Ministerstwo Cyfryzacji opublikowało dziś objaśnienia prawne w sprawie przechowywania CV po zakończeniu rekrutacji. To stanowisko, które podoba się przedsiębiorcom. Problem jednak w tym, że UODO twierdzi, że jest jedynym organem z prawem do wydawania wytycznych i interpretowania przepisów o ochronie danych osobowych i to właśnie UODO z jego odmiennym stanowiskiem będzie kontrolować przestrzeganie RODO. Co więc robić? Trzymać CV - jak radzi MC, czy niszczyć - jak radzi UODO?
Czytaj też: UODO: Ja objaśniam RODO, nie minister cyfryzacji! >>
MC i UODO - dwie różne interpretacje tych samych przepisów
Kodeks pracy nie przesądza, przez jaki czas mogą być przechowywane dane kandydata, z którym umowa nie została zawarta. Po zakończeniu rekrutacji przetwarzanie takich danych nie jest już przecież niezbędne do podjęcia czynności przygotowujących do jej podpisania, a więc tym bardziej do wykonania umowy – bo pracodawca wybrał na to stanowisko innego kandydata. Ale jeśli pracodawca usunie CV, a niedoszły pracownik zgłosi się z zarzutem np. dyskryminacji w zatrudnieniu, to pracodawca będzie bezbronny.
Po zakończonej rekrutacji pracodawca ma prawo przechowywać dokumenty rekrutacyjne osób, które nie zostały zatrudnione, w celach ochrony przed ewentualnymi roszczeniami mogącymi pojawić się w związku z prowadzoną uprzednio rekrutacją - takie stanowisko zaprezentował dziś Marek Zagórski, minister cyfryzacji. I o taką interpretację przepisów od wejścia w życie wielkiej unijnej reformy ochrony danych osobowych (RODO) apelowali prawnicy i pracodawcy. To zwrot o 180 stopni w tej kwestii i interpretacja odmienna od forsowanej od miesięcy przez Urząd Ochrony Danych Osobowych.
UODO od maja konsekwentnie stoi bowiem na stanowisku, że dane osobowe kandydata, z którym pracodawca nie zdecydował się zawrzeć umowy o pracę, należy trwale usunąć (np. poprzez zniszczenie bądź odesłanie) niezwłocznie po zakończeniu procesu rekrutacji, tj. podpisaniu umowy o pracę z nowozatrudnionym pracownikiem, chyba że ze względu na zainteresowanie przyszłymi naborami sam wyraża zgodę na dłuższe wykorzystywanie jego danych. To wskazówki zawarte w oficjalnym poradniku wydanym przez UODO „Ochrona danych osobowych w miejscu pracy” >.
Prawnicy ostrzegają, że takie działanie może narazić pracodawcę na przykre konsekwencje. - Nie podzielam tak kategorycznego stanowiska UODO, co oczywiście nie znaczy, że dane kandydata można przechować latami – mówi prof. Arkadiusz Sobczyk, partner zarządzający w kancelarii Sobczyk i Współpracownicy. Podobnie uważa dr Dominika Dörre-Kolasa, radca prawny, partner w kancelarii Raczkowski Paruch.
Więcej na temat wytycznych UODO czytaj tutaj: Co z CV po zakończeniu rekrutacji? UODO radzi, prawnicy ostrzegają >
Dlaczego minister wydaje objaśnienia?
Minister cyfryzacji podkreśla, że zarówno w działaniach organów administracji publicznej, jak i w literaturze pojawiają się różne stanowiska, uznające dalsze przetwarzanie danych osobowych zawartych w dokumentach rekrutacyjnych (np. CV) za zgodne z prawem. Wydanie objaśnień w tym zakresie było więc niezbędne ze względu na to, że zagadnienie dotyczy bardzo dużej liczby przedsiębiorców w Polsce i ma wpływ na prowadzoną przez nich działalność gospodarczą.
To pierwsze - w oparciu o Konstytucję dla Biznesu - objaśnienia prawne, do których wydawania uprawnieni są ministrowie członkowie Rady Ministrów. O tym, że ustawa - Prawo przedsiębiorców może pomóc RODO, pisaliśmy w naszym serwisie już w październiku. Dokładnie chodzi o art. 33 tej ustawy, zgodnie z którym ministrowie oraz organy, które upoważnione są do przedkładania projektów aktów prawnych, mogą z urzędu lub na wniosek Rzecznika Małych i Średnich Przedsiębiorców wydawać tzw. objaśnienia prawne. Są to wyjaśnienia przepisów regulujących podejmowanie, wykonywanie lub zakończenie działalności gospodarczej, dotyczące praktycznego ich stosowania. Rzecznik MŚP wystąpił w takim wnioskiem w listopadzie 2018 roku. Objaśnienia wydane 23 stycznia 2019 roku przez ministra cyfryzacji są odpowiedzią.
