Ile trzeba wiedzieć o specjaliście, żeby podjąć dobrą decyzję? Model stopniowego ujawniania danych zawodowych

RODO wymaga, aby dane osobowe były adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane. To zasada minimalizacji danych z art. 5 ust. 1 lit. c. [1]

Art. 25 ust. 2 idzie dalej i wymaga, aby domyślnie przetwarzane były tylko dane osobowe niezbędne dla konkretnego celu. Przepis odnosi to między innymi do ilości zbieranych danych, zakresu przetwarzania, okresu przechowywania oraz dostępności. [1]

Komisja Europejska wyjaśnia tę samą zasadę prostszym językiem: organizacja powinna zbierać i przetwarzać tylko dane niezbędne do realizacji określonego celu. [2]

Nie oznacza to jednak, że prawo nakazuje platformie specjalistów ukrywać nazwisko albo zdjęcie do konkretnego momentu. Model przedstawiony w tym artykule jest praktyczną interpretacją zasady ograniczania danych i dostępu do nich, a nie formalnym obowiązkiem wynikającym z jednego przepisu.

Nie da się sensownie odpowiedzieć na pytanie „jakie dane są potrzebne?”, dopóki nie wiadomo, do czego mają służyć.

Innego zestawu informacji potrzebujesz, gdy:

• przeglądasz setki profili,
• porównujesz dwie osoby z krótkiej listy,
• zapraszasz do rozmowy,
• sprawdzasz określone uprawnienie zawodowe,
• uzgadniasz warunki usługi,
• podpisujesz umowę,
• realizujesz płatność albo obowiązek prawny.

Zasada minimalizacji nie oznacza „zawsze pokazuj najmniej”. Oznacza ograniczanie danych do tego, co jest adekwatne i potrzebne względem konkretnego celu. [1]

To ważne rozróżnienie.

Jeżeli platforma przechowuje pełne imię i nazwisko specjalisty, ale nie pokazuje go osobie przeglądającej profil, dane nadal są przetwarzane przez platformę. RODO definiuje przetwarzanie szeroko, obejmując między innymi zbieranie, przechowywanie, odczytywanie, wykorzystywanie i ujawnianie danych. [1]

Ukrycie informacji może ograniczyć dostępność danych dla określonych odbiorców, co jest jednym z elementów wskazanych w art. 25 ust. 2. Nie jest jednak równoznaczne z brakiem przetwarzania. [1]

Dlatego dobra architektura prywatności powinna osobno odpowiadać na trzy pytania:

• jakie dane platforma posiada,
• kto ma do nich dostęp,
• kiedy i w jakim celu mogą zostać ujawnione kolejnej stronie.

Pseudonimizacja i anonimizacja nie są tym samym.

Europejska Rada Ochrony Danych wyjaśnia, że pseudonimizacja ogranicza możliwość powiązania danych z konkretną osobą, ale nie zrywa tego związku całkowicie. Dane pseudonimizowane pozostają danymi osobowymi, jeżeli mogą zostać ponownie powiązane z osobą przy użyciu dodatkowych informacji. [4]

To oznacza, że profil opisany jako „Specjalista 184”, którego prawdziwa tożsamość jest przechowywana osobno, nie staje się automatycznie anonimowy w rozumieniu prawa.

Pseudonimizacja jest środkiem ochrony, a nie sposobem na wyłączenie danych spod RODO.

RODO zawiera ważne doprecyzowanie, które często jest upraszczane zbyt mocno.

Motyw 51 wskazuje, że przetwarzania fotografii nie należy automatycznie traktować jako przetwarzania szczególnych kategorii danych. Fotografia jest objęta pojęciem danych biometrycznych w tym szczególnym znaczeniu wtedy, gdy jest przetwarzana specjalnymi metodami technicznymi umożliwiającymi jednoznaczną identyfikację lub uwierzytelnienie osoby. [1]

To nie znaczy, że zwykłe zdjęcie nie jest daną osobową. Może nią być. Oznacza tylko, że zdjęcie nie staje się automatycznie szczególną kategorią danych biometrycznych wyłącznie dlatego, że przedstawia człowieka.

