Okres przechowywania danych kandydatów zgodnie z PIPEDA zależy od celu: organizacja objęta ustawą przechowuje dane osobowe tylko tak długo, jak potrzebuje ich do celów wskazanych przy ich zbieraniu. W Kanadzie nie ma ogólnej zasady, według której każde CV trzeba usunąć po 30 dniach, roku lub dwóch latach.

Harmonogram musi uwzględniać prawo właściwe dla danego pracodawcy, cel dokumentacji, prawo kandydata do dostępu do danych oraz wszelkie obowiązki prawne wymagające ich zachowania.

Ten przewodnik przedstawia praktyczne zasady działania, a nie poradę prawną. To, jakie kanadyjskie przepisy o ochronie prywatności mają zastosowanie, zależy od organizacji, prowincji, stanowiska, obiegu danych i rodzaju dokumentacji. Skonsultuj harmonogram swojej firmy z prawnikiem specjalizującym się w kanadyjskim prawie ochrony prywatności i prawie pracy.

## Czego PIPEDA wymaga przy przechowywaniu danych kandydatów?

**PIPEDA wymaga, aby organizacje objęte ustawą określiły, dlaczego zbierają dane kandydatów, ograniczyły ich wykorzystanie do tego celu i przechowywały je tylko tak długo, jak są potrzebne do jego realizacji.** Gdy informacje przestają być potrzebne, trzeba je bezpiecznie zniszczyć, usunąć lub zanonimizować.

Urząd Komisarza ds. Ochrony Prywatności Kanady (OPC) przekłada tę zasadę na pięć praktycznych obowiązków w swoich [wytycznych dotyczących ograniczania wykorzystania, ujawniania i przechowywania danych](https://www.priv.gc.ca/en/privacy-topics/privacy-laws-in-canada/the-personal-information-protection-and-electronic-documents-act-pipeda/p_principle/principles/p_use/):

1. Udokumentuj cel każdego procesu zbierania danych oraz każdy nowy cel określony później.
2. Wyznacz minimalny i maksymalny okres przechowywania.
3. Przechowuj dokumentację decyzji na tyle długo, aby osoba, której dane dotyczą, mogła skorzystać z prawa dostępu.
4. Przeglądaj zgromadzone dane, żeby żadne informacje nie pozostały po upływie ustalonego okresu.
5. Niszcz lub anonimizuj informacje, stosując zabezpieczenia odpowiednie do ich wrażliwości.

To cały cykl życia danych, a nie jedna liczba. CV, które jest właśnie oceniane, służy bieżącej rekrutacji. To samo CV w puli talentów służy dopasowaniu tej osoby do przyszłych stanowisk.

Notatki z rozmowy mogą z kolei wymagać przechowywania przez krótki czas po decyzji ze względu na prawo dostępu lub ewentualną skargę. Traktowanie tych trzech rodzajów dokumentacji jako jednego bezterminowego „profilu kandydata” zaciera różnice między nimi.

## Czy PIPEDA dotyczy każdego kanadyjskiego pracodawcy?

**Nie. Przepisy PIPEDA dotyczące zatrudnienia mają bezpośrednie zastosowanie do zakładów, przedsięwzięć i przedsiębiorstw podlegających regulacji federalnej. Innych pracodawców mogą obowiązywać przepisy prowincji dotyczące sektora prywatnego.**

Pierwsze pytanie nie brzmi więc: „Ile miesięcy?”, lecz: „Jakie prawo ma zastosowanie do tej organizacji i tego rodzaju dokumentacji?”

[Przewodnik OPC po PIPEDA i dokumentacji pracowniczej](https://www.priv.gc.ca/en/privacy-topics/employers-and-employees/02_05_d_18/) wymienia sektory podlegające regulacji federalnej, takie jak bankowość, telekomunikacja, radiofonia i telewizja, lotnictwo oraz transport między prowincjami. Zmiany wprowadzone ustawą Digital Privacy Act rozszerzyły te federalne przepisy dotyczące zatrudnienia na [kandydatów, a nie tylko pracowników](https://www.priv.gc.ca/en/privacy-topics/privacy-laws-in-canada/the-personal-information-protection-and-electronic-documents-act-pipeda/r_o_p/02_05_d_63_s4/).

