Behandling af personoplysninger i rekrutteringen: En checkliste

Afklar formål og behandlingsgrundlag før opslaget

Formålet skal skrives konkret ned, før stillingen slås op. Uddannelses- og Forskningsministeriet beskriver formålet med behandlingen i Koncern HR som at besætte opslåede stillinger med kvalificerede kandidater. Sætningen er ikke en formalitet: den sætter grænsen for, hvad der må spørges om, gemmes og deles i processen. Efter databeskyttelsesforordningen og databeskyttelsesloven må indsamling kun ske til udtrykkeligt angivne og saglige formål, og senere brug må ikke være uforenelig med dem. Oplysningerne skal desuden behandles lovligt, rimeligt og gennemsigtigt i forhold til den registrerede.

Vælg hjemmel aktivt, og skriv den ned. Dansk Industri nævner tre muligheder: behandling for at opfylde forpligtelser i ansættelseskontrakten (fx løn til egne medarbejdere), interesseafvejning, hvor virksomhedens interesse i at behandle oplysningerne overstiger hensynet til den registrerede, og et klart samtykke fra den enkelte. DI råder arbejdsgivere til at sikre sig, at de vælger det mest passende behandlingsgrundlag. Ansøgere er endnu ikke ansatte, så der findes ingen ansættelseskontrakt at læne sig op ad; grundlaget skal findes blandt de øvrige muligheder og kunne forklares.

Husk, at 'behandling' er bredere end indsamling. Begrebet dækker stort set alt, man kan udsætte personoplysninger for: indsamling, registrering, opbevaring, videregivelse og sletning. Reglerne gælder både elektronisk og manuel behandling. E-mails, it-baseret sagsbehandling, cloudbaserede systemer og SMS er elektronisk behandling, mens manuel behandling foregår, når oplysningerne indgår i et register som en kartotekskasse eller et ringbind.

Checkliste: Behandling af personoplysninger i rekrutteringen

Indsaml kun de nødvendige oplysninger

Start med ansøgningsfelterne. Rekrutteringssystemleverandøren HR-ON anbefaler som forberedelse at overveje, hvilke oplysninger der reelt er nødvendige at indsamle, og stiller spørgsmålet: kan spørgsmål, der i sidste ende ikke er relevante for at vurdere og besætte stillingen, fjernes? Det tester direkte kravet om udtrykkeligt angivne og saglige formål, hvor senere brug heller ikke må være uforenelig med det oprindelige formål.

Kend systemets indsamling, ikke kun dine egne spørgsmål. HR-ON peger på, at man skal have styr på, hvilke personoplysninger rekrutteringssystemet indsamler. Gennemgå felttyper, standardfelter, integrationsopsætning og alt, hvad der kommer ind, uden at ansøgeren bevidst har skrevet det – og notér det i fortegnelsen over behandlingsaktiviteter.

Beslut, om I vil gemme hele ansøgningen eller kun relevante uddrag. UFM-eksemplet viser en effektiv snarere end kurateret tilgang: skriver ansøgeren selv helbreds- eller fagforeningsoplysninger i ansøgningen eller CV'et, følger de med ind i sagen, selv om I aldrig har spurgt om dem.

Håndter særlige oplysninger og CPR særskilt

Databeskyttelsesforordningen skelner overordnet mellem almindelige oplysninger som navn, adresse, fødselsdato og telefonnummer og særlige oplysninger som racemæssig baggrund, fagforeningsmæssigt tilhørsforhold, helbredsoplysninger, genetiske data og seksuelle forhold. Oplysninger om strafbare forhold og personnumre er reguleret af særregler. Ingen af kategorierne hører hjemme i et almindeligt ansøgningsskema. Spørg derfor ikke ind til dem, og beslut på forhånd, hvad der skal ske, hvis de kommer ind ad bagvejen via CV, attester, test eller samtalenoter.

UFM-eksemplet viser, hvordan særlige oplysninger kan komme ind via ansøgning, bilag og forhandling med jobcenteret. Når de først ligger i sagen, skal de have et klart og relevant grundlag – ellers skal de ud af sagen igen.

CPR bør først komme ind, når der er en konkret grund. I UFM-eksemplet gemmes cpr.nr. først sammen med ansøgningen, hvis der tilbydes ansættelse – altså i forbindelse med ansættelsen, ikke i screeningsfasen. Gør beslutningen til en procesregel: hvem må se personnummeret, hvornår indlæses det, og hvornår slettes det?