Badania nad anonimowymi zgłoszeniami rekrutacyjnymi pokazują, że ograniczenie informacji o tożsamości może w niektórych warunkach zmniejszać bariery dyskryminacyjne na początkowym etapie selekcji. Jednocześnie wyniki zależą od kontekstu, a anonimowość może jedynie przesunąć dyskryminację na późniejszy etap albo wywołać niezamierzone skutki. [6]

Dlatego nie należy pisać:

„ukrycie nazwiska i zdjęcia usuwa uprzedzenia”.

Bardziej zgodne z dostępnymi dowodami jest:

„ograniczenie części informacji o tożsamości może pomóc skupić pierwszy etap na kryteriach zawodowych, ale samo w sobie nie gwarantuje bezstronnej ani lepszej decyzji”.

OECD opisuje podejście skills-first jako przesunięcie głównego kryterium oceny w stronę umiejętności, które osoba potrafi wykazać, przy czym kwalifikacje i doświadczenie pełnią rolę uzupełniającą. OECD podkreśla również potrzebę świadomego ograniczania stronniczości i stosowania odpowiednich metod oceny. [5]

Z tego nie wynika, że OECD rekomenduje ukrywanie konkretnych pól profilu na platformach dla specjalistów.

Można natomiast wyciągnąć ostrożny wniosek projektowy:

jeżeli celem pierwszego etapu jest ocena zdolności do wykonania konkretnej pracy, informacje o kompetencjach i ich dowodach mogą być ważniejsze niż część informacji o tożsamości.

Najpierw określ:

• jaki problem trzeba rozwiązać,
• jakie zadania będą wykonane,
• jakie kompetencje są niezbędne,
• jakie dowody pracy będą istotne,
• jakie są ograniczenia czasu, budżetu i sposobu współpracy.

Na tym etapie nie potrzebujesz żadnych danych konkretnego specjalisty.

To ważne również metodologicznie: kryteria powstają przed zobaczeniem osób, które będą według nich oceniane.

W pierwszej ocenie profilu mogą wystarczyć informacje takie jak:

• potrzebne umiejętności,
• kontekst ich użycia,
• próbki lub rezultaty pracy,
• opis rzeczywistego wkładu,
• poziom odpowiedzialności,
• aktualność doświadczenia,
• możliwość zweryfikowania części dowodów.

Jeżeli nazwisko, zdjęcie lub dokładna historia zatrudnienia nie pomagają odpowiedzieć na pytanie o wykonanie konkretnej pracy, można rozważyć ich niewykorzystywanie w tym etapie.

To decyzja projektowa, nie uniwersalny obowiązek prawny.

Kolejna warstwa może obejmować informacje, które nie służą ocenie kompetencji, ale są potrzebne do sprawdzenia, czy współpraca jest wykonalna:

• dostępność,
• możliwy termin rozpoczęcia,
• zakres oferowanej usługi,
• sposób rozliczenia i cena,
• język komunikacji, jeżeli jest istotny,
• strefa czasowa lub miejsce pracy, jeżeli rzeczywiście mają znaczenie,
• ograniczenia organizacyjne.

Cena nie jest dowodem kompetencji, a lokalizacja nie jest miarą jakości. Mogą jednak być istotnymi warunkami konkretnej współpracy.

Po zawężeniu wyboru nie musisz automatycznie odsłaniać całego profilu.

Najpierw sprawdź, czego brakuje do podjęcia następnej decyzji.

Może to być:

• wyjaśnienie konkretnego projektu,
• potwierdzenie zakresu osobistego wkładu,
• dodatkowa próbka pracy,
• odpowiedź na to samo pytanie zadane wszystkim osobom na krótkiej liście,
• potwierdzenie określonego uprawnienia, jeżeli jest ono rzeczywiście wymagane.

Brak informacji powinien prowadzić do konkretnego pytania, a nie automatycznie do gorszej oceny.

Moment ujawnienia tożsamości nie musi być identyczny w każdej sytuacji.

Może być potrzebny na przykład, gdy strony chcą:

• przejść do bezpośredniej rozmowy,
• zweryfikować deklarowane autorstwo lub doświadczenie u konkretnego źródła,
• sprawdzić wymagane uprawnienie przypisane do osoby,
• przygotować formalną współpracę.

Nie ma jednej uniwersalnej zasady prawnej mówiącej, że nazwisko trzeba ujawnić dokładnie po określonej liczbie etapów.

Dobre kryterium to pojawienie się konkretnego celu, którego nie da się rozsądnie osiągnąć bez tej informacji.