| Pracodawca lub kontekst przetwarzania danych | Punkt wyjścia do analizy ochrony prywatności |
|---|---|
| Zakład, przedsięwzięcie lub przedsiębiorstwo podlegające regulacji federalnej | PIPEDA obejmuje dane osobowe kandydatów i pracowników związane ze stosunkiem pracy. |
| Pracodawca podlegający prawu Alberty | Do dokumentacji związanej z zatrudnieniem może mieć zastosowanie albertańska ustawa Personal Information Protection Act. |
| Pracodawca podlegający prawu Kolumbii Brytyjskiej | Do dokumentacji związanej z zatrudnieniem może mieć zastosowanie ustawa Personal Information Protection Act obowiązująca w Kolumbii Brytyjskiej. |
| Pracodawca podlegający prawu Quebecu | Może mieć zastosowanie quebecka ustawa o ochronie prywatności w sektorze prywatnym. |
| Pracodawca podlegający prawu innej prowincji | PIPEDA zasadniczo nie obejmuje danych pracowniczych tylko dlatego, że pracodawca działa w sektorze prywatnym. Nadal mogą mieć znaczenie inne przepisy dotyczące zatrudnienia, sektora publicznego lub praw człowieka, a także reguły umowne i branżowe. |
| Komercyjny przepływ danych między prowincjami lub za granicę | PIPEDA może obejmować dane osobowe przekazywane przez granice w ramach działalności komercyjnej, nawet jeśli równolegle obowiązuje zasadniczo podobne prawo prowincji. |

Tę mozaikę przepisów wyjaśniają [podsumowanie wymogów PIPEDA](https://www.priv.gc.ca/en/privacy-topics/privacy-laws-in-canada/the-personal-information-protection-and-electronic-documents-act-pipeda/pipeda_brief) oraz [pytania i odpowiedzi OPC dotyczące prawa federalnego i prawa prowincji](https://www.priv.gc.ca/en/privacy-topics/privacy-laws-in-canada/the-personal-information-protection-and-electronic-documents-act-pipeda/r_o_p/02_05_d_26/). Nie wystarczy nazwać ogólnokrajowej polityki „zgodną z PIPEDA” i uznać sprawę za załatwioną.

W dokumentacji dotyczącej prawa właściwego trzeba wskazać podmiot zatrudniający, sektor, miejsce pracy kandydata, prowincję pracodawcy, miejsca przechowywania danych, podmioty przetwarzające i transgraniczne przepływy danych. Prawnik będzie wtedy mógł odnieść przepisy do faktów, zamiast zgadywać na podstawie adresu pocztowego kandydata.

## Co zalicza się do danych osobowych kandydata?

**Dane osobowe kandydata obejmują zarówno fakty podane przez tę osobę, jak i opinie lub wnioski powstałe podczas rekrutacji.** Automatyczny proces, który usuwa wyłącznie przesłane CV, może pozostawić większość wrażliwej dokumentacji bez zmian.

Według OPC dane osobowe obejmują faktyczne i subiektywne informacje o możliwej do zidentyfikowania osobie. W systemie rekrutacyjnym mogą to być:

- imię i nazwisko, dane kontaktowe, lokalizacja i identyfikatory;
- CV, historia zatrudnienia, wykształcenie i linki do portfolio;
- oczekiwania finansowe i dostępność;
- nagrania i transkrypcje rozmów oraz metadane dotyczące terminów;
- notatki osób prowadzących rozmowy, oceny, głosy i rekomendacje;
- zadania programistyczne i komentarze recenzentów;
- odpowiedzi od osób udzielających referencji i wyniki weryfikacji przeszłości;
- e-maile, powody odrzucenia, informacje o potrzebnych udogodnieniach i skargi;
- wywnioskowane umiejętności, rankingi, oznaczenia ryzyka lub podsumowania wygenerowane przez AI.

Niektóre z tych pól są bardziej wrażliwe od innych. Żadne nie staje się jednak nieszkodliwe tylko dlatego, że zapisała je osoba rekrutująca, a nie kandydat.

