CV-urile candidaților: cât le păstrezi și ce faci cu cei respinși

În august 2024, ANSPDCP a anunțat că un lanț de hipermarketuri a primit, printre altele, o amendă de 9.954 de lei pentru un singur email. O angajată care se ocupa de recrutare a trimis din greșeală datele unui candidat, cu numele lui și magazinul la care aplicase, unei persoane din afara firmei. Recrutarea pare o activitate mică, dar adună multe date în puțin timp, iar CV-urile rămân ani de zile prin emailuri și foldere de descărcări.

Aici afli pe ce temei folosești datele candidaților, ce le spui când primești un CV (inclusiv unul nesolicitat), cât păstrezi CV-urile celor respinși, când îți trebuie acordul lor, ce ai voie să afli de la foștii angajatori și de pe rețelele sociale și cum împarți răspunderea cu o firmă de recrutare. Regulile generale pentru datele angajaților sunt în ghidul despre datele angajaților.

Important: articolul are caracter informativ și nu constituie consultanță juridică. Dacă un candidat respins contestă decizia sau îți cere datele, discută cazul cu un specialist în protecția datelor sau în dreptul muncii.

Pe scurt

• Nu ai nevoie de acordul candidatului ca să-i citești CV-ul trimis pentru un post: temeiul e pasul făcut la cererea lui înainte de un contract.

• Îl informezi când primești CV-ul, cu un link spre nota pentru candidați. Dacă l-ai găsit tu, pe LinkedIn de exemplu, îl informezi la primul contact, cel târziu într-o lună.

• Legea nu dă un termen fix pentru CV-urile respinse. ANSPDCP spune că le păstrezi până la finalul selecției; mai mult doar pe interes legitim, cu informarea candidatului.

• Pentru posturi viitoare îți trebuie acordul candidatului și un termen, de exemplu 12 luni.

• Referințele le ceri doar despre activitate și durata angajării și doar după ce i-ai spus candidatului. Rețelele sociale le verifici doar dacă postul o justifică și ai anunțat asta.

Pe ce temei citești un CV

Când cineva îți trimite CV-ul pentru un post anunțat, temeiul e articolul 6 alineatul (1) litera b) din GDPR: prelucrarea e necesară „pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract”. Candidatul a cerut să fie evaluat, deci îi poți citi CV-ul, îl poți chema la interviu și îi poți da un test.

Consimțământul nu e temeiul potrivit aici. Candidatul e într-o poziție de inegalitate față de cel care angajează, iar Ghidul EDPB 05/2020 (punctul 21) pune explicit în aceeași situație angajații „actuali sau viitori”. Formularul de aplicare cu bifa „sunt de acord cu prelucrarea datelor” nu adaugă nimic și te poate încurca dacă acordul e retras.

Ce nu ceri în etapa de selecție

Codul muncii, art. 29 alin. (3), spune că informațiile cerute candidatului servesc doar ca să apreciezi dacă poate ocupa postul. Ca regulă practică:

• în anunț și la interviu nu ceri CNP-ul, copia buletinului, starea de sănătate, starea civilă sau planuri de familie;

• fotografia nu e necesară pentru majoritatea posturilor, deci nu o faci obligatorie;

• actele pentru angajare (buletin, acte de studii, fișa de aptitudine) le ceri doar candidatului ales, la angajare;

• certificatul de integritate comportamentală îl ceri doar în domeniile în care legea îl impune.

Ce le spui candidaților

Când datele vin chiar de la om, îl informezi „în momentul obținerii” lor (articolul 13 din GDPR): cine ești, pentru ce folosești datele, pe ce temei, cine le mai vede, cât le păstrezi și ce drepturi are. Cel mai simplu e o notă pentru candidați, cu link în anunț și în formularul de aplicare.

