Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Masternak-Kubiak Sędziowie: sędzia NSA Jerzy Stelmasiak sędzia del. WSA Maciej Kobak (spr.) Protokolant: starszy asystent sędziego Rafał Kopania po rozpoznaniu w dniu 20 lutego 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 4 sierpnia 2022 r. sygn. akt II SA/Wa 542/22 w sprawie ze skargi A.D.C.P. Spółka z o.o. z/s w G. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia (..) stycznia 2022 r. nr (...) w przedmiocie przetwarzania danych osobowych I. oddala skargę kasacyjną; II. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz A.D.C.P Sp. z o.o. z siedzibą w G. kwotę 360 (trzysta sześćdziesiąt) złotych, tytułem zwrotu kosztów postępowania kasacyjnego.

Wyrokiem z 4 sierpnia 2022 r., sygn. akt II SA/Wa 542/22 Wojewódzki Sąd Administracyjny w Warszawie (dalej: "WSA"), po rozpoznaniu sprawy ze skargi A.D.C.P. Sp. z o. o. z siedzibą w G. (dalej: "Spółka") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Organ") z (...) stycznia 2022 r. nr (...) w przedmiocie przetwarzania danych osobowych – uchylił zaskarżoną decyzję w zakresie punktu 1 (pkt 1 wyroku); zasądził od Organu na rzecz Spółki kwotę 697 zł tytułem zwrotu kosztów postępowania (pkt 2 wyroku).

Wyrok ten zapadł w następujących okolicznościach faktycznych i prawnych sprawy.

M.K. (dalej: "Wnioskodawczyni") w piśmie z (...) lutego 2021 r. (data prezentaty) wniosła do Organu skargę na niezgodne z prawem przetwarzanie jej danych osobowych przez Spółkę, polegające na nieusunięciu jej danych osobowych po zakończeniu procesu rekrutacyjnego i odrzuceniu jej kandydatury oraz nieprawidłowej realizacji wobec niej w toku rekrutacji obowiązku informacyjnego z art. 13 i art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) - (dalej "RODO").

Decyzją z (...) stycznia 2022 r. nr (...) wydaną na podstawie art. 104 § 1 ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t. j. Dz. U. z 2021 r., poz. 735 z późn. zm., dalej: "k.p.a.") w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r., poz. 1781 z późn. zm. – dalej: "u.o.d.o.") oraz na podstawie art. 5 ust. 1 lit. a, art. 6 ust. 1, art. 12, art. 13, art. 15 oraz art. 58 ust. 2 lit. b RODO, Organ udzielił Spółce upomnienia: w pkt 1 za naruszenie art. 5 ust. 1 lit. a i lit. b w zw. z art. 6 RODO poprzez bezpodstawne przetwarzanie danych osobowych Wnioskodawczyni po zakończeniu procesu rekrutacyjnego, w pkt 2 za naruszenie przepisów art. 12 ust. 1 w zw. z art. 13 ust. 1 lit. a RODO poprzez niespełnienie wobec Wnioskodawczyni prawidłowo obowiązku informacyjnego w związku z pozyskaniem jej danych osobowych w toku przeprowadzonych procesów rekrutacyjnych, tj. niewskazanie w treści obowiązku informacyjnego pełnej nazwy i adresu siedziby administratora danych, w pkt 3 za naruszenie przepisów art. 12 ust. 3 i 4 RODO w zw. z art. 15 RODO poprzez niespełnienie wobec Wnioskodawczyni prawidłowo i w wyznaczonym terminie obowiązku informacyjnego w odpowiedzi na jej wnioski.

W uzasadnieniu decyzji Organ wskazał, że okres przechowywania danych kandydata do pracy powinien być dostosowany do zasad przetwarzania danych i z góry określony przez administratora. Co do zasady pracodawca powinien trwale usunąć dane osobowe kandydata (np. poprzez zniszczenie bądź odesłanie), z którym nie zdecydował się zawrzeć umowy o pracę, niezwłocznie po zakończeniu procesu rekrutacji, tj. podpisaniu umowy o pracę z nowozatrudnionym pracownikiem, chyba że ziściły się inne przesłanki uprawniające administratora do ich przetwarzania. Konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Natomiast wydłużenie okresu przechowywania danych zawartych w aplikacji, powinno być zatem wyjątkiem od reguły niezwłocznego ich usuwania oraz powinno być szczególnie uzasadnione. W toku postępowania ustalono, że Spółka przetwarzała dane osobowe Wnioskodawczyni po zakończeniu procesu rekrutacyjnego w okresie od 30 kwietnia 2020 r. do 26 marca 2021 r. W ocenie Organu, powoływanie się przez Spółkę na przetwarzanie danych osobowych Wnioskodawczyni w celu obrony przed ewentualnymi roszczeniami, nie znajduje żadnego prawnego uzasadnienia i nie stanowi przesłanki uprawniającej Spółkę do przetwarzania tych danych, tym bardziej, że Spółka nie wyjaśniła, o jakie konkretnie roszczenia może chodzić. Organ stwierdził więc, że przetwarzanie przez Spółkę danych osobowych Wnioskodawczyni po zakończeniu procesów rekrutacyjnych nie miało oparcia w żadnej z przesłanek legalizujących przetwarzanie danych w art. 6 RODO i nastąpiło również z naruszeniem zasad zawartych w art. 5 ust. 1 lit. a i lit. b RODO.

