Wiele osób odruchowo dokleja do CV zdjęcie, wpisuje PESEL albo stan cywilny, a na dole dodaje formułkę o zgodzie na przetwarzanie danych. Urząd Ochrony Danych Osobowych w materiale „ABC rekrutacji” z 6 lipca 2026 r. przypomina, że lista danych, których pracodawca może żądać od kandydata, jest zamknięta, a część rutynowych dopisków jest zbędna. Co mówi Kodeks pracy, kiedy potrzebna jest zgoda i co dzieje się z CV po naborze — a na końcu możesz sprawdzić, czy wiesz, jak chronić swoje dane, szukając pracy.
Punktem wyjścia jest art. 22¹ § 1 Kodeksu pracy. Zgodnie z nim pracodawca żąda od osoby ubiegającej się o zatrudnienie tylko kilku rodzajów informacji:
Trzy ostatnie pozycje mają dodatkowe zastrzeżenie: pracodawca może o nie prosić tylko wtedy, gdy są niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. UODO podkreśla, że katalog jest zamknięty. Firma nie powinna więc zbierać danych nadmiarowych ani gromadzić ich „na zapas”, bez konkretnego, zgodnego z prawem celu.
Urząd wprost wymienia przykłady informacji, które kandydaci często podają z przyzwyczajenia, choć nikt nie może ich wymagać: stan cywilny, numer PESEL, miejsce urodzenia, a nawet imiona rodziców. Do tej grupy należy też zdjęcie — przepisy Kodeksu pracy nie nakładają na kandydata obowiązku przekazania pracodawcy swojej fotografii. Co ważne, pracodawca nie może również sugerować, jakie dodatkowe dane warto mu przesłać.
Osobna sprawa to kwestie karne. Według UODO pracodawca nie może pytać kandydata o toczące się, niezakończone postępowania karne, bo nie mieszczą się one w katalogu z Kodeksu pracy. Nie obejmuje ich też Krajowy Rejestr Karny. Jeśli natomiast dane stanowisko wymaga niekaralności, pracodawca może uzyskać informację w tym zakresie.
Nie oznacza to, że fotografii w CV umieszczać nie wolno. Jeżeli kandydat sam, z własnej inicjatywy, przekaże dane spoza katalogu, ich przetwarzanie może opierać się na zgodzie. Ta musi spełniać warunki z RODO: być dobrowolnym, konkretnym, świadomym i jednoznacznym okazaniem woli. W poradniku dla pracodawców z października 2018 r. UODO wyjaśniał, że taką zgodę można wyrazić samym działaniem, na przykład wysyłając życiorys i list motywacyjny.
Ostrożniej trzeba podchodzić do danych szczególnych kategorii, czyli tak zwanych danych wrażliwych. Według tego samego poradnika zgoda na ich przetwarzanie powinna być wyraźna, na przykład w formie odrębnego oświadczenia. Jeśli jej brak, a pracodawca nie ma przepisu, który pozwalałby mu takie dane przetwarzać, powinien je usunąć.
Wiele szablonów życiorysów wciąż kończy się zdaniem „Wyrażam zgodę na przetwarzanie moich danych osobowych…”. UODO zauważa, że do przetwarzania danych z kodeksowego katalogu zgoda nie jest potrzebna, a umieszczanie jej w CV lub liście motywacyjnym nie jest właściwą praktyką. Podstawą jest tu sam przepis prawa pracy.
Zgoda ma sens w szczególnych sytuacjach. Najczęstsza to chęć wzięcia udziału w kolejnych naborach u tego samego pracodawcy.
Pracodawca może przechowywać CV z myślą o przyszłych rekrutacjach, ale tylko za zgodą kandydata, udzieloną na określony czas i jako jego świadomy wybór. Poradnik z 2018 r. dodaje, że zgodę na przetwarzanie danych w celach rekrutacyjnych można wycofać w dowolnym momencie, a sposób jej wycofania powinien być równie łatwy jak jej wyrażenie.
Gdy pracodawca dokona wyboru, cel rekrutacji ustaje i dane pozostałych kandydatów co do zasady nie powinny być dalej przetwarzane. Wyjątkiem są inne cele mające podstawę prawną, na przykład archiwizacja. Jeśli zaś dojdzie do sporu o niezatrudnienie, w grę wchodzi przetwarzanie danych w celu dochodzenia roszczeń.
UODO nie wskazuje jednego, sztywnego terminu przechowywania CV. W poradniku z 2018 r. zaznaczał natomiast, że dane osoby, z którą nie podpisano umowy, należy usunąć niezwłocznie po zakończeniu procesu, a trzymanie ich „na wszelki wypadek”, z obawy przed ewentualnymi roszczeniami, jest niedopuszczalne. Okres przechowywania pracodawca powinien zresztą podać kandydatowi z góry.
Zgodnie z art. 5 RODO dane mają być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty. Pracodawca, jako administrator, musi już w chwili zbierania danych poinformować kandydata m.in. o swojej nazwie i adresie siedziby, celu i podstawie prawnej przetwarzania oraz okresie przechowywania. Może to zrobić w treści ogłoszenia albo w informacji zwrotnej po otrzymaniu aplikacji. Z tego powodu poradnik z 2018 r. uznawał tzw. rekrutacje ukryte, w których pracodawca pozostaje anonimowy, za niezgodne z przepisami o ochronie danych.
Kandydat ma też konkretne narzędzia, by pilnować swoich informacji:
Granice dotyczą także sprawdzania kandydata. Złożenie referencji nie uprawnia pracodawcy do kontaktu z ich autorem w celu zdobycia dodatkowych informacji, a źródłem wiedzy o przebiegu pracy powinien być sam kandydat. Według poradnika z 2018 r. gromadzenie przez pracodawców i agencje informacji o kandydatach z mediów społecznościowych jest co do zasady niedopuszczalne.
Pracodawca może żądać od kandydata tylko danych z art. 22¹ § 1 Kodeksu pracy, a wykształcenia, kwalifikacji i przebiegu zatrudnienia — wyłącznie gdy są niezbędne na danym stanowisku. Zdjęcie, PESEL czy stan cywilny to dobrowolny dodatek, a klauzula zgody na dole CV jest zbędna, chyba że chodzi o udział w przyszłych naborach. Po zakończeniu rekrutacji dane nie powinny leżeć w szufladzie bez powodu, a kandydat może zapytać, co się z nimi dzieje.
5 pytań · minuta
poleca:
