Nie ma wątpliwości, że w procesie rekrutacji przyszły pracodawca przetwarza dane osobowe zgłaszających się kandydatów. Jednak, aby zapewnić zgodność z prawem – zwłaszcza z wymaganiami stawianymi przez przepisy o ochronie danych osobowych – tego procesu nie wystarczy zamieszczenie przez kandydatów w dokumentach rekrutacyjnych zgody na przetwarzanie danych. Przede wszystkim należy pamiętać, że to, jakie dane można przetwarzać w ramach procesu rekrutacyjnego określa Kodeks pracy. W grupie tej znajdują się podstawowe informacje identyfikujące daną osobę (zwłaszcza jej imię i nazwisko oraz data urodzenia), a także kwestie związane z posiadanym wykształceniem i przebiegiem dotychczasowej kariery zawodowej. Mówiąc więc inaczej pracodawca poszukujący nowego pracownika musi ograniczyć się do zbierania jedynie tych danych, których posiadanie jest niezbędne do wyłonienia pracownika na dane stanowisko. W każdym razie zbieranie tego rodzaju danych znajduje bezpośrednią podstawę w ustawie, dzięki czemu nie ma potrzeby uzyskiwania zgody kandydata na ich przetwarzanie. Konieczność uzyskania takiej zgody przez rekrutującego pojawia się wówczas, gdy dane mają być przetwarzane także poza procesem określonej rekrutacji, np. w sytuacji poszukiwania pracownika w przyszłości.
Jednocześnie musimy pamiętać, że w ogłoszeniu rekrutacyjnym należy wypełnić obowiązek informacyjny, określony w art. 13 ust. 1 i 2 unijnego rozporządzenia o ochronie danych osobowych (RODO). Zgodnie z treścią tych przepisów podmiot zbierający dane osobowe – w tym oczywiście w związku z prowadzeniem rekrutacji – ma obowiązek przekazać osobie, której dane dotyczą takie informacje, jak m.in.: swoją tożsamość, cel przetwarzania danych osobowych, okres, przez który dane będą przechowywane. W ramach realizacji obowiązku informacyjnego należy pouczyć osobę, której dane dotyczą o przysługującym jej prawie dostępu do danych, a także do żądania ich sprostowania, usunięcia lub ograniczenia przetwarzania. Niestety w praktyce rekruterzy bardzo często zapominają o realizacji tego obowiązku koncentrując się – jak już zostało wskazane powyżej zupełnie niepotrzebnie – na uzyskaniu zgody na przetwarzanie danych osobowych. Tymczasem za naruszenie obowiązku informacyjnego grożą poważne sankcje, stąd warto, aby każdy pracodawca zbadał, czy prowadzony w jego firmie proces rekrutacyjny odpowiada aktualnym standardom prawnym w tym obszarze.