Gdy strony rzeczywiście rozpoczynają współpracę, zakres potrzebnych danych może się zwiększyć.

W zależności od rodzaju relacji, jurysdykcji i obowiązków stron mogą być potrzebne dane do:

• zawarcia lub wykonania umowy,
• kontaktu operacyjnego,
• rozliczenia,
• spełnienia obowiązków podatkowych lub księgowych,
• wymaganej prawem albo uzasadnionej charakterem usługi weryfikacji.

Nie każdy projekt potrzebuje tego samego zestawu danych. W branżach regulowanych lub przy szczególnych obowiązkach prawnych wymagania mogą być znacznie szersze.

Ten artykuł nie zastępuje analizy prawnej konkretnej relacji.

Minimalizacja nie kończy się w chwili zebrania danych.

Art. 25 ust. 2 RODO odnosi domyślną ochronę także do zakresu przetwarzania, okresu przechowywania i dostępności danych. [1]

Po zakończeniu danego etapu warto więc zadać kolejne pytania:

• czy ta informacja nadal jest potrzebna,
• kto nadal powinien mieć do niej dostęp,
• czy istnieje obowiązek jej przechowywania,
• czy można ograniczyć jej widoczność,
• kiedy powinna zostać usunięta albo poddana ponownemu przeglądowi.

To, że informacja była potrzebna wczoraj, nie oznacza automatycznie, że powinna pozostać dostępna bezterminowo.

Przed ujawnieniem kolejnej informacji można zastosować prosty test pięciu pytań:

1. Jaki dokładnie jest cel tej informacji?
2. Czy decyzję można rozsądnie podjąć bez niej?
3. Czy wystarczy mniej precyzyjna wersja informacji?
4. Kto rzeczywiście musi ją zobaczyć?
5. Jak długo musi pozostać dostępna?

Przykład: jeżeli potrzebujesz tylko wiedzieć, czy współpraca może odbywać się w określonych godzinach, dokładny adres domowy specjalisty najczęściej nie odpowiada bezpośrednio na to pytanie. Być może wystarczy strefa czasowa albo deklarowane godziny dostępności.

To nie jest test prawny. To praktyczne narzędzie do sprawdzania proporcjonalności informacji względem celu.

Prywatność nie powinna obniżać jakości decyzji poprzez zastępowanie brakujących informacji domysłami.

Jeżeli do oceny potrzebujesz określonej informacji zawodowej, masz trzy rozsądne możliwości:

• poprosić o nią w odpowiednim momencie,
• zastosować zastępczy dowód, który odpowiada na to samo pytanie,
• uznać, że na tym etapie nie masz jeszcze podstaw do rozstrzygnięcia.

Niepoprawne jest natomiast założenie:

„nie widzę tej informacji, więc wynik musi być słaby”.

Brak danych i negatywny dowód to dwie różne rzeczy.

Stopniowe ujawnianie nie ma dużego znaczenia, jeżeli każdy użytkownik systemu wewnętrznego może od początku zobaczyć wszystkie dane.

Art. 25 ust. 2 RODO wskazuje wprost, że domyślna ochrona dotyczy również dostępności danych osobowych. [1] Europejska Rada Ochrony Danych w wytycznych dotyczących ochrony danych w fazie projektowania i domyślnej ochrony opisuje wdrażanie tych zasad za pomocą odpowiednich środków technicznych i organizacyjnych. [3]

W praktyce warto rozdzielić:

• dane potrzebne platformie do obsługi konta,
• dane widoczne publicznie,
• dane widoczne tylko dla wybranej strony,
• dane dostępne pracownikom lub administratorom wyłącznie w określonym celu.

Prywatność interfejsu bez odpowiedniej kontroli dostępu do danych jest niepełna.

Załóżmy, że organizacja szuka osoby do oceny dostępności serwisu internetowego.

Etap pierwszy
Porównuje umiejętności, doświadczenie w podobnych audytach, przykładowe raporty, zakres odpowiedzialności i znajomość wymaganych standardów. Nazwisko i zdjęcie nie są konieczne do każdego z tych pytań.

Etap drugi
Sprawdza dostępność w wymaganym terminie, cenę, język komunikacji i możliwość wykonania pracy w określonym modelu.

Etap trzeci
Na krótkiej liście prosi o wyjaśnienie metodologii i potwierdzenie wybranych elementów doświadczenia.

