Jak kontrolować dane od pierwszej aplikacji do zakończenia rekrutacji
Zanim wyślesz dokument, ustal kto zbiera dane, po co ich potrzebuje i czy kontroluje wskazany kanał. Poznaj też sygnały oszustwa i kolejność działań po incydencie.
CV łączy dane kontaktowe, historię zatrudnienia i informacje pozwalające odtworzyć codzienne życie. Dlatego pytanie „czy ta oferta jest prawdziwa?” nie powinno pojawiać się dopiero przy prośbie o przelew. Przed każdym etapem ustal odbiorcę, cel, podstawę żądania, potrzebny zakres i kanał. Zakres uzasadniony przy podpisywaniu umowy może być całkowicie zbędny przy pierwszej wiadomości.
Poniższa procedura ma charakter informacyjny. Odnosi się przede wszystkim do rekrutacji osoby ubiegającej się o zatrudnienie w Polsce. Inna forma współpracy, szczególny zawód albo obowiązek wynikający z odrębnej ustawy mogą zmienić podstawę i zakres danych.
Ustal administratora, cel i etap procesu
W ogłoszeniu lub informacji o prywatności znajdź podmiot, który decyduje o celach i sposobach przetwarzania danych, jego dane kontaktowe, cel rekrutacji, podstawę, odbiorców oraz okres przechowywania albo kryteria jego ustalania. Pośrednik i potencjalny pracodawca mogą pełnić różne role. Nie zakładaj ich na podstawie logo; przeczytaj informację właściwą dla konkretnego formularza.
Oddziel bieżący nabór od przyszłych rekrutacji. Dodatkowa zgoda nie powinna powstawać przez automatyczne zaznaczenie pola. Zapisz jej treść i podmiot, jeśli świadomie ją wybierasz. Prawo do usunięcia danych nie działa identycznie w każdej sytuacji i może podlegać wyjątkom, dlatego pytanie o dalsze przechowywanie kieruj do administratora wskazanego w informacji o prywatności.
Zacznij od zakresu wskazanego w Kodeksie pracy
W typowej rekrutacji do zatrudnienia pracodawca żąda od osoby ubiegającej się o pracę imienia i nazwiska, daty urodzenia oraz danych kontaktowych wskazanych przez tę osobę. Informacji o wykształceniu, kwalifikacjach zawodowych i przebiegu dotychczasowego zatrudnienia żąda wtedy, gdy są niezbędne do wykonywania pracy określonego rodzaju lub na danym stanowisku. Przepis przewiduje też sytuacje, w których inne dane są potrzebne do wykonania obowiązku lub skorzystania z uprawnienia wynikającego z prawa.
Nie oznacza to, że kandydat ma w każdej aplikacji przesłać cały katalog. Zasada minimalizacji wymaga danych adekwatnych, stosownych i ograniczonych do tego, co niezbędne dla celu. Zdjęcie, dokładny adres zamieszkania, numer PESEL, skan dowodu, dane rachunku i informacje o rodzinie nie stają się automatycznie potrzebne tylko dlatego, że mieszczą się w formularzu lub tradycyjnym szablonie CV. Nietypowe żądanie sprawdź wraz z podstawą i etapem, zamiast odpowiadać bezrefleksyjnie albo przyjmować, że każda taka prośba jest bezprawna.
Dane dobrowolnie podane nie są skrótem do dowolnego zbierania
Kodeks pracy reguluje przetwarzanie dodatkowych danych przekazanych z inicjatywy osoby kandydującej i wymaga szczególnej ostrożności przy szczególnych kategoriach danych. Informacje o wyrokach i naruszeniach prawa podlegają odrębnym ograniczeniom RODO. Nie dodawaj wrażliwych informacji po to, aby „wyjaśnić siebie”, jeśli nie rozumiesz celu i konsekwencji. Brak zgody na przetwarzanie dodatkowych danych lub jej wycofanie nie powinny same stanowić podstawy niekorzystnego traktowania w zakresie opisanym w Kodeksie pracy.
Potwierdź odbiorcę niezależnym kanałem
Sprawdź nazwę i podstawowe dane podmiotu w CEIDG albo KRS, jeśli dotyczą jego formy. Rejestr potwierdza dane wpisu, lecz nie dowodzi, że konkretna domena, profil lub wiadomość należy do tej organizacji. Oszust może skopiować prawdziwy NIP, nazwisko reprezentanta i znak graficzny.
