Blog

WSA o przechowywaniu danych z rekrutacji

Oddzielnym procesem od zatrudnienia czy innych bardziej szczegółowych procesów związanych z funkcjonowaniem pracownika – jest rekrutacja. Na etapie rekrutacji mamy do czynienia z, jak to określa k.p., osobą ubiegającą się o zatrudnienie. Jest to jednocześnie osoba, której dane dotyczą na gruncie prawa ochrony danych osobowych.

Zakres danych w rekrutacji

Na potrzeby rekrutacji pracodawca przetwarza dane osobowe w różnych zakresach na odmiennych podstawach prawnych. K.p. umożliwia przetwarzanie danych bez zgody w zakresie wynikającym z art. 221 par. 1 i 2 k.p., a także inne dane niż tam wymienione jeśli przepisy szczególne na to wskazują, np. wykazanie stanu zdrowia, niekaralności (par. 4).

Art. 221. [Dane osobowe pracownika]

§ 1. Pracodawca żąda od osoby ubiegającej się o zatrudnienie podania danych osobowych obejmujących:
1) imię (imiona) i nazwisko;
2) datę urodzenia;
3) dane kontaktowe wskazane przez taką osobę;
4) wykształcenie;
5) kwalifikacje zawodowe;
6) przebieg dotychczasowego zatrudnienia.
§ 2. Pracodawca żąda podania danych osobowych, o których mowa w § 1 pkt 4-6, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. (…)

§ 4. Pracodawca żąda podania innych danych osobowych niż określone w § 1 i 3, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
§ 5. Udostępnienie pracodawcy danych osobowych następuje w formie oświadczenia osoby, której dane dotyczą. Pracodawca może żądać udokumentowania danych osobowych osób, o których mowa w § 1 i 3, w zakresie niezbędnym do ich potwierdzenia.

Jeśli kandydat w dokumentach aplikacyjnych zamieści dane w szerszym zakresie (z wyjątkiem danych o karalności), pracodawca może je wykorzystać na podstawie dorozumianej zgody pracownika:

Art. 221a. [Zgoda osoby ubiegającej się o zatrudnienie lub pracownika na przetwarzanie przez pracodawcę innych danych osobowych]
§ 1. Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych niż wymienione w art. 221 § 1 i 3, z wyjątkiem danych osobowych, o których mowa w art. 10 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), zwanego dalej „rozporządzeniem 2016/679”.

§ 2. Brak zgody, o której mowa w § 1, lub jej wycofanie, nie może być podstawą niekorzystnego traktowania osoby ubiegającej się o zatrudnienie lub pracownika, a także nie może powodować wobec nich jakichkolwiek negatywnych konsekwencji, zwłaszcza nie może stanowić przyczyny uzasadniającej odmowę zatrudnienia, wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia przez pracodawcę.

Nie dotyczy to jednak szczególnej kategorii danych z art. 9 rodo – co do tych danych potrzebne jest oświadczenie pisemne w tym elektroniczne (wyraźna zgoda). Ponadto dane wrażliwe mogą być przetwarzane wyłącznie z inicjatywy pracownika i ich nieudzielenie nie może skutkować negatywnymi konsekwencjami dla pracownika:

Art. 221b. [Warunki przetwarzania przez pracodawcę innych danych osobowych]
§ 1.Zgoda osoby ubiegającej się o zatrudnienie lub pracownika może stanowić podstawę przetwarzania przez pracodawcę danych osobowych, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, wyłącznie w przypadku, gdy przekazanie tych danych osobowych następuje z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika. Przepis art. 221a § 2 stosuje się odpowiednio.

