Orzeczenie to odwróciło dotychczasową, restrykcyjną linię UODO, który nakazywał usuwanie danych niezwłocznie po rekrutacji.

To jednak nie oznacza, że każde „archiwum CV" jest automatycznie legalne. Cel przechowywania ma kluczowe znaczenie: CV trzymane „na obronę przed roszczeniami" to co innego niż baza kandydatów „do przyszłych rekrutacji" — i każdy z tych celów wymaga innej podstawy prawnej, innego okresu retencji i innego sposobu informowania kandydatów. Wiele działów HR tej różnicy nie rozróżnia — i tu zaczyna się problem.

Rekrutacja to jeden z obszarów, w których RODO* ma szczególnie duże znaczenie. Pracodawca przetwarza w tym procesie ogromne ilości danych — nie tylko imię, nazwisko i kontakt, ale też historię zatrudnienia, wyniki testów, nagrania wideo z rozmów, rekomendacje, a niekiedy dane szczególnych kategorii (np. informacje o niepełnosprawności). Każde z tych działań musi mieć podstawę prawną.

Czy można przechowywać CV po zakończeniu rekrutacji?

Tak — ale wyłącznie w ściśle określonym celu i przez ograniczony czas. Dopuszczalne są dwie podstawy prawne:

1. Uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) Pracodawca może przechowywać CV kandydata po rekrutacji w celu obrony przed ewentualnymi roszczeniami o dyskryminację w zatrudnieniu. Taki interes uznał NSA w wyroku III OSK 2700/22 z 20 lutego 2024 r. Maksymalny okres to 3 lata od zakończenia rekrutacji — tyle wynosi termin przedawnienia roszczeń z Kodeksu pracy (art. 291 k.p.). Po jego upływie dalsze przechowywanie traci podstawę prawną.

2. Zgoda kandydata (art. 6 ust. 1 lit. a RODO) Jeśli firma chce korzystać z CV w przyszłych rekrutacjach, potrzebna jest odrębna, dobrowolna i wyraźna zgoda kandydata — złożona świadomie, nie jako warunek udziału w bieżącej rekrutacji. Kandydat musi wiedzieć, kto przetwarza jego dane, w jakim celu i przez jaki czas. Zgodę można w każdej chwili wycofać, a firma musi na to reagować.

Kluczowa różnica: CV przechowywane „na wypadek roszczeń" i CV trzymane „do przyszłych rekrutacji" to dwa odrębne cele, dwie odrębne podstawy prawne i dwa różne obowiązki informacyjne wobec kandydatów.

Jak długo można przechowywać CV? Tabela retencji danych

Okresy te powinny być jasno określone w polityce retencji danych i rejestrze czynności przetwarzania (RCPD).

Jakie błędy RODO najczęściej popełnia HR przy rekrutacji?

Dział HR przetwarza w procesie rekrutacji ogromne ilości danych — w tym dane wrażliwe, wyniki testów, nagrania wideo z rozmów czy rekomendacje. Najczęstsze naruszenia to:

1. Przechowywanie CV bez jasno określonego celu CV są trzymane „na wszelki wypadek" — bez rozróżnienia, czy chodzi o obronę przed roszczeniami (uzasadniony interes, maks. 3 lata), czy o przyszłe rekrutacje (wymagana osobna zgoda kandydata). Brak tej precyzji to brak ważnej podstawy prawnej.

2. Baza talentów bez właściwej struktury prawnej Jedna baza CV służy do wielu celów — niezależnie od tego, czy kandydat wyraził zgodę na konkretny cel przetwarzania. Dane są udostępniane innym spółkom w grupie bez odpowiednich umów i oceny roli każdego podmiotu. Automatyczne przenoszenie CV do bazy przyszłych rekrutacji bez wyraźnej, oddzielnej zgody jest naruszeniem RODO — nawet jeśli kandydat wcześniej aplikował na podobne stanowisko.

3. Wadliwe formularze zgód Zgody rekrutacyjne są zbierane, ale ich treść jest niepoprawna — brakuje wskazania administratora, celu, okresu przetwarzania. Zgoda nie może być warunkiem uczestnictwa w rekrutacji. UODO wielokrotnie podkreślał, że łączenie różnych celów przetwarzania w jednej nieczytelnej klauzuli stanowi naruszenie zasady przejrzystości wynikającej z art. 5 ust. 1 lit. a RODO.