W odniesieniu do zarzutów dotyczących nieprawidłowości w realizacji przez Spółkę wobec Wnioskodawczyni obowiązku informacyjnego z art. 13 RODO w związku z przetwarzaniem jej danych osobowych, Organ wskazał, że Spółka zrealizowała obowiązek informacyjny poprzez kilkukrotne odesłanie Wnioskodawczyni w toku procesu rekrutacyjnego do polityki prywatności Spółki dla kandydatów do pracy. Organ stwierdził jednak, że przedłożona Wnioskodawczyni polityka prywatności Spółki wprawdzie zawiera wymagane informacje określone w art. 13 ust. 1 lit. b - f i ust. 2 RODO, jednakże nie zawiera wskazania tożsamości i danych kontaktowych (adresu siedziby) administratora danych - Spółki, ani jeżeli ma to zastosowanie, tożsamości i danych kontaktowych przedstawiciela (art. 13 ust. 1 lit. a RODO). Odnosząc się natomiast do zarzutu dotyczącego braku wskazania okresu przetwarzania danych, Organ stwierdził, że Spółka wskazała Wnioskodawczyni okoliczności warunkujące okres przetwarzania jej danych osobowych, a zatem spełniła prawidłowo obowiązek informacyjny w zakresie dotyczącym art. 13 ust. 2 lit. a RODO. W związku z powyższym oraz mając na uwadze fakt zaprzestania przetwarzania przez Spółkę danych osobowych Wnioskodawczyni pozyskanych w toku procesów rekrutacyjnych i poinformowanie o powyższym Wnioskodawczyni e-mailem z 13 kwietnia 2021 r., Organ udzielił Spółce upomnienia za naruszenie art. 12 ust. 1 w zw. z art. 13 ust. 1 lit. a RODO (punkt 2 decyzji).

Dokonując oceny realizacji obowiązku informacyjnego z art. 15 RODO w kontekście wniosków (pytań) kierowanych przez Wnioskodawczynię, Organ wskazał, że pytania o znajomość RODO i politykę retencyjną nie mieszczą się w zakresie informacji dotyczących przetwarzania jej danych osobowych, które administrator zobowiązany byłby udzielić, natomiast odpowiedź na pozostałe pytania Wnioskodawczyni została jej udzielona przez Spółkę e-mailowo, z tym, że początkowo Spółka udzielała Wnioskodawczyni tylko odpowiedzi odnośnie celu i terminu przetwarzania danych, a dopiero e-mailem z dnia (...) kwietnia 2021 r. udzieliła Wnioskodawczyni odpowiedzi na wszystkie zadawane przez nią pytania. W ocenie Organu, nie można uznać realizacji obowiązku informacyjnego z art. 15 RODO za prawidłową, jeżeli administrator odsyła do polityki prywatności, która zawiera opis ogólnych, możliwych do wystąpienia okoliczności przetwarzania danych uzależnionych od szeregu warunków i czynników, a nie indywidualnie odpowiada na pytania wnioskodawcy dotyczące przetwarzania jego danych osobowych. Organ udzielił więc Spółce upomnienia za naruszenie dyspozycji określonej w art. 12 ust. 3 RODO (pkt 3 decyzji).

Opisanym na wstępie wyrokiem WSA uchylił zaskarżoną decyzję w zakresie punktu 1 i zasądził od Organu na rzecz Spółki kwotę 697 zł tytułem zwrotu kosztów postępowania.

W uzasadnieniu wyroku WSA wyjaśnił, że przedmiotem sporu w niniejszej sprawie była kwestia prawidłowości ustaleń organu nadzorczego w zakresie legitymowania się przez Spółkę, jako administratora danych osobowych, przesłanką uprawniającą - w świetle przepisów RODO - do przetwarzania danych osobowych Wnioskodawczyni po zakończeniu procesu rekrutacyjnego w okresie od 30 kwietnia 2020 r. do 26 marca 2021 r.

W ocenie WSA, Organ dokonał niewłaściwej wykładni przepisów prawa materialnego, tj. art. 6 ust. 1 lit. f RODO, albowiem nakładając w punkcie 1 zaskarżonej decyzji karę upomnienia na Spółkę i uznając, że przetwarzała bez podstawy prawnej dane osobowe Wnioskodawczyni po zakończeniu rekrutacji pracowniczej, nie tylko nie wyważył dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów podstawowych praw oraz wolności podmiotu danych z drugiej - w rozumieniu ust. 1 lit. f przywołanego przepisu art. 6 RODO - ale w ogóle nie odniósł się do przywołanych przez Spółkę podstaw legalizacyjnych przetwarzania danych osobowych tak Wnioskodawczyni, jak i innych osób uczestniczących w procesie rekrutacji, tj. art. 291 w zw. z art. 183b oraz art. 183d k.p.

Zdaniem WSA, Spółka ma interes prawny, w rozumieniu RODO, do przetwarzania (wyłącznie poprzez ich przechowywanie) danych osobowych Wnioskodawczyni w celu obrony przed roszczeniami tak Wnioskodawczyni, jak i innych osób, które uczestniczyły w procesie rekrutacji, a które mogą być skutecznie dochodzone przez okres przedawnienia roszczeń ze stosunku pracy wynikający z art. 291 w związku - jak w realiach sprawy - z art. 183b oraz art. 183d k.p., przy czym przepis art. 291 k.p., jak słusznie podniosła Spółka, wbrew stanowisku Organu, jednoznacznie wskazuje, kiedy takie roszczenia ulegają przedawnieniu. WSA stwierdził, że nie jest to - jak twierdzi Organ - przetwarzanie "na zapas". Inna byłaby bowiem sytuacja, gdyby Spółka nadal przetwarzała dane osobowe uczestnika postępowania pomimo upływu terminu przedawnienia, wówczas interes Spółki nie byłby już dłużej prawnie uzasadniony. WSA uznał również, że skoro Spółka jako administrator danych chce przechowywać dane uczestnika postępowania rekrutacyjnego (w tym dane Wnioskodawczyni) z potencjalną możliwością wykorzystania ich w postępowaniu sądowym i to przez znany, z góry określony okres (okres przedawnienia roszczeń pracowniczych wynikający z art. 291 k.p.) to tym samym "prawnie uzasadniony interes administratora" nie narusza ani nie wpływa negatywnie na sytuację prawną uczestników postępowania rekrutacyjnego. Zdaniem WSA, taka wykładnia jest zgodna z motywem art. 47 RODO.

