Przetwarzanie danych osobowych uzyskanych w procesie rekrutacyjnym

Naczelny Sąd Administracyjny uznał za dopuszczalne przetwarzanie danych osobowych uzyskanych w procesie rekrutacyjnym w celu zabezpieczenia prawnych interesów administratora i kandydata na wypadek ewentualnego postępowania sądowego. Sprawa dotyczyła skargi na nieusunięcie danych osobowych po zakończeniu rekrutacji, co doprowadziło do udzielenia upomnienia za naruszenie RODO. Orzeczenie WSA wskazało na konieczność rozstrzygnięcia kolizji między interesami administratora a podstawowymi prawami podmiotu danych.

Tematyka: przetwarzanie danych osobowych, RODO, postępowanie sądowe, dyskryminacja, Naczelny Sąd Administracyjny, NSA, interesy administratora, konieczność przetwarzania danych, rozstrzygnięcie kolizji, równowaga między stronami, ciężar dowodu

Naczelny Sąd Administracyjny uznał za dopuszczalne na podstawie art. 6 ust. 1 lit. f RODO przetwarzanie
danych osobowych uzyskanych w procesie rekrutacji w celu zabezpieczenia uzasadnionych prawnych
interesów administratora oraz kandydata na wypadek ewentualnego postępowania sądowego w przedmiocie
dyskryminacji w procesie zatrudnienia.
Stan faktyczny
M.K. wniosła do Prezesa Urzędu Ochrony Danych Osobowych skargę na niezgodne z prawem przetwarzanie jej
danych osobowych przez „A.” sp. z o.o. polegające na nieusunięciu jej danych osobowych po zakończeniu procesu
rekrutacyjnego. Wnioskodawczyni aplikowała za pośrednictwem strony internetowej na dwa stanowiska pracy, jednak
nie została zatrudniona. Po zakończeniu rekrutacji zablokowano dane M.K. w systemie aplikacyjnym, ale usunięto je
dopiero kilkanaście miesięcy później. „A.” sp. z o.o. wyjaśniła, że po zakończeniu rekrutacji przetwarzała dane
osobowe M.K. celem zabezpieczenia jej możliwości dochodzenia ewentualnych roszczeń związanych z naruszeniem
zasad równego traktowania w zatrudnieniu a także umożliwienia sobie ochrony przed ewentualnymi roszczeniami.
Prezes UODO udzielił „A.” sp. z o.o. upomnienia za naruszenie art. 5 ust. 1 lit a i lit. b w zw. z art. 6 rozporządzenia
Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku
z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy
95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO) poprzez
bezpodstawne przetwarzanie danych osobowych M.K. po zakończeniu procesu rekrutacyjnego. W ocenie organu
okres przechowywania danych kandydata do pracy powinien być dostosowany do zasad przetwarzania danych
i z góry określony przez administratora. Pracodawca co do zasady powinien trwale usunąć, np. poprzez zniszczenie
bądź odesłanie dane osobowe kandydata, z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po
podpisaniu umowy o pracę z nowozatrudnionym pracownikiem. W ocenie Prezesa UODO powoływanie się przez „A.”
sp. z o.o. na przetwarzanie danych osobowych M.K. w celu obrony przed ewentualnymi roszczeniami nie znajduje
żadnego prawnego uzasadnienia. Organ stwierdził, że niedopuszczalne jest przetwarzanie danych osobowych „na
zapas” zakładając ich ewentualną przydatność w przyszłości.
Orzeczenie WSA
Wojewódzki Sąd Administracyjny w Warszawie na skutek skargi „A.” sp. z o.o. uchylił zaskarżoną decyzję uznając,
że konieczne jest rozstrzygniecie kolizji dwóch dóbr chronionych prawem, czyli prawnie uzasadnionego interesu
administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych
z drugiej. Zdaniem Sądu skarżąca ma interes prawny, w rozumieniu RODO, do przetwarzania poprzez ich
przechowywanie danych osobowych M.K. w celu obrony przed roszczeniami wnioskodawczyni i innych osób
uczestniczących w procesie rekrutacji, a które mogą być skutecznie dochodzone przez 3-letni okres przedawnienia
roszczeń ze stosunku pracy wynikający z art. 291 w zw. z art. 183b oraz art. 183d KP. WSA w Warszawie uznał, że
skoro „A.” sp. z o.o. jako administrator danych chce przechowywać dane uczestników rekrutacji z potencjalną
możliwością wykorzystania ich w postępowaniu sądowym przez znany, z góry określony okres, to tym samym
„prawnie uzasadniony interes administratora” nie narusza ani nie wpływa negatywnie na sytuację prawną
uczestników postępowania rekrutacyjnego. Sąd stwierdził, że organ w ogóle nie wziął pod uwagę przepisów prawa
materialnego implementujących dyrektywy unijne. Tymczasem z art. 8 ust. 1 dyrektywy Rady 2000/43/WE
z 29.6.2000 r. wprowadzająca w życie zasadę równego traktowania osób bez względu na pochodzenie rasowe lub
etniczne (Dz.Urz. UE L 2000 r. Nr 180, s. 22), art. 10 ust. 1 dyrektywy Rady 2000/78/WE z 27.11.2000 r.
ustanawiająca ogólne warunki ramowe równego traktowania w zakresie zatrudnienia i pracy (Dz.Urz. UE L 2000 r. Nr
303, s. 16) i art. 19 ust. 1 dyrektywy 2006/54/WE Parlamentu Europejskiego i Rady z 5.7.2006 r. w sprawie
wprowadzenia w życie zasady równości szans oraz równego traktowania kobiet i mężczyzn w dziedzinie zatrudnienia
i pracy (Dz.Urz. UE L 2006 r. Nr 204, s. 23) wynika, że państwa członkowskie są zobowiązane do podjęcia
niezbędnych środków służących zapewnieniu, by w przypadku gdy osoba, która uważa się za pokrzywdzoną
nieprzestrzeganiem wobec niej zasady równego traktowania i przedstawia przed sądem lub innym właściwym
organem fakty, z których można domniemywać istnienie bezpośredniej lub pośredniej dyskryminacji, to na stronie
pozwanej ciążyło udowodnienie, że zasada równego traktowania nie została naruszona.
Przesłanki dopuszczalności przetwarzania danych osobowych
Naczelny Sąd Administracyjny oddalił skargę kasacyjną organu. Na podstawie art. 6 ust. 1 lit. f RODO przetwarzanie
danych osobowych jest zgodne z prawem wyłącznie gdy łącznie spełnione są następujące przesłanki: po stronie
administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne; cele te
wynikają z „prawnie uzasadnionych interesów” realizowanych przez administratora; „prawnie uzasadnione interesy”

realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności
osoby, której dotyczą przetwarzane dane. W uzasadnieniu wyroku wyjaśniono, że „prawnie uzasadniony interes
administratora” należy rozumieć, jako interes niesprzeczny z porządkiem prawnym, a nie tylko taki, który wiąże się
z realizacją praw i obowiązków wynikających z przepisów prawa. O dopuszczalności przetwarzania danych
osobowych na podstawie art. 6 ust. 1 lit. f RODO rozstrzyga charakter relacji istniejącej pomiędzy
administratorem danych osobowych, a osobą, której dane podlegają przetwarzaniu. Jeżeli z charakteru tej
relacji da się racjonalnie wywieść, że przetwarzanie danych osobowych jest niezbędne do zrealizowania
przez administratora celu wynikającego z tej relacji i jest to cel przez prawo dopuszczony, to zastosowanie
art. 6 ust. 1 lit f RODO będzie uzasadnione, chyba że interesy lub podstawowe prawa i wolności osoby, której
przetwarzane dane dotyczą będą nadrzędne wobec interesu administratora.
Przetwarzanie danych osobowych na wypadek sporu sądowego
Wejście przez pracodawcę w posiadanie danych osobowych osoby ubiegającej się o zatrudnienie jest prawnie
uzasadnione – art. 221 § 1 KP. NSA zaznaczył, że z motywu 50 preambuły RODO wynika, iż przetwarzanie danych
osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone wyłącznie
w przypadkach, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane. Należy więc uznać,
że przetwarzanie danych osobowych uzyskanych w procesie rekrutacji, celem zabezpieczenia uzasadnionych
prawnych interesów administratora oraz M.K. na wypadek ewentualnego postępowania sądowego w przedmiocie
dyskryminacji w procesie zatrudnienia może mieć podstawę w treści art. 6 ust. 1 lit f RODO. NSA uznał, że
wyłączenie stosowania art. 6 ust. 1 lit f RODO, gdy administrator przetwarza dane osobowe na wypadek
ewentualnego sporu sądowego, wyłącznie z uwagi na jego potencjalność jest nieuzasadnione. Jeżeli relacja
łącząca administratora z osobą, której dane osobowe są przetwarzane, zawiera w sobie prawnie
dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć
dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO. Celem
administratora wynikającym z jego prawnie uzasadnionych interesów będzie zabezpieczenie się na wypadek
konieczności wejścia w spór sądowy. Jeżeli jednak roszczenie osoby ubiegającej się o zatrudnienie uległo
przedawnieniu to dalsze przetwarzanie danych osobowych tej osoby nie jest niezbędne do osiągnięcia celów
wynikających z prawnie uzasadnionych interesów administratora w rozumieniu art. 6 ust. 1 lit. f RODO.
Ciężar dowodu
W uzasadnieniu wyroku wskazano, że z treści art. 8 ust. 1 dyrektywy 2000/43/WE, art. 10 ust. 1 dyrektywy
2000/78/WE i art. 19 ust. 1 dyrektywy 2006/54/WE wynika, iż w zakresie ciężaru dowodu wybór prawodawcy zmierza
wyraźnie w kierunku równowagi między ofiarą dyskryminacji i pracodawcą, jeśli to on doprowadził do dyskryminacji.
W procesie o dyskryminację pracownik powinien wskazać fakty, które ją uprawdopodobniają, a pracodawca, chcąc
uwolnić się od odpowiedzialności, musi udowodnić, że kierował się obiektywnymi powodami. Zaprzestanie
przetwarzania danych osobowych osoby, która negatywnie przeszła proces rekrutacyjny i tym samym wyzbycie się
przez pracodawcę wszelkich dokumentów i danych identyfikujących oraz pozycjonujących tę osobę w tym procesie,
może uniemożliwić lub znacznie utrudnić mu skuteczną obronę przed postawionymi przed sądem zarzutami
dyskryminacyjnymi.
Wyrok NSA z 20.2.2024 r., III OSK 2700/22,

Naczelny Sąd Administracyjny oddalił skargę kasacyjną organu, podkreślając warunki dopuszczalności przetwarzania danych osobowych na podstawie RODO. Przetwarzanie danych na wypadek sporu sądowego zostało uzasadnione, jednak konieczne jest zachowanie równowagi między ofiarą dyskryminacji a pracodawcą. Ciężar dowodu w przypadku zarzutów dyskryminacyjnych jest istotny dla stron postępowania.