Przetwarzanie danych CV kandydatów — RODO, okresy retencji 2026

Twoja rekruterka dostaje mail w poniedziałek rano: "Proszę o usunięcie moich danych osobowych z Państwa bazy." Kandydat aplikował półtora roku temu. CV leży w folderze na dysku, imię i nazwisko siedzi w arkuszu Excel, pierwsze imię w historii skrzynki mailowej. Ile masz czasu na odpowiedź? Gdzie dokładnie leżą jego dane? I czy w ogóle miałaś prawo je trzymać przez te 18 miesięcy?

Przetwarzanie danych osobowych kandydatów to jeden z najbardziej niedocenianych obszarów ryzyka w polskich agencjach rekrutacyjnych. Nie dlatego, że rekruterzy ignorują RODO — ale dlatego, że w codziennej pracy kwestia jak długo można przechowywać dane osobowe kandydatów schodzi na dalszy plan. Aż do czasu, gdy nie schodzi.

Ten artykuł to praktyczny playbook dla agencji: która podstawa prawna działa przy jakim scenariuszu, jak ustalić okres retencji dla CV, co robić z danymi sourcowanymi poza aplikacjami, i jak zbudować workflow usuwania danych, który nie wymaga prawnika przy każdym wniosku.

Dlaczego retencja CV to pułapka inaczej niż inne naruszenia RODO

Większość naruszeń RODO w rekrutacji — zbieranie zbędnych danych, brak klauzuli informacyjnej, pre-zaznaczone checkboxy — jest widoczna od razu. Nadmierna retencja danych jest niewidoczna. CV siedzi w systemie, nikomu nie wadzi, nie wygeneruje alertu. Problem pojawia się wtedy, gdy ktoś zaczyna pytać — albo gdy Urząd Ochrony Danych Osobowych przeprowadza kontrolę.

Zgodnie z wytycznymi UODO dotyczącymi rekrutacji, art. 5 ust. 1 lit. e) RODO nakłada tzw. zasadę ograniczenia przechowywania: dane osobowe mogą być przechowywane wyłącznie tak długo, jak jest to niezbędne do celów, dla których zostały zebrane. Nie ma ogólnej "bezpiecznej" liczby lat — jest konkretny cel i konkretna podstawa prawna, które ograniczają czas przetwarzania.

"Zasada ograniczenia przechowywania nie jest sugestią. To jeden z filarów RODO — naruszenie jej może skutkować karą nawet bez wycieku danych i bez krzywdy dla żadnego konkretnego kandydata."

Trzy scenariusze, trzy podstawy prawne — tabela decyzyjna

Zanim ustalisz, jak długo możesz trzymać dane osobowe kandydata, musisz wiedzieć, na jakiej podstawie prawnej w ogóle je przetwarzasz. W rekrutacji mają zastosowanie trzy scenariusze, z których każdy rządzi się innymi zasadami.

Scenariusz	Podstawa prawna (RODO)	Zalecany okres retencji	Warunek
Kandydat aplikuje na ogłoszenie — nie zostaje zatrudniony	Art. 6 ust. 1 lit. b) — działania przedumowne	Do zakończenia rekrutacji + 3 miesiące (roszczenia)	Brak — wynika z aplikacji
Kandydat wyraża zgodę na przyszłe rekrutacje	Art. 6 ust. 1 lit. a) — zgoda	Zgodnie z treścią zgody, maksymalnie 12–24 miesiące	Aktywna, udokumentowana zgoda + możliwość jej cofnięcia
Sourcing — kandydat nie aplikował samodzielnie	Art. 6 ust. 1 lit. f) — uzasadniony interes lub zgoda	Czas aktywnej kampanii + max. 3 miesiące	Test wyważenia interesów lub osobna zgoda; obowiązek informacyjny przy pierwszym kontakcie
Kandydat zostaje zatrudniony	Art. 6 ust. 1 lit. b) — umowa o pracę / zlecenie	Okres zatrudnienia + 10 lat (akta pracownicze)	Zgodnie z Kodeksem pracy i ustawą archiwalną

Kluczowy błąd, który popełnia wiele agencji: traktowanie podstawy z lit. b) (aplikacja na ogłoszenie) jako trwającej wiecznie. Tymczasem ta podstawa wygasa wraz z zakończeniem procesu rekrutacyjnego. Od tego momentu — jeśli chcesz trzymać dane kandydata w bazie — musisz mieć inną podstawę, najczęściej jego zgodę.

