Urząd Ochrony Danych Osobowych opublikował poradnik dla pracodawców na temat ochrony danych osobowych w miejscu pracy. Radzi w nim, jak pracodawcy powinni przetwarzać dane osobowe pracowników i kandydatów do pracy zgodnie z RODO. Niektóre wytyczne spotkały się z krytyką prawników. Szczególnie dużo wątpliwości dotyczy okresu przetwarzania danych kandydatów do pracy, czyli mówiąc prościej: Jak długo można trzymać CV kandydata, który nie został zatrudniony. To kwestia niezwykle ważna dla pracodawców, którzy mogą spotkać się później z takim niedoszłym pracownikiem w sądzie. I muszą wybronić się np. od zarzutu dyskryminacji.
Co radzi UODO?
- Jak długo można przetwarzać dane kandydatów do pracy?
Okres przechowywania danych kandydata do pracy powinien być dostosowany do zasad przetwarzania danych i z góry określony przez administratora. Co do zasady pracodawca powinien trwale usunąć dane osobowe kandydata (np. poprzez zniszczenie bądź odesłanie), z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po zakończeniu procesu rekrutacji, tj. podpisaniu umowy o pracę z nowozatrudnionym pracownikiem, chyba że ziściły się inne przesłanki uprawniające administratora do ich przetwarzania. Konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Wydłużenie okresu przechowywania danych zawartych w aplikacji, powinno być zatem wyjątkiem od reguły niezwłocznego ich usuwania oraz powinno być szczególnie uzasadnione.
- Czy pracodawca może przetwarzać dane kandydatów do pracy po zakończeniu rekrutacji w celu zabezpieczenia się przed ich ewentualnymi roszczeniami?
Niedopuszczalne jest przetwarzanie danych tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem osoby, której dotyczą. W przeciwnym razie może pojawić się wątpliwość jak długo należy przetwarzać dane osobowe, jeżeli ta osoba nie zdecyduje się na wytoczenia powództwa przeciwko pracodawcy. W toku rekrutacji nie powstaje żaden stosunek zobowiązaniowy pomiędzy kandydatem do pracy, a pracodawcą. Brak jest dokonania wzajemnych rozliczeń lub możliwości zarzucenia drugiej stronie niewykonania umowy lub nieprawidłowego jej wykonania. Nie ma więc podstaw do uznania, że pracodawca jest uprawniony do przetwarzania danych z uwagi na konieczność ustalenia bądź nie, istnienia roszczenia. Działanie pracodawcy stanowiłoby przetwarzanie danych kandydata „na wszelki wypadek”.
Cena promocyjna: 103.2 zł
|Cena regularna: 129 zł
|Najniższa cena w ostatnich 30 dniach: zł
- Czy możliwość wystąpienia roszczeniem z tytułu dyskryminacji uzasadnia dłuższe przechowywanie danych?
Istotą roszczenia z tytułu dyskryminacji ze względu na jakąś cechę lub przekonania jest uprawdopodobnienie, że to właśnie z tej przyczyny kandydat został potraktowany w sposób gorszy niż reszta kandydatów, natomiast dopiero wtedy pracodawca musi wykazać, że ta cecha nie miała wpływu na dokonanie przez niego oceny negatywnej, do czego, nie jest konieczne przetwarzanie danych zawartych w życiorysie kandydata do pracy.
Udowodnić musi pracodawca
Na początek trzeba podkreślić, że kodeks pracy jasno określa, że w przypadku roszczeń wynikających z dyskryminacji kandydata do pracy, to na kandydacie spoczywa obowiązek przedstawienia faktów, z których wynika domniemanie nierównego traktowania, a następnie na pracodawcę zostaje przerzucony ciężar udowodnienia, że nie traktował kandydata gorzej od innych albo, że, traktując go odmiennie od innych, kierował się obiektywnymi i usprawiedliwionymi przyczynami. To pracodawca musi więc udowodnić, że dyskryminacji nie było.
Czytaj też: Prof. Sobczyk: Niejednoznaczny status przedsiębiorcy w funduszu socjalnym >
Co na to eksperci?
