A toborzási folyamatok elengedhetetlen velejárója a munkáltató részéről azoknak a szándékoknak a beazonosítása, amelyek érdekében maga a munkaerő-kiválasztási folyamat lezajlik. Ebben a kontextusban az elsődleges kérdés, hogy milyen célból van szükségünk a pályázók személyes adataira és a pályázati folyamat során milyen követelményekre kell figyelemmel lennünk ahhoz, hogy adatvédelmi szempontból teljes körűen megfeleljünk a jogszabályi követelményeknek. Noha az adatkezelési célok meghatározása kézenfekvő tényezőnek tűnik, az alábbiakban látni fogjuk, hogy itt is lehetnek olyan aspektusok, amelyekre indokolt kellő figyelmet fordítani.
Meghatározott, egyértelmű, jogszerű adatkezelési célok
A GDPR 5. cikke tárgyalja azokat az alapelveket, amelyeket az adatkezeléssel kapcsolatosan érvényre kell juttatni; ezek közül témánk szempontjából az egyik legfontosabb követelmény, amire adatkezelőként hangsúlyt kell fektetni, a célhoz kötöttség elve.
A célhoz kötöttség a gyakorlatban akkor teljesül, ha a személyes adatok gyűjtése, felhasználása csak meghatározott, egyértelmű és jogszerű célból történik, és azokat nem kezelik ezekkel a célokkal összeegyeztethetetlen módon.
Meghatározott a cél akkor, ha a munkáltató már a toborzási eljárást megelőzően világosan, kellő precizitással definiálja, hogy milyen célból kívánja a pályázók személyes adatait kezelni.
Ugyancsak megfelelően meghatározottnak tekinthető a cél, ha részletekbe menően rögzítésre kerül, milyen személyes adatok képezik tárgyát a toborzás folyamatának és milyenek nem. Magától értetődően a túlságosan homályosan, elnagyoltan és általánosan rögzített célok nem elfogadhatók, ugyanakkor az adatkezelési cél definiálásának túlzott mértékű precizitása diszfunkcionális is lehet, épp ezért kerülendő.
A túlságosan hosszú, terjengős, jogi részletekbe, hivatkozásokba bocsátkozó célmeghatározás – noha a munkáltató részéről jóhiszemű szándékra utalhat – nem felel meg a célhoz kötöttség másik alkotóelemének, az egyértelműség követelményének, hiszen nem segíti elő az átlagos adatalany számára, hogy meggyőződhessen a vállalkozás által alkalmazott adatkezelési cél(ok) jogszerűségéről.
Az egyértelműség elve – ami egyébként a toborzási folyamatok átláthatóságának és elszámoltathatóságának is garanciája – azt jelenti, hogy az adatkezelési célnak a pályázó számára (is) könnyen érthetőnek, világosnak kell lennie, s nem okozhat számára bizonytalanságot, értelmezési nehézséget. Az egyértelműen, világosan és könnyen érthetően meghatározott adatkezelési célok segítik a pályázót abban, hogy informált döntést hozhasson a pályázati eljárással összefüggésben.
Az adatkezelés céljának mindazonáltal jogszerűnek is kell lennie, a személyes adatokat csak jogszerű célra lehet gyűjteni és jogszerű célból lehet felhasználni. A GDPR 6. cikke taxatíve felsorolja azokat a mobilizálható legitim célokat, amelyek közül az adatkezelő (munkáltató) a megfelelőt kiválasztva eleget tehet ennek a követelménynek. Egy egyszerű példával élve: a toborzás során a munkáltató kiköti, hogy az adott állásra csak fiatal (pl. konkrétan 30 év alatti) pályázók jelentkezését várja, abból a megfontolásból, hogy a céggel kapcsolatosan dinamikus, fiatalos arculatot jelenítsen meg a piaci szereplők felé. Ez a gyakorlat nem csupán adatvédelmi szempontból jogellenes, de az egyenlő bánásmódra vonatkozó szabályozásba is ütközik.
