GDPR και Βιογραφικά Σημειώματα στην Κύπρο: Ο Πλήρης Οδηγός για Εργοδότες

For Employers in Cyprus • By Alpha.jobs •

Κάθε βιογραφικό περιέχει προσωπικά δεδομένα και συχνά συνοδεύεται από email, σημειώσεις συνέντευξης, βαθμολογίες ή συστάσεις. Ο εργοδότης πρέπει να γνωρίζει γιατί χρησιμοποιεί κάθε πληροφορία, ποιος έχει πρόσβαση, πότε θα διαγραφεί και πώς θα απαντήσει στα δικαιώματα του υποψηφίου.

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων, γνωστός ως GDPR ή ΓΚΠΔ, απαιτεί νόμιμη, δίκαιη και διαφανή επεξεργασία, περιορισμό του σκοπού, ελαχιστοποίηση, ακρίβεια, ασφαλή φύλαξη και λογοδοσία. Συλλέγετε μόνο ό,τι χρειάζεται για σαφώς καθορισμένο σκοπό.

Σημαντική διευκρίνιση: Το κείμενο προσφέρει γενική ενημέρωση και πρακτική οργάνωση για εργοδότες στην Κύπρο. Δεν αποτελεί εξατομικευμένη νομική συμβουλή ούτε πιστοποιεί πλήρη συμμόρφωση. Για ειδικές κατηγορίες δεδομένων, ελέγχους ιστορικού, αυτοματοποιημένη αξιολόγηση ή αμφισβητούμενες περιόδους διατήρησης, ζητήστε συμβουλή από υπεύθυνο προστασίας δεδομένων ή κατάλληλο νομικό σύμβουλο.

Τι θεωρείται προσωπικό δεδομένο στη διαδικασία πρόσληψης

Προσωπικό δεδομένο είναι κάθε πληροφορία που συνδέεται με αναγνωρισμένο ή αναγνωρίσιμο άτομο. Στην πρόσληψη περιλαμβάνει, μεταξύ άλλων, στοιχεία επικοινωνίας, εκπαίδευση, εμπειρία, φωτογραφία, διαδικτυακά προφίλ, μισθολογικές προσδοκίες, απαντήσεις σε συνέντευξη και εσωτερικές αξιολογήσεις.

Ένα βιογραφικό μπορεί επίσης να αποκαλύπτει, άμεσα ή έμμεσα, δεδομένα που απολαμβάνουν αυξημένη προστασία, όπως πληροφορίες υγείας, θρησκευτικές ή πολιτικές πεποιθήσεις ή συμμετοχή σε συνδικαλιστική οργάνωση. Η απλή ύπαρξη τέτοιας πληροφορίας στο έγγραφο δεν δίνει στον εργοδότη ελευθερία να τη χρησιμοποιήσει. Για ειδικές κατηγορίες απαιτείται, πέρα από τη νομική βάση του άρθρου 6, κατάλληλη προϋπόθεση του άρθρου 9. Τα δεδομένα ποινικών καταδικών και αδικημάτων υπόκεινται στους ιδιαίτερους περιορισμούς του άρθρου 10.

Ξεκινήστε από τον σκοπό, όχι από τη συγκατάθεση

Πριν συλλέξετε ή ανοίξετε ένα βιογραφικό, περιγράψτε με απλά λόγια τον σκοπό. Για παράδειγμα: «αξιολόγηση υποψηφίων για τη συγκεκριμένη θέση», «επικοινωνία για τα στάδια της διαδικασίας» ή «διατήρηση περιορισμένων αρχείων για την υπεράσπιση νομικών αξιώσεων». Κάθε διαφορετικός σκοπός χρειάζεται τη δική του αξιολόγηση και την κατάλληλη νομική βάση.

Η συγκατάθεση δεν είναι η μοναδική ούτε πάντοτε η καταλληλότερη βάση. Όταν το άτομο υποβάλλει αίτηση για συγκεκριμένη θέση, η επεξεργασία που είναι αντικειμενικά αναγκαία για να ληφθούν, κατόπιν αιτήματός του, μέτρα πριν από πιθανή σύμβαση μπορεί να στηριχθεί στο άρθρο 6 παράγραφος 1 στοιχείο β. Αυτό δεν καλύπτει άσχετη συλλογή, διαφήμιση, απεριόριστη φύλαξη ή κάθε μελλοντική χρήση.

