Personoplysninger i rekrutteringen – tjekliste og rekrutteringsbureauer i København

Afklar formål og behandlingsgrundlag før opslaget

Formålet skal skrives konkret ned, før stillingen slås op. Uddannelses- og Forskningsministeriet beskriver formålet med behandlingen i Koncern HR som at besætte opslåede stillinger med kvalificerede kandidater. Formålet sætter grænsen for, hvad der må spørges om, gemmes og deles i processen.

Efter databeskyttelsesforordningen og databeskyttelsesloven må indsamling kun ske til udtrykkeligt angivne og saglige formål. Senere brug må ikke være uforenelig med dem. Oplysningerne skal behandles lovligt, rimeligt og gennemsigtigt i forhold til den registrerede.

Vælg hjemmel aktivt, og skriv den ned. Dansk Industri nævner tre muligheder: opfyldelse af forpligtelser i ansættelseskontrakten (fx løn til egne medarbejdere), interesseafvejning, hvor virksomhedens interesse overstiger hensynet til den registrerede, og et klart samtykke fra den enkelte. DI råder arbejdsgivere til at sikre sig, at de vælger det mest passende behandlingsgrundlag.

Ansøgere er endnu ikke ansatte, så der findes ingen ansættelseskontrakt at læne sig op ad. Grundlaget skal findes blandt de øvrige muligheder og kunne forklares.

Behandling er bredere end indsamling. Begrebet dækker stort set alt, man kan udsætte personoplysninger for: indsamling, registrering, opbevaring, videregivelse og sletning. Reglerne gælder både elektronisk og manuel behandling.

E-mails, it-baseret sagsbehandling, cloudbaserede systemer og SMS er elektronisk behandling. Manuel behandling foregår, når oplysningerne indgår i et register som en kartotekskasse eller et ringbind.

Indsaml kun de nødvendige oplysninger

Start med ansøgningsfelterne. HR-ON anbefaler som forberedelse at overveje, hvilke oplysninger der reelt er nødvendige at indsamle. Kan spørgsmål, der i sidste ende ikke er relevante for at vurdere og besætte stillingen, fjernes? Det tester kravet om udtrykkeligt angivne og saglige formål, hvor senere brug heller ikke må være uforenelig med det oprindelige formål.

Kend systemets indsamling, ikke kun dine egne spørgsmål. HR-ON peger på, at man skal have styr på, hvilke personoplysninger rekrutteringssystemet indsamler. Gennemgå felttyper, standardfelter, integrationsopsætning og alt, hvad der kommer ind, uden at ansøgeren bevidst har skrevet det. Notér det i fortegnelsen over behandlingsaktiviteter.

Beslut, om I vil gemme hele ansøgningen eller kun relevante uddrag. UFM-eksemplet viser en effektiv snarere end kurateret tilgang: skriver ansøgeren selv helbreds- eller fagforeningsoplysninger i ansøgningen eller CV'et, følger de med ind i sagen, selv om I aldrig har spurgt om dem.

Håndter særlige oplysninger og CPR særskilt

Databeskyttelsesforordningen skelner overordnet mellem almindelige oplysninger som navn, adresse, fødselsdato og telefonnummer og særlige oplysninger som racemæssig baggrund, fagforeningsmæssigt tilhørsforhold, helbredsoplysninger, genetiske data og seksuelle forhold. Oplysninger om strafbare forhold og personnumre er reguleret af særregler.

Ingen af kategorierne hører hjemme i et almindeligt ansøgningsskema. Spørg derfor ikke ind til dem. Beslut på forhånd, hvad der skal ske, hvis de kommer ind ad bagvejen via CV, attester, test eller samtalenoter.

UFM-eksemplet viser, hvordan særlige oplysninger kan komme ind via ansøgning, bilag og forhandling med jobcenteret. Når de først ligger i sagen, skal de have et klart og relevant grundlag. Ellers skal de ud af sagen igen.

CPR bør først komme ind, når der er en konkret grund. I UFM-eksemplet gemmes cpr.nr. først sammen med ansøgningen, hvis der tilbydes ansættelse – altså i forbindelse med ansættelsen, ikke i screeningsfasen.

Gør beslutningen til en procesregel: Hvem må se personnummeret? Hvornår indlæses det? Hvornår slettes det?

