A kiválasztási eljárás végével a sikertelen álláspályázók személyes adatainak törlése hosszú ideje bevett magyar adatvédelmi hatósági gyakorlat. Eszerint a kiválasztási eljárásban az önéletrajzok, pályázatok esetében az adatkezelés célja az, hogy a meghirdetett munkakört betöltsék. Ennek megfelelően, ha a munkáltató a jelentkezők közül kiválasztott egy személyt a meghirdetett állásra, akkor megszűnik az adatkezelés célja, és a ki nem választott jelentkezők személyes adatait is törölni kell.^[1]

Megjegyzendő, hogy hazánkban a Munka Törvénykönyve nem szabályozza a felvételi eljárással kapcsolatos pályázói adatok megőrzését, míg a Kjt. 20/A. § (7) bekezdése speciális követelményeket rögzít e tekintetben, mivel a Kjt. hatály alá tartozó munkáltatóknak „sikertelen pályázat esetén a pályázó részére a pályázati anyagot vissza kell juttatni. Amennyiben a pályázó az általa benyújtott, személyes adatokat tartalmazó adathordozót a pályázat elbírálási határidejétől számított kilencven napon belül nem veszi át, azokat meg kell semmisíteni és személyes adatait törölni kell.” A pályázati anyagok kezelésével kapcsolatban tehát figyelembe kell venni e speciális jogszabályi rendelkezéseket is, melyek az adatmegőrzést kizárják, amit a NAIH vonatkozó iránymutatása is hangsúlyoz. A munkáltató alapvetően csak az érintett kifejezett, egyértelmű és önkéntes hozzájárulása alapján őrizheti meg a pályázatokat (pl. jövőbeli álláspályázatok miatt), azonban egy éven túl ekkor is szükségtelen megőrizni ezeket a pályázati anyagokat.^[2]

Egy új lengyel legfelsőbb közigazgatási bírósági (Naczelny Sąd Administracyjny) döntés (wyrok NSA z 20.2.2024 r. – III OSK 2700/22) az uniós jogi követelményekre figyelemmel teljesen új meglátásba helyezi a fent bemutatott, uralkodó magyar gyakorlatot, amely a kiválasztási eljárással kapcsolatos pályázati anyagok Mt. hatálya alatti megőrzésére és törlésére vonatkozik. E döntés szerint a munkáltatóknak kényszerítő jogos érdekük fűződik a sikertelen pályázók adatainak megőrzéséhez a hároméves munkajogi elévülési idő végéig, mivel ez lehetővé teszi számukra, hogy megvédjék magukat az egyenlő bánásmód követelményének megsértésével kapcsolatos esetleges jogi igényekkel szemben, ahol a bizonyítás az irányelvi szabályozási követelményekből adódóan a munkáltató terhére esik.

A lengyel bírósági ügy közvetlen előzménye egy munkavállalói panasz volt, melynek alapján az lengyel adatvédelmi hatóság elmarasztalt egy gazdasági társaság munkáltatót, mivel az a sikertelen pályázatot követően nem törölte az álláspályázó panaszos adatait a kiválasztási folyamat lezárása és a jelentkezésének elutasítása után. A panaszos állítása szerint az adatok további kezelése jogszerűtlen volt, mivel az adatkezelés célja (a kiválasztási folyamat) már lezárult, ezért a továbbiakban jogszerűen nem kezelhetők az adatok. Az adatvédelmi hatóság helyt adott a panasznak és elmarasztalta a munkáltatót, aki jogorvoslatot nyújtott be a hatósági döntés ellen a regionális közigazgatási bírósághoz (WSA). A WSA megvizsgálta az ügyet, és részben helyt adott a munkáltató keresetének, megsemmisítve a hatóság döntését a jogalap nélküli adatkezelésre vonatkozó megállapítás tekintetében. A bíróság azzal érvelt, hogy a munkáltató jogos érdeke lehet az adatok megőrzése egy esetleges jövőbeni jogi eljárás érdekében, például esélyegyenlőség megsértésével, hátrányos megkülönböztetésessel kapcsolatos igények esetén. A hatóság nem fogadta el a bíróság döntését, és jogorvoslattal fordult a lengyel legfelsőbb közigazgatási bírósághoz (NSA), amely végül 2024. február 20-án hozott döntvényében elutasította a hatóság felülvizsgálati kérelmét, egyben hatályában fenntartotta a WSA korábbi döntését.

