Zgoda na przetwarzanie danych w rekrutacji – kiedy jest konieczna?

W rekrutacji i w zatrudnieniu zgoda na przetwarzanie danych osobowych nie jest rozwiązaniem domyślnym. W praktyce liczy się to, czy pracodawca ma już podstawę z Kodeksu pracy, czy naprawdę potrzebuje dodatkowej zgody, jak szeroki ma być cel przetwarzania i czy pracownik albo kandydat może ją wycofać bez konsekwencji. Ten tekst porządkuje zasady, pokazuje, kiedy zgoda ma sens, a kiedy jest tylko zbędnym dodatkiem do dokumentów.

Co naprawdę oznacza zgoda w rekrutacji i w pracy

Ja traktuję zgodę jako narzędzie pomocnicze, a nie uniwersalną podstawę do zbierania wszystkiego, co pojawi się w dokumentach rekrutacyjnych. W rozumieniu RODO zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna, więc nie wystarczy „domyślne” zaznaczenie pola ani zapis ukryty między innymi postanowieniami.

W relacji pracodawca–kandydat ta zasada ma szczególne znaczenie, bo między stronami zwykle nie ma pełnej równowagi. Dlatego UODO zwraca uwagę, że zgoda nie może być wymuszona, a osoba składająca aplikację musi wiedzieć, kto przetwarza dane, w jakim celu i jak może później je wycofać. Jeśli tego brakuje, zgoda jest po prostu słaba prawnie.

W praktyce warto odróżnić dwa poziomy: zwykłe dane, które kandydat podaje w odpowiedzi na ofertę pracy, oraz dane bardziej wrażliwe, które wymagają ostrzejszej podstawy. To rozróżnienie prowadzi prosto do pytania, kiedy pracodawca może działać bez żadnej zgody, bo właśnie tam najłatwiej o błąd.

Kiedy pracodawca może przetwarzać dane bez zgody

Wiele osób zakłada, że każda rekrutacja musi zaczynać się od podpisania zgody. To nieprawda. Kodeks pracy wskazuje konkretne dane, których pracodawca może żądać od kandydata i pracownika, i w tym zakresie zgoda w ogóle nie jest potrzebna. Chodzi między innymi o imię i nazwisko, datę urodzenia, dane kontaktowe, wykształcenie, kwalifikacje zawodowe oraz przebieg dotychczasowego zatrudnienia, jeśli są potrzebne na danym stanowisku.

Po zatrudnieniu katalog danych też się rozszerza, ale nadal działa tu prawo pracy, a nie automatyczna zgoda. Pracodawca może żądać na przykład adresu zamieszkania, numeru PESEL, numeru rachunku płatniczego, a także innych danych, jeżeli wynika to z przepisu prawa albo jest konieczne do realizacji uprawnień pracownika. W praktyce oznacza to, że formularz kadrowy nie powinien być „na wszelki wypadek” przeładowany zgodami.

Nie zachęcam też do proszenia kandydatów o dodatkowe informacje tylko dlatego, że „mogą się przydać”. Jeśli pracodawca nie ma podstawy, nie powinien sam podpowiadać zakresu zbędnych danych. W rekrutacji najprostsza zasada brzmi: jeśli dany element CV mieści się w tym, czego pracodawca może oczekiwać na podstawie Kodeksu pracy, zgoda nie jest potrzebna. Jeśli jednak kandydat sam dorzuca coś więcej, sytuacja wygląda inaczej. I właśnie tutaj pojawia się przestrzeń dla zgody lub dla jej braku.

Kiedy zgoda jest dopuszczalna, a kiedy nie wystarczy

Najbardziej praktyczne rozróżnienie dotyczy trzech grup danych. Pierwsza to dane zwykłe, których pracodawca może żądać wprost na podstawie przepisów. Druga to dodatkowe zwykłe informacje przekazane z inicjatywy kandydata. Trzecia to dane szczególnych kategorii oraz dane o wyrokach skazujących, gdzie reguły są dużo ostrzejsze.

To rozróżnienie jest ważne szczególnie w ochronie zdrowia, gdzie w dokumentach kandydatów często pojawiają się dodatkowe certyfikaty, kursy, uprawnienia czy informacje o specjalizacji. Te elementy mogą być bardzo przydatne rekrutacyjnie, ale nie powinny być mieszane z danymi, których pracodawca nie może zbierać bez wyraźnej podstawy. Z tego wynika następny krok: jak napisać zgodę tak, żeby była legalna i rzeczywiście czytelna.

