Personalo atranka šiandien neatsiejama nuo kandidatų asmens duomenų tvarkymo. Darbdaviai ir personalo atrankos įmonės gauna gyvenimo aprašymus, motyvacinius laiškus, kontaktinius duomenis, informaciją apie profesinę patirtį, išsilavinimą ir kitą informaciją, reikalingą kandidatui įvertinti. Tačiau ne kiekvienas atrankos metu gaunamas duomuo gali būti laisvai renkamas, saugomas ar perduodamas. Bendrasis duomenų apsaugos reglamentas (BDAR) nustato aiškias taisykles, kaip turi būti tvarkomi asmens duomenys. Todėl tinkamai organizuota personalo atranka turi apimti ne tik kandidatų paiešką ir vertinimą, bet ir atsakingą duomenų apsaugą viso atrankos proceso metu.
Kokie kandidatų duomenys tvarkomi personalo atrankos metu?
Kandidato CV paprastai pateikiama vardas ir pavardė, kontaktiniai duomenys, informacija apie išsilavinimą, darbo patirtį, kvalifikaciją, kalbų mokėjimą ir kitus profesinius gebėjimus. Prie asmens duomenų taip pat gali būti priskiriami motyvaciniai laiškai, pokalbių metu surinkta informacija, rekomendacijos ar atrankos vertinimų rezultatai. Svarbu atskirti įprastus asmens duomenis nuo specialių kategorijų asmens duomenų. Pavyzdžiui, informacija apie sveikatą, biometriniai ar tam tikri kiti jautresni duomenys yra saugomi griežčiau. Personalo atrankoje tokia informacija neturėtų būti renkama vien todėl, kad ji darbdaviui atrodo įdomi ar galėtų būti naudinga ateityje.
Pagrindinis principas paprastas: personalui turi būti renkama tik ta informacija, kuri yra reikalinga konkrečiam atrankos tikslui.
Kodėl netinkamas duomenų tvarkymas kelia teisinę riziką?
Kandidatų asmens duomenų apsauga nėra vien formalus reikalavimas. Netinkamas jų saugojimas, perteklinis rinkimas, neleistinas perdavimas ar prieigos kontrolės trūkumas gali sukelti rimtų pasekmių organizacijai. Duomenų apsaugos pažeidimas gali reikšti ne tik galimas priežiūros institucijos sankcijas. Kandidatas taip pat gali reikalauti įgyvendinti savo teises ar tam tikrais atvejais atlyginti patirtą žalą. Todėl organizacijai svarbu iš anksto įvertinti, kur ir kaip saugomi kandidatų CV, kas gali juos peržiūrėti, kiek laiko informacija išlaikoma ir kada ji turi būti ištrinama. Ypač svarbu kontroliuoti prieigą prie bendrų personalo duomenų bazių ir atrankos sistemų.
AI ir automatizuota personalo atranka: naujos galimybės ir rizikos
Dirbtinis intelektas vis dažniau naudojamas personalo atrankoje. AI įrankiai gali padėti analizuoti CV, struktūruoti kandidatų informaciją, ieškoti atitikties tarp kandidato kompetencijų ir darbo pozicijos arba automatizuoti dalį atrankos proceso. Tačiau naudojant tokius sprendimus atsiranda papildomų duomenų apsaugos klausimų. Prieš keliant kandidatų CV ar kitus asmens duomenis į išorinę AI sistemą būtina įvertinti, kas vyksta su perduodama informacija, kokiais tikslais ji naudojama, kur ji saugoma ir kas gali ją pasiekti. Ne mažiau svarbus ir diskriminacijos pavojus. Jei algoritmas mokomas pagal netinkamus istorinius duomenis arba naudojami diskriminuojantys kriterijai, automatizuota sistema gali sistemingai teikti pirmenybę vienoms kandidatų grupėms ir nepagrįstai atmesti kitas. Todėl AI personalo atrankoje turėtų būti naudojamas kaip atsakingai kontroliuojamas įrankis, o ne kaip nekritiškai priimantis galutinį sprendimą mechanizmas.
