Ile danych o kandydacie i pracowniku naprawdę wolno Ci zbierać? To pytanie, na którym potyka się większość pracodawców - jedni żądają zbyt wiele („na wszelki wypadek”), inni boją się poprosić nawet o to, co jest niezbędne. Tymczasem Kodeks pracy podaje konkretny katalog danych, a RODO domyka go zasadami: minimalizacji, celu i czasu przechowywania. Ten przewodnik porządkuje, jakich danych możesz żądać na etapie rekrutacji, co zmienia się po zatrudnieniu, kiedy potrzebujesz zgody, jak długo trzymać dokumenty i - na końcu - jak to wszystko wygląda przy zatrudnianiu cudzoziemca, gdzie do RODO dochodzi obowiązek przechowywania kopii dokumentu pobytowego. To część przewodnika po prawie pracy dla pracodawcy; szersze tło legalizacji znajdziesz w centrum wiedzy o legalizacji.
Jakie dane możesz zbierać od kandydata do pracy
Punktem wyjścia jest art. 22¹ Kodeksu pracy - to on wyznacza katalog danych, których pracodawca żąda na etapie rekrutacji. Od osoby ubiegającej się o zatrudnienie możesz żądać:
| Dana | Kiedy |
|---|---|
| Imię (imiona) i nazwisko | zawsze |
| Data urodzenia | zawsze |
| Dane kontaktowe (wskazane przez kandydata) | zawsze |
| Wykształcenie | tylko gdy niezbędne do pracy danego rodzaju |
| Kwalifikacje zawodowe | tylko gdy niezbędne do pracy danego rodzaju |
| Przebieg dotychczasowego zatrudnienia | tylko gdy niezbędne do pracy danego rodzaju |
Kluczowa jest ta druga kolumna. Wykształcenia, kwalifikacji i przebiegu zatrudnienia (punkty 4–6) możesz żądać tylko wtedy, gdy jest to niezbędne do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Dla stanowiska magazyniera pełne CV z historią zatrudnienia bywa nadmiarowe; dla specjalisty - uzasadnione. To praktyczne zastosowanie zasady minimalizacji danych z RODO: zbierasz tyle, ile realnie potrzebujesz do decyzji rekrutacyjnej.
Czego nie ma na tej liście? Numeru PESEL, adresu zamieszkania, stanu cywilnego, informacji o dzieciach, zdjęcia (jeśli nie jest niezbędne), danych o stanie zdrowia czy zainteresowaniach. Na etapie rekrutacji te dane co do zasady nie są Ci potrzebne - a żądanie ich bez podstawy to naruszenie.
Co zmienia się po zatrudnieniu
Po podpisaniu umowy katalog się rozszerza - art. 22¹ § 3 Kodeksu pracy. Od pracownika (a nie już kandydata) możesz dodatkowo żądać:
| Dana pracownika | Warunek |
|---|---|
| Adres zamieszkania | zawsze po zatrudnieniu |
| Numer PESEL (a gdy brak - rodzaj i numer dokumentu tożsamości) | zawsze po zatrudnieniu |
| Dane pracownika oraz jego dzieci i najbliższej rodziny | tylko gdy konieczne dla szczególnych uprawnień prawa pracy |
| Wykształcenie i przebieg zatrudnienia | jeżeli nie było podstawy, by żądać ich od kandydata |
| Numer rachunku płatniczego | jeżeli pracownik nie złożył wniosku o wypłatę do rąk własnych |
Zwróć uwagę na logikę: dane, które przy rekrutacji były zbędne (PESEL, adres, numer konta), po zatrudnieniu stają się niezbędne do zgłoszenia do ZUS, wypłaty wynagrodzenia i prowadzenia akt. Podstawą ich przetwarzania nie jest już zgoda, lecz przepis prawa. Udostępnienie danych następuje w formie oświadczenia osoby, której dane dotyczą.
Zgoda i czego nie wolno żądać
Co, jeśli chcesz przetwarzać dane spoza katalogu z art. 22¹? Tu wchodzi art. 22¹a Kodeksu pracy: takie dane możesz przetwarzać za zgodą kandydata lub pracownika - z jednym twardym wyjątkiem. Zgoda nie legalizuje przetwarzania danych o wyrokach skazujących i naruszeniach prawa (art. 10 RODO). Tych danych nie wolno Ci przetwarzać nawet wtedy, gdy pracownik sam się na to zgadza - chyba że osobny przepis wprost na to zezwala (np. przy stanowiskach wymagających niekaralności).
Druga rzecz, którą trzeba zapamiętać, bo bywa źródłem poważnych sporów: brak zgody lub jej wycofanie nie może być podstawą niekorzystnego traktowania. Kodeks pracy mówi wprost - nie może to być przyczyną odmowy zatrudnienia, wypowiedzenia umowy ani jej rozwiązania. Innymi słowy: jeśli poprosisz kandydata o dane dobrowolne (np. o zgodę na przyszłe rekrutacje), a on odmówi, nie możesz go za to „ukarać” gorszą decyzją. Zgoda w relacji pracodawca–pracownik jest z natury delikatna, bo strony nie są równorzędne - dlatego prawo tak mocno chroni prawo do odmowy.
