Dane kandydatów na studia po zakończeniu rekrutacji: kiedy usuwać, a kiedy zachować

Opracowanie: Zespół redakcyjny WILIŃSKI LEGAL

Po zakończonym naborze system rekrutacyjny nie może stać się bezterminowym archiwum życiorysów, skanów dokumentów tożsamości i informacji o wykształceniu. Jednocześnie natychmiastowe usunięcie wszystkich materiałów po ogłoszeniu wyników mogłoby uniemożliwić wykazanie legalności decyzji odmownej lub rozpoznanie odwołania. Prawidłowa retencja polega na rozróżnieniu celu, kategorii dokumentów i statusu kandydata.

Nie istnieje jeden termin dla wszystkich danych

Art. 5 ust. 1 lit. e RODO wprowadza zasadę ograniczenia przechowywania. Dane można identyfikowalnie przetwarzać nie dłużej, niż jest to niezbędne do celów, w których zostały zebrane, chyba że zachodzi dalsza podstawa zgodna z prawem. Uczelnia nie powinna więc wpisywać w polityce „10 lat dla każdego formularza”, nie weryfikując szczególnych wymagań dokumentacyjnych i procesowych. Inaczej ocenia się dokumentację osoby przyjętej na studia, inaczej kandydata nieprzyjętego, a jeszcze inaczej dane osoby, która wycofała zgłoszenie przed ukończeniem procedury.

Archiwizacja a zdolność obrony decyzji

Uczelnia ma uzasadniony interes organizacyjny i prawny w dokumentowaniu przebiegu rekrutacji, lecz sama użyteczność historyczna danych nie wystarcza do nieograniczonego przetwarzania. Należy zidentyfikować właściwą podstawę z art. 6 RODO, przepisy krajowe i okres, w którym rozstrzygnięcie może być poddane kontroli. W przypadku danych szczególnej kategorii, np. dotyczących stanu zdrowia i dostosowania procesu naboru, trzeba dodatkowo wykazać podstawę z art. 9 RODO i ograniczyć dostęp do osób rzeczywiście upoważnionych.

Projektowanie procesu

Dobre rozwiązanie techniczne przewiduje automatyczne oznaczanie statusu zgłoszenia, harmonogram retencji, blokadę nieuzasadnionego pobierania kopii danych oraz rejestr wyjątków dla spraw spornych. Dokumenty dowodowe mogą wymagać zachowania przez określony czas, ale nie oznacza to prawa do dalszego wykorzystywania adresu e-mail do marketingu uczelni. Informacja przekazywana kandydatowi powinna jasno wskazywać cele, podstawy, kategorie odbiorców i kryteria ustalania okresów przechowywania. Przy outsourcingu systemu rekrutacyjnego konieczna jest zgodna z art. 28 RODO umowa i realny plan usuwania kopii po stronie dostawcy.

Przykład zastosowania: rezygnacja z rekrutacji

Kandydat przesłał skan świadectwa, dokument językowy i dane kontaktowe, po czym wycofał zgłoszenie. Uczelnia powinna rozstrzygnąć, które dane są jeszcze niezbędne do wykazania przebiegu procedury, a które można usunąć bez zwłoki. Przy zgłoszeniu podanym w panelu online znaczenie ma również to, czy kopie pozostały u operatora technicznego, w poczcie rekrutacyjnej i w eksportach arkuszy. Samo usunięcie rekordu z widoku pracownika nie świadczy o rzeczywistym zakończeniu przetwarzania. Dobrą praktyką jest przechowywanie minimalnego śladu czynności usunięcia z zachowaniem zasady rozliczalności.

Retencja nie jest jednym terminem dla całej dokumentacji rekrutacyjnej

Dane osoby przyjętej na studia podlegają innej logice przechowywania niż dokumenty kandydata, który nie uzyskał wpisu. Trzeba rozdzielić oryginały dokumentów, kopie, rezultaty punktacji, korespondencję odwoławczą, logi systemu IRK i informacje o opłatach. Każda grupa danych wymaga określenia celu, podstawy prawnej, zdarzenia rozpoczynającego okres przechowywania oraz reguły usunięcia lub anonimizacji. Samo oświadczenie, że »akta kandydatów trzymamy pięć lat«, bez wykazania podstawy, jest niewystarczające.

Spór o odmowę przyjęcia a obowiązek wykazania prawidłowości rekrutacji

Uczelnia powinna przez uzasadniony okres zachować materiał umożliwiający rozpoznanie środka zaskarżenia i obronę prawidłowości punktacji. Nie oznacza to prawa do bezterminowego przechowywania wszystkich załączników, w tym danych szczególnych kategorii. W praktyce potrzebne są odrębne polityki dla wyniku rekrutacji i źródłowych dokumentów, a także procedura legalnego udostępniania danych komisji, pełnomocnikowi i organom kontroli.

Role administratora i dostawców systemu rekrutacyjnego

Przed wdrożeniem elektronicznej rekrutacji trzeba zidentyfikować administratora danych, ewentualnych współadministratorów, procesorów i podmioty świadczące usługę przechowywania. Umowa powierzenia z art. 28 RODO musi odpowiadać faktycznemu zakresowi dostępu do danych. Polityka uprawnień powinna różnicować zadania komisji i dziekanatu, zapewniać rejestrowanie istotnych operacji oraz określać sposób usuwania kopii w środowiskach testowych i archiwalnych.

Kandydat zagraniczny i dane wymagające szczególnej ostrożności

Dokumenty kwalifikacyjne z zagranicy, informacje o statusie pobytowym i potwierdzenia językowe nie mogą być gromadzone ponad zakres niezbędny dla określonego celu rekrutacyjnego. Jeżeli przepisy wymagają przedstawienia konkretnego dokumentu, uczelnia powinna udokumentować tę podstawę i zapewnić odpowiedni poziom ochrony. Nie należy automatycznie żądać kopii każdego dokumentu tożsamości »na wszelki wypadek«.

Konkluzja

Prawidłowa retencja nie jest ani maksymalnym gromadzeniem, ani mechanicznym kasowaniem. Jest dowodliwą polityką, w której dla każdej kategorii informacji można odpowiedzieć: po co ją przechowujemy, na jakiej podstawie, kto ma dostęp i kiedy nastąpi usunięcie.

Podstawa i źródło: art. 5, 6, 9, 13 i 28 RODO; art. 72 PSWiN; https://eur-lex.europa.eu/eli/reg/2016/679/2016-05-04/pol

Powiązane analizy

• Odmowa przyjęcia na studia: uczelnia podejmuje decyzję podlegającą kontroli prawnej
• Regulamin studiów nie może zastąpić ustawy: granice autonomii uczelni

Źródła pierwotne i dokumenty urzędowe

• Podstawowy akt lub dokument: art. 5, 6, 9, 13 i 28 RODO; art. 72 PSWiN;
• RODO, art. 5 ust. 1 lit. e

Bibliografia sprawdzana 12 października 2026 r. Tekst ma charakter ogólny; właściwy stan prawny ustala się na datę zdarzenia.