Czy gromadzenie aplikacji kandydatów w procesie rekrutacji jest właściwe z punktu widzenia ochrony danych osobowych?

W samorządowej instytucji kultury, której organizatorem jest województwo, stwierdzono, że obowiązuje procedura rekrutacji pracowników wprowadzona Zarządzeniem Dyrektora, zgodnie z którą aplikacje o pracę składane przez osoby poszukujące pracy przyjmowane są w sposób ciągły. Aplikacje gromadzone i przechowywane są w formie Rejestru aplikacji. Zgodnie z ww. procedurą, w przypadku wystąpienia konieczności przeprowadzenia naboru na wolne stanowisko pracy pracownik personalny dokonuje analizy posiadanych aplikacji pod kątem osób spełniających założone kryteria i przedstawia Dyrektorowi potencjalnych kandydatów na wolne stanowisko pracy. Dokumenty składane przez kandydatów z którymi zawarto umowy o pracę zamieszczane są w ich aktach osobowych. Dokumenty pozostałych kandydatów przechowywane są wraz z protokołami z prowadzonych rekrutacji.

Czy ww. postępowanie (proces rekrutacji jako ciągły oraz gromadzenie aplikacji kandydatów, np. z kilku lat) jest właściwe z punktu widzenia ustawy o ochronie danych osobowych?