Bliżej RODO: jak zapewnić bezpieczeństwo danych osobowych w automatyzacji HR

Automatyzacja HR, RODO i AI – jak to poukładać w realnym biznesie

Kiedy wchodzę do firmy, która pierwszy raz „na serio” myśli o automatyzacji HR, zwykle widzę ten sam obrazek: kilkanaście Exceli, maile z danymi osobowymi w załącznikach, dostęp do folderów „dla wszystkich na wszelki wypadek” i lekką panikę, gdy ktoś wspomina o RODO. A do tego dochodzi dziś jeszcze AI i nadchodzący AI Act.

Automatyzacja HR potrafi ten chaos uporządkować, ale tylko wtedy, gdy od początku myślimy o bezpieczeństwie danych osobowych. I nie mówię tu wyłącznie o technicznych „kłódkach”, ale o całościowym podejściu: od projektowania procesów, przez wybór systemu HRMS, po to, kto może co kliknąć w panelu.

RODO jako punkt wyjścia, nie przeszkoda

W HR pracujemy na danych, które są dosłownie „sercem” organizacji. RODO ustawia nam tu bardzo jasno ramy: dane mają być przetwarzane legalnie, rzetelnie i przejrzyście, a ich zakres powinien być zminimalizowany – zbieramy wyłącznie to, co jest naprawdę potrzebne do konkretnego celu.

W praktyce, gdy projektuję cyfrowy ekosystem HR, zaczynam od brutalnego pytania: których danych naprawdę używacie w decyzjach, a które „zawsze były w formularzu”. Bardzo często okazuje się, że połowy pól nikt nigdy nie użył do niczego sensownego.

System HRMS powinien wspierać takie podejście: ograniczać zakres danych, oferować sensowne retencje (czas przechowywania) i pozwalać na łatwe kasowanie lub anonimizację tego, co przestaje być potrzebne.

Jednocześnie RODO mówi wprost o integralności i poufności – czyli o tym, żeby dane nie wyciekały, nie były modyfikowane przez przypadkowe osoby i żeby każda operacja na nich była pod kontrolą. HR jest administratorem danych i to na HR-ze spoczywa odpowiedzialność za sensowne polityki bezpieczeństwa, a nie „na IT”.

Bardzo często na warsztatach słyszę: „ale my już spełnimy AI Act, to chyba wystarczy?”. Nie wystarczy. Od 2026 r. AI Act będzie działał obok RODO, a nie zamiast niego. Każda interakcja systemu AI z danymi osobowymi w HR będzie podlegać jednocześnie obu regulacjom.

Prawa pracowników i kandydatów – nie tylko w regulaminie, ale w systemie

RODO nie jest dla regulatora. Jest dla ludzi. Pracownik czy kandydat ma realne, egzekwowalne prawa: wglądu w swoje dane, sprostowania, usunięcia, ograniczenia przetwarzania.

Jeśli system HRMS nie pozwala zrealizować tych praw szybko i bez gimnastyki na pięciu Excelach, to znaczy, że nie jest gotowy na automatyzację HR. W jednej z organizacji, z którą pracowałam, samo odnalezienie pełnego zestawu danych jednej osoby wymagało zajrzenia do pięciu różnych systemów. Po wdrożeniu centralnego HRMS czas skróciłyśmy z godzin do minut – i dopiero wtedy można było uczciwie powiedzieć, że „szanujemy prawa pracowników”.

Dane osobowe i wrażliwe w HR – gdzie zaczyna się wysokie ryzyko

W HR nie obracamy tylko imieniem, nazwiskiem i numerem telefonu. Dochodzą dane wrażliwe: informacje o stanie zdrowia, niepełnosprawności, zwolnieniach lekarskich, czasem o sytuacji rodzinnej czy związkowej. To jest zupełnie inny kaliber odpowiedzialności.

Pamiętam spotkanie z działem HR dużej firmy produkcyjnej. Na pytanie, gdzie trzymają informacje o badaniach medycyny pracy, padła odpowiedź: „W skanie w folderze shared, ale tylko kadry tam wchodzą”. W praktyce wchodził tam pół biura. I tu wchodzimy w obszar, w którym DPIA nie jest opcją, tylko obowiązkiem.

