Wejście w życie przepisów Ogólnego rozporządzenia o ochronie danych 2016/679 (dalej: „RODO”) wymusiło szereg zmian m.in. w zakresie pozyskiwania, przetwarzania i ochrony danych osobowych kandydatów na pracowników. W przygotowaniu jest obecnie Kodeks Ochrony Danych Osobowych w Rekrutacji, który ma m.in.:

• zidentyfikować problemy związane z przetwarzaniem danych osobowych na etapie rekrutacji;

• określić ich dozwolone ramy w obrębie regulacji ochrony danych osobowych;

• uwzględnić nowoczesne metody rekrutacji związane m.in. z wykorzystaniem profilowania czy biometrii.

Więcej na temat projektu można odnaleźć na stronie: www.rodowrekrutacji.pl/

Już na długo przed wydaniem przez Urząd Ochrony Danych Osobowych Poradnika dla Pracodawców w zakresie ochrony danych osobowych w miejscu pracy oraz Objaśnienia prawnego Ministerstwa Cyfryzacji z dnia 23 stycznia 2019 r. – zastanawiałyśmy się jak długo należy przechowywać CV kandydatów, którzy nie zostali zatrudnieni – w szczególności mając na względzie z jednej strony wynikającą z RODO zasadę ograniczonego przechowywania –  nie dłużej, niż jest to niezbędne do celów, w których dane są przetwarzane (art. 5 ust 1 lit. e RODO), a z drugiej strony wynikającą z Kodeksu pracy zasadę równego traktowania w zakresie m.in. nawiązania stosunku pracy (art. 18(3a) § 1 k.p. i art. 18(3b) § 1 k.p.) oraz konsekwencję jej naruszenia, jaką jest odszkodowanie w wysokości nie niższej niż minimalne wynagrodzenie za pracę, ustalane na podstawie odrębnych przepisów (art. 18(3d) k.p.), która przedawnia się z upływem 3 lat od dnia, w którym roszczenie stało się wymagalne (art. 291 § 1 k.p.). Już wówczas bliżej nam było do koncepcji wskazywanej przez Ministerstwo Cyfryzacji. Kodeks pracy nie przesądza bowiem przez jaki czas mogą być przechowywane dane kandydata, z którym umowa nie została zawarta. Po zakończeniu rekrutacji przetwarzanie takich danych nie jest już przecież niezbędne do podjęcia czynności przygotowujących do podpisania umowy o pracę, a więc tym bardziej do jej wykonania – gdyż pracodawca wybrał na to stanowisko innego kandydata, Co jednak z ewentualnymi roszczeniami kandydatów związanymi z dyskryminacją w zatrudnieniu?

Zgodnie ze stanowiskiem zawartym w Poradniku dla pracodawców w zakresie ochrony danych osobowych w miejscu pracy, pracodawca co do zasady powinien trwale usunąć dane osobowe kandydata (np. poprzez zniszczenie bądź odesłanie), z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po zakończeniu procesu rekrutacji tj. podpisania umowy o pracę z nowozatrudnionym pracownikiem, chyba, że ziściły się inne przesłanki uprawniające administratora do ich przetwarzania np. zgoda na przetwarzanie danych konkretnych pracowników na potrzeby przyszłych rekrutacji. Wydłużenie okresu przechowywania danych zawartych w aplikacji, powinno być zatem wyjątkiem od reguły niezwłocznego ich usuwania oraz powinno być szczególnie uzasadnione. Ponadto zdaniem Prezesa Urzędu Ochrony Danych Osobowych – niedopuszczalne jest przetwarzania danych tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem osoby, której dotyczą. W  toku rekrutacji nie powstaje żaden stosunek zobowiązaniowy pomiędzy kandydatem do pracy, a pracodawcą. Działanie pracodawcy stanowiło by przetwarzanie danych kandydata „na wszelki wypadek”. Dalej Urząd Ochrony Danych Osobowych wskazuje, że w przy przypadku roszczeń wynikających z dyskryminacji kandydata do pracy, to na kandydacie spoczywa obowiązek przedstawienia faktów, z których wynika domniemanie nierównego traktowania, a następnie na pracodawcę zostaje przerzucony ciężar udowodnienia, że nie traktował kandydata gorzej od innych, albo że traktując go odmiennie od innych, kierował się obiektywnymi i usprawiedliwionymi przyczynami. Pracodawca może np. wykazać przed sądem, z jakiego powodu zatrudnił inną osobę na stanowisko, na które aplikował kandydat. Istotą roszczenia z tytułu dyskryminacji ze względu na jakąś cechę lub przekonania jest uprawdopodobnienie, że to właśnie z tej przyczyny kandydat został potraktowany w sposób gorszy niż reszta kandydatów, natomiast dopiero wtedy pracodawca musi wykazać, że ta cecha nie miała wpływu na dokonanie przez niego oceny negatywnej, do czego, nie jest mu konieczne zdaniem PUODO przetwarzanie danych zawartych w życiorysie kandydata do pracy.

