Det korte svar er:
Der findes ikke én bestemt periode, hvor et rekrutteringsbureau må gemme alle kandidater i sin emnebank.
Hvor længe en kandidat må opbevares, afhænger blandt andet af formålet med opbevaringen, behandlingsgrundlaget og hvor længe oplysningerne er nødvendige.
Det betyder også, at en emnebank ikke bør fungere som et arkiv, hvor alle kandidater automatisk gemmes i mange år.
En god emnebank skal have en aktiv opbevarings- og sletteproces.
TL;DR
Der findes ikke én bestemt periode for, hvor længe et rekrutteringsbureau må gemme kandidater i sin emnebank. Det afhænger af formålet, behandlingsgrundlaget og hvor længe oplysningerne er nødvendige.
- En emnebank bør ikke fungere som et arkiv, hvor alle gemmes i mange år.
- Sørg for en aktiv proces for opbevaring og sletning.
- Oplysninger må ikke gemmes længere end nødvendigt.
Hvorfor må jeg ikke bare gemme kandidaterne?
Det skyldes princippet om opbevaringsbegrænsning i GDPR.
Personoplysninger må ikke opbevares længere end nødvendigt til det formål, de behandles til.
Datatilsynet formulerer det direkte i sin vejledning om rekruttering: Personoplysninger om ansøgere skal slettes, når det ikke længere er nødvendigt at opbevare dem. Du kan læse mere i Datatilsynets vejledning om databeskyttelse i ansættelsesforhold.
Det betyder i praksis:
Det er ikke kandidatens placering i dit ATS eller din emnebank, der bestemmer, hvor længe oplysningerne må gemmes.
Det er formålet med behandlingen og behovet for oplysningerne, der er afgørende.
Findes der en bestemt GDPR-periode for kandidater?
Nej.
Det er en af de vigtigste pointer.
Du kan derfor ikke lave en universel regel som:
“Alle kandidater skal slettes efter 6 måneder.”
eller:
“Alle kandidater må gemmes i 3 år.”
Begge dele kan være forsimplet.
Datatilsynet skriver, at private virksomheder som udgangspunkt ikke har pligt til at opbevare oplysninger om ansøgere, der ikke blev ansat, i en bestemt periode. Virksomheden skal i stedet vurdere, hvor længe oplysningerne er nødvendige.
Hvad hvis kandidaten skal være i emnebanken?
Her bliver situationen interessant for rekrutteringsbureauer.
En kandidat kan være uinteressant for den konkrete stilling, men meget relevant for en fremtidig kunde.
Eksempel:
Et bureau søger en:
CFO til en produktionsvirksomhed.
Kandidaten er kvalificeret, men bliver ikke valgt.
Seks måneder senere får bureauet en ny kunde, som søger en:
Finance Director med international erfaring.
Kandidaten kunne være relevant igen.
Det er netop værdien af en emnebank.
Men bureauet skal stadig have styr på, hvorfor kandidaten fortsat opbevares, og hvilket grundlag der gælder for den fortsatte behandling.
Kan jeg gemme kandidaten til fremtidige job?
Det kan være muligt.
Datatilsynet har udtrykkeligt anerkendt, at oplysninger om ansøgere kan opbevares med henblik på at kunne tilbyde dem en anden stilling senere. I den konkrete praksis skete det på baggrund af samtykke.
Datatilsynets FAQ siger tilsvarende, at en virksomhed kan gemme oplysninger om ansøgere, der ikke fik stillingen, hvis virksomheden har fået samtykke til at kunne kontakte dem om en lignende stilling, og nævner 6 måneder som eksempel på en kortere periode.
For et rekrutteringsbureau betyder det, at emnebanken kan have et særskilt formål i forhold til den konkrete rekruttering.
Det bør derfor være tydeligt, om kandidaten:
- opbevares på grund af den afsluttede rekruttering, eller
- fortsat opbevares med henblik på fremtidige muligheder.
Skal jeg have samtykke for at gemme en kandidat i emnebanken?
Man skal passe på med at svare:
“Ja, altid.”
Det er for kategorisk.
Behandlingsgrundlaget afhænger af den konkrete behandling.
Men hvis formålet specifikt er at kunne kontakte kandidaten om fremtidige jobmuligheder, er samtykke et behandlingsgrundlag, som Datatilsynet har accepteret.
Det betyder, at et bureau bør have en klar proces for, hvordan kandidater kommer ind i emnebanken, og hvad kandidaten er informeret om.
Hvad hvis kandidaten selv siger ja til at være i emnebanken?
Det er en langt tydeligere situation.
