Retencja danych kandydata do pracy, który nie został zatrudniony – co wynika z wyroku NSA

Istnieje możliwość przetwarzania danych osobowych kandydata do pracy również po zakończeniu rekrutacji. Pracodawca musi mieć możliwość obrony przed roszczeniami nieprzyjętych kandydatów do pracy, do upływu okresu przedawnienia takich roszczeń. Stanowisko takie zostało potwierdzone przez sądy administracyjne, które wskazały na niepełne rozumienie tego zagadnienia przez Prezesa Urzędu Ochrony Danych Osobowych.

Jakich danych może zażądać pracodawca od kandydata do pracy według Kodeksu pracy?

Obowiązywanie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej jako: RODO) wymusiło również zmiany w prawie pracy.

Na skutek tego doszło do modyfikacji kodeksowego katalogu danych, których potencjalny pracodawca wymaga od kandydata do pracy. Zgodnie bowiem z art. 22¹ § 1 k.p. pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących imię (imiona) i nazwisko, datę urodzenia, dane kontaktowe wskazane przez taką osobę, wykształcenie, kwalifikacje zawodowe oraz przebieg dotychczasowego zatrudnienia. Jednocześnie jednak danych dotyczących wykształcenia, kwalifikacji czy dotychczasowego zatrudnienia można żądać w sytuacji, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku, co pracodawca powinien przeanalizować i ocenić.

Okrojony katalog danych, których potencjalny pracodawca może żądać od kandydata do pracy jest wynikiem realizacji zasady minimalizacji (art. 5 ust. 1 lit. c RODO), zgodnie z którą dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.

Czy są podstawy do pozyskiwania innych danych niż te wskazane w Kodeksie pracy?

Możliwe jest jednak dodatkowo żądanie innych danych, które nie zostały wymienione w katalogu, jeżeli jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 22¹ § 4 k.p.). W tym zakresie obowiązek uzyskania innych danych musi jednak wynikać wprost z obowiązujących przepisów. Znajdzie to zastosowanie zwłaszcza w przypadku żądania informacji o niekaralności potencjalnego kandydata do pracy.

Za takie szczególne przepisy, uzasadniające żądanie dodatkowych danych, uznać można chociażby art. 10 ust. 8a Karty Nauczyciela, zgodnie z którym w celu wykazania, że kandydat do pracy nauczyciela nie był skazany prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo skarbowe. Nauczyciel, przed nawiązaniem stosunku pracy, jest obowiązany przedstawić dyrektorowi szkoły informację z Krajowego Rejestru Karnego. Jest to więc obowiązek wynikający wprost z przepisów prawa co oznacza, że dyrektor musi żądać przedstawienia tego typu informacji, zaś nauczyciel musi je przedstawić, żeby wziąć udział w rekrutacji i zostać zatrudnionym. Skazanie sprawia bowiem, że nie można nawiązać stosunku pracy z osobą ubiegającą się o posadę nauczyciela.

Podobną sytuację reguluje również art. 3 ustawy o zasadach pozyskiwania informacji o niekaralności osób ubiegających się o zatrudnienie i osób zatrudnionych w podmiotach sektora finansowego. Zgodnie ze wskazanym przepisem podmiot sektora finansowego ma prawo żądać udzielenia informacji dotyczących skazania prawomocnym wyrokiem za enumeratywnie wskazane w tym przepisie przestępstwa od osoby, która ubiega się o zatrudnienie na terytorium Rzeczypospolitej Polskiej na stanowisku związanym z zarządzaniem mieniem tego podmiotu lub osób trzecich, dostępem do informacji prawnie chronionych, podejmowaniem decyzji obarczonych wysokim ryzykiem utraty mienia tego podmiotu lub osób trzecich lub wyrządzenia innej znacznej szkody temu podmiotowi lub osobom trzecim. Co prawda przepis wskazuje, że podmiot finansowy „może” żądać danych, jednakże jest to wystarczająca podstawa do ich żądania w kontekście przepisów Kodeksu pracy.

