Outsourcing procesu rekrutacyjnego

Powierzenie przetwarzania danych na podstawie specjalnej umowy, o której mowa w art. 31 ustawy o ochronie danych osobowych,  jest działaniem prawnie dopuszczalnym i nie stanowi nieuprawnionego udostępnienia danych przez ich administratora innemu podmiotowi.

Firmy coraz częściej i coraz chętniej korzystają z tzw. outsourcingu HR, w ramach którego zlecają firmom zewnętrznym prowadzenie kadr, płac, a nierzadko też całych procesów rekrutacyjnych. Niewątpliwie za takim rozwiązaniem przemawia optymalizacja czasu i kosztów. Korzystając z rozwiązań praktycznych, jakie przynosi nam XXI wiek, nie możemy jednak zapominać o aspektach prawnych, a te są bardzo ciekawe w związku z omawiają tematyką. Zaczynając od początku. Czy w ogóle w świetle obowiązujących przepisów prawa dotyczących ochrony danych osobowych można zlecić podmiotowi trzeciemu na przykład przeprowadzenie procesu rekrutacyjnego? Oczywiście, że tak. Pytanie tylko jak to zrobić? W pierwszej kolejności należy zastanowić się, jak będzie zorganizowany proces rekrutacyjny, tj. kto będzie przetwarzał dane osobowe potencjalnych kandydatów, a zatem kto będzie administratorem danych osobowych. Czy będzie to firma outsourcingowa, czy też pracodawca. W sytuacji, w której to pracodawca zleca firmie outsourcingowej znalezienie kandydata do pracy, firma ta może działać na zlecenie pracodawcy i przetwarzać dane osobowe kandydatów w oparciu o umowę o powierzeniu przetwarzania danych osobowych, o której mowa w art. 31 ustawy o ochronie danych osobowych. Na podstawie bowiem art. 31 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, administrator danych, w tym przypadku pracodawca, może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. W niniejszej umowie należy określić cel, w jakim podmiot, któremu powierzono przetwarzanie danych może je przetwarzać oraz zakres powierzonych do przetwarzania danych.

Firma outsourcingowa może bowiem w takim przypadku przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie.  W takim przypadku firma outsourcingowa nie musi zgłaszać do GIODO zbioru danych osobowych. Administratorem danych osobowych jest bowiem pracodawca, który z takiego obowiązku jest z mocy prawa zwolniony. Ważne jest również, iż powierzenie przetwarzanych danych nie wymaga zgody osoby, której dane dotyczy. Ma to ważne znaczenie praktyczne dla zasad formułowania klauzul o wyrażeniu zgody na przetwarzanie danych osobowych przez potencjalnych kandydatów.

Konstrukcja umowy o powierzeniu przetwarzania danych osobowych nie zawsze jednak będzie prawidłowym rozwiązaniem. W określonych sytuacjach, na przykład w sytuacji rekrutacji na rzecz kilku podmiotów, firma outsourcingowa może stać się administratorem danych osobowych, podlegającym rygorom ustawy o ochronie danych osobowych.

dr Katarzyna Styrna – Bartman LL.M., Wszystkie prawa zastrzeżone.