Weryfikacja wykształcenia przez pracodawców – wytyczne IOD

Szanowni Państwo,

od pewnego czasu obserwujemy wzmożoną aktywność podmiotów prowadzących weryfikację wykształcenia studentów, doktorantów oraz absolwentów Uniwersytetu Warszawskiego w ramach działań zleconych przez przedsiębiorstwa prowadzące postępowania rekrutacyjne, tzw. background screening/checking. W związku z koniecznością zapewnienia najwyższych standardów ochrony danych osobowych przetwarzanych przez Uczelnię, uprzejmie przypominam o następujących zasadach:

1. Dane osobowe mogą być udostępniane wyłącznie osobie, której dane dotyczą po uprzedniej weryfikacji tożsamości wnioskodawcy. Wniosek o udzielenie dostępu do danych musi być złożony osobiście przez osobę, której dane dotyczą lub jej pełnomocnika – np. radca prawny, adwokat, osoba posiadająca pełnomocnictwo poświadczone notarialnie.
2. Odpowiedź na wniosek powinna zostać przesłana w formie wskazanej przez wnioskodawcę (papierowo lub elektronicznie) oraz na adres wskazany przez wnioskodawcę.
3. Poza osobą, której dane dotyczą, dane osobowe mogą być udostępnione bezpośrednio wyłącznie podmiotowi dysponującemu podstawą prawną niezależną od uprawnień osoby, której dane dotyczą – np. sąd, prokuratura, Policja, Straż Graniczna, Zakład Ubezpieczeń Społecznych.
4. Pracodawca ani podmiot prowadzący tzw. background screening nie posiadają w polskim prawie żadnej podstawy prawnej do uzyskania informacji o wykształceniu kandydata do pracy, co zostało jednoznacznie wyjaśnione przez Prezesa Urzędu Ochrony Danych Osobowych w publikacji „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców”:

Potwierdzanie prawdziwości dyplomu ukończenia studiów wyższych, jak i innych danych zawartych w dokumentach przedkładanych przez kandydata w toku rekrutacji, poprzez kierowanie zapytań do podmiotów, które wydały te dokumenty jest niedopuszczalne. Polski prawodawca co zasady nie przewiduje w przepisach krajowych uprawnienia pracodawcy do występowania do innych podmiotów w celu potwierdzenia lub sprawdzenia prawdziwości dokumentów i danych w nich zawartych przedłożonych przez kandydatów w toku rekrutacji. Takie działanie nie ma również oparcia w przesłance określonej w art. 6 ust. 1 lit. f RODO. Przypomnieć należy, że zgodnie z art. 22 1 § 3 Kodeksu pracy udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której one dotyczą, zatem należy uznać, że praktyka polegająca na dodatkowej weryfikacji informacji uzyskanych od kandydata, naruszałaby prawa i wolności osoby. Polski ustawodawca zdecydował, w jakiej formie pracodawca powinien pozyskiwać informacje o kandydacie do pracy. Wskazać należy, że praktyka polegająca na pozyskiwaniu zgód od kandydata na weryfikowanie prawdziwości złożonych oświadczeń i danych zawartych w dokumentach również nie znajduje oparcia w przepisach RODO. Podkreślenia wymaga, że jednym z warunków skuteczności zgody jest jej dobrowolność, co oznacza, że osoba, której dane dotyczą nie powinna ponosić żadnych negatywnych konsekwencji, jeżeli odmówi jej wyrażenia. Niewyrażenie zgody przez kandydata na kontakt z uczelnią przez pracodawcę (choćby z powodów subiektywnych np. konfliktu z uczelnią), może spowodować, że potencjalny pracodawca odrzuci jego kandydaturę. Jeżeli pracodawca ma podejrzenia, że przedkładany dokument został sfałszowany powinien złożyć zawiadomienie o możliwości popełnienia przestępstwa określonego w art. 270 § 1 Kodeksu karnego. (źródło: https://uodo.gov.pl/pl/581)

W związku z powyższym należy podkreślić, że osoba, której dane dotyczą ma nieograniczone prawo wskazać dowolny adres korespondencyjny lub e-mailowy, na który ma zostać wysłana kopia jej danych osobowych – może być to również adres wskazujący na to, że jest użytkowany przez inny podmiot.

Jednocześnie fakt wskazania adresu podmiotu trzeciego jako adresu, na który przesłana ma zostać kopia danych, nie oznacza, że podmiot ten zyskuje jakiekolwiek uprawnienia w zakresie dostępu do tych danych. Podmiot taki nie staje się również stroną postępowania prowadzonego na podstawie art. 15 RODO. Z tego powodu niedopuszczalne jest prowadzenie korespondencji ws. wniosku osoby, której dane dotyczą z pracownikami lub przedstawicielami podmiotu trzeciego, nawet jeżeli jego adres został wskazany we wniosku jako docelowe miejsce wysłania odpowiedzi na wniosek o dostęp do danych.