Przechowywanie danych osobowych kandydatów do pracy w trakcie trwającej rekrutacji i po jej zakończeniu wciąż budzi wiele wątpliwości pracodawców. W obawie przed sankcjami Urzędu Ochrony Danych Osobowych niejednokrotnie na wszelki wypadek zabezpieczają się zgodami, które później nierzadko utrudniają im życie. Jedną z wątpliwości rozstrzygnął ostatnio Wojewódzki Sąd Administracyjny w Warszawie, który uznał, że pracodawcy nie muszą usuwać danych osób, które nie otrzymały posady, o którą się w tej firmie ubiegały. Pełnomocnicy wygranego pracodawcy na naszych łamach wyjaśniali, dlaczego to tak ważne orzeczenie („Usuwanie informacji utrudniłoby pracodawcom przeciwdziałanie dyskryminacji”, DGP nr 153 z 9 sierpnia 2022 r.). Dziś wracamy do niego, omawiając je i przypominając podstawowe zasady ochrony danych osobowych w procesie rekrutacji.

Kwestie dotyczące przetwarzania danych osobowych kandydatów do pracy reguluje ustawa z 26 czerwca 1974 r. ‒ Kodeks pracy (t.j. Dz.U. z 2022 r. poz. 1510; ost.zm. Dz.U. z 2022 r. poz. 1700). Wymienia chociażby dane, jakich pracodawca może żądać od kandydata do pracy. Z kolei zasady ich przechowywania, w tym okres, przez jaki można to robić, określa rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE z 2016 r. L 119, s. 1; RODO). Nie wszystkie reguły są jednak oczywiste, a ponadto z interpretacją niektórych przepisów nie zgadzają się pracodawcy i eksperci.
Jedną z takich spornych spraw rozstrzygnął Wojewódzki Sąd Administracyjny w Warszawie w na razie nieprawomocnym wyroku z 4 sierpnia 2022 r., sygn. akt II SA/Wa 542/22. Sąd uchylił decyzję prezesa UODO, w której udzielił on upomnienia pracodawcy za przechowywanie danych kandydatów po skończonej rekrutacji. Tym samym podważył wykładnię prezesa UODO, która była niekorzystna dla pracodawców. Na razie wyrok jest nieprawomocny, ale prawnicy mają nadzieję, że Naczelny Sąd Administracyjny podzieli stanowisko sądu wojewódzkiego. Zdaniem UODO pracodawca powinien trwale usunąć dane osobowe kandydata, z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po zakończeniu procesu rekrutacji. Dostrzega on również, że wydłużenie okresu przechowywania może mieć miejsce, ale jest wyjątkiem od reguły i powinno być szczególnie uzasadnione. Zdaniem WSA to jednak zbyt wąska interpretacja prawnie usprawiedliwionego celu administratora (pracodawcy), nieuwzględniająca też interesów innych osób biorących udział w rekrutacji. To pierwsze orzeczenie z takim rozstrzygnięciem. [ramka]
Od decyzji UODO warto odwołać się do WSA
Wyrok WSA w Warszawie wywołał poruszenie, ponieważ po raz pierwszy potwierdził, że restrykcyjne stanowisko prezesa UODO jest nieprawidłowe.
‒ Dopuszczalność przechowywania takich danych dopuściło Ministerstwo Cyfryzacji (stanowisko z 23 stycznia 2019 r.), również w celu obrony przed ewentualnymi roszczeniami kandydatów (np. na wypadek zarzutu naruszenia wynikającej z kodeksu pracy zasady niedyskryminacji). Ponieważ wytyczne były niewiążące, a prezes UODO szybko oficjalnie je skrytykował, dopiero obecne orzeczenie WSA będzie stanowiło realny argument w postępowaniu przed prezesem UODO. Warto jednak poczekać na uzasadnienie tego wyroku, aby poznać pełne spektrum argumentacji sądu – mówi Agata Mierzwa, adwokat, partner w praktyce prawa pracy kancelarii Domański Zakrzewski Palinka.
Agata Majewska, radca prawny z kancelarii Ślązak, Zapiór i Partnerzy, dodaje, że dotychczas polskie sądy rozpatrywały raczej sprawy dotyczące zasadności żądania od kandydata do pracy danych wprost wskazanych w kodeksie pracy jako te, których podania może żądać przyszły pracodawca.
