Decydując się na udział w rekrutacji do pracy, kandydaci muszą podać szereg informacji na swój temat, w tym dane teleadresowe. Czy potencjalny pracodawca ma prawo przechowywać dane osobowe kandydatów do pracy, nawet gdy nie dojdzie do zatrudnienia? Czy takie dane podlegają ochronie prawnej?
Dane osobowe kandydatów do pracy
Pracodawcy, którzy decydują się na wystawienie oferty pracy, z reguły wymagają, aby kandydaci przesyłali swoje CV oraz listy motywacyjne. W takich dokumentach znajdują się dane osobowe potencjalnych pracowników, w tym ich imiona, nazwiska, miejsce zamieszkania lub adres do korespondencji, numer telefonu, adres e-mail, a także informacje o posiadanym wykształceniu, doświadczeniu oraz dorobku zawodowym. CV stanowią pokaźny zbiór danych osobowych, które podlegają ochronie z mocy samego prawa. Stąd też pracodawcy wymagają od kandydatów umieszczenia w takim dokumencie klauzuli ze zgodą na przetwarzanie danych osobowych zgodnie z regulacjami unijnego rozporządzenia RODO oraz polską Ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych.
Czy kandydat do pracy zawsze musi podawać swoje dane w toku rekrutacji na wolne stanowisko w danej firmie? Nie, ponieważ nie istnieje żadna regulacja, która nakładałaby na niego tego rodzaju obowiązek. Z drugiej strony praktycznie wcale nie spotkamy oferty pracy, w której zatrudniający zażąda ustnego przedstawienia wykształcenia i doświadczenia przez kandydata. Oferty pracy zawsze wymagają przesłania CV, a to wiąże się z przekazywaniem danych osobowych potencjalnego pracownika.
Przetwarzanie danych osobowych kandydata do pracy
Urząd Ochrony Konkurencji i Konsumentów przez wiele lat stał na stanowisku, że przetwarzanie danych osobowych kandydatów do pracy jest możliwe wyłącznie w toku procesu rekrutacyjnego. Gdy poszukiwania nowego pracownika się zakończą, firmy były zobowiązane do usunięcia zebranych dokumentów od wszystkich potencjalnych kandydatów z wyłączeniem tego, który faktycznie został zatrudniony. Pracodawcy nie mogli więc w żaden sposób przetwarzać zgromadzonych danych, nawet jeśli miałoby to następować w celu ewentualnych przyszłych rekrutacji na inne lub podobne stanowiska pracy. Przetwarzanie takich informacji mogło się jednak odbywać za zgodą kandydata do pracy, o ile oświadczył, że zgadza się na tego rodzaju praktyki w przyszłości, tj. w toku przyszłych rekrutacji w danej firmie. Tego rodzaju oświadczenie powinno być jednak wyrażone na piśmie – w odrębnym dokumencie albo w przesłanym CV lub liście motywacyjnym, względnie w wiadomości mailowej kierowanej do pracodawcy.
Od niedawna firmy poszukujące pracowników mogą jednak przetwarzać dane kandydatów do pracy i to nawet po zakończeniu całego procesu rekrutacyjnego. Jest to efekt wyroku NSA z 20 lutego 2024 roku (sygn. akt III OSK 2700/22), który stwierdza, że pracodawcy mają prawo przechowywać i w ograniczonym zakresie przetwarzać dane osobowe kandydatów do pracy przez 3 kolejne lata od chwili zakończenia procesu rekrutacyjnego. Dotyczy to w zasadzie wszystkich osób, które udostępniły swoje dane na potrzeby danej oferty pracy. W uzasadnieniu swojego stanowiska NSA stwierdził, że przetwarzanie danych kandydatów do pracy, którzy nie zostali zatrudnieni, jest możliwe, gdy spełnione zostaną następujące przesłanki:
- administrator danych (z reguły jest nim pracodawca) musi wykazać cele, do których osiągnięcia przetwarzanie danych jest niezbędne;
- przetwarzanie danych osobowych jest w danym przypadku uzasadnione interesem prawnym administratora danych;
- interes prawny administratora ma charakter nadrzędny w stosunku do praw i wolności osoby, której dane są przetwarzane.
NSA zaznaczył także bardzo wyraźnie, że przetwarzanie jest uzasadnione, o ile sprowadza się ono wyłącznie do przechowywania danych kandydatów odrzuconych w procesie rekrutacji. Odnosząc powyższe okoliczności do praktyki, administrator danych osobowych kandydata do pracy ma prawo przechowywać jego dokumenty przez okres 3 lat w celu potencjalnej obrony swojego stanowiska, jeśli taka osoba zdecyduje się wytoczyć przeciwko niemu sprawę sądową np. w zakresie dyskryminacji w toku procesu rekrutacyjnego lub bezprawnej odmowy zatrudnienia kandydata.
Przykład 1.
Elwira była zainteresowana ofertą pracy, którą odnalazła w internecie. 1 marca 2024 roku wysłała wszystkie swoje dokumenty do pracodawcy i zastrzegła w nich, że wyraża zgodę na przetwarzanie jej danych osobowych w toku prowadzonej rekrutacji. Kobieta nie otrzymała jednak pracy, ponieważ wybrano inną osobę. Czy firma rekrutująca ma prawo do przechowywania danych osobowych Elwiry?
Tak i może to zrobić przez następne 3 lata, tj. do marca 2027 roku.
Przykład 2.