[Wytyczne OPC dotyczące prywatności w miejscu pracy](https://www.priv.gc.ca/en/privacy-topics/employers-and-employees/02_05_d_17) zalecają zbieranie wyłącznie informacji niezbędnych do określonego celu i przejrzyste informowanie o ich wykorzystaniu. OPC proponuje nawet, aby pozwolić kandydatom rozmywać tło podczas rozmów wideo, co ogranicza przypadkowe zbieranie danych.

Zacznij od spisu danych, który pokaże, gdzie znajduje się dokumentacja: w portalu kariery, systemie śledzenia kandydatów (ATS), poczcie elektronicznej, kalendarzu, platformie wideo, narzędziu do oceny, dokumentach współdzielonych, eksportach, kopiach zapasowych czy systemach analitycznych. Polityka opisująca tylko rekord w ATS nie obejmuje rzeczywistej dokumentacji rekrutacyjnej.

## Czy PIPEDA wyznacza stały okres przechowywania danych kandydatów?

**PIPEDA nie określa jednego stałego okresu dla wszystkich danych kandydatów.** Wymaga ustalenia uzasadnionych okresów minimalnego i maksymalnego, powiązanych z celem, prawem dostępu, wymogami prawnymi i bezpiecznym usunięciem.

[Narzędzie OPC do samooceny zgodności z PIPEDA](https://www.priv.gc.ca/en/privacy-topics/privacy-laws-in-canada/the-personal-information-protection-and-electronic-documents-act-pipeda/pipeda-compliance-help/pipeda-compliance-and-training-tools/pipeda_sa_tool_200807) wskazuje, że organizacje powinny ustalać minimalne i maksymalne okresy oraz przechowywać informacje wykorzystane do podjęcia decyzji wystarczająco długo, aby po jej podjęciu osoba mogła uzyskać do nich dostęp.

Pozwala to uniknąć dwóch przeciwstawnych błędów:

- **Bezterminowe przechowywanie wszystkiego:** „Może kiedyś zatrudnimy tę osobę” nie wyznacza rozsądnej górnej granicy.
- **Usuwanie danych natychmiast po odrzuceniu:** kandydat może nadal mieć prawo dostępu, a wobec organizacji może zostać wniesiona skarga lub wszczęte postępowanie wyjaśniające. Może też powstać obowiązek zachowania danych ze względu na termin przedawnienia lub inną podstawę prawną.

PIPEDA nakłada też szczególny obowiązek wstrzymania usunięcia, gdy informacje są już przedmiotem wniosku o dostęp. [Ustęp 8(8)](https://laws-lois.justice.gc.ca/eng/acts/P-8.6/section-8.html) wymaga, aby organizacja przechowywała je tak długo, jak jest to potrzebne do wyczerpania przez daną osobę środków prawnych przewidzianych w ustawie. Automatyczny mechanizm usuwania danych potrzebuje więc funkcji wstrzymania, a nie tylko zegara.

Ostateczny okres trzeba ustalić na podstawie udokumentowanej oceny prawnej i operacyjnej. Dokumentacja powinna wyjaśniać, dlaczego organizacja potrzebuje danego rekordu, od którego zdarzenia biegnie termin, co wstrzymuje usunięcie i co następuje po jego upływie.

Skopiowanie od innej firmy wartości „24 miesiące” bez takiego uzasadnienia daje liczbę, ale nie harmonogram, który da się obronić.

## Jak rozdzielić rodzaje dokumentacji kandydatów?

**Przed przypisaniem okresu rozdziel dokumentację według celu i zdarzenia w cyklu życia.** Punktem wyjścia w poniższym harmonogramie są zdarzenia uruchamiające i kryteria decyzji, a nie arbitralnie przyjęte kanadyjskie terminy.