Jak długo można przechowywać dane osobowe z CV? Praktyczna odpowiedź

Nie istnieje jeden prawnie wymagany okres przechowywania danych kandydatów — przepisy RODO celowo nie podają liczb. Zamiast tego wskazują na zasadę minimalizacji czasu do celu. W praktyce polskie agencje i działy HR stosują następujące ramy, uznane przez środowisko prawne i Inspektora Ochrony Danych za rozsądne:

3 miesiące od zakończenia rekrutacji — minimum dla kandydatów, którzy nie zostali wybrani i nie wyrazili zgody na dalsze przetwarzanie. Pokrywa ewentualne roszczenia dyskryminacyjne.
12 miesięcy — standardowy horyzont dla bazy talentów przy udzielonej zgodzie; po tym czasie należy albo odnowić zgodę, albo usunąć dane.
24 miesiące — dopuszczalny dla profili w bazie talentów, jeśli kandydat wyraźnie zgodził się na dłuższy okres i jest o tym informowany przy każdym przeglądzie.
Czas aktywnej kampanii sourcingowej + 90 dni — dla profili pozyskanych poza aplikacją (LinkedIn, bazy danych, rekomendacje). Po tym czasie bez osobnej zgody kandydata dane powinny być usunięte lub zanonimizowane.

"Najczęstszy błąd w audytach: agencja ma dane kandydatów z 2022 roku, nigdy ich nie skontaktowała, nie ma żadnej dokumentacji podstawy prawnej. Nie ma złej woli — jest za to realne ryzyko kary, bo UODO nie musi udowadniać szkody, tylko naruszenie zasady."

Sourcing i dane CV z LinkedIn — szara strefa, którą trzeba zaadresować

Kiedy Twój rekruter otwiera profil na LinkedIn i kopiuje dane kandydata do systemu — wchodzi w rolę administratora danych osobowych tej osoby. LinkedIn pozwala użytkownikom udostępniać swoje profile, ale to nie zwalnia rekrutera z obowiązków wynikających z RODO w momencie, gdy dane trafiają do wewnętrznej bazy.

Zgodnie z stanowiskiem UODO w sprawie sourcingu online i orzecznictwem europejskich organów nadzorczych, podstawa z art. 6 ust. 1 lit. f) (uzasadniony interes) może być stosowana przy pierwszym kontakcie rekrutacyjnym — ale wymaga spełnienia trzech warunków:

Przeprowadzenia i udokumentowania testu wyważenia interesów (balancing test) — interes agencji w kontakcie musi przeważać nad prawami i wolnościami kandydata.
Wysłania klauzuli informacyjnej przy pierwszym kontakcie — najpóźniej wtedy, gdy kandydat po raz pierwszy otrzymuje wiadomość od Twojej agencji.
Przetwarzania danych wyłącznie w celu, dla którego je pozyskano — czyli jednorazowego kontaktu, nie budowania permanentnej bazy bez zgody.

Praktyczny wniosek: sourcing bez zgody kandydata jest możliwy, ale ograniczony czasowo i zakresowo. Jeśli chcesz dodać profil sourcowanego kandydata do bazy talentów "na przyszłość" — potrzebujesz jego wyraźnej zgody. Bez tego dane powinny być usunięte po zakończeniu kampanii.

Minimum dla każdej wiadomości sourcingowej: Dołącz dwa zdania informujące o administratorze danych, celu kontaktu i prawie do żądania usunięcia. Nie musi to być długa klauzula — ważne, żeby była. Brak tej informacji to naruszenie art. 14 RODO, niezależnie od tego, czy treść wiadomości jest poprawna.

Workflow usuwania danych — jak zbudować proces, który działa

Prawo do bycia zapomnianym (art. 17 RODO) daje kandydatowi możliwość żądania usunięcia jego danych. Masz co do zasady 30 dni na odpowiedź. Problem nie leży w samej zasadzie — leży w tym, że dane kandydata rzadko siedzą w jednym miejscu.

