Firma usługowa zatrudniająca kilkadziesiąt osób wdrożyła prosty i pozornie bardzo rozsądny proces obiegu dokumentów: po zakończeniu rekrutacji CV kandydatów, którzy „mogą przydać się w przyszłości”, trafiają do firmowej bazy HR. Bez dodatkowych działań, bez osobnej zgody, ale za to „dla wygody” i z myślą o kolejnych naborach.
Na pierwszy rzut oka wszystko wygląda poprawnie. Dokumenty zostały przecież przesłane dobrowolnie, a firma działa w dobrej wierze. Problem pojawia się na gruncie RODO. Sam udział kandydata w jednej rekrutacji nie oznacza automatycznie zgody na dalsze przechowywanie jego danych na potrzeby przyszłych procesów. Co więcej, nawet jeśli kandydat kiedyś wyraził zgodę, firma musi umieć wykazać jej zakres, datę i cel. To właśnie ten detal bywa pomijany.
Konsekwencje nie zawsze zaczynają się od kontroli. Często pierwszym sygnałem jest żądanie usunięcia danych, pytanie o podstawę przetwarzania albo skarga kandydata. Dla firmy oznacza to ryzyko organizacyjne, konieczność pilnego porządkowania procesów, a w niektórych przypadkach także odpowiedzialność finansową.
Rozwiązanie jest praktyczne: warto rozdzielić dane przetwarzane na potrzeby bieżącej rekrutacji od danych pozostawianych do przyszłych naborów, wdrożyć jasną klauzulę zgody, określić czas retencji i regularnie usuwać dokumenty, dla których podstawa przetwarzania już wygasła. Dobrze działa też prosty rejestr zgód i procedura obsługi żądań kandydatów.
W RODO największe ryzyka często nie wynikają ze złej woli, lecz z procesów, które wydają się „normalne”. Jeśli chcesz sprawdzić, czy podobne rozwiązania w Twojej firmie są naprawdę bezpieczne, skontaktuj się z nami przez naszą stronę — link znajdziesz w komentarzu.
