy/współpracy.

Co do zasady, jeżeli weryfikacja kandydata będzie związana z pracą, którą ma wykonywać, a także będzie uwzględniała poszanowanie zasad RODO, tj. ograniczonego celu i minimalizacji danych, powinna ona być uznana za usprawiedliwioną i dopuszczalną. Należy jednak mieć na uwadze, że na ten moment stanowiska UODO w Polsce są dość restrykcyjne i w znaczny sposób ograniczają możliwość pozyskiwania danych osobowych kandydatów, a co za tym idzie – ich możliwej weryfikacji przed zatrudnieniem.

W przypadku rekrutacji pracowników możliwość weryfikacji ich przeszłości jest ograniczona przez przepisy kodeksu pracy, zasady RODO oraz prawo do prywatności. Natomiast w przypadku rekrutacji współpracowników (umowy cywilne) limitowana możliwość weryfikacji wynika z zasad RODO, a także ich prawa do prywatności. Choć wydawać by się mogło, że kandydaci do umów cywilnoprawnych mogą być weryfikowani w szerszym zakresie, to w praktyce możliwa weryfikacja jest również ograniczona przez cel pozyskiwania danych, który musi być związany z pracą, która ma być wykonywana, a także umową, która ma być zawarta.

Podsumowanie

Obserwując oferty pracy pojawiające się na rynku polskim można zauważyć trend, zgodnie z którym wybór stosunku prawnego, na podstawie którego praca ma być wykonywana, jest częścią negocjacji między stronami. Coraz częściej pojawiają się ogłoszenia, które wskazują na możliwość uzgodnienia czy strony będzie łączył stosunek pracy, czy relacja cywilnoprawna. Nie pozostaje to bez znaczenia dla ograniczeń odnoszących się do możliwości weryfikacji kandydatów. Gdy potencjalny kandydat może zostać zatrudniony zarówno w oparciu o stosunek pracy, jak i na podstawie umowy cywilnoprawnej, ograniczenia zawarte w kodeksie pracy będą miały zastosowanie do weryfikacji danej osoby w procesie rekrutacyjnym.

Czy warto ryzykować i weryfikować przeszłość kandydatów na podstawie ich zgody bez uwzględnienia opisanych ograniczeń? Na to pytanie musi odpowiedzieć sobie każdy podmiot poszukujący pracowników czy współpracowników. W przypadku naruszeń RODO przez dany podmiot, prezes UODO może zastosować środki naprawcze lub nałożyć na niego karę finansową. Najwyższa kara, jaka została do tej pory nałożona w Polsce za naruszenia związane z przepisami i zasadami RODO, to prawie 5 milionów złotych. Dotyczyła ona poważnych naruszeń poufności i wycieku danych ok. 100 000 osób, a co za tym idzie – naruszenia wielu przepisów RODO. Należy mieć na uwadze, że prezes UODO analizując daną sprawę bierze pod uwagę wiele okoliczności, a w szczególności skalę i wagę naruszenia. Ponadto kandydat do pracy / współpracy może odczuć, że jego / jej prawo do prywatności czy inne dobra osobiste zostały naruszone i dochodzić potencjalnych roszczeń w postępowaniu cywilnym.

Artykuł ukazał się w dziennku Rzeczpospolita, 3 sierpnia 2023 r., str. D6 (1/2)