Typowy "ślad danych" jednego kandydata w polskiej agencji rekrutacyjnej wygląda tak: CV w folderze na dysku, wpis w arkuszu Excel, wątki w skrzynce mailowej, profil w systemie ATS (jeśli w ogóle jest), może zapis w narzędziu do wideorozmów, notatki rekrutera w aplikacji do zarządzania zadaniami. Usunięcie danych "z systemu" bez czyszczenia wszystkich tych miejsc to naruszenie — kandydat ma prawo oczekiwać pełnego usunięcia, nie częściowego.

Skuteczny workflow retencji i usuwania danych oparty na jednym centralnym systemie wygląda następująco:

Jedno centralne repozytorium danych kandydatów — wszystkie CV, notatki i historia kontaktów w jednym miejscu. Arkusze Excel i foldery na dysku lokalnym są główną przyczyną "rozproszonych danych".
Tagowanie podstawy prawnej przy każdym profilu — data udzielenia zgody, typ zgody (baza talentów / konkretna rekrutacja), data wygaśnięcia.
Automatyczne przypomnienia o wygasaniu retencji — system powinien alarmować 30 dni przed upływem okresu retencji, dając czas na kontakt z kandydatem w celu odnowienia zgody lub usunięcia danych.
Procedura odpowiedzi na wniosek o usunięcie — lista wszystkich miejsc, gdzie mogą być dane kandydata, z osobą odpowiedzialną za czyszczenie każdego z nich.
Dokumentacja usunięcia — zapis, że dane zostały usunięte, z datą i zakresem. Paradoksalnie, po usunięciu danych masz prawo zachować przez pewien czas minimalny zapis potwierdzający, że wywiązałeś się z obowiązku.

Gdzie fizycznie leżą Twoje dane — i dlaczego ma to znaczenie

Suwerenność danych w rekrutacji to nie slogan marketingowy — to kwestia prawna i operacyjna. Jeśli Twój system rekrutacyjny przechowuje dane kandydatów na serwerach poza UE bez odpowiednich zabezpieczeń prawnych, możesz naruszać rozdział V RODO dotyczący transferów danych do państw trzecich.

Zgodnie z Europejskim Trybunałem Sprawiedliwości (wyrok Schrems II, 2020), transfer danych osobowych poza UE/EOG jest dopuszczalny tylko przy zachowaniu odpowiednich gwarancji — standardowych klauzul umownych, decyzji o adekwatności lub certyfikacji w ramach Data Privacy Framework (USA). Wiele narzędzi HR używanych przez polskie agencje nie spełnia tych wymogów lub wymaga aktywnej konfiguracji po stronie administratora.

Pytania, które powinieneś zadać swojemu dostawcy systemu rekrutacyjnego:

Gdzie fizycznie zlokalizowane są serwery, na których przechowywane są dane kandydatów?
Czy posiadacie decyzję o adekwatności lub certyfikację dla transferów poza UE?
Czy macie podpisaną umowę DPA (Data Processing Agreement) dostępną dla klientów?
Jak długo domyślnie przechowujecie dane po wygaśnięciu subskrypcji?

Hosting danych na serwerach w Unii Europejskiej eliminuje problemy związane z transferem transgranicznym i jest podstawowym wymogiem dla platform obsługujących europejskie agencje rekrutacyjne. Platforma rekrutacyjna zgodna z RODO powinna domyślnie oferować hosting EU bez konieczności dodatkowej konfiguracji.

Zgoda na przetwarzanie danych a uzasadniony interes — kiedy która podstawa

To pytanie pojawia się najczęściej w kontekście sourcingu i budowania bazy talentów. Odpowiedź nie jest zero-jedynkowa — obie podstawy są legalne, ale mają różne zastosowania i ryzyka.

Zgoda (art. 6 ust. 1 lit. a) jest podstawą "najczystszą" — kandydat wie, co się dzieje z jego danymi, i aktywnie wyraził na to zgodę. Wadą jest to, że zgoda może być w każdej chwili cofnięta, co obliguje do natychmiastowego zaprzestania przetwarzania. Dla baz talentów to oznacza, że kandydaci mogą "wyjść" z bazy na własne żądanie.