Hvis kandidaten eksempelvis får mulighed for at sige:
“Jeg vil gerne kontaktes om relevante fremtidige stillinger.”
kan bureauet etablere en proces omkring dette.
Men samtykket skal være reelt og opfylde kravene til et gyldigt samtykke. Datatilsynet beskriver blandt andet samtykke som frivilligt, specifikt, informeret og utvetydigt.
Bureauet skal også kunne dokumentere samtykket.
Hvor længe gælder en kandidats samtykke?
Et samtykke er ikke en blankocheck til at gemme oplysninger for altid.
Selv hvis kandidaten har sagt ja til fremtidige jobmuligheder, skal bureauet have styr på, om oplysningerne fortsat er relevante og nødvendige.
Datatilsynet har eksempelvis accepteret en periode på seks måneder i en konkret rekrutteringssammenhæng, hvor kandidaten havde samtykket til fremtidige jobmuligheder.
Derfor bør et bureau ikke tænke:
“Kandidaten har givet samtykke, så vi kan beholde profilen for evigt.”
Det er ikke en god databeskyttelsespraksis.
I vores eget system bliver kandidater i emnebanken automatisk bedt om at forny deres samtykke, så det ikke afhænger af, at nogen husker at spørge.
Hvad hvis kandidaten aldrig har søgt hos os?
Det er særligt relevant for search-bureauer.
En kandidat kan være fundet gennem:
- Netværk
- Search
- Anbefaling
- Tidligere kontakt
- Andre offentligt tilgængelige kilder
Det ændrer ikke på, at bureauet skal have styr på sin behandling af personoplysninger.
Man bør derfor ikke have en praksis, hvor alle interessante profiler automatisk gemmes permanent i emnebanken.
Læs også: Hvor længe må jeg gemme en kandidat?
Hvad hvis kandidaten kommer fra LinkedIn?
Her bør bureauet være særligt opmærksomt.
At oplysningerne kan ses offentligt, betyder ikke, at de automatisk må kopieres ind i en kandidatdatabase og opbevares uden tidsbegrænsning.
Bureauet bør blandt andet overveje:
- Hvilke oplysninger er relevante?
- Hvorfor registrerer vi dem?
- Hvad skal de bruges til?
- Hvor længe skal de opbevares?
- Hvordan informeres kandidaten?
- Hvornår skal oplysningerne slettes?
Det er et område, hvor dataminimering er mindst lige så vigtigt som selve opbevaringsperioden.
Skal hele kandidatens LinkedIn-profil gemmes?
Nej, ikke nødvendigvis.
Hvis det eneste relevante er:
“Kandidaten har erfaring som CFO og har arbejdet i produktionsindustrien.”
er der ikke nødvendigvis nogen grund til at kopiere alle mulige oplysninger fra kandidatens profil.
En god regel er:
Registrér de oplysninger, der er relevante for dit formål – ikke alt, du kan finde.
Hvad hvis kandidaten har været med i en tidligere rekruttering?
Det er her, emnebanken bliver værdifuld.
En kandidat kan have været igennem en rekruttering for:
Kunde A
og senere være relevant for:
Kunde B
Hvis bureauet fortsat må opbevare kandidatens oplysninger, kan historikken være værdifuld.
Men historikken skal ikke betyde, at alle gamle oplysninger automatisk skal gemmes.
Bureauet bør løbende overveje:
Hvilke oplysninger er stadig relevante?
Skal jeg slette kandidaten fra emnebanken efter hver rekruttering?
Nej, ikke nødvendigvis.
Det ville faktisk fjerne en stor del af værdien ved en emnebank.
Pointen er netop, at en kandidat kan være relevant til flere fremtidige rekrutteringer.
Men kandidaten skal ikke blive i databasen alene fordi:
“Det kunne jo være, at vi får brug for ham en dag.”
Der skal være et reelt og relevant formål med den fortsatte opbevaring.
Hvad hvis kandidaten ikke længere er relevant?
Så bør profilen vurderes.
Eksempel:
En kandidat blev registreret som:
Marketing Director – København
Men fem år senere arbejder kandidaten måske i en helt anden branche og har ikke længere relevans for bureauets arbejde.
Så er det værd at spørge:
Har vi stadig et relevant formål med at opbevare oplysningerne?
Hvis svaret er nej, bør oplysningerne ikke bare blive liggende af vane.
Kan jeg sætte en automatisk slettefrist?
Ja, og det kan være en rigtig god idé.
Datatilsynets praksis viser, at automatiseret sletning kan indgå som en del af en forsvarlig proces. I Carlsberg-sagen blev oplysninger om ansøgerprofiler eksempelvis automatisk slettet efter seks måneders inaktivitet, og Datatilsynet fandt ikke grundlag for kritik.