| Klasa dokumentacji | Cel i zdarzenie początkowe | Decyzja o okresie przechowywania | Działanie po upływie okresu |
|---|---|---|---|
| Aktywna kandydatura | Ocena kandydata na konkretne stanowisko; okres zaczyna się w chwili zgłoszenia lub importu | Przechowuj, dopóki proces jest aktywny, a cel pozostaje aktualny | Po zatrudnieniu, odrzuceniu lub wycofaniu przenieś do właściwej kategorii końcowej |
| Kandydatura odrzucona | Zachowanie dokumentacji decyzji na potrzeby dostępu, skargi i mających zastosowanie wymogów prawnych; okres zaczyna się od ostatecznej decyzji | Ustal z prawnikiem udokumentowane minimum i maksimum po decyzji | Usuń lub prawidłowo zanonimizuj, chyba że obowiązuje wstrzymanie |
| Profil w puli talentów | Dopasowanie osoby do przyszłych stanowisk; okres zaczyna się, gdy ten odrębny cel zostanie jasno przedstawiony i, jeśli to wymagane, zaakceptowany | Stosuj osobne zasady wygaśnięcia, odnowienia i wycofania | W przejrzysty sposób odnów podstawę albo usuń lub zanonimizuj dane |
| Zatrudniony kandydat | Nawiązanie stosunku pracy i zarządzanie nim; okres zaczyna się w chwili zatrudnienia | Do harmonogramu dokumentacji pracowniczej przenieś tylko niezbędne rekordy | Usuń powielone materiały rekrutacyjne, które nie służą już żadnemu celowi |
| Wniosek o dostęp lub prawny obowiązek zachowania danych | Zachowanie dowodów objętych wnioskiem, skargą, postępowaniem wyjaśniającym lub innym postępowaniem | Wstrzymaj standardowe usuwanie danych objętych obowiązkiem zachowania | Wznów standardowy harmonogram, gdy osoba odpowiedzialna zniesie wstrzymanie |
| Dokumentacja naruszenia | Wykazanie zgodności z przepisami po naruszeniu zabezpieczeń | Przepisy wykonawcze do PIPEDA ustanawiają odrębny 24-miesięczny okres przechowywania | Usuń zgodnie z harmonogramem dla dokumentacji naruszeń, nie zachowując zbędnych danych kandydatów |

Reguła 24 miesięcy dotycząca naruszeń ma wąski zakres. Sekcja 6 rozporządzenia [Breach of Security Safeguards Regulations](https://laws-lois.justice.gc.ca/eng/regulations/SOR-2018-64/FullText.html) wymaga przechowywania dokumentacji każdego naruszenia przez 24 miesiące od chwili, w której organizacja ustaliła, że do niego doszło.

Nie nakazuje zachowywania przez 24 miesiące samego CV, nagrania rozmowy ani całego profilu kandydata. Dokumentacja naruszenia powinna dowodzić, co się wydarzyło, ale nie tworzyć drugiego archiwum danych osobowych.

## Jak opracować uzasadniony harmonogram przechowywania?

**Harmonogram przechowywania danych kandydatów, który da się uzasadnić, przypisuje każdej klasie danych cel, osobę odpowiedzialną, zdarzenie uruchamiające, okres, zasadę wstrzymania i sprawdzony sposób usunięcia.**

Musi działać w wielu systemach, a nie pozostać akapitem, którego nikt nie potrafi przełożyć na działanie.

### 1. Zanim wybierzesz okres, ustal właściwość prawa

Zapisz podmiot zatrudniający, branżę, prowincję, miejsce pracy, przynależność do sektora publicznego lub prywatnego i transgraniczne przepływy danych. Oznacz pracodawców z Alberty, Kolumbii Brytyjskiej i Quebecu oraz tych podlegających regulacji federalnej, aby zastosować właściwe przepisy. W tej samej analizie uwzględnij wymogi wynikające z prawa pracy, ochrony praw człowieka, postępowań sądowych, prawa podatkowego i przepisów branżowych.

### 2. Sporządź spis całej dokumentacji kandydata

Wymień systemy i pola danych używane przed decyzją rekrutacyjną, w jej trakcie oraz po niej. Uwzględnij kopie w poczcie elektronicznej, wydarzeniach kalendarza, narzędziach do oceny, usługach wideo, eksportach, hurtowniach danych, zgłoszeniach do działu wsparcia i kopiach zapasowych. Każdej kopii przypisz osobę odpowiedzialną.