Uzasadniony interes (art. 6 ust. 1 lit. f) jest bardziej elastyczny operacyjnie — nie wymaga aktywnej zgody kandydata — ale wymaga udokumentowanego testu wyważenia interesów i jest ograniczony zakresem i czasem. Europejska Rada Ochrony Danych (EROD) w wytycznych z 2024 roku podkreśla, że uzasadniony interes nie może służyć jako "furtka" omijająca wymóg zgody w sytuacjach, gdzie kandydaci rozsądnie oczekują ochrony swoich danych.

"Uzasadniony interes w rekrutacji sourcingowej istnieje — rekruter ma legitymowany powód, by kontaktować się z potencjalnie odpowiednim kandydatem. Ale ten interes nie rozciąga się na budowanie permanentnej bazy danych bez zgody osoby, która o tej bazie nie wie."

Praktyczny audyt retencji — co sprawdzić w swojej agencji

Poniższe pytania nie wymagają prawnika. Wymagają godziny i dostępu do systemów.

Baza kandydatów: Kiedy ostatni raz czyściłeś bazę pod kątem wygasłych zgód lub profili bez udokumentowanej podstawy prawnej? Jeśli odpowiedź brzmi "nigdy" — zacznij od profili starszych niż 24 miesiące.
Skrzynka mailowa: Czy w mailach rekruterów leżą CV kandydatów sprzed lat? Skrzynka mailowa to też rejestr danych osobowych — dane w mailach podlegają RODO tak samo jak dane w ATS.
Arkusze Excel i foldery: Gdzie poza systemem ATS przechowywane są dane kandydatów? Lista "wszystkich miejsc z danymi" to fundament każdego planu usuwania danych.
Zgody: Czy masz udokumentowane zgody na przetwarzanie danych w bazie talentów? Checkbox w formularzu, zapis w systemie, data — wszystko to. Brak dokumentacji = brak zgody z perspektywy UODO.
Sourcing: Czy przy pierwszym kontakcie z sourcowanym kandydatem wysyłasz klauzulę informacyjną (choćby skróconą)?
Wnioski kandydatów: Czy masz procedurę odpowiedzi na wniosek o usunięcie danych? Kto jest odpowiedzialny? Ile czasu zajmuje realizacja?

Jeśli na większość tych pytań nie masz pewnej odpowiedzi — nie jesteś w wyjątkowej sytuacji. Są to jednak luki, które warto zamknąć zanim zamkną je za Ciebie. Kompleksowy przewodnik RODO w rekrutacji omawia więcej aspektów zgodności, w tym zbieranie danych wrażliwych i prawa kandydatów do dostępu.

Baza talentów zgodna z RODO — jak zbudować ją od podstaw

Budowanie bazy talentów to jeden z najcenniejszych aktywów agencji rekrutacyjnej — i jeden z najbardziej ryzykownych, jeśli zrobiony bez podstawy prawnej. Aktywna baza kandydatów z dokumentacją zgód jest cenniejsza niż ogromna baza bez żadnej dokumentacji — bo tę drugą możesz prędzej czy później musieć usunąć w całości.

Minimalne wymogi dla bazy talentów zgodnej z RODO:

Każdy profil ma udokumentowaną podstawę prawną (zgoda z datą i treścią lub udokumentowany interes uzasadniony).
Kandydaci są informowani o przetwarzaniu ich danych w bazie (klauzula informacyjna przy zbieraniu danych lub przy pierwszym kontakcie).
Baza ma określony maksymalny okres retencji — i jest on przestrzegany.
Kandydaci mogą w każdej chwili zażądać usunięcia swoich danych (i mają jasną ścieżkę, jak to zrobić).
Dane są przechowywane na serwerach w UE lub z odpowiednimi gwarancjami dla transferów poza EOG.

Sourcing kandydatów z wykorzystaniem AI otwiera nowe możliwości budowania bazy — ale nie zmienia podstawowych wymogów prawnych. Automatyzacja sourcingu nie znosi obowiązku informacyjnego ani nie tworzy nowej podstawy prawnej do przechowywania danych.