Dodatkowo możliwe jest także przetwarzanie innych danych niż wskazane w podstawowym, kodeksowym katalogu oraz innych niż wymagane przepisami prawa. Wtedy podstawą przetwarzania będzie zgoda kandydata do pracy. Przetwarzanie to nie może jednak obejmować danych osobowych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa.

Zgoda może natomiast stanowić podstawę przetwarzania danych osobowych chociażby w przypadku przetwarzania wizerunku kandydata do pracy w oparciu o zdjęcie umieszczane zwyczajowo w CV przez kandydatów. W tej sytuacji „zwykłe” dane osobowe, które nie są zawarte w katalogu określonym przepisami Kodeksu pracy, są przetwarzane przez potencjalnego pracodawcę na podstawie zgody kandydata, która przejawia się przez działanie polegające na przesłaniu pracodawcy życiorysu i listu motywacyjnego, które zawierać będą takie dane. Nie będzie więc konieczności oddzielnego i wyraźnego uzyskiwania zgody, gdyż przyjmujemy, że wysyłając CV czy list motywacyjny kandydat taką zgodę wyraził.

Zgoda na przetwarzanie dodatkowych danych musi jednak odpowiadać wymogom ogólnym zgodnie z art. 4 pkt 11 RODO, a więc musi być dobrowolna, konkretna, świadoma i jednoznaczna.  Natomiast samo przekazanie danych może nastąpić zarówno z inicjatywy potencjalnego pracodawcy, jak i kandydata do pracy.

Inaczej będzie zaś w przypadku przetwarzania danych szczególnej kategorii, a więc danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne w celu jednoznacznego zidentyfikowania osoby fizycznej lub dane dotyczące zdrowia, seksualności lub orientacji seksualnej kandydata do pracy. Przetwarzanie tego typu danych będzie możliwe w oparciu o zgodę wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie.

Nawet jednak w przypadku, w którym to kandydat do pracy ujawni z własnej inicjatywy dane chociażby o swoim stanie cywilnym czy orientacji seksualnej, to takie informacje należałoby ocenić jako nieprzydatne do celu, jakim jest przeprowadzenia procesu rekrutacji. Ich przetwarzanie nie powinno więc mieć miejsca w kontekście rekrutacji.

Jakie było stanowisko Prezesa UODO w kwestii retencji danych kandydata, który nie został przyjęty do pracy?

Istotne wątpliwości budził przy tym okres, przez jaki mogą być przetwarzane dane kandydatów do pracy po zakończeniu rekrutacji, w szczególności zaś tych kandydatów, którzy nie otrzymali oferty zatrudnienia. W praktyce pojawiły się dwa stanowiska. Zgodnie z pierwszym dane powinny być usunięte natychmiast po zakończeniu rekrutacji, zaś zgodnie z drugim, dane powinny być usunięte po przedawnieniu ewentualnych roszczeń wynikających z procesu rekrutacyjnego.

Stanowisko pierwsze zostało przyjęte przez Prezesa UODO. W poradniku przygotowanym przez UODO dla pracodawców – „Ochrona danych osobowych w miejscu pracy. Poradnik dla pracodawców” –  wskazano, że: „Co do zasady pracodawca powinien trwale usunąć dane osobowe kandydata (np. poprzez zniszczenie bądź odesłanie), z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po zakończeniu procesu rekrutacji, tj. podpisaniu umowy o pracę z nowozatrudnionym pracownikiem, chyba że ziściły się inne przesłanki uprawniające administratora do ich przetwarzania. (…) Wydłużenie okresu przechowywania danych zawartych w aplikacji, powinno być zatem wyjątkiem od reguły niezwłocznego ich usuwania oraz powinno być szczególnie uzasadnione.”

