RODO w kadrach: Jak legalnie przetwarzać dane kandydatów i pracowników?

Stan prawny: 4 października 2026 r.

Dział HR przetwarza dane osobowe jeszcze zanim powstanie stosunek pracy. Pierwsze informacje pojawiają się już w CV, formularzu rekrutacyjnym lub podczas kontaktu z kandydatem, a po zatrudnieniu zakres danych potrzebnych pracodawcy ulega rozszerzeniu.

Nie oznacza to jednak, że pracodawca może zbierać wszystkie informacje, które uzna za przydatne. Kodeks pracy dokładnie określa, jakich danych można żądać od osoby ubiegającej się o zatrudnienie, jakich dodatkowych danych można żądać od pracownika oraz kiedy podstawą przetwarzania może być zgoda.

Dla HR szczególnie ważne jest rozróżnienie:

• danych, których pracodawca może lub powinien żądać na podstawie przepisów,
• danych dodatkowych, których przetwarzanie może opierać się na zgodzie,
• danych szczególnych kategorii, dla których obowiązują znacznie bardziej restrykcyjne zasady,
• danych, których pracodawca nie powinien pozyskiwać bez szczególnej podstawy prawnej.

Przetwarzanie danych osobowych jest jednym z elementów całej obsługi zatrudnienia – od rekrutacji i zawarcia umowy, przez prowadzenie dokumentacji, aż po zakończenie stosunku pracy. Szerszy zakres obowiązków działu HR omawiamy w poradniku stosunek pracy – obowiązki kadr i HR krok po kroku.

1. Dane osobowe w HR – zacznij od zasady minimalizacji

Jedną z podstawowych zasad RODO jest zasada minimalizacji danych.

Oznacza ona, że dane powinny być:

• adekwatne,
• stosowne,
• ograniczone do tego, co jest niezbędne do celu ich przetwarzania.

Dla działu HR praktyczna zasada powinna brzmieć:

nie zbieraj danych dlatego, że „mogą się kiedyś przydać”. Najpierw ustal cel i podstawę prawną, a dopiero później zakres danych.

Dotyczy to zarówno formularza aplikacyjnego, jak i kwestionariusza osobowego, systemu HR, teczki pracownika czy danych przekazywanych do zewnętrznych dostawców.

↑ Wróć do spisu treści

2. Jakich danych osobowych można żądać od kandydata?

Zgodnie z art. 22¹ § 1 Kodeksu pracy pracodawca żąda od osoby ubiegającej się o zatrudnienie danych obejmujących:

1. imię lub imiona i nazwisko,
2. datę urodzenia,
3. dane kontaktowe wskazane przez kandydata,
4. wykształcenie,
5. kwalifikacje zawodowe,
6. przebieg dotychczasowego zatrudnienia.

Ten katalog nie oznacza jednak, że wszystkie sześć kategorii trzeba automatycznie pobierać od każdej osoby aplikującej.

W przypadku wykształcenia, kwalifikacji zawodowych i przebiegu dotychczasowego zatrudnienia Kodeks pracy wprowadza dodatkowy warunek.

↑ Wróć do spisu treści

3. Wykształcenie, kwalifikacje i doświadczenie – tylko gdy są potrzebne

Pracodawca może żądać danych dotyczących:

• wykształcenia,
• kwalifikacji zawodowych,
• przebiegu dotychczasowego zatrudnienia

tylko wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub pracy na określonym stanowisku.

Przykład

Jeżeli określone wykształcenie albo uprawnienia są konieczne do wykonywania zawodu lub rzeczywiście mają znaczenie dla oceny przydatności do pracy, pracodawca może żądać odpowiednich informacji.

Inaczej należy podejść do rekrutacji na stanowisko, dla którego konkretny poziom wykształcenia nie ma żadnego znaczenia.

↑ Wróć do spisu treści

4. Czy można pytać kandydata o dotychczasowe wynagrodzenie?

Nie.

Od 24 grudnia 2025 r. Kodeks pracy wprost wyłącza z informacji o przebiegu dotychczasowego zatrudnienia dane dotyczące wynagrodzenia w:

• obecnym stosunku pracy,
• poprzednich stosunkach pracy.

HR nie powinien więc pytać:

• „Ile zarabia Pan/Pani obecnie?”,
• „Ile wynosiła pensja u poprzedniego pracodawcy?”,
• „Proszę przesłać ostatni pasek wynagrodzenia”,
• „O ile więcej oczekuje Pan/Pani w stosunku do obecnej pensji?”.

Zakaz powinien być uwzględniony nie tylko w formularzu rekrutacyjnym, ale również w scenariuszach rozmów używanych przez rekruterów i menedżerów.

Stare formularze HR wymagają aktualizacji

Jeżeli w firmowym formularzu nadal znajduje się rubryka:

„obecne wynagrodzenie”

albo:

„wynagrodzenie u ostatniego pracodawcy”,

należy ją usunąć.

↑ Wróć do spisu treści

5. Czy HR może pytać o oczekiwania finansowe?

Zakaz dotyczący historii wynagrodzeń nie oznacza zakazu rozmowy o wynagrodzeniu przyszłym.

