RODO w praktyce. Co oznacza dla HR-owców?

Już w maju 2018 roku wejdą w życie regulacje dotyczące ochrony danych osobowych. Ogólne Rozporządzenie o Ochronie Danych, zwane także w skrócie RODO, niesie ze sobą szereg ogromnych zmian, które odczuwalne będą przede wszystkim w działach administracyjnych oraz kadrowych. Nowych przepisów bezwzględnie będą musieli przestrzegać również HR-owcy przeprowadzający rekrutację. Znowelizowane przepisy o ochronie danych osobowych dotyczyć będą bowiem także informacji o kandydatach aplikujących do pracy. Jakich zmian można więc spodziewać się w praktyce?

O czym kandydat powinien zostać poinformowany?

Agencje rekrutacyjne oraz działy HR, to w świetle prawa organy, które gromadzą i przetwarzają dane osobowe – czyli są ich administratorami. Według nowego rozporządzenia Parlamentu Europejskiego i Rady Unii Europejskiej, zwiększy się liczba obowiązków organów zajmujących się administracją danych osobowych. W praktyce oznacza to m.in., że podczas procesu rekrutacyjnego trzeba będzie poinformować kandydatów o:

– celach, w jakich przetwarzane są ich dane osobowe,

– okresie, w jakim będą one przechowywane,

– odbiorcach danych, czyli podmiotach, które będą miały do nich dostęp,

– możliwości wycofania zgody na przetwarzanie danych,

– prawie do wniesienia skargi do organu nadzorczego.

Jak widać, zmieni się stosunkowo dużo – obecnie kandydat, który chce wziąć udział w rekrutacji, musi umieścić w CV klauzulę o ochronie danych osobowych, ale na tym kończy się jego rola w procesie administrowania. Po wprowadzeniu nowych przepisów RODO, dane pracownika będzie można przetwarzać tylko na podstawie jego dobrowolnego i świadomego wyrażenia woli na przetwarzanie tych danych – określony musi przy tym zostać cel tego przetwarzania. W nowych regulacjach najbardziej istotnym punktem jest to, że zgoda danej osoby nie może być domniemana, a każdy użytkownik ma prawo do jej cofnięcia. Co istotne, odwołanie zgody musi być równie nieskomplikowane, jak jej udzielenie. Firmy przygotowujące się do wejścia w życie RODO muszą niestety ponieść koszty rewizji, a często nawet wymiany formularzy dotyczących administrowania danymi osobowymi.

Rejestracja czynności administracyjnych

To jednak nie koniec wszystkich zmian. Działy HR, agencje rekrutacyjne i inne organy przetwarzające dane, będą musiały przygotować się także na czekający ich obowiązek rejestrowania czynności związanych z administracją. W rejestrze muszą znaleźć się takie informacje jak:

– nazwa oraz dane kontaktowe administratora,

– cele przetwarzania danych,

– opis kategorii osób, których te dane dotyczą,

– kategorie odbiorców, którym dane zostaną lub zostały ujawnione (o ile to możliwe),

– planowane terminy usunięcia poszczególnych kategorii danych (o ile to możliwe),

– opis technicznych i organizacyjnych środków bezpieczeństwa.

A co, jeżeli dojdzie do wycieku danych osobowych? Administratorzy, czyli w tym przypadku pracownicy HR, zobowiązani będą zgłaszać te sytuacje do GIODO, informując także właścicieli danych. Dla samych użytkowników przewidziano ułatwienie w postaci zniesienia opłat za wniesienie skargi do GIODO. W praktyce poskutkuje to zapewne zwiększoną częstotliwością kontroli przeprowadzanych przez odpowiednie organy nadzorcze.

Wprowadzenie przepisów RODO wiąże się z koniecznością przeszkolenia kadry, a co więcej – często także zakupu oprogramowania, pozwalającego na automatyzację niektórych procesów. Koszt szkoleń oraz informatyzacji to jednak niewiele w stosunku do kar grożących za niewywiązanie się z powyższych obowiązków. Jeżeli firma nie przystosuje się do powyższych regulacji, sankcje mogą wynieść nawet do 20 mln euro, a w przypadku przedsiębiorstwa – do 4% całkowitego rocznego obrotu z poprzedniego roku obrotowego, i to w ujęciu całościowym, czyli ze wszystkich oddziałów przedsiębiorstwa. Czasu zostało już bardzo niewiele – to ostatni dzwonek na intensywne przygotowania do wdrożenia wspomnianych procedur.