Co všechno při náboru sbíráte a proč je to citlivé
Rekruiting je z pohledu ochrany osobních údajů jedna z nejčastějších situací, kdy firma pracuje s velkým množstvím dat od lidí, kteří ještě nejsou jejími zaměstnanci. V praxi jde o jméno, kontakt, životopis, fotografie, údaje o vzdělání, pracovní historii, reference, výsledky testů, poznámky z pohovoru i metadata z ATS systému. Už samotný životopis může obsahovat údaje, které nejsou pro rozhodnutí o přijetí nutné – například rodinný stav, datum narození nebo adresu.
Podle GDPR platí princip minimalizace: sbírat jen to, co skutečně potřebujete. Pokud například hodnotíte kandidáta na pozici PPC specialisty, obvykle nepotřebujete rodné číslo, přesnou adresu ani informace o zdravotním stavu. Naopak oprávněně můžete chtít pracovní zkušenosti, dovednosti, certifikace, dostupnost nástupu nebo očekávanou mzdu, pokud to souvisí s výběrem vhodného kandidáta.
Praktické pravidlo je jednoduché: u každého pole v formuláři si odpovězte, zda by bez něj nebylo možné rozhodnout o přijetí. Pokud ano, pole pryč. Tím snižujete riziko, zjednodušujete zpracování a zároveň zlepšujete kandidátskou zkušenost.
Právní základ, souhlasy a co si pohlídat v praxi
U náboru se často chybuje v tom, že firmy automaticky chtějí souhlas se zpracováním osobních údajů. To ale není vždy správný právní základ. Většina údajů se zpracovává proto, že je to nezbytné pro provedení opatření před vznikem pracovněprávního vztahu, případně pro oprávněný zájem zaměstnavatele. Souhlas má smysl například pro uchování kandidáta v talent poolu na další pozice nebo pro zasílání budoucích nabídek.
Pokud kandidát posílá životopis přes webový formulář, měl by přesně vědět:
- kdo je správcem údajů,
- jaké údaje zpracováváte,
- za jakým účelem,
- jak dlouho je uchováváte,
- komu je předáváte,
- jaká má práva a jak je uplatní.
Nejčastější praxe je mít samostatný text informační povinnosti přímo u formuláře a samostatný checkbox pro dobrovolný souhlas s uchováním údajů pro budoucí výběrová řízení. Tento souhlas nesmí být předem zaškrtnutý a nesmí být podmínkou účasti v běžném náboru. Pokud kandidát souhlas odvolá, musíte jeho údaje z talent poolu vymazat nebo anonymizovat.
Užitečný detail: pokud využíváte externí HR platformu, ATS nebo náborovou agenturu, musíte mít s poskytovatelem uzavřenou smlouvu o zpracování osobních údajů. Bez ní riskujete, že odpovědnost za únik dat nebude jasně ošetřená.
Jak nastavit bezpečný náborový proces krok za krokem
Bezpečnost v náboru nezačíná až u IT oddělení, ale u procesu. Čím méně lidí a systémů s daty pracuje, tím menší je riziko chyby. Ideální je nastavit jednoduchý tok: kandidát odešle formulář, data se uloží do ATS nebo zabezpečené schránky, přístup mají jen vybrané osoby a po ukončení procesu se data automaticky smažou nebo archivují podle interních pravidel.
V praxi funguje tento model:
- Webový formulář s minimem polí a jasným informováním.
- ATS systém s role-based access, aby každý viděl jen to, co potřebuje.
- Šifrované úložiště pro přílohy a testy.
- Automatická retence – například smazání po 6 měsících od ukončení výběru, pokud není jiný právní důvod.
- Logování přístupů, aby bylo dohledatelné, kdo s daty pracoval.
U menších firem často vidím nebezpečný scénář: životopisy chodí na obecný e-mail, přeposílají se mezi manažery a končí v osobních schránkách. To je špatně nejen z pohledu GDPR, ale i z hlediska bezpečnosti a organizace práce. Lepší je nasadit HR adresu s omezeným přístupem, případně formulář napojený na ATS jako Recruitee, Teamtailor, Greenhouse nebo Personio. U WordPress webu se dá náborový formulář napojit přes bezpečný plugin nebo webhook do interního systému.
Důležité je také omezení přístupů. Pokud na pohovoru sedí tři lidé, nemusí všichni vidět kompletní životopis kandidáta. Pro některé role stačí anonymizovaná verze s odstraněným věkem, fotografií nebo adresou. Tím omezíte i riziko nevědomé diskriminace.