Piotr złożył swoje CV, w którym zawarł zgodę na przetwarzanie jego danych osobowych dla potrzeb rekrutacji. Jednocześnie zastrzegł, że nie wyraża zgody na wykorzystywanie jego danych w przypadku, gdyby firma go jednak nie zatrudniła. Ostatecznie mężczyzna nie zdobył nowej pracy. Czy firma ma prawo do wykorzystywania jego danych osobowych?
Tak, choć wyłącznie dla celów rekrutacyjnych, tj. w obronie swojego stanowiska, gdyby Piotr skierował wobec niej jakiekolwiek zarzuty naruszenia prawa w toku postępowania rekrutacyjnego. Firma może przechowywać dane Piotra przez okres kolejnych 3 lat.
Pamiętajmy, że pracodawca ma co prawda pełne prawo do przetwarzania danych osobowych niedoszłego pracownika, jednak wolno mu to robić wyłącznie w zakresie związanym z procesem rekrutacyjnym lub obroną swojego stanowiska w danej sprawie. Zakazane jest przetwarzanie danych w związku z innymi potrzebami lub zadaniami danej firmy, które nie mają związku z procesem rekrutacyjnym.
Przykład 3.
Natalia brała udział w procesie rekrutacyjnym na wolne stanowisko pracy w firmie X, jednak ostatecznie nie została zatrudniona. Niedoszły pracodawca wykorzystał jej dane osobowe dla własnych celów marketingowych – głównie podany przez nią numer telefonu oraz adres e-mail. Od tego czasu Natalia jest nieustannie atakowana ofertami handlowymi, które są dla niej bardzo męczące. Zażądała więc od firmy X, aby natychmiast zaprzestała przetwarzania jej danych osobowych. Firma X twierdzi jednak, że ma do tego pełne prawo, ponieważ Natalia wyraziła zgodę na przetwarzanie jej danych osobowych w procesie rekrutacyjnym i przez kolejne 3 lata może wykorzystywać je dane. Czy firma X ma prawo do podejmowania takich działań?
Nie, ponieważ przetwarzanie danych kobiety nie następuje w związku z prowadzoną uprzednio rekrutacją. Firma X nie miała prawa wykorzystywać uzyskanych danych do innych celów, w tym do własnych celów marketingowych. Powinna niezwłocznie zaprzestać stosowania takich praktyk, a jeśli tego nie zrobi, to Natalia ma prawo żądać zapłaty stosownego odszkodowania.
Przykład 4.
Marek ubiegał się o zatrudnienie w firmie Z, ostatecznie nie udało mu się uzyskać nowej pracy. W przesłanych dokumentach wyraził zgodę na przetwarzanie jego danych osobowych dla potrzeb rekrutacyjnych. Po kilku miesiącach od zakończenia rekrutacji firma Z przesłała jego dane zaprzyjaźnionej firmie X, która poszukiwała kandydatów do pracy z wykształceniem, które posiada Marek. Czy firma Z miała prawo podjąć takie kroki?
Nie, ponieważ przekazanie danych osobowych kandydata do pracy nie miało związku z pierwotnym procesem rekrutacyjnym toczącym się w firmie Z. Firma X nie ma prawa do przetwarzania danych osobowych Marka, które otrzymała od firmy Z, chyba że mężczyzna wyrazi na to zgodę.
Przykład 5.
Ewa uczestniczyła w rekrutacji na stanowisko w firmie A. Okazało się, że ostatecznie nie dostała jednak pracy. Po upływie 6 miesięcy w firmie A pojawiło się nowe stanowisko pracy – odmienne od tego, które interesowało Ewę, choć zbieżne z jej kompetencjami. Czy firma A miała prawo wykorzystać dane osobowe Ewy dla potrzeb nowej rekrutacji?
Nie, choć przetwarzanie danych nastąpiło w ramach tej samej firmy. Zgodnie z wyrokiem NSA przetwarzanie danych kandydatów z poprzedniej rekrutacji powinno ograniczać się wyłącznie do ich przechowywania i należytego zabezpieczenia, a nie do wykorzystywania dla potrzeb nowych rekrutacji.
Przykład 6.
Wojciech złożył swoje dokumenty rekrutacyjne 5 lat temu do firmy Y, ostatecznie nie został jednak w niej zatrudniony. Od kolegi tam pracującego dowiedział się, że jego CV oraz portfolio wciąż są w niej przechowywane. W związku z tym Wojciech zwrócił się z wnioskiem do firmy Y, aby niezwłocznie usunęli jego dane osobowe, na co firma Y odpowiedziała, że nie musi tego robić, a poza tym i tak dane Wojciecha nie zostały nigdzie udostępnione. Czy firma Y miała prawo odmówić usunięcia danych mężczyzny?
Nie, ponieważ minął już 3-letni okres pozwalający firmie Y na przechowywanie danych osobowych kandydatów do pracy. Firma Y ma obowiązek spełnić żądanie Wojciecha, w przeciwnym razie naraża się na odpowiedzialność za naruszenie przepisów z zakresu ochrony danych osobowych, w tym przepisów RODO.
Dane osobowe kandydatów do pracy a ich przechowywanie - podsumowanie
Firmy mają prawo przechowywać dane osobowe kandydatów do pracy, którzy ostatecznie nie zostali zatrudnieni. Jest to możliwe jednak wyłącznie przez okres 3 kolejnych lat i na potrzeby ochrony interesu prawnego danej firmy, tj. w obronie przed ewentualnymi zarzutami ze strony kandydata dotyczącymi nieprawidłowości procesu rekrutacyjnego. Wykorzystywanie takich danych w innym celu lub przekazywanie ich podmiotom zewnętrznym jest całkowicie zakazane.