‒ W naszej ocenie brak dotychczasowego orzecznictwa w tej kwestii wynika bądź z braku podobnych decyzji prezesa UODO (choć nie wszystkie decyzje są publikowane), bądź też z braku chęci pracodawców do odwoływania się od decyzji w tej kwestii, jeżeli sankcją miałoby być upomnienie czy nakazanie usunięcia danych bez sankcji finansowych – tłumaczy Sławomir Paruch, partner w kancelarii PCS Paruch Chruściel Schiffter Stępień | Littler Global. Należy jednak pamiętać, że za udzieleniem upomnienia w dalszym ciągu stoi stwierdzenie naruszenia przepisów o ochronie danych osobowych. Może to zatem rzutować na inne postępowania w przyszłości, których przedmiotem będą poważniejsze kwestie. ‒ Dlatego w razie stwierdzenia przez prezesa UODO naruszenia w tym zakresie rekomendujemy każdorazowo, by wnieść odwołanie do WSA, co po wydaniu omawianego orzeczenia powinno prowadzić do wydania korzystnego wyroku – mówi Sławomir Paruch. ©℗
‒ WSA podzielił stanowisko, że zatrudniający jest wręcz obowiązany przechowywać dane z procesów rekrutacyjnych w celu przeciwdziałania dyskryminacji – podkreśla dr Dominika Dörre-Kolasa, partner w kancelarii Raczkowski IUS Laboris Global HR Lawyers, która była pełnomocnikiem reprezentującym pracodawcę w tej precedensowej sprawie. Sławomir Paruch, partner w kancelarii PCS Paruch Chruściel Schiffter Stępień | Littler Global, zwraca uwagę, że usunięcie danych osobowych od razu po zakończeniu procesu rekrutacji może też powodować ryzyko negatywnych skutków dla pracodawcy, jeżeli niedoszły pracownik zdecyduje się na wytoczenie procesu, zarzucając pracodawcy np. dyskryminację.
Agata Majewska, radca prawny z kancelarii Ślązak, Zapiór i Partnerzy, przyznaje, że wyrok WSA w Warszawie jest ważny nie tylko z punktu widzenia interesów samego pracodawcy, lecz także uczestników rekrutacji – w szczególności tych, których aplikacje zostały na jej poszczególnych etapach odrzucone.
‒ Obowiązkiem pracodawcy jest przeciwdziałać dyskryminacji. A niszcząc dokumenty kandydatów, pozbawia się takiej możliwości. Nie może prowadzić działań profilaktycznych w tym zakresie. Nie będzie miał też jak odpierać zarzutów kandydata o dyskryminację, jeśli ten takie wniesie. Jak wynika z wyroków Europejskiego Trybunału Sprawiedliwości, firma, która odmawia informacji na temat tego, dlaczego nie dopuściła kandydata do kolejnego etapu rekrutacji, uprawdopodabnia zjawisko dyskryminacji. Dlatego pracodawca powinien przechowywać dane wszystkich kandydatów. Nie można bowiem analizować informacji o jednym w oderwaniu od pozostałych – stwierdza dr Dominika Dörre-Kolasa. Nie mając danych kandydatów, nie można prześledzić prawidłowości przeprowadzonego procesu, a więc sprawdzić, czy aby np. nie zawiódł algorytm zastosowany w teście. ‒ Zdarzały się przypadki, że pytania były tak skonstruowane, iż kobiety były odrzucane z rekrutacji na wstępie, mimo że pracodawca nie miał takiej intencji – dodaje dr Dominika Dörre-Kolasa.
Podobnie uważa Sławomir Paruch, zaznaczając, że dane pracodawca powinien przechowywać po procesie rekrutacji ze względu na ewentualne roszczenia, które mogą pojawić się od wszystkich odrzuconych osób. ‒ Podstawowym przykładem są roszczenia na tle dyskryminacyjnym. Kandydaci, którzy nie uzyskali zatrudnienia, uznając, że przyczyną odmowy nawiązania z nimi stosunku pracy były np. niepełnosprawność lub narodowość, mogą dochodzić odszkodowania. Warto wspomnieć, że w takim procesie to pracodawca musi wykazać, iż dyskryminacja nie miała miejsca – wyjaśnia Sławomir Paruch. Zauważa przy tym, że ważnym dowodem będą zatem inne odrzucone kandydatury, niedoszli pracownicy jako świadkowie lub wreszcie dane osoby, która podnosi zarzuty. Dlatego przechowywanie danych osobowych po procesie rekrutacji nie powinno budzić wątpliwości i wydaje się wręcz niezbędne.

