Podaci prijave nakon odbijanja: brisanje, saglasnost i baza kandidata

Nakon odbijanja organizacija mora podatke prijave povezati s jasnom svrhom, pravnim osnovom i provjerljivim trenutkom brisanja. GDPR ne određuje jedan rok za svaku prijavu. Važni su završetak postupka zapošljavanja, konkretna zakonska obaveza ili zahtjev te posebna odluka o upisu u bazu kandidata.

Ovaj tekst objašnjava kako organizacije mogu urediti podatke prijave nakon odbijanja, kada dalje čuvanje može biti opravdano i šta je potrebno za saglasnost za bazu kandidata. U središtu su prestanak svrhe, informacije, pristup i dokaz stvarno sprovedenog postupka brisanja.

Član 5 stav 1 tačka e GDPR-a zahtijeva ograničenje čuvanja. Lični podaci u obliku koji omogućava identifikaciju trebaju se čuvati samo onoliko dugo koliko je potrebno za svrhe obrade. Izvorna svrha odabira u pravilu završava kada se konkretan postupak zapošljavanja okonča. To ipak ne odgovara na sva pitanja o kratkom daljem čuvanju ili dobrovoljnom upisu u bazu kandidata.

Organizacija mora odvojeno opisati svrhu i pravni osnov. Podaci prijave mogu se obrađivati radi odabira, konkretne zakonske obaveze ili utvrđivanja, ostvarivanja i odbrane pravnih zahtjeva. Svaka svrha traži vlastitu procjenu. Opšta interna praksa da se svako odbijanje čuva isti period ne pokazuje tu vezu.

Pregled zaštite podataka zaposlenih smješta prijave u životni ciklus podataka u radu. Za svrhe i odgovornosti korisna je i stranica o upravljanju zaštitom podataka.

Odbijanje je važan trenutak provjere, ali nije automatski isti datum brisanja u svakom slučaju. Organizacija treba zabilježiti kada je odluka o odabiru završena, da li je ostala otvorena komunikacija i koji su zapisi još potrebni za izvornu svrhu. Svaki preostali zapis tada treba imati vlastiti razlog za čuvanje.

Čl. 13 i 14 GDPR-a traže informacije o svrhama obrade i, gdje je moguće, planiranom roku čuvanja ili kriterijima za njegovo određivanje. Kandidat treba razumjeti kako se dokumenti koriste tokom zapošljavanja i prema kojim kriterijima prestaje dalje čuvanje. Izraz „koliko je potrebno“ je slab ako organizacija nema unutrašnje kriterije.

Postupak brisanja mora pratiti stvarno okruženje. Pored portala za prijave mogu biti obuhvaćeni e-mail pretinci, bilješke razgovora, izvozi i pružaoci usluga. Rezervne kopije zahtijevaju posebno pravilo. Ne smiju postati trajna arhiva, a ciklus tehničkog brisanja i ograničen pristup do tada trebaju biti dokumentovani.

Baza kandidata ima drugačiju svrhu od završene prijave. Buduća radna mjesta, kasniji kontakt i duža dostupnost dokumenata moraju se zato posebno opisati. Prijava ne treba tiho postati trajni zapis za moguće buduće zapošljavanje.

Ako se baza kandidata zasniva na saglasnosti prema članu 6 stav 1 tačka a GDPR-a, organizacija mora moći dokazati saglasnost prema članu 7. Izjava treba odrediti svrhu i objasniti koji se podaci čuvaju za koji budući kontakt. Ispitanik mora moći povući saglasnost jednako jednostavno kao što ju je dao.

Saglasnost treba prikazati kao poseban korak. Ne treba je skrivati u opštoj izjavi koja obuhvata prijavu, odbijanje i svaku moguću kasniju svrhu. Odbijanje ili povlačenje ne treba naknadno mijenjati završeni postupak odabira. Podaci baze kandidata traže vlastitu provjeru brisanja ili ograničenja.

Član 17 GDPR-a predviđa izuzetke od prava na brisanje. Dalje čuvanje može biti potrebno zbog zakonske obaveze ili radi utvrđivanja, ostvarivanja i odbrane pravnih zahtjeva. Opšta želja da se organizacija pripremi za mogući spor nije dovoljna kao neograničen razlog.

