Kort svar: Enligt GDPR och RODO finns inget enskilt lagstadgat antal månader som gäller för alla CV:n. Artikel 5 säger att uppgifter bara får sparas så länge det behövs för syftet. För sökande som inte fick jobbet rekommenderar jag högst 6 månader efter att processen är slut för små team. Det är min åsikt om hur vi sköter rekryteringen, inte “lagen”. Polens domstolar kan tillåta längre lagring för att försvara ett anspråk. En talentpool har en egen tidsram och kräver samtycke.
Det här inlägget är utbildningsmaterial. Det är inte juridisk rådgivning. Kontakta jurist i ditt land och för ditt ärende.
Vad kräver GDPR och RODO egentligen när det gäller lagringstid?
De kräver att syftet fastställs först, sedan en motiverad tidsperiod och till sist radering när syftet upphör.
Artikel 5 i GDPR reglerar lagringsbegränsning: personuppgifter i identifierbar form får inte sparas längre än vad som är nödvändigt för behandlingens syften. Du dokumenterar perioden och kan visa varför den passar. Den brittiska ICO:s vägledning om lagringsbegränsning säger samma sak med enkla ord: behåll inte uppgifter från ej framgångsrik rekrytering längre än vad du behöver för tidsfristen för ett anspråk, om du inte har en tydlig affärsmässig anledning.
RODO är helt enkelt det polska namnet på GDPR (förordning (EU) 2016/679). Samma förordning. Polska arbetsgivare följer också Arbetsgivarlagen för anställdas personalakter.
ByteLaws kommentar om informationsplikten är praktisk här: ange hur länge du kommer att behandla kandidatens uppgifter, med en konkret tidsperiod eller tydliga kriterier, i jobbannonsen eller i det digitala ansökningsformuläret.
Varför finns det två tidsramar för jobbansökningar?
Eftersom försvar av ett anspråk och talentpooling är olika syften med olika rättsliga grunder.
| Syfte | Typisk grund | Vad du får göra | Tidsram |
|---|---|---|---|
| Avslutad vakans, möjligt försvar mot diskriminering | Ofta berättigat intresse (art. 6.1 f) | Spara begränsade uppgifter för försvar; använd dem inte på nytt för att pitcha nya jobb | Polen: NSA 2024 kan tillåta lagring upp till ungefär preskriptionstiden (ofta diskuterat som upp till ~3 år). Praxis i Storbritannien ligger ofta på månader. Mitt val för små team: högst 6 månader. |
| Talentpool för framtida roller | Samtycke (art. 6.1 a) | Kontakta endast för nya roller om de har samtyckt | Den period som anges i samtyckestexten. Nosowski (ByteLaw-närstående) menar ofta att samtycke till framtida rekrytering vanligtvis inte bör vara längre än ungefär ett år. |
| Pågående ansökan till ett jobb | Åtgärder inför ett avtal / rättsliga skyldigheter där det är tillämpligt | Kör den vakansen | Tills processen är slut, sedan byter du syfte eller raderar |
Michał Nosowski på Wśród Danych utgår fortfarande från en strikt grundregel: radera sökande som inte fick jobbet snabbt när processen är slut. Därefter diskuterar han NSA-vägen för lagring i försvarssyfte, och han håller talentpool separat under eget samtycke.
NSA:s dom av 20 februari 2024 (III OSK 2700/22) är den polska landmärkesdom som människor brukar hänvisa till för lagring i försvarssyfte för sökande som inte fick jobbet. Gazeta Prawna skriver i sin artikel att arbetsgivare kan lagra (inte fritt återanvända) dessa uppgifter för möjliga diskrimineringsanspråk i upp till cirka tre år. Kan är nyckelordet. Det är inte en mjuk skyldighet att spara varje CV i tre år. Jag föredrar fortfarande ≤6 månader för små team när vi inte har en pågående tvist.
Vilket schema rekommenderar jag för en liten arbetsgivare?