Co radzi MC?
- Pracownicy, którzy wyrazili zgodę na wykorzystanie ich dokumentów rekrutacyjnych na potrzeby przyszłych rekrutacji
Coraz częstszą praktyką wśród osób szukających pracy jest wysyłanie CV, mimo braku informacji ze strony pracodawcy, że poszukuje on nowych pracowników. Dokumentom takim często towarzyszy informacja, że kandydat prosi o wykorzystanie jego dokumentów rekrutacyjnych w przypadku, gdy w danym zakładzie pracy będzie organizowana jakakolwiek rekrutacja. Wiadomość taka najczęściej jest przekazana w treści wiadomości email, bądź w liście dołączonym do dokumentów. Bywa jednak, że dokumenty takie pozostawiane są na recepcji zakładu pracy bez żadnej wiadomości, a intencja wykorzystania ich w przyszłych procesach rekrutacyjnych deklarowana jest ustnie.
Jeżeli pracodawca nie postanowi takich danych przetwarzać, powinien takie dane usunąć lub odesłać. Należy bowiem pamiętać, że nawet jeśli posiadamy cudze dane pozyskane bez własnej inicjatywy, jednak złożone w celu związanym z zakresem działalności przedsiębiorcy, to ponosimy odpowiedzialność za zachowanie ich w poufności, w związku z konstytucyjną ochroną prywatności, co przekłada się na ustawowy obowiązek ochrony dóbr osobistych (art. 23 w zw. z art. 355 § 2 k.c.).
Z drugiej strony, jeśli przedsiębiorca uzna, że w przyszłości być może skorzysta z danych kandydata na potrzeby rekrutacyjne, to tym samym ustala cel przetwarzania i powinien wykonać obowiązek informacyjny z art. 13 RODO (chyba, że składający wniosek mógł się z nim uprzednio zapoznać np. odwiedzając stronę internetową przedsiębiorcy).
Podstawą prawną gromadzenia przez pracodawcę takich dokumentów jest zgoda, wyrażona przez osobę ubiegającą się o zatrudnienie. Jeśli zgoda na wykorzystanie danych osobowych dla celów przyszłych rekrutacji wyrażona jest jedynie ustnie, może powstać problem dowodowy tj. pracodawca może nie mieć możliwości wykazania, że faktycznie kandydat taką zgodę wyraził.
Zgodnie z art. 4 pkt 11 RODO zgoda osoby, której dane dotyczą oznacza „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”. Bez wątpienia działaniem takim jest przekazanie dokumentów rekrutacyjnych do zakładu pracy wraz z informacją, że przyzwala się na ich wykorzystanie w rekrutacjach, prowadzonych w przyszłości. W takim przypadku dokumenty mogą być przechowywane przez pracodawcę do czasu odwołania zgody przez osobę, która je przesłała. Nie oznacza to jednak, że dane będą przetwarzane bezterminowo. Czas ich przechowywania wyznacza okres obowiązywania zgody, a więc do momentu jej odwołania. Potencjalny pracodawca powinien w każdym przypadku dokonać oceny, czy zakres gromadzonych w dokumentach danych nie wykracza poza cel związany z rekrutacją, a także zadbać o udokumentowanie faktu posiadania zgody na wspomniane wykorzystanie dla celów przyszłych rekrutacji tak, aby móc się tym wykazać w razie sporu z osobą, której dane dotyczą, bądź z organem nadzorczym.
Dokumenty, które zostały przekazane przez kandydata, a co do których wiemy, że z uwagi na ich treść nigdy w rekrutacji nie będą wykorzystane powinny zostać usunięte - radzi MC.