Profesor Arkadiusz Sobczyk, Partner Zarządzający w Kancelarii Sobczyk i Współpracownicy uważa, że stanowisko UODO jest nadmiernie kategoryczne. - UODO postrzega relację pomiędzy pracodawcą a pracownikiem jako kontraktową, a relację pomiędzy kandydatem a pracownikiem jako zmierzającą wynegocjowania kontraktu - zaznacza. Tymczasem relacja pomiędzy kandydatem a pracodawcą jest określona w ustawie i wynika z określonego w art. 10 k.p. prawa do pracy. Z tego powodu prawo zakazuje dyskryminować kandydata. - Ujmując rzecz inaczej, wraz ze złożeniem wniosku o zatrudnienie pomiędzy kandydatem a pracodawcą powstaje więź zobowiązaniowa, tyle, że nie wynikająca z kontraktu, ale co najmniej z ustawowego zakazu dyskryminowania w procesie rekrutacji, czyli innymi słowy, nakazu rozpatrzenia wniosku z pominięciem kryteriów zakazanych. Zresztą w moim przekonaniu nakaz ten obejmuje także traktowanie równego i sprawiedliwe, na podstawie Konstytucji stosowanej wprost - mówi prof. Sobczyk i przypomina, że zobowiązania (np. nakaz powstrzymania się od dyskryminowania) wynikają także z ustawy. Dlatego ewentualny zarzut dyskryminacji kandydata, jako przykład naruszenia dóbr osobistych będzie wynikał właśnie z ustawy a nie z umowy. - Dlatego nie podzielam tak kategorycznego stanowiska UODO, co oczywiście nie znaczy, że dane kandydata można przechować latami - zastrzega prof. Sobczyk.
Czytaj też: Czy udostępnianie listy pracowników podlegających szkoleniom BHP jest zgodne z RODO? >
- Zgadzam się z UODO, że aby przechowywać takie dane, z okoliczności lub doświadczenia musi jednak wynikać ryzyko podniesienia zarzutu. Naczelną zasadą przetwarzania danych jest wszak zasada proporcjonalności i hipotetyczne jedynie ryzyko taką zasadę narusza. - Tym samym przyjęcie bezwarunkowego założenia, że wszystkie dane kandydata będą przechowywane „na wszelki wypadek” przez okres 3 lat, tj., do czasu przedawnienia roszczeń, jest błędny - mówi.
Dr Dominika Dörre-Kolasa, radca prawny, partner w Kancelarii Raczkowski Paruch zwraca uwagę, że nie można traktować danych wszystkich kandydatów jednakowo i w niektórych przypadkach faktycznie przechowywanie danych będzie nieuzasadnione - wszystko będzie zależało od zaawansowania procesu rekrutacji.
- CV, które wpłynęły, ale nie brały udziału w procesie rekrutacji
W sytuacji gdy w odpowiedzi na ogłoszenie do pracodawcy napływa np. kilkadziesiąt CV, a na rozmowę czy testy kompetencyjne zaproszonych zostanie tylko kilka osób, to faktycznie - dane tych, którzy w ogóle nie byli brani pod uwagę w rozpoczętej rekrutacji, powinno się usunąć od razu po zakończeniu rekrutacji - mówi dr Dörre-Kolasa. Przechowywanie CV w takim przypadku na wszelki wypadek, bo może akurat ta osoba wystąpi z roszczeniem, byłoby nieuzasadnione - podkreśla prawnik. Dane trzeba więc usunąć, chyba że kandydat wyrazi zgodę na uczestniczenie w przyszłych rekrutacjach. - Wówczas przechowujemy dane na podstawie zgody kandydata do momentu aż tę zgodę wycofa - mówi.
- CV osób zaproszonych na rozmowy, testy kompetencyjne
- Inna sytuacja będzie w przypadku nawiązania kontaktu z kandydatem, czyli wtedy, gdy kandydat w procesie rekrutacyjnym aktywnie uczestniczył - był na rozmowie kwalifikacyjnej, testach kompetencyjnych. Wówczas pojawia się ryzyko roszczeń - mówi dr Dörre-Kolasa i zawsze rekomenduje klientom przechowywanie danych takich kandydatów. - To ryzyko jest realne, nie jest to przechowywanie danych na wszelki wypadek. Pracodawca, który usunie takie CV będzie bezbronny w sądzie - mówi i dodaje, że roszczenia mogą dotyczyć dyskryminacji, ale też np. naruszenia dóbr osobistych. Trzeba jednak podkreślić, że takich danych nie można używać w innym celu, czyli np. wykorzystać przy kolejnych rekrutacjach. Dane kandydata, który nie został zatrudniony, nie powinny być więc dostępne np. dla rekruterów, którzy przeszukują bazę w poszukiwaniu kandydatów na potrzeby następnych rekrutacji.
