Przechowywanie danych kandydatów do pracy po zakończeniu procesu rekrutacji.

Przechowywanie danych kandydatów do pracy po zakończeniu procesu rekrutacji.  Ważne orzeczenie Naczelnego Sądu Administracyjnego.

Jednym z zagadnień, z zakresu ochrony danych osobowych, z którym mierzyć się muszą działy kadr, w związku z prowadzeniem rekrutacji na nowe stanowiska pracy, jest ustalenie prawidłowego okresu przechowywania danych, otrzymanych od kandydatów (np. CV).

Najczęściej stosowaną przez pracodawców praktyką jest usuwanie otrzymanych dokumentów bezpośrednio po zakończeniu postępowania rekrutacyjnego, o ile kandydat nie wyraził zgody na przetwarzanie jego danych również w przyszłych rekrutacjach. Takie działanie zgodne jest również z dotychczasowymi rekomendacjami Prezesa Urzędu Ochrony Danych Osobowych.

Pod koniec lutego Naczelny Sąd Administracyjny wydał orzeczenie, które bez wątpienia zmienić może dotychczasowe praktyki.

Orzeczenie zostało wydane w związku ze skargą złożoną przez niedoszłą pracownicę jednej z firm.

Kobieta starając się o pracę złożyła dokumenty aplikacyjne drogą elektroniczną, a firma, zgodnie z wewnętrznymi zasadami, utworzyła jej profil kandydata do pracy, wykorzystując przekazane dane. Ostatecznie pracodawca zatrudnił inną osobę, wobec czego kobieta poprosiła o usunięcie jej danych osobowych z zasobów przedsiębiorstwa. Firma odmówiła realizacji jej wniosku, argumentując potrzebę przechowywania danych osobowych po zakończeniu rekrutacji, z uwagi na potencjalne roszczenia związane z naruszeniem zasad równości w zatrudnieniu. Pani K. ponowiła drogą mailową żądania usunięcia danych, a przynajmniej podania informacji, jak długo niedoszły pracodawca ma zamiar przechowywać i przetwarzać jej dane. Odpowiedź ponownie była odmowna, a firma nie była w stanie sprecyzować, przez jak długi czas będzie przechowywać i przetwarzać jej dane, jako byłej kandydatki do pracy.

W związku z powyższym Pani K. postanowiła skierować skargę do Prezesa Urzędu Ochrony Danych Osobowych, który w drodze decyzji udzielił upomnienia przedsiębiorcy, wskazując na naruszenie przepisów ochrony danych osobowych skarżącej m.in. w związku z przetwarzaniem danych po zakończeniu rekrutacji.

Upomniana firma zaskarżyła decyzję do Wojewódzkiego Sądu Administracyjnego, a ten decyzję uchylił uznając, że Prezes UODO nie wyważył właściwie dwóch elementów, a mianowicie dobra administratora ora uprawnień skarżącej. WSA stwierdził, że rekrutująca firma, będąca administratorem danych osobowych, musi respektować regulacje Kodeksu pracy, w tym te dotyczące zakazu dyskryminacji ze względu nie tylko na zatrudnienie, ale i na takie same zakazy dyskryminacji dotyczące przyjmowania do pracy. Ponadto WSA wskazał, iż zgodnie z art. 291 Kodeksu Pracy termin przedawnienia roszczeń związanych z dyskryminacją wynosi 3 lata. Tym samym pracodawca posiada uzasadniony interes w przechowywaniu danych osobowych kandydatów przez wskazany przepisami KP okres, w celu obrony przed potencjalnymi roszczeniami.

Prezes UODO skierował następnie skargę kasacyjną do Naczelnego Sądu Administracyjnego, który ją oddalił. NSA w oparciu o art. 6 ust. 1 pkt f RODO wskazał, że przetwarzanie danych osobowych musi być oparte o trzy zasadnicze przesłanki: po pierwsze administrator musi wykazać cele, do których osiągnięcia przetwarzanie danych jest niezbędne, po drugie, cele te są uzasadnione interesem prawnym administratora danych (w tym przypadku celem była obrona przed roszczeniami) i po trzecie – interes prawny administratora ma charakter nadrzędny w stosunku do praw i wolności osoby której dane są przetwarzane. Zdaniem NSA wszystkie te przesłanki zostały spełnione, aby uznać, że dozwolone jest przechowywanie danych osobowych kandydatów nieprzyjętych do pracy, także po zakończeniu procesu rekrutacji.

„Gdyby przyjąć stanowisko organu, to należałoby uznać, że można przetwarzać dane
w procesie rekrutacji, po czym później tych danych po zakończeniu rekrutacji nie można przetwarzać i należy je usunąć. A następnie znowu dochodzi do reaktywacji prawa do przetwarzania danych osobowych jeżeli dojdzie do wytoczenia powództwa. Takie rozwiązanie byłoby nielogiczne”– powiedział sędzia sprawozdawca Maciej Kobak.

Ponadto, w ocenie NSA, przetwarzanie danych w związku z potencjalną obroną przed roszczeniami uzasadnione jest jedynie wtedy, kiedy sprowadza się wyłącznie do ich przechowywania.

„To jedyna operacja na danych, do której jest uprawniony podmiot, który przeprowadził rekrutację” – podkreślił sędzia Kobak.

NSA wskazał również maksymalny termin przechowywania takich danych, wynoszący 3 lata. Po upływie tego okresu i przedawnieniu roszczenia, dalsze przechowywanie danych osobowych nie ma uzasadnienia i może zostać uznane za przetwarzanie nadmiarowe.

Wydane orzeczenie bez wątpienia okaże się pomocne dla wszystkich pracodawców, którzy dotychczas mieli problem nad właściwym określeniem okresu retencji danych osobowych pozyskanych w ramach prowadzonej rekrutacji.