Co nesmíte chtít a kde bývají nejčastější chyby
V náboru se často objevují otázky a požadavky, které jsou zbytečné nebo přímo problematické. Typický příklad je dotaz na rodinný stav, počet dětí, plánování rodiny, náboženské vyznání nebo zdravotní stav. Tyto informace zpravidla nesouvisí s výkonem práce a mohou vést k diskriminaci. Pokud je potřebujete z důvodu zákonných omezení u specifické profese, musíte mít velmi přesné odůvodnění.
Další častý problém jsou reference. Ověřování referencí je legitimní, ale kandidát by měl vědět, že budete kontaktovat předchozího zaměstnavatele nebo doporučující osobu. Ideálně si vyžádejte konkrétní souhlas a rozsah ověřovaných informací. Neptejte se na nic, co nesouvisí s pracovním výkonem – stačí ověřit délku spolupráce, pozici a obecné hodnocení spolupráce.
Rizikové jsou také psychologické testy, video pohovory a AI nástroje pro předvýběr. Pokud používáte automatizované vyhodnocování kandidátů, musíte být schopni vysvětlit, podle čeho systém rozhoduje. Z pohledu GDPR i etiky je problém, pokud algoritmus bez kontroly vyřazuje kandidáty na základě netransparentních kritérií. Doporučuji vždy mít lidský dohled a nepouštět plně automatizované rozhodování do finálního výběru.
U video pohovorů si hlídejte, zda se nahrávají, kde se ukládají a kdo je může přehrát. Pokud používáte nástroje jako Zoom, Google Meet nebo Microsoft Teams, nastavte přístupová práva, vypněte automatické ukládání do veřejných složek a kandidáta o záznamu informujte předem.
Technické a organizační minimum: web, formuláře, dokumenty, retence
Velká část ochrany dat při náboru je technická disciplína. Pokud máte kariérní stránku nebo formulář na webu, používejte HTTPS, pravidelně aktualizované pluginy a zabezpečené odesílání dat. Formuláře by neměly ukládat osobní údaje do e-mailu v otevřené podobě, pokud to není nutné. Lepší je ukládání do databáze s omezeným přístupem a šifrováním záloh.
U dokumentů platí, že životopisy, poznámky z pohovorů i hodnoticí tabulky by měly mít jasně stanovenou dobu uchování. V praxi se často používá 3 až 6 měsíců po skončení výběrového řízení, u talent poolu jen na základě souhlasu a s pravidelnou kontrolou platnosti. Pokud kandidát neuspěl a nemáte jiný důvod pro uchování, data smažte. Neodkládejte to „na později“, protože staré databáze bývají největší riziko při úniku.
Velmi užitečné je mít interní checklist pro nábor:
- je formulář minimalizovaný,
- je připojené správné informační oznámení,
- je nastavená retence dat,
- mají přístup jen oprávněné osoby,
- jsou externí dodavatelé smluvně ošetření,
- je připravený postup pro žádost o výmaz nebo přístup k údajům.
Pokud nábor spravujete přes Google Workspace nebo Microsoft 365, nastavte dvoufaktorové ověření, sdílení jen na úrovni skupin a pravidelnou kontrolu přístupů. U menších týmů je překvapivě častým problémem to, že bývalý recruiter má stále přístup k archivům kandidátů. To je zbytečné riziko, které lze vyřešit během pár minut.
Jak reagovat na žádosti kandidátů a mít proces připravený i pro kontrolu
Kandidáti mají právo požádat o přístup k údajům, opravu nepřesností nebo výmaz, pokud pro uchování neexistuje důvod. V praxi to znamená, že musíte umět rychle dohledat, kde všude jsou jejich data uložená – v ATS, e-mailu, cloudových úložištích, poznámkách z pohovorů i zálohách. Bez přehledné evidence to nejde.
Vyplatí se mít jednoduchý interní proces:
- kdo žádost přijímá,
- kdo ji vyhodnocuje,
- do kdy musí být odpovězeno,
- kde se údaje dohledají,
- jak se provede výmaz nebo anonymizace.
Pro menší firmy stačí i dobře vedená tabulka se seznamem systémů, typů údajů a dobou uchování. Pro větší firmy je vhodné mít záznamy o zpracování podle čl. 30 GDPR a pravidelný audit náborového procesu. Pokud pracujete s citlivějšími daty nebo ve větším objemu, zvažte i DPIA – posouzení vlivu na ochranu osobních údajů, zejména při nasazení AI screeningů nebo rozsáhlého sledování kandidátů.
Nejlepší ochrana osobních údajů v náboru není složitý právní dokument, ale dobře navržený proces. Když si nastavíte minimum dat, jasné souhlasy, bezpečné úložiště a pravidelné mazání, výrazně snížíte riziko problémů a zároveň působíte profesionálně už od prvního kontaktu s kandidátem.