Dane szczególne i biometria
Osobną, wrażliwą kategorią są dane szczególnych kategorii z art. 9 RODO - o zdrowiu, poglądach, przynależności związkowej, dane genetyczne i biometryczne. Reguluje je art. 22¹b Kodeksu pracy. Zasada: takie dane możesz przetwarzać za zgodą tylko wtedy, gdy zostały przekazane z inicjatywy kandydata lub pracownika - nie możesz ich od niego żądać. Jeśli więc pracownik sam przynosi orzeczenie o niepełnosprawności, by skorzystać z uprawnień - to jego inicjatywa; ale nie możesz uzależniać zatrudnienia od ujawnienia stanu zdrowia.
Wyjątkiem są dane biometryczne pracownika (np. odcisk palca do systemu dostępu). Ich przetwarzanie jest dopuszczalne także wtedy, gdy jest niezbędne do kontroli dostępu do szczególnie ważnych informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę, albo dostępu do pomieszczeń wymagających szczególnej ochrony. Uwaga jednak - nie jest to furtka do odbijania biometrycznego zwykłej listy obecności; UODO wielokrotnie podkreślał, że do ewidencji czasu pracy biometria jest nadmiarowa. Takie dane może przetwarzać wyłącznie osoba z pisemnym upoważnieniem, zobowiązana do zachowania ich w tajemnicy.
Monitoring w miejscu pracy
Kamery, kontrola poczty służbowej, monitoring aktywności - to również przetwarzanie danych, uregulowane w art. 22² - 22⁴ Kodeksu pracy. Monitoring wizyjny wolno wprowadzić, gdy jest niezbędny do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Nie może obejmować pomieszczeń sanitarnych, szatni, stołówek i palarni ani pomieszczeń udostępnianych organizacji związkowej - chyba że jest to naprawdę niezbędne i realizowane z poszanowaniem godności (a monitoring pomieszczeń sanitarnych wymaga wcześniejszej zgody związku lub przedstawicieli pracowników).
Trzy liczby, które trzeba znać:
- Retencja nagrań: co do zasady nie dłużej niż 3 miesiące od dnia nagrania. To jednak reguła z wyjątkiem - jeżeli nagranie stanowi dowód w postępowaniu, termin przedłuża się do jego prawomocnego zakończenia. Nie traktuj więc „3 miesięcy” jak sztywnej granicy w każdej sytuacji.
- Informacja dla pracowników: najpóźniej 2 tygodnie przed uruchomieniem monitoringu. Cele, zakres i sposób ustala się w układzie zbiorowym, regulaminie pracy albo obwieszczeniu.
- Oznaczenie terenu: najpóźniej 1 dzień przed uruchomieniem, w sposób widoczny i czytelny.
Monitoring poczty elektronicznej (art. 22³) jest dopuszczalny tylko wtedy, gdy jest niezbędny do zapewnienia organizacji pracy i właściwego korzystania z narzędzi - i nie może naruszać tajemnicy korespondencji. Do innych form monitoringu (art. 22⁴) stosuje się te same zasady odpowiednio. Wspólny mianownik: cel, proporcjonalność i poinformowanie pracownika.
Jak długo przechowywać dane
Zebranie danych to jedno, ale RODO pyta też: jak długo je trzymasz? Dwa najczęstsze pytania pracodawców:
CV odrzuconych kandydatów. Stanowisko Urzędu Ochrony Danych Osobowych jest tu wyraźne: dane kandydata przetwarzasz na potrzeby konkretnej rekrutacji, nie wolno zbierać ich „na zapas”, a po zakończeniu naboru co do zasady należy je usunąć - chyba że kandydat wyraził odrębną zgodę na udział w przyszłych rekrutacjach (i wtedy trzeba wskazać okres przechowywania). Warto wiedzieć, że orzecznictwo bywa tu mniej jednoznaczne - sąd administracyjny dopuścił w jednej ze spraw przechowywanie danych rekrutacyjnych przez okres przedawnienia roszczeń o dyskryminację, jako obronę pracodawcy. To jednak stanowisko sądu w konkretnej sprawie, a nie utrwalona reguła - bezpieczniej trzymać się zasady UODO i nie przechowywać CV bez zgody. Aktualne wytyczne sprawdzisz na stronie Urzędu Ochrony Danych Osobowych.
Akta osobowe i dokumentacja pracownicza. Tu obowiązuje twardy termin z art. 94 Kodeksu pracy: dokumentację przechowujesz przez okres zatrudnienia oraz przez 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy ustał. Skrócony 10-letni okres (zamiast dawnych 50 lat) obowiązuje dla pracowników zatrudnionych od 1 stycznia 2019 r. - po reformie e-akt.
