Pozyskiwanie talentów to kluczowe wyzwanie biznesu, dlatego działy HR chętnie tworzą bazy aplikacji na potrzeby kolejnych wakatów. Gromadzenie życiorysów bez odpowiednich podstaw wiąże się jednak z ryzykiem. Przepisy precyzyjnie określają zasady, jakimi rządzi się przetwarzanie danych kandydatów, a nieprawidłowe przechowywanie CV po rekrutacji może skutkować sankcjami nakładanymi przez Prezesa Urzędu Ochrony Danych Osobowych. Zobacz, jak bezpiecznie tworzyć zbiory aplikacji.
Spis treści:
- Co zrobić z CV po zamknięciu konkretnej rekrutacji?
- W jakich sytuacjach wymagana jest odrębna zgoda na przyszłe rekrutacje?
- Jakie dane wolno zostawić, a które są nadmiarowe?
- Dokumentowanie retencji danych osobowych w politykach i procedurach HR
- Najczęstsze błędy rekruterów i działów HR przy budowaniu bazy kandydatów
Co zrobić z CV po zamknięciu konkretnej rekrutacji?
Z chwilą zakończenia konkretnego procesu rekrutacyjnego (którego moment organizacja powinna umieć wykazać) cel naboru wygasa. Zgodnie z zasadą ograniczenia przechowywania, dane osobowe kandydatów niebiorących udziału w dalszych etapach powinny zostać trwale usunięte lub rzeczywiście i nieodwracalnie zanonimizowane, o ile nie istnieje inny cel i ważna podstawa prawna.
Dopuszczalnym wyjątkiem (potwierdzonym przez NSA) bywa oparcie przetwarzania na prawnie uzasadnionym interesie administratora w celu obrony przed ewentualnymi roszczeniami z tytułu dyskryminacji. Wymaga to jednak bilansu ryzyk i ram czasowych. Co do zasady, terminowe usuwanie CV po rekrutacji chroni firmę przed zarzutem bezprawnego retencjonowania dokumentów.
W jakich sytuacjach wymagana jest odrębna zgoda na przyszłe rekrutacje?
Gdy organizacja planuje wykorzystywać aplikacje w kolejnych naborach, bezpieczna baza kandydatów RODO opiera się w praktyce na formule, jaką jest zgoda na przyszłe rekrutacje. Zgoda na bieżący proces nie rozciąga się automatycznie na przyszłe postępowania.
Klauzula rekrutacyjna zgodna z RODO powinna umożliwiać wyrażenie odrębnej, dobrowolnej i możliwej do wykazania woli pozostania w bazie talentów (np. za pomocą dedykowanego pola wyboru). Profesjonalne szkolenie RODO dla rekruterów pozwala wyeliminować częsty błąd wymuszania zgody jako warunku udziału w bieżącym naborze.
Ustalanie bezpiecznego okresu przechowywania danych i retencji CV
Dane przetwarzane na potrzeby przyszłych rekrutacji nie powinny być przechowywane bezterminowo. Administrator powinien określić:
- okres przechowywania CV, który powinien wynikać z realnych potrzeb kadrowych i specyfiki stanowiska,
- następne kroki – po upływie ustalonego terminu retencja CV wygasa, a aplikacje podlegają usunięciu lub skutecznej anonimizacji, chyba że kandydat odnowi swoją dyspozycję.
Utrzymywanie przedawnionych aplikacji narusza regułę celowości i ogranicza przejrzystość bazy talentów.
Wdrożenie prostego mechanizmu wycofania zgody i usuwania danych kandydatów
Kandydat ma prawo cofnąć zgodę w dowolnym momencie, a procedura ta musi być równie łatwa, jak jej wyrażenie. W praktyce oznacza to:
- Wskazanie prostego kanału (np. adresu e-mail) do przesłania rezygnacji,
- Zaprzestanie przetwarzania i usunięcie aplikacji bez zbędnej zwłoki z systemów ATS i poczty (z uwzględnieniem specyfiki procedur nadpisywania kopii zapasowych),
- Poinformowanie aplikującego o zrealizowaniu wniosku o usunięcie danych.
Jakie dane wolno zostawić, a które są nadmiarowe?
Kodeks pracy jednoznacznie definiuje katalog informacji, jakich pracodawca może żądać na etapie naboru. Zwykłe dane kandydatów do pracy wykraczające poza ten zakres (np. zainteresowania czy dobrowolnie załączone zdjęcie) mogą być przetwarzane na podstawie zgody. RODO w rekrutacji nakazuje przestrzeganie zasady minimalizacji danych – odrębnego reżimu prawnego wymagają dane szczególnych kategorii czy informacje o niekaralności.
Dokumentowanie retencji danych osobowych w politykach i procedurach HR
Budowanie bazy kandydatów wymaga solidnych podstaw formalnych. Niezbędne jest przygotowanie dokumentacji RODO dla procesów HR, w tym procedur retencji, klauzul informacyjnych oraz – gdy wymaga tego art. 30 RODO – ujęcia procesów w rejestrze czynności. Pomocna bywa bieżąca obsługa RODO oraz szkolenie Inspektora Ochrony Danych, ułatwiające nadzór nad procedurami.
Najczęstsze błędy rekruterów i działów HR przy budowaniu bazy kandydatów
Do typowych uchybień należy brak odrębnych zgód na przyszłe nabory, bezterminowe przetrzymywanie dokumentów oraz brak procedur retencji. Prawidłowe zarządzanie CV po zakończeniu rekrutacji w zgodzie z RODO pozwala efektywnie rekrutować, chroniąc firmę przed sankcjami finansowymi nakładanymi przez organ nadzorczy.