RODO w rekrutacji — jakich danych może żądać pracodawca
Ten tekst jest częścią przewodnika Zmiany w prawie pracy 2026 — co dotyczy osoby szukającej pracy.
RODO w rekrutacji to zestaw zasad, według których pracodawca zbiera, przechowuje i usuwa dane osobowe kandydata: wolno mu pozyskać wyłącznie te informacje, które są niezbędne do wyboru pracownika, a ich listę wyznacza Kodeks pracy — nie pomysłowość działu HR. Poniżej znajdziesz katalog danych, których wolno od Ciebie żądać, pytania, na które nie musisz odpowiadać, oraz gotowe pismo o usunięcie danych po zakończonym naborze. Tekst nie jest poradą prawną — w sporze z pracodawcą opieraj się na treści przepisów i stanowisku Prezesa UODO.
Jakich danych może żądać pracodawca od kandydata
Pracodawca może żądać od kandydata sześciu kategorii danych: imienia i nazwiska, daty urodzenia, danych kontaktowych, a także wykształcenia, kwalifikacji zawodowych i przebiegu dotychczasowego zatrudnienia, gdy są niezbędne na danym stanowisku. Katalog jest zamknięty i wynika z art. 22(1) Kodeksu pracy. Rekrutacja i zatrudnienie to dwa osobne etapy z różnym zakresem danych — większość sporów bierze się właśnie z ich mylenia.
| Dane | Kandydat w rekrutacji | Pracownik po zatrudnieniu |
|---|---|---|
| Imię i nazwisko | tak | tak |
| Data urodzenia | tak | tak |
| Dane kontaktowe wskazane przez Ciebie | tak | tak |
| Wykształcenie | tylko gdy niezbędne na stanowisku | tak |
| Kwalifikacje zawodowe | tylko gdy niezbędne na stanowisku | tak |
| Przebieg dotychczasowego zatrudnienia | tylko gdy niezbędne na stanowisku | tak |
| Adres zamieszkania | nie | tak |
| Numer PESEL | nie | tak |
| Numer rachunku bankowego | nie | tak |
| Dane dzieci i najbliższej rodziny | nie | tylko dla uprawnień pracowniczych |
Sformułowanie „dane kontaktowe wskazane przez taką osobę” pochodzi wprost z przepisu: to Ty decydujesz, czy podasz e-mail, telefon, czy jedno i drugie. Adres zamieszkania nie jest w rekrutacji daną kontaktową.
Trzy pozycje ze środka tabeli — wykształcenie, kwalifikacje i przebieg zatrudnienia — pracodawca może wymagać tylko wtedy, gdy są niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Przy prostych pracach fizycznych żądanie skanu dyplomu bywa nadmiarowe. Co z tego wynika dla samego dokumentu, rozwija poradnik o tym, jakie dane osobowe w CV podać, a jakich nie.
Na etapie naboru firma nie ma też podstawy, by żądać skanów świadectw i dyplomów. Dokumenty potwierdzające historię zatrudnienia przedstawiasz dopiero przy zawieraniu umowy, a co zawiera świadectwo pracy i jak je sprostować, opisujemy osobno.
RODO w rekrutacji: o co pracodawca nie może pytać
Pracodawca nie może pytać o życie prywatne, przekonania, zdrowie ani karalność, jeśli żaden przepis szczególny nie pozwala mu wymagać takich danych na konkretnym stanowisku. Poza katalogiem z Kodeksu pracy znajdują się pytania, które na rozmowach padają najczęściej:
- stan cywilny, liczba dzieci, ciąża, plany rodzicielskie, sytuacja mieszkaniowa,
- wyznanie, poglądy polityczne, przynależność do związku zawodowego,
- pochodzenie etniczne i orientacja seksualna,
- stan zdrowia i stopień niepełnosprawności — poza badaniami wstępnymi kierowanymi przez pracodawcę oraz sytuacją, gdy sam powołujesz się na szczególne uprawnienia,
- karalność, chyba że przepis szczególny wprost pozwala jej wymagać na danym stanowisku (praca z dziećmi, sektor finansowy, ochrona osób i mienia),
- dane biometryczne, sytuacja majątkowa i zobowiązania kredytowe.
Granica jest cieńsza, niż się wydaje: to samo, co rekruter chce ustalić pytaniem zakazanym, zwykle da się sprawdzić pytaniem o wymagania stanowiska.