Organizacija treba zabilježiti konkretan razlog, pogođene dokumente i potreban obim. Ako se pitanje odnosi na jednu odluku ili komunikaciju, cijela prijava ne mora automatski ostati dostupna bez kraja. Pristup treba ograničiti na odgovorne osobe, a dalju upotrebu odrediti.

Kada osnov za čuvanje prestane, izuzetak treba ponovo provjeriti. Bilješka bez datuma provjere može ostaviti podatke prijave u aktivnim sistemima godinama. Zapis zato treba imati odgovornu osobu i tačku kontrole za prestanak izuzetka.

Članovi 5 stav 2 i 24 GDPR-a traže da se usklađenost može dokazati. Postupak treba pokazati ko je zabilježio odbijanje, ko odlučuje o izuzetku, koji se sistemi čiste i kako se rezultat provjerava. Koncept brisanja je pouzdan samo ako odgovara stvarnom radu.

Članovi 25 i 32 GDPR-a traže zaštitu podataka kroz dizajn i odgovarajuće sigurnosne mjere. Podaci prijave zato trebaju biti dostupni samo osobama odgovornim za zadatak zapošljavanja. Podaci baze kandidata, završene prijave i dokumenti sa osjetljivim detaljima ne trebaju biti u jednoj otvorenoj mapi. Lični računi, ograničene uloge i zapisi pristupa pomažu kontroli.

Član 30 GDPR-a može biti važan pri opisu postupka obrade. Interni zapis treba povezati svrhu, kategorije podataka, primaoce, kriterije brisanja, sisteme i mjere zaštite. I sam zapis treba poštovati smanjenje količine podataka. Treba dokazati odluku i brisanje bez stvaranja druge potpune arhive prijava. Tekst o tehničkim i organizacionim mjerama prema članu 32 GDPR-a daje dodatnu strukturu.

Jedan rok za svaku prijavu: Svako odbijanje čuva se isti period bez povezivanja svrhe, pravnog osnova i kriterija provjere.

Baza kandidata kao tiho nastavljanje: Podaci prijave ostaju aktivni za buduća radna mjesta iako nema posebne informacije i saglasnosti.

Saglasnost bez načina povlačenja: Izjava se arhivira, ali povlačenje ne stiže do portala za prijave ili povezane pohrane.

Briše se samo portal: E-mailovi, bilješke razgovora, izvozi ili dostupne kopije ostaju u drugim sistemima.

Izuzetak nema kraj: Mogući zahtjev se zabilježi, ali niko ne provjerava da li je dalje čuvanje još potrebno.

Počnite popisom sistema i kategorija podataka. Odvojeno zabilježite obrazac prijave, biografiju, svjedočanstva, bilješke razgovora, e-mailove, procjene i zapise baze kandidata. Svakom zapisu dodijelite svrhu, pravni osnov, primaoce, grupu sa pristupom i kriterij brisanja.

Zatim provjerite informacije za kandidata i stvarni put saglasnosti. Da li je baza kandidata dobrovoljna? Da li je obim jasan? Može li osoba povući saglasnost dostupnim putem? Da li povlačenje stiže do svih relevantnih sistema? Ova pitanja pripadaju postupku prije nego što nastane spor.

Na kraju zabilježite odbijanje, odluku o brisanju, izuzetak, obuhvaćene sisteme i rezultat. Tekst o zahtjevu za pristup prema članu 15 GDPR-a može pomoći kod pitanja o obradi i roku čuvanja. Konkretna prijava ipak traži vlastitu procjenu.

S vama provjeravamo svrhu nakon odbijanja, pravni osnov, informacije za kandidata, saglasnost za bazu kandidata, pristup i postupak brisanja. Pošaljite nam tok zapošljavanja, tekstove informacija, pregled sistema i primjer dokumentacije. Nove članke i pravne informacije kancelarije možete primati putem BRANDaktuelle Rechtsnews. Pretplatite se na newsletter.