Nieobowiązkowa rekrutacja, tryby zawarcia umowy

Przepisy te dają podstawę legalizacyjną w związku z odpowiednimi przepisami art. 6 rodo. W grę może wchodzić albo lit. c albo lit. b. Jak można wyczytać w uzasadnieniu projektu ustawy wdrażającej rodo aby dostosować redakcyjnie przepis k.p. do lit. c art. 6 ust.1 rodo, ustawodawca zmienił wyrażenie „może żądać” na „żąda”, jednak już sama procedura rekrutacji nie zawsze jest obowiązkiem pracodawcy, nie można więc w tych przypadkach twierdzić, że dla pracodawcy przetwarzanie jest niezbędne ze względu na jego obowiązek. W poradniku UODO wskazano lit. b (podjęcie działań na żądanie osoby przed zawarciem umowy o pracę), jak najbardziej słusznie, i tej oceny nie zmienia fakt późniejszej zmiany w przepisie na zwrot „żąda”. Takie sztuczne dostosowanie przepisu k.p. przez ustawodawcę jest zbędne i niefortunne, art. 6 ust. 1 lit. c rodo dotyczy obowiązków prawnych administratora ze względu na które przetwarzanie danych jest niezbędne. Takim obowiązkiem prawnym w zamyśle prawodawcy unijnego co do zasady nie było samo zbieranie sztywnego zakresu (katalogu) danych, ale pewne zachowania przy okazji których przetwarzanie danych jest niezbędne, np. obowiązkiem prawnym może być sam proces rekrutacji, jeśli przepis szczególny taki obowiązek wyznaczy pracodawcy (np. ustawa o pracownikach samorządowych czy Prawo o szkolnictwie wyższym i nauce) – w tych wypadkach zdarzenie prawne podpada pod lit. c.

Art. 11. [Nabór kandydatów na wolne stanowiska urzędnicze]
1. Nabór kandydatów na wolne stanowiska urzędnicze, w tym na kierownicze stanowiska urzędnicze, jest otwarty i konkurencyjny.
2. Kierownik jednostki, o której mowa w art. 2, upowszechniając informacje o wolnych stanowiskach urzędniczych, w tym kierowniczych stanowiskach urzędniczych, wskazuje stanowiska, o które poza obywatelami polskimi mogą ubiegać się obywatele Unii Europejskiej oraz obywatele innych państw, którym na podstawie umów międzynarodowych lub przepisów prawa wspólnotowego przysługuje prawo do podjęcia zatrudnienia na terytorium Rzeczypospolitej Polskiej. (…)

Art. 119. [Konkurs na stanowisko nauczyciela akademickiego]
1. Nawiązanie z nauczycielem akademickim pierwszego stosunku pracy w danej uczelni publicznej, na czas nieokreślony lub określony dłuższy niż 3 miesiące, w wymiarze przekraczającym połowę pełnego wymiaru czasu pracy, następuje po przeprowadzeniu otwartego konkursu. Tryb i warunki przeprowadzania konkursu określa statut. (…)

Ale i w tych przypadkach mogą być przewidziane wyjątki ze względu na bardziej szczegółowe okoliczności:

Art. 117. [Nawiązanie stosunku pracy]
1. Nawiązanie stosunku pracy z pracownikiem uczelni następuje na podstawie umowy o pracę.
2. Pierwsza umowa o pracę z nauczycielem akademickim w danej uczelni jest zawierana na czas:
1) nieokreślony albo
2) określony na okres do 4 lat.
3. W przypadku, o którym mowa w ust. 2 pkt 2, po uzyskaniu przez nauczyciela akademickiego pozytywnej oceny, o której mowa w art. 128, może być zawarta umowa o pracę na czas nieokreślony bez przeprowadzenia konkursu, o którym mowa w art. 119.

