Fintech zatrudnia Senior Security Engineera po trzech rundach rozmów. CV imponujące - 10 lat doświadczenia, certyfikaty CISSP i CISM, poprzedni pracodawca to renomowana firma Big4. Trzy miesiące później wewnętrzny audyt odkrywa: inżynier wykradał dane klientów. Dochodzenie: CV było sfałszowane, poprzedni pracodawca nigdy o nim nie słyszał, certyfikaty nieważne. Background check przed zatrudnieniem? Nie było.

Przeczytaj także: Kryzys juniorów w IT 2026: Dlaczego firmy przestały zatrudni

To ekstremalny przypadek, ale problem jest realny. Badania pokazują że 30-50% CV zawiera jakieś nieścisłości - od drobnych (zawyżone daty zatrudnienia) po poważne (fałszywe wykształcenie, nieistniejące firmy). W IT, gdzie specjaliści mają dostęp do wrażliwych systemów i danych, ryzyko jest podwyższone.

Jednocześnie background check w Polsce to delikatny temat. RODO, Kodeks pracy, ustawa o ochronie danych osobowych - wszystko nakłada ograniczenia na to co pracodawca może sprawdzać. Granica między due diligence a naruszeniem prywatności jest cienka i nie zawsze jasna.

Czym jest background check i dlaczego rośnie jego znaczenie w IT?

Background check to weryfikacja informacji podanych przez kandydata: tożsamość, wykształcenie, historia zatrudnienia, ewentualnie karalność, kredyt, media społecznościowe. Zakres zależy od: stanowiska, branży, regulacji i polityki firmy.

Wzrost znaczenia w IT ma kilka przyczyn. Po pierwsze, remote hiring - zatrudniasz kogoś kogo nigdy nie spotkałeś osobiście, z CV które łatwo sfabrykować. Po drugie, cyber threats - insider threats to jedno z największych ryzyk bezpieczeństwa. Po trzecie, regulatory requirements - fintech, healthcare, government contractors mają wymogi weryfikacji pracowników.

Rynek IT jest competitive. Kandydaci wiedzą że jest popyt. Niektórzy wyolbrzymiają doświadczenie, inni podają fałszywe certyfikaty. W badaniach HireRight, 85% pracodawców odkryło nieścisłości w CV kandydatów.

Koszty złej decyzji są wysokie. Zatrudnienie nieodpowiedniej osoby to: koszty rekrutacji, onboarding, wypowiedzenie, ewentualne szkody (data breach, kradzież IP, uszczerbek reputacyjny). Background check kosztuje ułamek tego.

Jakie dane możesz legalnie zbierać o kandydacie w Polsce?

Kodeks pracy art. 22¹ definiuje katalog danych które pracodawca może żądać od kandydata:

  • imię (imiona) i nazwisko
  • data urodzenia
  • dane kontaktowe
  • wykształcenie
  • kwalifikacje zawodowe
  • przebieg dotychczasowego zatrudnienia

Po zatrudnieniu dodatkowo: PESEL, adres zamieszkania, numer rachunku bankowego, dane o stanie rodzinnym (dla celów świadczeń).

Rozszerzenie katalogu wymaga podstawy prawnej. Jeśli odrębne przepisy wymagają sprawdzenia karalności (np. dla sektora finansowego, ochrony osób i mienia) - możesz żądać zaświadczenia o niekaralności. Bez takiej podstawy - nie możesz.

Zgoda kandydata nie jest uniwersalnym rozwiązaniem. RODO mówi że zgoda musi być dobrowolna. W relacji pracodawca-kandydat jest asymetria władzy - kandydat “musi” zgodzić się żeby dostać pracę. UODO (Urząd Ochrony Danych Osobowych) stoi na stanowisku że zgoda kandydata nie może być podstawą do rozszerzenia zakresu danych poza Kodeks pracy.

Wyjątek: dane niezbędne do realizacji umowy lub obowiązku prawnego. Jeśli stanowisko wymaga określonych kwalifikacji (np. certyfikat, uprawnienia) - możesz żądać ich udokumentowania.

Jak weryfikować wykształcenie i certyfikaty zgodnie z prawem?

Wykształcenie jest w katalogu KP - możesz żądać. Kandydat przedstawia dyplom. Możesz go zweryfikować kontaktując się z uczelnią? W praktyce - trudne. Uczelnie często odmawiają potwierdzenia danych osobowych bez zgody absolwenta.

Rozwiązanie: poproś kandydata o zgodę na weryfikację. Zgoda na konkretną czynność (potwierdzenie dyplomu w uczelni X) jest bardziej targeted niż blanket consent na “wszystkie sprawdzenia”.

