RODO w rekrutacji – co wolno, czego nie wolno, co grozi

Dostajesz CV z numerem PESEL, zdjęciem i informacją o stanie zdrowia kandydata. Kandydat sam to wpisał, więc teoretycznie problem nie istnieje. W praktyce – istnieje, i to spory.

Rekruterzy na co dzień przetwarzają dane osobowe w tempie, które rzadko zostawia czas na pytanie „czy to w ogóle legalne”. A RODO w rekrutacji ma konkretne, sprawdzalne zasady – nie ogólniki z korporacyjnego szkolenia, tylko rzeczy, które realnie wpływają na to, jak wygląda Twój proces.

Jakie dane możesz zbierać od kandydata, a jakich nie

Kodeks pracy określa zamknięty katalog danych, o które pracodawca może zapytać na etapie rekrutacji. Wszystko poza tym katalogiem wymaga zgody kandydata – i musi mieć uzasadnienie.

• Dane, o które możesz pytać zawsze – imię, nazwisko, dane kontaktowe, wykształcenie, kwalifikacje zawodowe, przebieg dotychczasowego zatrudnienia.
• Dane, których nie potrzebujesz do oceny kompetencji – stan cywilny, liczba dzieci, wyznanie, orientacja, stan zdrowia. Nawet jeśli kandydat sam je poda w CV, nie powinieneś ich wykorzystywać w procesie decyzyjnym.
• Zdjęcie w CV – formalnie niewymagane, ale w Polsce powszechnie akceptowane, jeśli kandydat sam je dołączył z własnej inicjatywy.
• PESEL – nie jest potrzebny na etapie rekrutacji. Pojawia się dopiero przy zawieraniu umowy, nie przy ocenie CV.

Jeśli formularz aplikacyjny na Twojej stronie wymusza podanie stanu cywilnego albo liczby dzieci jako pole obowiązkowe – to pierwszy sygnał, że proces wymaga przeglądu. Warto przejrzeć formularz raz na kilka miesięcy – wiele firm dokłada pola „na wszelki wypadek”, bez sprawdzania, czy faktycznie są potrzebne do oceny kandydata.

Zgoda kandydata – kiedy jest potrzebna, a kiedy nie

To jeden z najczęstszych mitów w rekrutacji: że każde przetwarzanie danych wymaga zgody. Nieprawda. Podstawą przetwarzania danych z katalogu kodeksowego jest sam fakt złożenia aplikacji na konkretne stanowisko – zgoda nie jest tu potrzebna.

Zgoda robi się konieczna w trzech konkretnych sytuacjach:

• Dane wykraczające poza katalog kodeksowy – na przykład zdjęcie, jeśli chcesz je wykorzystać w bazie kandydatów, a nie tylko przejrzeć jednorazowo.
• Przechowywanie CV na przyszłe rekrutacje – bez wyraźnej zgody kandydata nie masz prawa trzymać jego danych po zakończeniu konkretnego procesu.
• Udostępnienie danych innym podmiotom – na przykład spółce z tej samej grupy kapitałowej, jeśli rekrutujesz dla kilku firm naraz.

Zgoda musi być dobrowolna, konkretna i możliwa do wycofania równie łatwo, jak została udzielona. Checkbox „wyrażam zgodę” zaznaczony domyślnie za kandydata to naruszenie, nie formalność.

Ile możesz przechowywać CV po zakończonej rekrutacji

Bez zgody kandydata – krótko. Wystarczająco długo, żeby obsłużyć ewentualną reklamację procesu rekrutacyjnego, zwykle liczoną w tygodniach, nie miesiącach. Po tym czasie dane trzeba usunąć.

Ze zgodą kandydata sytuacja się zmienia – możesz trzymać CV dłużej, na potrzeby przyszłych rekrutacji. Ale zgoda musi być wyraźna, opisywać cel przechowywania i mieć określony (albo określalny) czas trwania. „Będziemy przechowywać Twoje dane” bez konkretów to za mało.

Baza kandydatów na przyszłość – jak to zrobić zgodnie z RODO

Talent pool to świetne narzędzie – pod warunkiem, że zbudowany jest legalnie. Trzy rzeczy, które musisz mieć w porządku:

• Osobna, wyraźna zgoda – nie ukryta w regulaminie, tylko osobny checkbox z jasnym opisem, na co kandydat się zgadza.
• Konkretny okres przechowywania – na przykład 12 miesięcy od udzielenia zgody, z możliwością jej odnowienia.
• Łatwe wycofanie zgody – link w każdej wiadomości do bazy albo prosty formularz kontaktowy, nie proces wymagający pisania do działu prawnego.

