GDPR és toborzási szoftver — Amit tudnod kell 2026-ban
A GDPR és toborzás összekapcsolása sokak számára kellemetlen téma — mert ha alaposan megnézed, hogyan kezeled a jelöltek adatait, valószínűleg találsz kockázatokat. Az önéletrajzok e-mailben porosodnak, a hozzájárulásokat senki nem követi nyomon, és a „töröltem az Excelből” nem számít jogszerű adattörlésnek. Ebben a cikkben összefoglaljuk, mire figyelj 2026-ban — és hogyan automatizáld a megfelelés rutinfeladatait.
Miért különösen kényes terület a GDPR toborzásban?
A toborzás során különösen érzékeny személyes adatokat gyűjtesz: névtől és elérhetőségtől kezdve a munkahelytörténeten át esetleg egészségügyi vagy büntetőjogi adatokig. A GDPR (General Data Protection Regulation) és a magyar NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság) szabályozása egyaránt vonatkozik ezekre az adatokra.
A kockázat valós: a GDPR 83. cikke szerint a legsúlyosabb jogsértésekért akár 20 millió euró vagy az éves globális árbevétel 4%-a is kiszabható (a kettő közül a magasabb), és a NAIH munkahelyi adatkezelési ügyekben is eljár. KKV-nál a tényleges bírság jellemzően ennél jóval kisebb — de egy eljárás ideje és a reputációs kár is költség.
A 4 alapelv, amit minden toborzónak tudnia kell
1. Jogalapszükséglet
A jelölt önéletrajzát nem tárolhatod korlátlanul csak azért, mert elküldte. A jelöltadatok kezeléséhez jogalap szükséges — toborzásnál ez jellemzően:
- Szerződéskötés előtti lépések (ha aktív felvételi folyamat zajlik)
- Hozzájárulás (ha talent pool-ban szeretnéd tárolni a nem felvett jelöltet)
Ami nem jogalap: „Mert beküldte az önéletrajzát.” A passzív e-mail küldés önmagában nem jelenti a hozzájárulást a hosszú távú adatkezeléshez.
2. Adatmegőrzési határidő
A jelölt adatait nem tárolhatod korlátlan ideig: a GDPR 5. cikk (1) e) pontja (korlátozott tárolhatóság) szerint csak addig, amíg a cél indokolja. Konkrét napszámot a rendelet nem ad — a megőrzési időt neked kell meghatároznod és a tájékoztatóban rögzítened. A gyakorlatban bevett logika:
- Aktív toborzás alatt: Az állás betöltéséig
- Elutasított jelöltnél, hozzájárulás nélkül: A döntés után rövid, a tájékoztatóban megnevezett és indokolt ideig (sok cég néhány hónapot határoz meg az esetleges jogviták miatt), utána törlés
- Talent pool-ban, hozzájárulással: A tájékoztatóban rögzített ideig (pl. 1-2 év), utána meg kell újítani
Ha ez az idő lejár és a jelölt nem járult hozzá a hosszabb tároláshoz, az adatokat törölni vagy anonimizálni kell.
3. Érintetti jogok
A jelölt bármikor kérheti:
- Hozzáférési jog: „Mutasd meg, milyen adatokat tárolsz rólam”
- Törlési jog: „Töröld az összes adatomat”
- Helyesbítési jog: „Ez az adat hibás, javítsd ki”
- Adathordozhatóság: „Add ki az adataimat géppel olvasható formátumban”
Ha ezt egy jelölt e-mailben kéri, egy hónap áll rendelkezésre a válaszra, amely indokolt esetben további két hónappal meghosszabbítható (GDPR 12. cikk (3)).
4. Adatfeldolgozói szerződés (DPA)
Ha toborzási szoftvert használsz — vagyis egy harmadik fél tárolja a jelöltadatokat —, adatfeldolgozói szerződés (Data Processing Agreement) szükséges a szoftver szolgáltatójával. Ez a GDPR kötelező eleme.
A kézi adatkezelés 5 legnagyobb GDPR-kockázata
1. Az önéletrajzok e-mailben évekig megmaradnak
Az e-mail beérkező mappa nem törlődik automatikusan. Egy 2019-es hirdetésre beérkező önéletrajzok valószínűleg még mindig ott vannak — anélkül, hogy bárki hozzájárult volna az évekig tartó tároláshoz.