A legfelsőbb közigazgatási bíróság kimondta, hogy a jogi keretek (munkajogi szabályok és uniós irányelvek) a munkáltató számára lehetővé teszik az adatok megőrzését egy lehetséges jogvita esetére. Az adatok megőrzése az egyenlő bánásmód megsértésével kapcsolatos igények esetében kulcsfontosságú, mivel ilyen ügyekben a bizonyítási teher a munkáltatót terheli. Ez a követelmény uniós jogon alapul, melynek tekintetében a bíróság a személyek közötti, faji- vagy etnikai származásra való tekintet nélküli egyenlő bánásmód elvének alkalmazásáról szóló EU irányelvre,^[3] a foglalkoztatás és a munkavégzés során alkalmazott egyenlő bánásmód általános kereteinek létrehozásáról szóló EU irányelvre,^[4] továbbá a férfiak és nők közötti esélyegyenlőség és egyenlő bánásmód elvének a foglalkoztatás és munkavégzés területén történő megvalósításáról szóló EU irányelvre^[5] hivatkozott, melyek a tagállam kötelezettségévé teszik annak biztosítását, hogy az egyenlő bánásmód elvének megsértésével kapcsolatosan annak áldozata könnyebben tudja bizonyítani a hátrányos megkülönböztetést a bíróság előtt, és a bizonyítási teher ezzel kapcsolatosan megfordul és a munkáltatóra hárul. A bíróság hangsúlyozta, hogy ezek az irányelvek olyan mechanizmusokat hoznak létre, amelyek megkönnyítik a diszkrimináció áldozatainak helyzetét a bizonyítási teher megfordításával. Ennek következtében a munkáltatónak, aki nem tartja meg a pályázati dokumentumokat, nehézségei lehetnek a védekezésben egy esetleges egyenlő bánásmód követelményeinek megsértésével kapcsolatosan peres eljárás során. Ezért megfelelő jogos érdek lehet az adatok megőrzése, amennyiben az összhangban van a GDPR előírásaival.

A bíróság elutasította az adatvédelmi hatóság érvelését, miszerint az adatkezelés nem történhet jövőbeli jogvita lehetőségére hivatkozással és megerősítette, hogy a kapcsolódó jogos érdek nem feltétele annak, hogy a jogvita már folyamatban legyen, vagy hogy az érintett személy konkrét jogi igénnyel lépjen fel. A bíróság szerint ez a hatósági jogértelmezés túlzottan formalista volt, és nem felelt meg a jogszabály szellemének sem. Az adatok elévülési idő végéig történő megőrzése tehát jogszerű, mivel ez az időszak biztosítja, hogy a munkáltató felkészüljön az esetleges jogi eljárásokra, és ezen idő alatt a szükséges bizonyítékok is rendelkezésére álljanak. Ez az egyenlő bánásmód megsértésével kapcsolatos igények esetében lényeges, mert a bizonyítási teher a munkáltatón van: az érintett félnek (álláspályázónak) elegendő valószínűsítenie a diszkrimináció tényét és ezután a munkáltatónak kell bizonyítania, hogy az álláskeresőt nem érte hátrányos megkülönböztetés, azaz döntései objektív és jogszerű okokon alapultak és az eljárása nem sértette meg a vonatkozó követelményeket. Ez azonban valamennyi releváns pályázó jelentkezésének megőrzését indokolja, hiszen ennek hiányában e szigorú munkáltatói bizonyítási teher mellett nem lenne igazolható, hogy a munkáltató betartotta az egyenlő bánásmód követelményét a pályáztatási eljárás során, ami a munkáltató uniós jogon alapuló kötelezettsége. Az adatmegőrzés nem parttalan és nem is készletező adatkezelés, mert ahhoz az időtartamhoz igazodik, amíg az álláspályázó az ilyen igényét elévülési időn belül jogszerűen peresítheti. Az NSA ennek megfelelően úgy ítélte meg, hogy a munkáltatóknak a GDPR 6. cikk (1) bekezdés f) pontja alapján jogos érdeke lehet a sikertelen álláspályázók adatainak megőrzése annak érdekében, hogy megvédjék magukat a jövőbeni esetleges jogi eljárásokkal szemben, így a jelen esetben az egyenlő bánásmód megsértésével kapcsolatos igények során.

A lengyel döntés ugyan nem kötelező érvényű a magyar hatóságra, azonban figyelemre méltó, mivel az a GDPR és az uniós irányelvek követelményeinek együttes értelmezésén alapul, és a lengyel szabályozás lényegében (így a Kjt. hatálya alá tartozó jogviszonyok speciális követelményei kivételével) megegyezik a magyar szabályozással. A magyar Munka Törvénykönyve sem határoz meg perindítási határidőt az egyenlő bánásmód megsértésével kapcsolatos igények esetében, ami azt jelenti, hogy ezek az igények Magyarországon is a munkajogi elévülési időn belül peresíthetők. A lengyel ügy ezért is indokolhatja a magyar adatvédelmi hatósági gyakorlat újraértékelését. Az eddigi magyar hatósági iránymutatások sem vették figyelembe a hátrányos megkülönböztetéssel kapcsolatos igények érvényesítésére és bizonyítására vonatkozó különleges szabályokat. Ha a pályázati anyagok megőrzése elmarad, a munkáltató nem lesz képes igazolni, hogy a kiválasztási folyamat során betartotta ezeket a követelményeket. A lengyel ügy rávilágít arra, hogy az adatmegőrzésre vonatkozóan nem léteznek merev dogmák és adott esetben egy szigorúan formalista adatvédelmi hatósági álláspont is megdönthető lehet, ha az adatmegőrzésre megfelelő kényszerítő erejű indokok állnak fenn és ehhez nem szabhatók olyan további feltételek, hogy jogvitás helyzet vagy annak konkrét veszélye álljon fenn.