Jeśli masz w Excelu setki CV zebranych „na wszelki wypadek” bez żadnej zgody – to nie jest talent pool. To ryzyko, które czeka na kontrolę.

Dane wrażliwe w rekrutacji – kiedy pojawia się problem

Dane wrażliwe – stan zdrowia, orientacja seksualna, przekonania religijne, przynależność związkowa – podlegają szczególnej ochronie. W rekrutacji pojawiają się głównie w dwóch sytuacjach.

Pierwsza: kandydat sam je ujawnia, np. informując o niepełnosprawności w kontekście dostosowania stanowiska pracy. To dopuszczalne, bo dane podane są z inicjatywy kandydata w konkretnym, uzasadnionym celu.

Druga: rekruter pyta wprost, np. o stan zdrowia czy plany rodzicielskie podczas rozmowy. To już problem – nawet jeśli pytanie wynika z ciekawości, a nie złej woli. Takie pytania nie mają uzasadnienia w ocenie kompetencji zawodowych i nie powinny padać.

Co grozi za naruszenie RODO w rekrutacji

Konsekwencje dzielą się na dwa poziomy – formalny i reputacyjny, i oba warto brać pod uwagę.

• Kara administracyjna – Urząd Ochrony Danych Osobowych może nałożyć karę finansową na firmę, jeśli naruszenie zostanie zgłoszone lub wykryte w kontroli. Wysokość zależy od skali i charakteru naruszenia.
• Roszczenie kandydata – osoba, której dane potraktowano niezgodnie z prawem, może domagać się odszkodowania na drodze cywilnej.
• Utrata zaufania – kandydat, który poczuł się źle potraktowany na etapie rekrutacji, dzieli się tym doświadczeniem. Na Glassdoor, na LinkedIn, w rozmowach ze znajomymi z branży.

Ten trzeci punkt bywa dotkliwszy niż sama kara – bo wpływa na to, ilu dobrych kandydatów w ogóle zechce aplikować w przyszłości. Kara finansowa boli raz. Zła reputacja rekrutacyjna kosztuje przez lata, w każdej kolejnej kampanii, na którą trzeba wydać więcej, żeby przyciągnąć tę samą liczbę wartościowych zgłoszeń.

Najczęstsze błędy rekruterów w praktyce

Kilka sytuacji, które powtarzają się w wielu firmach, mimo że każda z nich to potencjalne naruszenie:

• Przesyłanie CV mailem bez szyfrowania – do menedżera, który „chciał tylko rzucić okiem”, zanim proces formalnie ruszył.
• Trzymanie CV w skrzynce mailowej rekrutera – bez limitu czasu, bez porządku, latami.
• Pytania o plany rodzicielskie na rozmowie – wciąż zdarzają się, mimo że nie mają żadnego uzasadnienia merytorycznego.
• Udostępnianie CV kandydata trzeciej firmie – na przykład agencji rekrutacyjnej podwykonawczej – bez informowania o tym kandydata.
• Brak procedury usuwania danych – nikt w firmie nie wie, kto i kiedy ma skasować dane odrzuconych kandydatów.

Checklist zgodności RODO dla rekrutera

Krótka lista do przejrzenia przy każdym nowym procesie rekrutacyjnym:

• Formularz aplikacyjny – zbiera tylko dane z katalogu kodeksowego, chyba że jest osobna zgoda na więcej.
• Klauzula informacyjna – widoczna przy formularzu, opisuje cel przetwarzania, okres przechowywania i prawa kandydata.
• Zgoda na talent pool – osobny checkbox, nie zaznaczony domyślnie, z jasnym opisem celu.
• Termin usuwania danych – ustalony i przestrzegany, nie „kiedyś to zrobimy”.
• Dostęp do danych ograniczony – tylko osoby faktycznie prowadzące dany proces mają wgląd w CV.
• Procedura na żądanie usunięcia danych – kandydat, który poprosi o usunięcie swoich danych, dostaje odpowiedź w rozsądnym czasie, nie po miesiącach ciszy.

Wdrożenie tej listy nie wymaga działu prawnego na etacie. Wymaga jednego uporządkowania procesu i trzymania się go przy każdej kolejnej rekrutacji. Najlepiej sprawdza się, kiedy stanie się częścią standardowego onboardingu każdego nowego rekrutera w zespole – nie jednorazowym szkoleniem, o którym wszyscy zapominają po miesiącu.

