Dokumenty RODO dla pracownika: podpisy pierwszego dnia i akta osobowe
czytaj więcej
Dajesz ogłoszenie o pracę, a na dole piszesz: „CV prosimy przesyłać na praca.firma@gmail.com”. Po tygodniu na skrzynce leżą życiorysy z adresami, telefonami i historią zatrudnienia. Potem przyjmujesz kogoś i nowy pracownik przysyła na ten sam adres skan dyplomu, numer konta do wypłaty, a czasem orzeczenie o niepełnosprawności.
Wygodne i za darmo. Tyle że RODO w rekrutacji i w kadrach nie pyta, czy za skrzynkę płacisz, tylko czy masz umowę z firmą, która ją utrzymuje. Sprawdziłam regulaminy Gmaila, WP, Onetu i Interii obowiązujące 20 października 2026 r. Poniżej znajdziesz, który z nich daje taką umowę, co z tego widzi kandydat i co poprawić w dokumentach.
Spis treści
CV i dokumenty pracowników na darmowej skrzynce: co trafia do dostawcy poczty
Wszystko, co przyjdzie na skrzynkę. Kodeks pracy pozwala żądać od kandydata imienia i nazwiska, daty urodzenia i danych kontaktowych, a gdy są potrzebne na danym stanowisku, także wykształcenia, kwalifikacji zawodowych i przebiegu zatrudnienia. Od pracownika pracodawca żąda dodatkowo m.in. adresu, numeru PESEL i numeru konta (art. 22¹ § 1, 2 i 3 Kodeksu pracy). Do tego dochodzi to, co kandydat dopisze sam, np. zdjęcie.
imię i nazwisko data urodzenia telefon i e-mail wykształcenie przebieg zatrudnienia PESEL numer konta warning dane o zdrowiu
Wszystkie te wiadomości leżą na serwerach dostawcy poczty. On przechowuje je na Twoje zlecenie, więc w języku RODO jest podmiotem przetwarzającym, a Ty administratorem. Taka współpraca wymaga umowy powierzenia na piśmie, a RODO wlicza do tego formę elektroniczną (art. 28 ust. 1, 3 i 9 RODO).
Darmowe konto nie zwalnia z umowy. W decyzji z 26 sierpnia 2025 r. (DKN.5130.3165.2020) Prezes Urzędu Ochrony Danych Osobowych (UODO) opisał szkołę, której przejęto darmową skrzynkę. Były w niej m.in. dane pracowników, w tym numery PESEL z imionami, nazwiskami i adresami, a umowy powierzenia nie było „ze względu na niekomercyjny charakter konta”. Skończyło się upomnieniem, m.in. za naruszenie art. 28 ust. 1, 3 i 9 RODO, i nakazem przeprowadzenia analizy ryzyka dla poczty w ciągu 3 miesięcy.
Osobną sprawą jest to, czy dokumenty od pracowników w ogóle powinny iść mailem. O tym piszemy we wpisie Przesyłanie danych osobowych mailem a RODO - dokumenty pracowników. Tutaj zostajemy przy samej skrzynce.
Czy regulamin darmowej poczty zastępuje umowę powierzenia?
Zwykle nie. Umowa powierzenia musi określać m.in. przedmiot i czas przetwarzania, jego cel, rodzaj danych i kategorie osób, których dane dotyczą (art. 28 ust. 3 RODO). Regulamin pisany dla osób prywatnych tego nie robi, bo zakłada, że skrzynka służy Tobie, a nie kandydatom i pracownikom Twojej firmy. Każdy z czterech dostawców rozwiązał to inaczej:
- mail
Gmail
Warunki korzystania z usług Google (wersja z 30 lipca 2026 r.) dla zwykłego konta nie zawierają umowy powierzenia. Ma ją płatny Google Workspace: w warunkach przetwarzania danych (po angielsku) Google jest podmiotem przetwarzającym, a dokument obejmuje też szczególne kategorie danych.
