Agencja Rekrutacyjna – umowa powierzenia, czy udostępnienie?

Pracodawcy planując proces rekrutacyjny często  korzystają z pomocy agencji rekrutacyjnych. I tutaj, aby być w zgodzie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (zwane dalej: RODO)  mogą pojawić się pytania:

• Czy będzie to współpraca oparta na powierzeniu i będzie trzeba ustalić kto będzie administratorem danych, a kto podmiotem przetwarzającym?
• Czy może będzie to współpraca oparta na udostępnieniu?
• Czy będzie to współpraca oparta zarówno na udostępnieniu, jak i powierzeniu?

W związku z powyższymi pytaniami  wyłaniają nam się trzy modele współpracy z agencjami rekrutacyjnymi, które omówię poniżej  wraz ze wskazówkami, co robić, aby być w zgodzie z RODO. Oczywiście zanim wybierzemy właściwy model  to należy uzyskać odpowiedź na pytanie w jaki sposób będzie prowadzona rekrutacja. Niezbędne  jest zatem dokonanie analizy następujących kwestii:

• Czy dane osobowe kandydatów do pracy będą czerpane z zasobów agencji rekrutacyjnej?
• Czy agencja będzie zamieszczała ogłoszenia o pracę w swoim własnym imieniu i włączała dane kandydatów do swoich zbiorów danych?
• Czy ogłoszenia o pracę będą zamieszczane w imieniu klienta?

I model współpracy

Agencja rekrutacyjna, jako administrator danych osobowych kandydatów

Model ten zakłada, że agencja rekrutacyjna czerpie dane kandydatów z własnych baz z danymi osobowymi lub we własnym imieniu wyszukuje kandydatów (np. zamieszcza ogłoszenia o pracę, nawiązuje kontakty poprzez dedykowane portale) i włącza dane osobowe kandydatów do swoich zbiorów danych.

W opisanej powyżej sytuacji agencja rekrutacyjna będzie działała jako administrator danych osobowych kandydatów do pracy, albowiem to ona będzie decydowała o celach i sposobach przetwarzania danych osobowych. Agencja rekrutacyjna będzie zobowiązana do dopełnienia obowiązku informacyjnego wskazanego  w RODO, gdyż dane kandydatów przetwarza jako Administrator danych, w swoim własnym celu – przeprowadzenie pierwszego etapu rekrutacji – pozyskanie CV, selekcjonowanie kandydatów. Dane osób zainteresowanych poszukiwaniem pracy będzie przetwarzała agencja rekrutacyjna, nie tylko w celu tej jednej zleconej rekrutacji, ale także na potrzeby innych rekrutacji dla różnych klientów, z którymi nawiąże współpracę.

W związku z powyższym to agencja wyszukuje w swoich zbiorach z danymi osobowymi odpowiednich kandydatów do pracy, spełniających wymagania wskazane w umowie o współpracę. Przekazanie danych osobowych odpowiedniego kandydata następuje poprzez udostępnienie danych osobowych (dokumentów aplikacyjnych CV, list motywacyjny), a klient (jako potencjalny pracodawca zlecający agencji rekrutacyjnej wyszukanie kandydata) w momencie otrzymania dokumentów aplikacyjnych staje się administratorem danych osobowych i spoczywa na nim obowiązek informacyjny wtórny z wynikający  art. 14 RODO.

II model współpracy

Agencja rekrutacyjna, jako procesor

W tym modelu, agencja rekrutacyjna w imieniu klienta (potencjalnego pracodawcy) wyszukuje kandydatów, czyli np. zamieszcza ogłoszenia o pracę, prowadzi rozmowy rekrutacyjne, proponuje przyszłe wynagrodzenie. Nie korzysta z kandydatów znajdujących się we własnych zbiorach z danymi osobowymi, ale w sposób aktywny poszukuje ich w imieniu klienta.

I tutaj klient (potencjalny pracodawca) jest administratorem danych osobowych kandydatów, ponieważ to on decyduje o celach i sposobach przetwarzania danych osobowych, to on ma tzw. władztwo decyzyjne. Dlatego w takiej sytuacji należy podpisać z agencją rekrutacyjną umowę powierzenia przetwarzania danych osobowych, w której klient (jako potencjalny pracodawca) powierza agencji rekrutacyjnej do przetwarzania dane osób ubiegających się u niego  o zatrudnienie/dane rekrutacyjne.

Przy tym modelu to na kliencie jako administratorze danych będzie spoczywać obowiązek informacyjny wynikający z art. 13 RODO. W związku z tym, klient powinien zadbać o to, aby dodać w umowie o współpracy  stosowne zastrzeżenie, traktujące o tym, że agencja w jego imieniu zobowiązuje się dopełnić obowiązku informacyjnego w stosunku do kandydatów, a jako załącznik do umowy zamieścić odpowiednią klauzulę informacyjną. Natomiast agencja rekrutacyjna występuje jako podmiot przetwarzający, który w imieniu i na rzecz potencjalnego pracodawcy wyszukuje kandydatów do pracy. Agencja nie wykorzystuje zebranych danych osobowych w swoich własnych celach, nie włącza ich do swoich zbiorów danych osobowych, a po zakończeniu współpracy, zgodnie z zapisami w umowie powierzenia, powinna usunąć dane osobowe kandydatów.

III model – mieszany

Agencja rekrutacyjna w imieniu klienta (potencjalnego pracodawcy) prowadzić będzie rekrutacje dwutorowo. Po pierwsze wyszukuje kandydatów poprzez ogłoszenia o prace w imieniu klienta, ale może także korzystać z własnych zbiorów z danymi osobowymi kandydatów. Przy tym modelu będziemy mieć do czynienia z połączeniem dwóch wyżej opisanych sytuacji. Klient (potencjalny pracodawca) musi zawrzeć z agencją rekrutacyjną umowę powierzenia, a w sytuacji, gdy agencja dodatkowo korzystać będzie z kandydatów z własnych zasobów, dochodzić będzie do udostępnienia klientowi danych osobowych przez agencję. Dlatego te dwa wymienione sposoby pozyskiwania kandydatów w odmienny sposób będą kształtowały obowiązek informacyjny.

I tak, gdy agencja pozyskuje kandydatów we własnym imieniu i włącza ich do swoich baz, przekazanie dokumentów aplikacyjnych będzie następowało poprzez udostępnienie danych potencjalnemu pracodawcy, który powinien dopełnić obowiązku informacyjnego wtórnego wynikającego z art. 14 RODO. Natomiast, gdy agencja w imieniu i na rzecz klienta poszukuje kandydatów, powinna ona dopełnić w jego imieniu obowiązek informacyjny wynikający  z art. 13 RODO.

Autor: Agnieszka Szalińska