申请人数据保护和招聘：HmbBfDI 为公司提供的指南

fabiha01

随着数字化的推进以及人工智能（AI）在申请过程中的使用越来越多，个人数据的保护变得越来越重要。汉堡数据保护和信息自由专员公署 (HmbBfDI) 特别重视申请人数据保护，因此制定了一项指南，我们想将其总结如下：

重要基本面和当前发展
人工智能在人力资源领域的应用已经确立，并将在未来继续增加。因此，必须遵守明确的数据保护界限。根据联邦数据保护法（BDSG）第26条第8款第2句，申请人被视为数据保护法下的员工，并享有与员工同等的权利。

2023 年 3 月 30 日，欧洲法院 (ECJ) 对 C-34/21 号案件作出裁决，对《联邦数据保护法》(BDSG) 第 26 条第 (1) 款第 1 句的适用性提出质疑（尽管 GDPR 第 6 条第 (1) 款 (b) 项仍然适用）。这项裁决为制定独立的员工数据保护法的努力注入了新的动力。

GDPR 的原则
申请人数据的处理必须符合艺术原则。 5 GDPR，包括合法性和公平处理、目的限制和数据最小化原则。必须遵守 GDPR 第 13 条和第 14 条规定下的信息义务。 HmbBfDI 明确指出了这一点，因为它认为申请人通常根本没有得到通知或只得到不够的信息。

招聘和英语
公司经常使用诸如招聘、主动采购和人才管理等英语术语，这些术语可以有多种不同的解读。因此，一致的定义和清晰的沟通至关重要。在该指南中，HmbBfDI（《申请人数据保护和招聘重点，截至 2024 年 6 月 6 日，第 3 页》）对术语的定义如下：

招聘是指人员的招募或安置，涵盖所有旨在填补空缺职位的活动。这包括招聘广告、出版物、面试、签订合同和入职流程。

猎头/人才侦察员：猎头是指在成功的基础上寻找专家和管理人员，通常以合同为基础，特别是使用社交媒体和商业平台。

主动招聘是指公司主动采取措施寻找潜在求职者。其目的是接触那些没有积极寻找工作的求职者。

背景调查/就业前检查也称为申请人筛选/候选人验证。这些是雇主在雇用候选人之前通过第三方或互联网研究进行的检查，英国商业传真列表 以核实候选人的信息和背景。这不包括根据相关安全许可法（例如 SÜG 和 LuftSiG）对员工进行的安全许可。

人才库是一个数据库或在线平台，其中包含申请某个职位的申请人、员工、自由职业者或其他外部联系人的个人资料。

术语“简历解析/履历解析”是指自动读取申请（尤其是求职信和简历）。然后，提取的数据会自动传输到应用程序管理系统 (AMS)。

招聘流程的各个阶段
招聘过程包括从电话推销到最终决定的几个阶段。每个阶段都有特定的活动和法律要求。控制者应创建概述，以便从法律角度正确评估处理操作并满足艺术的要求。 GDPR 第 30（1）条。特别是，数据处理必须是根据第 14 条建立相关阶段的雇佣关系所必需的。 GDPR 第 6（1）（b）条。

此外，HmbBfDI 明确解决了招聘流程中的以下流程：

1.人才库
一般情况下允许将申请人纳入人才库，但必须得到有关人员的明确同意。此同意必须是自愿的，并包含所有相关信息。这意味着必须根据《条例》明确告知申请人他们的数据将如何被使用。 13 GDPR。必须定期审查和更新同意书。未经重新同意，不允许无限期地存储数据。必须定义删除期限。

2. 背景调查
关于申请人的信息通常应直接从他们那里获取。面试、评估中心、资格证明或就业推荐等传统方法通常就足够了。

获取有关申请人的额外信息的需要必须在数据保护法的范围内。这包括遵守第 14 条规定的信息义务。 14 GDPR 当从第三方获取信息时。

超出面试提问权利的信息（例如怀孕、健康数据、政治派别）通常不会被考虑。此外，在进行互联网研究时，区分专业网络和私人网络非常重要。私人网络不得用于背景调查。在专业网络中也必须尊重私人信息。披露信息的目的决定了所发现信息的可用性。

3. AI在申请流程中的应用
人工智能提供了众多自动化可能性，但也带来了数据保护挑战。总之：

简历解析器：如果以结构化的方式读取个人数据并将其传输到系统中，通常是允许的。数据准确性和符合艺术规定。必须确保符合 GDPR 第 22 条。然而，如果进行超出此范围的分析，则应从数据保护的角度考虑该过程，因为具有法律效力的决定可能只有人类才能做出。
情绪分析：这些分析旨在评估申请人的情绪状态和反应。它们在申请过程中存在问题，并且通常是不可接受的，因为它们通常不是必需的，而且同意的自愿性质值得怀疑。情绪分析也可以被视为生物特征数据的处理，这需要额外的法律要求。
LLM 聊天机器人：基于人工智能的聊天机器人可用于申请流程，特别是发送邀请或拒绝以及回答常见问题。然而，可能无法按照第 14 条做出完整的选择决定。 22 GDPR。