W sprawie dozwolonego okresu przetwarzania danych osoby, która starała się o zatrudnienie, lecz z którą nie nawiązano stosunku pracy, prezentowane są rozbieżne poglądy. Urząd Ochrony Danych Osobowych (UODO) opowiada się dość rygorystycznie za tym, aby wcześniej wspomniane dane kandydata po zakończeniu rekrutacji byłu usuwane. Z kolei w orzecznictwie sądów znajdujemy liberalne podejście do tego zagadnienia.
Przetwarzanie danych osobowych kandydatów do zatrudnienia
Dopuszczone prawem zakresy przetwarzania danych osobowych osób ubiegających się o zatrudnienie i pracowników w części się pokrywają, a częściowo są rozłączne.
Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
- imię (imiona) i nazwisko;
- datę urodzenia;
- dane kontaktowe wskazane przez taką osobę.
Ponadto, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku, pracodawca może żądać informacji o:
- wykształceniu;
- kwalifikacjach zawodowych;
- przebiegu dotychczasowego zatrudnienia (art. 221 § 1 i 2 Kodeksu pracy – dalej: kp).
Dopiero na etapie zatrudnienia konkretnej osoby (nawiązania z nią stosunku pracy) pracodawca może żądać od niej podania dodatkowych danych osobowych obejmujących:
- adres zamieszkania;
- numer PESEL, a w przypadku jego braku – rodzaj i numer dokumentu potwierdzającego tożsamość;
- inne dane osobowe pracownika, a także dane osobowe dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli podanie takich danych jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy;
- wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli nie istniała podstawa do ich żądania od osoby ubiegającej się o zatrudnienie;
- numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych (art. 221 § 3 kp).
Pracodawca ma prawo żądać od osoby ubiegającej się o zatrudnienie i od pracownika podania innych danych osobowych niż wyżej wymienione, gdy:
- jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa;
- osoba ubiegająca się o zatrudnienie lub pracownik wyrazi na to zgodę.
Jednakże zgoda nie może stanowić podstawy przetwarzania danych osobowych, o których mowa w art. 10 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – czyli RODO – tj. danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa. Z kolei dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej, mogą być przetwarzane za zgodą osoby ubiegającej się o zatrudnienie lub pracownika, wyłącznie w przypadku, gdy przekazanie tych danych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Przetwarzanie danych biometrycznych pracownika jest dopuszczalne także wtedy, gdy podanie takich danych jest niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, lub dostępu do pomieszczeń wymagających szczególnej ochrony (art. 221 § 4 i art. 221a § 1, art. 221b § 1 i 2 kp).
Stanowisko UODO a dane kandydata po zakończeniu rekrutacji
Jak wyjaśniono w opracowaniu dostępnym na stronie internetowej UODO, Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców, okres przechowywania danych kandydata do pracy powinien być dostosowany do zasad przetwarzania danych i z góry określony przez administratora (pracodawcę). Co do zasady pracodawca powinien trwale usunąć dane osobowe kandydata (np. poprzez zniszczenie bądź odesłanie), z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po zakończeniu procesu rekrutacji, tj. podpisaniu umowy o pracę z nowo zatrudnionym pracownikiem, chyba że ziściły się inne przesłanki uprawniające administratora do ich przetwarzania. Konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Wydłużenie okresu przechowywania danych powinno być zatem wyjątkiem od reguły niezwłocznego ich usuwania oraz powinno być szczególnie uzasadnione.
Jak twierdzi UODO, w toku rekrutacji nie powstaje żaden stosunek zobowiązaniowy pomiędzy kandydatem do pracy a pracodawcą. Brakuje dokonania wzajemnych rozliczeń lub możliwości zarzucenia drugiej stronie niewykonania umowy bądź nieprawidłowego jej wykonania. Nie ma więc podstaw do uznania, że pracodawca jest uprawniony do przetwarzania danych dla potrzeb wykazania istnienia albo nieistnienia ewentualnego roszczenia pracownika. Działanie pracodawcy stanowiłoby przetwarzanie danych kandydata „na wszelki wypadek”. W przypadku roszczeń wynikających z dyskryminacji kandydata do pracy to na kandydacie spoczywa obowiązek przedstawienia faktów, z których wynika domniemanie nierównego traktowania, a następnie na pracodawcę zostaje przerzucony ciężar udowodnienia, że nie traktował kandydata gorzej od innych albo że traktując go odmiennie od innych, kierował się obiektywnymi i usprawiedliwionymi przyczynami. Pracodawca może np. wykazać przed sądem, z jakiego powodu zatrudnił inną osobę na stanowisko, na które aplikował kandydat. Powszechną praktyką jest zapraszanie na rozmowę kwalifikacyjną kandydatów do pracy. To głównie w jej wyniku kandydat może odnieść wrażenie, że jest dyskryminowany. Należy jednocześnie pamiętać, że osobiste przekonanie o tym kandydata nie jest równoznaczne z uprawdopodobnieniem przez niego wystąpienia dyskryminacji. Może zatem dojść do sytuacji, w której zgodnie z jego CV legitymuje się on dużym doświadczeniem, w porównaniu do innych kandydatów ma wysokie kwalifikacje, jednak nie otrzymuje propozycji pracy z uwagi na to, że rozmowa kwalifikacyjna nie poszła mu dobrze (np. był nieuprzejmy lub nie znał odpowiedzi na merytoryczne pytania zadawane przez rekrutera), w efekcie czego pracodawca nie zatrudnił takiego kandydata. Kandydat natomiast uważa, że nie dostał pracy z uwagi na dyskryminację ze względu na płeć. Zarówno w tym, jak i w innych przypadkach – zdaniem UODO – przechowywania danych osobowych takiego kandydata do pracy po zakończeniu rekrutacji nie można uznać za niezbędne dla pracodawcy.
Stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie
W wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 4 sierpnia 2022 roku (II SA/Wa 542/22) wskazano, że jedną z przesłanek zgodnego z prawem przetwarzania danych osobowych jest wystąpienie sytuacji, w której przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO). Chodzi tu zatem o wyważenie dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych z drugiej. Prawnie uzasadniony interes trzeba rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes, który jest zgodny z prawem; może to być interes gospodarczy, faktyczny czy też prawny. Pojęcie niezbędności oznacza z kolei, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne, a więc musi występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych.
W ocenie sądu nie jest to przetwarzanie „na zapas”. Inna byłaby bowiem sytuacja, gdyby pracodawca nadal przetwarzał dane osobowe uczestnika postępowania pomimo upływu terminu przedawnienia. Wówczas rzeczywiście interes pracodawcy przetwarzającego dane kandydata po zakończeniu rekrutacji nie byłby już dłużej prawnie uzasadniony.
WSA podkreślił, że w sprawie o odszkodowanie z tytułu odmowy zatrudnienia o dyskryminującym charakterze powód powinien wykazać, że ubiegał się o zatrudnienie, miał wymagane do zatrudnienia na danym stanowisku kwalifikacje, a zatrudniona została osoba, która nie odznacza się cechą posiadaną przez powoda. Dopiero w następnej kolejności pracodawca obowiązany jest wykazać obiektywne przyczyny, którymi się kierował, podejmując decyzję odmowną. Odmowa nawiązania stosunku pracy musi być zatem uzasadniona przyczynami niedyskryminującymi pracownika. Nieprzeprowadzenie przez pracodawcę dowodu niedyskryminacji osoby ubiegającej się o nawiązanie stosunku pracy lub jego kontynuowanie uprawnia tę osobę do odszkodowania przewidzianego w art. 183d kp.
Powyższe prowadzi w ocenie WSA do wniosku, że usuwanie danych osób, które nie zostały zatrudnione, niezwłocznie po zakończeniu rekrutacji, może istotnie uniemożliwiać realizację ich praw związanych z naruszeniem zasady równego traktowania. Ponadto pracodawca nie mógłby realizować obowiązku przeciwdziałania dyskryminacji poprzez brak możliwości nadzoru nad transparentnością procesów rekrutacji oraz tego jak przetwarzane są dane kandydata po zakończeniu rekrutacji.
Przedstawiony wyżej pogląd WSA prowadzi do praktycznego wniosku, że przechowywanie po zakończeniu postępowania rekrutacyjnego dokumentów zawierających dane osobowe kandydatów do zatrudnienia, z którymi nie nawiązano stosunku pracy, może być uzasadnione interesem pracodawcy związanym z możliwymi roszczeniami wspomnianych osób domagających się odszkodowania za nierówne traktowanie na etapie rekrutacji – do czasu upływu okresu przedawnienia takich hipotetycznych roszczeń. Mając jednak na względzie konkurencyjne stanowisko UODO, warto zadbać o to, aby decyzja o dalszym przetwarzaniu danych osobowych i okresie tego przetwarzania była adekwatna do identyfikowanych przez pracodawcę w danym przypadku zagrożeń; jeżeli w ocenie pracodawcy ryzyko wystąpienia z roszczeniami przez osoby, których nie zatrudniono, jest nikłe lub zgromadzone w trakcie rekrutacji dane tych osób nie są niezbędne do podważenia takich roszczeń, to pracodawca powinien zaniechać dalszego przetwarzania danych osobowych w tym zakresie.