Σε άλλες περιπτώσεις μπορεί να εξεταστεί έννομη υποχρέωση ή έννομο συμφέρον. Το έννομο συμφέρον δεν είναι γενική άδεια. Ο εργοδότης πρέπει να προσδιορίσει το πραγματικό συμφέρον, να αποδείξει ότι η επεξεργασία είναι αναγκαία και να σταθμίσει τα δικαιώματα, τις εύλογες προσδοκίες και τον πιθανό αντίκτυπο στον υποψήφιο. Η απόφαση και τα μέτρα περιορισμού κινδύνου πρέπει να τεκμηριώνονται.

Τι πρέπει να γνωρίζει ο υποψήφιος

Η ενημέρωση προστασίας δεδομένων πρέπει να είναι εύκολα διαθέσιμη όταν συλλέγεται η αίτηση. Χρειάζεται να εξηγεί, με σαφή γλώσσα, ποιος είναι ο υπεύθυνος επεξεργασίας, τους σκοπούς και τις νομικές βάσεις, τις κατηγορίες δεδομένων, τους αποδέκτες, τυχόν διαβιβάσεις εκτός Ευρωπαϊκού Οικονομικού Χώρου, την περίοδο διατήρησης ή τα κριτήριά της, τα δικαιώματα του ατόμου, το δικαίωμα καταγγελίας και τα στοιχεία επικοινωνίας όπου απαιτείται.

Μια γενική φράση όπως «με την αποστολή του βιογραφικού αποδέχεστε κάθε επεξεργασία» δεν αρκεί. Η διαφάνεια δεν μετατρέπει από μόνη της μια μη αναγκαία χρήση σε νόμιμη. Η ανακοίνωση πρέπει να ανταποκρίνεται στην πραγματική διαδικασία: ποια εργαλεία χρησιμοποιούνται, ποιοι άνθρωποι βλέπουν τις αιτήσεις και αν εξωτερικός πάροχος επεξεργάζεται δεδομένα για λογαριασμό του εργοδότη.

Ελαχιστοποίηση: ζητήστε μόνο όσα χρειάζονται

Η αίτηση πρέπει να περιορίζεται σε πληροφορίες σχετικές με τη θέση. Επανεξετάστε πεδία που ζητούν πλήρη ημερομηνία γέννησης, οικογενειακή κατάσταση, φωτογραφία, αριθμό ταυτότητας, ιατρικό ιστορικό ή άλλα στοιχεία χωρίς σαφή και νόμιμη ανάγκη στο συγκεκριμένο στάδιο. Διαφορετικές πληροφορίες μπορεί να χρειαστούν μετά την επιλογή, αλλά αυτό δεν σημαίνει ότι πρέπει να συλλέγονται από όλους τους αιτητές στην αρχή.

Οι σημειώσεις των συνεντευκτών πρέπει να περιγράφουν τεκμηριωμένα, εργασιακά κριτήρια. Αποφύγετε εικασίες για προσωπικότητα, υγεία, οικογενειακές υποχρεώσεις, εθνικότητα ή άλλα άσχετα χαρακτηριστικά. Χρησιμοποιήστε κοινό πλαίσιο ερωτήσεων και scorecard για όλους τους υποψηφίους της ίδιας θέσης, ώστε η αξιολόγηση να είναι συνεπής και ευκολότερα εξηγήσιμη.

Αναζήτηση υποψηφίων στο LinkedIn και σε δημόσιες πηγές

Το γεγονός ότι ένα επαγγελματικό προφίλ είναι δημόσια ορατό δεν το βγάζει εκτός GDPR. Η επίσημη ευρωπαϊκή καθοδήγηση για την επεξεργασία δεδομένων στην εργασία τονίζει ότι ο εργοδότης δεν πρέπει να θεωρεί πως μπορεί να χρησιμοποιεί ελεύθερα κάθε πληροφορία που είναι διαθέσιμη στα κοινωνικά δίκτυα. Χρειάζεται νομική βάση, σαφής σκοπός, αναγκαιότητα και περιορισμός στα επαγγελματικά στοιχεία που είναι πραγματικά σχετικά με τον ρόλο.