Pracodawca może zapytać kandydata o jego oczekiwania finansowe dotyczące stanowiska, na które aplikuje.

Nie zwalnia to jednak pracodawcy z obowiązku przekazania kandydatowi informacji o:

• początkowej wysokości wynagrodzenia albo jego przedziale,
• odpowiednich postanowieniach układu zbiorowego pracy lub regulaminu wynagradzania – jeżeli mają zastosowanie.

Informacja o wynagrodzeniu powinna zostać przekazana z wyprzedzeniem pozwalającym na świadome i przejrzyste negocjacje.

↑ Wróć do spisu treści

6. Jakich danych HR nie powinien standardowo żądać od kandydata?

Jeżeli nie istnieje szczególna podstawa prawna, na etapie zwykłej rekrutacji nie powinno się wymagać m.in.:

• numeru PESEL,
• adresu zamieszkania,
• miejsca urodzenia,
• imion rodziców,
• stanu cywilnego,
• informacji o posiadaniu dzieci,
• planach rodzicielskich,
• informacji o ciąży,
• wyznaniu,
• poglądach politycznych,
• przynależności związkowej,
• stanie zdrowia – poza sytuacjami wynikającymi z właściwych przepisów,
• orientacji seksualnej,
• historii wynagrodzeń,
• informacji o toczących się postępowaniach karnych.

Nie oznacza to, że każda informacja spoza podstawowego katalogu jest absolutnie niedopuszczalna w każdej sytuacji. Znaczenie mają przepisy szczególne oraz zasady dotyczące zgody.

HR nie powinien jednak tworzyć formularza według zasady:

„zawsze zbieramy wszystko, a później zobaczymy, co będzie potrzebne”.

↑ Wróć do spisu treści

7. Czy kandydat musi mieć zdjęcie w CV?

Nie.

Kodeks pracy nie wymaga od kandydata przekazania zdjęcia.

Jeżeli kandydat z własnej inicjatywy zamieści fotografię w CV, przetwarzanie takiej dodatkowej zwykłej danej osobowej może opierać się na jego zgodzie.

Firma nie powinna jednak bezrefleksyjnie budować formularza aplikacyjnego z obowiązkowym polem:

„załącz aktualne zdjęcie”.

Należy najpierw ustalić, czy istnieje rzeczywista i prawnie uzasadniona potrzeba jego pozyskiwania.

Zdjęcie zwiększa również ryzyko dyskryminacyjne

Wizerunek może ujawnić lub sugerować informacje, które nie powinny mieć znaczenia przy wyborze pracownika.

Dlatego przy projektowaniu procesu rekrutacji warto rozważyć, czy zdjęcie w ogóle jest potrzebne osobom podejmującym decyzję o zatrudnieniu.

↑ Wróć do spisu treści

8. Referencje – czy można zadzwonić do poprzedniego pracodawcy?

Samo przedstawienie przez kandydata referencji nie oznacza automatycznie, że przyszły pracodawca może zadzwonić do ich autora i pozyskiwać dodatkowe informacje.

UODO wskazuje, że źródłem informacji o przebiegu dotychczasowego zatrudnienia powinien być przede wszystkim kandydat.

Jeżeli firma chce kontaktować się z osobą udzielającą referencji, proces powinien być odpowiednio zaprojektowany i oparty na właściwej podstawie prawnej.

Bezpiecznym rozwiązaniem organizacyjnym jest uzyskanie od kandydata jednoznacznej zgody na kontakt z konkretną wskazaną osobą w konkretnym celu.

Nie rób background checku „za plecami” kandydata

HR nie powinien samodzielnie wyszukiwać numeru do poprzedniego przełożonego i pytać:

• dlaczego kandydat odszedł,
• czy miał konflikty,
• ile zarabiał,
• czy często chorował,
• jak oceniano jego życie prywatne.

Takie działanie może prowadzić do pozyskania danych, których pracodawca nie ma podstaw przetwarzać.

↑ Wróć do spisu treści

9. Jakich dodatkowych danych można żądać od pracownika?

Po nawiązaniu stosunku pracy zakres danych ulega rozszerzeniu.

Zgodnie z art. 22¹ § 3 Kodeksu pracy pracodawca żąda dodatkowo danych obejmujących:

• adres zamieszkania,
• numer PESEL, a jeżeli pracownik go nie posiada – rodzaj i numer dokumentu potwierdzającego tożsamość,
• określone inne dane pracownika oraz członków jego najbliższej rodziny, jeżeli są potrzebne do korzystania ze szczególnych uprawnień przewidzianych w prawie pracy,
• wykształcenie i przebieg dotychczasowego zatrudnienia, jeżeli wcześniej nie istniała podstawa do ich żądania,
• numer rachunku płatniczego, jeżeli pracownik nie złożył wniosku o wypłatę wynagrodzenia do rąk własnych.

Nie używaj jednego kwestionariusza dla kandydata i pracownika

To jedna z najważniejszych zasad organizacyjnych.

Formularz dla osoby aplikującej powinien zawierać inny zakres danych niż dokument wypełniany przez osobę już zatrudnioną.

