Po zakończeniu naboru na stanowisko pracy dane osobowe kandydatów należy usunąć z BIP

W ocenie Generalnego Inspektora Ochrony Danych Osobowych upublicznianie przez KRUS na jego stronie internetowej BIP danych osobowych kandydata po zakończeniu procesu rekrutacji odbywało się bez podstawy prawnej.

Udostępnianie danych osobowych kandydatów jest bez wątpienia przetwarzaniem danych osobowych w rozumieniu ustawy o ochronie danych osobowych. Stosownie do brzmienia art. 7 pkt 2 ustawy o ochronie danych osobowych, przez pojęcie przetwarzania danych osobowych rozumieć należy jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Każda z form przetwarzania danych osobowych powinna znaleźć oparcie w jednej z przesłanek warunkujących legalność procesu przetwarzania danych osobowych, enumeratywnie wymienionych w art. 23 ust. 1 ustawy. Wskazać należy, iż przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2).

Aktem prawnym zawierającym szczegółowe regulacje dotyczące zasad przeprowadzania naboru kandydatów na wolne stanowiska pracy w KRUS jest ustawa z 20 grudnia 1990 r. o ubezpieczeniu społecznym rolników (t.j. Dz.U. z 2008 r. nr 50, poz. 291 z późn. zm.). Ustawa ta między innymi stanowi, że po upływie terminu do składania dokumentów określonego w ogłoszeniu o naborze niezwłocznie upowszechnia się listę kandydatów, którzy spełniają wymagania formalne określone w ogłoszeniu o naborze, przez umieszczenie jej w miejscu powszechnie dostępnym w jednostce organizacyjnej, w której jest prowadzony nabór, a także przez opublikowanie jej w Biuletynie Informacji Publicznej (art. 59d ustawy).

Należy przy tym zauważyć, iż żaden z przepisów ustawy z 6 września 2001 r. o dostępie do informacji publicznej, jak również ustawy o ubezpieczeniu społecznym rolników, nie określa, jak długo po zakończeniu naboru dane osób biorących w nim udział powinny być udostępniane na stronach BIP. W tej sytuacji GIODO powołał się na art. 26 ustawy o ochronie danych osobowych. Przepis ten stanowi, iż administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. W szczególności jest obowiązany zapewnić, aby dane te były przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania (art. 26 ust. 1 pkt 4 ustawy o ochronie danych osobowych). Zatem w sytuacji gdy cel przetwarzania danych został osiągnięty - zakończyła się bowiem rekrutacja na wolne stanowiska - dalsze przetwarzanie danych osobowych kandydatów jest nielegalne. Podkreślić należy, iż administrator danych jest zobowiązany do stałego nadzorowania zawartości swoich zbiorów pod kątem konieczności usuwania danych zbędnych albo do których przetwarzania przestał być upoważniony ustawowo.

LJ