Cât timp poți păstra legal CV-urile?

Poți păstra CV-urile doar cât ai un scop clar și un temei legal clar. Nu există în GDPR un termen universal de tip „6 luni” sau „3 ani” care să se aplice automat tuturor recrutărilor.

Asta este partea pe care multe firme o ratează. Potrivit raportului EDPB din februarie 2026, multe organizații mici au dificultăți în definirea perioadelor de retenție și uneori aplică greșit cel mai lung termen tuturor prelucrărilor, în loc să stabilească termene diferite pe scopuri. Exact aici apar problemele: CV-ul pentru un rol activ, CV-ul pentru roluri viitoare și notițele de interviu nu trebuie tratate la grămadă.

Există în GDPR un termen clar pentru CV-urile candidaților respinși?

Nu. GDPR nu îți dă un număr fix de luni sau ani pentru CV-urile candidaților respinși.

Îți dă altceva: principiul limitării stocării. Adică păstrezi datele atât timp cât sunt necesare pentru scopul pentru care le-ai colectat. Asta înseamnă că întâi definești scopul, apoi alegi termenul, apoi îl pui în nota de informare și îl respecți.

Dacă scopul este recrutarea pentru un post concret, termenul trebuie legat de acel proces. Dacă scopul este și contactarea candidatului pentru roluri viitoare, ai nevoie de un raționament separat. Dacă vrei să păstrezi datele și pentru apărarea unui drept în caz de contestație, și asta trebuie explicat separat.

Un termen defensabil nu este „așa se face în piață”. Un termen defensabil este unul pe care îl poți explica simplu: de ce ai nevoie de el, ce date păstrezi, pentru ce și ce se întâmplă la final.

Poți păstra CV-ul după ce ai ocupat postul?

Da, dar nu automat și nu la nesfârșit.

Dacă recrutarea s-a închis, scopul principal s-a consumat. Din acel moment trebuie să te întrebi dacă mai ai un alt scop real. De exemplu: vrei să păstrezi CV-ul pentru roluri viitoare similare sau vrei să păstrezi pentru o perioadă limitată documentele esențiale ca să poți răspunde la o eventuală contestație privind selecția.

Dacă nu ai un scop suplimentar clar, răspunsul corect este ștergerea. Dacă ai un scop suplimentar, stabilești un termen separat și îl comunici candidatului.

Un reper util din piață: Banca Centrală Europeană spune în privacy statement-ul său de recrutare că profilul de candidat se păstrează 2 ani după creare sau actualizare ori după comunicarea rezultatului final. Nu este o regulă obligatorie pentru tine. Este doar dovada că termenul trebuie scris, explicat și legat de proces, nu lăsat din inerție.

Când ai nevoie de consimțământ și când poți merge pe interes legitim?

Pentru recrutarea pe un rol activ, de multe ori nu ai nevoie de consimțământ pentru a analiza CV-ul. De regulă, discuția reală apare când vrei să păstrezi CV-ul după închiderea procesului, pentru oportunități viitoare.

Aici ai două variante care apar și în ghidul EDPB pentru IMM-uri, accesat în octombrie 2026: consimțământul sau interesul legitim. Consimțământul poate fi valabil pentru stocarea CV-urilor în vederea recrutărilor viitoare, dar nu este singura bază posibilă. EDPB spune explicit că și interesul legitim poate fi o bază, dacă faci testul de echilibrare și informezi clar candidatul.

Totuși, cu consimțământul trebuie să fii atent. EDPB a reiterat în mai 2026 că un consimțământ nu este „liber” când există dezechilibru de putere, cum este relația angajator–angajat. În recrutare nu e identic cu raportul de muncă deja existent, dar tot trebuie să eviți formulele forțate, ascunse sau ambigue.

Pe scurt, dacă mergi pe consimțământ, el trebuie să fie separat, clar și ușor de retras. Dacă mergi pe interes legitim, trebuie să poți explica de ce păstrarea limitată pentru roluri viitoare este rezonabilă, ce așteptări are candidatul și de ce impactul asupra lui este redus.

Cum alegi un termen defensabil fără să inventezi unul?

Pornești de la scenariu, nu de la număr. Întrebarea bună nu este „câte luni punem?”. Întrebarea bună este „pentru ce scop exact păstrăm aceste date după ziua de azi?”.

• Recrutare activă pentru un post concret: păstrezi CV-ul și materialele strict cât durează selecția și încă o perioadă limitată, dacă ai nevoie să gestionezi întrebări sau contestații legate de proces.
• Bază de talente pentru roluri viitoare: stabilești un termen separat, explici de ce este util și revizuiești periodic dacă profilul mai este relevant.
• Candidaturi spontane: nu le lași pe termen nedefinit în inbox. Le tratezi ca pe un flux distinct, cu informare și termen propriu.
• CV-uri primite de la manageri, pe e-mail sau WhatsApp: le aduci cât mai repede într-un proces controlat, cu informare, decizie de retenție și ștergere din canalele informale când nu mai sunt necesare.
• Notițe de interviu, teste, scoring: nu presupui că au același termen ca CV-ul. Le păstrezi doar cât ai nevoie pentru evaluare, justificarea deciziei și eventuale clarificări ulterioare.

