1 miesiąc temu
Stan faktyczny
M.K. wniosła do Prezesa Urzędu Ochrony Danych Osobowych skargę na niezgodne z prawem przetwarzanie jej danych osobowych przez „A.” sp. z o.o. polegające na nieusunięciu jej danych osobowych po zakończeniu procesu rekrutacyjnego. Wnioskodawczyni aplikowała za pośrednictwem strony internetowej na dwa stanowiska pracy, jednak nie została zatrudniona. Po zakończeniu rekrutacji zablokowano dane M.K. w systemie aplikacyjnym, ale usunięto je dopiero kilkanaście miesięcy później. „A.” sp. z o.o. wyjaśniła, iż po zakończeniu rekrutacji przetwarzała dane osobowe M.K. celem zabezpieczenia jej możliwości dochodzenia ewentualnych roszczeń związanych z naruszeniem zasad równego traktowania w zatrudnieniu a także umożliwienia sobie ochrony przed ewentualnymi roszczeniami.
Prezes UODO udzielił „A.” sp. z o.o. upomnienia za naruszenie art. 5 ust. 1 lit a i lit. b w zw. z art. 6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO) poprzez bezpodstawne przetwarzanie danych osobowych M.K. po zakończeniu procesu rekrutacyjnego. W ocenie organu okres przechowywania danych kandydata do pracy powinien być dostosowany do zasad przetwarzania danych i z góry określony przez administratora. Pracodawca co do zasady powinien trwale usunąć, np. poprzez zniszczenie bądź odesłanie dane osobowe kandydata, z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po podpisaniu umowy o pracę z nowozatrudnionym pracownikiem. W ocenie Prezesa UODO powoływanie się przez „A.” sp. z o.o. na przetwarzanie danych osobowych M.K. w celu obrony przed ewentualnymi roszczeniami nie znajduje żadnego prawnego uzasadnienia. Organ stwierdził, iż niedopuszczalne jest przetwarzanie danych osobowych „na zapas” zakładając ich ewentualną przydatność w przyszłości.
Orzeczenie WSA
Wojewódzki Sąd Administracyjny w Warszawie na skutek skargi „A.” sp. z o.o. uchylił zaskarżoną decyzję uznając, iż konieczne jest rozstrzygniecie kolizji dwóch dóbr chronionych prawem, czyli prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych z drugiej. Zdaniem Sądu skarżąca ma interes prawny, w rozumieniu RODO, do przetwarzania poprzez ich przechowywanie danych osobowych M.K. w celu obrony przed roszczeniami wnioskodawczyni i innych osób uczestniczących w procesie rekrutacji, a które mogą być skutecznie dochodzone przez 3-letni okres przedawnienia roszczeń ze stosunku pracy wynikający z art. 291 w zw. z art. 183b oraz art. 183d KP. WSA w Warszawie uznał, iż skoro „A.” sp. z o.o. jako administrator danych chce przechowywać dane uczestników rekrutacji z potencjalną możliwością wykorzystania ich w postępowaniu sądowym przez znany, z góry określony okres, to tym samym „prawnie uzasadniony interes administratora” nie narusza ani nie wpływa negatywnie na sytuację prawną uczestników postępowania rekrutacyjnego. Sąd stwierdził, iż organ w ogóle nie wziął pod uwagę przepisów prawa materialnego implementujących dyrektywy unijne. Tymczasem z art. 8 ust. 1 dyrektywy Rady 2000/43/WE z 29.6.2000 r. wprowadzająca w życie zasadę równego traktowania osób bez względu na pochodzenie rasowe lub etniczne (Dz.Urz. UE L 2000 r. Nr 180, s. 22), art. 10 ust. 1 dyrektywy Rady 2000/78/WE z 27.11.2000 r. ustanawiająca ogólne warunki ramowe równego traktowania w zakresie zatrudnienia i pracy (Dz.Urz. UE L 2000 r. Nr 303, s. 16) i art. 19 ust. 1 dyrektywy 2006/54/WE Parlamentu Europejskiego i Rady z 5.7.2006 r. w sprawie wprowadzenia w życie zasady równości szans oraz równego traktowania kobiet i mężczyzn w dziedzinie zatrudnienia i pracy (Dz.Urz. UE L 2006 r. Nr 204, s. 23) wynika, iż państwa członkowskie są zobowiązane do podjęcia niezbędnych środków służących zapewnieniu, by w przypadku gdy osoba, która uważa się za pokrzywdzoną nieprzestrzeganiem wobec niej zasady równego traktowania i przedstawia przed sądem lub innym adekwatnym organem fakty, z których można domniemywać istnienie bezpośredniej lub pośredniej dyskryminacji, to na stronie pozwanej ciążyło udowodnienie, iż zasada równego traktowania nie została naruszona.