Cudzoziemiec - kopia dokumentu pobytowego a RODO
Na koniec sytuacja, w której prawo pracy i przepisy o cudzoziemcach spotykają się z RODO - i w której pracodawcy najczęściej się gubią. Gdy zatrudniasz cudzoziemca, obowiązuje Cię art. 4 ustawy z 20 marca 2025 r. o warunkach dopuszczalności powierzania pracy cudzoziemcom (obowiązuje od 1 czerwca 2025 r.). Nakłada on trzy obowiązki:
- żądasz od cudzoziemca przedstawienia przed rozpoczęciem pracy ważnego dokumentu uprawniającego do pobytu w Polsce,
- przechowujesz kopię tego dokumentu przez cały okres wykonywania pracy,
- przetwarzasz dane cudzoziemca przez okres pracy oraz przez 2 lata, licząc od końca roku kalendarzowego, w którym ustał stosunek będący podstawą powierzenia pracy.
Tu pojawia się częste nieporozumienie: „skoro RODO każe minimalizować dane, to czy mogę w ogóle robić kopię paszportu i karty pobytu?” Tak - i to nie tylko możesz, ale masz obowiązek. Podstawą przetwarzania nie jest zgoda cudzoziemca (której nie potrzebujesz i o którą nie powinieneś prosić), lecz wypełnienie obowiązku prawnego ciążącego na pracodawcy - art. 6 ust. 1 lit. c RODO. RODO tego nie blokuje; przeciwnie, samo wskazuje obowiązek prawny jako legalną podstawę. Pamiętaj tylko o retencji - kopię trzymasz przez okres pracy plus wspomniane 2 lata, a nie „bezterminowo”. Dlaczego to ważne poza samym RODO? Bo brak dokumentu potwierdzającego legalność pracy naraża Cię na sankcje - opisujemy je w artykule o karach za nielegalne zatrudnienie cudzoziemca. Praktyczną stronę obowiązków przy zatrudnianiu cudzoziemca zbiera z kolei przewodnik zatrudnianie cudzoziemców krok po kroku.
Najczęstsze pytania (FAQ)
Czy mogę wymagać numeru PESEL od kandydata do pracy?
Nie na etapie rekrutacji. Katalog danych kandydata z art. 22¹ § 1 Kodeksu pracy nie obejmuje numeru PESEL - możesz go żądać dopiero od pracownika po zatrudnieniu (art. 22¹ § 3), gdy jest potrzebny m.in. do zgłoszenia do ZUS. Żądanie PESEL od kandydata jest co do zasady nadmiarowe.
Czy mogę przechowywać CV kandydatów na przyszłe rekrutacje?
Tylko za odrębną, dobrowolną zgodą kandydata i przez wskazany okres. Zgodnie ze stanowiskiem UODO danych nie wolno zbierać „na zapas”; po zakończeniu konkretnej rekrutacji należy je usunąć, chyba że kandydat zgodził się na udział w kolejnych naborach. Szczegóły: UODO.
Jak długo trzeba przechowywać akta osobowe pracownika?
Przez okres zatrudnienia oraz 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy ustał (art. 94 Kodeksu pracy). Skrócony 10-letni okres dotyczy pracowników zatrudnionych od 1 stycznia 2019 r.; dla starszych stosunków pracy zasadą jest 50 lat, chyba że pracodawca dopełnił formalności skracających ten okres.
Czy mogę zainstalować kamery w miejscu pracy?
Tak, jeśli monitoring jest niezbędny do bezpieczeństwa, ochrony mienia, kontroli produkcji lub zachowania tajemnicy (art. 22² Kodeksu pracy). Nie wolno monitorować pomieszczeń sanitarnych, szatni, stołówek i palarni (poza wyjątkami), a pracowników trzeba poinformować najpóźniej 2 tygodnie przed uruchomieniem i oznaczyć teren najpóźniej dzień wcześniej. Nagrania przechowuje się co do zasady nie dłużej niż 3 miesiące.
Czy potrzebuję zgody cudzoziemca, żeby przechowywać kopię jego karty pobytu?
Nie. Kopię dokumentu pobytowego przechowujesz na podstawie obowiązku prawnego (art. 4 ustawy o warunkach dopuszczalności powierzania pracy cudzoziemcom w związku z art. 6 ust. 1 lit. c RODO), a nie zgody. Masz wręcz obowiązek zebrać ten dokument przed rozpoczęciem pracy i przechowywać kopię przez okres zatrudnienia oraz 2 lata od końca roku, w którym praca ustała.
Czy brak zgody na przetwarzanie danych może kosztować kandydata pracę?
Nie. Kodeks pracy wprost stanowi, że brak zgody lub jej wycofanie nie może być podstawą niekorzystnego traktowania - nie może uzasadniać odmowy zatrudnienia, wypowiedzenia ani rozwiązania umowy. Dotyczy to danych dobrowolnych, których podanie zależy od woli kandydata lub pracownika.