### 3. Określ po jednym celu dla każdej klasy dokumentacji

„Rekrutacja” to zbyt szerokie określenie. Rozróżnij ocenę na potrzeby bieżącego stanowiska, dopasowywanie do przyszłych stanowisk, obsługę potrzebnych udogodnień, zapobieganie oszustwom, dokumentację decyzji i dowody związane z incydentem bezpieczeństwa. Cel wyznacza zarówno sposób wykorzystania, jak i okres przechowywania.

### 4. Zdefiniuj początek odliczania i wstrzymania

Użyj jednoznacznego zdarzenia zapisanego w systemie, takiego jak `rejected_at`, `withdrawn_at`, `hired_at`, wygaśnięcie zgody lub zamknięcie sprawy. Nazwij zdarzenia, które wstrzymują usunięcie: wniosek o dostęp, skargę, postępowanie wyjaśniające, wezwanie do zachowania danych lub inny prawny obowiązek ich zachowania. Wskaż po jednej osobie uprawnionej do zniesienia każdego wstrzymania.

### 5. Ustal minimalny i maksymalny okres

Minimalny okres musi uwzględniać uzasadnione potrzeby prawne i związane z dostępem. Maksymalny zapobiega temu, by dane przechowywane „na wszelki wypadek” zostały na stałe. Obok liczby zapisz uzasadnienie zatwierdzone przez prawnika, a następnie weryfikuj je po zmianie prawa, celu lub systemu.

### 6. Precyzyjnie opisz usuwanie i anonimizację

Wskaż, co zostanie usunięte, nadpisane, odłączone, zagregowane lub zachowane. Uwzględnij załączniki, dane wyodrębnione z CV, notatki w polach tekstowych, indeksy wyszukiwania, pamięci podręczne, repliki i kopie zapasowe podmiotów przetwarzających. Zapisz, czy usunięcie następuje natychmiast, czy dane znikają zgodnie z udokumentowanym cyklem kopii zapasowych.

### 7. Przetestuj harmonogram i zachowaj dowody

Prześledź na przykładzie jednego kandydata cały proces aż do upływu okresu. Sprawdź rekord główny, załączniki, wyniki wyszukiwania, eksporty, integracje i procedury odtwarzania. Zachowaj dowody wykonania testu, ale nie umieszczaj w nich danych, które pozwoliłyby odtworzyć usunięty profil kandydata.

Przeglądaj harmonogram co najmniej wtedy, gdy dodajesz podmiot przetwarzający, zbierasz nowy rodzaj danych, wprowadzasz analizę z użyciem AI, rozpoczynasz działalność w kolejnej prowincji lub zmieniasz cel rekrutacji. Stała polityka nie nadąży za zmianami w sposobie przepływu i przechowywania danych.

## Czy można przechowywać dane odrzuconych kandydatów na potrzeby przyszłych stanowisk?

**Pulę talentów można utrzymywać tylko wtedy, gdy dopasowywanie do przyszłych stanowisk jest jasnym, zgodnym z prawem celem objętym osobnymi zasadami przechowywania.** Nie zamieniaj po cichu odrzuconej kandydatury na jedno stanowisko w bezterminowe źródło danych do pozyskiwania kandydatów na wszystkie kolejne stanowiska.

PIPEDA wymaga wskazania celów przed rozpoczęciem zbierania danych lub najpóźniej w chwili jego rozpoczęcia. W [ustaleniu OPC PIPEDA 2012-003](https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2012/pipeda-2012-003/) urząd stwierdził, że osoba szukająca pracy nie została odpowiednio poinformowana o celu zbierania danych osobowych.

Wniosek jest prosty: ogólnikowa polityka prywatności nie naprawi faktu, że cel nie został ujawniony przy zbieraniu danych.

Dobra klauzula dotycząca puli talentów wyjaśnia kandydatowi:

- na czym polega dopasowywanie do przyszłych stanowisk;
- które informacje będą przechowywane i wykorzystywane;
- jaki obowiązuje okres przechowywania lub odnowienia;
- czy dostęp do danych będą miały osoby rekrutujące, podmioty przetwarzające lub narzędzia wykorzystujące AI;
- jak wycofać się z puli albo poprosić o dostęp;
- co stanie się z danymi podczas usuwania lub anonimizacji po upływie okresu;
- jak skontaktować się z osobą odpowiedzialną za ochronę prywatności.