Certyfikaty zawodowe IT. Większość organizacji certyfikujących (Cisco, Microsoft, AWS, (ISC)², ISACA) ma publiczne registry gdzie można zweryfikować certyfikat po numerze lub nazwisku. To public data - weryfikacja jest dozwolona.

Fałszywe certyfikaty to realny problem. Na dark web można kupić “certyfikat” z numerem który wygląda legitnie ale nie istnieje w registry. Zawsze weryfikuj w oficjalnym źródle.

Tytuły naukowe. Rejestr doktorów i doktorów habilitowanych jest publiczny (baza POL-on). Weryfikacja tytułu dr/dr hab. jest prosta.

Jak przeprowadzać reference check bez naruszenia RODO?

Reference check: kontaktujesz poprzedniego pracodawcę, pytasz o kandydata. Czy to legalne?

Poprzedni pracodawca ma prawo potwierdzić fakt zatrudnienia. To nie jest ujawnienie szczególnie chronionych danych - to potwierdzenie public fact (kandydat twierdzi że pracował, pracodawca potwierdza lub zaprzecza).

Szczegóły o przebiegu zatrudnienia wymagają ostrożności. “Jak oceniasz jego pracę?” - to subiektywna opinia, nie fakt. Poprzedni pracodawca może odmówić odpowiedzi (i często odmawia).

Best practice: candidate consent. Poproś kandydata o pisemną zgodę na kontakt z poprzednimi pracodawcami i listę osób do kontaktu. Kandydat sam wskazuje referencje - i tym samym “autoryzuje” kontakt.

Co możesz zapytać w reference check?

  • Daty zatrudnienia (od-do)
  • Stanowisko
  • Zakres obowiązków (ogólnie)
  • Czy ponownie zatrudniłbyś tę osobę? (często odmawia odpowiedzi)

Czego unikać?

  • Pytań o zdrowie, ciążę, plany rodzinne (dyskryminacja)
  • Pytań o poglądy polityczne, religię (RODO - dane szczególne)
  • Pytań o powody odejścia (poprzedni pracodawca może nie chcieć ujawniać)

Kiedy i jak można sprawdzić karalność kandydata?

Zaświadczenie o niekaralności (KRK) możesz żądać tylko gdy odrębne przepisy tego wymagają. Przykłady:

  • Sektor finansowy (ustawa o KNF)
  • Ochrona osób i mienia (ustawa o ochronie)
  • Praca z dziećmi (ustawa o przeciwdziałaniu zagrożeniom przestępczością)
  • Nauczyciele (Karta Nauczyciela)
  • Zamówienia publiczne (niektóre klauzule)

Dla “zwykłego” stanowiska IT - nie ma podstawy prawnej do żądania KRK. Kandydat może odmówić i będzie miał rację.

Wyjątek: stanowiska ze szczególną odpowiedzialnością. Orzecznictwo sądów pracy dopuszcza sprawdzanie karalności dla stanowisk gdzie niekaralność jest “warunkiem niezbędnym do należytego wykonywania pracy”. Ale to interpretacja ryzykowna i wymaga indywidualnej oceny.

Międzynarodowe projekty. Jeśli pracownik będzie pracował dla klienta zagranicznego który wymaga background check - klient może mieć swoje wymogi. Ale to nie zmienia polskiego prawa - musisz mieć podstawę w polskich przepisach lub ważną zgodę.

Jak weryfikować historię zatrudnienia i unikać pułapek?

Weryfikacja dat zatrudnienia. Możesz poprosić kandydata o świadectwa pracy - dokument publiczny. Alternatywnie, za zgodą kandydata, kontakt z HR poprzedniego pracodawcy.

Luki w CV. Kandydat ma 6-miesięczną lukę. Możesz zapytać “czym się pan zajmował w tym okresie?” - kandydat może odpowiedzieć lub odmówić. Nie możesz domyślać się (np. że był w więzieniu) i na tej podstawie dyskryminować.

Freelance/B2B history. Trudniejsze do weryfikacji. Kandydat twierdzi że był “freelancerem dla firmy X”. Firma X to jednoosobowa działalność kolegi. Jak zweryfikować? Możesz poprosić o faktury, umowy - ale kandydat może odmówić ze względu na poufność.

LinkedIn jako źródło. Profil LinkedIn jest publiczny - możesz sprawdzić czy pokrywa się z CV. Ale pamiętaj: LinkedIn to też self-reported data, nie zweryfikowane źródło.

