Rekrutacja zgodna z przepisami RODO, a interes prawny pracodawcy
Problematyka przetwarzania danych osobowych dotyka każdego pracodawcę rozpoczynającego proces rekrutacji, ponieważ jego nieodłącznym elementem jest pozyskanie danych osobowych potencjalnych kandydatów zawartych w dokumentach takich jak CV, listy motywacyjne czy świadectwa pracy. Zgodnie z przepisami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.) (ogólne rozporządzenie o ochronie danych, dalej jako: ,,RODO’’), pracodawca, jako administrator danych osobowych, ma obowiązek chronić dane osobowe nie tylko pracowników, lecz także kandydatów, których dane uzyskał w procesie rekrutacji.
W związku z tym powstała wątpliwość, w którym momencie aktualizuje się obowiązek Pracodawcy do zaprzestania przechowywania danych osobowych zawartych w dokumentach aplikacyjnych. Brak klarownych przepisów oraz rozbieżność w doktrynie skutkowały różnoraką praktyką pracodawców. Część z nich usuwała wszystkie CV niezatrudnionych kandydatów niezwłocznie po zakończeniu rekrutacji na dane stanowisko, a inni – powołując się na ewentualne roszczenia niezatrudnionych kandydatów – przechowywali dokumenty aplikacyjne jeszcze przez jakiś czas. Odpowiedź na to pytanie sprowadza się w istocie do poprawnego wyważenia dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu pracodawcy będącego administratorem danych z jednej strony oraz podstawowych praw oraz wolności podmiotu danych osobowych – z drugiej.
Wspomniana problematyka stała się przedmiotem orzeczenia Naczelnego Sądu Administracyjnego z dnia 20.02.2024 r., sygn. III OSK 2700/22, w którym wskazano, że pracodawca ma interes prawny, w rozumieniu RODO, do przetwarzania poprzez przechowywanie danych osobowych kandydatów, którzy negatywnie przeszli proces rekrutacji, gdyż wyzbycie się wszelkich dokumentów i danych identyfikujących oraz pozycjonujących te osoby, może uniemożliwić lub znacznie utrudnić mu skuteczną obronę przed postawionymi przed sądem zarzutami dyskryminacyjnymi.
Wyrok Naczelnego Sądu Administracyjnego z dnia 20.02.2024 r., sygn. III OSK 2700/22 stał się kluczowy dla wyznaczenia podstawy określenia okresu przechowywania dokumentacji rekrutacyjnej.
Jaki stan faktyczny stanowił podstawę rozstrzygnięcia w sprawie o sygn. III OSK 2700/22?
W stanie faktycznym, który stał się podstawą rozstrzygnięcia w sprawie o sygn. III OSK 2700/22 wnioskodawczyni złożyła do Urzędu Ochrony Danych Osobowych (dalej jako: ,,UODO’’ lub ,,Organ’’) skargę na niezgodne z prawem przetwarzanie jej danych osobowych przez spółkę, polegające na nieusunięciu jej danych osobowych po zakończeniu procesu rekrutacyjnego i odrzuceniu jej kandydatury oraz nieprawidłowej w toku rekrutacji realizacji wobec niej obowiązku informacyjnego, wynikającego z art. 13 i art. 15 RODO. Spółka wskazała, że po zakończonym procesie rekrutacyjnym zablokowała dane wnioskodawczyni w systemie aplikacyjnym w taki sposób, że informacje zostały ukryte w celu uniknięcia niepożądanej komunikacji z kandydatką. Dane te jednak zostały zachowane celem zabezpieczenia spółki w przypadku dochodzenia ewentualnych roszczeń związanych z naruszeniem zasad równego traktowania w zatrudnieniu.
Stanowisko Urzędu Ochrony Danych Osobowych w sprawie
UODO nałożył na spółkę karę upomnienia oraz określił, że przetwarzanie danych osobowych w celu obrony przed ewentualnymi roszczeniami nie znajduje prawnego uzasadnienia oraz nie stanowi przesłanki, która uprawniałaby spółkę do przetwarzania takich danych. Zdaniem Prezesa UODO takie działanie pracodawcy stanowi przetwarzanie danych osobowych niejako „na zapas”, co jest niedopuszczalne. Podkreślił, że swoją decyzją opiera na ugruntowanym w orzecznictwie i w praktyce stanowisku, że przesłanka z art. 6 ust. 1 lit. f RODO, mówiąca o przetwarzaniu, które jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, powinna dotyczyć sytuacji już istniejącej. Podkreślił, że celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, a nie sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed niestwierdzonym, ewentualnym i niepewnym roszczeniem. Zgodnie z zaleceniami UODO pracodawca powinien zniszczyć wszelkie dokumenty rekrutacyjne niezatrudnionych kandydatów niezwłocznie po zakończeniu procesu rekrutacji.