De bedste rekrutteringsbureauer i København

Hvis et bureau skal håndtere ansøgninger, så brug tjeklisten i samtalen: Hvem får adgang til CV'et, hvor længe gemmes det, og hvem besvarer kandidatens spørgsmål? Bed om svar for den konkrete stilling.

Sidst opdateret: 2026-10-08. Kilde: Google Maps.

Kort liste: kun 8 virksomheder kunne verificeres. Ingen blev tilføjet for at fylde listen ud.

Indhent samtykke aktivt og oplys kandidaterne

Vælges samtykke som grundlag, skal det være klart og indhentes aktivt – fx ved at kandidaten selv godkender i ansøgningssystemet. HR-ON anbefaler, at virksomheden indhenter et eksplicit samtykke, inden en kandidats oplysninger gemmes eller deles.

Samtykke er ét af flere mulige grundlag. Oplysningen skal vise, hvad kandidaten samtykker til, og hvor længe det gælder.

Oplysningen kan sammensættes, så kandidaten bedes give samtykke til behandling og opbevaring i en given periode. Kandidaten skal samtidig have at vide, hvem der har adgang, hvem der er ansvarlig for opslaget, og hvad der sker ved 1. og 2. samtale, herunder test, deling, opbevaring og videregivelse.

Oplys også om næste led, før kandidaten siger ja: test, hvem testresultatet deles med, hvor længe det opbevares, og hvad der sker med ansøgning, bilag og cpr.nr., hvis der tilbydes ansættelse.

Videregivelse, test og opbevaring skal stå som enkeltdele i oplysningen. De skal ikke stå som en samlet sætning om »behandling af dine data«.

Hav en fast vej for kandidatens rettigheder. Kandidatens rettigheder omfatter indsigt, oplysningspligt og sletning. I skal kunne besvare en indsigtsanmodning og håndtere sletning efter reglerne.

Kortlæg rekrutteringssystemer og databehandlere

Lav en liste over alle systemer i processen. Skriv for hvert system: formål, hvilke felter og dokumenter der lander der, hvem der har adgang, og hvor længe data ligger.

UFM-eksemplet viser, at »rekrutteringssystemet« sjældent er ét system. Cloudbaserede systemer er elektronisk behandling efter reglerne og skal med i kortlægningen på lige fod med lokale løsninger.

UFM-eksemplet samlet: Koncern HR behandler personoplysninger for at besætte opslåede stillinger. Ansøgning sker gennem ansøgningssystemet HR-manager. Her bedes ansøgeren i løbet af processen give samtykke til, at oplysningerne behandles og gemmes i en given periode.

Ansøgningen er tilgængelig for det konkrete ansættelsesudvalg samt for Koncern HR’s medarbejdere. I opslaget fremgår den HR-medarbejder, der er ansvarlig for administrationen af opslaget. Kandidaten kan kontakte vedkommende for at få oplyst, hvem der sidder i ansættelsesudvalget.

Ved accept af 1. ansættelsessamtale gemmes navnet i ESDH-systemet F2 og videregives til Service, der står for driften af receptionerne. Har kandidaten gjort brug af fortrinsretten for handicappede, gemmes ved accept af 1. samtale ikke alene navnet, men også ansøgningen inkl. bilag og forhandlingen med jobcenteret i F2.

Ved accept af 2. ansættelsessamtale udfyldes en personlighedstest i People Test Systems. Testresultatet deles med den eller de ansættende personaleansvarlige og slettes i systemet efter 3 måneder.

Samtykket ved 2. samtale omfatter desuden, at ansøgning inkl. bilag og cpr.nr. gemmes i F2, såfremt der tilbydes ansættelse. Koncern HR gemmer ansøgningen inkl. bilag i sin helhed uden skelen til, om der er angivet følsomme oplysninger i dokumenterne.

Der forekommer desuden overvågning på matriklen. Optagelser gemmes i op til 30 dage, medmindre særlige tilfælde gør en længere periode nødvendig.

Afklar rollerne: dataansvarlig, databehandler, rollefordeling og fortegnelsen over behandlingsaktiviteter. HR-ON fremhæver, at virksomheden skal være klar over sin rolle.

For hver leverandør skal det kunne besvares konkret: Behandler de oplysninger på virksomhedens vegne efter instruks? Hvad står i databehandleraftalen om formål, sikkerhed, underleverandører og sletning? Hvem hos jer fører tilsyn med aftalen?