↑ Wróć do spisu treści

10. Dane dzieci i członków rodziny – nie zbieraj ich automatycznie

Pracodawca może żądać danych dzieci pracownika i innych członków jego najbliższej rodziny, jeżeli ich podanie jest konieczne ze względu na korzystanie przez pracownika ze szczególnych uprawnień przewidzianych w prawie pracy.

Nie oznacza to prawa do prowadzenia pełnej ewidencji rodzinnej każdego pracownika.

Najpierw uprawnienie, potem dane

Jeżeli pracownik chce skorzystać z określonego uprawnienia, pracodawca może pozyskać dane niezbędne do jego obsługi.

Nie należy jednak pobierać na pierwszym dniu zatrudnienia kompletu danych wszystkich dzieci i członków rodziny „na wszelki wypadek”.

↑ Wróć do spisu treści

11. Numer rachunku bankowego – czy potrzebna jest zgoda pracownika?

Co do zasady wynagrodzenie wypłaca się na wskazany przez pracownika rachunek płatniczy.

Pracownik może jednak złożyć wniosek o wypłatę wynagrodzenia do rąk własnych.

Jeżeli pracodawca przetwarza numer rachunku po to, aby prawidłowo wypłacać wynagrodzenie, nie potrzebuje dodatkowej zgody pracownika na przetwarzanie tego numeru w tym celu.

Podstawą przetwarzania jest realizacja obowiązków wynikających z prawa pracy.

↑ Wróć do spisu treści

12. Czy pracodawca może żądać innych danych niż wymienione w Kodeksie pracy?

Tak, jeżeli jest to niezbędne do:

• zrealizowania uprawnienia albo
• spełnienia obowiązku

wynikającego z przepisu prawa.

Podstawa może wynikać nie tylko z Kodeksu pracy, ale również z ustaw szczególnych dotyczących określonych stanowisk, zawodów czy sektorów.

Przykład

Przepisy szczególne mogą wymagać:

• określonych uprawnień zawodowych,
• sprawdzenia niekaralności,
• weryfikacji określonego rejestru,
• potwierdzenia kwalifikacji wymaganych do wykonywania regulowanego zawodu.

Nie należy jednak przenosić wymagań dotyczących jednego zawodu na wszystkich pracowników firmy.

↑ Wróć do spisu treści

13. Czy pracodawca może żądać dokumentów potwierdzających dane?

Udostępnienie pracodawcy danych osobowych następuje co do zasady w formie oświadczenia osoby, której dane dotyczą.

Pracodawca może jednak żądać udokumentowania danych wskazanych przez Kodeks pracy w zakresie niezbędnym do ich potwierdzenia.

Nie daje to prawa do kopiowania każdego przedstawionego dokumentu w całości.

Przykład

Jeżeli pracodawca ma podstawę do zweryfikowania określonego wykształcenia lub kwalifikacji, może żądać przedstawienia dokumentu potwierdzającego te informacje.

Zakres kopiowanych lub przechowywanych informacji powinien jednak odpowiadać rzeczywistej potrzebie.

Po zatrudnieniu właściwe dokumenty należy również prawidłowo zakwalifikować do dokumentacji pracowniczej. Pełny podział omawiamy w poradniku akta osobowe pracownika – części A–E i obowiązki kadr.

↑ Wróć do spisu treści

14. Zgoda pracownika lub kandydata – kiedy może być podstawą przetwarzania?

Zgoda może stanowić podstawę przetwarzania przez pracodawcę dodatkowych zwykłych danych osobowych niewymienionych w podstawowym katalogu Kodeksu pracy.

Może dotyczyć danych:

• przekazanych z inicjatywy kandydata lub pracownika,
• w określonych sytuacjach – przekazanych na wniosek pracodawcy.

Zgoda musi jednak spełniać wymagania RODO.

Powinna być:

• dobrowolna,
• konkretna,
• świadoma,
• jednoznaczna.

Brak zgody nie może szkodzić kandydatowi

Brak zgody albo jej wycofanie nie może prowadzić do niekorzystnego traktowania osoby.

Nie powinno więc działać rozwiązanie:

„podanie dodatkowej informacji jest dobrowolne, ale bez niej kandydat zostanie automatycznie odrzucony”.

Czy do zwykłego CV potrzebna jest klauzula zgody?

Do przetwarzania danych, których pracodawca ma prawo żądać na podstawie Kodeksu pracy w ramach bieżącej rekrutacji, dodatkowa zgoda nie jest potrzebna.

Popularne przez lata formuły typu:

„wyrażam zgodę na przetwarzanie moich danych osobowych w celu rekrutacji…”

nie są podstawą konieczną do przetwarzania podstawowego kodeksowego zakresu danych w aktualnej rekrutacji.

↑ Wróć do spisu treści

15. Dane szczególnych kategorii – znacznie surowsze zasady

RODO wyróżnia szczególne kategorie danych osobowych, obejmujące m.in. dane ujawniające:

• pochodzenie rasowe lub etniczne,
• poglądy polityczne,
• przekonania religijne lub światopoglądowe,
• przynależność do związków zawodowych,
• dane genetyczne,
• dane biometryczne przetwarzane w celu jednoznacznej identyfikacji,
• dane dotyczące zdrowia,
• dane dotyczące seksualności lub orientacji seksualnej.

