Przechowywanie danych pozyskanych w czasie rekrutacji jest zgodne z RODO, bo pracodawca bez nich nie obroni się przed zarzutami o dyskryminację
DGP dotarł do uzasadnienia wyroku WSA w Warszawie, opisywanego już na naszych łamach („Usuwanie informacji utrudniłoby pracodawcom przeciwdziałanie dyskryminacji”, DGP nr 153/2022), który może mieć ogromne znaczenie dla wszystkich pracodawców prowadzących procesy rekrutacyjne. W pierwszym i przełomowym orzeczeniu warszawski sąd administracyjny nie zgodził się bowiem z prezesem Urzędu Ochrony Danych Osobowych (PUODO), który oczekuje, aby dane kandydatów, którzy nie otrzymali propozycji zatrudnienia, były niezwłocznie usuwane z akt i systemów informatycznych pracodawców.
„Czy spółka słyszała o RODO?”
Spór w tej sprawie rozpoczął się jeszcze w 2020 r., po tym jak jedna z kandydatek do pracy w międzynarodowym koncernie nie została w nim zatrudniona. Po zakończeniu procesu rekrutacji zażądała od spółki usunięcia jej danych, w odpowiedzi została poinformowana, że nie jest to możliwe, gdyż jej profil został zablokowany w systemie, a spółka jest zobowiązana do przechowywania tych danych w celu dochodzenia, ustalenia czy obrony roszczeń. Spółka zobowiązała się do ich usunięcia zgodnie z jej polityką retencyjną. Kobieta zapytała zatem m.in. o to: jaka jest polityka retencyjna spółki, przez jaki okres będą przechowywane jej dane i czy ta spółka słyszała o RODO, skoro przetwarza jej dane bez jej zgody i mimo zgłoszonego sprzeciwu. W odpowiedzi dowiedziała się, że celem przetwarzania tych danych jest obrona przed roszczeniami antydyskryminacyjnymi.
Po niespełna roku UODO, do którego trafiła jej skarga, zwrócił się do spółki o wyjaśnienia w tej sprawie. Postępowanie zakończyło się udzieleniem spółce upomnienia za m.in. bezpodstawne przetwarzanie danych po zakończeniu procesu rekrutacyjnego. W uzasadnieniu decyzji z 17 stycznia 2022 r. PUODO powołał się na obowiązki administratora danych osobowych określone w art. 6 ust. 1 RODO i stwierdził, że okres przechowywania danych kandydata do pracy powinien być z góry określony przez administratora. A dane osoby, z którą nie została zawarta umowa o pracę, powinny zostać trwale usunięte niezwłocznie po zakończeniu procesu rekrutacji. PUODO nie uwzględnił argumentów o konieczności przechowywania danych ze względu na możliwość wystąpienia z roszczeniami dotyczącymi nierównego traktowania w czasie rekrutacji. Urząd stwierdził, że niedopuszczalne jest przetwarzanie danych osobowych „niejako na zapas”, z założeniem, że mogą one być ewentualnie przydatne w przyszłości.
Przedsiębiorca ma prawo do obrony
Po tym jak spółka złożyła skargę na decyzję PUODO, WSA w Warszawie w wyroku z 4 sierpnia 2022 r. uchylił decyzję PUODO w zakresie udzielenia spółce upomnienia. Stwierdził bowiem, że PUODO nie tylko nie wyważył dóbr chronionych prawem, czyli prawnie uzasadnionego interesu administratora i interesów, podstawowych praw oraz wolności podmiotu danych, ale w ogóle nie odniósł się do przywołanych przez spółkę podstaw legalizacyjnych przetwarzania danych osobowych osób uczestniczących w procesie rekrutacji, czyli art. 291 w związku z art. 183b oraz art. 183d kodeksu pracy.