Nawet odnosząc się do kwestii zabezpieczenia przed potencjalnymi roszczeniami wskazano wprost, że: „Niedopuszczalne jest przetwarzanie danych tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem osoby, której dotyczą. W przeciwnym razie może pojawić się wątpliwość jak długo należy przetwarzać dane osobowe, jeżeli ta osoba nie zdecyduje się na wytoczenia powództwa przeciwko pracodawcy. W toku rekrutacji nie powstaje żaden stosunek zobowiązaniowy pomiędzy kandydatem do pracy, a pracodawcą. Brak jest dokonania wzajemnych rozliczeń lub możliwości zarzucenia drugiej stronie niewykonania umowy lub nieprawidłowego jej wykonania. Nie ma więc podstaw do uznania, że pracodawca jest uprawniony do przetwarzania danych z uwagi na konieczność ustalenia bądź nie, istnienia roszczenia. Działanie pracodawcy stanowiłoby przetwarzanie danych kandydata „na wszelki wypadek”.” Podobne stanowisko UODO odnosiło się do możliwości wystąpienia przez kandydata do pracy z roszczeniem z tytułu dyskryminacji.

Zasady te znalazły zresztą urzeczywistnienie w decyzji wydanej przez Prezesa UODO w styczniu 2022 r. o nałożeniu upomnienia na potencjalnego pracodawcę, który po zakończonej rekrutacji nie usunął danych kandydatki do pracy. Jak ustalono, po przeprowadzonej rekrutacji, osoba ubiegająca się o zatrudnienie zwróciła się do niedoszłego pracodawcy o usunięcie jej danych z bazy. Pracodawca udzielił jednak odpowiedzi odmownej, w konsekwencji czego kandydatka złożyła skargę na naruszenie przepisów dotyczących ochrony danych osobowych do Prezesa UODO. W wyniku przeprowadzonego postępowania Prezes UODO nałożył upomnienie na pracodawcę stwierdzając, że dalsze przetwarzanie danych osobowych po zakończonym procesie rekrutacji było bezpodstawne.

Czym pracodawcy motywowali przechowywanie danych kandydata po nieprzyjęciu go do pracy?

Dotychczasową praktyką wielu pracodawców było dalsze przetwarzanie danych nieprzyjętych kandydatów do pracy przez okres 3 lat, tj. do upływu okresu przedawnienia roszczeń związanych m.in. z dyskryminacją. 3-letni okres przedawnienia roszczeń ze stosunku pracy jest regulowany przez art. 291 § 1 k.p. Pracodawcy przyjmowali (i nadal przyjmują) więc założenie, że w przypadku ewentualnego procesu z kandydatem do pracy nie będą mogli podjąć skutecznej obrony przed zarzutem dyskryminacji. Taką retorykę przyjął również niedoszły pracodawca, na którego Prezes UODO nałożył upomnienie. Pracodawca zaskarżył więc decyzję Prezesa UODO do Wojewódzkiego Sądu Administracyjnego w Warszawie.

Pracodawca wyjaśnił, że po zakończeniu rekrutacji przetwarzał dalej dane osobowe kandydatki celem zabezpieczenia możliwości dochodzenia ewentualnych roszczeń związanych z naruszeniem zasad równego traktowania w zatrudnieniu oraz umożliwienia ochrony przed ewentualnymi roszczeniami wynikającymi z przeprowadzonych rekrutacji. Spółka wskazała również, że usuwanie danych osób, które nie zostały zatrudnione w ramach procesu rekrutacyjnego, niezwłocznie po zakończeniu tego procesu, byłoby niekorzystne również dla samych kandydatów do pracy, gdyż istotnie utrudniłoby, a nawet uniemożliwiłoby im realizację ich praw związanych z uprawdopodobnieniem przed sądem naruszenia zasady równego traktowania w zatrudnieniu.