W relacji pracowniczej zgoda na przetwarzanie tych danych może być podstawą tylko wtedy, gdy przekazanie danych nastąpiło z inicjatywy osoby ubiegającej się o zatrudnienie lub pracownika.

Pracodawca może oczywiście przetwarzać określone dane szczególnych kategorii również wtedy, gdy istnieje odpowiednia odrębna podstawa prawna – przykładem są niektóre obowiązki wynikające z prawa pracy czy medycyny pracy.

Ogranicz dostęp

Do przetwarzania danych, o których mowa w art. 22^1b Kodeksu pracy, mogą być dopuszczone osoby posiadające pisemne upoważnienie pracodawcy.

Osoby te są zobowiązane do zachowania danych w tajemnicy.

↑ Wróć do spisu treści

16. Dane biometryczne pracownika – czy można używać odcisku palca do ewidencji czasu pracy?

Przepisy przewidują szczególną możliwość przetwarzania danych biometrycznych pracownika, jeżeli ich podanie jest niezbędne ze względu na:

• kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, albo
• kontrolę dostępu do pomieszczeń wymagających szczególnej ochrony.

Nie oznacza to ogólnego prawa do stosowania biometrii w HR.

UODO konsekwentnie wskazuje, że dane biometryczne nie powinny być wykorzystywane wyłącznie po to, aby rejestrować godziny wejścia i wyjścia pracowników.

Lista obecności ≠ uzasadnienie dla biometrii

Cel polegający na ewidencjonowaniu czasu pracy można osiągnąć mniej ingerującymi metodami, np. za pomocą:

• identyfikatorów,
• kart,
• systemów informatycznych,
• innych rozwiązań niewymagających pobierania danych biometrycznych.

↑ Wróć do spisu treści

17. Czy pracodawca może żądać zaświadczenia o niekaralności?

Nie w każdej rekrutacji.

Dane dotyczące wyroków skazujących i czynów zabronionych podlegają szczególnym zasadom wynikającym z art. 10 RODO.

Zgoda kandydata nie jest uniwersalną podstawą umożliwiającą pracodawcy zbieranie informacji o karalności.

Pracodawca może żądać takich informacji, gdy wynika to z odpowiedniego przepisu prawa dotyczącego konkretnego stanowiska, zawodu lub rodzaju działalności.

Przykładowe pytanie kontrolne dla HR

Zanim w formularzu pojawi się:

„proszę przedstawić zaświadczenie o niekaralności”,

osoba prowadząca proces powinna wskazać konkretny przepis, z którego wynika prawo lub obowiązek weryfikacji karalności na tym stanowisku.

↑ Wróć do spisu treści

18. Czy można pytać o toczące się postępowanie karne?

UODO wskazuje, że pracodawca nie powinien żądać od kandydata informacji o toczących się i niezakończonych postępowaniach karnych oraz ich przebiegu.

Takie dane nie należą do podstawowego katalogu informacji, których można żądać podczas rekrutacji.

Sam fakt prowadzenia postępowania nie oznacza przecież prawomocnego skazania.

Dlatego pytanie:

„czy toczyło lub toczy się przeciwko Panu/Pani jakiekolwiek postępowanie karne?”

nie powinno być standardowym elementem firmowego kwestionariusza rekrutacyjnego.

↑ Wróć do spisu treści

19. Obowiązek informacyjny RODO wobec kandydata

Pracodawca występuje w procesie rekrutacji jako administrator danych osobowych i powinien zrealizować obowiązek informacyjny wynikający z RODO.

Kandydat powinien otrzymać w jasnej i łatwo dostępnej formie m.in. informacje dotyczące:

• tożsamości administratora,
• danych kontaktowych administratora,
• danych inspektora ochrony danych – jeżeli został wyznaczony i informacja jest wymagana,
• celów przetwarzania,
• podstaw prawnych,
• okresu przechowywania albo kryteriów jego ustalania,
• odbiorców lub kategorii odbiorców danych, jeżeli ma to zastosowanie,
• praw przysługujących osobie, której dane dotyczą,
• prawa wniesienia skargi do organu nadzorczego,
• innych informacji wymaganych przez art. 13 RODO.

Informację można przedstawić np. w systemie rekrutacyjnym, przy formularzu aplikacyjnym albo w czytelnej informacji przekazywanej kandydatowi podczas pozyskiwania danych.

Klauzula nie jest zgodą

To dwie różne rzeczy.

Klauzula informacyjna realizuje obowiązek administratora.

Zgoda może być jedną z podstaw przetwarzania określonych danych.

Nie należy łączyć tych pojęć w jeden checkbox typu:

„akceptuję RODO i wyrażam zgodę na wszystko”.

↑ Wróć do spisu treści

20. Czy można zachować CV do przyszłych rekrutacji?

Jeżeli pracodawca chce wykorzystać dane kandydata również w przyszłych, odrębnych procesach rekrutacyjnych, powinien posiadać odpowiednią podstawę prawną.