Για στοχευμένη προσέγγιση μέσω επαγγελματικού δικτύου μπορεί να εξεταστεί έννομο συμφέρον, μετά από τεκμηριωμένη στάθμιση. Λάβετε υπόψη αν το άτομο θα ανέμενε εύλογα επικοινωνία για παρόμοια θέση, περιορίστε την καταγραφή στα απολύτως απαραίτητα και μην επεκτείνετε τον έλεγχο σε ιδιωτικά ή άσχετα προφίλ. Μην ζητάτε κωδικούς, σύνδεση ως «φίλος» ή πρόσβαση σε περιεχόμενο που ο χρήστης δεν έχει διαθέσει για επαγγελματικό σκοπό.

Όταν τα δεδομένα δεν προέρχονται από το ίδιο το άτομο, εφαρμόζεται η ενημέρωση του άρθρου 14. Κατά κανόνα, ο υποψήφιος πρέπει να ενημερωθεί κατά την πρώτη επικοινωνία, πριν από την πρώτη γνωστοποίηση σε άλλον αποδέκτη ή, το αργότερο, εντός ενός μήνα από τη συλλογή, ανάλογα με το ποιο γεγονός συμβαίνει πρώτο. Η ενημέρωση πρέπει να αναφέρει και την πηγή των δεδομένων, καθώς και αν αυτή ήταν δημόσια προσβάσιμη. Οι νόμιμες εξαιρέσεις του άρθρου 14 αξιολογούνται στενά και δεν πρέπει να θεωρούνται δεδομένες.

Διατήρηση για μελλοντικές θέσεις

Η αξιολόγηση για μια τρέχουσα θέση και η ένταξη σε προαιρετική δεξαμενή μελλοντικών ευκαιριών είναι διαφορετικοί σκοποί. Μην υποθέτετε ότι η αρχική αίτηση καλύπτει αυτόματα κάθε μεταγενέστερη θέση. Εξηγήστε τι ακριβώς προτείνετε, για ποιες κατηγορίες ρόλων, ποιος θα χρησιμοποιεί τα στοιχεία και πώς μπορεί το άτομο να αλλάξει γνώμη.

Μια πρακτική, διαφανής επιλογή είναι ένα ξεχωριστό και μη προεπιλεγμένο opt-in. Αν βασιστείτε σε συγκατάθεση, αυτή πρέπει να είναι ελεύθερη, συγκεκριμένη, ενημερωμένη, σαφής και αποδείξιμη. Η άρνηση δεν πρέπει να επηρεάζει την τρέχουσα αίτηση, ενώ η ανάκληση πρέπει να είναι εξίσου εύκολη με τη χορήγηση. Για συνηθισμένα δεδομένα βιογραφικού ο GDPR ζητά έγκυρη συγκατάθεση, όχι κατ' ανάγκη τον ειδικό νομικό όρο «ρητή συγκατάθεση» που αφορά ορισμένες άλλες περιπτώσεις.

Η συγκατάθεση δεν είναι πάντοτε η μόνη πιθανή βάση για μελλοντική χρήση, αλλά στο πλαίσιο εργασίας υπάρχει συχνά ανισορροπία ισχύος. Γι' αυτό κάθε άλλη βάση χρειάζεται ιδιαίτερα προσεκτική αξιολόγηση. Μην κρατάτε βιογραφικά «για κάθε ενδεχόμενο» και μην αλλάζετε εκ των υστέρων τη βάση μόνο επειδή ανακλήθηκε η συγκατάθεση.

Πόσο καιρό μπορούν να παραμένουν τα βιογραφικά

Ο GDPR δεν ορίζει μία ενιαία περίοδο διατήρησης για όλα τα βιογραφικά. Ο κανόνας είναι ότι τα δεδομένα διατηρούνται μόνο όσο χρειάζονται για τον δηλωμένο σκοπό. Ο εργοδότης πρέπει να ορίσει τεκμηριωμένο πρόγραμμα διατήρησης, να γνωστοποιεί την περίοδο ή τα αντικειμενικά κριτήρια υπολογισμού της και να εφαρμόζει πραγματική διαγραφή ή επανεξέταση.

Χωρίστε τα αρχεία ανά σκοπό. Η ενεργή διαδικασία έχει διαφορετική ανάγκη από μια προαιρετική δεξαμενή μελλοντικών θέσεων ή από ένα αυστηρά περιορισμένο αρχείο που είναι αναγκαίο για νομική υποχρέωση ή για τη θεμελίωση, άσκηση ή υπεράσπιση αξίωσης. Η περίοδος για το τελευταίο πρέπει να συνδέεται με πραγματική, επαληθευμένη νομική ανάγκη και όχι με αυθαίρετη γενική πρακτική.