DPIA w HR – kiedy jest naprawdę konieczna

Ocena skutków dla ochrony danych (DPIA) jest wymagana zawsze wtedy, gdy przetwarzanie może wiązać się z wysokim ryzykiem naruszenia praw i wolności osób. HR spełnia ten warunek wyjątkowo często:

• przetwarzamy dane wrażliwe,
• mamy dane o całych ścieżkach kariery,
• coraz częściej korzystamy z AI do analizy CV, ocen pracowniczych czy planowania szkoleń.

To, o czym rzadko się mówi: DPIA w HR z AI jest obowiązkowa nawet wtedy, gdy system nie jest uznany za „wysokiego ryzyka” wg AI Act. Powód jest prosty – skala i wrażliwość danych pracowniczych.

⚡ PRO TIP: do wstępnych analiz DPIA spokojnie można użyć narzędzi open‑source, które pozwalają symulować scenariusze ryzyka i skutków wycieku. Firmy, z którymi pracuję, po pierwszym takim ćwiczeniu zwykle same proszą o uszczelnienie procesów.

Rejestr czynności przetwarzania i reakcja na incydenty

Drugim filarem porządku w danych jest rejestr czynności przetwarzania. To taki „spis treści” tego, co robimy z danymi: jakie dane, w jakim celu, na jakiej podstawie prawnej, przez jaki czas, komu udostępniamy.

Bez tego rejestru udowodnienie zgodności z RODO czy krajowymi przepisami (np. Kodeksem pracy, wymogami PUODO) jest w praktyce niemożliwe.

Trzecim elementem układanki jest reakcja na naruszenia. Masz na zgłoszenie incydentu do PUODO tylko 72 godziny od wykrycia. To oznacza, że procesy muszą być poukładane tak, aby:

• dało się szybko zauważyć, że coś jest nie tak,
• ktoś był odpowiedzialny za analizę,
• raport nie powstawał „w boju”, tylko według przygotowanego wcześniej scenariusza.

W jednej firmie ćwiczyliśmy „suchy incydent”: zasymulowałyśmy przypadkowe wysłanie listy płac do złego odbiorcy. Okazało się, że gdyby to się wydarzyło naprawdę, nikt nawet nie wiedziałby, od czego zacząć. Po warsztacie powstała procedura, a HR przestał się bać tematu.

Dane zwykłe vs wrażliwe – najważniejsze różnice

Ta tabela dobrze pokazuje, czym różni się procesowo praca z danymi standardowymi i wrażliwymi w HR:

Zautomatyzowane decyzje w HR i art. 22 RODO – gdzie kończy się rola algorytmu

Najwięcej nieporozumień widzę przy automatyzacji rekrutacji i ocen pracowniczych. Albo firmy boją się użyć AI w ogóle, albo oddają algorytmowi zbyt wiele władzy.

Kluczowy przepis to art. 22 RODO. Mówi on wprost: nie wolno podejmować decyzji wywołujących wobec osoby poważne skutki (np. zatrudnienie, odmowa zatrudnienia, zwolnienie, istotna zmiana warunków pracy) wyłącznie na podstawie zautomatyzowanego przetwarzania danych – bez wyraźnej zgody i bez bardzo precyzyjnego poinformowania o algorytmie.

Wyjątki są wąskie i wymagają wyraźnego upoważnienia w prawie. W praktyce w HR rzadko da się na nich oprzeć.

Co to znaczy operacyjnie?

• AI może analizować CV, oceny, dane o kompetencjach, ale nie może „samodzielnie” odrzucać kandydatów czy decydować o zwolnieniu.
• Zawsze musi być „human‑in‑the‑loop” – osoba, która rozumie kontekst, potrafi zakwestionować wynik algorytmu i bierze odpowiedzialność za decyzję.