Jeżeli usłyszysz pierwszą wersję, możesz odmówić odpowiedzi albo przekierować rozmowę na zakres obowiązków. Odmowa podania danych spoza katalogu nie może być podstawą niekorzystnego traktowania ani powodem odrzucenia kandydatury.
Nie wszystko jednak jest zakazane. Pytanie o termin, w którym możesz zacząć, jest w porządku — odpowiedź wynika po prostu z Twojego okresu wypowiedzenia. Legalne jest też pytanie o oczekiwania finansowe, bo kwota nie jest daną osobową z katalogu; jak ją wyliczyć, tłumaczy poradnik o tym, ile realnie żądać wobec najniższej krajowej. Ta sama jawność działa w drugą stronę — możesz poprosić o pełne warunki zatrudnienia przed decyzją, a gdy masz na stole dwie propozycje, porównanie dwóch ofert pracy na liczbach (stawka, forma umowy, koszty dojazdu) daje pewniejszy wynik niż wrażenie z rozmowy.
Czy zgoda kandydata rozszerza katalog danych
Zgoda rozszerza katalog tylko w wąskim zakresie: pozwala przetwarzać dane spoza art. 22(1) Kodeksu pracy wyłącznie wtedy, gdy jest naprawdę dobrowolna, a części danych nie legalizuje w ogóle. Jest przy tym najczęściej nadużywanym elementem RODO w rekrutacji, dlatego Kodeks pracy stawia jej trzy granice:
- Brak zgody albo jej wycofanie nie może rodzić żadnych negatywnych konsekwencji, w tym odrzucenia aplikacji.
- Zgoda nie legalizuje danych o wyrokach skazujących i naruszeniach prawa — tu potrzebna jest wyraźna podstawa ustawowa.
- Dane szczególnej kategorii, takie jak zdrowie, przekonania czy biometria, pracodawca może przetwarzać na podstawie zgody wyłącznie wtedy, gdy przekazujesz je z własnej inicjatywy.
Praktyczny test wygląda tak: jeśli w formularzu aplikacyjnym pole „PESEL” jest oznaczone gwiazdką jako obowiązkowe, to nie jest zgoda, tylko warunek udziału w rekrutacji — a więc naruszenie.
Jak długo pracodawca może przechowywać Twoje CV
RODO nie podaje sztywnego terminu, tylko zasadę ograniczenia przechowywania: dane trzyma się nie dłużej, niż wymaga tego cel, w którym zostały zebrane. Cel „ta konkretna rekrutacja” kończy się z chwilą obsadzenia stanowiska, więc odrzucone aplikacje powinny wtedy zniknąć z dysków i skrzynek. Wyjątki są dwa:
- zgoda na przyszłe rekrutacje — odrębna, świadoma i z określonym horyzontem czasowym, w praktyce najczęściej od 6 do 12 miesięcy. Wyrażasz ją przez klauzulę RODO w CV albo osobny checkbox w formularzu;
- obrona przed roszczeniami o nierówne traktowanie przy naborze, które przedawniają się po 3 latach. Wtedy firma powinna ograniczyć zakres przechowywanych danych do minimum i wskazać ten okres w klauzuli informacyjnej.
Ogłoszenie bez nazwy firmy niczego tu nie zmienia. Najpóźniej w chwili zbierania danych musisz dostać komplet informacji: kto jest administratorem, w jakim celu i na jakiej podstawie przetwarza dane, jak długo je przechowuje i jakie masz prawa. Anonimowy nadawca ogłoszenia nie jest zwolniony z tego obowiązku — musi się ujawnić najpóźniej w momencie, w którym wysyłasz aplikację.
Prawo do usunięcia danych, dostępu i skargi do UODO
Jako kandydat możesz zażądać kopii swoich danych, sprostować błędy, ograniczyć przetwarzanie, wnieść sprzeciw, wycofać zgodę i zażądać usunięcia danych. Administrator odpowiada bez zbędnej zwłoki, najpóźniej w ciągu miesiąca; przy skomplikowanym żądaniu może przedłużyć termin o kolejne dwa miesiące, ale musi Cię o tym uprzedzić. Pismo wysyłasz na adres z klauzuli informacyjnej albo do inspektora ochrony danych.
„Na podstawie art. 17 RODO żądam usunięcia moich danych osobowych przetwarzanych w związku z rekrutacją na stanowisko [nazwa stanowiska], do której aplikowałam 12 czerwca 2026 r. Jednocześnie wycofuję zgodę na przetwarzanie moich danych w przyszłych procesach rekrutacyjnych. Proszę o potwierdzenie usunięcia danych oraz o informację, czy zostały one przekazane innym odbiorcom.”
