Retencja danych w rekrutacji

Mamy to!

Swego czasu UODO uznał, że trzymanie dokumentów rekrutacyjnych kandydatów do pracy przez firmy na wypadek przyszłych roszczeń kandydatów jest działaniem niewłaściwym. Taka interpretacja pojawiła się w pierwszym poradniku UODO dotyczącym rekrutacji. Stanowisko to podważył 2 września 2022 roku WSA, a teraz mamy kolejne potwierdzenie tego stanowiska przez NSA (5 grudnia 2023r). Tak, możemy przechowywać dane kandydatów do pracy w okresie do 3 lat (okres przedawnienia roszczeń) od czasu zakończenia rekrutacji w związku  z prawnie usprawiedliwionym interesem administratora danych osobowych.

Nowy Prezes UODO świadom niewłaściwej interpretacji przepisów przez swojego poprzednika ponoć już przygotowuje modyfikacje tegoż poradnika. Do czasu jego publikacji 🙂 polecam analizę decyzji i wyroków sądowych, jaką przygotował Maciej Bednarek 👍, a dotyczącą retencji danych w procesach rekrutacyjnych.

Zgodnie z Wyrokiem Naczelnego Sądu Administracyjnego z dnia 20 lutego 2024 r., sygn. akt  III OSK 2700/22 administrator danych osobowych jest uprawniony do przetwarzania danych osobowych niezatrudnionych kandydatów i nie musi ich od razu po zakończonej rekrutacji usuwać.  Naczelny Sąd Administracyjny potwierdził tym samym stanowisko wyrażone wcześniej przez Wojewódzki Sąd Administracyjny w Warszawie z dnia 4 sierpnia 2022 r., sygn. akt II SA/Wa 542/22.

Powyższy wyrok ma duże znaczenie praktyczne, ponieważ do tej pory w tym zakresie przedsiębiorcy kierowali się stanowiskiem Prezesa UODO, zawartym w poradniku „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców”, zgodnie z którym przechowywanie danych osobowych po zakończonej rekrutacji jest niedopuszczalne, a dalsze ich przechowywanie to działanie „na wszelki wypadek”. Stanowisko to, w świetle powyższego orzeczenia NSA, należy jednak uznać za nieprawidłowe.

Stan faktyczny sprawy był następujący:

Wnioskodawczyni zaaplikowała w firmie na dwa stanowiska- obydwie rekrutacje zakończyły się negatywnie, bez przeprowadzenia w kandydatką rozmów rekrutacyjnych, w kwietniu 2020 r. Początkowo Spółka jedynie zablokowała dane kandydatki w systemie, co uniemożliwiało niepożądaną komunikację z kandydatem, a dodatkowo jedynie pracownicy o określonych uprawnieniach mogli mieć wgląd w te dane. Spółka przechowywała ww. dane osobowe w celu obrony przed ewentualnymi roszczeniami w związku z naruszeniem zasad równego traktowania w zatrudnieniu.

Kandydatka skierowała do Spółki szereg wiadomości, w tym m.in.  żądanie usunięcia jej danych, jednak Spółka w odpowiedzi wskazała, że jest uprawniona do dalszego przetwarzania jej danych w celu ustalenia, dochodzenia lub obrony roszczeń. Kandydatka wniosła następnie skargę do Prezesa UODO, w której zarzuciła ww. Spółce m.in. niezgodne z prawem przetwarzanie jej danych osobowych. Po okresie ok. roku, z uwagi na uznanie, że brak jest ryzyka zarzutów dyskryminacji, w marcu 2021 r. dane kandydatki zostały trwale usunięte z systemu Spółki.

