Proces rekrutacji kończy się wyborem pracownika, ale to nie oznacza, że pracodawca musi od razu usunąć dane pozostałych kandydatów. Z perspektywy RODO temat ten budzi wiele kontrowersji – czy zachowanie dokumentów aplikacyjnych kandydatów, którzy nie zostali zatrudnieni, jest zgodne z prawem? Co, jeśli pojawi się ryzyko pozwu o dyskryminację? W tym poradniku wyjaśniam, kiedy przetwarzanie danych po rekrutacji jest legalne, a kiedy może skutkować karą od PUODO.
📌 Dlaczego temat jest ważny?
Wielu pracodawców – zwłaszcza w sektorze MŚP – nie wie, jak długo i w jakim celu mogą przetwarzać dane kandydatów. Tymczasem błędne działania mogą skutkować upomnieniem, a nawet karą finansową ze strony Urzędu Ochrony Danych Osobowych (PUODO). Z drugiej strony – zbyt szybkie usunięcie danych może utrudnić obronę przed zarzutem dyskryminacji. Sprawdź, jak postępować zgodnie z prawem, zabezpieczając jednocześnie interes swojej firmy.
✅ Przetwarzanie danych po rekrutacji a art. 6 ust. 1 lit. f RODO
Zasadą wynikającą z RODO jest, że dane osobowe kandydatów do pracy należy usunąć niezwłocznie po zakończeniu rekrutacji, chyba że administrator ma inną, wyraźną podstawę prawną ich dalszego przechowywania.
Jedną z takich podstaw może być art. 6 ust. 1 lit. f RODO, czyli tzw. przesłanka prawnie uzasadnionego interesu. Warunkiem jej zastosowania jest spełnienie trzech kryteriów:
- Administrator realizuje prawnie uzasadniony interes – np. przygotowanie się na ewentualny proces sądowy.
- Przetwarzanie danych jest niezbędne, aby ten interes zrealizować.
- Interes administratora nie jest nadrzędny wobec interesów lub praw i wolności osoby, której dane dotyczą.
📚 Podstawa prawna: art. 6 ust. 1 lit. f – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
🧩 Przykład praktyczny
Firma informatyczna „CodeBrick” z Krakowa przeprowadziła rekrutację na stanowisko testera oprogramowania. Kandydatka, pani Anna Michalak, nie została zatrudniona. Kilka miesięcy później zgłosiła się z żądaniem usunięcia jej danych. Pracodawca odmówił, wskazując, że przechowuje je na wypadek ewentualnego sporu o dyskryminację, ponieważ jeden z członków komisji rekrutacyjnej wypowiedział się niestosownie podczas rozmowy.
Czy firma miała prawo tak postąpić? Zgodnie z omawianym wyrokiem NSA – tak, pod warunkiem, że:
- przeprowadziła test równowagi interesów,
- nie przetwarza więcej danych niż to konieczne,
- ograniczyła czas przechowywania do maksymalnie 3 lat od zakończenia rekrutacji.
🔍 Test równowagi interesów – obowiązek pracodawcy
Przetwarzanie danych na podstawie art. 6 ust. 1 lit. f RODO nie może być automatyczne. Pracodawca musi przeanalizować konkretną sytuację i wykazać, że:
- istnieje realne ryzyko roszczenia, np. o dyskryminację,
- dane są niezbędne do obrony przed takim zarzutem,
- przetwarzanie nie narusza nadmiernie prywatności kandydata.
🔧 To tzw. test ważenia interesów (ang. balancing test).
⚖️ Wyrok NSA: przechowywanie danych kandydatów może być legalne
W wyroku z 20 lutego 2024 r. (III OSK 2700/22), Naczelny Sąd Administracyjny uznał, że:
„Nie można wykluczyć, że przetwarzanie danych osobowych przez administratora – do czasu wystąpienia przez którąkolwiek ze stron z roszczeniem na drogę sądową lub do czasu przedawnienia tego roszczenia – będzie zgodne z art. 6 ust. 1 lit. f RODO”.
Oznacza to, że jeśli istnieje realne zagrożenie powództwa o dyskryminację, pracodawca może przechowywać dane kandydatów – ale tylko do celów obrony prawnej i nie dłużej niż 3 lata.
❗ PUODO kontra sądy administracyjne
W omawianej sprawie Prezes UODO uznał, że spółka nie miała podstaw do przetwarzania danych kandydatki po zakończeniu rekrutacji i nałożył na nią upomnienie.
PUODO argumentował, że:
- nie wykazano konkretnych roszczeń,
- przetwarzanie miało charakter „na zapas”,
- naruszono obowiązki informacyjne wobec kandydata.
Jednak Wojewódzki Sąd Administracyjny oraz Naczelny Sąd Administracyjny uchyliły tę decyzję, wskazując, że:
- istnieją przypadki, w których przechowywanie danych po rekrutacji jest legalne,
- interes pracodawcy może przeważać, jeśli chodzi o zabezpieczenie się na wypadek procesu,
- termin przechowywania musi być zgodny z okresem przedawnienia roszczeń z kodeksu pracy (3 lata).
🧩 Drugi przykład praktyczny
Firma handlowa „EuroMebel” z Gdyni rekrutowała pracownika do działu sprzedaży. Jeden z kandydatów twierdził, że został pominięty w procesie rekrutacyjnym ze względu na wiek i zagroził złożeniem pozwu. Firma, mimo braku pozwu, zdecydowała się przechowywać jego dane przez 3 lata, opierając się na art. 6 ust. 1 lit. f RODO.
Po 2 latach kandydat rzeczywiście złożył pozew o dyskryminację. Dzięki zachowanej dokumentacji (m.in. ocenie kompetencji, zapisie rozmowy kwalifikacyjnej) firma była w stanie udowodnić, że decyzja miała charakter merytoryczny i nie była podyktowana wiekiem.
