Departamentul de resurse umane prelucrează un volum mare de date personale, atât ale candidaților, salariaților, cât și ale membrilor de familie ai salariaților.

În era digitalizării accelerate, specialiștii HR care excelează în gestionarea responsabilă a datelor cu caracter personal dobândesc un avantaj competitiv, prin care contribuie la succesul organizațional.

În acest articol ne propunem să evidențiem o parte dintre aspectele pe care specialiștii HR trebuie să le gestioneze în procesul de recrutare, verificare și selecție a candidaților, în acord cu normele privind protecția datelor.

Recrutarea candidaților pentru posturi vacante

CV-urile candidaților abundă de date cu caracter personal, care ajung la cunoștința departamentului de HR pentru analiză și întocmirea listei scurte de candidați care trec în etapa interviului.

Iată doar câteva întrebări care trebuie adresate intern pentru a stabili care sunt implicațiile juridice minime legate de GDPR pe care le ridică recrutarea:

• Se folosește un software pentru verificarea CV-urilor și întocmirea listei scurte de candidați pentru etapa interviului?
• Decizia de a selecta sau respinge un candidat este total sau parțial automată?
• Sunt verificate profilurile de social media ale candidatului în procesul de selecție?
• Se salvează CV-urile în baza de date internă pentru a fi folosite la recrutări viitoare?
• Se înregistrează video interviurile pentru a fi analizate mai târziu în procesul de selecție?

Dacă răspunsul este da, atunci implicațiile juridice cresc, iar specialiștii HR trebuie să se asigure că practicile aplicate sunt conforme cu prevederile legale de protecție a datelor cu caracter personal.

Haideți să vedem cum ne raportăm la problemele indicate mai sus.

Folosirea unui software de prelucrare automată a datelor cu caracter personal în procesul de recrutare

Cu unele excepții, persoanele vizate, în speță candidații, au dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată. Candidații au dreptul să conteste orice decizie de recrutare exclusiv automatizată și să solicite intervenția umană.

Unele organizații automatizează parțial sau total procesul decizional în etapele de recrutare, de exemplu în verificarea CV-urilor, atunci când primesc un volum mare de candidaturi.

A folosi un program antrenat cu AI pentru trierea CV-urilor, deci respingerea unor candidaturi, este însoțită de cel puțin următoarele riscuri: algoritmii pot exclude candidați pe criterii geografice (exemplu, locuiesc la o anumită distanță de locul de muncă, chiar dacă aceștia ar fi dispuși să se mute în zonă) sau pot elimina candidați care au perioade lungi de pauză în CV, chiar dacă acestea ar fi cauzate de concediul de creștere copil sau de incapacitate temporară de muncă.

Alteori, în funcție de cum a fost antrenat, algoritmul poate genera rezultate făcând discriminări sau poate da erori.

Indiferent dacă procesul decizional în recrutare este automatizat total sau parțial (adică implică și factor uman), este obligatoriu ca organizațiile să ia în considerare riscurile asociate, efectuând o DPIA (Evaluare a impactului asupra protecției datelor) înainte de a implementa astfel de programe de automatizare în scopuri de recrutare.

Este recomandat să obțineți consiliere juridică și tehnică cu privire la software-ul pe care intenționați să îl utilizați, pentru a vă asigura că respectă legislația privind protecția datelor. Dacă nu puteți atenua riscurile, nu ar trebui să folosiți software-ul.

Verificarea profilurilor de social media ale candidatului

Este important să stabiliți care este momentul potrivit pentru a cere anumite informații sau documente de la candidat, pentru a respecta principiul de reducere la minimum a datelor.

De exemplu, evitați să solicitați din prima fază a recrutării informații sau documente care vă sunt necesare abia în etapa finală, precum copii ale actelor de studii sau certificate de cazier judiciar. Evitați să solicitați ca aceste acte să vă fie trimise odată cu CV-ul sau înainte de interviuri sau testări.

Totodată, întrebați-vă dacă și care este momentul potrivit pentru a face verificări ale candidatului din surse online. Întrebați-vă dacă candidatul poate avea așteptarea rezonabilă de a-i fi verificate profilurile de social media, ca pe baza informațiilor culese din aceste surse să fie luată decizia de a i se respinge candidatura.

Ce condiții minime trebuie să îndepliniți atunci când faceți astfel de verificări?

În primul rând, informați candidații în prealabil, prin anunțul de recrutare sau printr-o notă informativă afișată înainte de trimiterea online a candidaturilor, că veți face astfel de verificări. Apoi, limitați-vă doar la profilurile publice și faceți verificarea doar pentru rolurile cu vizibilitate publică, unde comportamentul online al candidatului poate afecta reputația organizației.

În al doilea rând, oferiți candidaților dreptul la replică, aceștia ar trebui să aibă posibilitatea să explice sau să clarifice conținutul găsit, la interviu spre exemplu.

În al treilea rând, aplicați un test de proporționalitate și evaluați dacă verificarea este necesară și proporțională cu scopul urmărit, luând în considerare impactul asupra candidatului, apoi documentați justificarea.