Duomenų rinkimo tikslas turi būti aiškus
Vienas svarbiausių BDAR principų – asmens duomenys turi būti renkami konkrečiais, aiškiai apibrėžtais ir teisėtais tikslais. Kandidatui turi būti suprantama, kodėl jo duomenys renkami ir kaip jie bus naudojami. Pavyzdžiui, jeigu kandidatas pateikia CV konkrečiai darbo pozicijai, darbdavys neturėtų automatiškai manyti, kad šį CV galima neribotą laiką naudoti bet kokiems būsimiems personalo poreikiams. Kandidatams turi būti pateikiama aiški informacija apie duomenų tvarkymą: kokie duomenys renkami, kokiu tikslu jie naudojami, kiek laiko saugomi, kam gali būti perduodami ir kokias teises turi pats duomenų subjektas.
Duomenų minimizavimas: daugiau informacijos nereiškia geresnės atrankos
Personalo atrankos specialistui gali atrodyti naudinga apie kandidatą žinoti kuo daugiau. Vis dėlto BDAR logika yra priešinga – reikėtų rinkti tik tai, kas būtina konkrečiam tikslui.
Pavyzdžiui, atrankos į finansų, pardavimų ar vadovaujančią poziciją metu gali būti aktuali kandidato profesinė patirtis, kvalifikacija, kompetencijos ir motyvacija. Tačiau kandidato šeiminė padėtis, vaikų skaičius ar kita su darbo funkcijomis nesusijusi informacija paprastai nėra būtina sprendimui dėl tinkamumo priimti. Toks duomenų minimizavimo principas naudingas ne tik dėl BDAR. Jis padeda sukurti objektyvesnę personalo atranką, kurioje sprendimai grindžiami su darbu susijusiais kriterijais.
Kaip saugiai perduoti kandidatų informaciją?
Kandidatų duomenys personalo atrankos procese gali būti perduodami elektroniniu paštu, naudojant debesijos paslaugas, kandidatų valdymo sistemas ar kitas HR technologijas. Kiekvienas toks perdavimo būdas turi būti įvertintas saugumo požiūriu. Organizacija turėtų naudoti patikimus techninius sprendimus, kontroliuoti vartotojų prieigos teises, užtikrinti saugų slaptažodžių valdymą ir kitus informacijos saugumo mechanizmus. Taip pat svarbu įvertinti, ar paslaugų teikėjai tinkamai tvarko perduodamus asmens duomenis. Ypač rizikinga kandidatų informaciją siųsti neapsaugotais kanalais arba dalintis dokumentais su asmenimis, kuriems tokia prieiga nėra reikalinga.
Kandidatas turi teisę kontroliuoti savo duomenis
BDAR suteikia duomenų subjektams įvairias teises. Kandidatas tam tikromis sąlygomis gali prašyti susipažinti su apie jį tvarkomais duomenimis, juos ištaisyti, apriboti tvarkymą ar ištrinti. Todėl personalo atrankos procesas turi būti organizuojamas taip, kad į tokius prašymus būtų galima tinkamai ir laiku sureaguoti. Organizacija turėtų žinoti, kur saugomi kandidato duomenys ir kas už jų tvarkymą yra atsakingas.
Tai ypač aktualu įmonėms, kurios kandidatų informaciją kaupia ne vienoje sistemoje, o keliuose skirtinguose įrankiuose, darbuotojų kompiuteriuose ar el. pašto paskyrose.
Privatumo politika ir vidinės procedūros – ne formalumas
Aiškiai aprašytos procedūros padeda išvengti situacijų, kai skirtingi darbuotojai kandidatų duomenis tvarko skirtingai. Organizacijoje turėtų būti apibrėžta, kokius duomenis galima rinkti, kas turi prieigą prie kandidatų informacijos, kaip duomenys perduodami ir kada jie turi būti ištrinami.
