W Twojej domowej apteczce pewnie siedzi kilka opakowań po terminie. Paracetamol z 2023 roku, syrop na kaszel, który kupowałeś jeszcze za poprzedniego rządu. Wyglądają normalnie. Stoją bezpiecznie. Nikt nie sprawdza. Problem pojawia się dopiero wtedy, gdy ktoś je sięgnie — albo kiedy przyjdzie inspekcja.
Baza kandydatów w większości polskich agencji rekrutacyjnych wygląda dokładnie tak samo. CV sprzed czterech lat. Dane kandydatów bez klauzul zgody. Profile osób, które nigdy nie wiedziały, że je przechowujesz. Kontakty z archiwum, których nie wiesz kiedy dostałeś ani od kogo. Wszystko wyglądający normalnie — dopóki nie przyjdzie kontrola z Urzędu Ochrony Danych Osobowych.
A UODO przychodzi. W 2024 i 2025 roku Urząd nałożył pierwsze kary na podmioty z sektora rekrutacji i HR. Nie na duże korporacje z działem prawnym — na agencje rekrutacyjne. Małe. Takie jak Twoja.
Ten artykuł to nie straszak. To lista pięciu konkretnych błędów, które popełnia zdecydowana większość polskich agencji — i które możesz naprawić zanim ktoś Cię sprawdzi. Na końcu każdego błędu opisuję, jak dobrze skonfigurowany system ATS pomaga to ryzyko wyeliminować.
Dlaczego rekrutacja jest szczególnie narażona na naruszenia RODO
Rekrutacja to jedna z nielicznych działalności, gdzie na co dzień przetwarzasz dane osobowe setek, czasem tysięcy osób — z których większość nigdy nie zostanie Twoim klientem ani kandydatem do obsadzonego stanowiska. Zbierasz CV, rozmawiasz przez telefon, prowadzisz rozmowy kwalifikacyjne, udostępniasz profile klientom. I na każdym z tych etapów RODO nakłada konkretne obowiązki.
Problem w tym, że wiele agencji działało przez lata bez systemowego podejścia do danych osobowych. CV trafiały do skrzynek e-mail, do Excela, do dysków Google, do folderów na komputerze. Zgody — jeśli w ogóle były zbierane — trafiały do PDF-ów, które dawno zaginęły. I choć RODO obowiązuje od 2018 roku, praktyki operacyjne większości agencji niewiele się zmieniły.
Przyjrzyjmy się pięciu najczęstszym problemom.
Błąd 1: Przetwarzasz dane kandydatów bez ważnej podstawy prawnej
Artykuł 6 RODO mówi jasno: każde przetwarzanie danych osobowych musi mieć podstawę prawną. W rekrutacji najczęściej stosuje się dwie:
- Zgoda kandydata (art. 6 ust. 1 lit. a) — kandydat aktywnie wyraża zgodę na przetwarzanie jego danych w celach rekrutacyjnych.
- Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f) — agencja ma uzasadniony interes w przetwarzaniu danych osób, które sama aktywnie pozyskała (np. przez LinkedIn), pod warunkiem że ten interes nie narusza praw i wolności kandydata.
Gdzie pojawia się problem? Kandydaci przysyłają CV w odpowiedzi na konkretne ogłoszenie. Ich zgoda dotyczy tej jednej rekrutacji — nie przechowywania danych w bazie przez kolejne lata ani udostępniania ich innym klientom. Jeśli chcesz zachować profil kandydata w bazie na przyszłość, potrzebujesz osobnej, wyraźnej zgody na to konkretnie.
W praktyce wygląda to tak: kandydat aplikuje na stanowisko Junior Accountant w lutym 2026. Rekrutacja kończy się w marcu. Kandydat jej nie dostaje. Jego CV siedzi w Twojej bazie. W październiku masz nowego klienta szukającego kogoś z podobnym profilem. Wchodzisz do bazy, wyciągasz ten profil, pokazujesz klientowi. Problem? Kandydat nie wyraził zgody na to drugie zastosowanie jego danych. Nie wie, że jego CV jest pokazywane nowemu klientowi. Nie ma wpływu na tę sytuację. To naruszenie RODO.