Kockázat: Adatmegőrzési határidő megsértése.
2. Nincs nyomon követhető hozzájárulás
Ha e-mailben küldik az önéletrajzot, honnan tudod, hogy a jelölt hozzájárult a talent pool-ban való tároláshoz? Ha nincs írásos, dokumentálható hozzájárulás, azt nem is tudsz igazolni.
Kockázat: Jogalap hiánya.
3. Az Excel nem tud anonimizálni
GDPR szempontból a törlés mellett az anonimizálás is elfogadható megoldás lehet (az adatok megmaradhatnak statisztikához, de a személy már nem azonosítható belőlük). Egy Excel-sorból való törlés nem anonimizálás — ha a fájl biztonsági másolatai léteznek, az adat nem törlődött valóban.
Kockázat: Érintetti jogok nem teljesíthetők megfelelően.
4. Nincs audit-trail
Ha az NAIH vizsgálatot indít, igazolnod kell, hogy ki, mikor, milyen adatot látott és módosított. Excelben nincs ilyen napló — amit az ellenőrző hatóság is tud.
Kockázat: Bizonyítási teher a cégre hárul, nem az ügyfélre.
5. A DPA-t elfelejtik megkötni
A legtöbb KKV tudja, hogy GDPR van — de nem gondol arra, hogy egy szoftverszolgáltató adatfeldolgozónak minősül. Ha nincs aláírt DPA, az önmagában szabálysértés.
Kockázat: Hiányzó szerződéses alap a harmadik féllel való adatmegosztáshoz.
Mit keress egy toborzási szoftverben — és hol segít az HRscale?
A fenti kockázatokra egy jó toborzási szoftver az alábbiakkal válaszol. Ezeket bármelyik szolgáltatón kérd számon:
Adatmegőrzési határidők és emlékeztetők
Legyen beállítható, mennyi ideig tárolod a jelöltek adatait, és szóljon a rendszer, ha egy határidő közeledik — ne neked kelljen naptárazni.
Gyors törlés és anonimizálás
Egy törlési kérelemnél egy helyről, néhány lépésben törölhesd vagy anonimizálhasd a jelölt összes adatát — az önéletrajztól a kommunikációs előzményeken át az értékelési megjegyzésekig.
Dokumentált hozzájárulás a jelentkezésnél
A jelentkezési űrlapon legyen adatkezelési tájékoztató és hozzájárulási jelölőnégyzet, és a hozzájárulás időpontja rögzüljön — ez a dokumentálható hozzájárulás, amelyre szükség van.
Szerverek helye és DPA
Kérd el írásban, hol (EU-n belül vagy kívül) tárolják az adatokat, és kapsz-e adatfeldolgozói szerződést (GDPR 28. cikk).
Ebben segít az HRscale
- A központi jelöltadatbázisban minden jelentkező egy helyen van — nem szétszórva postafiókokban és Excel-fájlokban —, így egy hozzáférési vagy törlési kérésnél tudod, hol keresd az adatokat.
- A jelölt-profilon a csapat jegyzetei, értékelései és a kommunikáció egy helyen látszanak, nem e-mail-szálakban.
- E-mail sablonnal kérheted a hozzájárulást azoktól, akiket a jövőre megőriznél — kiindulópontnak jó az automatikus elutasító levél cikk talent pool-os sablonja.
A szerverek helyéről, az adatfeldolgozói szerződésről és a törlés menetéről — ahogy bármely szolgáltatónál — kérj írásos tájékoztatást a próbaidőszak alatt. A megfelelésért végső soron te, az adatkezelő felelsz: a szoftver ebben eszköz, nem garancia.
Toborzási GDPR ellenőrzőlista — Hol tartasz most?
Futtasd végig ezt az ellenőrzőlistát a jelenlegi folyamataidon:
- Van-e GDPR-megfelelő hozzájárulási checkbox a karrieroldalon/jelentkezési formon?
- Dokumentáltan nyomon követhető a jelöltek hozzájárulása?