Drumul unui CV de la primire la ștergere. Sursa: GDPR, art. 6, 13 și 14; Codul muncii, art. 29; Raportul ANSPDCP pe 2019, p. 46–47; OG 137/2000, art. 20 și 27. Termenele de 6 și 12 luni sunt exemple, nu cerințe legale.

CV-urile nesolicitate

Multe CV-uri vin pe adresa generală, fără un post deschis. Și aici datele vin de la om, deci se aplică articolul 13. Practic:

1. răspunde cu un mesaj automat sau scurt care conține linkul spre nota pentru candidați;

2. dacă ai un post potrivit, tratează CV-ul ca pe o aplicare;

3. dacă nu ai, fie îl ștergi și îi spui omului asta, fie îi ceri acordul să-l păstrezi pentru posturi viitoare, cu un termen.

Nu lăsa CV-ul în inbox „pentru când o fi nevoie”. Un CV uitat într-un email e tot o prelucrare, fără scop și fără termen.

Candidații găsiți de tine

Dacă îl cauți tu pe om, pe LinkedIn sau într-o bază de CV-uri, datele nu vin de la el. Se aplică articolul 14 alineatul (3) din GDPR: îl informezi într-un termen rezonabil, cel târziu într-o lună, sau la primul contact, dacă îl contactezi mai devreme. Mesajul cu care îi propui postul e locul firesc pentru linkul spre notă și pentru sursa din care i-ai luat datele. Temeiul, în acest caz, e de regulă interesul legitim.

Cât păstrezi CV-urile celor respinși

Nicio lege românească nu dă un număr de zile sau de luni. Reperul oficial e poziția ANSPDCP din raportul de activitate pe 2019 (p. 46–47): în lipsa unor norme speciale, datele candidaților respinși se păstrează cel mult până la „finalizarea procesului de selecție”. Păstrarea mai departe „se poate efectua pe baza interesului legitim al operatorului”, cu informarea prealabilă a candidatului și cu posibilitatea de a-și exercita drepturile.

Același lucru îl spune Avizul 2/2017 al Grupului de lucru „Articolul 29” despre prelucrarea datelor la locul de muncă (secțiunea 5.1): datele din recrutare se șterg, în general, imediat ce e clar că nu vei face o ofertă sau că oferta nu e acceptată. Grupul de lucru e predecesorul EDPB, iar avizul e reperul european pentru angajatori.

Când ai un motiv să păstrezi mai mult

Motivul cel mai serios e o plângere de discriminare. Refuzul de a angaja pe cineva din cauza vârstei, a sexului, a etniei sau a religiei e contravenție (OG 137/2000, art. 8). Candidatul poate sesiza CNCD în termen de un an (art. 20) și poate cere despăgubiri în instanță în termen de 3 ani (art. 27 alin. (2)). Iar în instanță, după ce el prezintă fapte din care se poate prezuma discriminarea, tu trebuie să dovedești că nu a existat (art. 27 alin. (4)).

Asta nu înseamnă că păstrezi toate CV-urile 3 ani. O soluție proporționată, pe care o poți explica:

• la finalul selecției ștergi CV-urile, scrisorile de intenție și notițele de la interviu;

• păstrezi o fișă minimă a selecției (postul, data, numele candidaților, criteriile și motivul obiectiv al respingerii) pe o perioadă stabilită de tine, de exemplu 6 luni sau 1 an;

• scrii acest termen în nota pentru candidați și în registrul prelucrărilor;

• dacă primești o plângere, păstrezi tot ce ține de ea până se termină.

Durata exactă e o decizie a ta, pe interes legitim. Mulți operatori aleg „durata recrutării plus 6 luni”. Dacă vrei să mergi spre termenele din OG 137/2000, cere o părere unui specialist pentru situația ta.

Baza de candidați pentru posturi viitoare

Dacă vrei să păstrezi CV-ul unui candidat bun pentru un post care s-ar putea deschide, ai nevoie de acordul lui, separat de aplicare, cu un termen (de exemplu 12 luni) și cu dreptul de a-l retrage oricând. Aici acordul chiar e liber: candidatul nu pierde nimic dacă refuză. Păstrează dovada acordului (data, textul, canalul) și șterge CV-ul la expirare dacă nu l-a reînnoit.

