Przechowywanie danych osobowych kandydatów do pracy, którzy nie uzyskali zatrudnienia jest dozwolone, aż do upływu terminu przedawnienia potencjalnych roszczeń związanych z dyskryminacją w procesie rekrutacji, czyli przez maksymalnie 3 lata.
Tak orzekł NSA w sprawie skargi niedoszłej pracownicy znanej firmy wysyłkowej A. Pani K. składała dokumenty aplikacyjne drogą elektroniczną, a firma, zgodnie z wewnętrznymi zasadami, utworzyła jej profil kandydata do pracy, przetwarzając i wykorzystując przekazane przez kandydatkę dane.
Niestety, kobieta nie dostała pracy w firmie A. Wobec tego poprosiła o wykasowanie jej danych z bazy. Jednak firma odpowiedziała odmownie, wskazując, że po pierwsze zablokowała jej profil kandydatki, a po drugie, musi dysponować nadal jej danymi nawet po zakończeniu procesu rekrutacji (zakończonego dla kandydatki negatywnie), z uwagi na potencjalne roszczenia związane z naruszeniem zasad równości w zatrudnieniu. Pani K. ponowiła drogą mailową żądania usunięcia danych, a przynajmniej podania informacji, jak długo niedoszły pracodawca ma zamiar przechowywać i przetwarzać jej dane. Tu odpowiedź znów była odmowna, a firma nie była w stanie sprecyzować, przez jak długi czas będzie przechowywać i przetwarzać jej dane jako kandydatki do pracy.
Pani K. skierowała więc skargę do Urzędu Ochrony Danych Osobowych. Prezes UODO, w odpowiedni na nią wydał decyzję, w której udzielił upomnienia firmie A. wytykając jej naruszenie przepisów prawa ochrony danych osobowych poprzez bezpodstawne przetwarzanie danych po zakończeniu procesu rekrutacyjnego, oraz różne braki formalne, w tym niepodanie dokładnego adresu siedziby administratora danych osobowych. Zdaniem UODO uchybienia te naruszały przepisy Rozporządzenia RODO, w tym m.in. art. 6 ust.1.
Decyzję tą zaskarżyła firma A. i uzyskała korzystne orzeczenie – stołeczny WSA uchylił ją. Zdaniem sądu, Prezes UODO nie wyważył właściwie dwóch elementów sprawy – dobra administratora, jego prawnie uzasadnionego interesu w dysponowaniu danymi, a z drugiej strony – uprawnień zainteresowanej kandydatki, która żądała usunięcia swoich danych po zakończeniu rekrutacji. WSA stwierdził, że firma A. jako administrator danych ale i pracodawca, musi respektować regulacje Kodeksu pracy dotyczące zakazu dyskryminacji ze względu nie tylko na zatrudnienie, ale i na takie same zakazy dyskryminacji dotyczące przyjmowania do pracy. Wskazał, że zgodnie z art. 291 k.p. obowiązuje termin przedawnienia takich roszczeń. Okres ten jest więc wyraźnie ograniczony przepisami.Tym samym firma A. ma uzasadniony interes w przechowywaniu tych danych właśnie przez ten okres (wynoszący zgodnie z k.p. -3 lata), w celu potencjalnego ich wykorzystania w możliwym procesie sądowym.
Skargę kasacyjną do NSA złożył Prezes UODO. ale została ona oddalona. NSA w oparciu o art. 6 ust. 1 pkt f RODO wskazał, że przetwarzanie danych osobowych musi być oparte o trzy zasadnicze przesłanki: po pierwsze administrator musi wykazać cele, do których osiągnięcia przetwarzanie danych jest niezbędne, po drugie, cele te są uzasadnione interesem prawnym administratora danych i wreszcie po trzecie – interes prawny administratora ma charakter nadrzędny w stosunku do praw i wolności osoby której dane są przetwarzane. Zdaniem NSA wszystkie te przesłanki zostały spełnione, aby uznać, że dozwolone jest przechowywanie danych osobowych kandydatów nieprzyjętych do pracy, także po zakończeniu procesu rekrutacji.
- Celem, jaki sformułował administrator, spółka A., jest obrona przed przyszłym roszczeniem wnioskodawczyni dotyczącym potencjalnej dyskryminacji w procesie zatrudnienia, której dane osobowe przetwarzane były w toku rekrutacji. Tu mamy do czynienia z roszczeniem które istnieje, choć niekoniecznie może się zmaterializować w postaci złożenia stosownego pozwu do sądu. Wynika ono z przepisów Kodeksu pracy. Jest więc cel administratora, oparty o jego uzasadniony interes prawny. Gdyby przyjąć stanowisko organu, to należałoby uznać, że można przetwarzać dane w procesie rekrutacji, po czym później tych danych po zakończeniu rekrutacji nie można przetwarzać i należy je usunąć. A następnie znowu dochodzi do reaktywacji prawa do przetwarzania danych osobowych jeżeli dojdzie do wytoczenia powództwa. Takie rozwiązanie byłoby nielogiczne. – powiedział sędzia sprawozdawca Maciej Kobak.
NSA wskazał, też, że przetwarzanie jest uzasadnione w tych warunkach, o ile sprowadza się ono wyłącznie do przechowywania danych kandydatów odrzuconych w procesie rekrutacji.
- To jedyna operacja na danych, do której jest uprawniony podmiot który przeprowadził rekrutację – podkreślił sędzia Kobak.
Nie oznacza to jednak bezterminowego przechowywania takich danych. Tu NSA wskazał, że 3-letni termin przedawnienia z k.p. ma istotne znaczenie, gdyż decyduje o niezbędności przetwarzania danych osobowych.
- Jeżeli takie roszczenie uległo przedawnieniu, tj. podmiot który przeprowadził rekrutację dysponuje skutecznym zarzutem przedawnienia, to w takiej sytuacji przetwarzanie danych osobowych niezbędne nie jest. Tym samym można przyjąć, że po upływie terminu przedawnienia, przetwarzanie nie ma uzasadnienia. Nie będzie bowiem spełniona przesłanka niezbędności przetwarzania danych osobowych. Tak więcmożliwość wniesienia pozwu roszczenia o dyskryminację po zakończeniu procesu rekrutacji uzasadnia dalsze przetwarzanie danych osobowych, ale tylko do zakończenia terminu przedawnienia tych roszczeń – stwierdził w konkluzji sędzia Kobak.