Nie sprowadzaj analizy do pola wyboru. W odniesieniu do stosunków pracy podlegających regulacji federalnej PIPEDA przewiduje okoliczności, w których zgoda nie jest wymagana na przetwarzanie informacji niezbędnych do nawiązania stosunku pracy, zarządzania nim lub jego zakończenia, choć wcześniejsze powiadomienie nadal ma znaczenie. Przepisy prowincji są różne. W praktyce trzeba jasno opisać kandydatowi cel i wskazać podstawę, którą prawnik potrafi uzasadnić.

## Czego wymagać od dostawcy ATS?

**ATS może realizować harmonogram przechowywania, ale zlecenie przetwarzania na zewnątrz nie przenosi odpowiedzialności pracodawcy.** Pracodawca musi wiedzieć, dokąd trafiają dane, oraz zapewnić odpowiednią ochronę za pomocą umów i nadzoru.

[Zasada odpowiedzialności](https://www.priv.gc.ca/en/privacy-topics/privacy-laws-in-canada/the-personal-information-protection-and-electronic-documents-act-pipeda/p_principle/principles/p_accountability/) zawarta w PIPEDA stanowi, że organizacja pozostaje odpowiedzialna za informacje przekazane podmiotowi trzeciemu do przetwarzania.

[Ustalenie OPC z 2020 roku dotyczące powierzenia przetwarzania](https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2020/pipeda-2020-001/) dodaje, że transgraniczne przetwarzanie nie jest zakazane. Organizacja powinna jednak działać przejrzyście, oceniać ryzyko i stosować odpowiednie postanowienia umowne oraz mechanizmy kontroli.

Dostawcy ATS zadaj konkretne pytania:

- Czy okres może być inny dla aplikacji, wpisów w puli talentów i osób zatrudnionych?
- Które zdarzenie w cyklu życia rozpoczyna bieg każdego okresu?
- Czy można wstrzymać usuwanie wybranych rekordów po otrzymaniu wniosku o dostęp albo ze względów prawnych?
- Co dzieje się z CV, notatkami, pocztą elektroniczną, wyodrębnionymi polami i zdarzeniami zapisanymi w audit trail?
- Jak dostawca postępuje z dalszymi podmiotami przetwarzającymi, indeksami wyszukiwania, replikami i kopiami zapasowymi?
- Czy można wyeksportować kompletną dokumentację danej osoby i ją sprostować?
- Czy dostawca potrafi udowodnić usunięcie albo wyjaśnić, po jakim czasie dane znikają z kopii zapasowych?
- Co stanie się ze wszystkimi danymi po zakończeniu umowy?

Umowa powinna ograniczać przetwarzanie do udokumentowanych celów, wymagać odpowiednich zabezpieczeń, regulować postępowanie z incydentami i dalszymi podmiotami przetwarzającymi oraz pozwalać sprawdzić zwrot lub usunięcie danych.

Strona poświęcona bezpieczeństwu, która zapewnia jedynie, że dane są „zaszyfrowane”, nie odpowiada na pytania o okres przechowywania.

To ważne, bo dokumentacja rekrutacyjna zawiera wyjątkowo dużo informacji. [Naruszenie danych kandydatów w Mercor](/blog/recruiting-platform-data-breach-candidate-pii-security) pokazało, że CV, dokumenty tożsamości i materiały z rozmów mogą uczynić z ATS atrakcyjny cel ataku.

Łatwiej zabezpieczyć najmniejszy zbiór danych, jaki da się uzasadnić, niż archiwum, o którego istnieniu nikt już nie pamięta.

## Czy usunięcie identyfikatorów wystarczy do anonimizacji danych kandydatów?

**Nie. Samo usunięcie imienia i nazwiska lub adresu e-mail nie sprawia, że dokumentacja kandydata staje się anonimowa.** Historia zatrudnienia, lokalizacja, linki do portfolio, rzadkie umiejętności, treść rozmów i inne zbiory danych mogą nadal pozwalać na identyfikację tej osoby.

