GDPR v náboru: jak správně pracovat s daty kandidátů

Jaká osobní data kandidátů v náboru zpracováváte?

GDPR v náboru označuje pravidla pro zpracování osobních údajů uchazečů o zaměstnání . Zaměstnavatel musí vědět, jaké údaje zpracovává, proč je zpracovává, jak dlouho je uchovává a kdo k nim má přístup. Správně nastavené procesy pomáhají chránit nejen kandidáty, ale i samotnou firmu před zbytečnými riziky.

GDPR v náboru se týká všech osobních údajů , se kterými přijdete do kontaktu během výběrového řízení. Jde o širší okruh než si většina HR týmů uvědomuje.

Při standardním náboru typicky zpracováváte:

• životopis a motivační dopis – jméno, adresa, datum narození, fotografie, pracovní historie,
• výsledky testů a assessment center,
• poznámky recruitera a hodnocení hiring manažera,
• výsledky reference checku,
• záznamy z komunikace – emaily, zprávy, poznámky z pohovoru,
• případně záznamy z videopohovorů.

TIP : Pokud při náboru využíváte umělou inteligenci například pro tvorbu inzerátů, práci s životopisy nebo předvýběr kandidátů, doporučujeme se seznámit také s pravidly jejího bezpečného používání. Přečtěte si náš článek Jak bezpečně používat AI v náboru.

Na jakém právním základě smíte data kandidátů zpracovávat?

Ochrana osobních údajů při náboru zaměstnanců nestojí na jediném právním základě. Závisí na tom, v jaké fázi procesu se nacházíte a co s daty plánujete dělat.

Nejčastější omyl v praxi : HR týmy žádají souhlas kandidáta automaticky při každém kontaktu. Souhlas je ale nutný pouze pro uchování dat po skončení výběrového řízení nebo zařazení do databáze. Po dobu aktivního řízení postačuje oprávněný zájem nebo příprava na smlouvu.

Jak dlouho smíte uchovávat data odmítnutého kandidáta?

Doba uchovávání osobních údajů kandidátů patří k nejčastějším otázkám GDPR v HR. Přesná lhůta závisí na konkrétní situaci.

• Bez souhlasu kandidáta: po skončení výběrového řízení by měly být osobní údaje kandidáta smazány, pokud nemáte jeho souhlas ani jiný právní důvod pro jejich další uchování.
• S platným souhlasem pro talent pool: typicky 1–2 roky. Přesná doba musí být uvedena přímo v textu souhlasu a kandidát musí mít možnost souhlas kdykoli odvolat.
• Přijatý kandidát: jeho data přecházejí do personální agendy a řídí se odlišnými lhůtami v rámci pracovněprávních předpisů.

Pro nastavení konkrétních lhůt odpovídajících vašemu odvětví a procesům doporučujeme konzultaci s DPO nebo právníkem specializovaným na ochranu osobních údajů .

TIP: Náborový software Datacruit umožňuje automatizovat správu souhlasů i sledování doby uchování osobních údajů . HR tým tak nemusí ručně kontrolovat, kterým kandidátům končí souhlas nebo kdy je potřeba data odstranit.

Kde HR týmy nejčastěji chybují při zpracování osobních údajů v náboru?

Většina porušení GDPR v personalistice nevzniká úmyslně, ale kvůli každodenním návykům a procesům , které se postupně staly běžnou součástí náboru. Právě tyto zdánlivé drobnosti mohou vést k tomu, že firma zpracovává osobní údaje v rozporu s GDPR.

1. Životopisy putují firmou emailem nekontrolovaně
   Recruiter přepošle CV hiring manažerovi, ten ho pošle nadřízenému. Výsledkem je, že k datům kandidáta má přístup několik lidí, kteří se na výběrovém řízení vůbec nepodílejí.
2. Talent pool bez platného souhlasu
   Ponechání dat kandidáta v databázi pro budoucí pozice bez prokazatelného a konkrétního souhlasu je porušením GDPR v náboru. Souhlas musí být svobodný, konkrétní a musí obsahovat informaci o době uchování.
   TIP: Datacruit eviduje historii souhlasů se zpracováním osobních údajů včetně jejich případného odvolání. Recruiteři tak mají přehled, které kandidáty mohou znovu oslovit a kteří už svůj souhlas odvolali.
3. Data v Excelu nebo sdíleném disku bez řízení přístupů
   Sdílené tabulky nebo složky přístupné celému týmu nezajišťují kontrolu nad tím, kdo s daty pracuje. Při žádosti o výmaz navíc musíte data smazat ze všech míst – v takovém prostředí jde o obtížně splnitelný požadavek.
4. Chybějící nebo zastaralá informační povinnost
   Kandidát musí být informován o tom, kdo jeho data zpracovává, za jakým účelem, jak dlouho a jaká má práva. Pokud tato informace chybí na kariérní stránce nebo v přihlašovacím formuláři, jde o porušení GDPR v HR bez ohledu na to, jak jsou data jinak zabezpečena.
5. Žádné automatické mazání po uplynutí lhůty
   Data se hromadí, protože jejich mazání není ničím konkrétním úkolem. Po dvou třech letech může systém obsahovat tisíce záznamů, které by tam být neměly.
6. Poznámky z pohovoru bez omezení přístupu
   Hodnocení kandidáta, dojmy z pohovoru nebo subjektivní komentáře jsou osobní údaje. Pokud jsou viditelné pro každého, kdo má přístup do sdíleného systému, jde o problém z pohledu GDPR v personalistice.

Jak ATS systém pomáhá s GDPR v personalistice?

ATS systém pomáhá s dodržováním GDPR v personalistice tím, že automatizuje správu souhlasů, řídí přístupy k osobním údajům, eviduje práci s daty kandidátů a usnadňuje jejich mazání po uplynutí stanovené doby. Díky tomu snižuje riziko lidských chyb a zjednodušuje plnění povinností vyplývajících z GDPR.

TIP: Pokud ještě nevíte, co ATS systém je a co dokáže, přečtěte si náš článek Co je ATS a proč ho potřebujete pro váš nábor. A pokud výběr ATS systému teprve řešíte, doporučujeme také praktického průvodce Jak vybrat ATS systém.

Jestliže hledáte ATS systém, který GDPR agendu v náboru řeší za vás, Datacruit ATS automatizuje správu souhlasů kandidátů , hlídá přístupová práva podle rolí a umožňuje nastavit automatické mazání dat po uplynutí lhůty. Veškerá data zůstávají v zabezpečeném prostředí systému. Přehled všeho, s čím vám Datacruit pomůže nejdete zde .

Chcete mít GDPR v náboru pod kontrolou? Vyzkoušejte Datacruit zdarma

Pokud dnes spravujete kandidáty pomocí e-mailů, Excelu nebo sdílených složek, bývá dodržování GDPR zbytečně složité a náchylné k chybám . Moderní ATS systém pomáhá mít osobní údaje pod kontrolou, automatizovat správu souhlasů, řídit přístupy k datům i usnadnit plnění povinností spojených s ochranou osobních údajů.

Vyzkoušejte si Datacruit zdarma na 30 dní nebo si domluvte nezávaznou online ukázku. Na konkrétních příkladech uvidíte, jak lze zjednodušit správu kandidátů a nastavit náborové procesy tak, aby byly přehlednější, efektivnější a v souladu s GDPR.

Vyzkoušet Datacruit zdarma   Nezávazně se poradit