Krótka odpowiedź: Zgodnie z RODO i GDPR nie ma jednej ustawowej liczby miesięcy, która obowiązuje dla każdego CV. Artykuł 5 mówi, by dane przechowywać tylko tak długo, jak jest to potrzebne do celu. W przypadku niezakwalifikowanych kandydatów polecam najwyżej 6 miesięcy po zakończeniu procesu w małych zespołach. To moja opinia dotycząca sposobu, w jaki prowadzimy rekrutację, a nie „prawo”. Sądy w Polsce mogą dopuszczać dłuższe przechowywanie w celu obrony przed roszczeniami. Okres przechowywania w puli talentów to inny termin i wymaga zgody.
Ten wpis ma charakter edukacyjny. To nie jest porada prawna. Skonsultuj się z prawnikiem w swoim kraju i w swojej sprawie.
Czego naprawdę wymagają RODO i GDPR w kwestii przechowywania danych?
Wymagają najpierw celu, potem uzasadnionego okresu, a na końcu usunięcia danych, gdy cel przestaje istnieć.
Artykuł 5 GDPR wprowadza zasadę ograniczenia przechowywania: dane osobowe w formie umożliwiającej identyfikację przechowuje się nie dłużej, niż jest to konieczne do celów przetwarzania. Okres należy udokumentować i umieć wykazać, dlaczego jest właściwy. Brytyjski przewodnik ICO dotyczący ograniczenia przechowywania mówi to samo prostym językiem: nie przechowuj dokumentacji rekrutacyjnej niezakwalifikowanych kandydatów dłużej, niż potrzebujesz na okres dochodzenia roszczeń, chyba że masz wyraźny, uzasadniony powód biznesowy.
RODO to po prostu polska nazwa GDPR (rozporządzenie (UE) 2016/679). To to samo rozporządzenie. Polscy pracodawcy stosują też przepisy Kodeksu pracy dotyczące akt zatrudnionych pracowników.
Wskazówka ByteLaw dotycząca obowiązku informacyjnego jest tu praktyczna: podaj, jak długo będziesz przetwarzać dane kandydatów, z konkretnym terminem lub jasnymi kryteriami, w ogłoszeniu lub w formularzu aplikacyjnym online.
Dlaczego dla aplikacji są dwa różne okresy przechowywania?
Ponieważ obrona przed roszczeniami i tworzenie puli talentów to różne cele z różnymi podstawami prawnymi.
| Cel | Typowa podstawa | Co wolno zrobić | Okres |
|---|---|---|---|
| Zamknięta rekrutacja, możliwa obrona przed dyskryminacją | Często uzasadniony interes (art. 6 ust. 1 lit. f) | Przechowywać ograniczone dane do obrony; nie używać ich do proponowania nowych stanowisk | Polska: wyrok NSA z 2024 r. może dopuszczać przechowywanie do około okresu przedawnienia (często mówi się o około 3 latach). Praktyka w Wielkiej Brytanii zwykle mieści się w miesiącach. Moja preferencja dla małych zespołów: najwyżej 6 miesięcy. |
| Pula talentów na przyszłe stanowiska | Zgoda (art. 6 ust. 1 lit. a) | Kontaktować w sprawie nowych stanowisk tylko osoby, które wyraziły zgodę | Okres podany w treści zgody. Nosowski (powiązany z ByteLaw) często uznaje, że zgoda na przyszłe rekrutacje zwykle nie powinna trwać dłużej niż około rok. |
| Aktywna aplikacja na jedno stanowisko | Kroki przed zawarciem umowy / obowiązki prawne, zależnie od sytuacji | Prowadzić tę rekrutację | Do zakończenia procesu, potem zmiana celu lub usunięcie |
Michał Nosowski w Wśród Danych nadal wychodzi od surowego założenia domyślnego: usuwać dane niezakwalifikowanych kandydatów niedługo po zakończeniu procesu. Potem omawia ścieżkę NSA dotyczącą przechowywania do obrony i zostawia pulę talentów na osobnej zgodzie.
Wyrok NSA z 20 lutego 2024 r. (III OSK 2700/22) to polskie orzeczenie kluczowe, na które powołują się osoby uzasadniające przechowywanie danych niezakwalifikowanych kandydatów w celu obrony. Relacja w Gazecie Prawnej wyjaśnia, że pracodawcy mogą przechowywać (a nie swobodnie ponownie wykorzystywać) te dane na potencjalne roszczenia o dyskryminację przez okres do około trzech lat. Kluczowe jest słowo może. To nie jest miękki obowiązek przechowywania każdego CV przez trzy lata. Mimo to preferuję ≤6 miesięcy dla małych zespołów, gdy nie ma żadnego toczącego się sporu.
Jaki harmonogram polecam małemu pracodawcy?
