GRUPA 3 ustalenia r.pr. Patrycja Kozik. Warszawa

Transkrypt

1 GRUPA 3 ustalenia r.pr. Patrycja Kozik Warszawa

2 Grupa nr 3

3 WSPÓŁPRACA Z PODMIOTAMI REKRUTUJĄCYMI NA ZLECENIE

4 Rodo a współpraca z podwykonawcami Określenie roli w ramach współpracy z danym podmiotem ma znaczenie z punktu widzenia: odpowiedzialności realizacji obowiązku informacyjnego zapewnienia podstaw prawnych współpracy Procesor oznacza podmiot, który przetwarza dane osobowe na zlecenie administratora np. agencja rekrutacyjna Administrator oznacza podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych np. danych osobowych swoich pracowników

5 Rodo a współpraca z podwykonawcami Wybór procesora - komu można dane powierzyć na gruncie RODO? Podmiotom, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi niniejszego rozporządzenia i chroniło prawa osób, których dane dotyczą. Należy zweryfikować czy procesor zapewnia wystarczające gwarancje i być w stanie to wykazać

6 Rodo a współpraca z podwykonawcami Należy zawrzeć z procesorem umowę powierzenia zgodną z RODO Umowa powierzenia na gruncie uodo: cel i zakres zgodnie z art. 28 rodo, umowa powierzenia powinna określać: przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych, kategorie osób, których dane dotyczą, obowiązki i prawa administratora, a także obowiązki procesora, których przykładowe wyliczenie zawiera ustęp 3 wskazanego artykułu. Można powierzyć zbieranie zgód

7 Współpraca z podmiotami rekrutującymi na zlecenie Art. 28 ust. 3 ( ) e) biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III; f) uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga administratorowi wywiązać się z obowiązków określonych w art RODO;

8 RODO OBOWIAZKI PROCESORA Powyższe dotyczy pomocy w wywiązania się obowiązku zapewnienia: - bezpieczeństwa przetwarzania - zgłaszania naruszenia ochrony danych osobowych organowi nadzorczemu - zawiadamiania osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych - oceny skutków dla ochrony danych - uprzednich konsultacji z organem ochrony danych osobowych - poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw.

9 Współpraca z podmiotem rekrutującym na zlecenie Ankiety: 1. Procesor powinien realizować obowiązek informacyjny/zbierać zgodę 2. W umowie należy ustalić sposób komunikacji z procesorem w zakresie realizacji praw kandydata 3. Zgłaszanie naruszeń 4. Prawo kontroli 5. Bezpieczeństwo przetwarzania, szkolenie personelu, odpowiedzialność

10 PROBLEM ŹRÓDEŁ POZYSKANIA DANYCH O KANDYDACIE

11 Sposoby zbierania danych osobowych Dwa zasadnicze sposoby zbierania danych osobowych: - Bezpośrednio od osoby, której dane dotyczą (np. kandydat przesyła nam CV) - Pośrednio tj. w sposób inny niż od osoby, której dane dotyczą (np. z internetu) Pośrednie pozyskiwanie danych problem z: Podstawą prawną samo umieszczenie danych na portalu nie oznacza wyrażenia zgody na ich przetwarzanie Dyskryminacją Realizacją obowiązku informacyjnego

12 Sposoby zbierania danych osobowych Dotychczasowe stanowisko GIODO: aby przetwarzanie danych osobowych ze źródeł powszechnie dostępnych (a więc wykonywanie na nich jakichkolwiek operacji, takich jak np. pozyskiwanie, upublicznianie czy przechowywanie) było zgodne z prawem, każdy administrator musi wskazać podstawę prawną takiego działania. Ustawa o ochronie danych osobowych wskazuje te podstawy w art. 23 ust. 1 pkt 1-5. Wśród nich wymieniona jest zgoda osoby, której dane dotyczą (pkt 1) lub prawnie usprawiedliwiony cel administratora danych (pkt 5). w odniesieniu do pracowników kodeks pracy zgoda Uwaga na informacje o: nałogach stanie zdrowia życiu seksualnym lub orientacji seksualnej

