Background check w rekrutacji może pomóc firmie ograniczyć ryzyko związane z fałszywymi kandydatami, przekłamanym CV lub rolami wymagającymi szczególnego zaufania. W Polsce nie oznacza to jednak pełnej swobody sprawdzania kandydatów. Pracodawca powinien zbierać wyłącznie te informacje, które są adekwatne do stanowiska, niezbędne do procesu rekrutacji i zgodne z przepisami prawa pracy oraz RODO.

Co do zasady firma może weryfikować dane kontaktowe, kwalifikacje, wykształcenie, doświadczenie zawodowe oraz przebieg dotychczasowego zatrudnienia, ale tylko wtedy, gdy ma to związek z rolą, na którą aplikuje kandydat. Nie każda zgoda kandydata legalizuje dodatkowy background check, a niektóre informacje, np. dotyczące niekaralności, mogą być wymagane tylko wtedy, gdy wynika to z konkretnych przepisów.

Dlatego legalny background check w rekrutacji nie powinien zaczynać się od pytania: „co możemy jeszcze sprawdzić?”, ale od pytania: „czy ta informacja jest naprawdę potrzebna do podjęcia decyzji o zatrudnieniu na tym konkretnym stanowisku?”.

Agenda artykułu:

1. Dlaczego background check w rekrutacji budzi dziś tyle emocji?

2. Jakie dane pracodawca może zebrać od kandydata?

3. Czy można poprosić kandydata o pokazanie dowodu?

4. UoP a B2B. Czy przy współpracy B2B można sprawdzać więcej?

5. Czy agencja rekrutacyjna może sprawdzać więcej niż pracodawca?

6. Czy można tworzyć czarne listy kandydatów?

7. Trzy zasady legalnego background checku

Dlaczego background check w rekrutacji budzi dziś tyle emocji?

Jeszcze kilka lat temu background check w Polsce kojarzył się głównie z dużymi korporacjami, sektorem finansowym albo stanowiskami wymagającymi szczególnego zaufania. Dziś temat wraca znacznie częściej, szczególnie w rekrutacji IT i procesach prowadzonych dla firm technologicznych.

Powody są dość oczywiste. Rynek pracy stał się bardziej zdalny, procesy rekrutacyjne częściej odbywają się online, a firmy coraz częściej mierzą się z fałszywymi kandydatami, nieścisłościami w CV, sztucznie generowanymi profilami i próbami podszywania się pod inne osoby. Z perspektywy organizacji potrzeba większej ostrożności jest więc zrozumiała.

Problem zaczyna się wtedy, gdy ta ostrożność zamienia się w zbyt szeroką weryfikację. Szczególnie w firmach międzynarodowych, które próbują przenieść do Polski globalne procedury background checku przygotowane z myślą o innych rynkach, np. Stanach Zjednoczonych, Wielkiej Brytanii czy Indiach. To, co w jednej jurysdykcji jest standardem, w Polsce może okazać się problematyczne z perspektywy Kodeksu pracy, RODO i ochrony prywatności kandydata.

W praktyce background check w rekrutacji staje się więc punktem styku trzech perspektyw: bezpieczeństwa firmy, praw kandydata i lokalnych przepisów. I właśnie dlatego wymaga dobrze zaprojektowanego procesu, a nie automatycznego kopiowania korporacyjnych procedur.

Jakie dane pracodawca może zebrać od kandydata?

Punktem wyjścia jest art. 22¹ Kodeksu pracy, który określa katalog danych, jakich pracodawca może żądać od osoby ubiegającej się o zatrudnienie. Chodzi m.in. o dane identyfikacyjne, kontaktowe, wykształcenie, kwalifikacje zawodowe oraz przebieg dotychczasowego zatrudnienia.

To jednak nie oznacza, że każda informacja o edukacji czy historii zawodowej kandydata jest automatycznie dozwolona. Kluczowa jest adekwatność. Pracodawca powinien pytać tylko o te elementy, które mają realny związek z konkretną rekrutacją.

Jeśli firma szuka osoby na stanowisko managerskie, może poprosić kandydata o potwierdzenie doświadczenia w zarządzaniu zespołem. Jeśli rekrutuje programistę Java, może zweryfikować doświadczenie w tej technologii, o ile jest ono istotne dla danej roli. Nie powinna jednak zbierać informacji o całej historii zawodowej kandydata, jeśli część tej historii nie ma żadnego związku z wymaganiami stanowiska.