Typowym rozwiązaniem jest zgoda kandydata obejmująca przyszłe rekrutacje przez określony czas.

Powinna ona być:

• dobrowolna,
• wyraźnie oddzielona od udziału w bieżącej rekrutacji,
• odwoływalna,
• odpowiednio określona co do celu.

Nie uzależniaj obecnej rekrutacji od zgody na przyszłe procesy

Kandydat powinien mieć możliwość udziału w bieżącej rekrutacji bez wyrażania zgody na przechowywanie jego danych na potrzeby kolejnych naborów.

↑ Wróć do spisu treści

21. Co zrobić z danymi po zakończeniu rekrutacji?

Nie należy przyjmować zasady, że każde CV może bezterminowo pozostać w firmowej bazie kandydatów.

Po zakończeniu procesu HR powinien ustalić, czy nadal istnieje:

• cel przetwarzania,
• odpowiednia podstawa prawna.

Jeżeli cel bieżącej rekrutacji ustał, dane nie powinny być dalej przetwarzane wyłącznie dlatego, że „być może kandydat kiedyś się przyda”.

Trzeba jednocześnie uwzględnić, że w określonych sytuacjach może powstać inny cel i podstawa dalszego przetwarzania, np. związana z ustaleniem, dochodzeniem lub obroną przed roszczeniami.

Nie ma więc jednej uniwersalnej odpowiedzi:

„każde CV usuń następnego dnia”

ani:

„wszystkie CV przechowuj przez kilka lat”.

Okres retencji powinien wynikać z przeanalizowanego celu, podstawy prawnej i zasady minimalizacji.

↑ Wróć do spisu treści

22. Dane osobowe po zatrudnieniu a akta osobowe pracownika

Po zatrudnieniu część dokumentów i oświadczeń zawierających dane osobowe pracownika jest przechowywana w aktach osobowych.

Nie oznacza to jednak, że wszystkie informacje posiadane przez HR powinny znaleźć się w teczce A–E.

Rozporządzenie w sprawie dokumentacji pracowniczej określa zarówno strukturę akt osobowych, jak i dokumentację prowadzoną odrębnie.

Dokumenty związane z ubieganiem się o zatrudnienie, które zgodnie z przepisami powinny znaleźć się w aktach, są co do zasady kwalifikowane do części A, natomiast dokumentacja dotycząca nawiązania i przebiegu zatrudnienia trafia odpowiednio do części B.

Szczegółowy podział dokumentów oraz zasady prowadzenia teczki znajdziesz w artykule akta osobowe pracownika – części A–E i obowiązki kadr.

Przy rozpoczęciu zatrudnienia należy równolegle wykonać także obowiązki związane m.in. z badaniami lekarskimi pracownika oraz szkoleniem BHP przed dopuszczeniem do pracy.

↑ Wróć do spisu treści

23. Najczęstsze błędy HR przy przetwarzaniu danych kandydatów i pracowników

• stosowanie jednego kwestionariusza dla kandydata i zatrudnionego pracownika,
• żądanie PESEL od wszystkich kandydatów już na etapie przesyłania CV,
• żądanie adresu zamieszkania przed momentem, w którym istnieje podstawa jego pozyskania,
• obowiązkowe zbieranie informacji o stanie cywilnym,
• pytanie o posiadanie lub planowanie dzieci,
• pytanie o ciążę,
• pytanie o obecne lub poprzednie wynagrodzenie,
• pozostawienie pola „ostatnie wynagrodzenie” w starym formularzu rekrutacyjnym,
• wymaganie zdjęcia bez analizy podstawy i potrzeby,
• telefonowanie do poprzedniego pracodawcy bez odpowiednio zaprojektowanej podstawy prawnej,
• żądanie KRK od wszystkich pracowników,
• pytanie o toczące się postępowania karne,
• zbieranie danych dzieci wszystkich pracowników „na zapas”,
• używanie odcisku palca do zwykłej rejestracji czasu pracy,
• żądanie zgody na przetwarzanie danych, które pracodawca przetwarza na podstawie prawa,
• łączenie klauzuli informacyjnej RODO ze zgodą w jeden nieczytelny checkbox,
• uzależnianie udziału w rekrutacji od zgody na przyszłe nabory,
• bezterminowe przechowywanie CV byłych kandydatów,
• nadmierny dostęp pracowników HR i menedżerów do danych, które nie są im potrzebne.

↑ Wróć do spisu treści

Case study: jeden formularz rekrutacyjny i 9 problemów z danymi

Sytuacja: firma zatrudniająca 250 osób korzysta od kilku lat z jednego internetowego formularza rekrutacyjnego.

Kandydat na stanowisko specjalisty ds. zakupów musi obowiązkowo podać:

• imię i nazwisko,
• datę urodzenia,
• adres zamieszkania,
• PESEL,
• numer telefonu i e-mail,
• stan cywilny,
• liczbę dzieci,
• obecne wynagrodzenie,
• oczekiwane wynagrodzenie,
• informację o niekaralności,
• zdjęcie.