- Meghatározott adatmegőrzési határidők vannak beállítva?
- Tudod-e, hol tárolódnak az összes jelölt adatai (e-mail, Excel, szoftver)?
- Ki tudsz-e adatot adni, ha egy jelölt kéri (egy hónapon belül)?
- Egyszerűen törölhetsz-e minden adatot egy jelölttől, ha kéri?
- Kötöttél-e DPA-t a toborzási szoftver szolgáltatójával?
- Tartalmaz-e a karrieroldalad adatkezelési tájékoztatót?
Ha 3-nál több pontban „nem” a válasz, a kézi adatkezelési rendszered GDPR-kockázatot jelent.
→ Bővebben: Toborzási szoftver teljes útmutató — Minden, amit az ATS rendszerekről tudni kell
Szoftver nélkül is GDPR-kompatibilis lehetek?
Technikailag igen — de a valóságban nagyon nehéz. A kézi GDPR-megfelelőség azt jelenti:
- Minden hozzájárulást külön dokumentálsz és archiválsz
- Naptárazod az összes jelölt adatmegőrzési határidejét és manuálisan törölsz
- Minden törlési/hozzáférési kérésre egy hónapon belül válaszolsz és dokumentálsz
- Audit-trailt vezetsz, ki, mikor, mit látott
Ez megoldható — de havi rendszeres adminisztrációt igényel. Ha elfelejtesz egy törlési határidőt (és el fogod felejteni), az már jogsértés.
Gyakran Ismételt Kérdések (GYIK)
K: Mi a maximális GDPR-bírság toborzási jogsértésnél? V: A GDPR 83. cikk (5) alapján a maximum az éves globális árbevétel 4%-a, vagy 20 millió euró — a kettő közül a magasabb. Magyar KKV-knál a tényleges bírságok jellemzően alacsonyabbak, de az NAIH által kiszabott bírságok is elérhetik a több millió forintos tartományt, különösen ismétlődő vagy szándékos jogsértésnél.
K: Mennyi ideig tárolhatom az elutasított jelöltek adatait? V: A GDPR nem ad konkrét határidőt: hozzájárulás nélkül csak addig, amíg a cél indokolja — a betöltés után rövid, a tájékoztatóban rögzített ideig. Ha a jelölt hozzájárult a talent pool-ban való tároláshoz, a tájékoztatóban megadott ideig (pl. 1-2 évig) — de ezt rendszeresen meg kell újítani.
K: Az e-mailben beérkező önéletrajzok is GDPR hatálya alá esnek? V: Igen. Az e-mailben beérkező önéletrajz is személyes adat, amelynek kezeléséhez jogalapra van szükség. Az e-mail postaládában való tárolás nem jelent automatikus hozzájárulást a hosszú távú adatkezeléshez.
K: Kell-e a toborzási szoftver minden felhasználójával DPA-t kötni? V: Nem — a DPA-t a szoftver szolgáltatójával kell megkötni (aki adatfeldolgozónak minősül). A belső felhasználók (HR-esek, hiring managerek) nem igényelnek külön DPA-t.
K: Mi a különbség az adattörlés és az anonimizálás között? V: A törlés az adat fizikai megsemmisítése. Az anonimizálás során az adat megmarad, de a személy már nem azonosítható belőle (pl. a nevet, e-mailt, telefonszámot eltávolítod, de a „35 éves, 5 év tapasztalattal rendelkező jelölt, Profession.hu-ról érkezett” statisztikailag megmarad). A visszafordíthatatlan anonimizálás a gyakorlatban a törlés elfogadott alternatívája.
Összefoglalás
A GDPR-megfelelőség a toborzásban nem opcionális — és a kézi adatkezelés szinte garantáltan kockázatokat rejt. Az automatizált megőrzési emlékeztetők, az egyetlen kattintásos törlés és a beépített hozzájárulás-kezelő jelentősen csökkentik a kockázatot — és egyszerre spórolnak adminisztrációs időt is.
Következő lépés: Nézd meg, hogyan tartja egy helyen és rendben az HRscale a jelöltadatokat — próbáld ki 30 napig ingyen, kártyaadat nélkül.
Utolsó frissítés: 2026. október.