Rekomendacje na LinkedIn. Publiczne, widoczne dla każdego. Możesz je czytać, ale nie możesz kontaktować się z osobami bez zgody kandydata (to byłby kontakt “w jego sprawie”).

Jakie są granice sprawdzania mediów społecznościowych?

Publiczne profile są publiczne. Co kandydat opublikował na publicznym Facebooku czy Twitterze - jest dostępne dla każdego, w tym potencjalnego pracodawcy.

Ale używanie tych danych jest ryzykowne. Jeśli na podstawie publicznego postu o orientacji seksualnej nie zatrudnisz kandydata - to dyskryminacja. Jeśli na podstawie zdjęcia z kościoła - dyskryminacja religijna.

Zakaz pozyskiwania danych szczególnych. RODO art. 9 - dane o orientacji, poglądach, zdrowiu, religii są szczególnie chronione. Nie możesz ich “pozyskiwać” nawet z publicznych źródeł w celu decyzji rekrutacyjnych.

Praktyczna rada. Unikaj systematycznego przeglądania social media kandydatów. Jeśli coś się pojawi przypadkowo (kandydat jest publicznie znany z kontrowersyjnych wypowiedzi) - konsultuj z prawnikiem przed podjęciem decyzji.

Sprawdzanie professional presence. LinkedIn, GitHub, Stack Overflow, blogi techniczne - to professional platforms. Sprawdzanie aktywności zawodowej kandydata jest bardziej akceptowalne niż przeglądanie prywatnych zdjęć z wakacji.

Jak outsourcować background check do firm zewnętrznych?

Background check providers. Firmy specjalizujące się w weryfikacji: HireRight, Sterling, lokalne polskie firmy. Oferują: weryfikację wykształcenia, zatrudnienia, karalności (gdzie dozwolone), credential verification.

Jako administrator danych odpowiadasz za compliance. Jeśli zlecasz background check firmie zewnętrznej - to przetwarzanie danych przez podmiot przetwarzający (processor). Musisz mieć umowę powierzenia (DPA) i upewnić się że firma działa zgodnie z prawem.

Zakres zlecenia musi być legalny. Nie możesz obejść ograniczeń KP zlecając background check firmie zewnętrznej. Jeśli nie możesz żądać KRK bezpośrednio - firma zewnętrzna też nie może go za ciebie uzyskać.

International background checks. Dla kandydatów z historią pracy za granicą - weryfikacja jest trudniejsza. Inne jurysdykcje, inne zasady, inne systemy. Wyspecjalizowane firmy mają sieci partnerów globalnie.

Koszty. Basic verification (wykształcenie, zatrudnienie): 200-500 PLN. Comprehensive check (z criminal, international): 1000-3000 PLN. Korporacje płacą więcej za package deals.

Jak budować background check policy zgodny z prawem?

Zdefiniuj scope dla różnych poziomów stanowisk. Entry level: weryfikacja wykształcenia, reference check. Senior/management: +weryfikacja zatrudnienia u kluczowych pracodawców. High-risk (security, finance access): +criminal check jeśli dozwolone.

Dokumentuj podstawy prawne. Dla każdego elementu background check - jaka jest podstawa: KP art. 22¹, odrębna ustawa, zgoda kandydata (i jej ograniczenia).

Transparentność wobec kandydatów. Informuj kandydatów że przeprowadzasz background check, jaki zakres, jakie źródła. RODO wymaga informacji o przetwarzaniu.

Procedura w przypadku negatywnych wyników. Co robisz gdy background check ujawnia niezgodność z CV? Daj kandydatowi szansę wyjaśnienia - może być pomyłka. Dokumentuj proces decyzyjny.

Przechowywanie i retencja. Dane z background check - jak długo przechowujesz? Dla niezatrudnionych kandydatów - krótko (3-6 miesięcy standard). Dla zatrudnionych - okres zatrudnienia + wymagania prawne.

Szkolenie dla hiring managers i HR. Ludzie przeprowadzający weryfikację muszą wiedzieć co mogą, a czego nie. Jedno nielegalne pytanie = ryzyko dla firmy.

Jakie są konsekwencje naruszenia przepisów przy background check?

RODO: kary do 20 mln EUR lub 4% obrotu. Przetwarzanie danych bez podstawy prawnej, zbieranie nadmiarowych danych, brak informacji o przetwarzaniu.

Kodeks pracy: roszczenia pracownicze. Odmowa zatrudnienia na podstawie nielegalnie pozyskanych danych - kandydat może dochodzić odszkodowania.

Dyskryminacja: PIP i sąd pracy. Decyzja rekrutacyjna na podstawie danych o religii, orientacji, ciąży - dyskryminacja z roszczeniem odszkodowawczym.