Na końcu formularza znajduje się obowiązkowy checkbox:

„Wyrażam zgodę na przetwarzanie wszystkich moich danych zgodnie z RODO”.

CV osób niezatrudnionych pozostają w systemie bez ustalonego terminu usunięcia.

Problem 1 – adres zamieszkania

Adres nie należy do podstawowego katalogu danych, których pracodawca żąda od każdej osoby ubiegającej się o zatrudnienie.

Firma powinna ustalić, dlaczego chce go posiadać już na tym etapie i czy istnieje właściwa podstawa do jego pozyskania.

Problem 2 – PESEL

Numer PESEL jest dodatkową daną pracownika, a nie standardową daną wymaganą od każdej osoby wysyłającej aplikację.

Nie powinien więc znajdować się jako obowiązkowe pole zwykłego formularza rekrutacyjnego.

Problem 3 – stan cywilny

Firma nie potrafi wskazać celu ani podstawy prawnej zbierania tej informacji.

Pole powinno zostać usunięte.

Problem 4 – liczba dzieci

Pracodawca może potrzebować określonych danych członków rodziny w związku z konkretnymi uprawnieniami pracownika.

Nie uzasadnia to zbierania informacji o dzieciach od wszystkich kandydatów do pracy.

Problem 5 – obecne wynagrodzenie

To szczególnie istotny błąd po zmianach obowiązujących od 24 grudnia 2025 r.

Pracodawca nie może żądać informacji o wynagrodzeniu w obecnym lub poprzednim stosunku pracy.

Pole powinno zostać natychmiast usunięte również ze wszystkich innych formularzy i scenariuszy rozmów.

Problem 6 – oczekiwane wynagrodzenie

Samo pytanie o oczekiwania finansowe dotyczące przyszłego stanowiska nie jest objęte zakazem dotyczącym historii płacowej.

Firma musi jednak niezależnie przekazać kandydatowi wymaganą informację o wynagrodzeniu przewidzianym na stanowisku.

Problem 7 – niekaralność

HR nie potrafi wskazać przepisu wymagającego niekaralności od specjalisty ds. zakupów.

Samo wewnętrzne przekonanie, że firma chce zatrudniać „wyłącznie osoby niekarane”, nie tworzy podstawy prawnej do zbierania takich danych.

Problem 8 – zdjęcie

Fotografia została ustawiona jako pole obowiązkowe bez analizy potrzeby jej pozyskania.

Firma powinna usunąć obowiązkowy charakter tego pola.

Problem 9 – checkbox „zgadzam się na RODO”

Checkbox nie naprawia nadmiernego zakresu formularza.

Zgoda nie jest uniwersalnym sposobem legalizowania każdego procesu HR.

Podstawowych danych z art. 22¹ Kodeksu pracy nie trzeba przetwarzać na podstawie zgody, a danych o karalności nie można po prostu zalegalizować zgodą kandydata.

Jak HR powinien naprawić proces?

Krok 1. Usunąć z formularza wszystkie pola, dla których firma nie może wskazać celu i podstawy prawnej.

Krok 2. Usunąć pytanie o obecne i poprzednie wynagrodzenie.

Krok 3. Rozdzielić formularz kandydata od kwestionariusza osoby zatrudnianej.

Krok 4. Dla każdego stanowiska ustalić, czy niezbędne jest pozyskanie informacji o wykształceniu, kwalifikacjach i doświadczeniu.

Krok 5. Utworzyć osobne procedury dla stanowisk, wobec których przepisy wymagają danych dodatkowych, np. weryfikacji niekaralności.

Krok 6. Zaktualizować klauzulę informacyjną RODO.

Krok 7. Oddzielić ewentualną zgodę na przyszłe rekrutacje od udziału w bieżącym procesie.

Krok 8. Ustalić zasady retencji danych kandydatów po zakończeniu rekrutacji.

Krok 9. Przeszkolić rekruterów i menedżerów z pytań niedopuszczalnych podczas rozmów.

Krok 10. Przeprowadzić audyt starych danych znajdujących się w systemie ATS.

Wniosek: legalności procesu nie zapewnia rozbudowana zgoda na dole formularza. Najpierw trzeba ograniczyć dane do zakresu odpowiadającego konkretnemu celowi i podstawie prawnej.

↑ Wróć do spisu treści

Porada eksperta: zbuduj matrycę danych HR zamiast jednego kwestionariusza

↑ Wróć do spisu treści

Checklista HR – dane osobowe kandydata i pracownika

Formularz rekrutacyjny

• ☐ zbieramy imię i nazwisko,
• ☐ zbieramy datę urodzenia tylko zgodnie z Kodeksem pracy,
• ☐ kandydat sam wskazuje dane kontaktowe,
• ☐ wykształcenia żądamy tylko wtedy, gdy jest potrzebne na stanowisku,
• ☐ kwalifikacji żądamy tylko wtedy, gdy są potrzebne,
• ☐ historii zatrudnienia żądamy tylko w niezbędnym zakresie,
• ☐ nie pytamy o poprzednie ani obecne wynagrodzenie.