Spółka złożyła do Wojewódzkiego Sądu Administracyjnego (dalej jako: ,,WSA’’) skargę na decyzję Prezesa UODO. Sąd nie podzielił stanowiska Organu, uchylił zaskarżoną decyzję i zasądził na rzecz spółki zwrot kosztów postępowania. Następnie Prezes UODO wniósł do Naczelnego Sądu Administracyjnego skargę kasacyjną na orzeczenie WSA.
Rozstrzygnięcie Naczelnego Sądu Administracyjnego w sprawie możliwości i okresu przechowywania danych osobowych pozyskanych w toku rekrutacji
W wyroku z dnia 20.02.2024 r., sygn. III OSK 2700/22 Naczelny Sąd Administracyjny podkreślił, że przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni kumulatywnie dwie przesłanki z art. 6 ust. 1 lit. f RODO:
- po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub stronę trzecią,
- po drugie, niezbędna jest weryfikacja czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów.
Nie wystarczy zatem samo występowanie takich interesów, lecz dodatkowo ich realizacja musi wymagać przetwarzania danych osobowych. Następnie należy ocenić, czy nie występuje przesłanka negatywna w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej.
Dane osobowe Wnioskodawczyni zostały pozyskane i przetwarzane w celu przeprowadzenia postępowania rekrutacyjnego na dwa stanowiska pracy. W związku z negatywnym zakończeniem postępowania pierwotny cel przetwarzania danych osobowych został skonsumowany, jednak jak wynika z motywu 50 preambuły RODO przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone w przypadkach, gdy jest to zgodne z celami, w których dane osobowe zostały pierwotnie zgromadzone. Naczelny Sąd Administracyjny podkreślił, że stosowanie art. 6 ust. 1 lit. f RODO, gdy administrator przetwarza dane osobowe na wypadek ewentualnego sporu sądowego i wyłącznie z uwagi na jego potencjalność jest uzasadnione.
Jak już wyżej zaznaczono, przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO powinno być niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów administratora, a te należy ustalać z uwzględnieniem charakteru i kontekstu relacji łączącej administratora z osobą, której dane osobowe są przetwarzane. Jeżeli łącząca te dwa podmioty relacja zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyłącznie z uwagi na potencjalność realizacji tego roszczenia.
Podsumowanie
Wyrok Naczelnego Sądu Administracyjnego z dnia z dnia 20.02.2024 r., sygn. III OSK 2700/22 należy uznać za przełomowy i mający znaczenie dla każdego pracodawcy, ponieważ do tej pory Sądy niejednolicie wypowiadały się na temat określania możliwości i terminów przechowywania danych w oparciu o okresy przedawnienia roszczeń. NSA przesądził, że ustalenie, iż celem administratora wynikającym z jego prawnie uzasadnionych interesów będzie zabezpieczenie się na wypadek konieczności wejścia w spór sądowy skutkuje możliwością przechowywania danych uzyskanych podczas procesu rekrutacji przez okres 3 lat, który stanowi czas przedawnienia roszczeń w związku z zarzutami dotyczącymi dyskryminacji i naruszeń zasady równego traktowania w zatrudnieniu. Termin przedawnienia roszczenia wyznacza więc w tym przypadku jednocześnie termin końcowy retencji danych osobowych.
Klauzula RODO zgodna z wytycznymi Naczelnego Sądu Administracyjnego
Pracodawca ma obowiązek poinformowania kandydatów o przetwarzaniu ich danych osobowych oraz zmianach w zakresie lub celu przetwarzania. Informacja ta umieszczona może być w treści ogłoszenia o pracę lub w wiadomości zwrotnej do kandydata, który wysłał swoją aplikację. Mając na uwadze omawiany wyrok NSA warto rozważyć zamieszczenie klauzuli wskazując na cel i okres przechowywania danych osobowych.
Przykładowa klauzula RODO, uwzględniająca treść orzeczenia NSA
„Możemy przetwarzać Twoje dane osobowe zawarte w zgłoszeniu rekrutacyjnym także w celu dochodzenia lub obrony przed roszczeniami, jeżeli roszczenia dotyczą prowadzonej przez nas rekrutacji. W tym celu będziemy przetwarzać Twoje dane osobowe w oparciu o nasz prawnie uzasadniony interes, polegający na ustaleniu, dochodzeniu lub obronie przed roszczeniami w postępowaniu przed sądami lub organami państwowymi, przez okres 3 lat od dnia zakończenia rekrutacji.”
Autorem artykułu jest Asystentka prawna Paulina Czarnynoga.