- draw
WP
Regulamin poczty WP odsyła do odrębnej umowy powierzenia. Jej wzór w PDF wypełniasz dla konkretnego adresu i podpisujesz w dwóch egzemplarzach albo kwalifikowanym podpisem elektronicznym. W załączniku nr 1 zaznaczasz kategorie osób, a wśród nich są kandydaci na pracownika lub współpracownika oraz pracownicy.
- lock
Onet
Regulamin Onet Poczty (od 28 stycznia 2026 r., pkt 8.5) pozwala przetwarzać dane objęte RODO i zawrzeć umowę powierzenia tylko w wybranych płatnych wersjach usługi. W innych przypadkach Onet może to dopuścić indywidualnie, według własnej decyzji.
- block
Interia
Regulamin kont Interii (rozdz. VI ust. 13) dopuszcza konto bezpłatne i płatne wyłącznie do celów osobistych, niezwiązanych bezpośrednio z działalnością gospodarczą lub zawodową. Umowę powierzenia ma pakiet PocztaPRO jako załącznik nr 1 do regulaminu (rozdz. VIII ust. 3). Zawiera się ona z chwilą akceptacji regulaminu, ale wprost wyłącza dane szczególnej kategorii (zał. nr 1 ust. 5), więc nie obejmuje np. orzeczeń o niepełnosprawności.
Z tej czwórki tylko WP z góry przewiduje umowę powierzenia przy darmowej skrzynce, i to dopiero wtedy, gdy podpiszesz wzór. Przy rekrutacji zwróć uwagę na rubrykę z rodzajami danych. Wzór ma tam pola na imię i nazwisko, telefon, e-mail czy adres, ale nie ma pól na datę urodzenia, PESEL, numer konta, wykształcenie, przebieg zatrudnienia ani dane o zdrowiu. Te dopisujesz w polu „Inne”, bo inaczej umowa nie obejmuje tego, co naprawdę jest w CV i w dokumentach pracowników. Zaznacz też operacje przetwarzania (co najmniej przechowywanie). Wzór ma główkę dla spółki (KRS, kapitał zakładowy), więc jako jednoosobowa firma wpisujesz dane z wpisu w Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG).
Kandydat widzi adres w odpowiedzi na swoje CV
Końcówka adresu jest w ogłoszeniu, w polu nadawcy i w stopce każdej odpowiedzi. Kto zna RODO, przy @gmail.com, @onet.pl, @interia.pl czy @wp.pl od pierwszego maila widzi, że to skrzynka z usługi dla wszystkich, a w takich usługach umowy powierzenia zwykle nie ma albo trzeba ją osobno zawrzeć. Czy ją masz, z zewnątrz nie widać, więc taka osoba może po prostu zapytać.
Kandydat, który uzna, że przetwarzanie jego danych narusza RODO, może złożyć skargę do Prezesa UODO (art. 77 RODO). Wtedy pytania przychodzą do Ciebie, a jednym z nich może być relacja z dostawcą poczty. Jak wygląda takie pismo i jak na nie odpowiedzieć, opisujemy we wpisie Pismo z UODO u pracodawcy: o co pyta urząd i jak odpowiedzieć.
Gmail dla firmy albo poczta na własnej domenie: co sprawdzić przed zmianą
Do wyboru masz dwie drogi: płatną wersję tej samej usługi (Gmail dla firmy to Google Workspace, w Onecie wybrana wersja płatna, w Interii PocztaPRO) albo pocztę dla firmy na własnej domenie, czyli adres w stylu praca@nazwafirmy.pl. Taki dostawca też przetwarza dane na Twoje zlecenie, więc umowę sprawdzasz tak samo.
- Gdzie jest umowa - w regulaminie, w załączniku albo jako osobny dokument do podpisania. W regulaminie szukaj (Ctrl+F) słów „powierz” i „podmiot przetwarzający”, w warunkach po angielsku „data processing”.
- Czy obejmuje kandydatów i pracowników - także dane o zdrowiu, jeśli takie dokumenty dostajesz. To dane szczególnej kategorii (art. 9 RODO), a np. umowa w PocztaPRO wprost je wyłącza.
- Kto ma dostęp do skrzynki - w szkole z decyzji UODO pięć osób obsługiwało skrzynkę jednym wspólnym hasłem. Lepiej, żeby każda osoba z kadr miała własne konto.