To ważna różnica. Background check nie powinien być pretekstem do gromadzenia danych „na wszelki wypadek”. W rekrutacji zasada „lepiej mieć więcej informacji niż mniej” może prowadzić do naruszeń. Bezpieczniejsza jest zasada odwrotna: zbieramy tylko to, co potrafimy uzasadnić.

Zgoda kandydata nie legalizuje wszystkiego

Jednym z najczęstszych mitów dotyczących background checku jest przekonanie, że jeśli kandydat wyrazi zgodę, firma może sprawdzić praktycznie wszystko.

W praktyce zgoda nie działa jak „magiczna różdżka”. Nie zamienia automatycznie niedozwolonej praktyki w legalną. Szczególnie w relacji kandydat–pracodawca trzeba pamiętać, że kandydat znajduje się zwykle w słabszej pozycji. Zależy mu na pracy, więc może zgodzić się na wiele rzeczy nie dlatego, że naprawdę chce udostępnić dane, ale dlatego, że obawia się utraty szansy na zatrudnienie.

Dlatego nawet jeśli kandydat formalnie kliknie zgodę na background check, firma nadal musi odpowiedzieć sobie na kilka pytań:

  • Czy dana informacja jest potrzebna do tej rekrutacji?
  • Czy ma związek z konkretnym stanowiskiem?
  • Czy istnieje podstawa prawna do jej przetwarzania?
  • Czy zakres weryfikacji jest proporcjonalny?
  • Czy kandydat wie, co dokładnie będzie sprawdzane i w jakim celu?

Jeśli odpowiedź jest niejasna, sama zgoda nie rozwiązuje problemu. Szczególnie ostrożnie trzeba podchodzić do danych wrażliwych, informacji o karalności, prywatnych mediów społecznościowych, historii zadłużenia czy innych elementów życia prywatnego kandydata.

Kiedy można sprawdzić niekaralność kandydata?

Pytanie o KRK, czyli Krajowy Rejestr Karny, regularnie pojawia się w kontekście background checku. Wiele firm chciałoby mieć pewność, że kandydat nie był karany, szczególnie jeśli ma pracować z danymi, finansami, systemami lub klientami enterprise.

W Polsce nie można jednak żądać zaświadczenia o niekaralności od każdego kandydata tylko dlatego, że firma chce ograniczyć ryzyko. Taka możliwość musi wynikać z konkretnych przepisów albo charakteru stanowiska wskazanego w ustawach szczególnych.

Inaczej wygląda sytuacja w przypadku ról regulowanych, pracy z dziećmi, niektórych stanowisk w sektorze finansowym, jednostkach sektora publicznego czy obszarach wymagających szczególnego zaufania. Tam przepisy mogą wprost przewidywać wymóg niekaralności.

Ale jeśli firma rekrutuje np. copywritera, specjalistę marketingu czy standardową rolę technologiczną, samo poczucie, że „warto byłoby to sprawdzić”, nie wystarczy. Nawet jeśli kandydat zgodzi się dostarczyć zaświadczenie, pracodawca powinien najpierw ustalić, czy w ogóle ma prawo takiego dokumentu żądać.

Czy firma może sprawdzić referencje?

Referencje są jednym z najbardziej praktycznych narzędzi weryfikacji doświadczenia kandydata, ale również tutaj łatwo o błąd.

Bezpieczne podejście polega na tym, że to kandydat wskazuje osoby, z którymi potencjalny pracodawca może się skontaktować. Najlepiej, jeśli wcześniej uzyska ich zgodę na przekazanie danych kontaktowych. Wtedy kontakt z byłym przełożonym lub współpracownikiem ma jasny cel i jest związany z procesem rekrutacji.

Ryzykowna jest natomiast sytuacja, w której rekruter samodzielnie wyszukuje byłego przełożonego kandydata na LinkedInie i dzwoni do niego bez wiedzy kandydata. Po pierwsze, oznacza to rozmowę o osobie trzeciej bez jasnej podstawy. Po drugie, obecny lub były pracodawca może nie wiedzieć, że kandydat szuka pracy. Po trzecie, podczas takiej rozmowy mogą pojawić się informacje, których firma w ogóle nie powinna przetwarzać.

W praktyce warto więc traktować referencje jako element procesu, który powinien być uporządkowany, transparentny i ograniczony do informacji istotnych dla danej roli.

LinkedIn, Facebook, GitHub. Co wolno sprawdzać?