Wpisz adres oficjalnej strony samodzielnie lub znajdź go niezależnym źródłem. Porównaj domenę znak po znaku, przejdź do zakładki kariery i skorzystaj z opublikowanego tam kontaktu. Zwróć uwagę na zastąpioną literę, dodatkowy człon, prywatną skrzynkę lub przekierowanie do komunikatora. Certyfikat połączenia chroni transmisję z daną stroną, ale nie potwierdza uczciwości jej właściciela.
Ogranicz zawartość pliku i ślady techniczne
Wyślij wersję CV przygotowaną dla tego procesu, a nie prywatny katalog źródłowy. Sprawdź właściwości dokumentu, komentarze, śledzenie zmian, ukryte arkusze, nazwy warstw i historię współdzielonego pliku. Usuń informacje, których odbiorca nie potrzebuje. Nazwa pliku nie powinna zawierać numeru PESEL, daty urodzenia ani danych innych rekrutacji.
Portfolio skontroluj także pod kątem osób trzecich. Zrzut ekranu może ujawniać adres e-mail, nazwę klienta, wewnętrzny identyfikator albo dane dostępowe. Anonimizacja wymaga oceny całego kontekstu, nie tylko zamazania jednego pola. Jeśli udostępniasz link z ograniczeniem, sprawdź listę osób, możliwość pobrania, termin dostępu i to, czy odbiorca nie zobaczy innych plików w tym samym katalogu.
Zatrzymaj proces przy prośbie niepasującej do etapu
Szczególnej kontroli wymaga żądanie opłaty za udział, zakupu sprzętu z późniejszą refundacją, przelewu „weryfikacyjnego”, kodu autoryzacyjnego, danych logowania, pełnego dostępu do pulpitu albo instalacji nieznanego programu. Podejrzane jest również nagłe przeniesienie rozmowy do prywatnego komunikatora połączone z presją czasu i obietnicą zatrudnienia bez sprawdzenia kompetencji. Żaden pojedynczy znak nie rozstrzyga sprawy, ale nietypowa prośba uzasadnia przerwę.
Nie odpowiadaj przez kontakt dostarczony w podejrzanej wiadomości. Potwierdź proces kanałem znalezionym niezależnie. Nie otwieraj ponownie załącznika tylko po to, aby zebrać więcej szczegółów. Jeżeli prośba ma uzasadnienie prawne lub organizacyjne, prawdziwy podmiot powinien umieć wyjaśnić cel, podstawę, odbiorcę i bezpieczny sposób przekazania.
Po incydencie działaj według rodzaju ujawnienia
Najpierw przerwij kontakt i zapisz bezpiecznie adres nadawcy, treść, czas oraz inne informacje potrzebne do zgłoszenia. Podejrzaną stronę, wiadomość lub plik można zgłosić przez oficjalny formularz CERT Polska. Jeżeli podano hasło, zmień je z zaufanego urządzenia wszędzie tam, gdzie było powtórzone, wyloguj inne sesje i włącz dodatkowe uwierzytelnienie. Gdy ujawniono dane płatnicze albo wykonano operację, skontaktuj się niezwłocznie z bankiem przez jego oficjalny kanał.
Jeśli przekazano numer PESEL lub dokument tożsamości, sprawdź aktualne działania ochronne w serwisie gov.pl, w tym oficjalną usługę zastrzegania numeru PESEL, oraz zgłoś sprawę właściwym instytucjom zależnie od zdarzenia. Gdy dane trafiły do potwierdzonego administratora, korzystaj z jego informacji o prywatności i kontaktu do spraw praw osoby, której dane dotyczą. Nie wysyłaj kolejnej paczki danych jako „potwierdzenia usunięcia”.
Zostaw ślad własnej decyzji
W dzienniku aplikacji zapisz podmiot, źródło ogłoszenia, zweryfikowany kanał, nazwę wysłanego pliku, zakres danych, treść dodatkowej zgody i datę. Nie zapisuj haseł ani kodów. Po zakończeniu procesu wróć do informacji o okresie przechowywania i sprawdź, czy zgoda na przyszłe nabory nadal odpowiada Twojej decyzji.
Przed kolejną wysyłką wykonaj pełną kontrolę na stronie Pakiet aplikacyjny i próba rozmowy. Jeżeli proces zaczął się od niejasnego ogłoszenia, wróć do poradnika Jak czytać ogłoszenie o pracy.