W przypadku danych kandydatów, którzy nie zostali przyjęci, rozporządzenie RODO nie określa stałego okresu przechowywania. Rozporządzenie nakłada jedynie zasadę ograniczenia przechowywania: dane mogą być przechowywane tylko przez okres niezbędny do osiągnięcia celu, w którym zostały zebrane. Urząd Ochrony Danych Osobowych precyzuje to dla praktyki rekrutacyjnej, rekomendując okres czterech tygodni od zakończenia procedury, z możliwością przedłużenia do maksymalnie jednego roku, jeśli kandydat wyraźnie na to wyrazi zgodę.
W praktyce oznacza to, że CV, list motywacyjny, notatki z rozmów oraz ewentualne wyniki testów kandydata odrzuconego należy standardowo usunąć w ciągu tych czterech tygodni, chyba że wyraźnie i oddzielnie poprosiłeś o zgodę kandydata na dłuższe przechowywanie jego danych, na przykład w związku z przyszłą wakatem.
Dlaczego ten okres nie jest określony w samym prawie
RODO nie określa konkretnej liczby tygodni lub miesięcy dla większości rodzajów danych. Prawodawca wybrał normę otwartą: nie przechowuj dłużej niż konieczne, a jeśli nie możesz uzasadnić celu, dane muszą być usunięte lub zanonimizowane. W odniesieniu do szczególnych sytuacji, takich jak procedury rekrutacyjne, organy nadzoru opublikowały praktyczne wytyczne zawierające konkretny zalecany okres. Nie jest to obowiązek prawny w sensie artykułu zawierającego konkretną liczbę, ale stanowi miarę, według której Urząd Ochrony Danych Osobowych ocenia, czy okres przechowywania jest uzasadniony.
To rozróżnienie jest istotne dla sposobu, w jaki to dokumentujesz wewnętrznie: nie możesz powołać się na "ustawowy okres czterech tygodni", ponieważ taki nie jest określony w RODO. Możesz się powołać na wytyczne organu nadzoru i wyjaśnić, dlaczego przyjmujesz ten okres jako wytyczną.
Zgoda na dłuższe przechowywanie
Jeśli chcesz przechowywać CV kandydata przez dłuższy czas, na przykład dlatego że profile wydają się do siebie pasować i wkrótce może się pojawić podobna wakanta, wyraźna zgoda kandydata jest standardową drogą. Tę zgodę prosisz osobno, niezależnie od samej rekrutacji, a kandydat musi móc ją cofnąć równie łatwo, jak ją udzielić. Bez tej zgody nie ma podstawy do dłuższego przechowywania danych kandydata odrzuconego, a to dotyczy również sytuacji, w której przechowujesz dane jedynie w szufladzie lub folderze cyfrowym "na później".
Zaleca się powiązanie prośby o zgodę z konkretnym okresem, na przykład rokiem, zamiast okresu otwartego. Kandydat, który wyrazi zgodę, wie wówczas również, kiedy jego dane zostaną automatycznie usunięte.
Co dokumentujesz na ten temat
Ten okres przechowywania powinien być nie tylko w twojej głowie, ale również w rejestrze przetwarzania danych: jakie dane kandydatów przetwarzasz, w jakim celu, przez ile czasu je przechowujesz i na podstawie której podstawy prawnej ewentualne przedłużenie się odbywa. To ułatwia również tobie samemu strukturalne usuwanie danych zamiast ich przechowywania "bo nie było dotychczas powodu do ich usunięcia". W bazie wiedzy na temat okresów przechowywania dla poszczególnych rodzajów danych znajdziesz obok danych kandydatów również okresy obowiązujące dla innych akt personalnych i danych administracyjnych.
Warto nie tracić z oczu tego ustalenia w kontekście reszty procesów HR. Osoba odpowiadająca za procedurę rekrutacyjną zwykle powinna również zadbać o to, aby CV kandydatów odrzuconych faktycznie zniknęło ze skrzynek pocztowych, folderów współdzielonych i systemu ATS, a nie tylko z pierwszego systemu, który przychodzi na myśl.
Inne dane pracownicze podlegają innym okresom przechowywania
Termin na dane kandydatów, którzy nie zostali zatrudnieni, jest niezależny od okresów przechowywania danych obowiązujących po zatrudnieniu pracownika. Dane dotyczące wynagrodzeń, umowy i dokumenty podatkowe pracowników podlegają innym zasadom, często z ustawowym obowiązkiem przechowywania wynikającym z przepisów podatkowych, a nie z RODO. Kto chce zobaczyć to obok siebie, znajdzie w odpowiedziach na pytania dotyczące danych pracowników przegląd najczęstszych sytuacji.
To czy konkretny okres przechowywania odpowiada Twojej sytuacji, jaką formę zgody najlepiej stosować i jak to wewnętrznie zabezpieczyć, to ostatecznie coś, co najlepiej uzgodnić z prawnikiem lub, w przypadku wątpliwości dotyczących stosowania ustawy, z Urzędem Ochrony Danych Osobowych. To, co oferujemy, to struktura: miejsce, w którym ten okres automatycznie biegnie w Twoim rejestrze, zamiast abyś musiał o nim pamiętać. Więcej na temat tego, jak działa połączenie między rejestrem a terminem, przeczytasz w wyjaśnieniu dotyczącym działania systemu.
Jeśli chcesz wiedzieć, czy Twój obecny sposób przechowywania danych kandydatów jest spójny z tym, jak inne firmy MKB to realizują, wykonaj bezpłatny szybki przegląd lub przejrzyj tematy w bazie wiedzy. Oba są dostępne bez konta i dadzą Ci w kilka minut pierwsze wyobrażenie o Twojej sytuacji.