Reputacyjne. Firma znana z invasive background checks - trudniej przyciąga talenty. Glassdoor reviews, social media - informacja się rozchodzi.

Criminal liability (w skrajnych przypadkach). Uzyskanie danych z KRK bez podstawy prawnej lub sfałszowanie dokumentów weryfikacyjnych - potencjalna odpowiedzialność karna.

Jak komunikować background check kandydatom?

Timing. Informuj o background check early in process - w ogłoszeniu lub na początku rekrutacji. Kandydat który ma coś do ukrycia może sam się wycofać.

Treść komunikacji. “W ramach procesu rekrutacyjnego przeprowadzamy weryfikację danych podanych w CV, w tym kontakt z poprzednimi pracodawcami. Prosimy o zgodę na ten kontakt.” Jasne, konkretne, bez straszenia.

Zgoda i jej limity. Pamiętaj że zgoda w relacji pracodawca-pracownik ma ograniczoną wartość. Lepiej polegać na podstawach z KP i przepisów szczególnych niż na zgodzie jako jedynej podstawie.

Informacja o wynikach. Jeśli background check ujawnia problem i decydujesz nie zatrudniać - kandydat ma prawo wiedzieć dlaczego (RODO, prawo dostępu). Bądź przygotowany na tę rozmowę.

Możliwość zakwestionowania. Kandydat może twierdzić że weryfikacja jest błędna. Daj szansę na wyjaśnienie/korektę przed finalną decyzją.

Tabela: Co możesz a czego nie możesz sprawdzić - quick reference

Element do weryfikacjiCzy możesz?PodstawaJak?Uwagi
Tożsamość (imię, nazwisko)TakKP 22¹Dokument tożsamościSprawdź przy zatrudnieniu
WykształcenieTakKP 22¹Dyplom, kontakt z uczelnią (za zgodą)Weryfikuj certyfikaty w official registries
Przebieg zatrudnieniaTakKP 22¹Świadectwa pracy, reference check (za zgodą)Poprzedni pracodawca może odmówić szczegółów
Certyfikaty zawodoweTakKP 22¹ (kwalifikacje)Oficjalne registry (public)Zawsze weryfikuj w źródle
Karalność (KRK)ZależyOdrębne przepisy (finanse, dzieci, ochrona)Zaświadczenie z KRKBez podstawy prawnej - nie możesz żądać
Credit checkNie*Brak podstawyN/A*Tylko dla sektora finansowego z podstawą
Social media (publiczne)Technicznie takPublic dataPrzeglądanieUnikaj - ryzyko dyskryminacji
ZdrowieNieDane szczególne RODON/ATylko badania lekarskie po decyzji o zatrudnieniu
Poglądy polityczne, religiaNieDane szczególne RODON/ADyskryminacja
Orientacja seksualnaNieDane szczególne RODON/ADyskryminacja
Stan rodzinny, ciążaNieDyskryminacja KPN/AZakaz pytań w rekrutacji

Background check w Polsce jest możliwy, ale wymaga ostrożności prawnej. Granice wyznaczają: Kodeks pracy, RODO, przepisy szczególne i zasada proporcjonalności. Nie wszystko co jest technicznie możliwe jest legalne; nie wszystko co jest legalne jest etyczne.

Kluczowe wnioski:

  • Katalog danych z KP art. 22¹ to podstawa - wykształcenie, zatrudnienie, kwalifikacje
  • KRK tylko z podstawą w przepisach szczególnych - nie dla “zwykłych” stanowisk IT
  • Zgoda kandydata nie jest uniwersalnym rozwiązaniem - ma ograniczoną moc w relacji pracodawca-kandydat
  • Reference check za zgodą kandydata - poprzedni pracodawca może i tak odmówić
  • Certyfikaty IT weryfikuj w publicznych registry - to legalnie i prosto
  • Social media - unikaj systematycznego przeglądania, ryzyko dyskryminacji
  • Dokumentuj policy, szkol zespół, informuj kandydatów transparentnie

Odpowiednio zaprojektowany background check chroni firmę przed bad hires bez naruszania praw kandydatów. To balans możliwy do osiągnięcia.

ARDURA Consulting oferuje usługi rekrutacji IT z profesjonalną weryfikacją kandydatów zgodną z polskim prawem. Nasz proces obejmuje verification of credentials, reference checks i due diligence dostosowaną do wymogów klienta i regulacji. Skontaktuj się z nami aby omówić bezpieczną i skuteczną rekrutację specjalistów IT.