  • Ορίστε ιδιοκτήτη για κάθε κατηγορία αρχείων και ημερομηνία επανεξέτασης.
  • Διαγράψτε διπλά αντίγραφα από email, τοπικούς φακέλους και συσκευές.
  • Περιορίστε όσα κρατούνται για πιθανές αξιώσεις και απαγορεύστε τη χρήση τους για νέα αξιολόγηση.
  • Επανεπιβεβαιώνετε αν μια προαιρετική δεξαμενή παραμένει ακριβής και χρήσιμη.
  • Μην παρουσιάζετε μια εσωτερική διάρκεια ως υποχρεωτικό χρονικό όριο του GDPR.

Δικαίωμα διαγραφής: σημαντικό αλλά όχι απόλυτο

Ο υποψήφιος μπορεί να ζητήσει διαγραφή, μεταξύ άλλων όταν τα δεδομένα δεν είναι πλέον αναγκαία, όταν η επεξεργασία ήταν παράνομη ή όταν ανακαλεί συγκατάθεση και δεν υπάρχει άλλη νόμιμη βάση. Όταν συντρέχει λόγος του άρθρου 17, η διαγραφή πρέπει να γίνεται χωρίς αδικαιολόγητη καθυστέρηση.

Δεν είναι σωστό, όμως, να υπόσχεστε ότι κάθε αίτημα οδηγεί πάντοτε σε άμεση διαγραφή όλων των αρχείων. Το άρθρο 17 προβλέπει εξαιρέσεις, όπως όταν η διατήρηση είναι αναγκαία για συμμόρφωση με νομική υποχρέωση ή για τη θεμελίωση, άσκηση ή υπεράσπιση νομικών αξιώσεων. Η εξαίρεση καλύπτει μόνο ό,τι είναι πραγματικά αναγκαίο. Διαγράψτε τα υπόλοιπα, περιορίστε τη χρήση και εξηγήστε με σαφήνεια την απόφαση.

Τα αιτήματα δικαιωμάτων απαντώνται χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός ενός μήνα από την παραλαβή. Όταν η πολυπλοκότητα ή ο αριθμός των αιτημάτων το απαιτεί, η προθεσμία μπορεί να παραταθεί έως δύο ακόμη μήνες, εφόσον το άτομο ενημερωθεί μέσα στον πρώτο μήνα για την παράταση και τους λόγους της. Αν δεν ικανοποιήσετε το αίτημα, γνωστοποιήστε τους λόγους και τα διαθέσιμα μέσα καταγγελίας και δικαστικής προσφυγής. Ζητήστε πρόσθετα στοιχεία ταυτοποίησης μόνο όταν υπάρχουν εύλογες αμφιβολίες και μόνο στον αναγκαίο βαθμό.

Ασφάλεια ανάλογη με τον κίνδυνο

Ο GDPR δεν επιβάλλει ένα ίδιο τεχνικό μέτρο σε κάθε εργοδότη. Απαιτεί κατάλληλα τεχνικά και οργανωτικά μέτρα με βάση τη φύση των δεδομένων, το πλαίσιο, την κλίμακα και την πιθανότητα και σοβαρότητα του κινδύνου. Η κρυπτογράφηση και η ψευδωνυμοποίηση αναφέρονται ως πιθανά μέτρα, όχι ως μοναδική λύση.

  • Δώστε πρόσβαση μόνο στην ομάδα που τη χρειάζεται και επανεξετάζετε τα δικαιώματα χρηστών.
  • Χρησιμοποιήστε ισχυρό έλεγχο ταυτότητας και ασφαλές, εγκεκριμένο σύστημα αντί για προσωπικά email ή ανεξέλεγκτους φακέλους.
  • Προστατεύστε τα δεδομένα κατά τη μεταφορά και αποθήκευση, όπου αυτό είναι κατάλληλο για τον κίνδυνο.
  • Διατηρήστε δυνατότητα ανάκτησης, καταγραφή συμβάντων και τακτικό έλεγχο της αποτελεσματικότητας των μέτρων.
  • Συμφωνήστε γραπτώς τις υποχρεώσεις κάθε παρόχου που επεξεργάζεται αιτήσεις για λογαριασμό σας.
  • Εκπαιδεύστε όσους χειρίζονται βιογραφικά να αναγνωρίζουν λάθος αποστολή, μη εξουσιοδοτημένη πρόσβαση και υπερβολική συλλογή.