A munkáltatónak az adatmegőrzéssel kapcsolatosan kétségtelenül jogos érdek tesztet kell végeznie és dokumentálnia, amely igazolja a személyes adatok megőrzésének szükségességét. Emellett előzetesen tájékoztatnia kell^[6] a pályázókat arról, hogy adataikat ezen jogos érdek alapján tovább tárolják, és ezt a tényt egyértelműen közölni kell velük, figyelemfelhívó tájékoztatással a tiltakozás jogára.^[7] Fontos hangsúlyozni, hogy a pályázati anyagok, a korlátozott tárolhatóság elvével összhangban, a pályázat lezárása után nem maradhatnak az aktív adatkezelési időszakban. Ez azt jelenti, hogy a személyzeti osztály sem használhatja fel ezeket az anyagokat jövőbeli álláspályázatokhoz vagy akár adatbázis építéshez. A vonatkozó pályázati anyagok kizárólag közbenső archiválás keretében kezelhetők tovább, és csak addig az időpontig őrizhetők meg, amíg a Munka Törvénykönyve alapján peres eljárás indítható a kiválasztási követelmények megsértése miatt.

***

Dr. Liber Ádám a Provaris adatvédelemre, informatikai jogra, iparjogvédelemre és versenyjogra szakosodott partnere. Felsőfokú iparjogvédelmi szakképesítéssel rendelkező ügyvéd, versenyjogi szakjogászi képzettséggel és számos nemzetközi adatvédelmi minősítéssel (CIPP/E, CIPM, FIP) rendelkezik. Több mint másfél évtizedes tapasztalata van hazai és multinacionális vállalatok körében személyes adatok kezelésével, adatvédelmi auditokkal, adattovábbítási és adatfeldolgozási szerződések készítésével, továbbá magyar és európai adatvédelmi megfelelési projektek lebonyolításával kapcsolatosan. Rendszeresen képvisel adatkezelőket az adatvédelmi hatósági, illetőleg adatvédelmi hatóság közigazgatási határozata felülvizsgálatával kapcsolatos eljárásokban bíróságok előtt. Az AmCham Szabályozási Bizottság adatvédelmi témavezetője, a Magyar Versenyjogi Egyesület főtitkára, a Magyar Vállalati Compliance Társaság alelnöke, az Európai Adatvédelmi Testület (Support Pool of Experts) külsős jogi szakértője és a magyarországi Internet Szolgáltatók Tanácsa AVF Jogi Bizottságának a tagja.

^[1] Lásd a Nemzeti Adatvédelmi és Információszabadság Hatóság tájékoztatója (2016.11.15) a munkahelyi adatkezelések alapvető követelményeiről, 1.3. A pályázatok, önéletrajzok megőrzése, 19. o.; https://www.naih.hu/files/2016_11_15_Tajekoztato_munkahelyi_adatkezelesek.pdf, hozzáférés: 2024.08.19.; STAR II zárókonferencia; dr. Kiss Ernő: A munkavállalók személyes adatainak kezelése; III.1, Kiválasztási folyamat során történő adatkezelések gyakori kérdései; https://naih.hu/files/dr-Kiss-Erno_A-munkavallalok-szemelyes-adatainak-kezelese_STARII-zarokonferencia.pdf; hozzáférés: 2024.08.19.

^[2] Vö. STAR II zárókonferencia; A munkavállalók személyes adatainak kezelése; III.1.

^[3] A Tanács 2000/43/EK irányelve (2000. június 29.) a személyek közötti, faji- vagy etnikai származásra való tekintet nélküli egyenlő bánásmód elvének alkalmazásáról; 8. cikk – bizonyítási teher.

^[4] A Tanács 2000/78/EK irányelve (2000. november 27.) a foglalkoztatás és a munkavégzés során alkalmazott egyenlő bánásmód általános kereteinek létrehozásáról; 10. cikk – bizonyítási teher.

^[5] Az Európai Parlament és a Tanács 2006/54/EK irányelve (2006. július 5.) a férfiak és nők közötti esélyegyenlőség és egyenlő bánásmód elvének a foglalkoztatás és munkavégzés területén történő megvalósításáról; 19. cikk – bizonyítási teher.

^[6] GDPR 13–14. cikk.

^[7] Vö. GDPR 21. cikk (4) bek.