Jeśli po miesiącu nie ma odpowiedzi albo firma odmawia bez podstawy, złóż skargę do Prezesa Urzędu Ochrony Danych Osobowych — formularz i adres znajdziesz na uodo.gov.pl. Postępowanie jest bezpłatne, nie wymaga pełnomocnika, a dowód nadania wcześniejszego żądania do administratora bardzo je przyspiesza.
Rekrutacja z użyciem algorytmów — czego możesz się domagać
Możesz domagać się interwencji człowieka, przedstawienia własnego stanowiska i zakwestionowania rozstrzygnięcia, jeżeli decyzja o odrzuceniu opiera się wyłącznie na zautomatyzowanym przetwarzaniu i wywołuje wobec Ciebie istotne skutki. Sama automatyczna selekcja aplikacji jest legalna, ale to najświeższy front sporów o RODO w rekrutacji i ma wyraźne granice. Pracodawca musi też z góry poinformować, że stosuje takie rozwiązanie, i wyjaśnić zasady jego działania — nie chodzi o kod źródłowy, lecz o zrozumiały opis kryteriów.
W większości firm system tylko porządkuje i punktuje aplikacje, a decyzję podejmuje rekruter. Wtedy przepis o decyzjach w pełni zautomatyzowanych nie ma zastosowania, ale obowiązek informacyjny obowiązuje tak samo. Nic nie stoi na przeszkodzie, żeby zapytać wprost na pierwszej rozmowie, czy selekcja odbywała się automatycznie i na jakich kryteriach. Od strony technicznej temat rozwija poradnik o tym, jak algorytm ocenia CV.
Osobno rozwijają się przepisy o sztucznej inteligencji: systemy używane do rekrutacji i selekcji kandydatów zaliczono do kategorii wysokiego ryzyka, co nakłada dodatkowe obowiązki na ich dostawców i na pracodawców. Terminy stosowania poszczególnych obowiązków są rozłożone w czasie i zależą od kolejnych etapów wdrożenia, więc bieżący stan warto sprawdzać w podsumowaniu zmian w prawie pracy w 2026 roku oraz w oficjalnych komunikatach. Zanim wyślesz aplikację, przejrzyj dokument w kreatorze CV i skasuj pola, których na tym etapie nikt nie ma prawa od Ciebie wymagać.
Checklista
Częste pytania
Czy pracodawca może wymagać numeru PESEL w CV?
Nie na etapie rekrutacji. PESEL, adres zamieszkania i numer rachunku bankowego pracodawca może pozyskać dopiero od osoby zatrudnionej, gdy są potrzebne do zgłoszenia do ubezpieczeń i wypłaty wynagrodzenia. Jeśli formularz aplikacyjny wymusza PESEL jako pole obowiązkowe, wykracza poza katalog z Kodeksu pracy.
Jak długo pracodawca może przechowywać moje CV po rekrutacji?
RODO nie wskazuje sztywnego terminu, tylko zasadę ograniczenia przechowywania: dane można trzymać nie dłużej, niż wymaga tego cel. Cel kończy się z chwilą obsadzenia stanowiska, więc odrzucone aplikacje powinny zostać usunięte. Dłużej wolno je przechowywać przy Twojej zgodzie na przyszłe rekrutacje lub dla obrony przed roszczeniami o nierówne traktowanie.
Czy muszę zgodzić się na udział w przyszłych rekrutacjach?
Nie. To odrębna, całkowicie dobrowolna zgoda i jej brak nie może wpłynąć na ocenę kandydatury. Możesz ją wycofać w każdej chwili jednym e-mailem do administratora, a wycofanie nie działa wstecz, ale zobowiązuje firmę do zaprzestania dalszego przetwarzania.
Czy pracodawca może pytać o dzieci i plany macierzyńskie?
Nie. Stan cywilny, liczba dzieci, ciąża i plany rodzicielskie są poza katalogiem danych, których wolno żądać od kandydata, a pytanie o nie może stanowić przejaw dyskryminacji. Możesz odmówić odpowiedzi, a odmowa nie może być powodem odrzucenia kandydatury.
Gdzie zgłosić naruszenie RODO w rekrutacji?
Skargę składasz do Prezesa Urzędu Ochrony Danych Osobowych — pocztą, przez ePUAP albo elektroniczny formularz na uodo.gov.pl. Postępowanie jest bezpłatne i nie wymaga pełnomocnika. Wcześniej warto wysłać żądanie bezpośrednio do administratora i zachować dowód nadania.