Co powinieneś zrobić: Przy zbieraniu aplikacji wyraźnie informuj kandydatów o tym, czy ich dane będą przetwarzane tylko dla tej konkretnej rekrutacji, czy też zachowujesz je w bazie talentów na przyszłość. W tym drugim przypadku zbierz osobną, wyraźną zgodę — i przechowuj dowód jej wyrażenia.
Jak pomaga ATS: Dobrze skonfigurowana baza kandydatów pozwala otagować każdy profil informacją o podstawie prawnej i dacie udzielenia zgody. Zamiast CV w folderze bez żadnego kontekstu, masz profil z informacją: "zgoda na przetwarzanie w bazie talentów — udzielona 15 lutego 2026, ważna do 15 lutego 2027."
Błąd 2: Nie masz okresu retencji danych
Zasada ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO jest prosta: dane osobowe mogą być przechowywane tylko tak długo, jak jest to niezbędne do celów, dla których zostały zebrane. Nie dłużej.
Zapytaj siebie: jak długo przechowujesz CV kandydatów w swojej bazie? Rok? Trzy lata? W nieskończoność? Większość agencji rekrutacyjnych nie ma pisemnej polityki retencji danych. CV wchodzą do systemu i tam zostają — bo "może kiedyś się przyda." To jest apteczka z przeterminowanymi lekami: na każdej półce coś, co dawno straciło ważność.
Standardowa praktyka w branży rekrutacyjnej to retencja danych kandydatów przez 12 miesięcy od zakończenia procesu rekrutacyjnego, z możliwością przedłużenia za wyraźną zgodą kandydata. Niektóre agencje wydłużają ten okres do 2-3 lat dla profili, gdzie kandydaci udzielili zgody na przechowywanie w bazie talentów. Kluczowe jest to, że ten okres musi być gdzieś zapisany — w polityce prywatności, w regulaminie, w wewnętrznych procedurach.
Co powinieneś zrobić: Ustal pisemny okres retencji dla każdej kategorii danych. Kandydaci, którzy aplikowali — 12 miesięcy od zakończenia rekrutacji. Kandydaci w bazie talentów (z ich zgodą) — 24 miesiące od udzielenia zgody, z przypomnieniem o odnowieniu. Profile pozyskane przez sourcing — czas trwania aktywnej kampanii plus rozsądny margines.
Jak pomaga ATS: System rekrutacyjny pozwala ustawić tagi i daty dla każdego profilu kandydata. Możesz filtrować bazę po dacie ostatniej aktywności, dacie zgody czy dacie aplikacji — i regularnie przeglądać, które profile przekroczyły okres retencji. To zamiana apteczki bez dat ważności na apteczkę z wyraźnymi nalepkami na każdym opakowaniu.
Błąd 3: Nie odpowiadasz na wnioski kandydatów o usunięcie danych
Art. 17 RODO przyznaje każdemu kandydatowi prawo do bycia zapomnianym. Jeśli kandydat wyśle do Ciebie e-mail z prośbą o usunięcie jego danych — masz co do zasady miesiąc na odpowiedź i potwierdzenie usunięcia. W uzasadnionych przypadkach można ten termin przedłużyć do trzech miesięcy, ale kandydat musi być o tym poinformowany.
Teraz wyobraź sobie, że taki wniosek trafia do skrzynki mailowej Twojej agencji. Wiesz, gdzie szukać danych tego kandydata? Masz je w bazie ATS, ale też w e-mailach, w Excelu, może w folderze na Dysku Google. Być może jego CV jest zapisane lokalnie na laptopie jednego z Twoich rekruterów. Jak upewnić się, że usunęłeś wszystko?