Dane, które wymagają szczególnej kontroli

• ☐ formularz nie wymaga automatycznie PESEL,
• ☐ nie wymagamy stanu cywilnego,
• ☐ nie pytamy o plany rodzicielskie,
• ☐ nie wymagamy danych dzieci od kandydatów,
• ☐ zdjęcie nie jest bezpodstawnie polem obowiązkowym,
• ☐ nie wymagamy KRK bez przepisu szczególnego,
• ☐ nie pytamy o toczące się postępowania karne.

Wynagrodzenie

• ☐ usunęliśmy pytania o historię płacową,
• ☐ menedżerowie znają zakaz pytania o dotychczasowe zarobki,
• ☐ pytania o oczekiwania dotyczą wyłącznie przyszłego stanowiska,
• ☐ firma realizuje obowiązek przekazania informacji o wynagrodzeniu.

Po zatrudnieniu

• ☐ zbieramy wymagany adres zamieszkania,
• ☐ zbieramy PESEL lub odpowiedni dokument tożsamości,
• ☐ pobieramy numer rachunku, chyba że pracownik wnioskuje o wypłatę do rąk własnych,
• ☐ dane rodzinne zbieramy tylko wtedy, gdy są potrzebne do konkretnego uprawnienia,
• ☐ właściwe dokumenty trafiają do odpowiedniej części dokumentacji pracowniczej.

Zgody

• ☐ nie zbieramy niepotrzebnej zgody dla podstawowych danych kodeksowych,
• ☐ zgody dobrowolne są oddzielone od pól obowiązkowych,
• ☐ brak zgody nie powoduje automatycznych negatywnych konsekwencji,
• ☐ osobno regulujemy ewentualną zgodę na przyszłe rekrutacje.

Dane szczególne

• ☐ pracodawca nie żąda ich bez odpowiedniej podstawy,
• ☐ przy zgodzie weryfikujemy wymóg inicjatywy pracownika lub kandydata,
• ☐ dostęp mają tylko osoby właściwie upoważnione,
• ☐ nie wykorzystujemy biometrii wyłącznie do zwykłej ewidencji czasu pracy.

Retencja i dostęp

• ☐ ustaliliśmy okres przechowywania danych z rekrutacji,
• ☐ ATS rozróżnia bieżącą i przyszłą rekrutację,
• ☐ stare CV nie pozostają bezterminowo bez podstawy,
• ☐ dostęp do danych jest ograniczony według roli,
• ☐ formularze i systemy są okresowo audytowane.

↑ Wróć do spisu treści

FAQ – dane osobowe kandydatów i pracowników

Jakich danych można żądać od kandydata?

Podstawowy katalog obejmuje imię i nazwisko, datę urodzenia, wskazane przez kandydata dane kontaktowe oraz – gdy jest to niezbędne do pracy określonego rodzaju lub na danym stanowisku – wykształcenie, kwalifikacje zawodowe i przebieg dotychczasowego zatrudnienia.

Czy od kandydata można żądać PESEL?

PESEL nie należy do podstawowego katalogu danych każdego kandydata z art. 22¹ § 1 Kodeksu pracy. Jest natomiast jednym z dodatkowych danych pracownika wskazanych w § 3.

Czy można pytać o adres zamieszkania podczas zwykłej rekrutacji?

Adres zamieszkania jest wskazany przez Kodeks pracy jako dodatkowa dana pracownika, a nie jako jedna z podstawowych danych wymaganych od każdej osoby ubiegającej się o zatrudnienie.

Czy można pytać kandydata o obecne wynagrodzenie?

Nie. Od 24 grudnia 2025 r. Kodeks pracy wprost wyłącza informacje o wynagrodzeniu w obecnym i poprzednich stosunkach pracy z danych o przebiegu dotychczasowego zatrudnienia, których pracodawca może żądać.

Czy można pytać o oczekiwania finansowe?

Tak. Oczekiwania dotyczące przyszłego stanowiska nie są tym samym co historia płacowa. Pracodawca musi jednak niezależnie przekazać kandydatowi wymaganą informację o wynagrodzeniu przewidzianym na stanowisku.

Czy zdjęcie w CV jest obowiązkowe?

Nie. Kodeks pracy nie wymaga od kandydata przekazania fotografii.

Czy do CV potrzebna jest zgoda na przetwarzanie danych?

Do przetwarzania podstawowego zakresu danych wymaganych przez prawo w bieżącej rekrutacji dodatkowa zgoda nie jest konieczna.

Czy zgoda pozwala pracodawcy żądać dowolnych danych?

Nie. Zgoda nie jest uniwersalną podstawą pozwalającą obchodzić ograniczenia prawa pracy i RODO.

Czy można pytać o stan cywilny?

Stan cywilny nie należy do podstawowego katalogu danych, których pracodawca żąda od każdego kandydata.

Czy można pytać kandydatkę o planowaną ciążę?

Takie pytanie nie należy do standardowego dopuszczalnego katalogu danych rekrutacyjnych i wiąże się dodatkowo z poważnym ryzykiem naruszenia zasady równego traktowania.