WSA zauważył, że Organ ograniczył się w swoim uzasadnieniu do stwierdzenia, iż Spółka nie wykazała, aby Wnioskodawczyni, wystąpiła z jakimkolwiek roszczeniem wobec Spółki, które uzasadniałoby uprawnienie tego podmiotu do zachowania i przetwarzania danych osobowych Wnioskodawczyni dla celów dowodowych, w związku z dochodzeniem przez nią roszczeń związanych z procesem rekrutacyjnym. Organ przyjął więc, że nie ma podstaw do uznania, że Spółka jest uprawniona do przetwarzania danych z uwagi na konieczność ustalenia bądź nie, istnienia hipotetycznego roszczenia w przyszłości. Tym samym Organ w ogóle nie rozpatrzył wyjaśnień Spółki zawartych w piśmie z 19 marca 2021 r., w którym wskazała podstawę przetwarzania danych osobowych Wnioskodawczyni oraz dodatkowo, na poparcie swojej tezy, przywołała zarówno orzecznictwo Trybunału Sprawiedliwości UE, jak i Sądu Najwyższego, podkreślające istotę roszczeń pracowniczych i na tym tle problematykę przedawnienia takich roszczeń. Organ zignorował w tym aspekcie wyjaśnienia i dowody przedstawione przez Spółkę - w tym treść Polityki Prywatności, w której wskazano, że dane związane z potencjalnymi roszczeniami pracowniczymi, są przetwarzane przez okres 3 lat, zgodnie z terminem przedawnienia wynikającym z Kodeksu pracy. Natomiast z uzasadnienia zaskarżonej decyzji nie wynika dlaczego Organ całkowicie pominął wyjaśnienia Spółki i dlaczego uznał, że niemożliwym jest ustalenie terminu przedawnienia roszczeń z zakresu równego traktowania i dyskryminacji

w zatrudnieniu w związku z ewentualnymi roszczeniami pracowników/kandydatów

w stosunku do pracodawcy.

WSA zwrócił również uwagę, że Organ w ogóle nie wziął pod uwagę przepisów prawa materialnego implementujących dyrektywy unijne. Tymczasem art. 8 ust. 1 dyrektywy 2000/43, art. 10 ust. 1 dyrektywy 2000/78 i art. 19 ust. 1 dyrektywy 2006/54 stanowią - co do zasady - że państwa członkowskie podejmują takie środki, które są niezbędne, zgodnie z ich krajowymi systemami prawnymi, w celu zapewnienia, że gdy osoba, która uważa się za pokrzywdzoną nieprzestrzeganiem wobec niej zasady równego traktowania i przedstawia przed sądem lub innym właściwym organem fakty, z których można domniemywać istnienie bezpośredniej lub pośredniej dyskryminacji, to na stronie pozwanej ciąży udowodnienie, że zasada równego traktowania nie została naruszona. Powyższe znajduje potwierdzenie w orzecznictwie TSUE, jak i Sądu Najwyższego. WSA stwierdził, że Organ nie tylko nie odniósł się do tej kwestii, ale w ogóle w swoich rozważaniach pominął przepisy materialnoprawne wynikające z przepisów k.p. na okoliczność przedawnienia roszczeń pracowniczych oraz nie przeanalizował, w szczególności, czy w realiach sprawy przepis art. 291 k.p. jako "podstawa legalizacyjna" przetwarzania danych osobowych przez administratora/pracodawcę może mieć zastosowanie do postępowań rekrutacyjnych.

WSA uznał, że w związku z wadliwą wykładnią art. 6 ust. 1 lit. f RODO, na uwzględnienie zasługują również zarzuty naruszenia prawa procesowego, tj. art. 7, art. 8 i art. 107 § 3 k.p.a. albowiem Organ nie wyjaśnił w kontekście "przesłanki legalizującej" wynikającej z przywołanego przepisu materialnoprawnego wszystkich istotnych okoliczności faktycznych w odniesieniu do przetwarzania danych osobowych Wnioskodawczyni w aspekcie art. 11, art. 183b oraz art. 183d k.p. i art. 291 k.p., zaś wydana na tę okoliczność w zaskarżonej części decyzja nie spełnia wymogu realizacji zasady ogólnej przekonywania (art. 11 k.p.a.).

Organ wniósł skargę kasacyjną od powyższego wyroku, zaskarżając wyrok w całości, zarzucając:

- naruszenie przepisów postępowania mających istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit. c ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j. Dz. U. z 2023 r., poz. 1634 – dalej: "p.p.s.a.") w zw. z art. 7, art. 8, art. 107 § 3 k.p.a., wobec błędnego uznania, iż Organ nie wyjaśnił wszystkich okoliczności oraz błędnie przy tym przyjął, że "Spółka nie wyjaśniła, o jakie konkretnie roszczenia może chodzić (...)",

- naruszenie przepisów prawa materialnego, tj. art. 6 ust. 1 lit. f RODO, poprzez jego błędną wykładnię, polegającą na przyjęciu, iż Organ nie dokonał w niniejszej sprawie prawidłowej oceny przesłanki, wskazanej w art. 6 ust. 1 lit. f RODO w aspekcie przepisów art. 11, art. 183b, art. 183d w zw. z art. 291 k.p.