W [ustaleniu OPC PIPEDA 2026-001](https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2026/pipeda-2026-001/) urząd stwierdził, że organizacja polegająca na anonimizacji musi wykazać, iż nie istnieje poważne prawdopodobieństwo ponownej identyfikacji na podstawie tych danych samych w sobie ani w połączeniu z innymi dostępnymi informacjami.

Tę ocenę trzeba regularnie ponawiać, ponieważ zmieniają się techniki ponownej identyfikacji i dostępne zbiory danych.

Dla każdego rekordu kandydata po upływie terminu świadomie wybierz jedno rozwiązanie:

- **Usuń:** usuń rekord i powiązaną treść, jeśli nie istnieje dalszy cel przechowywania.
- **Zanonimizuj:** nieodwracalnie przekształć dane i udokumentuj analizę ryzyka ponownej identyfikacji.
- **Zagreguj:** zachowaj wyłącznie statystyki, które nie dotyczą już możliwej do zidentyfikowania osoby.
- **Wstrzymaj usunięcie:** zachowaj tylko rekordy objęte udokumentowanym wstrzymaniem ze względów prawnych lub w związku z wnioskiem o dostęp.

Pseudonimizacja nie jest anonimizacją. Zastąpienie imienia i nazwiska identyfikatorem wewnętrznym przy zachowaniu klucza pozwalającego odnaleźć osobę sprawia, że rekord nadal zawiera dane osobowe.

Podobnie notatka z rozmowy zapisana swobodnym tekstem może umożliwiać identyfikację nawet po usunięciu pól strukturalnych.

## Jak Kit wspiera przechowywanie danych kandydatów?

**Kit oferuje konfigurowalny okres przechowywania, osobną klauzulę informacyjną dla aplikacji i treść zgody dla puli talentów, rejestrację zgody, jej odnowienie oraz automatyczną anonimizację. Nadal to ty ustalasz, które prawo ma zastosowanie, wybierasz okres, zarządzasz wstrzymaniami i konsultujesz powstałą politykę z prawnikiem.**

[Przewodnik Kit po prywatności kandydatów i zgodach](/docs/candidate-privacy-and-consent) opisuje dostępne mechanizmy:

- konfigurowalny okres przechowywania od 1 do 60 miesięcy, domyślnie 24 miesiące;
- edytowalną klauzulę informacyjną w formularzu aplikacyjnym i treść zgody w formularzu puli talentów;
- rejestrowanie daty i godziny przesłania formularza, dokładnej treści wyświetlonej w tym momencie oraz zaszyfrowanego adresu IP;
- odnowienie udziału w puli talentów 30 dni przed wygaśnięciem i przypomnienie 7 dni przed nim;
- automatyczną anonimizację po okresie karencji liczonym od wygaśnięcia, jeśli zgoda nie zostanie odnowiona;
- anonimizację odrzuconych lub wycofanych aplikacji po upływie okresu przechowywania, przy czym ten automatyczny proces nie obejmuje aplikacji zakończonych zatrudnieniem.

Te mechanizmy zamieniają zapisany harmonogram w zdarzenia, które system potrafi wykonać.

Nie określają, które kanadyjskie prawo ma zastosowanie, nie ustanawiają wstrzymania usunięcia danych z przyczyn prawnych, nie gwarantują zniknięcia każdej kopii u podmiotu przetwarzającego ani nie dowodzą, że konkretne przekształcenie spełnia test OPC dotyczący ponownej identyfikacji. Skonfiguruj produkt jako jeden z elementów szerszego programu.

Zacznij od oddzielenia bieżących aplikacji od dopasowywania do przyszłych stanowisk. Dodaj jasną klauzulę informacyjną, okres przechowywania zatwierdzony przez prawnika, osobę odpowiedzialną i przetestowany sposób usuwania. Potem przeglądaj harmonogram przy każdej zmianie celu, prowincji, podmiotu przetwarzającego lub danych. Jeśli chcesz powiązać te mechanizmy bezpośrednio z procesem rekrutacji, możesz [rozpocząć bezpłatny okres próbny](/users/sign_up) i skonfigurować prywatność kandydatów, zanim ruszy rekrutacja na kolejne stanowisko.