RODO w Rekrutacji: Dane Kandydatów, Opt-in i Zgodność z Prawem

WhatsApp w rekrutacji? Tylko z odpowiednią podstawą prawną. Przewodnik po wymogach RODO: zgoda vs. uzasadniony interes, zasada 6 miesięcy, równe traktowanie, umowa powierzenia przetwarzania danych.

Podstawy prawne: zgoda, uzasadniony interes, środki przedumowne

Każde przetwarzanie danych osobowych w wiadomościach rekrutacyjnych wymaga podstawy prawnej zgodnie z art. 6 RODO. W praktyce istotne są trzy podstawy:

1. Zgoda (art. 6 ust. 1 lit. a RODO)

Najsilniejsza podstawa prawna dla wiadomości rekrutacyjnych — ale też najbardziej wymagająca. Zgoda musi być: dobrowolna, konkretna, świadoma i jednoznaczna. Musi być udokumentowana i odwołalna w dowolnym momencie. Wstępnie zaznaczone pole lub zakopana klauzula w polityce prywatności nie stanowią ważnej zgody. Najlepsza praktyka: podwójny opt-in z jasnym oświadczeniem na co kandydat wyraża zgodę oraz znacznikiem czasu z zapisem audytowym.

2. Uzasadniony interes (art. 6 ust. 1 lit. f RODO)

Może być stosowany dla komunikacji bezpośrednio związanej z procesem rekrutacji bez konieczności uzyskania wyraźnej zgody na każdą wiadomość. Przykłady zastosowania uzasadnionego interesu: przypomnienia o rozmowach kwalifikacyjnych (gdy kandydat podał numer telefonu), aktualizacje statusu podczas aktywnego procesu, wiadomości uzupełniające w rozsądnym czasie. Uzasadniony interes wymaga testu wyważenia: Twój interes w komunikacji nie może przeważać nad interesem kandydata w byciu niekontaktowanym. Udokumentuj ten test wyważenia.

3. Środki przedumowne (art. 6 ust. 1 lit. b RODO)

Dotyczy komunikacji niezbędnej do podjęcia kroków na żądanie kandydata przed zawarciem umowy — zasadniczo samego procesu rekrutacji. Żądanie dokumentów, przeprowadzanie ocen i planowanie rozmów kwalifikacyjnych podlegają tej podstawie. Wiadomości marketingowe i broadcasty puli talentów nie.

Projekt opt-in: co sprawia, że zgoda jest ważna

Ważna zgoda (opt-in) na wiadomości rekrutacyjne spełnia pięć wymogów:

1. Dobrowolna: odmowa nie może być warunkiem ukończenia aplikacji
2. Konkretna: osobna zgoda na każdy kanał (e-mail, WhatsApp, SMS)
3. Świadoma: kandydat musi rozumieć, kto będzie się kontaktował i w jakim celu
4. Jednoznaczna: aktywne działanie (kliknięcie, zaznaczenie pola) — nie domyślna zgoda
5. Udokumentowana: znacznik czasu, źródło, wersja tekstu zgody

SendSeven rejestruje każdy opt-in z niezmiennym zapisem audytowym. Odwołania są przetwarzane natychmiastowo, a kontakt jest usuwany ze wszystkich list aktywnych i kampanii.

Okresy przechowywania: zasada 6 miesięcy

Dane kandydatów mogą być przechowywane przez maksymalnie 6 miesięcy po zakończeniu procesu rekrutacji (w celu obrony przed ewentualnymi roszczeniami z tytułu dyskryminacji). Po tym czasie muszą zostać usunięte.

Dla kandydatów w długoterminowej puli talentów wymagana jest oddzielna, wyraźna zgoda z prawem do wycofania w dowolnym momencie.

Praktyczna implementacja w SendSeven:

• Ustaw automatyczne usuwanie danych po 6 miesiącach dla zamkniętych aplikacji
• Wyślij e-mail z prośbą o ponowną zgodę dla kontaktów zbliżających się do progu 6 miesięcy w puli talentów
• Archiwizuj zanonimizowane dane (statystyki bez PII) dla celów analitycznych

Zgodność z zasadą równego traktowania w automatycznych wiadomościach

Prawo pracy i zasada równego traktowania dotyczą również automatycznych wiadomości rekrutacyjnych. Konkretnie:

• Brak filtrowania lub priorytetyzowania kandydatów na podstawie chronionych cech (płeć, wiek, pochodzenie, religia) — nawet w chatbocie AI
• Odmowy muszą być neutralne i sformułowane bez odniesienia do dyskryminacyjnych kryteriów
• Automatyczne wiadomości nie mogą zawierać języka sugerującego dyskryminacyjne kryteria selekcji
• Wszystkie etapy procesu muszą być rejestrowane dla celów dowodowych

Umowa powierzenia przetwarzania danych (UPD) z dostawcą wiadomości

Każdy dostawca usług, który przetwarza dane kandydatów, musi podpisać umowę powierzenia przetwarzania danych (UPD) zgodnie z art. 28 RODO. SendSeven udostępnia standardową UPD dla wszystkich klientów.

Kluczowe elementy UPD, na które należy zwrócić uwagę:

• Hosting danych w UE (SendSeven: Google Cloud UE, AI we Frankfurcie)
• Brak przekazywania danych do krajów trzecich
• Szyfrowanie podczas przesyłania i przechowywania
• Prawo do kontroli i audytu
• Procedura zgłaszania naruszeń (72 godziny zgodnie z RODO)

Lista kontrolna: 10 punktów dla wiadomości rekrutacyjnych zgodnych z RODO

1. ☐ Udokumentowana podstawa prawna dla każdego kanału komunikacji
2. ☐ Podwójny opt-in z zapisem audytowym (data, źródło, wersja tekstu)
3. ☐ Polityka prywatności zawiera informacje o wiadomościach rekrutacyjnych
4. ☐ Automatyczne usuwanie danych po 6 miesiącach dla zamkniętych aplikacji
5. ☐ Oddzielna zgoda na dłuższe przechowywanie w puli talentów
6. ☐ Podpisana UPD z dostawcą wiadomości (np. SendSeven)
7. ☐ Hosting danych w UE potwierdzony z dostawcą
8. ☐ Chatbot AI wolny od dyskryminacyjnych filtrów
9. ☐ Neutralne szablony wiadomości o odmowie
10. ☐ Dokumentacja testu wyważenia uzasadnionego interesu

Podsumowanie

RODO i WhatsApp mogą ze sobą współpracować w rekrutacji — ale wymaga to świadomego podejścia do podstaw prawnych, projektowania opt-in i przechowywania danych. Firmy, które robią to prawidłowo, budują przewagę konkurencyjną: szybsza komunikacja, lepsza candidate experience i pełna zgodność z przepisami.

Więcej do przeczytania:

• Przewodnik Komunikacji Rekrutacyjnej 2026
• Reaktywacja Puli Talentów
• SendSeven dla Rekrutacji
• Przewodnik: Konfiguracja WhatsApp Business API

FAQ

Część serii: Komunikacja w rekrutacji 2026: Jak rozwiązać problem ghostingu kandydatów, nieobecności na rozmowach i niedoboru talentów na rynku europejskim