W jednej z firm wdrażaliśmy system, który wstępnie sortował kandydatów. Uzgodniłyśmy prostą zasadę: rekruterka nie mogła odrzucić kandydata, nie patrząc w jego CV, nawet jeśli algorytm dawał mu 2/10. Po trzech miesiącach okazało się, że kilka osób zakwalifikowanych „wbrew AI” było w top 10% pracowników.

⚡ PRO TIP: w rekrutacji komunikuj użycie AI kandydatom już w pierwszej wiadomości (np. w mailu potwierdzającym zgłoszenie). Firmy, które tak robią i proszą o jasną, świadomą zgodę, raportują nawet 70% mniej skarg dotyczących rekrutacji.

Mit: „RODO nie dotyczy decyzji wspieranych przez AI”

Często słyszę: „To nie jest zautomatyzowana decyzja, bo człowiek klika ‘zatwierdź’”. Jeśli ten człowiek tylko bezrefleksyjnie akceptuje wynik algorytmu, RODO nadal ma zastosowanie.

Art. 22 obejmuje również sytuacje, w których AI „silnie determinuje” decyzję, a człowiek w praktyce tylko firmuje ją swoim nazwiskiem. Osoba, której dane dotyczą, ma prawo:

• poprosić o wyjaśnienie zasad działania systemu w zrozumiały sposób,
• zakwestionować decyzję,
• domagać się interwencji człowieka – realnej, a nie pozorowanej.

Chatboty HR, onboarding i personalizacja

Coraz częściej spotykam w firmach chatboty HR, które odpowiadają na pytania o urlopy, wynagrodzenia czy benefity. Jeśli chatbot podejmuje decyzje (np. odrzuca wniosek urlopowy na podstawie danych z systemu), pracownik musi mieć możliwość natychmiastowego skorygowania takiej decyzji przez człowieka. To konkretne przełożenie prawa do sprzeciwu na praktykę.

Drugi obszar to onboarding wspierany przez AI. Systemy potrafią personalizować programy szkoleniowe na podstawie:

• danych behawioralnych (np. tempo realizacji zadań w pierwszych tygodniach),
• czasem nawet biometrycznych (np. logowania z konkretnych urządzeń, rozpoznawanie twarzy przy wejściu).

To bardzo wrażliwy obszar. Osoba wchodząca do firmy powinna mieć jasno wyjaśnione:

• w jakim celu są zbierane takie dane,
• na jakiej podstawie prawnej,
• jak długo będą przechowywane,
• co się stanie, jeśli odmówi zgody na część z nich.

W praktyce rzadko widzę onboarding, w którym ktoś to tłumaczy prostym językiem. A da się – robiłam takie procesy w kilku organizacjach i poziom zaufania nowych pracowników naprawdę rośnie.

Techniczne i organizacyjne bezpieczeństwo danych w HRMS i AI

Bezpieczeństwo danych w HR to nie jest pojedyncza funkcja typu „mamy szyfrowanie, więc jesteśmy bezpieczni”. To zestaw warstw, które muszą ze sobą zagrać.

Kiedy projektuję z zespołem nowy ekosystem HR, zwykle zaczynamy od mapowania, gdzie dane „wychodzą na zewnątrz”. Prawie zawsze okazuje się, że największe ryzyka są nie w samej technologii, ale w ludzkich nawykach.

Co musi zagrać w dobrze zabezpieczonym HRMS

Po pierwsze szyfrowanie – zarówno danych „w spoczynku”, jak i tych w tranzycie. Dzięki temu nawet jeśli ktoś nieuprawniony dostanie się do bazy czy przechwyci ruch sieciowy, nie odczyta treści.

Po drugie kontrola dostępu oparta na rolach. Nie ma powodu, by każdy menedżer widział pełne dane kadrowe, historię chorobową czy szczegóły umowy. System powinien „pokazywać” każdej osobie tylko to, co jest jej potrzebne do pracy.

Po trzecie pseudonimizacja, czyli oddzielenie danych identyfikujących osobę od reszty informacji. To szczególnie ważne przy raportach, analizach, modelach AI – analityk nie musi wiedzieć, że „pracownik 123” to Anna Kowalska z działu sprzedaży.