Ett kort skriftligt schema som du kan lägga i din integritetspolicy.
| Typ av uppgift | Mitt förslag för små team | Anmärkningar |
|---|---|---|
| Sökande som inte fick jobbet (denna vakans) | Högst 6 månader efter att processen är slut | Vår åsikt. Radera eller anonymisera tidigare om du inte behöver försvarstiden. Polsk lag kan tillåta längre tid enbart för försvar. |
| Talentpool | Endast med samtycke vid ansökan; period enligt vad som anges (ofta månader, i praktiken ofta ≤1 år) | Inget samtycke innebär ingen plats i poolen. |
| Anställdas personalakt (Polen) | Anställningstiden plus 10 år efter för anställningar efter 2019 (typisk lagstadgad väg) | Följ gov.pl:s och Arbetsgivarlagens regler för din kohort. |
| Vakans raderad i Canvider | Rensa relaterad data efter 30 dagar | Produktregel. |
| Discover People-förhandsvisningar som hämtats i Canvider | Cirka 48 timmar | Produktregel. |
Om du rekryterar i både Storbritannien och Polen ska du skriva in båda tidsramarna i din information. Låtsas inte att ett enda antal täcker alla syften.
När du senare byter verktyg följer lagringstiden med dig. Se hur du byter ATS utan att förlora kandidatdata för vad som kan exporteras rent och vad som inte kan det. GDPR gäller också vid sidan av reglerna för AI-sortering; vi går igenom det i EU:s AI-förordning och AI-verktyg för rekrytering.
Vad gör Canvider med lagringstid för kandidater?
Vi håller de två tidsramarna åtskilda i produktens beteende.
- Utan samtycke till framtida möjligheter vid ansökan hamnar personen inte i TalentPool. Det innebär inte att vi automatiskt raderar ansökan.
- Delete Candidate är den fullständiga raderingen.
- En vakans som markeras Deleted rensar relaterad data efter 30 dagar.
- Discover People-förhandsvisningar som hämtats från källor lever i cirka 48 timmar.
- En kund bad oss att inte lägga in data i tjänster som inte är GDPR-kompatibla. Canvider skickar inte kandidatdata till tjänster som inte är GDPR-kompatibla.
Om du vill ha en kort checklista: skriv ut tidsperioderna i annonsen eller formuläret (ByteLaws poäng), håll samtycket till talentpoolen åtskilt från själva ansökan, radera från mejlen och de delade enheterna också, och ta in lokal juridisk rådgivning när ett anspråk dyker upp.
Kortare lagring med tydliga syften bygger förtroende hos kandidaterna. Det håller också din rekryteringsstack ärlig.
Vanliga frågor
Hur länge bör jag spara ansökningar från sökande som inte fick jobbet enligt GDPR?
GDPR anger inget fast antal månader. Artikel 5 säger att personuppgifter bara får sparas så länge som det behövs för syftet. För små team är min praktiska rekommendation högst 6 månader efter att rekryteringsprocessen är slut för sökande som inte fick jobbet. Därefter raderas eller anonymiseras uppgifterna, såvida inte en pågående tvist kräver längre tid. Detta är inte juridisk rådgivning.
Skiljer sig RODO från GDPR när det gäller CV:n från kandidater?
Nej. RODO är det polska namnet på samma EU-regler som GDPR. Polska arbetsgivare följer även Arbetsgivarlagen (Labour Code) och polsk rättspraxis (NSA 2024) kan tillåta längre lagring av uppgifter om sökande som inte fick jobbet enbart för att försvara sig mot diskrimineringsanspråk, ofta diskuterat upp till cirka 3 år. Jag föredrar ändå ett kortare schema på 6 månader för små team när syftet tillåter det.
Kan jag behålla avvisade kandidater i en talentpool utan samtycke?
Nej. En talentpool för framtida jobb kräver separat samtycke enligt artikel 6.1 a. Att spara uppgifter för att försvara ett avslutat rekryteringsärende är ett annat syfte och bygger ofta på berättigat intresse, inte på en fri rätt att mejla folk om nya tjänster. Att blanda ihop de två tidsramarna är ett vanligt misstag inom HR.
Raderar Canvider automatiskt ansökningar när någon inte samtycker till framtida möjligheter?
Nej. Utan samtycke till framtida möjligheter vid ansökan hamnar personen inte i TalentPool. Det är inte samma sak som att radera ansökan. Att radera helt görs med Delete Candidate. En vakans som markeras som Deleted rensar relaterad data efter 30 dagar.