W drodze wyjątku zadaniem, które polega właśnie na samym przetwarzaniu danych jest prowadzenie rejestrów publicznych. Z drugiej strony obojętne jest na którą z tych zbiegających się podstaw powoła się administrator, skutki prawne podstawy z lit. b czy lit. c są takie same – w przeciwieństwie do zgody (lit. a) czy prawnie uzasadnionego interesu (lit. f) podmiot danych nie ma instrumentów w postaci wycofania zgody czy sprzeciwu, żeby takie przetwarzanie blokować. W końcu jeśli zebranie tego zakresu danych jest obowiązkiem pracodawcy, to czy naruszy prawo jeśli nie upomni się o uzupełnienie daty urodzenia w CV, i jakie są konsekwencje takiego naruszenia prawa? W niektórych przypadkach może powstać wątpliwość czy osoba jest pełnoletnia. Na pewno jest racjonalne wyznaczyć sztywny katalog danych obowiązkowo zbieranych np. na potrzeby przyznania świadczenia, choć to już wynika z określenia wymogów jakie musi spełnić osoba żeby świadczenie uzyskać, ale ma to sens w celu rozwiania ewentualnych wątpliwości.

Dla jakich zadań wprowadzać sztywny katalog danych osobowych

W uzasadnieniu ustawy z dnia 21 lutego 2019 r. o zmianie niektórych ustaw … (tzw. ustawy wdrażającej rodo), sam ustawodawca podaje w jakich sytuacjach istnienia obowiązku prawnego (zadania) należy uregulować katalog przetwarzanych danych:

W zakresie konieczności regulowania katalogu przetwarzanych danych osobowych uznano, że kwestia potrzeby uregulowania w poszczególnych ustawach katalogu danych osobowych wymaga oceny ad casum. Dokonując analizy, czy istnieje potrzeba regulowania katalogu danych na poziomie ustawowym, należało uwzględnić:

1) czy istotą zadania jest przetwarzanie danych osobowych – jako przykład takiego zadania można wskazać prowadzenie rejestrów publicznych. W tym przypadku istnieje konieczność określenia na poziomie ustawowym, w sposób precyzyjny, zamkniętego katalogu przetwarzanych danych (co już obecnie wynika ze standardów konstytucyjnych);

2) czy z zadania określonego w przepisach prawa powszechnie obowiązującego w sposób precyzyjny i jednoznaczny (innego niż zadanie, którego istotą jest przetwarzanie danych) można wywieść konieczność przetwarzania określonych danych osobowych – jeżeli tak, wówczas nie należy tworzyć katalogu danych, gdyż wynika on z samego zadania;

3) w przypadku gdy z zadania nie można wyinterpretować, jakie dane osobowe są przetwarzane podczas jego wykonywania, konieczne wydaje się uzupełnienie przepisu materialnego, aby można było wywieść z niego konieczność przetwarzania precyzyjnie określonych danych; przykładowo w przypadku przepisów dotyczących przyznawania świadczeń należy wskazać, jakie wymogi powinna spełnić osoba ubiegająca się o to świadczenie (będą one jednocześnie wyznaczały zakres danych osobowych przetwarzanych w ramach tego zadania).

Wobec powyższego należy stwierdzić, że ustawodawca nie uzasadnił dlaczego w ogóle uznał za potrzebne „dostosowanie brzmienia obowiązujących przepisów prawa pracy do art. 6 ust. 1 lit. c. RODO, który wprowadził przesłankę istnienia „obowiązku prawnego” jako podstawy pobierania danych osobowych”. Zdarzenie prawne jakim jest rekrutacja odzwierciedla art. 6 ust. 1 lit. b rodo na gruncie prawa ochrony danych, niezależnie od tego czy rekrutacja jest obowiązkowa (zadanie) czy fakultatywna. Rekrutacja co do zasady nie jest zadaniem, a nawet jeśli jest (bo przepis szczególny wprowadza obowiązek jej przeprowadzenia) to nie jest zadaniem podobnym do prowadzenia rejestrów publicznych – jej istotą nie jest przetwarzanie danych tylko wyłonienie pracownika spośród kandydatów. Ponadto jeśli rekrutacja jest zadaniem (obowiązkiem) to nawet przy pozostawionym zwrocie „może żądać” albo gdyby w ogóle nie podano nawet maksymalnego katalogu, należało by wskazać lit. c – ponieważ to nie zwrot „żąda” czy „może żądać” w przepisie określającym katalog danych ale istota zdarzenia prawnego, którego ten katalog dotyczy, przesądza o tym czy stanowi ono obowiązek administratora.