Sąd uznał, że skoro immanentną cechą prawnie uzasadnionych interesów administratora jest ich „niezbędność”, to dane przetwarzane na potrzeby prawnie uzasadnionych interesów powinny być „niezbędne” do ich realizacji. Zdaniem WSA nie powinno ulegać wątpliwości, że spółka ma interes prawny, w rozumieniu RODO, do przetwarzania (wyłącznie poprzez ich przechowywanie) danych osobowych kandydatów do pracy w celu obrony przed roszczeniami. A mogą być one skutecznie dochodzone przez okres przedawnienia roszczeń ze stosunku pracy wynikający z art. 291 kodeksu pracy (trzy lata). Nie jest to więc przetwarzanie danych „na zapas”. Ponadto WSA wskazał, że interes pracodawcy w przechowywaniu tych danych ma swoje źródło w odwróceniu ciężaru dowodu w postępowaniach z zakresu dyskryminacji i nierównego traktowania. Sąd zgodził się też z tym, że interes ten rozciąga się również na strony trzecie, gdyż dane takie mogą być im niezbędne dla porównania przez pracodawcę ich sytuacji prawnej na etapie rekrutacji, co powoduje, że bez takich danych proces rekrutacji stałby się nietransparentny, a kandydaci zostali pozbawieni środków dowodowych w zainicjowanych przez siebie postępowaniach.
Na koniec WSA wskazał, że PUODO, ponownie rozpatrując sprawę, powinien odnieść się do przesłanki uzasadnionego interesu, o którym mowa w art. 6 ust. 1 lit f RODO, w aspekcie art. 11, art. 183b i 183d, w związku z art. 291 k.p.
Wyrok jest nieprawomocny.
opinia
Profilaktyka antydyskryminacyjna jest konieczna
Cieszymy się z tego wyroku, gdyż sąd dostrzegł subtelności, jakie dla ochrony danych osobowych po zakończeniu procesu rekrutacji wynikają z przepisów prawa pracy. Urząd Ochrony Danych Osobowych stoi bowiem na stanowisku, że dane kandydatów powinny być usuwane zaraz po zakończonej rekrutacji. Tymczasem kandydaci do pracy mają prawo wiedzieć, dlaczego ich aplikacja została odrzucona. A gdyby okazało się, że niedoszły pracodawca potraktował ich niesprawiedliwie, mają przecież aż trzy lata na złożenie pozwu o odszkodowanie za nierówne traktowanie. Pracodawcy powinni więc mieć możliwość obrony, a do tego potrzebne są podstawowe informacje, dlaczego kandydat nie przeszedł do kolejnego etapu. Taka potwierdzona w pisemnym uzasadnieniu wyroku zmiana interpretacji przepisów to także spore wyzwanie dla pracodawców. Wydłużenie okresu przechowywania danych kandydatów do pracy nie oznacza, że można te informacje wykorzystywać bez ograniczeń. Mogą one służyć wyłącznie do obrony przed roszczeniami antydyskryminacyjnymi i w celu profilaktyki przeciwdziałania dyskryminacji, a nie mogą być przetwarzane w kolejnych rekrutacjach, do których zgłoszą się ci sami kandydaci, bez ich zgody. Nawet pracodawcy, którzy tylko przechowują dane kandydatów i w żaden sposób nie weryfikują transparentności procesów, tj. czy ocena kandydatów była obiektywna, będą mogli się powoływać na cel w postaci przeciwdziałania dyskryminacji, pomimo że ograniczone to będzie wyłącznie do sytuacji sprawdzenia następczego, po wniosku czy skardze kandydata. Może się zdarzyć, że część osób, które uczestniczyły w spornym procesie, będzie chciała skorzystać z prawa do bycia zapomnianym. Wtedy pracodawca może i powinien zachować ślad oceny ich kandydatury w odpowiedzi na taki wniosek właśnie z uwagi na wspomniany wyżej cel. Taka profilaktyka antydyskryminacyna powinna być zachowana także wtedy, gdy poszukiwaniem kandydata do pracy zajmuje się zewnętrzna firma rekrutacyjna, czy też gdy do pewnego etapu odbywa się to w sposób zautomatyzowany. Pracodawca, który zawsze będzie adresatem roszczeń, powinien zadbać o to, by algorytm był ustawiony prawidłowo, a zewnętrzny podmiot raportował mu na każdym etapie rekrutacji, jakie były kryteria doboru kandydatów i czym kierowano się przy ostatecznym wyborze. ©℗
ORZECZNICTWO
Sygn. akt II SA/WA 542/22 www.serwisy.gazetaprawna.pl/orzeczenia