Det er interessant for et rekrutteringsbureau, fordi en automatisk proces kan være langt mere robust end at forvente, at hver enkelt konsulent husker at rydde op.
Men skal alle kandidater slettes automatisk efter samme periode?
Ikke nødvendigvis.
Det kan være bedre at arbejde med forskellige kategorier.
Eksempel:
Hvor længe må du gemme en kandidat i en aktiv rekruttering?
Opbevares så længe oplysningerne er nødvendige for den konkrete proces.
Hvor længe må du gemme en kandidat efter en afsluttet rekruttering?
Opbevares i den periode, bureauet konkret har vurderet nødvendig til det relevante formål.
Hvor længe må du gemme en kandidat i en emnebank?
Opbevares efter de regler og det grundlag, der gælder for fremtidige jobmuligheder.
Hvad gør du med en kandidat uden relevant formål?
Slettes.
Det er en langt mere moden tilgang end én stor slettefrist for alle.
Hvad skal et rekrutteringssystem kunne, når det gælder sletning og samtykke?
Hvis emnebanken er central for bureauet, bør systemet kunne understøtte:
- Slettefrister
- Automatisk sletning
- Kandidatstatus
- Samtykke
- Dokumentation
- Adgangsstyring
- Kandidathistorik
- Kundetilknytning
- Eksport
- Søgning
- Oprydning
Det er ikke systemet, der beslutter, hvor længe kandidaten må opbevares.
Men systemet kan hjælpe bureauet med at gennemføre den politik, bureauet har fastlagt.
Hvad hvis kandidaten beder om at blive slettet?
Bureauet bør have en klar proces.
Kandidaten kan eksempelvis skrive:
“Jeg vil gerne have alle mine oplysninger slettet.”
Så bør bureauet kunne identificere kandidatens oplysninger i relevante systemer og vurdere, hvilke oplysninger der skal slettes, og om der findes et lovligt grundlag for at bevare enkelte oplysninger.
Det er endnu et argument for at samle kandidatdata i et struktureret system frem for at have oplysninger spredt over:
- Excel
- Personlige mapper
- Lokale drev
- Flere databaser
Hvad med oplysninger, der skal bruges til dokumentation?
Det er vigtigt at skelne mellem forskellige formål.
Datatilsynet har eksempelvis accepteret, at oplysninger fra afsluttede rekrutteringer kan opbevares for at dokumentere, hvordan rekrutteringen blev gennemført, herunder i tilfælde af eventuelle indsigelser om diskrimination.
Det er ikke nødvendigvis det samme formål som:
“Vi vil gerne kunne ringe til kandidaten igen.”
Derfor bør et bureau ikke nødvendigvis bruge det samme opbevaringsgrundlag og den samme slettefrist til alle kandidatdata.
Hvad er den vigtigste regel for at gemme kandidater?
Hvis du kun skal huske én ting, så er det denne:
Du må ikke spørge “Hvor længe må vi gemme kandidater?” uden også at spørge “Hvorfor gemmer vi dem?”
Formålet kommer først.
Derefter vurderer man:
Formål → behandlingsgrundlag → nødvendighed → opbevaringsperiode → sletning.
Hvordan holder du emnebanken opdateret?
- Afklar formåletHvorfor gemmer I kandidaten?
- Fastsæt en periodeHvor længe er oplysningerne nødvendige?
- Informér kandidatenFortæl, hvad I gemmer, og hvorfor.
- Forny kontaktenSpørg, om kandidaten stadig vil være med.
- Slet til tidenFjern dem, I ikke længere har grund til at gemme.
Ofte stillede spørgsmål om emnebanken
Hvad er en emnebank?
En emnebank er en database med kandidater, som et rekrutteringsbureau eller en virksomhed kan kontakte om relevante stillinger. Den gør det hurtigere at finde kandidater, men oplysningerne må kun gemmes, så længe der er et sagligt og nødvendigt formål.
Hvad skal der ske, når en kandidat ikke længere er relevant?
Så skal oplysningerne som udgangspunkt slettes. Gennemgå derfor emnebanken med faste mellemrum, og tag stilling til, om der stadig er et formål med at gemme den enkelte kandidat. En fast proces gør det lettere at huske det.
Hvordan holder man en emnebank opdateret?
Sæt en fast periode, kontakt kandidaterne med jævne mellemrum, og fjern dem, der ikke længere skal være med. Noter også, hvornår kandidaten sidst blev kontaktet, så du kan se, hvem der skal følges op på.