Uregulowanie katalogu danych, o którym mowa w uzasadnieniu ustawy wdrażającej, ma to znaczenie, że zwalnia administratora z samodzielnego stosowania zasady minimalizacji ponieważ ten nie ma obowiązku kontrolowania czy ustawodawca prawidłowo zastosował tę zasadę regulując katalog (precyzując rodo w prawie krajowym). Czyli regulacja katalogu danych ma związek z art. 5 rodo nie zaś z art. 6. Ustawodawca mógłby równie dobrze dla podstawy zgody wskazać katalog danych i nawet jeśli użyłby zwrotu „administrator żąda” nadal podstawą byłaby lit. a, ponieważ w takim wypadku przetwarzanie dla określonego celu zależy od zgody osoby, a ustawodawca wyręcza tylko administratora w stosowaniu zasady minimalizacji i usztywnia katalog danych (parametr) przetwarzania.

W tym przedmiocie wypowiada się też motyw 45 rodo:

(45) Jeżeli przetwarzanie odbywa się w celu wypełnienia obowiązku prawnego, któremu podlega administrator, lub jeżeli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego. Niniejsze rozporządzenie nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. Prawo Unii lub prawo państwa członkowskiego powinno określać także cel przetwarzania. Ponadto prawo to może doprecyzowywać ogólne warunki określone w niniejszym rozporządzeniu dotyczące zgodności przetwarzania z prawem, określać sposoby wskazywania administratora, rodzaj danych osobowych podlegających przetwarzaniu, osoby, których dane dotyczą, podmioty, którym można ujawniać dane osobowe, ograniczenia celu, okres przechowywania oraz inne środki zapewniające zgodność z prawem i rzetelność przetwarzania. Prawo Unii lub prawo państwa członkowskiego powinno określać także, czy administratorem wykonującym zadanie realizowane w interesie publicznym lub w ramach sprawowania władzy publicznej powinien być organ publiczny czy inna osoba fizyczna lub prawna podlegająca prawu publicznemu lub prawu prywatnemu, na przykład zrzeszenie zawodowe, jeżeli uzasadnia to interes publiczny, w tym cele zdrowotne, takie jak zdrowie publiczne, ochrona socjalna oraz zarządzanie usługami opieki zdrowotnej.

Przetwarzanie na f – ce

Może powstać natomiast bardziej doniosła praktycznie wątpliwość, czy na podstawie art. 6 ust. 1 lit. f rodo pracodawca może żądać jeszcze jakichś innych danych niewymienionych w przepisach k.p. czy innych ustaw – myślę że tak, tak jak w każdym przypadku po przejściu testu równowagi. W przepisie brak wyrażenia typu „żąda wyłącznie” co wskazywałoby na taksatywną listę, nie przemawia też za tym wykładnia funkcjonalna, zwłaszcza w sektorze prywatnym, gdzie sama rekrutacja nie jest obowiązkowa, pracodawca może po prostu złożyć ofertę pracy, która będzie skutkować stanem związania, a do nawiązania stosunku pracy dojdzie przez proste przyjęcie oferty przez osobę, która z tą chwilą stanie się pracownikiem. Rekrutację stanowi sytuacja kiedy dochodzi do konkurencji między kandydatami w wyniku ogłoszenia (zaproszenia do negocjacji lub składania ofert), i właśnie ta konkurencja musi być uczciwa (równa). Zawarcie umowy o pracę może nastąpić w wyniku zastosowania trybów oferty lub negocjacji przewidzianych w k.c. w zw. z art. 300 k.p., ale nie zawsze musi to być poprzedzone ogłoszeniem (zaproszeniem) skierowanym do większej ilości osób (rekrutacją).