Natomiast Ministerstwo Cyfryzacji w swoim Objaśnieniu prawnym z dnia 23 stycznia 2019 r., wydane na podstawie art. 33 ustawy Prawo przedsiębiorców wskazało, że po zakończonej rekrutacji pracodawca ma prawo przechowywać dokumenty rekrutacyjne osób, które nie zostały zatrudnione, w celach ochrony przed ewentualnymi roszczeniami mogącymi pojawić się w związku z prowadzoną uprzednio rekrutacją. W tym przypadku podstawą przetwarzania danych osobowych będzie art. 6 ust. 1 lit. f RODO tj. prawnie uzasadniony interes niedoszłego pracodawcy, czyli ochrona przed ewentualnymi przyszłymi roszczeniami osoby, która nie została zatrudniona w wyniku rekrutacji. Co szczególnie ważne, powołaniu się na tą przesłankę towarzyszyć powinno uprzednie przeprowadzenie testu. Powinien on wykazać, czy osobę, której dane będą przetwarzane w prawnie uzasadnionym celu, łączy z administratorem jakaś więź oraz czy osoba taka mogła podejrzewać, że jej dane będą przetwarzane w uzasadnionym interesie. Zdaniem Ministerstwa pomiędzy kandydatem a potencjalnym pracodawcą występuje relacja prawna, która powstaje wraz z przedłożeniem przez kandydata wniosku o zatrudnienie, wynikająca chociażby z ustawowego zakazu dyskryminacji. Kandydat nie tylko może przypuszczać, ale wręcz musi się liczyć z tym, że jego dane będą przechowywane również po zakończonej rekrutacji.

Dalej Ministerstwo wskazało, że zgodnie z motywem 50 preambuły RODO „przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane.” Celem pierwotnym w takim przypadku jest rekrutacja, zaś celem zgodnym z rekrutacją będzie ochrona przed ewentualnymi przyszłymi roszczeniami pracownika, wynikającymi z tej rekrutacji. Niedoszły pracodawca zachowując CV może więc się ochronić np. przed przyszłym ewentualnym posądzeniem o dyskryminację. Wraz ze złożeniem dokumentów rekrutacyjnych pomiędzy kandydatem a potencjalnym pracodawcą, wbrew twierdzeniom PUODO, powstaje więź zobowiązaniowa, wynikająca z prawnego obowiązku przeciwdziałania dyskryminacji przewidzianego w Kodeksie pracy (art. 94 ust. 2b w zw. z art. 18(3a) k.p.). W związku z powyższym nie trzeba tych danych usuwać natychmiast po zakończonej rekrutacji. Uwzględniając przebieg rekrutacji i podjętą przez pracodawcę ocenę ryzyka pojawienia się takich roszczeń, okres przechowywania CV powinien być jednak jak najkrótszy. Jeżeli w praktyce działania przedsiębiorcy nie zdarzyła się sytuacja, by ewentualne roszczenia z tytułu prowadzonej rekrutacji pojawiły się w okresie późniejszym niż kilka miesięcy po jej zakończeniu, wewnętrzne procedury powinny przewidywać racjonalny kilkumiesięczny okres retencji takich dokumentów. Obowiązkiem administratora danych będzie też dokonanie oceny ryzyka i ustalenie okresu przetwarzania danych, który odpowiada rzeczywistym zagrożeniom, uwzględniając doświadczenia z pojawiających się roszczeń.

