Az álláspályázók személyes adatainak kezelése a munkahelyi adatkezelések egyik csoportjába tartozó témakör, mely számos sajátossággal rendelkezik. A munkahelyi adatkezelés az adatvédelemi jog egy megkerülhetetlen részterülete, mellyel szinte minden adatkezelő találkozik, így érdemes tisztában lenni az egyes részletszabályokkal. Jelen cikk az álláspályázói adatkezelés első mozzanatával, az önéletrajzokban szereplő személyes adatok kezelésével foglalkozik, azon belül is kizárólag az Munka törvénykönyve szerinti jogviszony létesítésére irányuló önéletrajzokkal (a speciális foglalkoztatási jogviszonyok nem képzik jelen elemzés tárgyát).
Az ilyen típusú adatkezelések kapcsán is a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, az Európai Parlament és a Tanács (EU) 2016/679. sz. rendelete – vagyis a GDPR – rendelkezései szolgálnak kiindulási alapként, mely uniós szabályrendszert a munka törvénykönyvéről szóló 2012. évi I. törvény (Mt.) egészít ki a munkahelyi adatkezelés részletszabályaival (GDPR 88. cikk (1) bekezdés, Mt., Mt. 9-11/A. §.).
Az önéletrajzokkal kapcsolatos adatkezelés a munkahelyi adatkezelések egy sajátos részterülete, mivel az ide tartozó adatkezelési jogviszonyok érintetti köre jóval szélesebb a munkavállalóknál, ide tartozik minden jelölt – függetlenül a pályázata eredményétől – egészen a munkajogviszony létesítéséig. Tovább bonyolítja az ilyen típusú adatkezeléseket a kezelt adatok kategóriái tekintetében fennálló bizonytalan helyzet, hiszen a leendő munkáltató, mint adatkezelő jellemzően nem tudja előzetesen meghatározni, hogy az érintett pontosan mely személyes adatait bocsátja a rendelkezésére. Az önéletrajz megküldésekor a pályázók sok esetben az adatkezelés célja szempontjából irreleváns adatokat (pl.: a személyes adatok különleges kategóriáit) is átadnak az adatkezelő részére, azonban – figyelemmel arra, hogy a hatósági gyakorlat az adatvédelmi jog területén is az adatelvet tekinti irányadónak– az ilyen adatok vonatkozásában nehéz megszüntetni az adatkezelést (ld. önéletrajz részét képező, de a cél eléréséhez szükségtelen adatok törlése egy egységes szerkezetű dokumentumból).
Elsőként azt szükséges tisztázni, hogy adatvédelmi jogi szempontból az önéletrajzok két kategóriáját különböztethetjük meg, a konkrét pozícióra benyújtott önéletrajzokat és az ún. ,,berepülő” önéletrajzokat, melyek közötti legfontosabb különbség az adatkezelés jogalapja és a megőrzési idő.