Krótki pisemny harmonogram, który możesz umieścić w klauzuli informacyjnej.
| Rodzaj danych | Mój sugerowany zakres dla małych zespołów | Uwagi |
|---|---|---|
| Niezakwalifikowany kandydat (ta rekrutacja) | Najwyżej 6 miesięcy po zakończeniu procesu | Nasza opinia. Usuń lub zanonimizuj wcześniej, jeśli nie potrzebujesz okresu na obronę. Polskie prawo może dopuszczać dłuższe przechowywanie wyłącznie do obrony. |
| Pula talentów | Tylko za zgodą wyrażoną przy aplikowaniu; okres zgodnie z treścią zgody (często kilka miesięcy, w praktyce często do roku) | Brak zgody oznacza brak w puli. |
| Akta zatrudnionego pracownika (Polska) | Okres zatrudnienia plus 10 lat po jego zakończeniu dla osób zatrudnionych po 2019 roku (typowa ścieżka ustawowa) | Stosuj zasady z gov.pl i Kodeksu pracy dla swojej grupy pracowników. |
| Stanowisko usunięte w Canvider | Czyszczenie powiązanych danych po 30 dniach | Zasada produktu. |
| Podglądy profili znalezionych w Discover People w Canvider | Około 48 godzin | Zasada produktu. |
Jeśli rekrutujesz zarówno w Wielkiej Brytanii, jak i w Polsce, wpisz oba terminy do klauzuli. Nie udawaj, że jedna liczba obejmuje każdy cel.
Obowiązki retencyjne idą razem z tobą, nawet gdy zmieniasz narzędzie. Zobacz jak zmienić ATS bez utraty danych kandydatów, żeby wiedzieć, co eksportuje się czysto, a czego nie. RODO działa też obok zasad dotyczących narzędzi AI w rekrutacji; opisujemy to w artykule AI Act UE a narzędzia AI w rekrutacji.
Co Canvider robi z przechowywaniem danych kandydatów?
Utrzymujemy oba terminy osobno w działaniu produktu.
- Bez zgody na przyszłe możliwości wyrażonej przy aplikowaniu dana osoba nie jest przechowywana w Talent Pool. To nie oznacza, że automatycznie usuwamy aplikację.
- Delete Candidate to pełne usunięcie.
- Stanowisko oznaczone jako Deleted czyści powiązane dane po 30 dniach.
- Podglądy z Discover People są przechowywane około 48 godzin.
- Klient poprosił nas, byśmy nie wprowadzali danych do usług niezgodnych z GDPR. Canvider nie przesyła danych kandydatów do usług niezgodnych z GDPR.
Jeśli chcesz krótkiej listy kontrolnej: wpisz terminy w ogłoszeniu lub formularzu (wskazówka ByteLaw), oddziel zgodę na pulę talentów od samej aplikacji, usuwaj dane także z poczty e-mail i dysków współdzielonych, a gdy pojawi się roszczenie, skonsultuj się z lokalnym prawnikiem.
Krótszy okres przechowywania przy jasno określonych celach buduje zaufanie kandydatów. Sprawia też, że cały proces rekrutacyjny jest uczciwy.
Najczęściej zadawane pytania
Jak długo przechowywać odrzucone aplikacje według GDPR?
GDPR nie podaje jednej stałej liczby miesięcy. Artykuł 5 mówi, by dane osobowe przechowywać tylko tak długo, jak jest to potrzebne do celu. W małych zespołach moje praktyczne zalecenie to najwyżej 6 miesięcy po zakończeniu procesu rekrutacji dla kandydatów, którzy nie zostali wybrani, a potem usunięcie lub anonimizacja, chyba że toczący się spór wymaga dłuższego okresu. To nie jest porada prawna.
Czy RODO różni się od GDPR w przypadku CV kandydatów?
Nie. RODO to polska nazwa tych samych unijnych przepisów GDPR. Polscy pracodawcy stosują też przepisy Kodeksu pracy, a polskie orzecznictwo (NSA, 2024) może dopuszczać dłuższe przechowywanie danych niezakwalifikowanych kandydatów wyłącznie w celu obrony przed roszczeniami o dyskryminację, często omawiane do około 3 lat. Mimo to wolę krótszy, 6-miesięczny harmonogram dla małych zespołów, gdy cel na to pozwala.
Czy mogę przechowywać odrzuconych kandydatów w puli talentów bez zgody?
Nie. Pula talentów na przyszłe stanowiska wymaga osobnej zgody na podstawie art. 6 ust. 1 lit. a RODO. Przechowywanie danych w celu obrony przed roszczeniami dotyczącymi zamkniętej rekrutacji to inny cel, często oparty na prawnie uzasadnionym interesie, a nie przepustka do wysyłania ludziom e-maili o nowych stanowiskach. Mieszanie tych dwóch okresów to częsty błąd w HR.
Czy Canvider automatycznie usuwa aplikacje, gdy ktoś nie wyraża zgody na przyszłe możliwości?
Nie. Bez zgody na przyszłe możliwości wyrażonej przy aplikowaniu dana osoba nie jest przechowywana w Talent Pool. To nie to samo co usunięcie aplikacji. Pełne usunięcie to funkcja Delete Candidate. Stanowisko oznaczone jako Deleted czyści powiązane dane po 30 dniach.