Jak powinna wyglądać poprawna klauzula zgody

Jeśli zgoda ma działać, musi być zbudowana prosto. Ja zawsze patrzę na cztery elementy: cel, zakres danych, możliwość wycofania i oddzielenie zgody od reszty dokumentu. Jedno zdanie „wyrażam zgodę na przetwarzanie moich danych” jest zbyt ogólne, jeśli nie wiadomo, czy chodzi o bieżący nabór, przyszłe rekrutacje, a może jeszcze o marketing rekrutacyjny.

Dobra klauzula powinna być osobna, czytelna i możliwa do zaznaczenia bez podpisywania wszystkiego „hurtem”. W formularzu rekrutacyjnym najlepiej sprawdzają się krótkie, konkretne sformułowania, na przykład:

• „Wyrażam zgodę na przetwarzanie danych podanych przeze mnie w CV i załączonych dokumentach w celu prowadzenia tej rekrutacji.”
• „Wyrażam zgodę na przetwarzanie moich danych w celu udziału w przyszłych rekrutacjach przez wskazany okres.”
• „Wyrażam wyraźną zgodę na przetwarzanie danych o stanie zdrowia, które przekazuję z własnej inicjatywy.”

W takiej klauzuli nie chodzi o ozdobny język, tylko o precyzję. UODO przypomina, że zgoda nie może być domyślna ani schowana między innymi zapisami, a wycofanie jej musi być równie proste jak wyrażenie. Jeśli w formularzu da się kliknąć checkbox, to zwykle powinien istnieć równie prosty sposób rezygnacji z tej zgody.

W praktyce dobra klauzula zawiera też informację, kto jest administratorem danych, do jakiego celu są one zbierane i jak długo będą przechowywane. To szczególnie ważne przy naborze do placówek medycznych, gdzie dokumenty kandydatów bywają przetwarzane przez kilka działów i łatwo zgubić, po co właściwie zebrano konkretne dane.

Najczęstsze błędy w formularzach kadrowych

Najwięcej problemów widzę tam, gdzie zgoda jest traktowana jak obowiązkowy dodatek do każdego CV. To prowadzi do kilku powtarzalnych błędów, których można łatwo uniknąć.

• Łączenie zgody z innymi oświadczeniami. Kandydat podpisuje całą paczkę dokumentów, więc nie ma realnego wyboru.
• Zaznaczone pola domyślnie. Takie checkboxy nie pokazują aktywnego, świadomego działania.
• Zbyt szeroki cel przetwarzania. Jedna formułka ma obejmować rekrutację, przyszłe nabory, kontakt marketingowy i jeszcze archiwizację.
• Warunkowanie zatrudnienia zgodą. Przy danych, które wynikają z Kodeksu pracy, to po prostu nie ma sensu.
• Brak informacji o cofnięciu zgody. Kandydat nie wie, jak ją odwołać, więc zgoda nie jest naprawdę przejrzysta.

W pracy administracyjnej i w HR często pojawia się też pokusa, by „na wszelki wypadek” prosić o zgodę nawet tam, gdzie wystarcza przepis prawa. To zły nawyk, bo rozmywa dokumentację. Lepiej oprzeć się na właściwej podstawie prawnej i zostawić zgodę tylko tam, gdzie rzeczywiście jest potrzebna. Właśnie dlatego tak ważne jest rozumienie skutków cofnięcia zgody, a nie tylko jej pozyskania.

Jak wycofać zgodę i co dzieje się z danymi

Cofnięcie zgody jest prawem osoby, której dane dotyczą, i powinno działać bez komplikacji. W praktyce oznacza to, że kandydat albo pracownik powinien móc odwołać ją w taki sposób, w jaki ją wyraził: e-mailem, przez formularz, a czasem po prostu w odpowiedzi na wiadomość od pracodawcy. Nie ma sensu tworzyć kanału wycofania bardziej skomplikowanego niż sam proces wyrażenia zgody.