- Pracownicy, którzy przekazali swoje dokumenty rekrutacyjne celem udziału w konkretnej rekrutacji
Znaczna część osób decyduje się wysłać swoje dokumenty rekrutacyjne w związku z konkretnymi, organizowanymi przez potencjalnych pracodawców rekrutacjami. W takim przypadku cały proces rekrutacji może być uznany za podejmowanie działań przed zawarciem umowy. W związku z tym do zakończenia rekrutacji w zakresie wykraczającym poza dane, o którym mowa w art. 22(1) Kodeksu pracy, podstawą przetwarzania danych osobowych kandydatów jest przepis, wskazujący, że jest ono niezbędne do podjęcia działań przed zawarciem umowy (art. 6 ust. 1 lit. b RODO), z uwzględnieniem przewidzianej w art. 5 ust. 1 lit. c RODO zasady minimalizacji danych. Na przepis ten można się powołać również do czasu ogłoszenia wyników rekrutacji, gdy w jej efekcie potencjalny pracodawca nie zdecyduje się zatrudnić żadnej osoby, jednak tylko w celu przetwarzania na potrzeby tej konkretnej rekrutacji. Podstawy tej nie da się wykorzystać na potrzeby przetwarzania dla celów przyszłych rekrutacji. Częstym błędem jest pozyskiwanie od kandydatów zgody na przetwarzanie danych osobowych w celu przeprowadzenia danej rekrutacji. Takie podejście jest nieprawidłowe i może prowadzić do nieuzasadnionego pomijania kandydatów, którzy takiego oświadczenia zgody nie złożą - zwraca uwagę minister cyfryzacji.
Zdaniem ministra, po zakończonej rekrutacji pracodawca ma prawo przechowywać dokumenty rekrutacyjne osób, które nie zostały zatrudnione, w celach ochrony przed ewentualnymi roszczeniami mogącymi pojawić się w związku z prowadzoną uprzednio rekrutacją. I to jest zasadnicza różnica w stosunku do stanowiska UODO.
MC, jako podstawę prawną takiego działania podaje art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadniony interes niedoszłego pracodawcy, czyli ochrona przed ewentualnymi przyszłymi roszczeniami osoby, która nie została zatrudniona w wyniku rekrutacji, która nie została zatrudniona. Co szczególnie ważne, powołaniu się na tą przesłankę towarzyszyć powinno uprzednie przeprowadzenie testu - zaznaczono w objaśnieniach. Test powinien wykazać, czy osobę, której dane będą przetwarzane w prawnie uzasadnionym celu, łączy z administratorem jakaś więź oraz czy osoba taka mogła podejrzewać, że jej dane będą przetwarzane w uzasadnionym interesie.
Zgodnie bowiem z motywem 47 preambuły RODO „prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu”. Osoba, która ubiegała się o pracę bez wątpienia jest powiązana z przedsiębiorcą poprzez udział w organizowanej przez niego rekrutacji. Pomiędzy kandydatem a potencjalnym pracodawcą występuje relacja prawna, która powstaje wraz z przedłożeniem przez kandydata wniosku o zatrudnienie, wynikająca chociażby z ustawowego zakazu dyskryminacji. Kandydat nie tylko może przypuszczać, ale wręcz musi się liczyć z tym, że jego dane będą przechowywane również po zakończonej rekrutacji.
Zgodnie z motywem 50 preambuły RODO „przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane.” Celem pierwotnym w takim przypadku jest rekrutacja, zaś celem zgodnym z rekrutacją będzie ochrona przed ewentualnymi przyszłymi roszczeniami pracownika, wynikającymi z tej rekrutacji - tłumaczy MC. Niedoszły pracodawca, zachowując CV może więc się ochronić np. przed przyszłym ewentualnym posądzeniem o dyskryminację.
Sprawdź w LEX: Zasada równego wynagradzania >
Wraz ze złożeniem dokumentów rekrutacyjnych pomiędzy kandydatem a potencjalnym pracodawcą powstaje więź zobowiązaniowa, wynikająca z prawnego obowiązku przeciwdziałania dyskryminacji (art. 94 pkt 2b w zw. z art. 18(3a) k.p.). Z tego powodu zarzut dyskryminacji kandydata, jako emanacja naruszenia dóbr osobistych, wywodzony jest z czynu niedozwolonego. Dlatego przyjęcie, że skoro nie zawarto umowy o pracę to ustała podstawa przetwarzania danych nie jest przekonujące, pozostaje bowiem ryzyko roszczeń ze strony kandydata w związku z nie zawarciem umowy - wyjaśnia swoje stanowisko minister.
Sprawdź w LEX: Różnicowanie sytuacji pracowników - dopuszczalność >
Nie trzeba tych danych usuwać natychmiast po zakończonej rekrutacji. Uwzględniając przebieg rekrutacji i podjętą przez pracodawcę ocenę ryzyka pojawienia się takich roszczeń, okres przechowywania CV powinien być jednak jak najkrótszy. Jeżeli w praktyce działania przedsiębiorcy nie zdarzyła się sytuacja, by ewentualne roszczenia z tytułu prowadzonej rekrutacji pojawiły się w okresie późniejszym niż kilka miesięcy po jej zakończeniu, wewnętrzne procedury powinny przewidywać racjonalny kilkumiesięczny okres retencji takich dokumentów.