4. Przekazywanie CV bez weryfikacji CV kandydatów trafiają do klientów, agencji lub partnerów bez oceny roli tych podmiotów (procesor, administrator, współadministrator) i bez właściwych umów powierzenia.

Co to jest uzasadniony interes administratora w rekrutacji?

Uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) to podstawa prawna przetwarzania danych, która nie wymaga zgody osoby, której dane dotyczą. Uzasadniony interes zgodnie RODO zachodzi wówczas gdy interes administratora jest prawnie uzasadniony, rzeczywisty, konieczny a interesy lub prawa i wolności osoby, której dane dotyczą nie są nadrzędne wobec interesów administratora.

W kontekście rekrutacji uzasadnionym interesem jest możliwość obrony przed zarzutem dyskryminacji. Pracodawca ma obowiązek udowodnić, że odmawiając zatrudnienia kandydatowi, kierował się obiektywnymi, niedyskryminującymi kryteriami (art. 183d Kodeksu pracy). Bez zachowanych danych rekrutacyjnych byłoby to niemożliwe.

NSA w wyroku z 2024 r. uznał, że ten interes jest wystarczający i ma charakter nadrzędny wobec praw i wolności osoby, której dane dotyczą — co oznacza, że podstawa z art. 6 ust. 1 lit. f RODO może być skutecznie stosowana w tym kontekście. Okres 3 lat wynika z ogólnego terminu przedawnienia roszczeń ze stosunku pracy (art. 291 k.p.) — sam wyrok nie wskazuje wprost tego okresu, jest on powszechnie przyjmowany w doktrynie jako maksymalny rozsądny horyzont przechowywania danych w tym celu.

Jak Inspektor Ochrony Danych wspiera dział HR w rekrutacji?

Inspektor Ochrony Danych (IOD) to osoba wyznaczona przez administratora danych (lub podmiot przetwarzający) do nadzorowania zgodności przetwarzania danych z RODO. IOD nie jest tylko kontrolerem — jest partnerem działu HR, który pomaga działać zgodnie z prawem bez blokowania procesów rekrutacyjnych.

W obszarze rekrutacji IOD pomaga w:

• Określeniu prawidłowych okresów retencji — ustaleniu, jak długo i na jakiej podstawie mogą być przechowywane CV, z rozróżnieniem celu „obrona przed roszczeniami" i „przyszłe rekrutacje".
• Weryfikacji formularzy zgód i klauzul informacyjnych — sprawdzeniu, czy spełniają wymagania RODO i są zrozumiałe dla kandydatów.
• Ocenie relacji z agencjami rekrutacyjnymi i klientami — identyfikacji ról podmiotów, do których trafiają dane kandydatów, i wskazaniu, jakie umowy są wymagane.
• Budowie zgodnej z prawem bazy talentów — stworzeniu struktury „talent pool" z właściwym procesem zbierania i zarządzania zgodami.

Dzięki wsparciu IOD dział HR nie musi samodzielnie interpretować przepisów. Może skupić się na skutecznej rekrutacji, wiedząc, że kwestie zgodności są pod kontrolą.

Co grozi za nieprawidłowe przechowywanie CV?

Naruszenia RODO w obszarze rekrutacji mogą skutkować:

• Karą finansową od UODO — do 20 mln EUR lub 4% rocznego globalnego obrotu firmy (wyższe z tych kwot). Rok 2025 był rekordowy pod względem egzekwowania przepisów — UODO nałożył 32 kary o łącznej wartości ponad 64 mln zł, w tym kary na McDonald's Polska (16,9 mln zł) za nieprawidłowe powierzenie przetwarzania danych pracowników i na ING Bank Śląski (18,4 mln zł) za nadmierne zbieranie danych klientów. Choć te konkretne sprawy nie dotyczyły rekrutacji, pokazują skalę i determinację UODO w egzekwowaniu przepisów.
• Roszczeniem odszkodowawczym od kandydata — na podstawie art. 82 RODO kandydat może dochodzić odszkodowania za szkodę majątkową lub niemajątkową wynikającą z naruszenia jego danych. Prezes UODO sygnalizuje, że wykładnia art. 82 RODO może się zmieniać na korzyść osób poszkodowanych.
• Nakazem usunięcia danych — UODO może nakazać natychmiastowe usunięcie bezprawnie przechowywanych CV.
• Szkodą reputacyjną — decyzje UODO są publikowane i trafiają do mediów branżowych.

