W dniu 20 lutego 2024 roku NSA, w sprawie o sygnaturze akt III OSK 2700/22, wydał wyrok dotyczący przechowywania po zakończeniu procesu rekrutacji danych osobowych osób, które zgłaszają swoją kandydaturę do pracy.
Stan faktyczny:
- wnioskodawczyni uczestniczyła w procesie rekrutacji w spółce X,
- nie została jednak zatrudniona,
- po zakończonym procesie rekrutacji spółka X nie usunęła niezwłocznie danych osobowych wnioskodawczyni,
- Prezes UODO uznał, że spółka po zakończeniu procesu rekrutacji przetwarzała dane osobowe wnioskodawczyni bez podstawy prawnej.
Stanowisko UODO
Decyzja Prezesa UODO odzwierciedla dotychczasowe stanowisko tego organu, zgodnie z którym:
- administrator danych osobowych powinien trwale usunąć dane osobowe kandydata do pracy niezwłocznie po zakończeniu rekrutacji, jeżeli nie zdecydował się zawrzeć z nim umowy o pracę,
- dłuższe przechowywanie tych danych nie może być realizowane w celu obrony przed ewentualnymi roszczeniami.
Stanowisko to jest również stanowiskiem UODO potwierdzonym w oficjalnym Poradniku dla pracodawców UODO z 2018 r.
Stanowisko NSA
Odmiennie stanowisko wyraził zarówno WSA, jak i finalnie NSA, uznając, że:
- administrator jest uprawniony do przechowywania danych po zakończeniu rekrutacji, a podstawą przechowywania danych jest art. 6 ust. 1 lit. f RODO, bowiem
- administrator ma interes prawny do przechowywania danych osobowych kandydatów, z którymi nie zawarł umowy o pracę, w celu obrony w przypadku zainicjowania przez kandydata sporu sądowego o odszkodowanie za dyskryminację w zatrudnieniu,
- maksymalny okres przechowywania danych nie powinien być dłuższy niż okres przedawnienia roszczeń kandydatów, tj. 3 lata,
- po upływie okresu przedawnienia roszczeń osoby ubiegającej się o zatrudnienie administrator powinien trwale usunąć dane osobowe kandydata do pracy, przestają być one bowiem niezbędne do realizacji celów wynikających z prawnie uzasadnionego interesu administratora (aktualizuje się możliwość podniesienia zarzutu przedawnienia roszczeń i skutecznej obrony).
Skutki wyroku NSA
Wyrok NSA potwierdza, że administrator danych osobowych kandydatów do pracy może przetwarzać te dane także po zakończeniu rekrutacji.
Z jednej strony wyrok ten daje administratorom danych osobowych, którzy prowadzą rekrutację możliwość przechowywania materiałów, które mogą stanowić dowody w przypadku sporu z kandydatem do pracy, do momentu przedawnienia roszczeń kandydata.
Co więcej, takie stanowisko pozostaje również w zgodzie z zapisami projektu ustawy o sygnalistach, który również dopuszcza możliwość przetwarzania danych osobowych sygnalistów (w tym sygnalistów-kandydatów do pracy) przez okres 3 lat.
Z drugiej zaś strony wyrok ten może przyczynić się do zmiany stanowiska UODO i zaktualizowania Poradnika dla pracodawców UODO.
Niezależnie jednak od powyższego administrator danych osobowych zawsze powinien przetwarzać dane osobowe zgodnie z przepisami i wewnętrznymi procedurami, analizując ryzyko i prawidłowo realizując obowiązek informacyjny (ze szczególnym uwzględnieniem podstaw i celów przetwarzania danych wskazanych w klauzulach informacyjnych).