Art. 71. [Ogłoszenia, reklamy, cenniki] Ogłoszenia, reklamy, cenniki i inne informacje, skierowane do ogółu lub do poszczególnych osób, poczytuje się w razie wątpliwości nie za ofertę, lecz za zaproszenie do zawarcia umowy.

Przebieg rekrutacji jest dokumentowany, a dokumenty pochodzące z rekrutacji zawierają dane osobowe zebrane w sposób wyżej przedstawiony. Rekrutacja jest zdarzeniem prawnym, które może rodzić odpowiedzialność po stronie pracodawcy z tytułu naruszenia zasady równego traktowania.

Art. 183a. [Zakaz dyskryminacji – definicje]
§ 1. Pracownicy powinni być równo traktowani w zakresie nawiązania i rozwiązania stosunku pracy, warunków zatrudnienia, awansowania oraz dostępu do szkolenia w celu podnoszenia kwalifikacji zawodowych, w szczególności bez względu na płeć, wiek, niepełnosprawność, rasę, religię, narodowość, przekonania polityczne, przynależność związkową, pochodzenie etniczne, wyznanie, orientację seksualną, zatrudnienie na czas określony lub nieokreślony, zatrudnienie w pełnym lub w niepełnym wymiarze czasu pracy.

Art. 183b. [Katalog naruszeń zasady równego traktowania]
§ 1. Za naruszenie zasady równego traktowania w zatrudnieniu, z zastrzeżeniem § 2-4, uważa się różnicowanie przez pracodawcę sytuacji pracownika z jednej lub kilku przyczyn określonych w art. 183a § 1, którego skutkiem jest w szczególności:
1) odmowa nawiązania lub rozwiązanie stosunku pracy, (…)

Ciężar dowodu w sprawie o odszkodowanie z tytułu odmowy zatrudnienia o dyskryminującym charakterze

WSA w wyroku z dnia 8 sierpnia 2022 r. sygn. akt II SA/Wa 542/22, powołując się na wyroki TSUE oraz SN, stwierdził jak przebiega rozkład ciężaru dowodu w sprawie sądowej, której źródłem jest proces rekrutacji. Powód (kandydat) ma wykazać:

  • fakty uprawdopodobniające zarzut nierównego traktowania w zatrudnieniu (okoliczności stwarzające domniemanie faktyczne)

natomiast pozwany pracodawca ma wykazać, że:

  • kierował się obiektywnymi powodami.

Jak słusznie bowiem zwraca uwagę Skarżąca, art. 8 ust. 1 dyrektywy 2000/43, art. 10 ust. 1 dyrektywy 2000/78 i art. 19 ust. 1 dyrektywy 2006/54 stanowią – co do zasady – że państwa członkowskie podejmują takie środki, które są niezbędne, zgodnie z ich krajowymi systemami prawnymi, w celu zapewnienia, że gdy osoba, która uważa się za pokrzywdzoną nieprzestrzeganiem wobec niej zasady równego traktowania i przedstawia przed sądem lub innym właściwym organem fakty, z których można domniemywać istnienie bezpośredniej lub pośredniej dyskryminacji, to na stronie pozwanej ciąży udowodnienie, że zasada równego traktowania nie została naruszona.

Powoduje to, że to na pracodawcy ciąży obowiązek wykazania, że do takiego naruszenia nie doszło. Jak podkreśla się w piśmiennictwie, „(…) przesłankami odpowiedzialności są: szkoda, fakt naruszenia zasady równego traktowania i związek przyczynowy. Co do faktu dyskryminacji pracownik korzysta ze szczególnego rozkładu ciężaru dowodu. Powinien on bowiem jedynie wskazać fakty uprawdopodobniające zarzut nierównego traktowania w zatrudnieniu, a wówczas na pracodawcę przechodzi ciężar dowodu, że kierował się obiektywnymi powodami.” (por. A. Sobczyk (red.), Kodeks pracy. Komentarz. Wyd. 5, Warszawa 2020; E. Maniewska [w:] K. Jaśkowski, E. Maniewska, Komentarz aktualizowany do Kodeksu pracy, LEX/el. 2022, art. 18(3(a)), art. 18(3(b)), art. 18(3(c)), art. 18(3(d)), art. 18(3(e)).

