Okres przetwarzania danych po zakończeniu rekrutacji

Kwestia okresu przetwarzania danych osobowych kandydata po zakończeniu rekrutacji była przedmiotem wypowiedzi UODO sugerującej, że powinny być one, co do zasady, trwale usuwane niezwłocznie po jej zakończeniu. UODO trafnie przy tym wskazuje, że przetwarzanie danych na okoliczność roszczeń jedynie hipotetycznych naruszałoby zasadę minimalizacji. Podkreśla zarazem, że z praktycznego punktu widzenia ryzyko zarzutów dyskryminacji kandydata ujawnia się szybko, i to raczej w kontekście rozmów rekrutacyjnych, a nie w ramach samego procesu przetwarzania danych utrwalonych.

Stanowisko UODO wydaje się nadmiernie kategoryczne, choć zaakcentowanie w nim ryzyka nieproporcjonalnego przetwarzania danych jest warte uszanowania. Głos polemiczny wywodzę jednak z tego, że UODO błędnie w moim przekonaniu postrzega relację pomiędzy pracodawcą a pracownikiem jako kontraktową, a relację pomiędzy kandydatem a pracownikiem jako zmierzającą wynegocjowania kontraktu, o czym była już mowa. Tymczasem pomiędzy kandydatem a pracodawcą występuje relacja prawna, która powstaje co najmniej wraz ze złożeniem przez kandydata wniosku o zatrudnienie.  Z tego powodu prawo zakazuje pracodawcy dyskryminować kandydata oraz nakazuje wobec niego realizować obowiązek przeciwdziałania dyskryminacji.

Ujmując rzecz inaczej, wraz ze złożeniem wniosku o zatrudnienie, pomiędzy kandydatem a pracodawcą powstaje więź zobowiązaniowa, tyle tylko że nie wynikająca z kontraktu, ale z ustawy. Z tego powodu zarzut dyskryminacji kandydata, jako emanacja naruszenia dóbr osobistych, wywodzony jest z czynu niedozwolonego. Dlatego rozumowanie wnikające z założenia, że skoro nie zawarto kontraktu, to ustała podstawa przetwarzania danych, nie jest przekonujące, a ryzyko roszczeń pozostaje, pomimo niezawarcia umowy.

Zgadzam się zarazem z UODO, że aby dane osobowe mogły być przechowywane po okresie zakończonej rekrutacji, powinny  występować okoliczności uzasadniające takie przetwarzanie danych. Tym samym przyjęcie bezwarunkowego założenia, że wszystkie dane kandydata będą przechowywane „na wszelki wypadek”  przez okres 3 lat, tj. do czasu przedawnienia roszczeń, jest błędny. Zakładam przy tym, że okres przedawnienia w stosunku do kandydatów rzeczywiście wynosi 3 lata.

Wydaje się, że obowiązkiem administratora danych jest racjonalna ocena ryzyka i ustalenie takiego okresu przetwarzania danych, który odpowiada realnym zagrożeniom. Co więcej, dopuszczalnym rozwiązaniem jest takie, w którym kandydat zostanie poinformowany o tym, że niezgłoszenie zarzutów np. co do dyskryminacji w określonym terminie po odmowie zatrudnienia, zostanie uznane za domniemanie braku takowych, a dane osobowe zostaną usunięte. Nie będzie to wprawdzie stanowić domniemania, którego rezultatem jest wygaśniecie roszczenia, ale znacznie osłabi wiarygodność pracownika w przypadku sporu i może skutkować  brakiem uprawdopodobnienia roszczenia. Tym samym utrata dostępu do danych osobowych kandydata przez pracodawcę nie będzie miał dla niego istotnego znaczenia.

Warto zarazem pamiętać, że wiedza pracownika dotycząca aktów dyskryminacyjnych może wymagać w niektórych przypadkach wiedzy o dokonanych przez pracodawcę wyborach personalnych, której uzyskanie nie zawsze następuje od razu. Wiele zależy od wielkości zakładu pracy. Im większy zakład tym trudniejszy dostęp do informacji. Wydaje się jednak, że nawet w dużych zakładach okres przewarzania danych na potrzeby ochrony przed zarzutami dyskryminacji nie powinien przekraczać kilku miesięcy, chyba że zarzuty takie zostały już podniesione lub z okoliczności wynika, że są prawdopodobne.

Dodajmy na koniec, że dylematy dotyczące okresu przechowywania danych dotyczą tych osób, których kandydatury zostały w ogóle rozpatrzone. Bywa bowiem i tak, że dane spływają już po tym, gdy proces został zakończony lub, gdy z uwagi na liczbę aplikacji, nie wzięto pod uwagę wszystkich zgłoszeń.