Jak długo przechowywać

Zatem przechowywać trzeba, ale jak długo? Prawnicy doradzają przeanalizowanie potencjalnych roszczeń związanych z rekrutacją, a także przydatności CV osób chcących, by ich dane zostały zachowane w dalszym okresie. Jest to uzależnione od wielu zmiennych, jak chociażby branża, w której działa pracodawca, lub likwidacja przez niego niektórych gałęzi działalności, do których nadesłano zgłoszenia. Nie bez znaczenia jest chociażby to, że wymienione w CV umiejętności, certyfikaty lub szkolenia po kilku lub kilkunastu miesiącach mogą okazać się już nieprzydatne lub nieaktualne z punktu widzenia zapotrzebowania pracodawcy. ‒ Z tego powodu zalecane jest jasne sformułowanie informacji, że pracodawca nie rozpatruje aplikacji przesłanych poza ogłoszonymi procesami rekrutacyjnymi, a także nie przechowuje aplikacji kandydatów, którzy wyrazili zgodę na pozostanie w bazie po zakończonej rekrutacji, dłużej niż np. dwa lata z możliwością aktualizacji danych. Tylko taka forma pozwala na zachowanie zgodności z zasadą adekwatności do celu przetwarzania danych – stwierdza dr Dominika Dörre-Kolasa.
Co jednak z zarzutami o dyskryminację? ‒ Pracodawcy, stosując się do zasad przetwarzania danych osobowych, powinni jednak pamiętać, że dane te nie powinny być przetwarzane w innym celu, jak również okres ich przechowywania nie powinien być nadmierny. Datą graniczną będzie przede wszystkim trzyletni okres przedawnienia roszczeń na tle dyskryminacyjnym. Ważnym elementem jest również zapewnienie bezpieczeństwa danych osobowych – uważa Sławomir Paruch. Wskazuje też na obowiązki pracodawców w zakresie przeciwdziałania dyskryminacji czy nierównemu traktowaniu, które dotyczą nie tylko pracowników, lecz także kandydatów do pracy. Jedynie porównanie informacji zebranych w toku rekrutacji pozwala na sprawdzenie i wykazanie, że przy wyborze nie kierowano się kryteriami o charakterze dyskryminacyjnym czy też nie doszło do nierównego traktowania. ‒ Możemy sobie natomiast wyobrazić sytuację przeciwną, w której pracodawcy usuwają wszelkie dane po zakończonej rekrutacji. Mając na uwadze, że kandydaci muszą zostać poinformowani o okresie przechowywania danych, mieliby pełną świadomość, że pracodawca nie ma w takiej sytuacji żadnych danych osób biorących w procesie rekrutacyjnym. Wystarczyłoby więc, że po pewnym czasie odrzucony kandydat podniósłby zarzut dyskryminacji, twierdząc np., że nie został wybrany ze względu na płeć, wiek czy inne kryterium. Wówczas pracodawca, który musi udowodnić, że nie kierował się takim kryterium, byłby całkowicie bezbronny. A od tego już prosta droga do nadużyć – wskazuje Sławomir Paruch.
Doktor Dominika Dörre-Kolasa podkreśla, że ważne jest nie tylko zwrócenie uwagi na trzyletni okres przechowywania danych, lecz także stosowanie zasady minimalizacji danych. Bywa bowiem, że serwery pracodawcy nie pozwalają na przechowywanie wszelkich danych, które przekazują kandydaci. Co więcej, nie wszystkie informacje są dla danego procesu rekrutacyjnego niezbędne. ‒ W tej sytuacji należy ograniczyć się do danych, które zaważyły na decyzjach podejmowanych w procesie rekrutacji. Jeśli kandydat przeszedł dobrze test, to z niego zachowujemy wyniki, ale już nie ma konieczności zachowania odpowiedzi na wszystkie pytania. Jeśli poległ na rozmowie, to ją zachowujemy w całości dla porównania z wynikami rozmów odbytymi z innymi kandydatami – tłumaczy dr Dominika Dörre-Kolasa. Można też, jak dodaje, poinformować kandydatów, że ich dane będą przechowywane np. tylko przez rok. Tym samym daje się sygnał, że jeśli kandydat chce wystąpić z roszczeniem dotyczącym rekrutacji, to powinien to zrobić w tym czasie.

