Kısa cevap: GDPR ve RODO’da her özgeçmiş için yasada yazan tek bir ay sayısı yok. Madde 5, kişisel verilerin yalnızca amaç için gerekli olduğu süre boyunca tutulmasını öngörür. Başarısız adaylar için, küçük ekipler adına en fazla 6 ay öneriyorum; süreç bittikten sonra. Bu, işe alım sürecimizi nasıl yürüttüğümüze dair kendi görüşüm, “yasa” değil. Polonya mahkemeleri, yalnızca ayrımcılık iddialarını savunmak için daha uzun saklamaya izin verebilir. Yetenek havuzunda saklama ise farklı bir süre işler ve rıza gerektirir.
Bu yazı bilgilendirme amaçlıdır. Hukuki tavsiye değildir. Ülkeniz ve durumunuz için bir hukuk danışmanına danışın.
GDPR ve RODO saklama konusunda gerçekte ne gerektiriyor?
Önce amaç, sonra gerekçelendirilebilir bir süre, ardından amaç bittiğinde silme gerekir.
GDPR Madde 5 saklama sınırlaması ilkesini getirir: kişisel verileri, işleme amaçları için gerekli olandan uzun süre tanımlanabilir biçimde tutmayın. Süreyi belgelersiniz ve neden uygun olduğunu gösterebilirsiniz. Birleşik Krallık ICO’nun saklama sınırlaması rehberi aynı fikri sade bir dille anlatıyor: açık bir iş gerekçeniz yoksa, başarısız işe alım kayıtlarını itiraz süresi için gereken süreden uzun tutmayın.
RODO, GDPR’nin Polonya’daki adından başka bir şey değildir (Avrupa Birliği Yönetmeliği 2016/679). Aynı düzenleme. Polonyalı işverenler ayrıca işe alınan çalışanların dosyaları için İş Kanunu kurallarına uyar.
ByteLaw’ın bilgilendirme yükümlülüğü hakkındaki notu burada pratik bir öneri içeriyor: adayların verilerini ne kadar süreyle işleyeceğinizi, iş ilanında ya da çevrim içi başvuru formunda somut bir süre veya net kriterlerle belirtin.
İş başvuruları neden iki ayrı süreye sahip?
Çünkü iddia savunması ve yetenek havuzu oluşturma, farklı hukuki dayanaklara sahip farklı amaçlardır.
| Amaç | Tipik dayanak | Yapabilecekleriniz | Süre |
|---|---|---|---|
| Kapanmış pozisyon, olası ayrımcılık savunması | Çoğunlukla meşru menfaat (Md. 6(1)(f)) | Sınırlı kayıtları savunma için saklayın; yeni işleri pazarlamak için yeniden kullanmayın | Polonya: NSA 2024 kararı, zamanaşımı süresine kadar saklamaya izin verebilir (sıklıkla yaklaşık 3 yıl olarak tartışılır). İngiltere uygulaması genelde aylar düzeyindedir. Küçük ekip tercihim: en fazla 6 ay. |
| Gelecekteki roller için yetenek havuzu | Rıza (Md. 6(1)(a)) | Yalnızca rıza verenlerle, yeni rollerle ilgili iletişime geçin | Rıza metninde belirtilen süre (pratikte çoğunlukla aylar, sıklıkla 1 yıl veya daha kısa). Nosowski (ByteLaw ile bağlantılı), gelecekteki işe alım rızasını çoğunlukla yaklaşık bir yıldan uzun olmayan bir süre olarak ele alır. |
| Tek bir ilan için devam eden başvuru | Sözleşmeye yönelik adımlar / uygulanabilir yasal yükümlülükler | O pozisyonun sürecini yürütün | Süreç bitene kadar; sonra amacı değiştirin ya da silin |
Michał Nosowski, Wśród Danych üzerinde hâlâ katı bir varsayılanla başlıyor: süreç bittikten sonra başarısız adayları hemen silin. Ardından savunma amaçlı saklama için NSA yolunu tartışıyor ve yetenek havuzunu ayrı bir rızaya bağlı tutuyor.
Polonya’da, başarısız adayların savunma amaçlı saklanması için insanların sıkça atıfta bulunduğu dönüm noktası, 20 Şubat 2024 tarihli NSA kararıdır (III OSK 2700/22). Gazeta Prawna haberi, işverenlerin bu verileri olası ayrımcılık iddiaları için yaklaşık üç yıla kadar saklayabileceğini (serbestçe yeniden kullanmadan) açıklıyor. Anahtar kelime “olabilir”. Bu, her özgeçmişi üç yıl saklama yönünde yumuşak bir yükümlülük değil. Yine de açık bir uyuşmazlık olmadığında küçük ekipler için 6 aya kadar olanı tercih ediyorum.
Küçük bir işveren için hangi takvimi öneriyorum?