Z uwagi na to, zaskarżając decyzję Prezesa UODO, pracodawca wskazał, że doszło do naruszenia art. 6 ust. 1 lit. f) RODO, zgodnie z którym podstawą przetwarzania danych osobowych jest prawnie uzasadniony interes administratora. Dodatkowo wskazano m.in. na naruszenie przepisów art. 18^3b i art. 18^3d Kodeksu pracy, które regulują kwestie związane z naruszeniem zasad równego traktowania w zatrudnieniu, jak również art. 291 k.p., zgodnie z którym roszczenia ze stosunku pracy ulegają przedawnieniu z upływem 3 lat od dnia, w którym roszczenie stało się wymagalne.

Wyroki WSA i NSA – co z nich wynika?

W wyroku z dnia 4.08.2022 r. WSA w Warszawie (sygn. akt II SA/Wa 543/22) podzielił stanowisko pracodawcy i uchylił decyzję Prezesa UODO. Sąd wyjaśnił, że oparcie przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f) RODO wymaga kumulatywnego spełnienia dwóch przesłanek – istnienia prawnie uzasadnionego interesu oraz niezbędności przetwarzania danych dla realizacji celu wynikającego ze wskazanego interesu. Dodatkowo występuje przesłanka negatywna, która wymaga ważenia dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych z drugiej.

WSA w Warszawie uznał przy tym, że potencjalny pracodawca ma interes prawny w rozumieniu RODO do przetwarzania (wyłącznie poprzez ich przechowywanie) danych osobowych kandydatki do pracy w celu obrony przed roszczeniami zarówno jej, jak i innych osób, które uczestniczyły w procesie rekrutacji, a które mogą być skutecznie dochodzone przez okres przedawnienia roszczeń ze stosunku pracy. W ocenie Sądu nie jest to przetwarzanie "na zapas".

Z decyzją tą nie zgodził się jednak Prezes UODO i postanowił zaskarżyć ją do Naczelnego Sądu Administracyjnego. W wyroku z dnia 20.02.2024 r. (sygn. akt III OSK 2700/22) NSA nie podzielił jednak stanowiska Prezesa UODO i oddalił jego skargę kasacyjną.

NSA zwrócił również uwagę na to, że prawnie uzasadnione interesy administratora nie mogą być rozumiane wąsko, wyłącznie jako interesy, które ściśle wiążą się z realizacją praw i obowiązków wynikających z przepisów prawa. To bowiem realizuje podstawa przetwarzania, o której mowa w art. 6 ust. 1 lit. c) RODO („przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze”). Sąd nie podzielił również stanowiska Prezesa UODO, że dane osobowe nie mogą być przetwarzane "na zapas", "na przyszłość" – możliwe jest bowiem przetwarzanie danych w celu zabezpieczenia się przed potencjalnym procesem o zapłatę odszkodowania za dyskryminację. Dla możliwości przetwarzania danych nie jest konieczne, aby sprawa taka zawisła już w sądzie. NSA zwrócił jednak uwagę, że inaczej przedstawiałaby się sytuacja administratora w przypadku, w którym upłynąłby już 3-letni okres przedawnienia wynikający z art. 291 § 1 k.p. W takiej bowiem sytuacji dalsze przetwarzanie danych osobowych nie byłoby już niezbędne do obrony przed roszczeniami.

Istotne w sprawie były również rygory wynikające z dyrektyw unijnych[1]. Te akty prawne w sposób specyficzny regulują bowiem ciężar dowodu w sprawach o dyskryminację – poszkodowany musi wskazać na okoliczności, które pozwalają na przyjęcie domniemania wystąpienia dyskryminacji. Takie działanie powoduje, że to pracodawca musi udowodnić, że nierówne traktowanie było uzasadnione przyczynami obiektywnymi a nie dyskryminacyjnymi. Podobna zasada obowiązuje zresztą również na tle polskich przepisów prawa pracy (art. 18^3b § 1 k.p.).