Pominięcie jednego miejsca to nadal naruszenie. Odpowiedź "usunęliśmy Pana/Pani dane" przy jednoczesnym posiadaniu CV w ukrytym folderze na dysku to naruszenie jeszcze poważniejsze — bo celowe.
W 2024 roku UODO nałożył karę na podmiot przetwarzający, który nie był w stanie potwierdzić wykonania wniosku o usunięcie danych z powodu rozproszenia danych w wielu systemach. Kara: 45 000 złotych. Mała agencja. Duży problem.
Co powinieneś zrobić: Po pierwsze — scentralizuj przechowywanie danych kandydatów. Jedno miejsce, nie pięć. Po drugie — stwórz wewnętrzny proces obsługi wniosków RODO: kto je przyjmuje, kto wykonuje usunięcie, kto potwierdza kandydatowi. Po trzecie — poinformuj o prawie do usunięcia danych w swojej polityce prywatności i klauzuli informacyjnej.
Jak pomaga ATS: Gdy wszystkie dane kandydata są w jednym systemie, usunięcie jest proste i weryfikowalne. Zamiast szukać po e-mailach i folderach, wchodzisz do profilu kandydata, usuwasz go i masz pewność, że to jedyne miejsce przechowywania. Nie zwalnia Cię to z obowiązku sprawdzenia skrzynek e-mail, ale zdecydowanie upraszcza główną część procesu.
Błąd 4: Udostępniasz CV klientom bez umowy powierzenia przetwarzania
To jeden z najczęstszych i najbardziej pomijanych problemów RODO w agencjach rekrutacyjnych. Kiedy wysyłasz CV kandydata do swojego klienta — firmy, która szuka pracownika — dochodzi do powierzenia przetwarzania danych osobowych. Twój klient staje się podmiotem przetwarzającym lub współadministratorem danych osobowych kandydata.
Art. 28 RODO wymaga, żeby takie powierzenie było objęte pisemną umową — umową powierzenia przetwarzania danych osobowych (ang. Data Processing Agreement, DPA). Umowa musi określać m.in.: zakres i cel przetwarzania, rodzaj danych i kategorie osób, których dane dotyczą, obowiązki i prawa administratora.
Ilu Twoich klientów ma z Tobą podpisaną taką umowę? Jeśli pracujesz z kilkudziesięcioma firmami i żadna z nich nie podpisała DPA — jesteś w niezgodności z RODO w każdym projekcie rekrutacyjnym.
Co powinieneś zrobić: Dodaj umowę powierzenia przetwarzania do standardowego pakietu umów z klientem. Może być aneksem do umowy o współpracy lub osobnym dokumentem. Gotowe szablony DPA możesz znaleźć na stronach organizacji branżowych lub zlecić przygotowanie prawnikowi specjalizującemu się w RODO — jednorazowy koszt kilkuset euro, który chroni Cię przed karą sięgającą milionów.
Jak pomaga ATS: Nowoczesny system rekrutacyjny z client portal zamienia wysyłanie CV e-mailem w kontrolowany dostęp do platformy. Klient nie dostaje pliku, który może przekopiować gdzie chce — dostaje wgląd do systemu, w którym Ty kontrolujesz dane. To nie eliminuje potrzeby DPA, ale znacząco upraszcza zarządzanie tym, co klient widzi i co może zrobić z informacjami o kandydacie.
Błąd 5: Nie prowadzisz rejestru czynności przetwarzania
Art. 30 RODO nakłada na administratorów danych obowiązek prowadzenia rejestru czynności przetwarzania. Rejestr musi zawierać m.in.: nazwy czynności przetwarzania, cele przetwarzania, kategorie osób i danych, odbiorców danych, planowane terminy usunięcia, opis technicznych środków bezpieczeństwa.