Nu în ultimul rând, nu vă bazați decizia exclusiv pe informațiile obținute din social media. Acestea trebuie să fie doar un element complementar în evaluarea generală. Persoana care se ocupă de analiza profilurilor online ale candidatului nu ar trebui să fie și cea care ia decizia de angajare cu privire la respectivul candidat.

Stocarea CV-urilor pentru recrutări viitoare. Ce trebuie avut în vedere?

Poți stoca CV-urile pentru recrutări viitoare dacă respecți prevederile GDPR și poți folosi ca temei de prelucrare ori interesul legitim, ori consimțământul, în funcție de contextul specific.

Interesul legitim poate fi considerat un temei de prelucrare mai potrivit pentru procedurile de recrutare, dar trebuie bine documentat printr-o evaluare inițială de necesitate și proporționalitate.

O agenție de recrutare e posibil să poată justifica mai ușor un interes legitim decât un angajator simplu care recrutează doar pentru nevoile sale interne. Pentru un angajator este posibil ca, în funcție de situație, temeiul juridic al consimțământului să fie mai potrivit pentru prelucrarea datelor cu caracter personal.

Totuși, trebuie îndeplinite diferite condiții și pentru ca acest consimțământ să fie considerat valabil. Consimțământul trebuie să fie explicit (declarație sau acțiune neechivocă), specific (se referă doar la posturi identice, nu la „orice oportunitate”) și revocabil (poate fi retras oricând, fără consecințe negative pentru candidat).  De asemenea, trebuie să informați candidatul care este perioada maximă în care veți stoca datele sale cu caracter personal, iar această perioadă de timp să nu fie excesivă.

Înregistrarea video a candidaților în procesul de recrutare

În general, înregistrarea video a interviurilor cu candidații nu este recomandată din perspectiva GDPR, deoarece poate fi considerată o colectare excesivă de date personale. Principiul minimizării datelor prevăzut în GDPR impune ca organizațiile să colecteze doar datele personale strict necesare pentru scopul urmărit.

Înregistrarea interviurilor ar putea fi justificată doar în circumstanțe limitate, de exemplu când este absolut necesar pentru departajarea candidaților cu scoruri egale sau dacă natura postului necesită evaluarea unor abilități specifice care pot fi analizate doar prin vizionarea înregistrării.

În aceste cazuri excepționale, specialiștii HR trebuie să informeze candidații în prealabil despre intenția de a înregistra interviul, să explice clar scopul specific al înregistrării, cum va fi utilizată, pentru ce perioadă vor fi păstrate înregistrările. Accesul la înregistrări trebuie limitat doar la persoanele implicate direct în procesul de selecție.

Și acest aspect este recomandat să fie parte a DPIA, la fel ca orice prelucrări care au ca temei juridic interesul legitim, sau cel puțin să facă obiectul unei evaluări preliminare a necesității și proporționalității unei astfel de măsuri de prelucrare a datelor.

Finalizarea procesului de recrutare

La finalizarea procesului de recrutare, la momentul semnării contractului individual de muncă, salariatul trebuie să primească o notă de informare cu privire la datele cu caracter personal pe care angajatorul le prelucrează.

Această notă de informare trebuie să cuprindă cel puțin: tipuri de date prelucrate (de exemplu, date de identificare, studii, calificări, formare profesională, istoric profesional, date medicale pentru angajare și pentru aptitudinea în muncă verificată periodic, date privind membrii de familie și situația familială pentru deduceri fiscale, pentru zile de concediu legale pentru situații familiale sau alte avantaje oferite de angajator, de exemplu zile libere suplimentare în caz de deces, căsătorie), scopul și temeiurile prelucrării, durata de stocare a datelor sau cel puțin criteriile stabilite pentru a determina perioada, care sunt destinatarii sau categoriile de destinatari către care se pot transmite datele (servicii externalizate de contabilitate, payroll, asistență juridică sau chiar servicii de HR complet externalizate), drepturile salariaților în calitatea lor de persoane vizate, măsuri tehnice și organizatorice implementate de angajator în raport de împuterniciții săi sau de operatorii asociați, datele de contact ale autorității de supraveghere pentru eventualitatea formulării unei plângeri, datele de contact ale responsabilului cu protecția datelor, dacă există.

Implementarea corectă a normelor GDPR în procesul de recrutare reprezintă o responsabilitate importantă a specialiștilor HR. Deși este provocatoare, această conformitate aduce beneficii considerabile, precum consolidarea reputației organizației, îmbunătățirea experienței candidaților și reducerea riscurilor juridice. Prin implementarea măsurilor de protecție a datelor personale, specialiștii HR pot transforma obligațiile legale în avantaje competitive pe piața de recrutare a talentelor. Indiferent de dimensiunea organizației sau de complexitatea proceselor de recrutare, protecția datelor personale trebuie să rămână o prioritate.

Aceste informații sunt oferite cu titlu general, nu acoperă toate implicațiile juridice ale prelucrării datelor personale în contextul recrutării și nu constituie consultanță juridică. Pentru o evaluare adaptată circumstanțelor concrete ale organizației dumneavoastră, vă invităm să ne contactați.