W związku z powyższym Prezes UODO w styczniu 2022 r. wydał decyzję, zgodnie z którą spółka została m.in. ukarana upomnieniem za bezpodstawne przetwarzanie danych osobowych wnioskodawczyni po zakończeniu procesu rekrutacyjnego. Prezes UODO w uzasadnieniu decyzji wskazał, że spółka nie wyjaśniła o jakie konkretne roszczenia chodzi, a przetwarzanie danych odbywało się „na zapas”, w związku z tym, że dane mogłyby okazać się przydatne w przyszłości. Decyzję tę uchylił najpierw WSA, a obecnie zasadność orzeczenia WSA potwierdził niedawno NSA.

Zdaniem ww. sądów nie jest trafne twierdzenie, jakoby pracodawca powinien usunąć dane kandydatów niezwłocznie po zakończonej rekrutacji i istnieją przesłanki, które pozwalają na ich dalsze przetwarzania w formie przechowywania- jako zabezpieczenie w związku z ewentualnymi roszczeniami takich kandydatów.

Posiłkując się uzasadnieniem wydanym przez WSA (uzasadnienie NSA nie jest jeszcze dostępne) stwierdzić należy, że Prezes UODO dokonał niewłaściwej wykładni art. 6 ust. 1 lit. f RODO i nie ocenił należycie argumentacji Spółki, która powoływała się w tym zakresie na  konkretne roszczenia i ich przedawnienie- na przepisy art. 291 w zw. z art. 183b oraz art. 183d Kodeksu pracy. W ocenie sądów orzekających w niniejszej sprawie Spółka ma interes prawny w rozumieniu RODO do przetwarzania danych osobowych Wnioskodawczyni w celu obrony  przed roszczeniami w związku z prowadzoną rekrutacją na podstawie ww. przepisów kodeksu pracy. Przetwarzanie danych osobowych jest dopuszczalne przez okres przedawnienia roszczeń. Gdyby spółka przetwarzała dane osobowe dłużej niż w czasie okresu przedawnienia to dopiero wówczas można by uznać, ze interes Skarżącej nie jest już po upływie tego okresu dalej uzasadniony.  Nie miał zatem racji Prezes UODO, który w toku ww. postępowania twierdził, iż przetwarzanie danych osobowych po zakończonej rekrutacji jest przetwarzaniem „na zapas” i nie jest uzasadnione.

Powyższe orzeczenia potwierdzają, że pracodawca ma prawo przechowywać dane osobowe kandydata po zakończonej rekrutacji, jednak jest to uzasadnione nie dłużej niż przez okres przedawnienia roszczeń, tj. aktualnie przez okres nie dłuższy niż 3 lata. Pracodawca musi przy tym pamiętać o odpowiednim spełnieniu obowiązku informacyjnego wobec kandydata.

Orzeczenie to jest przełomowe dla pracodawców, albowiem kończy niepewność, z którą mieliśmy do czynienia w zakresie przetwarzania danych osobowych kandydatów po zakończeniu rekrutacji. Pomimo tego, że stanowisko UODO wyrażone w Poradniku dotyczącym zatrudnienia było krytykowane to jednak wielu pracodawców stosowało wyrażone tam poglądy, narażając się tym samym na brak zabezpieczenia na wypadek ewentualnych roszczeń kandydatów. W przypadku, gdy przeciwko przedsiębiorcy skierowane zostaną roszczenia z tytułu naruszenia zasady równego traktowania kandydatów przez tego przedsiębiorcę musi on mieć możliwość obrony i wykazania, że traktował wszystkich kandydatów w sposób równy. Z tego względu jest tak istotne, aby zachować te dane, albowiem tylko dysponując nimi pracodawca może podjąć się skutecznej obrony w ewentualnym postępowaniu sądowym.

Źródła:

 Wyrok Naczelnego Sądu Administracyjnego z dnia 20 lutego 2024 r., sygn. akt  III OSK 2700/22;

Wojewódzki Sąd Administracyjny w Warszawie z dnia 4 sierpnia 2022 r., sygn. akt II SA/Wa 542/22, Legalis.pl;

„Ochrona danych osobowych w miejscu pracy Poradnik dla pracodawców”, dostępny: https://archiwum.uodo.gov.pl/pl/220/545

Maciej Bednarek