W oparciu o powyższe zarzuty Organ wniósł o uchylenie zaskarżonego wyroku i oddalenie skargi, ewentualnie o uchylenie wyroku i przekazanie sprawy WSA do ponownego rozpoznania, a także o zasądzenie zwrotu kosztów postępowania.

W uzasadnieniu skargi kasacyjnej Organ podtrzymał swoje dotychczasowe stanowisko w sprawie.

Odnosząc się do stanowiska WSA wyrażonego w uzasadnieniu wyroku, Organ stwierdził, że prowadząc postępowanie przedsięwziął wszelkie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy i zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia jej decyzją administracyjną. Organ podkreślił, że zgodnie z utrwaloną doktryną, strona postępowania powinna brać czynny udział w postępowaniu, w szczególności w zakresie gromadzenia materiału dowodowego. W niniejszej sprawie pismami z (...) maja 2021 r. poinformował strony postępowania o zgromadzeniu materiału dowodowego wystarczającego do wydania decyzji oraz przysługujących im w związku z tym prawie wypowiedzenia się co do zebranych w toku postępowania dowodów i materiałów oraz zgłoszenia żądań. Spółka nie wniosła przed wydaniem decyzji uwag co do zgromadzonego materiału dowodowego. Organ zauważył, że niemożliwym i niecelowym jest, aby w każdej sprawie inicjowanej indywidualną skargą, dokonywać u administratora kontroli w celu ustalenia celu i podstaw prawnych przetwarzania danych osobowych osób, których dane dotyczą - byłoby to w ocenie organu niezasadne i nadmierne w sprawach, w których zebrany materiał dowodowy nie budzi jakichkolwiek wątpliwość, nie jest kwestionowany przez żadną ze stron postępowania i jest w pełni wystarczający do wydania decyzji w przedmiocie oceny legalności kwestionowanego procesu.

Organ stwierdził również, że stoi na ugruntowanym już w orzecznictwie i w praktyce stanowisku, że przesłanka z art. 6 ust. 1 lit. f RODO powinna dotyczyć sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, a nie sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed niestwierdzonym, ewentualnym i niepewnym roszczeniem. Ponadto wydając decyzję administracyjną, Organ zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji.

Organ wskazał również, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikające z art. 183b, art. 183d k.p. określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Spółkę. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.

W odpowiedzi na skargę kasacyjną Spółka wniosła o jej oddalenie i zasądzenie zwrotu kosztów postępowania.

Naczelny Sąd Administracyjny zważył, co następuje:

Zgodnie z treścią art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.

Skarga kasacyjna jest niezasadna i jako taka podlega oddaleniu. Podniesione w niej zarzuty oparto na obu podstawach kasacyjnych wymienionych w art. 174 pkt 1 i pkt 2 p.p.s.a., a więc zarówno na naruszeniu prawa materialnego, jak i przepisów prawa procesowego. Ponieważ zarzut naruszenia prawa materialnego skonstruowano w formule "błędnej wykładni" należało rozpoznać go w pierwszej kolejności. Zarzut naruszenia prawa materialnego poprzez błędną wykładnię,

w swym systemowym wzorcu, sprowadza się do zakwestionowania sposobu rozumienia przepisu, z którego sąd pierwszej instancji wywiódł normę prawną stanowiącą podstawę wydanego orzeczenia. Celem zarzutu błędnej wykładni prawa materialnego jest więc zakwestionowanie treści zastosowanej w sprawie normy prawnej, w jej abstrakcyjnym i generalnym ujęciu. Zarzut błędnej wykładni prawa materialnego nie może zatem wyrażać negatywnej oceny co do zastosowania normy prawnej do ustalonego przez sąd stanu faktycznego. Zarzut o takiej treści można podnosić wyłącznie w ramach podstawy kasacyjnej "niewłaściwego zastosowania prawa materialnego". Zarzut błędnej wykładni art. 6 ust. 1 lit. f RODO powinien więc zmierzać do wykazania, że Sąd pierwszej instancji wadliwie zrozumiał jego treść, odtwarzając nieadekwatną do tej treści normę prawną. Skarżący kasacyjnie Organ próbuje wykazać, że Sąd meriti błędnie przyjął, że w sprawie nie dokonano prawidłowej oceny przesłanki, wskazanej w art. 6 ust. 1 lit. f RODO w aspekcie przepisów art. 11, art. 183b, art. 183d w zw. z art. 291 k.p. W istocie więc w skardze kasacyjnej nie kwestionuje się przyjętego przez WSA sposobu rozumienia art. 6 ust. 1 lit. f RODO, lecz sformułowaną przez ten Sąd ocenę co do zasadności jego zastosowania w okolicznościach faktycznych deklarowanych przez Organ.

Kierując się gwarancyjną zasadą dążenia do umożliwienia stronie skorzystania z konstytucyjnego prawa do sądu, Naczelny Sąd Administracyjny, mimo częściowo wadliwej konstrukcji analizowanego zarzutu kasacyjnego zdecydował się na jego rozpatrzenie, przy uwzględnieniu intencji skarżącego kasacyjnie Organu, odtworzonej z treści uzasadnienia skargi kasacyjnej.

