Co sprawia, że narzędzie do CV jest zgodne z RODO?

Niemal każdy kreator CV deklaruje zgodność z RODO. Bardzo niewiele z nich wyjaśnia, co przez to rozumie, a za tym sformułowaniem nie stoi żadna certyfikacja. Nie ma odznaki, audytu ani rejestru. Firma pisze to na stronie cennika, bo nikt jej nie powstrzymuje.

To nie czyni rozporządzenia bezużytecznym. Daje Ci konkretną listę rzeczy do sprawdzenia, a kiedy ją znasz, odróżniasz prawdziwą odpowiedź od hasła marketingowego w jakieś pięć minut. Oto co faktycznie obowiązuje, gdy narzędzie przetwarza Twoje CV.

Dlaczego CV to trudny przypadek

RODO reguluje dane osobowe, a CV jest bliskie najgorszemu przypadkowi: imię i nazwisko, adres domowy, telefon, e-mail, historia zatrudnienia, wykształcenie, a często również zdjęcie i data urodzenia, wszystko w jednym uporządkowanym pliku.

Niektóre CV zawierają dodatkowo to, co artykuł 9 nazywa szczególnymi kategoriami danych, objętymi surowszą ochroną. Przerwa w zatrudnieniu wyjaśniona chorobą, wolontariat w organizacji religijnej, funkcja w związku zawodowym, przynależność do sieci osób z niepełnosprawnościami. Nic z tego nie jest w prawdziwym CV rzadkie, a wszystko podnosi poprzeczkę temu, kto przechowuje plik.

Kreator CV nie przetwarza więc danych błahych. Przetwarza dossier, a obowiązki skalują się odpowiednio.

Czego rozporządzenie faktycznie wymaga

Dla tego rodzaju narzędzi liczy się pięć obowiązków.

Podstawa prawna. Firma potrzebuje konkretnego powodu prawnego do przetwarzania Twoich danych. W płatnym narzędziu jest to zwykle wykonanie umowy o samą usługę oraz zgoda na wszystko poza nią, na przykład marketing. „Zbieramy dane, żeby ulepszać nasze usługi” to nie podstawa prawna, tylko zdanie.

Minimalizacja danych. Zbierać to, co potrzebne, a nie to, co może się kiedyś przydać. Narzędzie, które pyta o datę urodzenia, choć żaden szablon jej nie używa, już tu przegrało.

Ograniczenie przechowywania. Dane trzyma się tylko tak długo, jak wymaga tego cel. Narzędzie, które wciąż ma CV napisane cztery lata temu na porzuconym koncie, tego nie spełnia.

Twoje prawa, wykonalne w praktyce. Dostęp, sprostowanie, usunięcie, przenoszenie i sprzeciw, obsłużone w ciągu miesiąca i bez toru przeszkód. Ścieżka usuwania, która wymaga napisania do wsparcia i czekania, jest formalnie zgodna i praktycznie wroga.

Kontrolowane transfery. Jeśli dane opuszczają UE lub EOG, potrzebne są odpowiednie zabezpieczenia, zwykle standardowe klauzule umowne. Tu narzędzia AI się komplikują, bo dostawca modelu często siedzi w Stanach Zjednoczonych.

Warstwa AI podwaja pytanie

Ta część dotyczy właśnie narzędzi do CV z AI i często umyka.

Kiedy kreator w chmurze wysyła Twoje CV do modelu językowego, Twoje dane przetwarzają już dwie firmy: narzędzie i dostawca modelu. Każda ma własną politykę, własny okres przechowywania, własną jurysdykcję i własną historię incydentów. Narzędzie nienagannie zgodne z prawem, osadzone na dostawcy, który trenuje modele na przesyłanych treściach, i tak przeniosło Twoje CV w miejsce, którego nie oceniłeś.

Pytanie nigdy nie brzmi więc „czy to narzędzie jest zgodne z RODO”. Brzmi „jakie wszystkie podmioty dotykają mojego pliku i co każdy z nich z nim robi”.