Σε παραβίαση δεδομένων, η γνωστοποίηση στην εποπτική αρχή γίνεται χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 72 ωρών από τη στιγμή που ο υπεύθυνος επεξεργασίας έλαβε γνώση, εκτός αν η παραβίαση είναι απίθανο να δημιουργήσει κίνδυνο για τα δικαιώματα και τις ελευθερίες. Η ενημέρωση των επηρεαζόμενων ατόμων απαιτείται όταν υπάρχει υψηλός κίνδυνος, με τις εξαιρέσεις που προβλέπει ο Κανονισμός. Δεν ισχύει ο απόλυτος κανόνας ότι κάθε συμβάν κοινοποιείται σε όλους.

Ένα πρακτικό σχέδιο για κάθε νέα θέση

  1. Ορίστε τον σκοπό: γράψτε τι ακριβώς θα γίνει με τις αιτήσεις και ποια χρήση δεν επιτρέπεται.
  2. Επιλέξτε βάση: τεκμηριώστε την κατάλληλη βάση του άρθρου 6 και, όπου χρειάζεται, τις πρόσθετες προϋποθέσεις.
  3. Μειώστε τα πεδία: αφαιρέστε στοιχεία που δεν χρειάζονται στο συγκεκριμένο στάδιο.
  4. Ενημερώστε καθαρά: συνδέστε την αίτηση με επικαιροποιημένη και κατανοητή ανακοίνωση απορρήτου.
  5. Ορίστε πρόσβαση: αποφασίστε ποιοι αξιολογούν, ποιοι εγκρίνουν και ποιοι δεν πρέπει να βλέπουν τα δεδομένα.
  6. Καθορίστε κύκλο ζωής: προβλέψτε επανεξέταση, διαγραφή, χειρισμό μελλοντικών θέσεων και περιορισμένα αρχεία αξιώσεων.
  7. Ετοιμάστε δικαιώματα και συμβάντα: ορίστε κανάλι αιτημάτων, υπεύθυνο, χρονομέτρηση και διαδικασία παραβίασης.

Όταν έχετε ολοκληρώσει τον σχεδιασμό της θέσης, τα κριτήρια αξιολόγησης και την ενημέρωση των υποψηφίων, μπορείτε να δημοσιεύσετε την αγγελία εργασίας σας στο Alpha.jobs. Η δημοσίευση μιας αγγελίας δεν υποκαθιστά τις υποχρεώσεις του εργοδότη ως υπευθύνου επεξεργασίας.

Πρόστιμα και πραγματική συμμόρφωση

Τα διοικητικά πρόστιμα δεν είναι αυτόματη χρέωση για κάθε λάθος. Ο GDPR προβλέπει διαφορετικά ανώτατα επίπεδα ανάλογα με την παράβαση. Για ορισμένες υποχρεώσεις το ανώτατο όριο είναι έως 10 εκατομμύρια ευρώ ή 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της προηγούμενης οικονομικής χρήσης, ενώ για ορισμένες σοβαρότερες παραβάσεις είναι έως 20 εκατομμύρια ευρώ ή 4%, σε κάθε περίπτωση όποιο ποσό είναι υψηλότερο.

Η εποπτική αρχή εξετάζει τη φύση, τη βαρύτητα και τη διάρκεια, τον αριθμό των ατόμων, την πρόθεση ή αμέλεια, τα μέτρα περιορισμού της ζημιάς, τη συνεργασία και άλλους παράγοντες. Μπορεί επίσης να εκδώσει προειδοποίηση, επίπληξη, εντολή συμμόρφωσης ή περιορισμό της επεξεργασίας. Γι' αυτό η ουσιαστική συμμόρφωση σημαίνει τεκμηριωμένες αποφάσεις και εφαρμοσμένες διαδικασίες, όχι φόβο γύρω από ένα μέγιστο ποσό.

Επίσημες πηγές

Η καλύτερη απόδειξη υπεύθυνης πρόσληψης είναι μια διαδικασία που μπορεί να εξηγηθεί από την αρχή έως το τέλος. Κρατήστε τις πολιτικές ευθυγραμμισμένες με την πραγματική πρακτική και επανεξετάζετέ τες όταν αλλάζουν τα εργαλεία, οι πάροχοι ή οι σκοποί.