Kto w firmie odpowiada za RODO w rekrutacji

W małych i średnich firmach odpowiedzialność często rozmywa się między działem HR a IT – i ostatecznie nikt jej nie ma. To błąd, który wychodzi na jaw dopiero przy kontroli albo skardze kandydata.

• Rekruter – odpowiada za to, jakie dane zbiera i jak długo je przechowuje w swoich narzędziach roboczych: skrzynce mailowej, arkuszach, ATS-ie.
• Administrator danych (zwykle firma jako podmiot) – odpowiada formalnie przed UODO za całość procesu, niezależnie od tego, kto konkretnie popełnił błąd.
• Inspektor ochrony danych (jeśli firma go powołała) – doradza, ale nie wykonuje pracy rekrutera za niego. Jego rola to nadzór, nie operacyjne zarządzanie CV.

Jeśli w Twojej firmie nikt nie potrafi jednoznacznie odpowiedzieć, kto usuwa dane odrzuconych kandydatów – to pytanie, które warto zadać zanim zada je kontroler UODO.

ATS a RODO – czy system automatycznie rozwiązuje problem

Dobry ATS ułatwia zgodność, ale jej nie gwarantuje sam z siebie. System może mieć wbudowane funkcje – automatyczne usuwanie danych po określonym czasie, zarządzanie zgodami, historię działań na danych kandydata. Ale te funkcje trzeba świadomie skonfigurować.

Firma, która kupiła ATS i zostawiła domyślne ustawienia, wciąż może przechowywać CV bezterminowo – tyle że teraz robi to w ładniejszym interfejsie. Warto raz na kwartał sprawdzić ustawienia retencji danych w systemie, zamiast zakładać, że dostawca oprogramowania zadbał o to za Ciebie. To pięć minut w panelu administracyjnym, które oszczędzają problemów przy ewentualnej kontroli.

Co powiedzieć kandydatowi, który pyta o swoje dane

Kandydat ma prawo zapytać, jakie dane o nim przechowujesz, w jakim celu i jak długo. To nie jest podejrzane pytanie – to realizacja prawa, które mu przysługuje. Odpowiedź powinna być prosta i szybka:

• Jakie dane przechowujesz – konkretnie, nie „standardowy zakres danych rekrutacyjnych”.
• W jakim celu – do bieżącej rekrutacji, do talent poolu, czy z innego powodu.
• Jak długo – konkretny termin lub zasada, według której go wyznaczasz.
• Jak może zażądać usunięcia – jedno zdanie z instrukcją, nie odesłanie do regulaminu na dziesięć stron.

Firma, która potrafi odpowiedzieć na to pytanie w kilka minut, buduje zaufanie. Firma, która milczy tydzień, buduje dokładnie odwrotny efekt – i to niezależnie od tego, czy kandydat ostatecznie dostał ofertę pracy, czy nie.

RODO to nie przeszkoda w rekrutacji – to jej ramy

Zgodność z RODO nie oznacza wolniejszej rekrutacji ani góry dodatkowej biurokracji. Oznacza kilka jasnych zasad, które raz wdrożone, działają same – i chronią firmę przed kosztowniejszym problemem niż kilka minut dłuższy formularz aplikacyjny.

Zacznij od jednej rzeczy w tym tygodniu: sprawdź, ile CV leży w Twojej skrzynce mailowej bez żadnego terminu usunięcia. To najprostszy test, który pokazuje, jak realnie wygląda zgodność w Twoim procesie – nie na papierze, tylko w praktyce.

RODO a rekrutacja przez agencję zewnętrzną

Jeśli korzystasz z agencji rekrutacyjnej, odpowiedzialność za dane nie znika – dzieli się. Agencja zwykle działa jako podmiot przetwarzający dane w imieniu Twojej firmy, co oznacza konieczność podpisania osobnej umowy powierzenia przetwarzania danych.

Bez takiej umowy, nawet jeśli agencja formalnie przestrzega RODO wobec kandydatów, Twoja firma jako zlecający pozostaje w prawnej szarej strefie. Warto to sprawdzić przy każdej nowej współpracy z zewnętrznym rekruterem, zanim przekażesz mu dane kandydatów – nie po fakcie, kiedy coś już pójdzie nie tak. Jedno pytanie do agencji na starcie współpracy – „czy mamy podpisaną umowę powierzenia” – oszczędza problemów później.