Nieodłącznym elementem każdej rekrutacji pracowników jest gromadzenie danych osobowych kandydatów do pracy. Musi się ono odbywać między innymi w oparciu o zasady legalności, adekwatności i celowości. Na podstawie tych reguł pracodawca nie może gromadzić więcej danych osobowych kandydata do pracy niż jest to niezbędne dla procesu rekrutacyjnego.

Zakres danych, które pracodawca może pozyskać od kandydata do pracy, wynika z przepisów prawa pracy i obejmuje w dużym uproszczeniu dane identyfikacyjne (imiona i nazwisko, data urodzenia oraz dane kontaktowe) oraz dane pozwalające na ustalenie kwalifikacji przyszłego pracownika i jego doświadczenia zawodowego (art. 22¹ § 1 kodeksu pracy). Warto zwrócić uwagę, że zgodnie z art. 22¹ § 2 pracodawca żąda podania danych osobowych, o których mowa w § 1 pkt 4-6 (czyli danych dotyczących wykształcenia, kwalifikacji zawodowych oraz przebiegu dotychczasowego zatrudnienia), gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Dane osobowe wymienione powyżej należą do kategorii danych osobowych obligatoryjnych, a ich pozyskanie przez pracodawcę od kandydata do pracy spełni przesłankę niezbędności wypełnienia obowiązku prawnego ciążącego na administratorze, o której mowa w art. 6 ust. 1 lit. c rozporządzenia 2016/679 (RODO). Pracodawca nie może żądać od kandydata danych, które wykraczają poza zakres uzasadniony celem ich gromadzenia.

Realizując obowiązek informacyjny podmiot prowadzący rekrutację jest zobowiązany poinformować kandydata do pracy o okresie przetwarzania danych. Przedmiotowy aspekt może być problematyczny. Okres przetwarzania może zakończyć się wraz z zakończeniem procesu rekrutacji. Z drugiej strony pracodawca może z uzasadnionych przyczyn zdecydować o dłuższym przetwarzaniu danych kandydatów.

Takie zagadnienie było przedmiotem rozważań Naczelnego Sądu Administracyjnego. W analizowanej sprawie kandydatka do pracy nie przeszła pozytywnie procesu rekrutacji. Po jego zakończeniu jej dane osobowe nie zostały usunięte przez rekrutującego, który powoływał się na ochronę własnych interesów przed zarzutami o ewentualne nierówne traktowanie i dyskryminację w procesie wyboru kandydata. Kobieta złożyła skargę do Prezesa Urzędu Ochrony Danych Osobowych. Ten nałożył na pracodawcę upomnienie za naruszenie art. 5 ust. 1 lit. a i b w związku z art. 6 ust. 1 lit. f RODO, to jest za bezpodstawne przetwarzanie danych osobowych po zakończeniu rekrutacji. Decyzja nakładająca karę została zaskarżona do Wojewódzkiego Sądu Administracyjnego w Warszawie. Sąd ten uchylił karę. „Zdaniem WSA [Wojewódzkiego Sądu Administracyjnego], Spółka ma interes prawny, w rozumieniu RODO, do przetwarzania (wyłącznie poprzez ich przechowywanie) danych osobowych Wnioskodawczyni w celu obrony przed roszczeniami tak Wnioskodawczyni, jak i innych osób, które uczestniczyły w procesie rekrutacji, a które mogą być skutecznie dochodzone przez okres przedawnienia roszczeń ze stosunku pracy wynikający z art. 291 w związku – jak w realiach sprawy – z art. 183b oraz art. 183d k.p. [kodeksu pracy, przy czym przepis art. 291 k.p., jak słusznie podniosła Spółka, wbrew stanowisku Organu, jednoznacznie wskazuje, kiedy takie roszczenia ulegają przedawnieniu. WSA stwierdził, że nie jest to – jak twierdzi Organ – przetwarzanie „na zapas”. Inna byłaby bowiem sytuacja, gdyby Spółka nadal przetwarzała dane osobowe uczestnika postępowania pomimo upływu terminu przedawnienia, wówczas interes Spółki nie byłby już dłużej prawnie uzasadniony. WSA uznał również, że skoro Spółka jako administrator danych chce przechowywać dane uczestnika postępowania rekrutacyjnego (w tym dane Wnioskodawczyni) z potencjalną możliwością wykorzystania ich w postępowaniu sądowym i to przez znany, z góry określony okres (okres przedawnienia roszczeń pracowniczych wynikający z art. 291 k.p.) to tym samym „prawnie uzasadniony interes administratora” nie narusza ani nie wpływa negatywnie na sytuację prawną uczestników postępowania rekrutacyjnego. Zdaniem WSA, taka wykładnia jest zgodna z motywem art. 47 RODO”.

Prezes UODO wniósł skargę kasacyjną od powyższego wyroku, zaskarżając go w całości. W wyroku z dnia 20 lutego 2024 roku Naczelny Sąd Administracyjny oddalił skargę kasacyjną i podzielił argumentację sądu I instancji.

„[…] przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO powinno być niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów administratora, a te należy ustalać z uwzględnieniem charakter i kontekstu relacji łączącej administratora z osobą, której dane osobowe są przetwarzane. Jeżeli łącząca te dwa podmioty relacja zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyłącznie z uwagi na potencjalność realizacji tego roszczenia. […] zaprzestanie przetwarzania danych osobowych osoby, która negatywnie przeszła proces rekrutacyjny i tym samym wyzbycie się przez pracodawcę wszelkich dokumentów i danych identyfikujących oraz pozycjonujących tę osobę w tym procesie, może uniemożliwić lub znacznie utrudnić mu skuteczną obronę przed postawionymi przed sądem zarzutami dyskryminacyjnymi”.

Wyrok Naczelnego Sądu Administracyjnego z dnia 20 lutego 2024 roku, sygn. III OSK 2700/22