FAQ — najczęstsze pytania rekruterów o przechowywanie danych CV

Jak długo można przechowywać dane osobowe kandydata bez jego zgody?

Co do zasady — tylko przez czas trwania procesu rekrutacyjnego, na który kandydat aplikował, plus rozsądny margines na ewentualne roszczenia (standardowo 3 miesiące). Bez zgody kandydata nie możesz przechowywać jego CV "na przyszłość" ani udostępniać profilu innym klientom po zakończeniu rekrutacji. Każde takie przetwarzanie wymaga odrębnej, wyraźnej zgody lub udokumentowanego uzasadnionego interesu z przeprowadzonym testem wyważenia.

Czy mogę trzymać dane sourcowanego kandydata, jeśli nie odpowiedział na moją wiadomość?

Możesz je przetwarzać w czasie aktywnego poszukiwania kandydatów na dane stanowisko i przez krótki okres po jego zakończeniu. Jeśli kandydat nie odpowiedział i nie wyraził zgody na dalszy kontakt, dane należy usunąć po zakończeniu kampanii — zazwyczaj w ciągu 30–90 dni. Brak odpowiedzi nie jest zgodą na przechowywanie danych w bazie talentów.

Co grozi za przechowywanie CV dłużej niż wynika z podstawy prawnej?

Naruszenie zasady ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO) może skutkować karą administracyjną UODO do 20 milionów euro lub 4% rocznego obrotu — w zależności od tego, która kwota jest wyższa. W praktyce kary dla małych agencji wynoszą od kilku do kilkudziesięciu tysięcy złotych, ale sam fakt wszczęcia postępowania i konieczność audytu jest kosztowna i czasochłonna. Ryzyko rośnie, gdy kandydat złoży skargę do UODO lub wniosek o usunięcie danych, który pozostał bez odpowiedzi.

Czy anonimizacja danych jest alternatywą dla ich usunięcia?

Tak — w określonych przypadkach. Prawdziwa anonimizacja (nie pseudonimizacja) sprawia, że dane przestają być danymi osobowymi i RODO przestaje mieć do nich zastosowanie. W praktyce anonimizacja CV polega na usunięciu wszystkich elementów identyfikujących: imienia, nazwiska, daty urodzenia, adresu, numeru telefonu, adresu e-mail, zdjęcia i wszelkich innych danych pozwalających na identyfikację osoby. Anonimizacja może być dobrą alternatywą, gdy chcesz zachować zagregowane dane o kompetencjach rynkowych bez konieczności utrzymywania indywidualnych profili.

Jaki system rekrutacyjny pomaga zarządzać retencją danych zgodnie z RODO?

System, który pozwala tagować każdy profil informacją o podstawie prawnej i dacie zgody, automatycznie przypomina o wygasaniu okresu retencji i przechowuje dane na serwerach w UE. Ważna jest też umowa DPA (Data Processing Agreement) z dostawcą — jeśli korzystasz z SaaS, dostawca przetwarza dane kandydatów w Twoim imieniu i musisz mieć tę umowę podpisaną. Bez niej możesz być stroną nielegalnego transferu danych nawet jeśli nie wiedziałeś o tym fakcie.

Przetwarzanie danych osobowych kandydatów i okresy retencji CV to obszar, który wymaga raz zbudowanego procesu — nie ciągłego angażowania prawnika przy każdym wniosku. Kluczem jest centralne repozytorium danych z udokumentowanymi podstawami prawnymi i automatycznymi przypomnieniami o wygasaniu retencji, zamiast rozproszonego chaosu folderów i skrzynek mailowych.

Yena buduje platformę rekrutacyjną zaprojektowaną od podstaw z myślą o europejskich wymogach dotyczących danych: hosting na serwerach w UE, wbudowane zarządzanie zgodami i retencją, zautomatyzowany Sourcer AI, ujednolicona skrzynka odbiorcza (LinkedIn, e-mail, WhatsApp) i sekwencer — w jednym miejscu, bez konieczności żonglowania kilkoma narzędziami, każde z własną polityką prywatności i własnym ryzykiem DPA. Platforma jest dostępna w trybie wczesnego dostępu — szczegóły na stronie Sourcera.