Hlavní navigace

Po výběrovém řízení si ponechali životopisy neúspěšných uchazečů. Co na to GDPR?

Jana Knížková

Nařízení GDPR se dotkne i oblasti výběrových řízení, kdy jsou předkládány životopisy uchazečů plné osobních dat. Jak naložit s dokumenty neúspěšných kandidátů?

Doba čtení: 2 minuty

25. květen 2018 přináší účinnost nařízení GDPR. Pro snazší přípravu připravilo Ministerstvo průmyslu a obchodu ČR společně s Asociací malých a středních podniků a živnostníků ČR manuál, který je určený malým a středním firmám na. Obsahem je hned několik praktických příkladů. 

Manuál vysvětluje mimo jiné, jak postupovat, pokud chce firma do svých vozidel instalovat GPS systémy: Zneužívali auta pro osobní účely. Firma do nich proto dala GPS. Co na to GDPR? Stejně tak například vysvětluje, jaká jsou pravidla při vytváření evidence zákazníků, kteří si u firmy objednávají určité zboží: Jak si správně vytvářet evidenci o zákaznících a jejich objednávkách dle GDPR? 

Další situací, při které bude muset být zohledněno nařízení GDPR, je výběrové řízení, při kterém uchazeči předkládají životopisy plné osobních údajů. 

Firma vypsala výběrové řízení na vedoucího IT oddělení. Inzerát publikovala na svém webu a současně si vyhledání vhodného kandidáta zadala u externí personální agentury. Do výběrového řízení se přihlásilo 12 kandidátů, z nichž 7 postoupilo do užšího kola.

Vhodný kandidát na volnou pozici byl nalezen a byla s ním uzavřena pracovní smlouva. Životopisy a další údaje 7 uchazečů, kteří se dostali do užšího výběru, si firma chtěla ponechat pro budoucí možné použití. Osobní údaje neúspěšných uchazečů zůstaly po realizaci výběrového řízení nekoordinovaně roztroušeny jak v personální agentuře, tak i na úsecích pracovníků, kteří se podíleli na výběru pracovníka (personální oddělení, úsek ředitele, právník). 

Čtěte také: Mohou pokuty za porušení GDPR ohrozit vaši firmu?

Z pohledu GDPR je tento postup nepřijatelný, protože není zajištěna odpovídající bezpečnost údajů. Životopisy všech neúspěšných uchazečů zůstaly zaarchivovány na personálním oddělení, ostatní úseky byly požádány o jejich skartaci. Neúspěšní uchazeči, kteří postoupili do druhého kola, nicméně nebyli informováni o tom, že jejich údaje jsou u zaměstnavatele uchovány pro eventuální potřebu budoucích výběrových řízení. 

Ptejte se odborníka v poradně GDPR po praktické stránce
Ing. Kamil Beránek
poradce pro GDPR

Pro uchování údajů neúspěšných uchazečů, kteří do druhého kola nepostoupili, nezbyl žádný právní důvod. 

Dalším krokem, kterým je porušeno nařízení, je, že nedošlo k výmazu nepotřebných údajů a žádný z neúspěšných uchazečů neobdržel informace o způsobu dalšího zpracování svých údajů. Všechny osobní údaje úspěšného uchazeče se staly součástí jeho osobního spisu. 

Osobní údaje neúspěšných uchazečů, kteří nepostoupili do dalšího kola, byly na všech dotčených úsecích skartovány. Životopisy uchazečů, kteří postoupili do druhého kola, byly skartovány na všech úsecích kromě personálního oddělení, které je převedlo do elektronické podoby a zařadilo do databáze potenciálních zájemců o zaměstnání ve firmě a informovalo o tom dotčené uchazeče. 

Content 2018 tip Losekoot

Aby bylo dodrženo nařízení GDPR, musí dojít k výmazu nepotřebných údajů, všechny dotčené subjekty údajů musí obdržet informace o dalším zpracování svých údajů a současně musí být zajištěna odpovídající úroveň zabezpečení údajů.

Příklad z praxe byl převzat z Příručky pro přípravu malých a středních firem na GDPR