Czyli dochodzi w takiej sprawie do korzystnego dla powoda ukształtowania ciężaru dowodu (konsekwencji niewykazania faktów). Tak wyjaśnia to z kolei SN:

Powyższy kierunek wykładni prezentowany jest również w orzecznictwie Sądu Najwyższego, w którym podkreśla się, że „(…) W sprawie o odszkodowanie z tytułu odmowy zatrudnienia o dyskryminującym charakterze powód powinien wykazać, że ubiegał się o zatrudnienie, miał wymagane do zatrudnienia na danym stanowisku kwalifikacje, a zatrudniona została osoba, która nie odznacza się cechą posiadaną przez powoda. Dopiero w następnej kolejności pracodawca obowiązany Jest wykazać obiektywne przyczyny, którymi kierował się podejmując decyzję odmowną. Odmowa nawiązania stosunku pracy albo odmowa kontynuowania stosunku pracy musi być zatem uzasadniona przyczynami niedyskryminującymi pracownika. Nieprzeprowadzenie przez pracodawcę dowodu niedyskryminacji osoby ubiegającej się o nawiązanie stosunku pracy lub jego kontynuowanie uprawnia tę osobę do odszkodowania przewidzianego w art. 183d k.p. (por. wyrok SN z dnia 13 lutego 2018 r. II PK 345/16).

WSA podkreśla, że podstawa legalizacyjna z art. 6 ust. 1 lit. f rodo w postaci prawnie uzasadnionego interesu, dotyczy również interesu osoby, której dane dotyczą nie tylko samego administratora:

Przytoczone judykaty oraz poglądy doktryny prowadzą, w ocenie Sądu, do wniosku, że usuwanie danych osób, które nie zostały zatrudnione niezwłocznie po zakończeniu rekrutacji, istotnie uniemożliwiałoby realizację ich praw związanych z naruszeniem zasad równego traktowania. Tym samym pracodawca nie mógłby realizować obowiązku przeciwdziałania dyskryminacji, poprzez brak możliwości nadzoru nad transparentnością procesów rekrutacji.

Okres przedawnienia, odpowiedzialność deliktowa

Z powyższych względów WSA uznał wykładnię UODO zgodnie z którą należy usuwać dane po zakończeniu rekrutacji za błędną i uchylił decyzję organu, wskazując że dane z rekrutacji można przetwarzać do czasu przedawnienia roszczeń. Pytanie jest w jakim czasie przedawniają się roszczenia z bezprawnej rekrutacji. Rekrutacja nie wchodzi w zakres pojęcia stosunku pracy, o którym mowa w art. 291 k.p.:

Art. 291. [Przedawnienie roszczeń ze stosunku pracy]
§ 1. Roszczenia ze stosunku pracy ulegają przedawnieniu z upływem 3 lat od dnia, w którym roszczenie stało się wymagalne. (…)

W związku z tym należy stosować 4421 k.c. w zw. z art. 300 k.p., ponieważ odpowiedzialność pracodawcy opiera się na reżimie deliktowym (naruszenie obowiązku wynikającego z ustawy a nie uprzednio istniejącego zobowiązania między stronami):

Art. 4421. [Przedawnienie roszczeń]
§ 1. Roszczenie o naprawienie szkody wyrządzonej czynem niedozwolonym ulega przedawnieniu z upływem lat trzech od dnia, w którym poszkodowany dowiedział się albo przy zachowaniu należytej staranności mógł się dowiedzieć o szkodzie i o osobie obowiązanej do jej naprawienia. Jednakże termin ten nie może być dłuższy niż dziesięć lat od dnia, w którym nastąpiło zdarzenie wywołujące szkodę.