Zgodnie z postanowieniami art. 6 ust. 1 RODO "[p]rzetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków - lit. f - przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa

i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych,

w szczególności gdy osoba, której dane dotyczą, jest dzieckiem."

Zastosowanie art. 6 ust. 1 lit. f RODO jest więc uzasadnione, gdy łącznie spełnione są następujące przesłanki: 1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne; 2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora; 3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane.

Poprzez cel, dla osiągnięcia którego przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez to przetwarzanie. "Niezbędność" przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc

o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Ustalenie "niezbędności" przetwarzania danych osobowych dla celów administratora musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to konieczne z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) administrator będzie zobowiązany wykazać, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji – zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasada minimalizacji przetwarzanych danych (art. 5 ust. 1 lit. c RODO).

Kolejnym warunkiem przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit f RODO jest ustalenie, że cel, dla osiągnięcia którego przetwarzanie to jest niezbędne "wynika z prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)". Zasadnie Sąd pierwszej instancji zwraca uwagę, że desygnatami "prawnie uzasadnionych interesów administratora" nie są wyłącznie te interesy, które ściśle wiążą się z realizacją praw i obowiązków wynikających z przepisów prawa. Takie wąskie rozumienie tego pojęcia prowadziłoby bowiem do częściowego zdublowania przesłanki przetwarzania danych osobowych

z art. 6 ust. 1 lit. f z przesłanką określoną w art. 6 ust. 1 lit. c RODO; art. 6 ust. 1 lit. c RODO legitymizuje przetwarzanie danych osobowych, jeżeli "jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Prawnie uzasadniony interes administratora należy więc rozumieć, jako interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym.

Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, w którym stwierdził, że "[t]aki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu."

Treść motywu 47 preambuły RODO nie wskazuje więc konkretnie, matrycowo, jakie warunki powinny zostać spełnione, aby można było stwierdzić, że administrator przetwarza dane osobowe zgodnie ze swoimi prawnie uzasadnionymi interesami. Podano jedynie przykładowo, iż może chodzić o szczególnego rodzaju relację pomiędzy administratorem a osobą, której dane są przetwarzane. W każdym, konkretnym układzie należy rozstrzygnąć, czy treść i charakter tej relacji w sposób rozsądny uzasadnia takie przetwarzanie w określonym zakresie i czasie. Wyeksponować trzeba, że w motywie 47 prawodawca unijny w ogóle nie powiązał "prawnie uzasadnionych interesów" administratora z porządkiem prawnym. Akcent położył natomiast na charakter relacji łączącej administratora z osobą, której dane są przetwarzane, jej kontekstowość oraz wynikającą z jej indywidualnych uwarunkowań racjonalnie uzasadnioną potrzebę tego przetwarzania. Motyw 47 preambuły RODO

w kontekście rekonstrukcji zakresu stosowania art. 6 ust. 1 lit f RODO przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie powinna być oceniana kauzalnie, z uwzględnieniem, że zasadnicze znaczenie w tym przedmiocie, powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem, a osobą której dotyczą przetwarzane dane. Porządek prawny - w tej przestrzeni formułowania ocen - należy traktować jako granicę dopuszczalności prawnie uzasadnionego interesu administratora, na którym opiera przetwarzanie danych osobowych. Porządek prawny może więc być przeszkodą do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, jeżeli interesu administratora nie da się z nim pogodzić – interes administratora będzie sprzeczny z porządkiem prawnym, a więc nie będzie prawnie uzasadniony. Porządek prawny nie stanowi ścisłej podstawy uzasadnionego interesu administratora do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyznacza natomiast granicę tego przetwarzania. Potwierdzeniem przyjętego założenia, jest zastrzeżenie uczynione in fine w art. 6 ust. 1 lit. f RODO, że przepis ten "nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań." Tłumacząc intencje uczynionego wyłączenia w motywie 47 preambuły RODO podano: "Ponieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań."

Dostrzegając, że zakres przedmiotowy stosowania art. 6 ust. 1 lit f RODO nie obejmuje wyłącznie tych sytuacji, w których podstawa prawna przetwarzania danych osobowych jest wyraźnie określona, prawodawca unijny wyłączył z zakresu podmiotowego jego stosowania organy władzy publicznej, których podstawy i granice działania muszą być zawsze ściśle wyznaczone przez prawo. Uczynione wyłączenie potwierdza więc elastyczność przedmiotowego zakresu stosowania art. 6 ust. 1 lit. f RODO.

Argumentacyjnym wsparciem dla przedstawionych ocen prawnych jest fakt, że artykuł 6 ust. 1 lit. f RODO miał swój odpowiednik w przepisie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 roku (dalej u.o.d.o.), który dopuszczał przetwarzanie danych osobowych, gdy było to "niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie naruszało praw i wolności podmiotu danych." Porównanie obu tych przepisów prowadzi do wniosku, że RODO nie przyniosło

w tym zakresie zmian, które powodowałyby modyfikację sensu poprzedniej regulacji - D. Lubasz, W. Chomiczewski [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, Lex/el, uwaga 1 do art. 6 ust. 1 lit. f RODO.