Czwarty element to regularne audyty bezpieczeństwa – zarówno techniczne (testy penetracyjne, przegląd konfiguracji), jak i procesowe (kto ma do czego dostęp, kto faktycznie korzysta, gdzie idą eksporty danych).

Piąty – szkolenia personelu. W jednej firmie po prostym szkoleniu z podstaw phishingu liczba podejrzanych kliknięć w dziale HR spadła o ponad połowę. Technologia nie zastąpi elementarnej świadomości użytkowników.

I wreszcie kopie zapasowe i scenariusze odzyskiwania danych. W erze ransomware to nie jest „fajny dodatek”, tylko kwestia przetrwania.

Jakość danych jako element bezpieczeństwa

Mało kto łączy te dwa tematy, a powinien: dane w HR muszą być nie tylko zminimalizowane, ale też aktualne i reprezentatywne.

Algorytm uczony na:

• nieaktualnych danych,
• danych z jednego profilu pracowników (np. sama młoda kadra z IT),
• danych z błędami

może zacząć podejmować dyskryminujące decyzje – np. gorzej oceniać kandydatów powyżej 50 roku życia albo osoby po przerwie zawodowej. To nie jest już tylko „błąd modelu”. To może być naruszenie RODO.

Dlatego w dobrze poukładanej automatyzacji HR:

• robi się regularne audyty danych i algorytmów (np. raz na kwartał) pod kątem biasów – płeć, wiek, pochodzenie, forma zatrudnienia,
• usuwa się dane, które nie są potrzebne do jasno określonych celów,
• dokumentuje się wyniki tych audytów.

AI Act w HR – dodatkowa warstwa nad RODO, nie zamiennik

AI Act dodaje nam nową perspektywę: ryzyko związane specyficznie z systemami AI. W HR wiele zastosowań AI będzie klasyfikowanych jako systemy podwyższonego ryzyka, co oznacza dodatkowe obowiązki.

Kluczowe są trzy obszary:

1. Zarządzanie ryzykiem – trzeba pokazać, że organizacja:

   • potrafi zidentyfikować potencjalne zagrożenia wynikające z działania algorytmów (np. dyskryminacja w rekrutacji),
   • ma proces ich monitorowania,
   • wdraża środki łagodzące (np. zmiana danych treningowych, modyfikacja logiki scoringu).

2. Jakość danych – AI Act bardzo mocno podkreśla, że dane muszą być:

   • adekwatne do celu,
   • aktualne,
   • możliwie wolne od uprzedzeń strukturalnych.

   Ja zawsze mówię: „automatyzacja na śmieciowych danych tylko szybciej produkuje śmieciowe decyzje”.

3. Zgłaszanie niezgodności – jeśli system AI zaczyna działać w sposób sprzeczny z regulacjami lub wewnętrznymi politykami (np. generuje nieuzasadnione różnice między grupami pracowników), organizacja powinna mieć jasną procedurę:

   • kto to zgłasza,
   • komu,
   • jakie są progi reakcji (od korekty parametrów po wyłączenie systemu).

⚠ UWAGA: spełnienie wymogów AI Act w żadnym stopniu nie zwalnia z wymogów RODO. DPIA, retencja, minimalizacja, prawa podmiotów danych – to wszystko obowiązuje równolegle.

Jak wybieram system HRMS dla firmy – filtr: RODO + AI Act

Bardzo często jestem proszona o pomoc przy wyborze systemu HRMS. Gdy odkładamy na bok marketingowe broszury, zostaje kilka twardych pytań.

Pierwsze: czy system pozwala precyzyjnie ustawić role i dostęp. Potrzebuję mieć pewność, że:

• kadry widzą pełne dane, ale tylko swoich pracowników, jeśli tak zadecydujemy,
• menedżer widzi informacje adekwatne do zarządzania zespołem, ale nie ma wglądu np. w historię chorobową,
• HR‑biznes partner ma przekroje niezbędne strategicznie, bez nadmiaru szczegółów.

Drugie pytanie dotyczy integracji. System typu Zoho People, który często rekomenduję, daje możliwość połączenia:

• z systemami czasu pracy,
• z płacami,
• z ATS‑ami (systemami rekrutacyjnymi),
• z narzędziami do szkoleń.

