Przechowywanie danych osobowych kandydatów do pracy, którzy nie zostali zatrudnieni, było niezwykłym problemem dla administratorów. Dotychczasowe wytyczne, w tym stanowisko UODO, wskazywały, iż należy je usuwać po zakończeniu konkretnego procesu rekrutacji. Niedawne orzeczenie NSA postawiło jednak precedensową tezę.
Orzeczenie to dotyczyło sprawy potencjalnego pracownika, który złożył skargę do organu nadzorczego. Podczas prowadzonego procesu rekrutacyjnego, administrator m.in.: utworzył zgodnie z wewnętrznymi procedurami profil kandydata do pracy, w ramach którego przetwarzał i wykorzystywał przekazane przez kandydata dane. Nie udało mu się uzyskać zatrudnienia, więc poprosił o usunięcie jego danych z baz danych administratora. Uzyskał jednak odmowę, którą argumentowano m.in.: koniecznością ich dalszego przetwarzania z uwagi na potencjalne roszczenia związane z naruszeniem zasad równości w zatrudnieniu. W obliczu dalszych odmów, kandydat złożył skargę na administratora.
W tej sprawie PUODO wydał decyzję, w której udzielił administratorowi upomnienia. W treści decyzji wskazano, iż postępowanie spółki narusza zasady zawarte w treści art. 6 ust. 1 RODO. Miało do tego dojść poprzez bezpodstawne przetwarzanie danych po zakończeniu procesu rekrutacyjnego, czy też niewskazanie dokładnego adresu siedziby administratora danych osobowych. Administrator zaskarżył powyższą decyzję do warszawskiego WSA. Sąd przychylił się do skargi spółki. W opinii sądu PUODO nie dokonał w odpowiedni sposób oceny dwóch ważnych i jednocześnie sprzecznych ze sobą okoliczności:
- Dobra administratora, w tym również jego prawnie uzasadnionego interesu w dysponowaniu danymi osobowymi kandydata oraz
- Uprawnień kandydata.
Zdaniem sądu administrator zobowiązany był do respektowania regulacji Kodeksu pracy, w tym tych dotyczących zakazu dyskryminacji ze względu nie tylko na zatrudnienie, ale i na takie same zakazy dyskryminacji dotyczące przyjmowania do pracy, zawarte w art. 291 k.p.
Organ nadzorczy złożył skargę kasacyjną na orzeczenie WSA. NSA oddalił jednak skargę organu. Wskazał bowiem, iż w oparciu o art. 6 ust. 1 pkt. f) RODO administrator musi przetwarzać dane na podstawie następujących przesłanek:
- Musi on wykazać cele przetwarzania, do których osiągnięcia przetwarzanie danych jest niezbędne;
- Muszą one stanowić uzasadniony interes administratora; oraz
- Muszą być one nadrzędne względem praw i wolności osoby, której dane są przetwarzane.
Zdaniem NSA administrator był w stanie wykazać te przesłanki i był upoważniony do przetwarzania ich po zakończeniu procesu rekrutacyjnego.
Komentarz Auraco:
Orzeczenie to jest przełomowe dla działów HR oraz spółek prowadzących częste rekrutacje. Pozwala bowiem na uprawnione przetwarzanie danych osobowych kandydatów po zakończeniu procesów rekrutacyjnych. Należy jednak pamiętać, że w tym przypadku okres retencji wynosi 3 lata od momentu zakończenia procesu rekrutacyjnego. Tyle trwa bowiem termin na wystąpienie z roszczeniami zgodnie z kodeksem pracy. Po tym czasie dane kandydata powinny zostać usunięte.
Źródło:
Orzeczenie Naczelnego Sądu Administracyjnego (Sygn. Akt III OSK 2700/22).