Z tego względu w przekonaniu Naczelnego Sądu Administracyjnego aktualny pozostaje pogląd wyrażony w wydanej na tle treści art. 23 ust. 1 pkt 5 u.o.d.o. uchwale 7 sędziów NSA z 6 czerwca 2005 r., sygn. I OPS 2/05, w której stwierdzono, że "prawnie usprawiedliwiony cel", o jakim mowa w art. 23 ust. 1 pkt 5 u.o.d.o. to cel "prawnie dopuszczalny". W ocenie Naczelnego Sądu Administracyjnego orzekającego w niniejszej sprawie nie ma żadnych racjonalnych przeszkód do uwzględnienia tego poglądu przy rekonstrukcji znaczenia użytego w art. 6 ust. 1 lit f RODO pojęcia "prawnie uzasadnionych interesów". Kwantyfikatorem rozstrzygającym o dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest charakter relacji istniejącej pomiędzy administratorem danych osobowych, a osobą, której dane podlegają przetwarzaniu. Jeżeli z charakteru tej relacji da się racjonalnie wywieść, że przetwarzanie danych osobowych jest niezbędne do zrealizowania przez administratora celu wynikającego z tej relacji i jest to cel przez prawo dopuszczony, to zastosowanie art. 6 ust. 1 lit f RODO będzie uzasadnione, chyba że interesy lub podstawowe prawa i wolności osoby, której przetwarzane dane dotyczą będę nadrzędne wobec interesu administratora. Jak stwierdzono w motywie 47 preambuły RODO: "Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania."

Rozważając przedstawione uwagi natury ogólnej w kontekście rozpoznawanej sprawy należy podać, że dane osobowe Wnioskodawczyni M.K. zostały pozyskane i przetwarzane w związku z postępowaniem rekrutacyjnym na dwa stanowiska pracy. Cel pozyskania i przetwarzania danych osobowych był więc jednoznaczny i wynikał z wyrażonej przez Wnioskodawczynię zgody – art. 6 ust. 1 lit a RODO. W związku z negatywnym zakończeniem postępowania rekrutacyjnego pierwotny cel przetwarzania danych osobowych został skonsumowany, co nie oznacza jednak, że dalsze ich przetwarzania a limine należy ocenić, jako nieuprawnione. Jak wynika z motywu 50 preambuły RODO przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane. Ustaleniem, czy pomiędzy pierwotnym celem przetwarzania, a wtórnym celem przetwarzania zachodzi zgodność wymaga uwzględnienia między innymi: wszelkich powiązań pomiędzy tymi celami; kontekstu, w którym dane osobowe zostały zebrane, w szczególności rozsądne przesłanki pozwalające osobom, których dane dotyczą, oczekiwać dalszego wykorzystania danych oparte na rodzaju ich powiązania z administratorem; charakter danych osobowych; konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą; oraz istnienie odpowiednich zabezpieczeń zarówno podczas pierwotnej, jak i zamierzonej operacji dalszego przetwarzania.

Powołany motyw 50 preambuły RODO został rozwinięty w art. 6 ust. 4,

w którym zastrzeżono, że przetwarzanie danych osobowych w celach innych niż ten, w którym dane osobowe zostały zebrane, jest dopuszczalne przy uwzględnieniu:

a) wszelkich związków między celami, w których zebrano dane osobowe,

a celami zamierzonego dalszego przetwarzania;

b) kontekstu, w którym zebrano dane osobowe, w szczególności relację między

osobami, których dane dotyczą, a administratorem;

c) charakteru danych osobowych, w szczególności czy przetwarzane są szczególne

kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące

wyroków skazujących i czynów zabronionych zgodnie z art. 10;

d) ewentualnych konsekwencji zamierzonego dalszego przetwarzania dla osób,

których dane dotyczą;

e) istnienia odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub

pseudonimizacji.

Uwzględnienie powołanych regulacji RODO potwierdza wnioski WSA, że przetwarzanie danych osobowych uzyskanych w procesie rekrutacji, celem zabezpieczenia uzasadnionych prawnych interesów administratora oraz Wnioskodawczyni na wypadek ewentualnego postępowania sądowego

w przedmiocie dyskryminacji w procesie zatrudnienia może mieć podstawę w treści art. 6 ust. 1 lit f RODO.

Jak wynika z postanowień art. 221 § 1 k.p. jeżeli jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku pracodawca żąda od osoby ubiegającej się o zatrudnienie podania odpowiednich danych osobowych. Wejście w posiadanie danych osobowych osoby ubiegającej się

o zatrudnienie jest więc prawnie uzasadnione. Zgodnie z art. 183b § 1 pkt 1 k.p. za naruszenie zasady równego traktowania w zatrudnieniu uważa się nieuprawnione różnicowanie przez pracodawcę sytuacji pracownika, którego skutkiem jest

odmowa nawiązania stosunku pracy. Stosownie do treści art. 183d k.p. osoba, wobec której pracodawca naruszył zasadę równego traktowania w zatrudnieniu, ma prawo do odszkodowania w wysokości nie niższej niż minimalne wynagrodzenie za pracę, ustalane na podstawie odrębnych przepisów.