Im mniej ręcznego przenoszenia danych, tym mniejsze ryzyko pomyłki i wycieku.

Trzecia rzecz: automatyzacje. Interesuje mnie nie tylko, czy system „potrafi wysłać powiadomienie”, ale:

• czy decyzje oparte na automatyzacji są audytowalne,
• czy łatwo pokazać, kto podjął decyzję i na jakiej podstawie,
• jak system pomaga realizować prawa RODO (dostęp, usunięcie, ograniczenie).

Czwarte kryterium to gotowość dostawcy na AI Act. Zadaję bardzo konkretne pytania o:

• sposób działania wbudowanych algorytmów,
• jakie dane są wykorzystywane,
• jakie mechanizmy kontroli klient ma „na wierzchu”, a nie „na prośbę do supportu”.

Polityka AI w HR – zanim cokolwiek wdrożysz

Zanim firma odpali pierwszy model AI w HR, rekomenduję jedno: napiszcie i przyjmijcie politykę AI w HR.

Taka polityka powinna:

• doprecyzować klauzule RODO o informacje o algorytmach i logice decyzji,
• opisać procedury obsługi skarg dotyczących AI (kto, jak, w jakim czasie odpowiada),
• określić zasady dokumentowania decyzji wspieranych przez AI,
• wskazać, gdzie AI nie będzie używana (np. w decyzjach o zwolnieniach).

Dobrze przeprowadzony proces wypracowania takiej polityki trwa zwykle 3–6 miesięcy. Tam, gdzie organizacje dają sobie ten czas, późniejsze ryzyka prawne i wizerunkowe są zauważalnie niższe.

RODO jako fundament automatyzacji HR i AI – praktyczne skutki

RODO to nie jest „coś, co kiedyś wdrożyliśmy i mamy spokój”. W świecie AI to żywa rama, w której działamy.

Zasada minimalizacji danych w HR oznacza na przykład:

• nie zbieram preferencji religijnych „bo może kiedyś przyda się do benefitów”,
• nie trzymam w ankietach rekrutacyjnych pytań, których odpowiedzi nigdy nie używam w decyzjach.

Zasada ograniczenia czasu przechowywania przekłada się na:

• skonfigurowanie w systemie HRMS automatycznych przypomnień i kasowania danych po określonym czasie,
• różne retencje dla danych kadrowych (wynikających z Kodeksu pracy) i danych rekrutacyjnych (gdzie zwykle wystarczy krótszy okres, np. 6–24 miesiące, zależnie od zgód).

Gdy pracujemy z AI, wchodzi jeszcze zasada zakazu wyłącznej automatyzacji ważnych decyzji. W praktyce:

• system może zasugerować ranking kandydatów,
• ale człowiek musi naprawdę spojrzeć na te kandydatury,
• osoba zainteresowana ma prawo zakwestionować decyzję i poprosić o jej wyjaśnienie „po ludzku”.

DPIA i incydenty – co musi się wydarzyć „pod spodem”

W każdym projekcie, gdzie:

• przetwarzamy dane wrażliwe,
• korzystamy z zaawansowanej analityki,
• włączamy AI,

wprowadzam DPIA jako obowiązkowy etap. Dzięki temu:

• mamy udokumentowane, jakie ryzyka zidentyfikowaliśmy,
• jakie środki wprowadziliśmy,
• jak będziemy monitorować sytuację.

Jednocześnie ustawiamy proces obsługi incydentów tak, aby HR wiedział:

• jak rozpoznać incydent (np. mail z danymi idzie do złego działu),
• kogo natychmiast powiadomić,
• jak wypełnić obowiązek zgłoszenia do PUODO w ciągu 72 godzin.

W jednej organizacji sama zmiana sposobu zgłaszania incydentów (prosty formularz + ścieżka akceptacji) sprawiła, że HR zaczął zgłaszać drobne zdarzenia, zamiast je zamiatać pod dywan. To najlepsza profilaktyka dużych kryzysów.