- Dowód zawarcia umowy - podpisany wzór albo regulamin z załącznikiem o powierzeniu, zapisany w PDF z datą akceptacji.
Stara darmowa skrzynka nie znika sama. Zostają w niej CV z dawnych rekrutacji i skany od pracowników, więc zdecyduj, co przenosisz do nowej poczty, a co usuwasz zgodnie z okresem przechowywania, który podajesz w klauzuli dla kandydatów.
Ochrona danych osobowych w rekrutacji i kadrach: dostawca poczty w rejestrze i klauzulach
Po zmianie poczty zostają jeszcze dokumenty, w których opisujesz RODO w rekrutacji i kadrach. Popraw w nich trzy miejsca:
- Rejestr czynności przetwarzania - przy czynnościach „rekrutacja” i „kadry” dostawca poczty trafia do kategorii odbiorców (art. 30 ust. 1 lit. d RODO).
- Spis podmiotów przetwarzających - dopisz dostawcę poczty i dołącz umowę.
- Klauzule dla kandydatów i pracowników - informujesz w nich o odbiorcach albo kategoriach odbiorców danych (art. 13 ust. 1 lit. e RODO). Jeśli wymieniasz dostawców z nazwy, popraw nazwę po zmianie.
Wybierasz dostawcę z grupy amerykańskiej, jak Google? Dane mogą wtedy trafić poza Europejski Obszar Gospodarczy, więc w rejestrze wpisz przekazanie do państwa trzeciego (art. 30 ust. 1 lit. e), a w klauzuli poinformuj o nim (art. 13 ust. 1 lit. f). Upoważnienia dla osób z kadr, które obsługują skrzynkę, omawiamy we wpisie Dokumenty RODO dla pracownika: podpisy pierwszego dnia i akta osobowe.
Najczęstsze pytania o CV, dane pracowników i darmową pocztę
Czy Gmail jest zgodny z RODO?+
Zwykłe konto Gmail nie daje umowy powierzenia, więc do przyjmowania CV i dokumentów pracowników się nie nadaje. Google Workspace ma warunki przetwarzania danych, w których Google jest podmiotem przetwarzającym, a Ty administratorem.
Czy mogę przyjmować CV na prywatny mail?+
Wyjątek dla „czynności o czysto osobistym lub domowym charakterze” (art. 2 ust. 2 lit. c RODO) tu nie działa, bo rekrutacja to działalność firmy. RODO w rekrutacji obowiązuje więc także na skrzynce założonej kiedyś prywatnie. Przy prywatnym Gmailu, Onecie czy Interii umowy powierzenia zwykle nie zawrzesz, więc CV przyjmuj na adres, za którym taka umowa stoi.
Czy darmowa poczta WP wystarczy do rekrutacji?+
Może, jeśli podpiszesz wzór umowy powierzenia WP dla tego adresu i zaznaczysz w nim kandydatów oraz pracowników. Rodzaje danych z CV i dokumentów kadrowych, których nie ma w polach wzoru (np. PESEL, data urodzenia, wykształcenie), wpisz w polu „Inne”.
Czy przetwarzanie danych kandydatów przez dostawcę poczty trzeba wpisać do klauzuli?+
Tak, w klauzuli dla kandydatów podajesz odbiorców albo kategorie odbiorców danych (art. 13 ust. 1 lit. e RODO). Wystarczy kategoria, np. „dostawca usług poczty elektronicznej”, jeśli nie wymieniasz firm z nazwy.
Od czego zacząć jeszcze dziś? Otwórz swoje ostatnie ogłoszenie o pracę i sprawdź, na jaki adres prosisz o CV. Jeśli to darmowa skrzynka bez umowy powierzenia, przed następną rekrutacją podpisz umowę albo zmień pocztę.
Wolisz, żeby ktoś to za Ciebie poukładał? W dokumentacji RODO dla firmy dostajesz klauzule dla kandydatów i pracowników oraz wzór umowy powierzenia ze spisem dostawców, a w wariancie po audycie także listę zmian do wprowadzenia w firmie.