Sześć pytań, które dają prawdziwą odpowiedź

Zadaj je każdemu narzędziu. Odpowiedzi powinny znaleźć się w polityce prywatności w kilka minut. Jeśli ich tam nie ma, to samo w sobie jest odpowiedzią.

• Kto jest administratorem danych i gdzie ma siedzibę? Nazwany podmiot prawny z adresem, a nie „zespół”.
• Z jakich podprocesorów korzysta i czy są wymienieni? Zgodne firmy publikują listę. Jej brak to realny sygnał.
• Jaki jest okres przechowywania, wyrażony w czasie? „Tak długo, jak to konieczne” nie znaczy nic. „36 miesięcy od ostatniego logowania” znaczy.
• Czy usunięcie konta usuwa moje dokumenty i jak szybko? To często dwie operacje o różnych terminach.
• Czy dostawca AI trenuje modele na przesyłanych treściach? To druga polityka, nie polityka narzędzia. Sprawdź ją osobno.
• Czy dane są przekazywane poza EOG i na jakiej podstawie? Odpowiedź powinna nazwać mechanizm.

Granica prawa do usunięcia

Wiele osób traktuje artykuł 17, prawo do usunięcia danych, jak przycisk resetu. To prawdziwe i użyteczne prawo, a zarazem słabsze, niż brzmi.

Żądanie usunięcia dosięga kopii, które firma kontroluje. Kopie zapasowe wygasają we własnym rytmie. Dane już przekazane podprocesorom idą ich harmonogramem. Rozporządzenie wymienia przypadki, w których prawo w ogóle nie przysługuje, w tym prawne obowiązki przechowywania. A usunięcie nie dosięgnie kopii pobranej, wyciekłej albo wykradzionej przed Twoim żądaniem.

Usunięcie po fakcie to naprawa. Zawsze będzie słabsze niż nigdy nie wysłać pliku.

Dlaczego przetwarzanie lokalne zmienia kształt problemu

Istnieje kategoria narzędzi, do których pytanie o zgodność prawie się nie stosuje, bo nie ma podmiotu trzeciego, który miałby być zgodny.

Jeśli oprogramowanie działa na Twoim komputerze, a dokumenty zostają w folderze, który wybrałeś, żadna firma nie przetwarza Twoich danych osobowych. Nie ma innego administratora niż Ty, nie ma polityki przechowywania do przeczytania, listy podprocesorów, mechanizmu transferu ani niczego, czego usunięcia trzeba by żądać. RODO nie tyle zostaje spełnione, co ominięte: reguluje, co organizacje robią z Twoimi danymi, a żadna organizacja ich nie dostała.

CVumi jest tak zbudowane. To aplikacja desktopowa na Windows i macOS. Twój profil główny, wygenerowane dokumenty i historia aplikacji leżą na Twoim komputerze. Gdy uruchamia się krok AI, zapytanie idzie z Twojego komputera do wybranego dostawcy pod Twoim własnym kluczem, obowiązują więc warunki API, a żadna baza CVumi nie stoi pośrodku. Jedyne dane osobowe, jakie kiedykolwiek otrzymuje operator CVumi, to adres e-mail powiązany z zakupem, obsługiwany przez operatora płatności.

To płatność jednorazowa: 69 EUR za licencję standardową z trzema aktywacjami urządzeń albo 34 EUR z adresem uczelnianym.

Uczciwe podsumowanie

Zgodność z RODO to nie odznaka, tylko zestaw pytań, na które da się odpowiedzieć. Kreator CV w chmurze może odpowiedzieć na nie dobrze i te dobre tak robią. Zadaj sześć powyższych pytań, a szybko zobaczysz, do której kategorii należy narzędzie.

Ale rozporządzenie istnieje dlatego, że samo posiadanie Twoich danych osobowych przez organizację jest z natury ryzykowne. Układ o najniższym ryzyku to nie najlepiej napisana polityka prywatności. To układ, w którym żadna organizacja nie ma pliku.

Praktyczną wersję znajdziesz w tekście jak zachować pełną prywatność dokumentów aplikacyjnych, a porównanie narzędzi w najlepsze kreatory CV z AI dbające o prywatność w 2026.