Svarbi ir kandidatams skirta privatumo informacija. Ji turi būti suprantama, aiški ir lengvai prieinama, o ne paslėpta sudėtinguose dokumentuose.
Jeigu personalo atranką organizacija perduoda išorinei personalo atrankos įmonei, taip pat svarbu aiškiai apibrėžti šalių atsakomybes ir duomenų tvarkymo sąlygas.
BDAR rizikos turi būti vertinamos nuolat
Duomenų apsauga nėra vienkartinis dokumentų parengimas. Personalo atrankos procesai keičiasi: atsiranda naujos kandidatų paieškos platformos, AI sprendimai, testavimo sistemos ir debesijos paslaugos.
Todėl kartu su naujų technologijų ar atrankos metodų diegimu verta iš naujo įvertinti, kokie duomenys bus renkami, kam jie bus prieinami, kur bus saugomi ir kokios galimos rizikos.
Reguliari procesų peržiūra leidžia pastebėti spragas dar prieš joms tampant realiu duomenų apsaugos incidentu.
Atsakomybė už kandidatų duomenų apsaugą tenka visai organizacijai
Efektyvi personalo atranka ir tinkama asmens duomenų apsauga neturėtų būti vertinamos kaip dvi atskiros sritys. Už saugų kandidatų duomenų tvarkymą atsakingi ne vien personalo specialistai ar IT darbuotojai. Priklausomai nuo organizacijos struktūros ir procesų, į juos turi būti įtraukiami vadovai, teisininkai, duomenų apsaugos specialistai ir kiti darbuotojai.
Tinkamai suorganizuotas procesas prasideda dar prieš paskelbiant darbo skelbimą: reikia žinoti, kokios informacijos iš kandidato iš tiesų reikia, kaip ji bus naudojama ir kiek laiko saugoma. Vėliau svarbu užtikrinti saugų duomenų tvarkymą visame atrankos procese – nuo kandidatų paieškos iki galutinio sprendimo ir duomenų saugojimo laikotarpio pabaigos.
Personalo atranka, atitinkanti BDAR reikalavimus, yra ne tik teisinė pareiga, bet ir profesionalaus darbdavio požymis. Kandidatai vis dažniau vertina, kaip įmonė elgiasi su jų asmenine informacija. Todėl skaidrus, saugus ir atsakingas duomenų tvarkymas gali tapti ir organizacijos reputacijos bei pasitikėjimo privalumu.
Dažniausiai užduodami klausimai
Kokius kandidatų duomenis galima rinkti atrankos metu?
Renkama tik tai, kas būtina atrankai: kontaktai, išsilavinimas, darbo patirtis, profesinės kompetencijos. Sveikatos ar šeimyninės informacijos rinkti nebūtina, nebent tai tiesiogiai susiję su darbo pobūdžiu (pvz., medicinos ar vairuotojų darbas).
Kaip ilgai galima saugoti kandidatų duomenis?
Kandidatų duomenys saugomi tik tol, kol jie reikalingi atrankai arba tol, kol kandidatas sutinka būti laikomas ateities pozicijoms. Po to duomenys turi būti ištrinti arba anonimizuoti.
Ar galima siųsti kandidatų duomenis kitoms įmonės dalims ar partneriams?
Duomenys perduodami tik tiems, kurie tiesiogiai dalyvauja atrankoje. Jei reikia perduoti trečiosioms šalims, kandidatas turi būti informuotas ir sutinka tokiam perdavimui.
Kaip užtikrinti, kad duomenys būtų saugūs?
Naudoti apsaugotas platformas, šifruotus el. laiškus, riboti prieigą tik HR specialistams ir atsakingiems vadovams. Popierinius dokumentus laikyti saugioje vietoj
Ar galima naudoti automatizuotus įrankius ir testus atrankoje?
Taip, tačiau reikia užtikrinti, kad įrankiai renka tik būtinuosius duomenis, kandidatams aišku, kaip jų duomenys bus naudojami, ir nepažeidžiami lygiateisiškumo principai.