Etap czwarty
Przed bezpośrednią rozmową lub zawarciem współpracy strony ujawniają informacje potrzebne do identyfikacji, kontaktu i formalizacji relacji.

To nie dowodzi, że taki porządek jest najlepszy w każdej sytuacji. Pokazuje jedynie, że różne decyzje mogą wymagać różnych warstw informacji.

1. Ukrywasz dane przed klientem, ale wewnętrznie każdy nadal ma do nich dostęp.

2. Nazywasz profil anonimowym, choć platforma może łatwo połączyć go z konkretną osobą.

3. Z góry ukrywasz informacje, które są faktycznie niezbędne do bezpiecznej lub zgodnej z prawem decyzji.

4. Ujawnienie tożsamości traktujesz jako nagrodę zamiast odpowiedź na konkretną potrzebę procesu.

5. Zakładasz, że ukrycie nazwiska automatycznie usuwa stronniczość.

6. Zbierasz dane „na wszelki wypadek” bez zdefiniowanego celu.

7. Nie rozróżniasz danych potrzebnych do oceny kompetencji od danych potrzebnych do umowy lub rozliczenia.

8. Po zakończeniu etapu nie wracasz do pytania, czy dane nadal muszą być dostępne.

1. Jaki jest dokładny cel każdej informacji?
2. Czy cel można osiągnąć bez tej informacji?
3. Czy istnieje mniej szczegółowa informacja, która wystarczy?
4. Czy dane są potrzebne do oceny kompetencji, czy dopiero do późniejszej współpracy?
5. Kto powinien je widzieć na obecnym etapie?
6. Czy profil jest naprawdę anonimowy, czy tylko pseudonimowy?
7. Czy brak informacji jest poprawnie odróżniany od negatywnego wyniku?
8. Czy wszyscy porównywani specjaliści są oceniani według porównywalnych kryteriów?
9. Czy ujawnienie tożsamości ma konkretny powód procesowy?
10. Czy późniejszy etap wymaga nowych danych z przyczyn umownych, podatkowych, bezpieczeństwa lub prawa?
11. Czy dostęp wewnętrzny jest ograniczony do osób, które naprawdę go potrzebują?
12. Czy wiadomo, kiedy dane przestaną być potrzebne albo kiedy ich potrzebę trzeba ponownie ocenić?

Minimalizacja danych nie polega na tym, aby podejmować decyzje bez informacji.

Polega na rozdzieleniu pytań:

co muszę wiedzieć teraz?
co mogę sprawdzić później?
kto musi to zobaczyć?
jak długo ta informacja będzie potrzebna?

W praktycznym procesie wyboru specjalisty kolejność może wyglądać tak:

problem -> kompetencje -> dowody -> warunki współpracy -> brakujące informacje -> tożsamość -> dane potrzebne do formalizacji -> ponowna ocena dostępu i przechowywania.

Nie każda sytuacja wymaga dokładnie takiej kolejności.

Najważniejsza zasada jest prostsza:

ujawniaj i przetwarzaj dane dlatego, że są potrzebne do jasno określonego celu, a nie dlatego, że system potrafi je zebrać lub pokazać.

[1] Rozporządzenie (UE) 2016/679 - RODO, w szczególności art. 4, art. 5, art. 25 oraz motywy 39 i 51, EUR-Lex
Przejdź do źródła

[2] Komisja Europejska - What data can we process and under which conditions?
Przejdź do źródła

[3] European Data Protection Board - Guidelines 4/2019 on Article 25 Data Protection by Design and by Default, wersja ostateczna z 20 października 2020 r.
Przejdź do źródła

[4] European Data Protection Board - Anonymisation / pseudonymisation
Przejdź do źródła

[5] OECD - A Skills-First Labour Market, Promoting skills-first hiring and talent management, 2026
Przejdź do źródła

[6] IZA World of Labour - Anonymous job applications and hiring discrimination
Przejdź do źródła

Nota metodologiczna: źródła dotyczą różnych obszarów: prawa ochrony danych, projektowania prywatności, rynku pracy oraz badań nad anonimową rekrutacją. Artykuł nie twierdzi, że wyniki badań rekrutacyjnych można bezpośrednio przenieść na każdą relację ze specjalistą. Model stopniowego ujawniania danych zawodowych jest praktyczną syntezą, a nie formalnym standardem którejkolwiek z wymienionych instytucji.