Zgody nie potrzeba

Od dawna problematyczna jest także zgoda na przetwarzanie danych na potrzeby rekrutacji. Niektórzy rekruterzy twierdzą, że nie mogą skorzystać z CV, jeśli takiej zgody w nim nie umieszczono. Czy faktycznie jest potrzebna? Zdaniem prawników nie. Podkreślają, że podstawą przetwarzania danych mogą być niezbędność do zawarcia umowy, prawnie uzasadnione interesy pracodawcy czy wręcz realizacja obowiązków pracodawcy. Nie ma więc znaczenia, czy kandydat w CV napisze, że na to zezwala, lub nie zamieści takiej informacji. Choć, jak uważa Agata Mierzwa, adwokat, partner w praktyce prawa pracy kancelarii Domański Zakrzewski Palinka, jeśli kandydat zawrze takie sformułowanie w CV, to zdejmuje pracodawcy problem z głowy. Zgoda kandydata jest bowiem odrębną podstawą legalizującą przetwarzanie danych.
Prawnicy przyznają też, że wymóg umieszczenia adnotacji o wyrażeniu zgody w CV, zaznaczenie check-boxu ze zgodą lub wyraźnego oświadczenia, że kandydat taką zgodę wyraża, jest powszechnie spotykany. ‒ Pamiętajmy, że zgoda podmiotu nie jest jedyną podstawą do przetwarzania danych. Jest natomiast w praktyce często i błędnie nadużywana – zaznacza Agata Majewska. Podobnie uważa Sławomir Paruch, podkreślając wręcz, że praktyka ta jest nieprawidłowa i, co istotniejsze, może okazać się problematyczna dla samych pracodawców w przypadku cofnięcia takiej zgody przez kandydata (nie dotyczy to oczywiście np. zgody na udział w innych przyszłych rekrutacjach, co jest jak najbardziej uzasadnione). ‒ W przypadku, gdy kandydat cofnie zgodę, możliwość powołania się na inną podstawę przetwarzania danych jest istotnie ograniczona. Przyjmuje się bowiem, że nie ma możliwości zastępowania zgody inną podstawą, jeżeli stanowiła ona pierwotną podstawę przetwarzania danych – tłumaczy Sławomir Paruch.
Cofnięcie zgody przez kandydata po zakończeniu procesu rekrutacji może okazać się problematyczne, jeżeli pracodawca chciałby jeszcze przechowywać jego dane na wypadek ewentualnych roszczeń. Znacznie osłabia to jego pozycję w związku z odpadnięciem dotychczasowej podstawy przetwarzania danych osobowych. Rozpoczynając proces rekrutacji, warto mieć to na uwadze i unikać zbierania zgód, gdy, jak wskazano wyżej, właściwą podstawą przetwarzania mogą być niezbędność do zawarcia umowy, prawnie uzasadnione interesy pracodawcy czy wręcz realizacja obowiązków pracodawcy. ‒ Problem ten nie wystąpi, jeżeli pracodawca powoła się na powyższe podstawy, a pracownik i tak umieści informację o wyrażeniu zgody. Oczywiście zgoda ta daje nam dodatkowy argument w przypadku sporu z prezesem UODO, ale nie jest niezbędna. Niemniej jednak nawet w przypadku jej cofnięcia przez kandydata podstawą przetwarzania danych osobowych kandydatów w związku z procesem rekrutacji będą podstawy wskazane przez pracodawcę w klauzuli informacyjnej – mówi Sławomir Paruch.
Dlatego, zdaniem ekspertów, najważniejsze jest unikanie pozyskiwania zgód kandydatów z inicjatywy pracodawcy i tym samym stosowania zgody jako podstawy przetwarzania danych kandydatów w procesie rekrutacji. Jeżeli jednak pracownik wyrazi ją z własnej inicjatywy, nie będzie to miało szczególnego, a przede wszystkim negatywnego znaczenia dla pracodawcy. Brak zgody w żaden sposób nie ogranicza również możliwości dalszego przechowywania danych w celach obrony przed roszczeniami lub wykazania braku dyskryminacji czy nierównego traktowania.

Zbędne informacje

Wątpliwości budzi też jest kwestia przekazywania przez kandydatów nadmiarowych, często zbędnych danych osobowych. A pracodawcy nie mają przecież wpływu na to, co ostatecznie znajdzie się w CV kandydata. ‒ Zgodnie z utrwalonymi standardami kandydaci często podają swoje zainteresowania lub wstawiają zdjęcie, co nie jest niczym nadzwyczajnym. Możemy się jednak spotkać również z innymi informacjami z życia prywatnego kandydata, jak np. liczba dzieci lub stan cywilny. Oczywiście informacje te nie powinny wpływać na ocenę kandydata, ale nie stanowią one problemu dla pracodawcy. W takich przypadkach uznaje się, że pracownik dobrowolnie, tj. na podstawie dorozumianej zgody, godzi się na ich przetwarzanie – opowiada Sławomir Paruch. Nie zwalnia to jednak pracodawcy, jak zaznacza dr Dominika Dörre-Kolasa, z obowiązku selekcji informacji i nieprzetwarzania danych nadmiarowych w inny sposób niż tylko ich przechowywanie. W praktyce jest to utrudnione przy rekrutacji odbywającej się online, która obecnie jest powszechną praktyką. ‒ Tym istotniejsze są dokładne opisy profilu kandydata, wskazanie, jakie informacje o nim są przez pracodawcę oczekiwane, aby przynajmniej w ten sposób ograniczyć napływ danych, które dla procesu są zbędne. Takie dane można jedynie przechowywać, ale nie przekazywać osobom uczestniczących w procesie decyzyjnym – uzupełnia dr Dominika Dörre-Kolasa. ©℗