Jeżeli więc pracodawca przestanie przetwarzać dane osób, które brały udział w konkretnym procesie rekrutacyjnym, to nie będzie miał środków pozwalających mu na udowodnienie, że do zatrudnienia nie doszło w wyniku dyskryminacji, a w wyniku innych, obiektywnie uzasadnionych przyczyn. Można sobie wyobrazić sytuację, w której kandydatka do pracy będzie żądała zapłaty odszkodowania za dyskryminację twierdząc, że nie została zatrudniona z uwagi na swoją płeć. Nawet, jeżeli w procesie rekrutacyjnym brałyby udział inne kobiety, zaś zatrudnione osoby miałby wyższe kwalifikacje, to pracodawca nie będzie mógł tego udowodnić, jeżeli usunie dane osobowe od razu po zakończeniu rekrutacji.

NSA powołał się przy tym na wcześniejsze orzeczenia, które mają istotne znaczenie w kontekście rozpoznawanej sprawy. Jeszcze przed wejściem w życie RODO, na tle wcześniej obowiązujących przepisów dotyczących ochrony danych osobowych, NSA wydał wyrok, w którym stwierdzono, że prawnie uzasadniony interes to cel prawnie dopuszczalny (wyrok (7) NSA z 6.06.2005 r., sygn. akt I OPS 2/05). W innym zaś wyroku NSA wskazał, że nie można uzależniać dopuszczalności przetwarzania danych od wyraźnej deklaracji wystąpienia z roszczeniem do sądu (wyrok NSA z 4.12.2014 r., sygn. akt I OSK 1001/13).

Wyrok NSA z 20.02.2024 r. (sygn. akt III OSK 2700/22) pozwala więc na przyjęcie kilku istotnych tez:

• możliwe jest przetwarzanie danych po zakończeniu procesu rekrutacji,
• przetwarzanie danych po zakończeniu rekrutacji powinno polegać wyłącznie na ich przechowywaniu (a nie np. wykorzystywaniu do kontaktowania się w przypadku kolejnych rekrutacji, o ile nie było do tego odrębnej zgody),
• przetwarzanie danych po zakończeniu rekrutacji nie powinno trwać dłużej niż do upływu okresu przedawnienia ewentualnych roszczeń (3 lata wynikające z art. 291 § 1 k.p.),
• przesłanka prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f) RODO) może być podstawą przetwarzania danych osobowych w celu obrony przed możliwymi, potencjalnymi roszczeniami, a nie wyłącznie przed roszczeniami, które już w jakiś sposób zostały zakomunikowane (np. przez wysłanie wezwania do zapłaty czy złożenie pozwu).

Agata Kicińska

radca prawny, specjalista z zakresu prawa pracy i ubezpieczeń społecznych w Kancelarii Sienkiewicz i Zamroch. Współpracuje głównie z pracodawcami, w szczególności z branży energetycznej. Opracowuje strategie w sporach sądowych z pracownikami, tworzy regulaminy i porozumienia zbiorowe. Ma również doświadczenie w zakresie pracowniczych aspektów łączenia się spółek. Reprezentuje klientów w sporach sądowych z udziałem Zakładu Ubezpieczeń Społecznych, w szczególności w sprawach dotyczących prawa do wcześniejszej emerytury. Publikuje na łamach m.in. „Dziennika Gazety Prawnej”. Autorka książki „Regulamin pracy zdalnej z komentarzem i wzorami dokumentów”. Prowadzi bloga dotyczącego prawa pracy z punktu widzenia pracodawców: www.prawodlapracodawcy.pl

[1] Dyrektywa Rady 2000/43/WE z dnia 29 czerwca 2000 r. wprowadzająca w życie zasadę równego traktowania osób bez względu na pochodzenie rasowe lub etniczne, Dyrektywa Rady 2000/78/WE z dnia 27 listopada 2000 r. ustanawiająca ogólne warunki ramowe równego traktowania w zakresie zatrudnienia i pracy oraz Dyrektywa 2006/54/WE Parlamentu Europejskiego i Rady z dnia 5 lipca 2006 r. w sprawie wprowadzenia w życie zasady równości szans oraz równego traktowania kobiet i mężczyzn w dziedzinie zatrudnienia i pracy.