Jakie dane zbierasz w rekrutacji IT
W typowej rekrutacji pojawiają się dane identyfikacyjne i kontaktowe, historia zatrudnienia, wykształcenie, umiejętności, czasem zdjęcie, linki do profili zawodowych i repozytoriów, oczekiwania finansowe, notatki z rozmów oraz rozwiązania zadań. Wszystko to są dane osobowe. Dla kandydata ważne jest, że w ogłoszeniu i procesie wie, kto jest administratorem, w jakim celu dane są przetwarzane i jak długo.
Zasada minimalizacji mówi, że zbierasz tylko to, co jest potrzebne do rekrutacji. Nie wymagaj numeru dokumentu tożsamości, dat urodzenia dzieci czy danych, które nie mają związku ze stanowiskiem. Jeśli kandydat wpisał je w CV, nie musisz ich dalej przetwarzać ani przepisywać do systemu.
Podstawa prawna a zgoda
Pracodawca może przetwarzać dane kandydata w zakresie wynikającym z przepisów prawa pracy, czyli imię, nazwisko, dane kontaktowe, wykształcenie, kwalifikacje i przebieg zatrudnienia. Dla tych danych zgoda nie jest potrzebna. Zgoda staje się potrzebna wtedy, gdy chcesz przetwarzać więcej, niż wymagają przepisy, albo gdy chcesz zachować CV na potrzeby przyszłych rekrutacji po zakończeniu bieżącej.
Zgoda powinna być dobrowolna, konkretna, świadoma i jednoznaczna. Nie może być domyślnie zaznaczonym polem ani zapisem schowanym w długim regulaminie. Kandydat musi móc ją wycofać w dowolnym momencie, a wycofanie powinno być równie łatwe jak jej udzielenie.
Zgoda na przyszłe rekrutacje
Ta zgoda jest najczęstszym źródłem błędów. Jeśli chcesz zachować CV po zakończeniu rekrutacji, zapytaj o to osobno, wyraźnie i po zakończeniu procesu. Wskaż, na jak długo chcesz zachować dane. Brak zgody nie może wpływać na wynik bieżącej rekrutacji. Zapisuj datę i treść zgody, bo w razie pytania musisz móc ją wykazać.
Dane wrażliwe i szczególne kategorie
Nie zbieraj danych o stanie zdrowia, poglądach, przynależności związkowej ani pochodzeniu, chyba że przepis wyraźnie tego wymaga. Kandydaci czasem wpisują je w CV z własnej inicjatywy, na przykład zdjęcie i opis hobby. Najlepszą praktyką jest nieużywanie ich w ocenie i niezapisywanie w notatkach. Narzędzia do oceny, w tym AI, powinny oceniać dopasowanie do wymagań stanowiska, a nie cechy osobowe czy wiek.
Linki do profili i publiczne dane
Fakt, że profil w sieci zawodowej lub repozytorium jest publiczny, nie oznacza dowolności w jego wykorzystaniu. Jeśli prowadzisz sourcing i zapisujesz dane osób, które nie aplikowały, poinformuj je przy pierwszym kontakcie, skąd masz dane, w jakim celu i jak mogą zgłosić sprzeciw. Szerzej o kanałach piszemy w artykule o sourcingu kandydatów IT.
Jak długo przechowywać dokumenty
Zasada ogólna jest prosta: dane przechowujesz tak długo, jak jest potrzebne do celu, w którym je zebrano. Po zakończeniu rekrutacji bez zgody na dalsze przetwarzanie dokumenty kandydatów, którzy nie zostali zatrudnieni, należy usunąć w rozsądnym i ustalonym terminie. Wiele firm przyjmuje wewnętrzną regułę liczoną w tygodniach lub miesiącach po zamknięciu procesu i zapisuje ją w polityce rekrutacji.
Jeśli kandydat wyraził zgodę na przyszłe rekrutacje, ustal okres, po którym wracasz do niej z pytaniem albo usuwasz dane. Typowo jest to jeden okres, na przykład rok, ale dobór terminu zależy od polityki firmy i wymaga uzasadnienia. Nie ma sensu trzymać zgody bez końca.
Polityka retencji w praktyce
Dobra polityka retencji ma cztery elementy: okres dla każdego rodzaju danych, osobę odpowiedzialną za usuwanie, sposób dokumentowania usunięcia i procedurę dla wniosków kandydatów. Jeśli korzystasz z systemu ATS, sprawdź, czy pozwala ustawić termin ważności zgody, oznaczyć osoby do usunięcia i przeprowadzić usunięcie hurtowo. Ręczne porządkowanie skrzynek i arkuszy łatwo zawodzi, bo dane są w wielu miejscach.
Anonimizacja i pseudonimizacja
Anonimizacja polega na takim usunięciu cech identyfikujących, że nie da się już ustalić, o kogo chodzi. Pseudonimizacja podmienia dane identyfikujące na kod, ale klucz nadal istnieje, więc dane nadal podlegają RODO. W rekrutacji przydaje się obie techniki.
Przykłady zastosowań:
- Przekazanie CV liderowi technicznemu z ukrytymi danymi kontaktowymi, żeby ocena była skupiona na doświadczeniu.
- Raporty dla klientów agencji pokazujące kandydata pod numerem lub inicjałami, dopóki nie wyrazi zgody na ujawnienie.
- Zachowanie statystyk procesu (źródła, czasy etapów) po usunięciu danych osobowych kandydatów.
Przy anonimizacji pamiętaj, że w CV programisty wiele szczegółów łatwo identyfikuje człowieka: nazwy projektów, rzadkie kombinacje technologii, konkretne daty. Samo usunięcie nazwiska nie zawsze wystarcza.
Prawa kandydata
Kandydat ma prawo dostępu do swoich danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, sprzeciwu i przeniesienia. Przygotuj prostą procedurę obsługi takich próśb: kto je przyjmuje, w jakim terminie odpowiada i jak potwierdza tożsamość. Wskaż w ogłoszeniu lub w klauzuli adres kontaktowy. Odpowiedź na prośbę powinna być konkretna i kompletna.
Systemy, AI i podwykonawcy
Jeśli korzystasz z zewnętrznych narzędzi do przechowywania lub oceny CV, dostawca działa w Twoim imieniu, więc potrzebna jest umowa powierzenia przetwarzania. Sprawdź, gdzie znajdują się serwery, kto ma dostęp do danych i czy dane z CV są wykorzystywane do uczenia modeli. Zadaj te pytania przed wdrożeniem, a nie po.
Przy ocenie z pomocą AI ważna jest przejrzystość. Kandydat powinien wiedzieć, że jego dokumenty są analizowane automatycznie, a wynik powinien wspierać człowieka, nie zastępować go. Dlatego w RekrutacjeIt AI nie odrzuca kandydatów. Ocenia dopasowanie do wymagań i pokazuje cytaty z CV, a decyzję podejmuje rekruter. Więcej o zasadach ochrony danych znajdziesz na stronie bezpieczeństwo.
Prosta lista kontrolna
- Ogłoszenie i formularz zawierają informację o administratorze, celu i okresie przechowywania.
- Zbierasz tylko dane potrzebne do oceny kandydata.
- Zgoda na przyszłe rekrutacje jest osobna, dobrowolna i zapisana wraz z datą.
- Dla każdego rodzaju danych jest ustalony termin usunięcia.
- Dostęp do CV mają tylko osoby zaangażowane w rekrutację.
- Dostawcy narzędzi mają zawartą umowę powierzenia.
- Obsługa próśb kandydatów ma wyznaczoną osobę i termin.