Media społecznościowe to jeden z najbardziej problematycznych obszarów background checku. Rekruterzy i hiring managerowie często zakładają, że skoro coś jest publiczne, można to swobodnie wykorzystać w procesie rekrutacji. To zbyt duże uproszczenie.

LinkedIn jest szczególnym przypadkiem, bo ma charakter zawodowy. Kandydaci sami publikują tam informacje o doświadczeniu, projektach, firmach i kompetencjach. Jeśli informacje z LinkedIna są niespójne z CV, pracodawca może poprosić kandydata o wyjaśnienie. Nadal jednak warto zachować ostrożność i nie traktować profilu jako jedynego źródła prawdy.

Inaczej wygląda sprawa Facebooka, Instagrama czy innych prywatnych kanałów. Informacje o stylu życia, poglądach, rodzinie, wakacjach czy prywatnych komentarzach nie powinny wpływać na decyzję rekrutacyjną. Nawet jeśli rekruter przypadkowo trafi na takie dane, ich wykorzystanie może prowadzić do problemów z ochroną prywatności, RODO lub zarzutów dyskryminacyjnych.

Podobnie z szeroko rozumianym OSINT-em, czyli „białym wywiadem” w internecie. Weryfikowanie aktywności kandydata w sieci może wydawać się atrakcyjne, szczególnie w kontekście fałszywych profili, ale powinno być prowadzone bardzo ostrożnie. Im dalej od informacji przekazanych przez samego kandydata i im bliżej życia prywatnego, tym większe ryzyko prawne.

Czy można poprosić kandydata o pokazanie dowodu?

Zdalna rekrutacja sprawiła, że coraz częściej pojawia się pytanie o weryfikację tożsamości. Firma chce wiedzieć, czy rozmawia z osobą, która faktycznie aplikuje. W czasach fake kandydatów i zdalnych procesów to realny problem.

Samo okazanie dokumentu do kamery jest jednak obszarem wrażliwym. Dowód osobisty zawiera dane, które nie zawsze są potrzebne w rekrutacji, np. imiona rodziców czy inne informacje wykraczające poza podstawowy cel potwierdzenia tożsamości. Jeszcze większym problemem byłoby żądanie skanu dowodu lub przesyłania dokumentu mailem.

Rozsądniejszym kierunkiem są rozwiązania, które pozwalają potwierdzić tożsamość bez nadmiarowego przetwarzania danych. Przykładem mogą być narzędzia oparte na potwierdzeniu tożsamości przez zaufane źródło, np. bankowość elektroniczną lub aplikacje państwowe, gdzie firma otrzymuje jedynie potwierdzenie, że dana osoba jest tą, za którą się podaje, bez dostępu do pełnego dokumentu.

To pokazuje szerszy trend: problem weryfikacji kandydatów nie powinien być rozwiązywany przez zbieranie coraz większej liczby dokumentów, ale przez projektowanie procesów, które ograniczają zakres danych do minimum.

UoP a B2B. Czy przy współpracy B2B można sprawdzać więcej?

W polskiej rekrutacji IT część procesów dotyczy umowy o pracę, a część współpracy B2B. To rodzi pytanie, czy przy B2B firma może pozwolić sobie na szerszy background check.

Odpowiedź brzmi: częściowo tak, ale nie oznacza to pełnej swobody.

Przy B2B nie stosuje się wprost tych samych ograniczeń Kodeksu pracy, ponieważ nie mamy klasycznej relacji pracownik–pracodawca. Nadal jednak obowiązują przepisy o ochronie danych osobowych, zasady adekwatności, celowości i minimalizacji danych. Kandydat lub kontraktor wciąż jest osobą fizyczną, której dane podlegają ochronie.

To oznacza, że firma nie może uzasadnić dowolnego zakresu sprawdzania tylko tym, że „to jest B2B”. Wciąż musi wiedzieć, po co zbiera konkretne informacje, czy są one niezbędne i jak będą wykorzystywane. Swoboda kontraktowa nie znosi obowiązków związanych z RODO.

Czy agencja rekrutacyjna może sprawdzać więcej niż pracodawca?

To szczególnie ważne pytanie dla firm, które korzystają z zewnętrznych partnerów rekrutacyjnych. Czasem pojawia się przekonanie, że skoro pracodawca nie może czegoś sprawdzić samodzielnie, może zlecić to agencji albo zewnętrznemu vendorowi od background checku.

Takie podejście jest ryzykowne. Agencja nie jest „obejściem” ograniczeń pracodawcy. Jeśli działa na rzecz konkretnego klienta i konkretnej rekrutacji, zakres zbieranych informacji nadal musi wynikać z potrzeb tej rekrutacji oraz obowiązujących przepisów.

