С влизане в сила на Общия регламент относно защитата на данните (GDPR) на 25 май 2018 г. работодателите, в качеството си на администратори на лични данни, инвестираха значителни усилия и ресурси да приведат дейността си в съответствие с новите изисквания на Регламента. От своя страна, както служителите, така и кандидатите за работа, повишиха своята осведоменост относно правата си във връзка със защитата на техните лични данни.
Какви лични данни работодателите събират на кандидатите за работа
Безспорно при участие в процедура по набиране и подбор на персонал при работодателя постъпват различни лични данни на кандидатите за работа. В изпратената до съответната компания автобиография се съдържат лични данни като имена, телефонен номер, e-mail адрес и др.
Лични данни се съдържат и в други документи, които с оглед съответната позиция работодателят е изискал от кандидатите, като например документи за придобита квалификация, образование, специалност, правоспособност, или документи за физическа и психическа годност на кандидата, които съдържат данни за здравословно състояние.
Преди влизането в сила на Регламента изпратените документи при кандидатстване за работа (автобиографии, мотивационни писма, препоръки и др.) често оставаха на разположение на съответния работодател за неопределен период от време, които можеха да стоят с години в базите данни на работодателя, без да се използват.
Възможен е и обратният сценарий – личните данни на кандидатите да бъдат използвани за различни цели, като например да се запаметяват в клиентската база данни и на кандидатите да се изпращат различни непоискани търговски съобщения или личните данни да бъдат предоставяни на трети лица, които нямат да право да обработват тези лични данни.
С приемането на Регламента, за да се гарантира защитата на личните данни на кандидатите за работа, за работодателите се предвиди задължение да обработват събраната в хода на процедурата по подбор на персонала информация по законосъобразен и добросъвестен начин.
Ето защо, още при обявяване на съответната позиция работодателите са длъжни да предоставят кратка, ясна, разбираема информация относно основанията, целта, сроковете за съхранение на данните, правата на кандидатите относно защитата на данните им.
Тази информация може да бъде предоставена посредством публикуването й на официалния уебсайт на компанията, чрез изпращането й по e-mail на кандидата или предоставянето й на хартиен носител при провеждане на първа среща с кандидата, или по всякакви други начини, които осигуряват достъп на кандидатите до нея.
Основание за обработване на лични данни
Кандидатствайки за определена позиция, съответният кандидат изразява своето изрично съгласие предоставените от него лични данни да бъдат обработвани за целите на конкретния подбор за обявената длъжност или за целите на подбор и за други длъжности в компанията.
Поради което основанието за законосъобразното събиране на личните данни на кандидатите е именно тяхното съгласие за това.
Голяма част от работодателите предоставят на кандидатите за работа и изрична писмена декларация – съгласие за доброволно предоставяне и обработване на личните данни за предвидените цели.
Срок за съхранение на личните данни
Както посочихме горе, работодателят е този, който определя срока, в който ще се съхраняват и обработват личните данни на кандидатите за работа.
С приемането на промените в Закона за защита на личните данни през 2019 г. беше създаден нов чл. 25к, уреждащ именно сроковете за съхранение на лични данни на участниците в процедури по набиране и подбор на персонал.
Съгласно ал. 1 на цитираната разпоредба работодателят или органът по назначаването, в качеството си на администратор на лични данни, определя срок за съхранение на лични данни на участниците в процедури по набиране и подбор на персонала, който не може да е по-дълъг от 6 месеца, освен ако кандидатът е дал своето съгласие за съхранение за по-дълъг срок.
След изтичането на този срок работодателят или органът по назначаването изтрива или унищожава съхраняваните документи с лични данни, освен ако специален закон предвижда друго.
Алинея втора на чл. 25к от ЗЗЛД предвижда, че в 6-месечен срок от приключването на процедурата, работодателят или органът по назначаването следва да върне на кандидатите предоставените от тях оригинали или нотариално заверени копия на документи, които удостоверяват физическа и психическа годност на кандидата, необходимата квалификационна степен и стаж за заеманата длъжност, освен ако специален закон предвижда друго.
От своя страна, Законът за защита от дискриминация в чл. 52 предвижда 3-годишен преклузивен срок за образуване на производство пред Комисията за защита от дискриминация във връзка с нарушения по ЗЗДискр.
Спазването от работодателите на 6-месечния срок по чл. 25к ЗЗЛД за заличаване и унищожаване на личните данни на кандидатите за работа би ограничило възможностите им да се защитят ефективно при евентуално образувано производство пред КЗД.
Ето защо, Комисията за защита на личните данни излезе със Становище рег. № НДМСПО-01-211/2019 относно приложението на чл. 25к от ЗЗЛД вр. с чл. 52 от ЗЗДискр., с което прие, че първичните документи на кандидатите за работа като автобиографии, мотивационни писма, документи, доказващи квалификация и опит, и други документи, както и копията от тях следва да се съхраняват в рамките на предвидения в чл. 25к от ЗЗЛД 6-месечен срок.
Работодателите обаче имат право да съхраняват личните данни на участниците в конкурсната процедура, които се съдържат в създадени от работодателя или органа по назначаването вътрешни документи относно проведените процедури по набиране и подбор на персонал, за целите на предвидения в чл. 52 от ЗЗДискр. 3-годишен срок.
С други думи казано, след изтичането на предвидения 6-месечен срок по чл. 25к ЗЗЛД работодателят ще следва да изтрие или унищожи предоставените автобиографии, мотивационни писма, препоръки, както и да върне оригиналите или заверените копия на документите на кандидатите, но ще има право да съхрани създадените от него вътрешни документи (заповеди, протоколи на комисии за класиране на кандидатите и др.), в които се съдържат лични данни на кандидатите, за срок от 3 години с цел обосноваване вземането на решението за подбор в рамките на образувано производство по реда на ЗЗДискр.
Какви са правата на кандидатите по отношение на защитата на личните им данни
Най-напред, кандидатите имат право да бъдат информирани относно това как ще бъдат защитени личните им данни, сроковете за обработването им и дали личните им данни ще бъдат предоставяни на трети страни.
Включително кандидатите имат право да получат информация дали личните им данни са изтрити или унищожени след изтичане на предвидения срок за съхранението им.
Кандидатите за работа имат право на достъп до личните си данни, както и да получат копие от същите. Кандидатите разполагат още и с възможност да искат коригиране на данните им, когато същите са неточни или при промяна в обстоятелствата – например кандидатът има нов телефонен номер, нов e-mail адрес и др.
Участниците в конкурсната процедура могат да поискат личните им данни да бъдат заличени, например защото компанията не е допаднала на лицето и то не желае тя да разполага с личните му данни, или поради други причини.
В заключение, съветваме, когато кандидатствате за работа да изисквате информация за вътрешните правила на компанията относно защитата на личните данни на кандидатите за работа, за да имате спокойствието, че личните ви данни ще бъдат съхранявани и обработвани по надежден и законосъобразен начин.
Настоящата публикация е създадена единствено с информационна цел, като същата не претендира за изчерпателност. Съдържанието на публикацията не представлява правно становище или съвет. Авторът не носи отговорност за вреди или пропуснати ползи от действия или бездействия, основани на тази публикация.
Автор: Станислава Иванова - адвокат