Do niedawna obowiązywało stanowisko Urzędu Ochrony Danych Osobowych, które mówiło że dane osobowe kandydatów aplikujących w procesie rekrutacyjnym powinny być usuwane niezwłocznie po zakończeniu tego procesu. Wyjątek stanowić może sytuacja, kiedy kandydat wyraził zgodę na przetwarzanie swoich danych na potrzeby przyszłych rekrutacji. Naczelny Sąd Administracyjny orzekł inaczej w sprawie skargi niedoszłej pracownicy firmy wysyłkowej „A”.
Przybliżmy szczegóły sprawy. Pani K. aplikowała do znanej firmy wysyłkowej „A”, niestety kobieta nie dostała pracy. Poprosiła zatem o wykasowanie jej danych z bazy, jednak firma odmówiła argumentując to tym, że musi dysponować jej danymi po skończonym procesie rekrutacji, aby zabezpieczyć się przed ewentualnymi roszczeniami kandydatki do pracy. Pani K. skierowała skargę do Urzędu Ochrony Danych Osobowych.
Prezes UODO upomniał firmę „A” wytykając jej naruszenie przepisów prawa ochrony danych osobowych poprzez bezpodstawne przetwarzanie danych po zakończeniu rekrutacji. Zdaniem UODO uchybienie to naruszało przepisy Rozporządzenia RODO, w tym m.in. art. 6 ust.1. Decyzję tą zaskarżyła firma „A”, a Warszawski Sąd Administracyjny przychylił się do wniosku firmy wysyłkowej. W opinii WSA, Prezes UODO nie wziął pod uwagę prawnie uzasadnionego interesu Administratora. Firma „A” jako administrator danych i pracodawca jest zobowiązana do respektowania regulacji Kodeksu pracy dotyczących zakazu dyskryminacji, także w trakcie przyjmowania do pracy. Sąd wskazał, że zgodnie z art. 291 Kodeksu pracy obowiązuje 3-letni termin przedawnienia takich roszczeń. Tym samym firma „A” ma uzasadniony interes w przechowywaniu tych danych właśnie przez ten okres w celu potencjalnego ich wykorzystania w możliwym procesie sądowym.
Skargę kasacyjną do Naczelnego Sądu Administracyjnego złożył Prezes UODO, ale została ona oddalona. NSA w oparciu o art. 6 ust. 1 pkt f RODO wskazał, że przetwarzanie danych osobowych musi być oparte o trzy zasadnicze przesłanki:
- Administrator musi wykazać cele, do których osiągnięcia przetwarzanie danych jest niezbędne.
- Cele te są uzasadnione interesem prawnym administratora danych.
- Interes prawny administratora ma charakter nadrzędny w stosunku do praw i wolności osoby której dane są przetwarzane.
Zdaniem Naczelnego Sadu Administracyjnego wszystkie te przesłanki zostały spełnione i należy uznać, że dozwolone jest przechowywanie danych osobowych kandydatów nieprzyjętych do pracy także po zakończeniu procesu rekrutacji. Sąd wskazał też, że przetwarzanie jest uzasadnione w tych warunkach, o ile sprowadza się ono wyłącznie do przechowywania danych kandydatów odrzuconych w procesie rekrutacji.
Podsumowując, przechowywanie danych po zakończonej rekrutacji jest uzasadnione interesem samych kandydatów jak i pracodawców. Pracodawca może przechowywać dane zebrane w toku rekrutacji od kandydatów przez 3 lata. W okresie tym, kandydaci mogą podnieść zarzut odrzucenia ich aplikacji z powodu dyskryminacji lub nierównego traktowania.