Wyrok NSA z dnia 20 lutego 2024 r., sygn. III OSK 2700/22

Dopuszczalność przetwarzania danych osobowych kandydatów po negatywnie zakończonym procesie rekrutacyjnym może być uzasadniona prawnie uzasadnionym interesem administratora, wynikającym z potrzeby zabezpieczenia danych na wypadek potencjalnego sporu sądowego o odszkodowanie za dyskryminację w zatrudnieniu w świetle art. 6 ust. 1 lit. f RODO.

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Masternak-Kubiak Sędziowie: sędzia NSA Jerzy Stelmasiak sędzia del. WSA Maciej Kobak (spr.) Protokolant: starszy asystent sędziego Rafał Kopania po rozpoznaniu w dniu 20 lutego 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 4 sierpnia 2022 r. sygn. akt II SA/Wa 542/22 w sprawie ze skargi A.D.C.P. Spółka z o.o. z/s w G. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia (..) stycznia 2022 r. nr (...) w przedmiocie przetwarzania danych osobowych I. oddala skargę kasacyjną; II. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz A.D.C.P Sp. z o.o. z siedzibą w G. kwotę 360 (trzysta sześćdziesiąt) złotych, tytułem zwrotu kosztów postępowania kasacyjnego.

Uzasadnienie

Wyrokiem z 4 sierpnia 2022 r., sygn. akt II SA/Wa 542/22 Wojewódzki Sąd Administracyjny w Warszawie (dalej: "WSA"), po rozpoznaniu sprawy ze skargi A.D.C.P. Sp. z o. o. z siedzibą w G. (dalej: "Spółka") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Organ") z (...) stycznia 2022 r. nr (...) w przedmiocie przetwarzania danych osobowych – uchylił zaskarżoną decyzję w zakresie punktu 1 (pkt 1 wyroku); zasądził od Organu na rzecz Spółki kwotę 697 zł tytułem zwrotu kosztów postępowania (pkt 2 wyroku).

Wyrok ten zapadł w następujących okolicznościach faktycznych i prawnych sprawy.

M.K. (dalej: "Wnioskodawczyni") w piśmie z (...) lutego 2021 r. (data prezentaty) wniosła do Organu skargę na niezgodne z prawem przetwarzanie jej danych osobowych przez Spółkę, polegające na nieusunięciu jej danych osobowych po zakończeniu procesu rekrutacyjnego i odrzuceniu jej kandydatury oraz nieprawidłowej realizacji wobec niej w toku rekrutacji obowiązku informacyjnego z art. 13 i art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) - (dalej "RODO").