Norint saugoti CV reikalingas kandidato sutikimas

Kandidatų kaupimo tikslai gali būti keli – pasiūlyti potencialiam darbuotojui darbą ateityje arba kitoje pozicijoje nei ta, kuriai buvo darbo skelbimas, arba norėdami išvengti to paties asmens kandidatūros svarstymo dar kartą ateityje, jeigu jau kartą to asmens kandidatūra nebuvo atrinkta.

Ryškėja ir kita tendencija: būsimas darbdavys potencialaus kandidato CV dar atrankos metu išsaugo savo serveryje/kompiuteryje (toliau – duomenų bazė). Tokioje duomenų bazėje saugomus CV už įdarbinimą atsakingi asmenys gali papildyti aktualiais komentarais, pavyzdžiui, apie kandidato tinkamumą pareigoms arba kita papildoma informacija, sužinota per interviu su kandidatu, ir t.t.

Kornelija Bogniukaitė, advokatų kontoros „Glimstedt“ teisininkė, sako, kad tokia praktika ypač įprasta tarptautinėse kompanijose, savo padalinius turinčiose daugelyje valstybių. Neretai į vienas ar kitas pareigas, dažniausiai vadovaujamas arba reikalaujančias išskirtinių žinių, tokios kompanijos darbuotojų ieško visame regione. Taigi, pavyzdžiui, Lietuvos padaliniui paskelbus apie konkursą užimti tam tikras pareigas Lietuvos padalinyje, darbo skelbimas būtų platinamas visame Baltijos šalių regione, atitinkamai visų pretenduojančių kandidatų atsiųsti CV būtų įkeliami į visam regionui bendrą duomenų bazę. Tokia baze galėtų naudotis visos regione veikiančios bendrovės.

Esami darbuotojai ar kandidatai

Abejonių, jog CV nurodomi duomenys yra laikomi asmens duomenimis, tikrai nekyla. Pagal Asmens duomenų teisinės apsaugos įstatymą, asmens duomenimis laikoma bet kuri informacija, susijusi su fiziniu asmeniu – duomenų subjektu, kurio tapatybė yra žinoma arba gali būti tiesiogiai ar netiesiogiai nustatyta pasinaudojant tokiais duomenimis kaip asmens kodas, vienas arba keli asmeniui būdingi fizinio, fiziologinio, psichologinio, ekonominio, kultūrinio ar socialinio pobūdžio požymiai.

„Kadangi potencialūs kandidatai šiais laikais savo CV dažniausiai siunčia elektroniniu paštu arba užpildo tam tikrą elektroninę formą potencialaus darbdavio interneto puslapyje (toliau – elektroninė kortelė), abejonių ir dėl to, jog toks duomenų gavimas elektroniniu būdu pagal įstatymą yra laikomas asmens duomenų tvarkymu automatinėmis (visiškai ar iš dalies) priemonėmis, taip pat neturėtų kilti. Be abejo, visi tolesni su CV/elektroninėje kortelėje esančia informacija atliekami veiksmai (pavyzdžiui, jų išsaugojimas duomenų bazėje, perkėlimas, kopijavimas, komentavimas, papildymas ir pan.) irgi yra laikomi asmens duomenų tvarkymu.

Galėtų kilti klausimas, ar toks duomenų gavimas ir tolesnis jų kaupimas duomenų bazėje nepatenka į vidaus administravimo sąvokos apimtį. Pagal įstatymą, vidaus administravimas yra tokia veikla, kuria užtikrinamas duomenų valdytojo savarankiškas funkcionavimas. Taigi svarbu atskirti, kieno asmens duomenys yra ar bus tvarkomi: ar jau esamų darbuotojų (tuomet kalbame apie vidaus administravimą), ar kandidatų, kurie netapo darbuotojais (neatrinkti kandidatai)“, – atkreipia dėmesį p. Bogniukaitė.

Šis skirtumas yra esminis, kadangi asmens duomenų tvarkymas vidaus administravimo tikslais nesukelia duomenų valdytojui pareigos Asmens duomenų teisinės apsaugos įstatymo nustatyta tvarka užsiregistruoti Asmens duomenų valdytojų registre, kurį tvarko ir prašymus nagrinėja Valstybinė duomenų apsaugos inspekcija.

Reikia gauti leidimą

„Atitinkamai reikalavimas registruotis valdytoju yra taikomas tiems subjektams, kurie tvarko (kaupia, saugo, atlieka kitus veiksmus) neatrinktų kandidatų asmens duomenis savo duomenų bazėse“, – pažymi teisininkė.

Nors registracija yra nemokama, tačiau ji reikalauja tam tikrų pastangų: užpildyti prašymą ir aprašą reikalaujamam saugumo lygiui nustatyti, parengti vidines asmens duomenų tvarkymo taisykles, informuoti darbuotojus, instruktuoti juos ir pan. Dažnai tokiems klausimams bendrovės samdo teisininkus, tačiau neretai, ypač mažesnėse bendrovėse, šiais asmens duomenų klausimais pasirūpina administracijos darbuotojai.