Obowiązek ten dotyczy zasadniczo podmiotów zatrudniających co najmniej 250 osób. Ale — i to jest ważne — mniejsze firmy też muszą prowadzić rejestr, jeśli przetwarzają dane osobowe, które mogą powodować ryzyko naruszenia praw i wolności osób fizycznych, lub jeśli przetwarzają dane szczególnych kategorii (art. 9) bądź dane dotyczące wyroków skazujących i naruszeń prawa (art. 10).
Dane rekrutacyjne — chociaż nie są danymi szczególnych kategorii — dotyczą sytuacji, w której kandydat jest stroną słabszą i podatną na naruszenia (utrata szansy na pracę, dyskryminacja). UODO w swoich wytycznych sugeruje, że agencje rekrutacyjne powinny prowadzić rejestr niezależnie od liczby zatrudnionych pracowników.
W praktyce rejestr czynności przetwarzania to dokument (może być Excel), w którym wpisujesz: "Zbieranie i przetwarzanie CV kandydatów — cel: obsługa procesu rekrutacyjnego — dane: imię, nazwisko, dane kontaktowe, informacje zawodowe — odbiorcy: klienci agencji (na podstawie DPA) — retencja: 12 miesięcy od zakończenia rekrutacji."
Co powinieneś zrobić: Stwórz rejestr czynności przetwarzania. Nie musisz do tego zaawansowanego oprogramowania — wystarczy dobrze przygotowany arkusz kalkulacyjny. Ważne, żeby był aktualny i dostępny na żądanie UODO. Jeśli prowadzisz rekrutację dla kilkudziesięciu klientów, masz kilka oddzielnych kategorii czynności przetwarzania. Każda z nich to osobna pozycja w rejestrze.
Jak pomaga ATS: System rekrutacyjny sam w sobie nie zastępuje rejestru czynności przetwarzania — to jest Twój obowiązek prawny, nie obowiązek dostawcy oprogramowania. Ale scentralizowana baza danych ułatwia prowadzenie rejestru, bo wiesz dokładnie, jakie dane przechowujesz, skąd pochodzą i do kogo trafiają. Bez ATS, gdy dane są rozproszone w e-mailach, folderach i arkuszach, prowadzenie rzetelnego rejestru jest prawie niemożliwe.
Skrzynka mailowa jako największe ryzyko RODO
Jest jeden element, który łączy wszystkie pięć błędów: skrzynka e-mail. W większości polskich agencji rekrutacyjnych skrzynka mailowa jest de facto głównym systemem do zarządzania kandydatami — a jednocześnie jest poza jakąkolwiek kontrolą RODO.
Kandydaci piszą na adres rekrutera. CV trafiają do skrzynki. Klient prosi o trzy profile — wysyłasz e-mailem. Kandydat prosi o usunięcie danych — usuwasz profil z ATS, ale CV nadal siedzi w "Wysłanych" z 2022 roku. Były rekruter odchodzi z agencji — jego skrzynka z dziesiątkami CV kandydatów zostaje gdzieś na serwerze.
Wdrożenie systemu ATS nie eliminuje e-maila jako kanału komunikacji. Ale przenosi przechowywanie danych kandydatów z nieustrukturyzowanej skrzynki do kontrolowanego systemu, gdzie każdy profil ma historię, każda zmiana jest logowana i każde usunięcie jest weryfikowalne.
RODO a system ATS — co naprawdę zmieniasz
Chcę być precyzyjny: system ATS sam w sobie nie zapewnia Ci zgodności z RODO. RODO to przede wszystkim kwestia procesów, dokumentów i decyzji — nie technologii. Możesz mieć najlepszy system na rynku i nadal przetwarzać dane bez podstawy prawnej.