Jak długo można trzymać dane osobowe w HR

To pytanie pada na każdym szkoleniu: „ile możemy przechowywać dane kandydatów / pracowników?”.

RODO daje tu zasadę, a prawo krajowe (np. Kodeks pracy) – konkretne terminy.

W skrócie:

• dane przechowujemy tylko tak długo, jak to konieczne do celu, w jakim je zebraliśmy,
• po upływie tego okresu:
  • usuwamy je,
  • albo anonimizujemy (jeśli chcemy zatrzymać np. dane statystyczne).

Dokumentacja kadrowa ma swoje twarde okresy przechowywania wynikające z przepisów. Dane rekrutacyjne – już nie zawsze. W wielu firmach ustawiamy politykę, w której:

• standardowo dane kandydatów są usuwane po określonym czasie (np. 12 miesięcy),
• dłuższe przechowywanie wymaga odrębnej, świadomej zgody (np. „na potrzeby przyszłych rekrutacji”).

Dobrze skonfigurowany system HRMS:

• monitoruje te terminy,
• generuje listy danych do usunięcia lub anonimizacji,
• pozwala jednym kliknięciem zrealizować obowiązek.

Dla pracowników to sygnał: nie „zbieramy wszystkiego na zawsze”, tylko odpowiedzialnie zarządzamy ich historią w firmie.

Co realnie daje automatyzacja HR z perspektywy bezpieczeństwa i zgodności

Kiedy mówię, że automatyzacja HR zwiększa bezpieczeństwo danych, często słyszę zdziwienie. „Przecież im więcej systemów, tym więcej ryzyka”. Tymczasem w większości firm największym zagrożeniem jest… ręczna obróbka wszystkiego.

Widziałam dziesiątki przypadków, gdzie:

• listy płac krążyły w Excelu po mailach,
• dane pracowników lądowały w prywatnych notatnikach,
• umowy były przechowywane w otwartych folderach sieciowych.

Po wdrożeniu sensownego HRMS z automatyzacją procesów:

• spada liczba błędów ludzkich – bo mniej jest kopiuj‑wklej i ręcznych eksportów,
• maleją koszty operacyjne – nie poświęcamy czasu na poprawianie pomyłek i odtwarzanie zagubionych danych,
• rosną standardy ochrony danych – mamy szyfrowanie, kontrolę dostępu, logi działań, audyty.

Dodatkowo:

• zgodność z RODO i AI Act staje się wbudowana w proces, a nie „łatana” po fakcie,
• przejrzystość działań HR rośnie – bo wszystko jest rejestrowane i możliwe do pokazania przy audycie,
• skalowanie firmy nie powoduje lawinowego wzrostu ryzyka – bo procesy i zabezpieczenia skalują się razem z nią.

W jednej organizacji produkcyjnej po przejściu z „HR na Excelu” na zautomatyzowany HRMS liczba incydentów związanych z danymi spadła o ponad 60% w ciągu roku – bez żadnych wymyślnych technologii, po prostu dzięki uporządkowaniu przepływu informacji.

Na koniec – jak ja patrzę na RODO, AI i automatyzację HR

Po ponad 10 latach wdrażania automatyzacji widzę jedno: technologia naprawdę może uwalniać czas i skalować wyniki, ale tylko wtedy, gdy stoi na solidnym fundamencie prawnym i etycznym.

RODO i AI Act nie są hamulcem. Są „barierkami ochronnymi” na drodze, po której i tak będziemy jechać coraz szybciej. Jeśli:

• masz DPIA dla kluczowych procesów HR,
• prowadzisz rejestr czynności przetwarzania,
• projektujesz procesy z human‑in‑the‑loop tam, gdzie w grę wchodzą poważne decyzje,
• dbasz o jakość danych i regularne audyty algorytmów,
• masz jasną politykę AI w HR i system HRMS, który to wszystko wspiera,

to automatyzacja przestaje być ryzykiem, a zaczyna być przewagą konkurencyjną.

I dokładnie o to chodzi: o symbiozę ludzkiej kreatywności i algorytmicznej precyzji – z pełnym poszanowaniem danych ludzi, z którymi pracujesz każdego dnia.