Mai simplu spus: scop diferit, termen diferit. Exact asta lipsește des din practică și exact asta cere logica GDPR.

Și încă ceva util: marile instituții UE își actualizează explicit documentele de recrutare și retenție. Comisia Europeană, prin Joint Research Centre, a publicat la 10 august 2026 o pagină de recrutare care trimite la un privacy statement actualizat „July 2026”. Semnalul este clar: nu lași formule vechi neschimbate ani la rând.

Ce faci cu CV-urile venite pe e-mail, WhatsApp sau de la manageri?

Le tratezi ca date personale intrate în procesul de recrutare, chiar dacă nu au venit prin formularul tău. Aici apar cele mai multe scăpări: inboxuri personale, grupuri de WhatsApp, desktop, foldere cu nume improvizate.

Primul pas este să muți datele într-un loc controlat. Dacă folosești un program de recrutare, asta înseamnă să aduci candidatul în sistem, să atașezi sursa și să aplici aceeași regulă de retenție ca pentru restul candidaților. Dacă încă alegi un astfel de sistem, vezi cum funcționează un program de recrutare înainte să continui cu Excel și inboxuri dispersate.

Al doilea pas este informarea. Candidatul trebuie să știe cine îi prelucrează datele, pentru ce, pe ce bază și cât timp. Al treilea pas este curățenia: după ce ai mutat datele unde trebuie, nu le mai lași dublate inutil în e-mail sau în conversații.

Cât timp păstrezi notițele de interviu, testele și scoringul?

Atât cât sunt necesare pentru evaluare și, separat, atât cât ai nevoie să susții decizia dacă apar întrebări serioase despre proces. Nu le păstra automat mai mult decât CV-ul și nici nu presupune că sunt „note personale” în afara GDPR.

Dacă notițele și scoringul stau într-un ATS, regula trebuie să fie aceeași: termen definit, scop definit, ștergere automată la termen. Asta este mult mai ușor de controlat decât dacă fiecare recrutor ține fișiere locale. În zona de conformitate a unui ATS bun contează exact aceste detalii operaționale: notificare înainte de ștergere, ștergere la termen, trasabilitate.

Legat de AI, spune-le clar oamenilor cum folosești instrumentele din proces. Din 2 august 2026 se aplică cea mai mare parte din AI Act, inclusiv obligațiile de transparență. Regulile pentru sistemele de AI cu risc ridicat folosite la recrutare și angajare se aplică din 2 decembrie 2027, după amânarea adoptată de UE în 2026 prin Omnibusul digital. Verifică totuși mereu stadiul la zi. Important pentru tine acum: dacă folosești AI pentru scoruri sau suport în evaluare, explică rolul lui și păstrează decizia la om.

Cum documentezi decizia ca să o poți apăra?

Nu ai nevoie de eseuri. Ai nevoie de o regulă scurtă și coerentă.

Scrie pentru fiecare categorie: ce date sunt, în ce scop le ții, care este baza legală, care este termenul și ce se întâmplă la finalul termenului. Dacă termenul diferă între candidați pentru rol activ, talent pool și candidaturi spontane, cu atât mai bine. Asta arată că ai gândit procesul.

În nota de informare, evită formulările vagi de tip „vom păstra datele atât cât considerăm necesar”. Spune direct perioada sau criteriile clare după care o stabilești. Iar în practică, verifică dacă poți chiar să ștergi la timp, nu doar să scrii frumos în documente.

Regula sănătoasă este simplă: nu păstrezi tot, pentru orice, pe cel mai lung termen posibil. Alegi pe scopuri, explici pe scurt și execuți consecvent.

Întrebări frecvente

Pot să păstrez CV-urile tuturor candidaților 3 ani, ca să fiu acoperit? Nu este o idee bună dacă nu poți explica de ce ai nevoie de 3 ani pentru fiecare scop. Un termen lung pus din inerție, fără diferențiere pe scenarii, este exact genul de practică pe care EDPB a arătat că multe organizații o aplică greșit.

Dacă omul mi-a trimis CV-ul pe WhatsApp, pot să-l țin acolo? Doar temporar și doar cât îl muți într-un proces controlat. După aceea, aplici aceleași reguli de informare și retenție ca pentru orice altă candidatură și eviți să lași copii inutile în conversații.

Este consimțământul cea mai sigură bază pentru talent pool? Nu neapărat. Poate fi o bază bună dacă este real, separat și ușor de retras, dar EDPB spune clar că nu este singura opțiune; în unele cazuri poți merge și pe interes legitim, dacă faci testul de echilibrare și informezi clar candidatul.