1. Sprawdź, do jakiego celu zgoda została udzielona.
2. Wycofaj ją tym samym kanałem lub równie prostą drogą.
3. Pracodawca powinien natychmiast zakończyć dalsze przetwarzanie w tym celu.
4. Jeśli nie ma innej podstawy prawnej, dane powinny zostać usunięte albo odłączone od tego konkretnego celu.
5. Cofnięcie nie unieważnia działań, które były zgodne z prawem przed odwołaniem zgody.

To ostatnie jest istotne. Odwołanie zgody działa na przyszłość, a nie wstecz. Jeśli pracodawca przetwarzał dane zgodnie z udzieloną zgodą do dnia jej cofnięcia, ten wcześniejszy okres pozostaje legalny. Inaczej mówiąc: zgoda nie jest wieczna, ale też jej odwołanie nie „kasuje” tego, co już zostało wykonane zgodnie z prawem.

W rekrutacji medycznej ma to dodatkowe znaczenie, bo dokumenty kandydatów bywają przekazywane między kierownikiem oddziału, kadrami i osobą prowadzącą nabór. Jeżeli ktoś odwołuje zgodę na przyszłe rekrutacje, ten cel musi po prostu zniknąć z dalszego użycia danych. Następny krok jest bardzo praktyczny: co sam kandydat lub pracodawca powinien sprawdzić, zanim dokumenty trafią dalej.

Co warto sprawdzić przed wysłaniem aplikacji do placówki medycznej

W ochronie zdrowia rekrutacja bywa bardziej formalna niż w innych branżach, ale zasady zgody się nie zmieniają. Ja sprawdzam przede wszystkim to, czy aplikacja zawiera wyłącznie dane potrzebne do naboru, czy dodatkowe informacje są rzeczywiście uzasadnione oraz czy kandydat ma realny wybór, co chce ujawnić.

• Czy CV zawiera tylko dane, które są potrzebne na dane stanowisko.
• Czy dodatkowe informacje, takie jak certyfikaty, kursy specjalistyczne albo specjalizacja pielęgniarska, faktycznie wspierają ocenę kandydata.
• Czy ewentualna zgoda na przyszłe rekrutacje ma jasno określony czas, na przykład 6 miesięcy, a nie nieograniczony zasięg.
• Czy w formularzu nie ma pytań o zdrowie, przekonania, przynależność związkową albo inne dane, których pracodawca nie powinien zbierać bez odrębnej podstawy.
• Czy kandydat wie, jak wycofać zgodę i do kogo zwrócić się z takim żądaniem.

W przypadku kandydatów do pracy w pielęgniarstwie praktyczny sens ma zbieranie danych potwierdzających kwalifikacje, doświadczenie i gotowość do pracy w określonym trybie. Mniej sensu ma natomiast rozbudowywanie formularza o ogólne, szerokie zgody „na wszystko”, bo takie zapisy zwykle nie pomagają ani pracodawcy, ani kandydatowi. Jeśli dokument jest zbyt szeroki, lepiej go zawęzić niż liczyć, że problem rozwiąże się sam.

Najbezpieczniejsza zasada, jaką stosuję, jest prosta: gdy podstawę daje Kodeks pracy, nie dokładam zbędnej zgody; gdy potrzebny jest dodatkowy cel, opisuję go precyzyjnie; a gdy pojawiają się dane szczególnie chronione, wymagam wyraźnej i odrębnej decyzji osoby zainteresowanej. Dzięki temu dokumenty rekrutacyjne są krótsze, czytelniejsze i po prostu bardziej zgodne z prawem.

Jak czytać dokumenty rekrutacyjne bez ryzyka nadmiernej zgody

Jeżeli mam podać jedną praktyczną wskazówkę na koniec, to brzmi ona tak: nie podpisuj zgody, której celu nie umiesz w jednym zdaniu wyjaśnić. W rekrutacji do szpitala, przychodni czy innej placówki medycznej najlepiej działa prostota. Standardowe dane zostają przy Kodeksie pracy, dodatkowe informacje są opisane konkretnie, a zgoda pojawia się tylko tam, gdzie rzeczywiście jest potrzebna.

To podejście oszczędza czas po obu stronach i ogranicza błędy w dokumentacji. A przede wszystkim sprawia, że zgoda przestaje być pustym załącznikiem, a staje się realnym, świadomym narzędziem ochrony danych.