Særlige oplysninger: Hvad må indsamles – og hvad må ikke?

Indhent samtykke aktivt og oplys kandidaterne

Vælges samtykke som grundlag, skal det være klart og indhentes aktivt – fx ved at kandidaten selv godkender i ansøgningssystemet. HR-ON anbefaler i sine huskeråd, at virksomheden indhenter et eksplicit samtykke, inden en kandidats oplysninger gemmes eller deles. Samtykke er ét af flere mulige grundlag, så oplysningen skal vise, hvad kandidaten samtykker til, og hvor længe det gælder.

Oplysningen kan sammensættes, så kandidaten bedes give samtykke til behandling og opbevaring i en given periode og samtidig får at vide, hvem der har adgang, hvem der er ansvarlig for opslaget, og hvad der sker ved 1. og 2. samtale, herunder test, deling, opbevaring og videregivelse.

Oplys også om næste led, før kandidaten siger ja: test, hvem testresultatet deles med, hvor længe det opbevares, og hvad der sker med ansøgning, bilag og cpr.nr., hvis der tilbydes ansættelse. Videregivelse, test og opbevaring skal stå som enkeltdele i oplysningen, ikke som en samlet sætning om 'behandling af dine data'.

Hav en fast vej for kandidatens rettigheder. Datatilsynet har vejledning om registreredes rettigheder, herunder indsigt, oplysningspligt og sletning. I bør kunne besvare en indsigtsanmodning og håndtere sletning efter reglerne.

Samtykke som behandlingsgrundlag: Fordele og ulemper

Kortlæg rekrutteringssystemer og databehandlere

Lav en liste over alle systemer i processen. Skriv for hvert system: formål, hvilke felter og dokumenter der lander der, hvem der har adgang, og hvor længe data ligger. UFM-eksemplet nedenfor viser, at 'rekrutteringssystemet' sjældent er ét system. Cloudbaserede systemer er elektronisk behandling efter reglerne og skal med i kortlægningen på lige fod med lokale løsninger.

UFM-eksemplet samlet: Koncern HR behandler personoplysninger for at besætte opslåede stillinger. Ansøgning sker gennem ansøgningssystemet HR-manager, hvor ansøgeren i løbet af processen bedes give samtykke til, at oplysningerne behandles og gemmes i en given periode. Ansøgningen er tilgængelig for det konkrete ansættelsesudvalg samt for Koncern HR's medarbejdere. I opslaget fremgår den HR-medarbejder, der er ansvarlig for administrationen af opslaget, og kandidaten kan kontakte vedkommende for at få oplyst, hvem der sidder i ansættelsesudvalget. Ved accept af 1. ansættelsessamtale gemmes navnet i ESDH-systemet F2 og videregives til Service, der står for driften af receptionerne. Har kandidaten gjort brug af fortrinsretten for handicappede, gemmes ved accept af 1. samtale ikke alene navnet, men også ansøgningen inkl. bilag og forhandlingen med jobcenteret i F2.

Ved accept af 2. ansættelsessamtale udfyldes en personlighedstest i People Test Systems; testresultatet deles med den eller de ansættende personaleansvarlige og slettes i systemet efter 3 måneder. Samtykket ved 2. samtale omfatter desuden, at ansøgning inkl. bilag og cpr.nr. gemmes i F2, såfremt der tilbydes ansættelse. Koncern HR gemmer ansøgningen inkl. bilag i sin helhed uden skelen til, om der er angivet følsomme oplysninger i dokumenterne. Der forekommer desuden overvågning på matriklen; optagelser gemmes i op til 30 dage, medmindre særlige tilfælde gør en længere periode nødvendig.

Afklar rollerne. Datatilsynet har vejledning om dataansvarlig og databehandler, om rollefordeling og om fortegnelsen over behandlingsaktiviteter, og HR-ON fremhæver, at virksomheden skal være klar over sin rolle. For hver leverandør skal det kunne besvares konkret: behandler de oplysninger på virksomhedens vegne efter instruks, hvad står i databehandleraftalen om formål, sikkerhed, underleverandører og sletning, og hvem hos jer fører tilsyn med aftalen?