Co zmienia ATS, to organizacja i widoczność. Gdy dane kandydatów są w jednym miejscu, z pełnym profilem, historią aktywności i możliwością dodawania tagów — masz narzędzie, które wspiera zgodność z RODO. Możesz oznaczyć każdy profil datą zgody. Możesz filtrować bazę po dacie ostatniej aktywności i regularnie przeglądać, które profile wymagają odświeżenia zgody lub usunięcia. Możesz reagować na wnioski kandydatów sprawnie i dokumentować tę reakcję.
To przeprowadzka z apteczki bez dat ważności do apteczki, gdzie każde opakowanie ma wyraźną nalepkę, datę ważności i swoje miejsce na półce. Nie gwarantuje Ci, że nie będziesz miał problemów zdrowotnych — ale radykalnie zmniejsza ryzyko, że ktoś sięgnie po coś przeterminowanego i stanie się krzywda.
Praktyczna lista kontrolna dla agencji rekrutacyjnej
Zanim zamkniesz ten artykuł, przejdź przez tę listę:
- ☐ Podstawa prawna: Czy wiem, na jakiej podstawie prawnej przetwarzam dane każdej kategorii kandydatów?
- ☐ Klauzule informacyjne: Czy kandydaci są informowani o przetwarzaniu danych przy każdym punkcie kontaktu?
- ☐ Zgody na bazę talentów: Czy mam wyraźne zgody od kandydatów, których dane przechowuję poza zakończoną rekrutacją?
- ☐ Retencja: Czy mam pisemną politykę określającą, jak długo przechowuję dane różnych kategorii kandydatów?
- ☐ Wnioski o usunięcie: Czy mam wewnętrzny proces obsługi wniosków RODO z wyznaczoną osobą odpowiedzialną?
- ☐ DPA z klientami: Czy każdy klient, któremu pokazuję CV kandydatów, ma ze mną podpisaną umowę powierzenia przetwarzania?
- ☐ Rejestr czynności: Czy prowadzę rejestr czynności przetwarzania — nawet w podstawowej formie Excela?
- ☐ Centralizacja danych: Czy dane kandydatów są w jednym miejscu, czy rozproszone po skrzynkach, folderach i arkuszach?
Jeśli na trzy lub więcej punktów odpowiedziałeś "nie" — jesteś w dobrej firmie, bo większość polskich agencji jest w tej samej sytuacji. Ale jesteś też w grupie ryzyka.
Skąd zacząć?
Trzy pierwsze kroki, które możesz zrobić w tym tygodniu:
Krok 1: Napisz politykę retencji danych — choćby jedną stronę A4 określającą, jak długo przechowujesz dane w każdej kategorii i dlaczego. Wydrukuj ją i podpisz. To nie musi być dokument prawniczy — musi być dostępny i aktualny.
Krok 2: Sprawdź, czy Twoi aktywni klienci mają z Tobą podpisaną umowę powierzenia przetwarzania. Jeśli nie — wyślij wzór do podpisania. To jeden e-mail do każdego klienta i chroni obie strony.
Krok 3: Oceń stan swojej bazy kandydatów. Jeśli przechowujesz dane w rozproszonych miejscach — e-maile, Excel, dysk, ATS — to jest ten moment, żeby przemyśleć centralizację. Migracja z Excela do systemu ATS jest prostsza niż myślisz, a korzyści dla zgodności z RODO są natychmiastowe.
RODO w rekrutacji nie jest problemem prawniczym dla dużych firm. Jest codzienną praktyką każdej agencji, która poważnie traktuje swój biznes — i reputację u kandydatów, którzy powierzają jej swoje dane.
Apteczka z przeterminowanymi lekami może stać miesiącami bez konsekwencji. Ale kiedy ktoś po nią sięgnie — albo kiedy przyjdzie inspekcja — jest już za późno na porządkowanie półek.
Chcesz zobaczyć, jak Yena pomaga polskim agencjom rekrutacyjnym zarządzać bazą kandydatów w uporządkowany sposób? Przetestuj system przez 10 dni za darmo — bez karty kredytowej, bez zobowiązań.