Podobnego zdania jest radca prawny Marcin Maruta, wspólnik w Kancelarii Maruta Wachta, który na LinkedIn tak skomentował wytyczne UODO: Czytam i się zdumiewam. Polecam lekturę i zderzenie przemyśleń. Wychodzi m.in. na to, że trzeba usuwać CV po rekrutacji. A jak np. bronić się przed zarzutami niezatrudnionych, w tym o dyskryminacje, jak usuniemy dowody? Wyjaśnienia na ten temat w poradniku są oderwane od praktyki procesowej - podkreśla.
Czytaj też: Jak udokumentować urlop okolicznościowy zgodnie z RODO? >
Jak długo przechować dane?
Dr Dörre-Kolasa zwraca uwagę na jeszcze jedną kwestię. Zazwyczaj, jeśli roszczenia pojawiają się, to ma to miejsce dość szybko - w ciągu roku. Ale trzeba pamiętać, że okres przedawnienia w tego typu sprawach wynosi 3 lata, więc najbezpieczniej byłoby przechowywać dane przez taki okres. Jeśli pracodawca zdecyduje się na krótsze przechowywanie danych, ryzykuje.
Dr Dörre-Kolasa radzi, aby przy okazji spełniania obowiązku informacyjnego wobec kandydata zawrzeć tam również informacje o okresie przechowywania danych na wypadek potencjalnych roszczeń. Podobnie doradza swoim klientom prof. Sobczyk. - Wydaje się, że w praktyce dopuszczalnym rozwiązaniem jest takie, aby kandydat otrzymał informację, że niezgłoszenie zarzutów np. co do dyskryminacji w określonym terminie po odmowie zatrudnienia będzie miało ten skutek, że dane zostaną usunięte - mówi i dodaje, że to oczywiście nie oznacza, że kandydat traci roszczenie, ale osłabia jego wiarygodność w przypadku wytoczenia sporu. Utrudnia także uprawdopodobnienie roszczenia.
Czytaj też: E-akta, czyli cyfrowa rewolucja w dokumentacji pracowniczej >
Różne poglądy, rozstrzygać będą sądy
Dr Magdalena Rycak, radca prawny z Rycak Kancelaria Prawa Pracy i HR uważa natomiast, że UODO słusznie interpretuje przepisy. - Gdyby było w nich jasno zapisane, że pracodawca może przez jakiś okres przechować dane, sytuacja wyglądałaby zupełnie inaczej - mówi. Dodaje też, że pojawiają się już pierwsze sprawy o dyskryminację przy zatrudnieniu po wejściu RODO. Są pracodawcy, którzy na prośby o podanie przyczyn odrzucenia aplikacji odpowiadają kandydatom, że nie mają już ich danych, bo zgodnie z RODO zostały zanonimizowane. Wraca w tym momencie pytanie, jak potraktują taką odpowiedź sądy, skoro kodeks pracy wymaga, żeby to pracodawca udowodnił, że dyskryminacji nie było.
Stosowanie przepisów o ochronie danych osobowych w związku z zatrudnieniem wciąż budzi wątpliwości i poradnik UODO tego nie zmienia. Dopiero kiedy pojawią się pierwsze wyroki sądowe, okaże się, która interpretacja jest właściwa. Przy obecnym tempie rozstrzygania sporów możemy jednak czekać na to czekać latami.
Więcej przydatnych materiałów znajdziesz w LEX Kadry:
Obowiązki pracodawcy w świetle RODO >
Wpływ RODO na obowiązki pracodawcy w zakresie dokumentacji powypadkowej >
Nowe zasady gromadzenia danych osobowych pracowników >
Zasada rozliczalności w ochronie danych osobowych >
Umowa powierzenia danych osobowych >
Pseudonimizacja i szyfrowanie danych >
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.