„Pažymėtina ir tai, jog laikoma, kad asmens duomenų subjektas, pateikdamas savo CV ar užpildydamas juos elektroninėje kortelėje, tokiu būdu išreiškia sutikimą, kad jo asmens duomenys būtų tvarkomi konkurso vykdymo tikslu. Tačiau tai neapima tolesnio neatrinktų kandidatų asmens duomenų tvarkymo duomenų bazėse – tam turi būti gaunamas atskiras neatrinkto kandidato sutikimas“, – teigia p. Bogniukaitė.

Pasak jos, dažniausiai neatrinktam kandidatui yra siunčiamas standartinis elektroninis laiškas su padėka už dalyvavimą atrankoje bei pranešimu apie jo neatrinkimą, ir neretai - su informacija, jog tokio kandidato CV/elektroninės kortelės duomenis konkursą vykdęs subjektas pasiliks savo duomenų banke (bazėje).

„Toks, atrodytų, įprastai praktikoje taikomas informavimas apie tolesnį neatrinkto kandidato duomenų saugojimą yra visiškai netinkamas ir netgi neteisėtas. Neatrinkto kandidato sutikimas dėl tolesnio jo duomenų saugojimo turi būti aktyvus ir savanoriškas. Taigi elektroninis laiškas, nusiųstas tokiam asmeniui su informacija, kad jo duomenys bus saugomi, neatitinka šių kriterijų. Taip pat nėra laikoma tinkamu sutikimo gavimu, jeigu neatrinktam kandidatui elektroninio laiško žinutėje papildomai nurodoma, jog, pavyzdžiui, jis turi teisę (atsakydamas į laišką) nesutikti su tokiu tolesniu jo duomenų saugojimu, o asmeniui neatsakius – bus laikoma, jog sutiko. Tai vėlgi neatitiktų aktyvaus sutikimo kriterijaus“, – dėsto p. Bogniukaitė.

Teisininkės teigimu, tinkamiausias būdas gauti aktyvų ir savanorišką sutikimą - informuoti neatrinktą kandidatą, jog atranką vykdęs subjektas ketintų toliau saugoti kandidato duomenis su tikslu pasiūlyti darbą ateityje (arba nurodant kitą tikslą) ir paprašyti kandidatą, atsakant į siunčiamą pranešimą, parašyti „Sutinku“ arba „Taip“ (priklausomai nuo to, kaip formuluojamas prašymas pateikti sutikimą).

Taip pat galima sukurti ir kitokių įrankių, pavyzdžiui, įterpti aktyvias nuorodas (mygtukus) „Sutinku“/„Nesutinku“ arba „Taip“/„Ne“ elektroninio laiško žinutėje, kurias neatrinktas kandidatas turėtų paspausti. Savaime suprantama, kad nei vieno iš nuorodų (mygtukų) nepasirinkimas (t.y. atsiųsto laiško ignoravimas) taip pat nebūtų laikomas tinkamu sutikimo gavimu. Įmanoma pasirinkti ir paprastesnį aktyvaus ir savanoriško sutikimo gavimo būdą – gauti rašytinį kandidato sutikimą, pavyzdžiui, prieš darbo pokalbį ar vėliau. Tačiau tai nepraktiška.

Taigi papildomus kaštus (darbuotojo darbo laiko/teisinių paslaugų, kt.) duomenų valdytojams gali sudaryti ne tik registracija Asmens duomenų valdytojų registre, bet ir papildomi veiksmai, pavyzdžiui, techninių sprendimų (įrankių) įdiegimas, siekiant gauti ar pasirengti gauti neatrinktų kandidatų aktyvius ir savanoriškus sutikimus.

Gresia baudos

Primintina, kad 2016 m. balandžio 14 d. Europos Parlamentas priėmė Bendrąjį duomenų apsaugos reglamentą, kuris pakeis šiuo metu galiojančią 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvą 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuri Lietuvoje įgyvendinta Asmens duomenų teisinės apsaugos įstatymu ir kitais teisės aktais.

Naujasis reglamentas įsigalios per 2 metus ir bus tiesiogiai taikomas visose valstybėse narėse nuo 2018 m. birželio-liepos mėn. Toks 24 mėn. pereinamasis laikotarpis suteikia asmens duomenų valdytojams galimybę pasirengti naujam reguliavimui ir reglamente nustatytų taisyklių įgyvendinimui.

„Šiuo metu Lietuvoje galiojančios administracinės nuobaudos (baudos), taikomos duomenų apsaugos taisykles pažeidusiems duomenų valdytojams arba duomenų tvarkytojams, siekia nuo 145 Eur iki 290 Eur, o už pakartotinį pažeidimą – iki 580 Eur. Tačiau naujuoju reglamentu, pakeisiančiu esamą reguliavimą Lietuvoje, numatomos daug griežtesnės sankcijos: duomenų valdytojams galės būti skiriamos baudos iki 20 mln. Eur arba iki 4% jų bendros metinės apyvartos. Todėl asmens duomenų valdytojai jau dabar turėtų suskubti ruoštis naujam reguliavimui ir įgyvendinti atitinkamas technines-organizacines priemones“, – informuoja teisininkė.