Overførsel til tredjelande er et selvstændigt vejledningsområde hos Datatilsynet. Tjek, hvor leverandøren lagrer og understøtter data, hvilke underleverandører der er i kæden, og hvordan adgang, sletning og videreoverførsel er aftalt.

Det er afgørende for, om I kan levere det, I har lovet kandidaterne i oplysningen.

Fastlæg opbevaring og sletning

Personoplysninger skal slettes, når det ikke længere er nødvendigt at opbevare dem. Det følger af opbevaringsbegrænsningen i databeskyttelsesforordningens artikel 5, stk. 1, litra e.

Hverken private virksomheder eller offentlige myndigheder har som udgangspunkt pligt til at opbevare oplysninger om ansøgere, der ikke er blevet tilbudt en stilling, i en bestemt periode.

Datatilsynet vil acceptere en opbevaringsperiode på op til 3 år efter endt rekrutteringsproces for oplysninger om ansøgere, der ikke blev tilbudt stillingen. Opbevarer man i mere end 3 år, skal der være helt særlige grunde.

En saglig grund til at opbevare et stykke tid er, at kandidaten efter et afslag kan klage til bl.a. Ligebehandlingsnævnet. Datatilsynet anbefaler, at den dataansvarlige skriver sine overvejelser ned – særligt ved opbevaring ud over 3 år – så begrundelsen kan dokumenteres over for tilsynet.

Vælg en kortere frist, hvis den dækker behovet. Datatilsynets eget eksempel: Ønsker man kun at opbevare i 6 måneder, og er det faktisk tilstrækkeligt, skal oplysningerne slettes efter 6 måneder. De 3 år er et loft, ikke et mål.

Fristerne kan sættes pr. datatype, så forskellige typer oplysninger har hver sin frist. Læg fristerne ind i rekrutteringssystemet som automatisk sletning eller en fast ryddeliste, så sletningen ikke afhænger af, at nogen husker den.

Opbevaringsfrister efter Datatilsynet

Sikr behandlingen og hav en brudprocedure

Arbejd med behandlingssikkerhed, risikovurdering, konsekvensanalyse, katalog over sikkerhedsforanstaltninger, anmeldelse af brud og håndtering af brud på persondatasikkerheden.

Rækkefølgen kan være: Vurder risikoen ved behandlingen, vælg og dokumentér foranstaltninger, og hav en skriftlig vej, når noget går galt.

Begynd med adgangsstyring. Afgræns adgangen til dem, der har en konkret opgave i rekrutteringen – typisk det konkrete ansættelsesudvalg, HR og de ansættende personaleansvarlige.

Gennemgå også: Hvem kan åbne ansøgninger? Kan udvalgsmedlemmer se ansøgninger til andre stillinger? Hvordan lukkes adgangen, når stillingen er besat? Hvordan håndteres eksport og download af ansøgningsmateriale?

At springe det over har konsekvenser. HR-ON peger på, at manglende overholdelse af GDPR-reglerne kan medføre store bøder og tab af troværdighed.

Datatilsynets opgave er at rådgive om registrering, videregivelse og anden behandling af personoplysninger. Tilsynet fører også tilsyn med, at myndigheder, virksomheder og andre dataansvarlige overholder reglerne for databeskyttelse.

Dokumentér ansvar og følg op

Dokumentér beslutningerne undervejs: formål og grundlag, fortegnelse over behandlingsaktiviteter, rollefordeling med leverandørerne, risikovurdering og opbevaringsfristen med begrundelse.

Datatilsynet anbefaler udtrykkeligt, at overvejelserne om opbevaringsperiode skrives ned. Det gør det muligt for den dataansvarlige at dokumentere over for Datatilsynet, hvorfor det er nødvendigt at opbevare oplysningerne.

Sæt navn på ansvaret pr. opslag og på systemniveau. Angiv en HR-medarbejder, der er ansvarlig for administrationen af det enkelte opslag.

Modellen giver både kandidaten og organisationen en konkret person at gå til. Den gør det muligt at placere ansvaret for sletning, adgang og oplysning et bestemt sted frem for i »HR« generelt.

Følg op med faste kontroller, fordi rekruttering gentages løbende: Kontrollér, at felter og spørgsmål stadig svarer til det angivne formål. Kontrollér, at I fortsat har styr på, hvilke oplysninger systemet indsamler. Kontrollér, at samtykker og opbevaringsperioder faktisk udløber og udløser sletning. Kontrollér, at adgangslisten kun indeholder dem, der skal have adgang.