Obowiązkiem administratora danych będzie też dokonanie oceny ryzyka i ustalenie okresu przetwarzania danych, który odpowiada rzeczywistym zagrożeniom, uwzględniając doświadczenia z pojawiających się roszczeń. Dopuszczalne jest też poinformowanie kandydata, że niepodniesienie zarzutów dotyczących rekrutacji w określonym czasie po odmowie zatrudnienia zostanie uznane za domniemanie braku takowych, a dane osobowe zostaną usunięte. Podczas, gdy skutkiem przyjęcia takiego założenia nie jest wygaśnięcie prawnie uzasadnionego roszczenia, to jednak znacznie zmniejsza ryzyko, że ewentualne powództwo będzie korzystało z przymiotu tzw. „uprawdopodobnienia” dyskryminacji.
Powyższy efekt nie będzie miał oczywiście miejsca, jeśli pracownik wykaże, że nie podnosił zarzutów wcześniej z tego powodu, że nie posiadał pełnej wiedzy o stanie faktycznym. Jeśli jednak pracodawca poprzez ocenę stanu faktycznego może żywić uzasadnione przekonanie, że ryzyko roszczeń jest wysokie, to może przetwarzać dane osobowe kandydatów przez pełny trzyletni okres przedawnienia. Powyższe może mieć miejsce np. w przypadku bardzo porównywalnych kandydatur.
Minister zaznacza jednocześnie, że CV przechowywane w celu ochrony przed potencjalnymi roszczeniami nie powinno być wykorzystywane w innych celach. Wyjątkiem w tym zakresie wydaje się być kontakt potencjalnego pracodawcy z pozostałymi kandydatami, gdy okaże się, że osoba zakwalifikowana jednak nie podjęła pracy. Podstawą w tym przypadku byłby nie tylko prawnie uzasadniony interes potencjalnego pracodawcy, ale również kandydatów.
UODO ostrzega tych, którzy zastosują się do nowych wytycznych
W odpowiedzi na inicjatywę Ministerstwa Cyfryzacji dr Edyta Bielak-Jomaa, prezes Urzędu Ochrony Danych Osobowych przypomina, że w Polsce jedynym właściwym i wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych jest Prezes UODO, który ma status i kompetencje organu nadzorczego określone w RODO. - Z tego względu dokonywanie oficjalnej interpretacji prawa w tym zakresie leży po stronie Prezesa UODO - podkreśla Bielak-Jomaa i dodaje, że zgodnie z RODO jest to wyłączną kompetencją organów nadzorczych oraz Europejskiej Rady Ochrony Danych. Tym samym UODO jest jedynym organem umocowanym prawnie do wydawania wytycznych i interpretowania w tym zakresie przepisów prawa.
Dr Bielak-Jomaa zwraca też uwagę, że w świetle prawa UE Prezes UODO nie jest związany jakimikolwiek formalnymi objaśnieniami prawnymi dotyczącymi stosowania RODO. - Dlatego apelujemy o niepodejmowanie działań, które mogą narazić polskich przedsiębiorców na negatywne konsekwencje i w dłuższej perspektywie utrudnić im działalność, a w konsekwencji rodzić pytanie o możliwą odpowiedzialność Skarbu Państwa za takie szkody - zwracała się we wtorek do Ministerstwa Cyfryzacji.
- Objaśnienia prawne, które mogą wydawać ministrowie oraz organy, które upoważnione są do przedkładania Radzie Ministrów projektów aktów prawnych, mają dotyczyć krajowych przepisów regulujących podejmowanie, wykonywanie lub zakończenie działalności gospodarczej. Przepisy RODO regulują zaś kwestie związane z ochroną danych osobowych, która jest jednym z naszych praw podstawowych – podkreśla w wywiadzie dla Prawo.pl wiceprezes UODO Mirosław Sanek.
Czytaj: Wiceszef UODO: Niech firmy sobie stworzą standardy stosowania RODO >
Więcej przydatnych materiałów znajdziesz w LEX:
Ochrona danych osobowych pracowników >
Zadania Inspektora ochrony danych osobowych >
Nie masz dostępu do tych materiałów? Sprawdź, jak go uzyskać >
Zasada rozliczalności w ochronie danych osobowych >
Obowiązki pracodawcy w świetle RODO >
Tworzenie Kodeksów postępowania ochrony danych osobowych >
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.