13 Sposoby zbierania danych osobowych Ankiety: 1. CV, list motywacyjny 2. Formularze aplikacyjne, ogłoszenia 3. Treść maila kandydata, informacje przekazywane przez kandydata rekruterowi w rozmowie telefonicznej, rozmowie rekrutacyjnej 4. Linkedin, Goldenline, Facebook, Instagram, google 5. Portale z ogłoszeniami - np. korepetycje; fora i grupy internetowe 6. Biura karier, konferencje, meet upy, 7. Poszukiwanie danych w ramach wewnętrznych baz

14 Sposoby zbierania danych osobowych - ankiety Jakie dane są poszukiwane w ramach tych źródeł? dane kontaktowe, doświadczenie, wykształcenie (CV, Linkedin, Goldenline) sposób prezentacji w mediach społecznościowych (Facebook, Instagram) komentarze na forach, przynależność do grup Kandydaci są informowani o źródle Bywa, że zakres nie jest ustalany

15 CZARNE LISTY

16 Czarne listy GIODO: Praktyka tworzenia tzw. czarnych list rekrutacyjnych, zawierających dane osobowe kandydatów, których z różnych powodów nie powinno się zatrudniać, nie znajduje oparcia w obowiązujących przepisach, jest zatem niezgodna z prawem. Tworzenie zbiorów danych o charakterze negatywnym może prowadzić do dyskryminacji i podejmowania niekorzystnych dla danej osoby decyzji w oparciu o często nierzetelne, bezpodstawnie pozyskane informacje.

17 Czarne listy Ankiety: W praktyce takie listy są tworzone: - Kandydaci, którzy wypadli źle i nikomu innemu byśmy ich nie polecili - Kandydaci, którzy nie przychodzą na spotkania - Osoby, które były już zatrudnione, zostały zwolnione np. dyscyplinarnie i chcą wrócić do firmy w przypadku kandydatów, którzy mieliby pracować z małoletnimi, konieczność weryfikacji w Rejestrze Sprawców Przestępstw na Tle Seksualnym

18 MINIMALIZACJA I INNE ZASADY

19 Minimalizacja Dane muszą być: adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ( minimalizacja danych ); Katalog wskazany w przepisach KP. A co jeśli chcemy więcej? Minimalizacja a zgoda Jaki zakres danych jest niezbędny dla celów rekrutacji?

20 Minimalizacja - ankiety Potrzebne dane: - Adres i numer telefonu - Oczekiwania finansowe - Okres wypowiedzenia u obecnego pracodawcy Zbędne: - stan cywilny, adres zamieszkania

21 Przejrzystość Informacje zawarte w klauzuli informacyjnej powinny być przekazane w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Informacje można opatrzyć standardowymi znakami graficznymi, które w widoczny, zrozumiały i czytelny sposób przedstawią sens zamierzonego przetwarzania. Obowiązek zapewnienia przejrzystości przetwarzania w pewnych sytuacjach może prowadzić do konieczności podania podmiotowi danych pewnych dodatkowych informacji, mających na celu np. wyjaśnienie kandydatowi, że wyrażenie przez niego zgody jest zawsze dobrowolne albo wskazanie, jakie dane kandydata nie mogą być przetwarzane nawet w oparciu o jego zgodę (na gruncie projektowanych zmian w kodeksie pracy byłyby to dane osobowe biometryczne oraz pewne kategorie danych wrażliwych).

22 Przejrzystość Ankiety: - Obowiązek realizowany w formie tekstowej (pod ogłoszeniem), mailowej, telefonicznej - zdania złożone, mała czcionka na końcu ogłoszenia, brak znaków graficznych - w ten sam sposób, niezależnie on kadydata Klauzula powinna być: napisana prostym językiem, czytelna, krótka, zawierająca tylko niezbędne informacje

23 Prawidłowość Dane muszą być: ( ) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ( prawidłowość )

24 Prawidłowość Ankiety: potrzebna jest weryfikacja danych z kandydatem przy każdej okazji wewnętrzne polityki/ procedury ustalenie zasad usuwania danych

25 Rozliczalność Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ( rozliczalność ). Dwa elementy: - Przestrzeganie przepisów - Wykazanie przestrzegania Samo przestrzeganie nie wystarczy!

26 Rozliczalność Ankiety: Rozliczalność w zakresie zgód poprzez zgody na CV checkboxy double opt in Automatycznie wychodzący obowiązek informacyjny

27 Dziękujemy za uwagę!