RODO w rekrutacji — dane kandydatów, okresy przechowywania CV i zgody. Kompletny przewodnik
RODO w rekrutacji to obszar, w którym kary i odpowiedzialność są realne, a wiedza większości rekruterów sprowadza się do „chyba trzeba mieć zgodę na CV”. Po 10 latach w HR i rekrutacji (w tym jako administrator danych w agencji pracy) mogę powiedzieć: RODO w rekrutacji to nie biurokracja — to ochrona przed roszczeniami kandydatów i kontrolami UODO. W tym artykule pokazuję podstawy prawne przetwarzania danych kandydatów, okresy przechowywania CV i praktyczne obowiązki rekrutera, agencji pracy i działu HR.
W skrócie
- Podstawa prawna przetwarzania danych kandydata w rekrutacji to art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy) — zgoda (lit. a) jest potrzebna dopiero do danych dodatkowych lub dłuższego przechowywania.
- Zakres danych: w CV i na rozmowie — tylko dane istotne dla stanowiska; dane wrażliwe (zdrowie, wyznanie, orientacja) wymagają wyraźnej zgody i są niedozwolone jako kryterium.
- Okres przechowywania: zazwyczaj do zakończenia rekrutacji + 3–6 miesięcy (rekrutacja bieżąca) lub 6–24 miesięcy przy zgodzie na przyszłe procesy.
- Obowiązki: informacja (art. 13), umowa powierzenia z systemem CRM (DPA), prawo do usunięcia i sprzeciwu, polityka przechowywania.
- System z serwerami w UE i RODO-ready (OneCRM) odciąża Cię w rejestrze zgód i eksporcie danych — od 89 zł/mies.
Podstawa prawna przetwarzania danych kandydatów
Dwie podstawy, o których musisz pamiętać:
- Art. 6 ust. 1 lit. b RODO — przetwarzanie niezbędne do podjęcia działań przed zawarciem umowy. Na tej podstawie przetwarzasz CV, list motywacyjny i dane z rozmowy — bez osobnej zgody.
- Art. 6 ust. 1 lit. a RODO (zgoda) — potrzebna do: danych spoza zakresu rekrutacji (np. zdjęcie, profil społecznościowy), przechowywania CV na przyszłe rekrutacje oraz danych wrażliwych.
Częsty błąd: „muszę mieć zgodę na CV”
Zgoda nie jest potrzebna do podstawowego przetwarzania CV na potrzeby danej rekrutacji (podstawa b). Problem pojawia się, gdy trzymasz CV „na przyszłość” — wtedy potrzebujesz zgody i musisz umożliwić jej wycofanie.
Jak długo można przechowywać CV kandydata?
| Scenariusz | Okres | Podstawa |
|---|---|---|
| Rekrutacja bieżąca (kandydat odrzucony) | do zakończenia procesu + 3–6 mies. | art. 6(1)b + interes administratora |
| CV na przyszłe rekrutacje | 6–24 mies. (wg zgody) | zgoda (art. 6(1)a) |
| Kandydat zatrudniony | zgodnie z polityką kadrową (akta) | przepisy prawa pracy |
| Dane wrażliwe | tylko przy wyraźnej zgodzie, minimalnie | zgoda (art. 9 RODO) |
Pamiętaj: okres to nie „maksymalnie tyle”, tylko „tyle, ile potrzebne”. Ustal politykę i egzekwuj ją — system z datami i automatyzacją usuwania bardzo w tym pomaga.
Obowiązki rekrutera i agencji (praktyka)
- Klauzula informacyjna (art. 13) — przy pierwszym kontakcie: kto jest administratorem, w jakim celu, na jakiej podstawie, jak długo, jakie prawa.
- Umowa powierzenia (DPA) — z każdym narzędziem, które przetwarza dane (CRM, LinkedIn, poczta). OneCRM oferuje DPA i serwery w UE.
- Rejestr zgód — kto i kiedy wyraził zgodę na przyszłe procesy; możliwość wycofania.
- Prawo kandydata — dostęp, sprostowanie, usunięcie, sprzeciw. Odpowiadaj w terminie (30 dni).
- Automatyczne usuwanie — po upływie okresu dane powinny znikać, nie „leżeć w folderze”.
Jak system CRM pomaga w RODO?
W OneCRM: dane przechowywane na serwerach w UE (zgodność z RODO), umowa powierzenia, historia zgód, eksport i usuwanie danych kandydata, przypomnienia o retencji. Nie rozwiązuje to polityki (to Twoja rola), ale zdejmuje z Ciebie 80% roboty administracyjnej: rejestru, wersjonowania i kontroli dostępu. Więcej o budowaniu bazy zgodnie z przepisami: sourcing i baza kandydatów.
Najczęstsze pytania (FAQ)
Czy mogę trzymać CV bez zgody kandydata?
Jakie kary grożą za naruszenia RODO w rekrutacji?
Czy potrzebuję zgody na zdjęcie w CV?
Podsumowanie
- ✓ RODO w rekrutacji = art. 6(1)b (bieżąca rekrutacja) + zgoda (przyszłe procesy, dane wrażliwe)
- ✓ Okres przechowywania CV: zakończenie procesu + 3–6 mies. lub 6–24 mies. ze zgodą
- ✓ System RODO-ready (serwery UE, DPA, rejestr zgód) od 89 zł/mies.
Zadbaj o zgodność RODO w rekrutacji
14 dni za darmo. Serwery w UE, DPA i rejestr zgód od startu.
Wypróbuj za darmo →