Overførsel til tredjelande er et selvstændigt vejledningsområde hos Datatilsynet. Tjek derfor, hvor leverandøren lagrer og understøtter data, hvilke underleverandører der er i kæden, og hvordan adgang, sletning og videreoverførsel er aftalt. Det er afgørende for, om I kan levere det, I har lovet kandidaterne i oplysningen.

Trin for trin: Sådan håndteres personoplysninger i rekruttering

Fastlæg opbevaring og sletning

Personoplysninger skal slettes, når det ikke længere er nødvendigt at opbevare dem. Det følger af opbevaringsbegrænsningen i databeskyttelsesforordningens artikel 5, stk. 1, litra e. Hverken private virksomheder eller offentlige myndigheder har som udgangspunkt pligt til at opbevare oplysninger om ansøgere, der ikke er blevet tilbudt en stilling, i en bestemt periode.

Datatilsynet vil acceptere en opbevaringsperiode på op til 3 år efter endt rekrutteringsproces for oplysninger om ansøgere, der ikke blev tilbudt stillingen. Opbevarer man i mere end 3 år, skal der være helt særlige grunde. En saglig grund til at opbevare et stykke tid er, at kandidaten efter et afslag kan klage til bl.a. Ligebehandlingsnævnet. Datatilsynet anbefaler, at den dataansvarlige skriver sine overvejelser ned – særligt ved opbevaring ud over 3 år – så begrundelsen kan dokumenteres over for tilsynet.

Vælg en kortere frist, hvis den dækker behovet. Datatilsynets eget eksempel: ønsker man kun at opbevare i 6 måneder, og er det faktisk tilstrækkeligt, skal oplysningerne slettes efter 6 måneder. De 3 år er et loft, ikke et mål. Fristerne kan sættes pr. datatype, så forskellige typer oplysninger har hver sin frist. Læg fristerne ind i rekrutteringssystemet som automatisk sletning eller en fast ryddeliste, så sletningen ikke afhænger af, at nogen husker den.

Opbevaringsfrister og sletning efter Datatilsynets vejledning

Sikr behandlingen og hav en brudprocedure

Relevante vejledningsområder hos Datatilsynet omfatter behandlingssikkerhed, risikovurdering, konsekvensanalyse, katalog over sikkerhedsforanstaltninger, anmeldelse af brud og håndtering af brud på persondatasikkerheden. Rækkefølgen kan være: vurder risikoen ved behandlingen, vælg og dokumentér foranstaltninger, og hav en skriftlig vej, når noget går galt.

Begynd med adgangsstyring. Afgræns adgangen til dem, der har en konkret opgave i rekrutteringen – typisk det konkrete ansættelsesudvalg, HR og de ansættende personaleansvarlige. Gennemgå også: hvem kan åbne ansøgninger, kan udvalgsmedlemmer se ansøgninger til andre stillinger, hvordan lukkes adgangen, når stillingen er besat, og hvordan håndteres eksport og download af ansøgningsmateriale?

At springe det over har konsekvenser. HR-ON peger på, at manglende overholdelse af GDPR-reglerne kan medføre store bøder og tab af troværdighed. Datatilsynets opgave er at rådgive om registrering, videregivelse og anden behandling af personoplysninger samt at føre tilsyn med, at myndigheder, virksomheder og andre dataansvarlige overholder reglerne for databeskyttelse.

Dokumentér ansvar og følg op

Dokumentér beslutningerne undervejs: formål og grundlag, fortegnelse over behandlingsaktiviteter, rollefordeling med leverandørerne, risikovurdering og opbevaringsfristen med begrundelse. Datatilsynet anbefaler udtrykkeligt, at overvejelserne om opbevaringsperiode skrives ned, netop for at den dataansvarlige kan dokumentere over for Datatilsynet, hvorfor det er nødvendigt at opbevare oplysningerne.

Sæt navn på ansvaret pr. opslag og på systemniveau. Angiv en HR-medarbejder, der er ansvarlig for administrationen af det enkelte opslag. Modellen giver både kandidaten og organisationen en konkret person at gå til og gør det muligt at placere ansvaret for sletning, adgang og oplysning et bestemt sted frem for i 'HR' generelt.

Følg op med faste kontroller, fordi rekruttering gentages løbende: at felter og spørgsmål stadig svarer til det angivne formål, at I fortsat har styr på, hvilke oplysninger systemet indsamler, at samtykker og opbevaringsperioder faktisk udløber og udløser sletning, og at adgangslisten kun indeholder dem, der skal have adgang.