Czy można zadzwonić do poprzedniego pracodawcy po otrzymaniu referencji?

Samo otrzymanie dokumentu z referencjami nie daje automatycznie prawa do pozyskiwania dodatkowych informacji od poprzedniego pracodawcy. Proces sprawdzania referencji powinien mieć właściwą podstawę i być odpowiednio zaprojektowany.

Czy można wymagać zaświadczenia z KRK od każdego pracownika?

Nie. Informacji o karalności można żądać, gdy istnieje odpowiednia podstawa prawna dotycząca konkretnego stanowiska lub działalności.

Czy można pytać o toczące się postępowanie karne?

UODO wskazuje, że informacje o toczących się i niezakończonych postępowaniach karnych nie należą do katalogu danych, których pracodawca może standardowo żądać od kandydata.

Czy można używać odcisku palca do rejestracji czasu pracy?

UODO wskazuje, że przepisy nie dają podstawy do stosowania danych biometrycznych pracownika wyłącznie w celu rejestracji czasu pracy.

Czy pracodawca może zbierać dane dzieci?

Tak, ale gdy jest to konieczne do korzystania przez pracownika ze szczególnych uprawnień przewidzianych prawem. Nie powinno się ich zbierać od wszystkich pracowników „na zapas”.

Czy pracownik musi podać numer rachunku bankowego?

Co do zasady pracodawca żąda numeru rachunku płatniczego, chyba że pracownik złoży wniosek o wypłatę wynagrodzenia do rąk własnych.

Czy CV można zachować do przyszłych rekrutacji?

Można je przetwarzać w tym celu, jeżeli istnieje odpowiednia podstawa, typowo dobrowolna zgoda kandydata na udział w przyszłych rekrutacjach przez określony czas.

Czy wszystkie CV trzeba usunąć natychmiast po zakończeniu rekrutacji?

Po ustaniu celu rekrutacyjnego należy ocenić, czy istnieje jeszcze inny zgodny z prawem cel i podstawa dalszego przetwarzania. Nie powinno się ani automatycznie przechowywać wszystkich CV bezterminowo, ani stosować mechanicznej reguły oderwanej od podstaw prawnych i rzeczywistych celów.

↑ Wróć do spisu treści

Dane osobowe w HR – najważniejsze zasady

Prawidłowy proces powinien opierać się na kolejności:

cel → podstawa prawna → niezbędny zakres danych → sposób pozyskania → dostęp → miejsce przechowywania → okres retencji → usunięcie.

Najważniejszym błędem jest rozpoczynanie od formularza i pytania:

„jakie informacje chcielibyśmy wiedzieć o kandydacie?”

Prawidłowe pytanie brzmi:

„jakich informacji rzeczywiście potrzebujemy i na jakiej podstawie mamy prawo je przetwarzać?”

Po wyborze kandydata proces przechodzi w etap nawiązania stosunku pracy. Warto wtedy zastosować checklistę umowy o pracę dla kadr i HR, a następnie prawidłowo zakwalifikować dokumenty do akt osobowych pracownika.

↑ Wróć do spisu treści

Podstawa prawna

• ustawa z dnia 26 czerwca 1974 r. – Kodeks pracy, tekst jednolity ogłoszony w Dz.U. z 2026 r. poz. 1245, w szczególności art. 18^3ca, art. 22¹, art. 22^1a i art. 22^1b,
• ustawa z dnia 4 czerwca 2025 r. o zmianie ustawy – Kodeks pracy – Dz.U. z 2025 r. poz. 807,
• rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. – ogólne rozporządzenie o ochronie danych, w szczególności art. 5, 6, 7, 9, 10 i 13,
• ustawa z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym – w zakresie przypadków, w których przepisy uprawniają pracodawcę do pozyskania informacji z rejestru,
• rozporządzenie Ministra Rodziny, Pracy i Polityki Społecznej z dnia 10 grudnia 2018 r. w sprawie dokumentacji pracowniczej – tekst jednolity ogłoszony w Dz.U. z 2026 r. poz. 474.

Materiał ma charakter informacyjny i został przygotowany dla działów kadr i HR. Zakres dopuszczalnego przetwarzania danych należy każdorazowo ustalać z uwzględnieniem celu, stanowiska, przepisów szczególnych, zasad RODO oraz aktualnego stanu prawnego.

Napisane przez: Arkadiusz Czapla

Specjalista z zakresu administracji kadrowo-płacowej oraz ubezpieczeń społecznych z ponad 20-letnim, zawodowym doświadczeniem. Na co dzień doradza firmom we wdrażaniu optymalizacji procesów płacowych i pomaga pracodawcom skutecznie przygotować dokumentację pod kątem audytów Państwowej Inspekcji Pracy (PIP) oraz kontroli ZUS. Ceniony za umiejętność przełożenia skomplikowanego, ustawowego języka prawnego na użyteczne w praktyce i przystępne wskazówki dla działów HR. Aktywnie angażuje się w bezpłatne poradnictwo dla obywateli, pomagając im weryfikować poprawność rozliczeń pracowniczych i dbać o rzetelne ustalanie praw do świadczeń.