Najczęściej zadawane pytania (FAQ)

Czy można przechowywać CV bez zgody kandydata? Tak — przez maksymalnie 3 lata od zakończenia rekrutacji, na podstawie uzasadnionego interesu administratora - obrona przed roszczeniami o dyskryminację. Tak orzekł NSA w wyroku III OSK 2700/22 z 20.02.2024 r.

Jak długo można przechowywać CV kandydata, który nie dostał pracy? Maks. 3 lata od zakończenia rekrutacji — do czasu przedawnienia roszczeń z Kodeksu pracy. Jeśli firma chce korzystać z CV dłużej lub w innym celu (przyszłe rekrutacje), musi posiadać osobną zgodę kandydata.

Czy zgoda na przetwarzanie danych w CV jest obowiązkowa? Nie — kandydat nie musi wpisywać klauzuli RODO do CV. Podstawą prawną przetwarzania danych w bieżącej rekrutacji jest Kodeks pracy, nie zgoda. Zgoda jest potrzebna tylko wtedy, gdy kandydat chce uczestniczyć w przyszłych rekrutacjach lub podaje dodatkowe dane dobrowolne.

Czy można zbudować bazę talentów zgodnie z RODO? Tak, ale wyłącznie przy wyraźnej, oddzielnej zgodzie kandydata na przetwarzanie danych w celu przyszłych rekrutacji. Automatyczne przenoszenie CV do bazy talentów bez takiej zgody jest naruszeniem RODO.

Kiedy UODO może wszcząć kontrolę w obszarze rekrutacji? Na wniosek kandydata (skargi do UODO są bezpłatne) lub z urzędu. UODO ma uprawnienie do przeprowadzenia kontroli w każdej firmie, niezależnie od jej wielkości.

Czy IOD jest obowiązkowy w każdej firmie? Nie. Obowiązek wyznaczenia IOD dotyczy m.in. podmiotów publicznych, firm przetwarzających dane na dużą skalę oraz podmiotów, których główna działalność polega na regularnym i systematycznym monitorowaniu osób. Inne firmy mogą wyznaczyć IOD dobrowolnie.

Podsumowanie: checklista dla HR — przechowywanie CV zgodnie z RODO

Przed kolejną rekrutacją warto odpowiedzieć na pięć pytań:

1. W jakim celu przechowujesz CV po rekrutacji? Obrona przed roszczeniami (maks. 3 lata, uzasadniony interes) czy przyszłe rekrutacje (wymagana osobna zgoda)?
2. Czy dane kandydatów są usuwane po 3 latach od zakończenia rekrutacji, jeśli nie ma podstawy do dalszego przetwarzania? Czy istnieje procedura w tym zakresie?
3. Czy formularze zgód na przyszłe rekrutacje są dobrowolne, oddzielne i precyzyjne — zawierają wskazanie administratora, cel, czas przetwarzania?
4. Czy CV nie są automatycznie przenoszone do bazy talentów bez wyraźnej zgody kandydata?
5. Czy relacje z agencjami rekrutacyjnymi są uregulowane właściwymi umowami powierzenia przetwarzania danych?

Zanim zapyta o to UODO, warto, by przejrzał to Inspektor Ochrony Danych.

*Co to jest RODO i dlaczego dotyczy rekrutacji?

RODO (Rozporządzenie ogólne o ochronie danych, ang. GDPR) to unijne rozporządzenie 2016/679, które reguluje zasady przetwarzania danych osobowych. Obowiązuje we wszystkich państwach UE bezpośrednio, bez potrzeby implementacji. W Polsce organem nadzorczym jest Urząd Ochrony Danych Osobowych (UODO).

radca prawny Julia Kamińska-Kasjaniuk