Amikor a pályázó egy konkrét munkakörre jelentkezve küldi meg az önéletrajzát a potenciális munkáltatónak, három lehetséges jogalapot érdemes számításba venni a személyes adatok kezelésére. Sokszor alkalmazzák a GDPR 6. cikk (1) bekezdés b) pontja szerinti jogalap második fordulatát a gyakorlatban, hiszen az önéletrajzban megadott személyes adatok kezelésére valóban szükség lehet a munkaszerződés tényleges megkötésének elősegítése érdekében, ráadásul a szerződéskötést az érintett kezdeményezi azzal, hogy jelentkezik a meghirdetett pozícióra. A jogalap alkalmazhatóságának nem feltétele, hogy a munkaszerződés végül megkötésre kerüljön, tehát minden jelentkező vonatkozásában alkalmazható ez a jogalap függetlenül attól, hogy kiválasztásra kerülnek-e az adott munkakörre. Fontos azonban hangsúlyozni, hogy a kiválasztási folyamat ezen legkorábbi szakaszában még nagyon távoli a szerződéskötés lehetősége, sőt egy olyan álláshirdetés esetében, ahol nagy a jelentkezők száma, a pályázók többsége vonatkozásában a munkaszerződés megkötésének reális esélye nem áll fenn, mivel a munkáltató csupán egy személlyel kíván jogviszonyt létesíteni. Az előbbiekre tekintettel – véleményem szerint – az ilyen típusú önéletrajzok kapcsán a legnagyobb biztonsággal alkalmazható adatkezelési jogalap a GDPR 6. cikk (1) bekezdés a) pontja szerinti érintetti hozzájárulás. Ezen önéletrajzokkal összefüggő adatkezelések vonatkozásában ugyanis maradéktalanul teljesülnek a hozzájárulás fogalmi elemei (GDPR 4. cikk 11. pontja) és feltételei (GDPR 7. cikk.), így nem kérdőjelezhető meg – többek között – a hozzájárulás önkéntessége, a pályázó rendelkezik valódi választási lehetőséggel, valamint nem érheti hátrány (kár) a hozzájárulás megtagadása vagy annak visszavonása esetén, mivel az érintett adatkezelés megkezdésekor fennálló helyzetét nem befolyásolja negatívan, ha nem tud jelentkezni egy adott álláshirdetésre. Ezen jogalap alkalmazásának egy – kevesek által ismert – feltétele, hogy az érintettet még az adatkezelés megkezdését megelőzően tájékoztatni kell legalább az adatkezelő személyéről és az adatkezelés céljáról, ennek hiányában ugyanis nem tud megalapozott döntést hozni a személyes adatai kezeléséről (GDPR (42) preambulumbekezdés). A gyakorlatban tehát célszerű a – fenti két tartalmi elemet is magában foglaló – GDPR 13. cikke szerinti tájékoztatást már az adatkezelés megkezdését megelőzően az érintettek számára elérhetővé tenni, függetlenül attól, hogy ezt a fajta tájékoztatást egyébként elég lenne az adatkezelés megkezdésekor hozzáférhetővé tenni (GDPR 13. cikk (1) bekezdés).
Érdekes kivétel a fentiek alól a GDPR 6. cikk (1) bekezdés e) pontja szerinti jogalap alkalmazhatósága ezen a területen, ami a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) jogalappal kapcsolatos tág értelmezéséből fakad. Az értelmezés lényege, hogy egy közhatalmi jogosítvánnyal felruházott vagy egyéb közfeladatot ellátó adatkezelő minden egyes közjogi és magánjogi jogviszonyának kizárólag közfeladatai ellátásával összefüggésben lehet alanya. Ebből pedig az következik, hogy ezen adatkezelők minden tevékenysége, így az álláspályázat kiírása és az azzal kapcsolatos adatkezelés is – jóllehet csak közvetetten, de – visszavezethető a jogszabály által meghatározott közfeladatukra, közhatalmi tevékenységükre.
A gyakorlatban többször találkozunk azzal az esettel, amikor valaki nem egy konkrét álláshirdetésre jelentkezik, hanem egy neki szimpatikus (potenciális) munkáltató részére megküldi az önéletrajzát abban bízva, hogy a jövőben meghirdetésre kerül egy számára releváns pozíció (,,berepülő önéletrajz”). Ilyenkor igaz, kizárólag az érintett kezdeményezi a személyes adatai adatkezelő felé való továbbítását, de attól a pillanattól kezdve, hogy az adatkezelő úgy határoz, befogadja az ilyen típusú önéletrajzokat is, maradéktalanul meg kell felelnie az adatvédelmi jogi előírásoknak. A fent ismertetett lehetséges jogalapok mellett az ilyen önéletrajzoknál előtérbe kerül a GDPR 6. cikk (1) bekezdés f) pontja szerinti adatkezelői jogos érdek (ide nem értve a közhatalmi szervek által feladataik ellátása során végzett adatkezeléseket –GDPR 6. cikk (1) bekezdés utolsó szakasza), mivel ezek az önéletrajzok jellemzően az adatkezelő által épített adatbázisok részét képezik.