Mit mond az Mt. az adatkezelési célokról?
Az álláspályázatok esetében egyértelmű, hogy az adatkezelési cél az adatkezelő részéről annak felmérése és kiértékelése, hogy a jelöltek megfelelnek-e (és mennyiben) a pozíció és a leendő foglalkoztató igényeinek. A toborzási folyamatok értelmezési keretében, a jelenleg hatályos Munka törvénykönyve az adatkezelési célokkal összefüggésben úgy rendelkezik, hogy a munkavállalótól – esetünkben pályázótól – csak olyan személyes adat közlése, okirat bemutatása követelhető, amely a munkaviszony létesítése (vagy az Mt.-ből származó igény érvényesítése) szempontjából lényeges.
Gyakorlati példát citálva: amennyiben az adott pozíció betöltése nem jár céges gépkocsi vezetésével, akkor a pályázótól vezetői engedély (jogosítvány) bemutatását kérni – ad absurdum az okmány bemutatásakor azt lemásolni – semmiképp sem tekinthető jogszerű magatartásnak. Az „okirat bemutatása” fordulatnak egyébiránt adatvédelmi szempontból garanciális jelentősége van, hiszen elejét veszi annak a nemkívánatos gyakorlatnak, melynek keretében egyes adatkezelők okmányok, okiratok szükségtelen lemásolásához folyamodnak.
Személyes adatok további felhasználása
A munka világában (is) figyelemmel kell lenni arra, hogy az adatkezelés célja az eredetileg megfogalmazottakhoz képest idővel változhat. Ennek kapcsán azt kell leszögeznünk, hogy álláspályázatokkal kapcsolatban gyűjtött személyes adatok főszabály szerint nem használhatók fel más egyéb célra, kivéve, ha az adatkezelés eredeti célja és az újrafelhasználási cél között szoros és igazolható összefüggés áll fenn. Ennek megállapításához ún. érdekmérlegelési tesztet érdemes lefolytatni.
Mit jelent ez? A munkáltatónak mérlegelnie kell, hogy milyen kapcsolat áll fenn az eredeti és az új adatkezelési cél, illetőleg az az érintett és az adatkezelő között. Figyelemmel kell lenni arra is, felmerül-e különleges (vagy bűnügyi) adatok kezelésének kérdése, illetve meg kell fontolni, milyen esetleges következményekkel járna az adatok további kezelése az adatalanyra nézve. Újabb (negatív) példa: egy kereskedelmi cég az álláspályázat során birtokába került személyes adatokat felhasználva saját termékeinek vagy szolgáltatásainak népszerűsítésére irányuló reklámkampányba kezd a pályázók között.
Mivel az eredeti cél (álláspályázat) és az újrafelhasználási cél (reklámtevékenység) között nyilvánvalóan hiányzik az összefüggés, az adatkezelés jogellenes. Amennyiben viszont egy fejvadász cég a hozzá érkezett önéletrajzokban szereplő adatokat anonim módon, statisztikai elemzéshez, munkafolyamatainak fejlesztéséhez használja fel, a két cél közötti összefüggés kimutatható, az érintettekre nézve pedig az újrafelhasználás nem jár kihatással, ezért ez az eljárás jogszerűnek tekinthető.
Smart Specialist Zrt.
Szakértőink több éves, kiemelkedő képzettséggel és tapasztalattal rendelkeznek az adatvédelem területén a legkülönbözőbb iparágakban, valamint hazai és nemzetközi szinten egyaránt. Szakmai igazgatónk dr. Bárányos Krisztina már a GDPR rendelet előkészítésében is részt vett. A csapatunk szakértői között vannak ügyvédek, jogászok, IT és IT biztonsági szakértők, projekt menedzserek. Legyen szó a GDPR bármely eleméről, minden igényt kielégítő megoldásokat kínálunk az ország egész területén. A cégre szabott dokumentációkat el is magyarázzuk, hogy mit, mikor és hogyan kell használni.