Ansøgninger fra kandidater, der ikke blev ansat, må kun gemmes, så længe I har et sagligt behov, og Datatilsynet accepterer højst 3 år efter endt rekruttering uden helt særlige grunde. Har I kun brug for dem i 6 måneder, skal de slettes efter 6 måneder. Skriv jeres overvejelser ned, så I kan forklare fristen, hvis Datatilsynet spørger.
GDPR
GDPR i rekruttering: ansøgninger, referencer og sletning
Sådan håndterer I ansøgeres data lovligt: oplysningspligt, hvor længe I må gemme ansøgninger, referencer, straffeattest, børneattest og sociale medier — ud fra Datatilsynets vejledning.
Trin-for-trin guide
- 1
Fortæl ansøgerne, hvad I gør med deres data
Når I modtager en ansøgning, skal I oplyse ansøgeren om, hvem der er dataansvarlig, hvad oplysningerne bruges til, hvilket retsgrundlag I bruger, hvor længe de gemmes, og hvilke rettigheder ansøgeren har (GDPR artikel 13). Det kan stå i jobopslaget, i et autosvar eller på en side, I linker til. Én fast tekst, der bruges i alle rekrutteringer, er nok.
- 2
Indsaml kun det nødvendige
Bed kun om oplysninger, I skal bruge til at vurdere, om personen passer til stillingen. CPR-nummer er der som regel ingen grund til at indhente, før I ansætter. Spørg kun til helbred, hvis det har betydning for, om personen kan varetage den konkrete stilling. Del ansøgninger med dem, der deltager i rekrutteringen — ikke hele virksomheden.
- 3
Referencer: informér kandidaten
Ifølge Datatilsynet bør indhentning af referencer ikke bygge på samtykke, men på en interesseafvejning (GDPR artikel 6, stk. 1, litra f). Det betyder, at I skal fortælle kandidaten, at I indhenter referencer, og hvad I spørger om. Det er god praksis at spørge kandidaten, hvem I må kontakte. Notér kun det, der er relevant for stillingen.
- 4
Straffeattest og børneattest
Private arbejdsgivere må kun indhente straffeattest, når det er sagligt og relevant for den konkrete stilling — fx en bogholder eller en stilling med adgang til borgeres hjem — og først når kandidaten er i betragtning til jobbet. En generel politik om at indhente straffeattest på alle er ikke i orden. Børneattest skal derimod indhentes ved ansættelse af personer, der får direkte kontakt med børn under 15 år.
- 5
Sociale medier og test
I må bruge oplysninger, som ansøgeren selv har offentliggjort, fx på LinkedIn, men de grundlæggende principper gælder: kun relevante oplysninger, og ansøgeren skal kunne vide, at I ser efter. Personligheds- og færdighedstest kræver ansøgerens aktive medvirken; fortæl, hvad testen bruges til, og hvem der ser resultatet.
- 6
Slet efter en fast frist
Beslut en fast sletningsfrist for ansøgere, der ikke blev ansat, og skriv den ind i jeres oplysningstekst. Datatilsynet accepterer op til 3 år efter endt rekruttering, men kun hvis I har brug for oplysningerne, fx til at dokumentere en saglig udvælgelse. Har I ikke brug for dem så længe, skal de slettes før — mange vælger 6 måneder. Husk mails, delte drev og printede CV’er.
Klar til at komme i gang?
Opret virksomhed på Arbejd.com og brug GDPR med det samme.
Ofte stillede spørgsmål
Ja, hvis ansøgeren giver samtykke til det. Samtykket skal være frivilligt og specifikt, ansøgeren skal vide, hvor længe ansøgningen gemmes, og det skal være lige så nemt at trække samtykket tilbage som at give det. Uden samtykke skal ansøgningen slettes efter den frist, I har fastsat for den konkrete rekruttering.
Nej, som udgangspunkt er der ingen grund til at indsamle CPR-numre i rekrutteringsfasen. Først når I ansætter, skal I bruge CPR-nummeret til løn, skat og ATP. Fjern feltet fra ansøgningsformularer, og bed ikke kandidater sende pas eller sundhedskort, før der er en aftale om ansættelse.
Uopfordrede ansøgninger følger de samme regler som andre ansøgninger: Oplys ansøgeren om, hvad I gør med oplysningerne, og slet dem, når I ikke længere har brug for dem. Vil I gemme ansøgningen til en kommende stilling, skal I bede om samtykke. Svar ansøgeren, så vedkommende ved, hvad der sker.
På Arbejd.com vises kandidaterne anonymt for virksomheder, indtil I skriver til dem, og kandidaterne styrer selv deres profil. Når en kandidat svarer eller søger jeres job, bliver I selvstændigt dataansvarlige for de oplysninger, I modtager. Derfor gælder reglerne i denne guide også for ansøgninger, der kommer via Arbejd.com.