Referințe și rețele sociale

Referințele de la fostul angajator

Codul muncii, art. 29 alin. (4), îți permite să ceri informații de la foștii angajatori ai candidatului „numai cu privire la activitățile îndeplinite și la durata angajării și numai cu încunoștințarea prealabilă a celui în cauză”. Deci:

• îi spui candidatului înainte că vei cere referințe și de la cine;

• întrebi ce a făcut și cât a lucrat acolo, nu de sănătate, viața privată sau sancțiuni disciplinare vechi;

• notezi ce ai aflat doar cât îți trebuie pentru decizie.

Invers e la fel: când un alt angajator te sună despre un fost salariat de-al tău, răspunzi la fel de restrâns, iar pentru restul ai nevoie de un temei.

Profilurile de pe rețele

Un profil public nu înseamnă că îl poți folosi oricum. Avizul 2/2017 cere un temei (de regulă interesul legitim) și spune că verificarea se justifică doar dacă e necesară pentru post, de exemplu pentru a evalua riscuri specifice ale unei funcții, și dacă i-ai anunțat pe candidați, de exemplu în anunț. Diferența dintre profilul profesional (LinkedIn) și cel privat (Facebook, Instagram) contează, iar candidatului nu-i ceri să te accepte ca „prieten” sau să-ți arate profilul.

Dacă verifici, notează în registru de ce, ce te uiți și cine se uită, iar ce găsești despre viața privată nu ajunge în dosar.

Firma de recrutare: împuternicit sau operator?

Depinde de cine decide ce se întâmplă cu datele. Două situații obișnuite:

• Firma lucrează doar pentru tine, pe instrucțiunile tale: publică anunțul tău, primește CV-urile pentru postul tău și ți le trimite. E „persoană împuternicită” și ai nevoie de un contract de prelucrare cu ea (articolul 28 din GDPR); vezi articolul despre contractul cu persoana împuternicită.

• Firma are propria bază de candidați și caută în ea și pentru tine. Ghidul EDPB 07/2020 (exemplul „Recrutarea de personal”) spune că, atunci când combini CV-urile primite de tine cu baza ei, sunteți operatori asociați pentru găsirea candidaților. Ea rămâne singurul operator al bazei proprii, iar tu, al interviurilor și al angajării.

Operatorii asociați au nevoie de un acord între ei (articolul 26 din GDPR) care spune cine informează candidații și cine răspunde la cererile lor. Oricum ar fi, candidatul trebuie să afle din notă că firma de recrutare și tu îi vedeți datele.

Greșeli frecvente

• CV-uri păstrate ani de zile în inbox, în descărcări sau pe stickul cuiva, fără termen.

• Bifa „sunt de acord” ca temei pentru o aplicare la un post.

• Copia buletinului și CNP-ul cerute încă din etapa de selecție.

• CV-uri trimise între colegi pe WhatsApp sau la adrese greșite, ca în cazul din august 2024.

• Baza de „candidați buni” fără acordul lor și fără dată de ștergere.

• Mesajul de respingere fără nicio mențiune despre cât păstrezi datele.

Întrebări frecvente

Recrutarea în registru, cu SmartDPO

În SmartDPO, recrutarea apare în registrul prelucrărilor cu temeiul, destinatarii și un termen propus pentru candidații respinși, pe care îl schimbi după politica ta, iar baza de candidați pentru posturi viitoare e o activitate separată, pe consimțământ. Nota pentru candidați se generează din registru și preia termenele de acolo, iar acordurile pentru baza de candidați le ții în evidența consimțămintelor. Vezi cum arată pentru firmele de recrutare și HR sau încearcă 30 de zile gratuit, fără card.