W przedstawionych uwarunkowaniach faktyczno-prawnych rzeczą Organu niewątpliwie było ustalić, czy relacja jaka łączyła Skarżącą spółkę

z Wnioskodawczynią uzasadniała zmianę celu przetwarzania danych osobowych Wnioskodawczyni w kontekście przysługujących jej roszczeń z art. 183d k.p. Innymi słowy Organ powinien rozważyć, czy przetwarzanie danych osobowych Wnioskodawczyni po negatywnie zakończonym postępowaniu rekrutacyjnym nie było uzasadnione prawnie uzasadnionym interesem Skarżącej spółki, wynikającym

z potrzeby zabezpieczenia danych Wnioskodawczyni na potrzeby ewentualnego sporu sądowego o odszkodowanie za dyskryminację w zatrudnieniu. Naczelny Sąd Administracyjny nie podziela przy tym stanowiska Organu, że dane osobowe nie mogą być przetwarzane "na zapas", "na przyszłość". Rozważanie zakresu stosowania art. 6 ust. 1 lit f RODO w przyjętym kontekście jest nieuzasadnione treścią tego przepisu i choć bywa wyrażane w orzecznictwie, nie może być ocenione jako precyzyjne i tym samym prawidłowe. Wyłączenie stosowania art. 6 ust. 1 lit f RODO, gdy administrator przetwarza dane osobowe na wypadek ewentualnego sporu sądowego, wyłącznie z uwagi na jego potencjalność jest nieuzasadnione. Taka interpretacja art. 6 ust. 1 lit. f RODO byłaby zbyt formalistyczna i nieznajdująca potwierdzenia w przyjętym sposobie jego rozumienia. Jak już wyżej zaznaczono, przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO powinno być niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów administratora, a te należy ustalać z uwzględnieniem charakter i kontekstu relacji łączącej administratora z osobą, której dane osobowe są przetwarzane. Jeżeli łącząca te dwa podmioty relacja zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyłącznie z uwagi na potencjalność realizacji tego roszczenia. Należy zauważyć, że relacja łącząca administratora z osobą której dane za jej zgodą są przetwarzane może ulec zmianie, przekształceniu, wygaśnięciu, co może się wiązać z powstaniem innej, (nowej) relacji, w ramach której uprzednio wyrażona zgoda na przetwarzanie nie będzie już adekwatna. Istotą tej "nowej" relacji może być potencjalny i zarazem prawnie dopuszczalny spór sądowy wynikający z niewłaściwej realizacji praw i obowiązków będących przedmiotem relacji "starej". Nie można w takim układzie wykluczyć, że przetwarzanie danych osobowych przez administratora do czasu wystąpienia przez którąkolwiek ze stron z roszczeniem na drogę sądową, lub do czasu przedawnienia tego roszczenia, będzie zgodne z art. 6 ust. 1 lit. f RODO. Celem administratora wynikającym z jego prawnie uzasadnionych interesów będzie zabezpieczenie się na wypadek konieczności wejścia w spór sądowy. Jak już wyżej wyjaśniono, kwestia ta wymaga sformułowania ocen prawnych z uwzględnieniem uwarunkowań cechujących konkretną relację łączącą – w analizowanym przypadku – Skarżącą spółkę i Wnioskodawczynię. Jak słusznie wytknął WSA nie było to przedmiotem ocen prawnych Organu. Powołany w skardze kasacyjnej wyrok NSA z 27 marca 2018 r., sygn. I OSK 1459/16 dotyczył zupełnie innego układu faktycznego – chodziło o przetwarzanie danych osobowych uzyskanych przez formularze kontaktowe znajdujące się na stronie internetowej banku. Wzmiankowany wyrok zapadł na gruncie art. 23 ust. 1 pkt 5 u.o.d.o. Adekwatnego przełożenia na grunt niniejszej sprawy nie znajdują również oceny prawne sformułowane przez NSA w wyroku z 6 marca 2019 r., sygn. I OSK 994/17. W realiach tej sprawy NSA wypowiedział się o braku dopuszczalności przetwarzania danych osobowych przez bank, w sytuacji gdy klient złożył wniosek kredytowy, ale ostatecznie nie zawarł z bankiem żadnej umowy, a więc nie łączył go z bankiem żaden stosunek prawny, który mógłby stanowić źródło przyszłych roszczeń. Oceny o analogicznym charakterze NSA sformułował w sprawie rozstrzygniętej wyrokiem z 27 sierpnia 2019 r., sygn. I OSK 2567/17. W jego uzasadnieniu NSA zwrócił uwagę na brak podstaw do przetwarzania przez bank danych osobowych klienta uzyskanych na potrzeby zapytania kredytowego i po przeprowadzeniu oceny jego zdolności kredytowej, w sytuacji gdy ostatecznie żadna umowa kredytowa nie została zawarta. I w tym układzie, dalszego przetwarzania danych osobowych klienta nie da się uzasadnić jakąkolwiek relacją prawną z bankiem. Na gruncie niniejszej sprawy taka relacja istnieje, a jej źródłem są przepisy art. 183b § 1 pkt 1 i art. 183d k.p.

Zaakcentowania wymaga, że analizowany problem był przedmiotem ocen prawnych NSA, na gruncie art. 23 ust. 1 pkt 5 u.o.d.o. W wyroku z 4 grudnia 2014 r., sygn. I OSK 1001/13 stwierdzono, iż uzależnienie dopuszczalności przetwarzania danych osobowych w oparciu o art. 23 ust. 1 pkt 5 u.o.d.o. od "wyraźnej deklaracji wystąpienia na drogę procesu cywilnego" jest zbyt formalistyczne i nie znajduje oparcia w prawie.

Sąd pierwszej instancji nie sformułował kategorycznej oceny, że art. 291 k.p. kształtujący ramy czasowe przedawnienia roszczeń pracowniczych wyznacza jednocześnie ramy czasowe dopuszczalności przetwarzania przez Skarżącą spółkę danych osobowych Wnioskodawczyni. WSA wytknął, że kwestia ta nie była przedmiotem oceny organu, co w ocenie tego Sądu było istotnym uchybieniem. Nienależnie od powyższego Naczelny Sąd Administracyjny zwraca uwagę, że kwestia przedawnienia roszczenia powinna być analizowana na gruncie stosowania art. 6 ust. 1 lit f RODO w aspekcie niezbędności przetwarzania danych osobowych przez administratora. Jeżeli roszczenie osoby ubiegającej się o zatrudnienie uległo przedawnieniu, a zatem w razie sporu sądowego, można podnieść zarzuty umożliwiające skuteczną obronę przed tym roszczeniem, dalsze przetwarzanie danych osobowych tej osoby nie jest niezbędne do osiągnięcia celów wynikających

z prawnie uzasadnionych interesów administratora w rozumieniu art. 6 ust. 1 lit. f RODO.

