Wstęp
Zdaniem Naczelnego Sądu Administracyjnego[i] możliwe jest przetwarzanie danych osobowych kandydatów do pracy po zakończeniu rekrutacji. Sąd nie zgodził się tym samym z poglądami UODO i potwierdził tym samym stanowisko przyjmowane przez administratorów ochrony danych, zgodnie z którym administrator nie mógł bronić się przed zarzutami postawionymi pod jego adresem ani nie mógł posiadać żadnych dowodów umacniających jego stanowisko w przypadku konfliktu z kandydatem. Jak zatem należy przechowywać takie dane osobowe?
Stan faktyczny sprawy
Jedna z kandydatek do pracy złożyła skargę do UODO na niezgodne z prawem przetwarzanie danych przez spółkę, mające polegać na nieusunięciu jej danych po zakończeniu procesu rekrutacji. Organ nałożył na podmiot upomnienie w wyniku złożenia skargi wskazując, że okres przechowywania danych kandydata do pracy powinien być dostosowany do zasad przetwarzania danych i z góry określony przez administratora. Co do zasady pracodawca powinien trwale usunąć dane osobowe kandydata (np. poprzez zniszczenie bądź odesłanie), z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po zakończeniu procesu rekrutacji. Ponadto, nie podzielił on zapatrywania spółki, że przetwarzanie takie jest konieczne do obrony przed ewentualnymi roszczeniami. Wojewódzki Sąd Administracyjny nie podzielił jednak poglądów organu i uchylił zaskarżoną decyzję. UODO wniósł do NSA skargę kasacyjną od tego wyroku.
Rozważania NSA
NSA stwierdził przede wszystkim, że przesłanka z art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes administratora) nie musi dotyczyć sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, a nie sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed niestwierdzonym, ewentualnym i niepewnym roszczeniem. Zdaniem Sądu motyw 47 preambuły RODO przesądza o dopuszczalności przetwarzania danych na podstawie prawnie uzasadnionego interesu, który powinien być w każdym przypadku oceniany przyczynowo. O takiej dopuszczalności powinien bowiem przesądzać charakter relacji pomiędzy administratorem a osobą, której dane dotyczą.
Wnioski
Powyższe rozważania NSA pozwalają zatem stwierdzić, że przetwarzanie danych osobowych na podstawie prawnie uzasadnionego interesu administratora może być podyktowane granicami jego działalności. Nie jest ograniczone przepisami prawa. W przedstawionym stanie faktycznym kandydatka powinna racjonalnie oczekiwać, że jej dane będą przetwarzane dłużej niż do czasu zakończenia rekrutacji. Uzasadnioną przesłanką w tym kontekście jest fakt, iż kandydat do pracy może np. oskarżyć niedoszłego pracodawcę o dyskryminację w zatrudnieniu. Przyjmując argumentację UODO, administrator nie mógłby bronić się przed tymi zarzutami usuwając dane kandydata od razu po zakończeniu rekrutacji. Okres przetwarzania danych osobowych kandydata do pracy może zatem wynosić 3 lata, zgodnie z art. 291 § 1. Kodeksu pracy.
Administratorzy powinni jednak pamiętać, że cel, dla którego zostały pozyskane dane musi być aktualny. Przyjęcie, że przetwarzanie danych dla innych celów powstałych później jest niedopuszczalne, chyba że cele te są konsekwencją celu, dla którego dane zostały pierwotnie pozyskane.
[i] Wyrok Naczelnego Sądu Administracyjnego z dnia 20 lutego 2024 r. III OSK 2700/22