⏳ Limit przechowywania danych kandydatów: maksymalnie 3 lata
Zgodnie z art. 291 § 1 Kodeksu pracy:
„Roszczenia ze stosunku pracy ulegają przedawnieniu z upływem 3 lat od dnia, w którym roszczenie stało się wymagalne.” 📜
W przypadku rekrutacji, jeśli kandydat uważa, że został potraktowany dyskryminująco, ma prawo w ciągu tych 3 lat domagać się odszkodowania (art. 183d k.p.). Pracodawca musi więc mieć możliwość obrony, co uzasadnia przechowywanie dokumentacji rekrutacyjnej przez ten okres.
📌 Zatem: dane można przechowywać maksymalnie przez 3 lata od dnia zakończenia procesu rekrutacji.
🛑 Po upływie 3 lat – obowiązkowe usunięcie danych
Po tym czasie wszelkie dane osobowe kandydatów muszą zostać usunięte, niezależnie od tego, czy doszło do sporu sądowego, czy nie.
Przechowywanie danych „na zapas”, bez realnego zagrożenia sporu i poza okresem przedawnienia, jest sprzeczne z zasadą minimalizacji przetwarzania danych (art. 5 ust. 1 lit. c RODO).
🔧 W praktyce: zaleca się stworzenie wewnętrznej polityki przetwarzania danych kandydatów z jasno określonymi terminami ich usuwania.
🧩 Przykład praktyczny
Firma transportowa „GreenTrack” zakończyła rekrutację kierowców w marcu 2022 r. Dane kandydatów, którzy nie zostali zatrudnieni, zostały zachowane do marca 2025 r. W wewnętrznej dokumentacji określono, że:
- przechowywanie służy wyłącznie zabezpieczeniu przed roszczeniami z tytułu dyskryminacji,
- dane będą usunięte po 3 latach,
- kandydaci otrzymali informację o tym celu i czasie przechowywania danych.
📌 To przykład zgodnego z prawem postępowania – firma spełnia zasadę ograniczenia celu i czasu przetwarzania danych.
🔒 Jakie dane można przetwarzać i jak je zabezpieczyć?
🔍 Zakres danych
Pracodawca może przetwarzać wyłącznie dane, które:
- zostały przekazane dobrowolnie przez kandydata,
- są niezbędne do ewentualnej obrony przed roszczeniami,
- mieszczą się w zakresie określonym w art. 221 § 1 k.p., tj. m.in. imię, nazwisko, dane kontaktowe, kwalifikacje.
Nie ma podstaw do dalszego przetwarzania danych wrażliwych, jeśli nie są one konieczne do realizacji celu (np. dotyczących stanu zdrowia, poglądów religijnych).
🛡 Wymogi zabezpieczenia danych
Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO), pracodawca musi udowodnić, że:
- dane są przechowywane w odpowiednich systemach zabezpieczeń (szyfrowanie, pseudonimizacja, kontrola dostępu),
- dostęp do danych mają wyłącznie uprawnione osoby,
- stosowane są procedury audytowe.
📌 Obowiązek informacyjny wobec kandydatów
Pracodawca musi spełnić obowiązek informacyjny wynikający z art. 13 RODO, przekazując kandydatowi informacje m.in. o:
- tożsamości i danych kontaktowych administratora,
- celu przetwarzania danych,
- podstawie prawnej,
- okresie przechowywania,
- prawach osoby, której dane dotyczą.
💡 Błąd w informacji (np. brak adresu administratora) może skutkować upomnieniem ze strony PUODO, jak miało to miejsce w komentowanej sprawie.
⚖️ Wyrok NSA: dane mogą być przetwarzane w interesie także… kandydata!
NSA podkreślił w omawianym orzeczeniu, że przechowywanie danych może być nie tylko w interesie pracodawcy, ale i samego kandydata. Przykładowo:
Jeśli kandydat zdecyduje się wnieść pozew, może zażądać od pracodawcy przedstawienia dokumentacji rekrutacyjnej, w tym jego danych.
Zatem brak przechowywania takich danych mógłby utrudnić dochodzenie praw również kandydatowi.
📜 Przepisy prawne
- art. 6 ust. 1 lit. f, art. 5 ust. 1 lit. a, lit. b i lit. c, art. 13 – [RODO]
- art. 183b, art. 183d, art. 221 § 1, art. 291 § 1 – [Kodeks pracy]
✅ Podsumowanie: co powinien zrobić odpowiedzialny pracodawca?
✔ Zachowaj dane kandydatów maksymalnie przez 3 lata, jeśli chcesz się zabezpieczyć przed roszczeniami.
✔ Przeprowadź test równowagi interesów, jeśli chcesz powołać się na art. 6 ust. 1 lit. f RODO.
✔ Zabezpiecz dane, stosując środki techniczne i organizacyjne.
✔ Spełnij obowiązki informacyjne – zwłaszcza dotyczące celu i okresu przetwarzania.
✔ Usuń dane po 3 latach – nawet jeśli kandydat nie wystąpił z roszczeniem.
📚Podstawa prawna
- art. 6 ust. 1 lit. f, art. 5 ust. 1 lit. a–c, art. 13, art. 15 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
- art. 221 § 1, art. 183b § 1 pkt 1, art. 183d, art. 291 § 1 – Ustawa z dnia 26 czerwca 1974 r. – Kodeks pracy
🔖Tematy porad zawartych w poradniku
- dane kandydatów po rekrutacji
- przetwarzanie danych po zakończeniu naboru
- RODO a przechowywanie CV
- dyskryminacja w rekrutacji
- test równowagi interesów RODO