Z wyłożonych względów nie było podstaw do uwzględnienia zarzutu naruszenia art. 6 ust. 1 lit. f RODO w aspekcie przepisów art. 11, art. 183b, art. 183d w zw. z art. 291 k.p.

Negatywnej weryfikacji podlega zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, art. 8, art. 107 § 3 k.p.a. Obszerne wywody skargi kasacyjnej dotyczące wadliwości oceny WSA w zakresie braków w postępowaniu dowodowym przeprowadzonym przez Organ rozmijają się z istotą stanowiska sformułowanego przez WSA w tym zakresie. Sąd pierwszej instancji nie zarzucił, że Organ nie zgromadził wystarczającego materiału dowodowego w sprawie, lecz że nie rozważył go należycie, albowiem niewłaściwie – zbyt formalistycznie i wąsko – zinterpretował zakres stosowania art. 6 ust. 1 lit. f RODO. W konsekwencji Organ nie ocenił, czy:

- przetwarzanie danych osobowych Wnioskodawczyni przez Skarżącą Spółkę było niezbędne dla osiągnięcia celów wynikających z prawnie uzasadnionych interesów realizowanych przez tę Spółkę. W ramach tej oceny Organ nie ocenił, czy przetwarzanie danych osobowych Wnioskodawczyni było uzasadnione możliwością skorzystania przez nią z roszczeń przewidzianych treścią art. 11, art. 183b, art. 183d

w zw. z art. 291 k.p.;

- prawidłowe jest stanowisko Skarżącej Spółki przedstawione w piśmie z 19 marca 2021 r., w którym wskazano podstawę przetwarzania danych osobowych Wnioskodawczyni oraz orzecznictwo sądów krajowych i zagranicznych wspierające stawiane przez Spółkę tezy;

- treść Polityki Prywatności, w której wskazano wprost, że dane osobowe osób poddanych rekrutacji związane z potencjalnymi roszczeniami pracowniczymi są przetwarzane przez okres 3 lat, zgodnie z terminem przedawnienia wynikającym

z Kodeksu pracy.

Zasadnie Sąd pierwszej instancji wytknął również, że Organ nie odniósł się do eksponowanych przez Skarżącą Spółkę rygorów wynikających z treści art. 8 ust. 1 dyrektywy 2000/43, art. 10 ust. 1 dyrektywy 2000/78 i art. 19 ust. 1 dyrektywy 2006/54. Wszystkie powołane przepisy mają prawie identyczne brzmienie i zawierają dla potrzeb spraw dotyczących dyskryminacji takie same reguły w odniesieniu do ciężaru dowodu. Z ogólnej systematyki powołanych przepisów wynika, że w zakresie ciężaru dowodu wybór prawodawcy zmierza wyraźnie w kierunku równowagi między ofiarą dyskryminacji i pracodawcą, jeśli to on doprowadził do dyskryminacji.

Wspomniane trzy dyrektywy tworzą bowiem mechanizm, który pozwala złagodzić rzeczony ciężar spoczywający na ofierze, bez jego zupełnej eliminacji. Innymi słowy, wprowadzony system działa w dwóch etapach. W pierwszej kolejności poszkodowany musi w sposób wystarczający wykazać fakty, z których można domniemywać istnienie dyskryminacji, musi on doprowadzić do powstania domniemania faktycznego, wskazując na wystąpienie dyskryminacji. W drugiej kolejności, bezpośrednią konsekwencją ustanowienia takiego domniemania jest przeniesienie ciężaru dowodu na stronę pozwaną – zob. wyrok Trybunału Sprawiedliwości z 19 kwietnia 2012 r., sygn. C-415/10 G. Meister v. Speech Design Carrier Systems GmbH (ZOTSiS 2012/4/I-217).

Jak wyjaśnił Sąd Najwyższy w wyrokach z 9 czerwca 2006 r., sygn. III PK 30/06, 7 grudnia 2011 r., sygn. II PK 77/11, 18 kwietnia 2012 r., sygn. II PK 196/11 art. 183b k.p. należy interpretować zgodnie z art. 10 dyrektywy 2000/78. Oznacza to, że w procesie o dyskryminację pracownik powinien wskazać fakty, które ją uprawdopodobniają, a pracodawca, chcąc uwolnić się od odpowiedzialności, musi udowodnić, że kierował się obiektywnymi powodami.

Z powyższego wynika zatem, że zaprzestanie przetwarzania danych osobowych osoby, która negatywnie przeszła proces rekrutacyjny i tym samym wyzbycie się przez pracodawcę wszelkich dokumentów i danych identyfikujących oraz pozycjonujących tę osobę w tym procesie, może uniemożliwić lub znacznie utrudnić mu skuteczną obronę przed postawionymi przed sądem zarzutami dyskryminacyjnymi.

Z podanych przyczyn Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., oddalił skargę kasacyjną.

O kosztach postępowania kasacyjnego rozstrzygnięto na podstawie art. 204 pkt 2 i art. 205 § 2 p.p.s.a. w zw. z § 14 ust. 1 pkt 2 rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. 2023 r. poz. 1935).