Przesłanki dopuszczalności przetwarzania danych osobowych
Naczelny Sąd Administracyjny oddalił skargę kasacyjną organu. Na podstawie art. 6 ust. 1 lit. f RODO przetwarzanie danych osobowych jest zgodne z prawem wyłącznie gdy łącznie spełnione są następujące przesłanki: po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne; cele te wynikają z „prawnie uzasadnionych interesów” realizowanych przez administratora; „prawnie uzasadnione interesy” realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane. W uzasadnieniu wyroku wyjaśniono, iż „prawnie uzasadniony interes administratora” należy rozumieć, jako interes niesprzeczny z porządkiem prawnym, a nie tylko taki, który wiąże się z realizacją praw i obowiązków wynikających z przepisów prawa. O dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO rozstrzyga charakter relacji istniejącej pomiędzy administratorem danych osobowych, a osobą, której dane podlegają przetwarzaniu. o ile z charakteru tej relacji da się racjonalnie wywieść, iż przetwarzanie danych osobowych jest niezbędne do zrealizowania przez administratora celu wynikającego z tej relacji i jest to cel przez prawo dopuszczony, to zastosowanie art. 6 ust. 1 lit f RODO będzie uzasadnione, chyba iż interesy lub podstawowe prawa i wolności osoby, której przetwarzane dane dotyczą będą nadrzędne wobec interesu administratora.
Przetwarzanie danych osobowych na wypadek sporu sądowego
Wejście przez pracodawcę w posiadanie danych osobowych osoby ubiegającej się o zatrudnienie jest prawnie uzasadnione – art. 221 § 1 KP. NSA zaznaczył, iż z motywu 50 preambuły RODO wynika, iż przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane. Należy więc uznać, iż przetwarzanie danych osobowych uzyskanych w procesie rekrutacji, celem zabezpieczenia uzasadnionych prawnych interesów administratora oraz M.K. na wypadek ewentualnego postępowania sądowego w przedmiocie dyskryminacji w procesie zatrudnienia może mieć podstawę w treści art. 6 ust. 1 lit f RODO. NSA uznał, iż wyłączenie stosowania art. 6 ust. 1 lit f RODO, gdy administrator przetwarza dane osobowe na wypadek ewentualnego sporu sądowego, wyłącznie z uwagi na jego potencjalność jest nieuzasadnione. o ile relacja łącząca administratora z osobą, której dane osobowe są przetwarzane, zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO. Celem administratora wynikającym z jego prawnie uzasadnionych interesów będzie zabezpieczenie się na wypadek konieczności wejścia w spór sądowy. Jeżeli jednak roszczenie osoby ubiegającej się o zatrudnienie uległo przedawnieniu to dalsze przetwarzanie danych osobowych tej osoby nie jest niezbędne do osiągnięcia celów wynikających z prawnie uzasadnionych interesów administratora w rozumieniu art. 6 ust. 1 lit. f RODO.
Ciężar dowodu
W uzasadnieniu wyroku wskazano, iż z treści art. 8 ust. 1 dyrektywy 2000/43/WE, art. 10 ust. 1 dyrektywy 2000/78/WE i art. 19 ust. 1 dyrektywy 2006/54/WE wynika, iż w zakresie ciężaru dowodu wybór prawodawcy zmierza wyraźnie w kierunku równowagi między ofiarą dyskryminacji i pracodawcą, jeżeli to on doprowadził do dyskryminacji. W procesie o dyskryminację pracownik powinien wskazać fakty, które ją uprawdopodobniają, a pracodawca, chcąc uwolnić się od odpowiedzialności, musi udowodnić, iż kierował się obiektywnymi powodami. Zaprzestanie przetwarzania danych osobowych osoby, która negatywnie przeszła proces rekrutacyjny i tym samym wyzbycie się przez pracodawcę wszelkich dokumentów i danych identyfikujących oraz pozycjonujących tę osobę w tym procesie, może uniemożliwić lub znacznie utrudnić mu skuteczną obronę przed postawionymi przed sądem zarzutami dyskryminacyjnymi.