Zdaniem Ministerstwa dopuszczalne jest nawet poinformowanie kandydata, że niepodniesienie zarzutów dotyczących rekrutacji w określonym czasie po odmowie zatrudnienia zostanie uznane za domniemanie braku takowych, a dane osobowe zostaną usunięte. Podczas, gdy skutkiem przyjęcia takiego założenia nie jest wygaśnięcie prawnie uzasadnionego roszczenia, to jednak znacznie zmniejsza ryzyko, że ewentualne powództwo będzie korzystało z przymiotu tzw. „uprawdopodobnienia” dyskryminacji. Powyższy efekt nie będzie miał oczywiście miejsca, jeśli pracownik wykaże, że nie podnosił zarzutów wcześniej z tego powodu, że nie posiadał pełnej wiedzy o stanie faktycznym. Jeśli jednak pracodawca poprzez ocenę stanu faktycznego może żywić uzasadnione przekonanie, że ryzyko roszczeń jest wysokie, to może przetwarzać dane osobowe kandydatów przez pełny trzyletni okres przedawnienia. Powyższe może mieć miejsce np. w przypadku bardzo porównywalnych kandydatur.

Należy zarazem pamiętać, że dyskryminacja polega na niejednakowym traktowaniu z powodu niedozwolonych przez Kodeks pracy kryteriów. Samo niezadowolenie kandydata z powodu nieotrzymania zatrudnienia nie jest dyskryminacją. Dotychczasowa praktyka obserwowana w Polsce dowodzi, że statystycznie największe ryzyko dyskryminacji dotyczy kryterium płci oraz stosunku do związków zawodowych. Dlatego ocena ryzyka może uwzględnić to, czy w kontekście konkretnego procesu rekrutacji mamy do czynienia z porównywalnymi kandydaturami, a zarazem z takimi cechami jak płeć lub danymi dotyczącymi wyborów społecznych (np. ujawniony przez kandydata stosunek do związków zawodowych) i w przypadku wystąpienia wysokiego ryzyka stosować najdłuższy okres retencji. Uwzględniając powyższe należy również przesądzić, że CV przechowywane w celu ochrony przed potencjalnymi roszczeniami, nie powinno być wykorzystywane w innych celach. Wyjątkiem w tym zakresie wydaje się być kontakt potencjalnego pracodawcy z pozostałymi kandydatami, gdy okaże się, że osoba zakwalifikowana jednak nie podjęła pracy.

Jak to często bywa rozbieżność tą w przyszłości na pewno rozstrzygną sądy. I choć bliżej nam chyba jednak do stanowiska Ministerstwa, gdyż w ostatecznym rozrachunku, to pracodawca musi udowodnić, że dyskryminacji nie było to jednaj kontrolować pracodawców w tym zakresie będzie Prezes Urzędu Ochrony Danych Osobowych. My ze swej strony zalecamy kwestię postępowania z CV kandydatów, którzy nie zostali zatrudnieni uregulować np. w Procedurze rekrutacji, która powinna zostać sporządzona po dogłębnej analizie tego czy roszczenia o dyskryminacje, kiedykolwiek występowały u dane pracodawcy, jak wyglądają etapy procesu rekrutacyjnego, jakie kryteria są brane pod uwagę oraz nawet to jakich stanowisk dotyczą rekrutacje.