Napjainkban a legtöbb munkáltatónál bevett gyakorlat, hogy a hozzá – bármilyen módon – beérkező önéletrajzokból önálló adatbázist képez. Fontos, hogy ilyenkor az adatkezelő nem egy meghirdetett pozícióval összefüggésben kezeli a személyes adatokat, hanem abból a célból, hogy a megfelelő személyeket kiválassza a valamely releváns munkakörre. A gyakorlatban tehát az adatbázisba azok szerepelnek – a ,,berepülő” önéletrajzok érintettjei mellett – akik korábban egy konkrét munkakör kapcsán elutasításra kerültek, azonban az adatkezelő megítélése szerint alkalmasak lehetnek egy másik – később – meghirdetett pozícióra. Az adatbázisépítés vonatkozásában a legmegfelelőbb jogalap az adatkezelő ahhoz fűződő jogos érdeke (GDPR 6. cikk (1) bekezdés f) pont) lehet, hogy a jelöltekről naprakész nyilvántartással rendelkezzen.
Az önéletrajzokkal kapcsolatos adatkezelés másik legfontosabb kérdése, hogy milyen hosszú ideig tárolhatók az ezen dokumentumokban szereplő személyes adatok. Kiindulópontként a GDPR célhoz kötöttség és korlátozott tárolhatóság alapelveit kell alaposan megvizsgálnunk, mely elvek alapján a személyes adatokat főszabály szerint az adatkezelés céljának eléréséig lehet kezelni, így a cél megvalósulását követően az adatkezelőnek gondoskodnia kell a személyes adatok törléséről vagy azok anonimizálásáról (érintett azonosíthatóságának a végleges megszüntetéséről). Ha tehát az adatkezelés célja a meghirdetett munkakör betöltése és ez a cél elérésre kerül azáltal, hogy az adatkezelő munkaszerződést köt az általa legalkalmasabbnak ítélt pályázóval, akkor ennek eredményeként az adatkezelő köteles az adott pozícióra benyújtott összes önéletrajzot törölni, megsemmisíteni vagy az azokban szereplő adatokat anonimizálni (ha ez technikailag lehetséges). A gyakorlatban viszont előfordulhat, hogy az adatkezelő által kiválasztott pályázóval még a próbaidő alatt megszűnik a munkajogviszony, így az adatkezelő rövid idő múlva kezdheti előröl a teljes kiválasztási folyamatot. Ez könnyen megelőzhető azonban, ha az adatkezelő jól választja meg az adatkezelés célját és az ahhoz igazodó megőrzési időt, ilyen megoldás lehet például, ha az adatkezelő a meghirdetett munkakörre elküldött önéletrajzok kezelésének a céljaként nem a pozíció betöltését, hanem a munkakörre kiválasztott jelölt véglegesítését jelöli meg. Ezáltal, ha a próbaidő alatt valamilyen okból megszűnne az újonnan kiválasztott munkavállaló jogviszonya, a munkáltató akkor is jogszerűen válogathat a korábbi jelöltek önéletrajzaiból mindaddig amíg az adott pozícióban nem kerül valaki véglegesítésre (feltéve, ha valamelyik pályázó nem vonta vissza azóta az adatkezeléshez adott hozzájárulását). Természetesen az adatkezelő által épített adatbázis részét képező önéletrajzok vonatkozásában eltérő (önálló) adatkezelési célt, illetve megőrzési időt szükséges meghatározni, azonban a gyakorlat azt mutatja, hogy fél (legfeljebb egy) év az az időtartam, amíg releváns lehet a jelentkezők szempontjából egy nyitott pozíció.
Összességében tehát megállapítható, hogy az önéletrajzokkal kapcsolatos adatkezelések vonatkozásában célszerű az adatkezelési jogalapok egy kombinációját alkalmazni, ezáltal az adatkezelők üzleti szempontjait is szem előtt tartó, de az adatvédelmi előírásoknak is megfelelő gyakorlat alakítható ki a mindennapokban.