Gizlilik bildiriminize koyabileceğiniz kısa, yazılı bir takvim.
| Kayıt türü | Küçük ekipler için önerdiğim aralık | Notlar |
|---|---|---|
| Başarısız aday (bu pozisyon) | Süreç bittikten sonra en fazla 6 ay | Görüşüm. Savunma süresine ihtiyacınız yoksa daha önce silin veya anonimleştirin. Polonya hukuku yalnızca savunma için daha uzun saklamaya izin verebilir. |
| Yetenek havuzu | Yalnızca başvuruda verilen rıza ile; rıza metninde belirtilen süre (pratikte çoğunlukla aylar, sıklıkla 1 yıl veya daha kısa) | Rıza yoksa havuzda yer almaz. |
| İşe alınan çalışan dosyası (Polonya) | İstihdam süresi artı 2019 sonrası işe alımlar için 10 yıl (tipik yasal yol) | Kendi durumunuz için gov.pl / İş Kanunu kurallarını takip edin. |
| Canvider’da silinmiş olarak işaretlenen pozisyon | İlgili verileri 30 gün sonra temizleyin | Ürün kuralı. |
| Canvider’da Discover People ile kaynaklanan önizlemeler | Yaklaşık 48 saat | Ürün kuralı. |
İngiltere ve Polonya’da işe alım yapıyorsanız, iki süreyi de bildiriminize yazın. Tek bir sayının bütün amaçları kapsıyormuş gibi davranmayın.
Araç değiştirdiğinizde saklama kuralları sizinle birlikte taşınır. Hangi verilerin temiz şekilde dışa aktarılabileceğini ve hangilerinin aktarılamayacağını ATS değiştirirken aday verilerini kaybetmeden nasıl geçiş yapılır yazısında bulabilirsiniz. GDPR, yapay zekâ destekli aday eleme kurallarının yanında da yer alır; bunu AB Yapay Zekâ Yasası ve yapay zekâ destekli işe alım araçları yazısında ele alıyoruz.
Canvider saklamayı nasıl ele alıyor?
Ürün davranışında iki süreyi ayrı tutuyoruz.
- Başvuruda gelecekteki fırsatlar için rıza vermemiş kişi Talent Pool’da tutulmaz. Bu, başvurunun otomatik olarak silindiği anlamına gelmez.
- Delete Candidate tam silme işlemidir.
- Deleted olarak işaretlenen bir pozisyonun ilgili verileri 30 gün sonra temizlenir.
- Discover People ile kaynaklanan önizlemeler yaklaşık 48 saat saklanır.
- Bir müşteri, verilerinin GDPR kapsamı dışındaki hizmetlere girmemesini istedi. Canvider, aday verilerini GDPR kapsamı dışındaki hizmetlere göndermez.
Kısa bir kontrol listesi istiyorsanız: süreleri ilana veya forma yazın (ByteLaw’ın değindiği gibi), yetenek havuzu rızasını başvurunun kendisinden ayırın, e-postalardan ve paylaşılan klasörlerden de silin ve bir iddia geldiğinde yerel bir danışmana başvurun.
Net amaçlarla daha kısa saklama, adayların güvenini artırır. Ayrıca işe alım araçlarınızı dürüst tutmanızı sağlar.
Sıkça sorulan sorular
Başarısız iş başvurularını GDPR kapsamında ne kadar süreyle saklamalıyım?
GDPR sabit bir ay sayısı belirlemez. Madde 5, kişisel verilerin yalnızca amaç için gerekli olduğu sürece tutulmasını söyler. Küçük ekipler için pratik önerim, başarısız adaylar için süreç bittikten sonra en fazla 6 ay saklamak; ardından açık bir uyuşmazlık daha uzun süre gerektirmedikçe silmek veya anonimleştirmek. Bu hukuki tavsiye değildir.
GDPR ile RODO, aday özgeçmişleri açısından farklı mı?
Hayır. RODO, aynı AB GDPR kurallarının Polonya'daki adıdır. Polonyalı işverenler ayrıca İş Kanunu kurallarına uyar. Polonya mahkemelerinin içtihadı (NSA 2024), ayrımcılık iddialarını savunmak amacıyla başarısız aday verilerinin daha uzun saklanmasına izin verebilir; bu süre sıklıkla yaklaşık 3 yıl olarak tartışılır. Yine de amaç izin verdiğinde küçük ekipler için 6 aylık daha kısa bir takvimi tercih ediyorum.
Rıza olmadan reddedilen adayları yetenek havuzunda tutabilir miyim?
Hayır. Gelecekteki işler için bir yetenek havuzu, Madde 6(1)(a) uyarınca ayrı bir rıza gerektirir. Kapanmış bir pozisyon iddiasını savunmak için kayıt tutmak farklı bir amaçtır ve çoğunlukla meşru menfaate dayanır; yeni roller hakkında insanlara e-posta atmak için serbest bir geçiş değildir. Bu iki süre sayacını karıştırmak yaygın bir İK hatasıdır.
Bir kişi gelecekteki fırsatlara rıza vermezse Canvider başvuruları otomatik olarak siler mi?
Hayır. Başvuruda gelecekteki fırsatlar için rıza verilmemişse kişi Talent Pool'da tutulmaz. Bu, başvurunun silinmesiyle aynı şey değildir. Tam silme işlemi Delete Candidate'tir. Silinmiş olarak işaretlenen bir pozisyon, ilgili verileri 30 gün sonra temizler.