Pozyskiwanie pracowników do tzw. body-leasingu a RODO

Dane osobowe to informacje (każda informacja), która prowadzi do ustalenia tożsamości danej osoby. Jeśli więc firma zbiera takie informacje jak imię/nazwisko, kwalifikacje, referencje itp. Co do zasady można przyjąć, że są to dane osobowe (prowadzą do ustalenie tożsamości np. Jana Kowalskiego, pracującego w firmie X, na stanowisku Y, posiadającego szereg referencji z przedsiębiorstw A, B, C).

Administrator danych osobowych ma prawo przetwarzać dane osobowe zasadniczo w dwóch zakresach – na podstawie zgody osoby zainteresowanej (tj. osoba zainteresowana udziale administratorowi zgody na przetwarzanie danych osobowych) lub na podstawie przesłanek wskazanych w RODO (ale już bez konieczności uzyskiwania extra zgody od osoby zainteresowanej).

Czy w opisywanym przypadku zasadne jest pozyskanie zgody kandydatów? Nie, ponieważ zgoda bowiem może być w każdym czasie odwołana, co obliguje administratora do natychmiastowego zaprzestania przetwarzania danych osobowych). Właściwą przesłanką jest tu art. 6 ust. 1 lit. b RODO tj. przetwarzanie jest niezbędne aby wykonać umowę, której stroną jest pracownik lub ewentualnie na podstawie art. 6 ust. 1 lit. c RODO (bo istnieje szereg wymogów, przepisów prawa pracy, które narzucają obowiązek przetwarzania konkretnych danych pracowniczych).

Oczywiście względem kandydatów należy też zrealizować obowiązek informacyjny. RODO przewiduje konieczność poinformowania osoby, której dane osobowe są przetwarzane, zarówno wtedy, kiedy osoba zainteresowana przekazuje swoje dane osobowe (art. 13 RODO) a także w przypadku gdy dane są zbierane są w sposób pośredni (art. 14 RODO). Obowiązek informacyjny przy przetwarzaniu danych jest ściśle związany z jednym z uprawnień składających się na prawo do ochrony danych osobowych – uprawnieniem osoby, której dane dotyczą, do „bycia poinformowanym” o fakcie i okolicznościach przetwarzania danych. Podmiot danych powinien wiedzieć (móc się dowiedzieć) o tym, że administrator przetwarza (zamierza przetwarzać) jego dane osobowe, gdyż tego rodzaju wiedza pozwala na decydowanie o przetwarzaniu danych (prawo do informacyjnego samookreślenia), daje także możliwość reagowania w sytuacjach, gdy przetwarzanie odbywa się z naruszeniem prawa.

Uprawnienie do uzyskania informacji o przetwarzaniu warunkuje możliwość korzystania z innych uprawnień przyznanych podmiotowi danych, gdyż tylko osoba poinformowania może domagać się skorygowania nieprawidłowych danych, wnieść sprzeciw wobec przetwarzania danych bądź skorzystać z innych uprawnień przyznanych jej w przepisach o ochronie danych. Osoba pozbawiona możliwości uzyskania informacji o przetwarzaniu danych jej dotyczących nie wie o fakcie (bądź zamiarze) przetwarzania danych, a co za tym idzie – nie jest w stanie zareagować i korzystać z przysługujących jej uprawnień.