Co więcej, odpowiedzialność za legalność procesu może rozkładać się na kilka podmiotów: pracodawcę, agencję rekrutacyjną i zewnętrznego dostawcę. Nie wystarczy powiedzieć: „klient tego wymagał” albo „vendor tak robi standardowo”. Każdy uczestnik procesu powinien wiedzieć, jakie dane przetwarza, na jakiej podstawie, w jakim celu i kto ma do nich dostęp.

Im szerszy zakres background checku, tym ważniejsze stają się umowy, upoważnienia, procedury, dokumentacja i jasne określenie odpowiedzialności.

Czy można tworzyć czarne listy kandydatów?

W praktyce rekrutacyjnej czasem pojawia się pokusa tworzenia wewnętrznych list kandydatów, z którymi firma nie chce już rozmawiać. Powody bywają różne: niespójne CV, podejrzenie oszustwa, nieprofesjonalne zachowanie, ghosting, fałszywe informacje.

Problem polega na tym, że taka lista zwykle zawiera dane osobowe oraz dodatkowe oceny dotyczące konkretnej osoby. Jeśli w systemie pojawia się notatka typu „oszust”, „nie kontaktować się”, „podejrzenie fake kandydata”, firma przetwarza informacje, które mogą mieć realne konsekwencje dla tej osoby.

To obszar bardzo ryzykowny z perspektywy RODO. Kandydat ma prawo zapytać, jakie dane na jego temat przetwarza firma. Jeżeli w systemie znajdują się nieprecyzyjne, ocenne albo nieudokumentowane notatki, organizacja może mieć problem z ich uzasadnieniem.

Nie oznacza to, że rekruterzy nie mogą dokumentować procesu. Oznacza jednak, że notatki powinny być faktograficzne, proporcjonalne, ograniczone do celu rekrutacji i pozbawione niepotrzebnych ocen. Zamiast „fake kandydat” bez kontekstu lepiej zapisać konkretną, możliwą do obrony informację, np. „kandydat odmówił wyjaśnienia rozbieżności między CV a informacjami podanymi podczas rozmowy”.

Trzy zasady legalnego background checku

Najważniejszy wniosek z rozmowy jest prosty: background check w rekrutacji powinien być projektowany od końca, czyli od pytania, czy firma będzie w stanie obronić zakres zebranych danych w razie kontroli, skargi lub sporu.

Po pierwsze, każda informacja powinna mieć związek ze stanowiskiem. Jeśli nie potrafimy wyjaśnić, dlaczego dana informacja jest potrzebna do oceny kandydata na konkretną rolę, prawdopodobnie nie powinniśmy jej zbierać.

Po drugie, zakres weryfikacji powinien być proporcjonalny. Inaczej wygląda rekrutacja na rolę regulowaną, stanowisko z dostępem do danych finansowych czy pracę z dziećmi, a inaczej standardowa rekrutacja marketingowa, administracyjna czy technologiczna.

Po trzecie, zgoda kandydata nie rozwiązuje wszystkiego. Nawet jeśli kandydat zgadza się na background check, firma nadal musi działać zgodnie z prawem, zasadą minimalizacji danych i obowiązkami informacyjnymi.

Background check w rekrutacji: rozsądek ważniejszy niż automatyczna procedura

Background check może być wartościowym elementem procesu rekrutacyjnego, szczególnie w czasach zdalnych rozmów, fałszywych kandydatów i rosnących wymagań bezpieczeństwa. Nie powinien jednak zamieniać się w automatyczne prześwietlanie kandydatów według globalnego szablonu.

Największe ryzyko nie leży w samym sprawdzaniu, ale w braku proporcji. Firma, która weryfikuje doświadczenie potrzebne do danej roli, działa inaczej niż firma, która zbiera dokumenty, sprawdza prywatne media społecznościowe i wymaga zaświadczeń „na wszelki wypadek”.

W polskich realiach bezpieczny background check to taki, który jest konkretny, uzasadniony, przejrzysty i ograniczony do celu rekrutacji. Dobrze zaprojektowany proces może chronić firmę. Źle zaprojektowany może stać się źródłem problemów prawnych, utraty zaufania kandydatów i niepotrzebnego ryzyka dla organizacji.

Jeśli chcesz posłuchać naszej rozmowy na ten temat, zapraszamy do odsłuchania naszego webinaru z ekspertką Karoliną Gradowską-Kanią.