TL;DR
Der findes ikke én fast GDPR-periode. Du skal vurdere, hvorfor du gemmer oplysningerne, hvilket grundlag du har, og hvor længe de er nødvendige til det konkrete formål.
- Tag stilling, når rekrutteringsforløbet er afsluttet.
- Vil du kontakte kandidaten om fremtidige job, gælder der andre overvejelser.
- Fastlæg en periode, og slet oplysningerne, når den udløber.
Hvor længe må jeg gemme en kandidat?
Hvis du rekrutterer medarbejdere, har du sikkert prøvet at stå med en kandidat, som ikke fik jobbet, men som måske kunne være relevant til en fremtidig stilling.
Så opstår spørgsmålet:
Hvor længe må jeg egentlig gemme kandidaten?
Der findes ikke én fast GDPR-periode, som gælder for alle kandidater og alle situationer. Du skal vurdere, hvorfor du gemmer oplysningerne, hvilket behandlingsgrundlag du har, og hvor længe oplysningerne er nødvendige til det konkrete formål. Personoplysninger må som udgangspunkt ikke opbevares længere end nødvendigt.
Hvor længe må jeg gemme oplysninger om en kandidat, der ikke fik jobbet?
Når et rekrutteringsforløb er afsluttet, skal du tage stilling til, om der fortsat er et sagligt og nødvendigt formål med at opbevare kandidatens oplysninger.
Datatilsynet skriver, at private virksomheder og offentlige myndigheder som udgangspunkt ikke har pligt til at opbevare oplysninger om ansøgere, der ikke blev ansat, i en bestemt periode.
I stedet skal virksomheden foretage en konkret vurdering af, hvor længe oplysningerne er nødvendige. Se også Datatilsynets vejledning om databeskyttelse i ansættelsesforhold.
Må jeg gemme kandidaten, hvis jeg gerne vil kontakte personen om fremtidige stillinger?
Ja, det kan du, men der gælder andre overvejelser.
Hvis formålet er at gemme kandidaten, fordi du gerne vil kunne kontakte personen om en fremtidig stilling, skal du have kandidatens samtykke til denne fortsatte opbevaring. Kandidaten skal samtidig informeres om, hvor længe oplysningerne forventes gemt, og om retten til at trække samtykket tilbage.
I vores eget system har vi løst det ved, at kandidater automatisk bliver bedt om at forny samtykket.
Et samtykke betyder heller ikke, at du må gemme kandidaten ubegrænset.
Du skal stadig vurdere, hvor længe det er relevant at opbevare oplysningerne til det konkrete formål.
Skal jeg slette kandidaten, når rekrutteringen er afsluttet?
Ikke nødvendigvis med det samme.
Efter et afsluttet rekrutteringsforløb kan der være et sagligt behov for fortsat at opbevare visse oplysninger, eksempelvis for at kunne dokumentere rekrutteringsprocessen.
Datatilsynet har i konkrete sager accepteret forskellige opbevaringsperioder, blandt andet 24 måneder i en sag, hvor formålet var at kunne dokumentere rekrutteringsprocessen. Det viser netop, at perioden skal vurderes ud fra formålet og den konkrete situation.
Hvad hvis kandidaten skal gemmes i min emnebank?
Hvis du vil gemme kandidaten med henblik på fremtidige jobmuligheder, skal du have et relevant grundlag for denne behandling.
Datatilsynet beskriver specifikt, at en arbejdsgiver kan have en saglig interesse i at opbevare oplysninger om en ansøger med henblik på en mulig senere ansættelse, og at dette kan ske på baggrund af kandidatens samtykke.
Det er derfor vigtigt at skelne mellem:
Kandidaten gemmes, fordi det eksisterende rekrutteringsforløb skal kunne dokumenteres
og
Kandidaten gemmes, fordi virksomheden gerne vil kontakte kandidaten om fremtidige stillinger.
Det er to forskellige formål, som ikke nødvendigvis har samme behandlingsgrundlag eller samme opbevaringsperiode.
Skal jeg indhente samtykke til alle kandidatoplysninger?
Nej, ikke nødvendigvis.
Samtykke er ikke automatisk det juridiske grundlag for al behandling af personoplysninger i forbindelse med rekruttering.
Datatilsynet har eksempelvis fremhævet, at behandling af oplysninger under selve rekrutteringsprocessen i nogle tilfælde kan ske på andre behandlingsgrundlag end samtykke.
Derfor bør virksomheden ikke bare skrive:
“Vi har dit samtykke, så vi må gemme dine oplysninger.”
Man skal først identificere formålet med behandlingen og derefter vurdere det relevante behandlingsgrundlag.
Læs også: Hvor længe må jeg gemme kandidater i min emnebank?
Hvad hvis kandidaten trækker sit samtykke tilbage?
Hvis behandlingen er baseret på samtykke, skal kandidaten kunne trække samtykket tilbage.
Det er derfor vigtigt, at virksomheden har en praktisk proces for at håndtere tilbagekaldelser.
Hvis kandidaten eksempelvis har givet samtykke til, at virksomheden må gemme oplysningerne med henblik på fremtidige stillinger, bør virksomheden kunne registrere tilbagekaldelsen og efterfølgende vurdere, hvilke oplysninger der ikke længere må opbevares til dette formål.
Hvordan holder jeg styr på kandidaternes samtykker?
Det kan være vanskeligt at håndtere manuelt, hvis virksomheden har mange kandidater.
Forestil dig eksempelvis et rekrutteringsbureau med 2.000 kandidater i en emnebank.
Virksomheden skal kunne have styr på:
- Hvornår kandidaten blev oprettet
- Hvorfor kandidaten blev gemt
- Hvilket grundlag oplysningerne behandles på
- Om kandidaten har givet samtykke til fremtidig kontakt
- Hvor længe oplysningerne skal opbevares
- Om kandidaten har trukket sit samtykke tilbage
- Hvornår oplysningerne skal slettes
Det er netop her, et struktureret rekrutteringssystem kan gøre en stor forskel.
Kan ReQruiting hjælpe med håndteringen?
ReQruiting er udviklet til at samle kandidatdata og rekrutteringsprocesser i ét system.
For en virksomhed eller et rekrutteringsbureau betyder det, at kandidatdata ikke behøver at være spredt mellem e-mails, Excel-filer og lokale mapper.
Hvis du bruger ReQruiting til din kandidatdatabase, kan du arbejde mere struktureret med kandidaternes oplysninger og de processer, der knytter sig til dem.
Det ændrer dog ikke virksomhedens ansvar efter GDPR. Et system kan understøtte virksomhedens GDPR-processer, men virksomheden skal fortsat selv sikre, at behandlingen af personoplysninger sker lovligt og med passende opbevaringsperioder.
Hvad er den vigtigste GDPR-regel at huske?
Den vigtigste regel er ikke:
“Du må gemme en kandidat i X måneder.”
Den er:
Du må ikke opbevare personoplysninger længere end nødvendigt til det formål, de behandles til.
Hvis du ønsker at gemme en kandidat til fremtidige stillinger, skal du samtidig sikre, at du har det relevante behandlingsgrundlag, og at kandidaten informeres om opbevaringen og sine rettigheder.
Kort svar
Hvor længe må jeg gemme en kandidat?
Det afhænger af, hvorfor du gemmer kandidaten og hvilket behandlingsgrundlag du har. Der findes ikke én fast periode, der gælder for alle situationer.
Hvis kandidaten ikke blev ansat, skal du vurdere, hvor længe oplysningerne fortsat er nødvendige. Hvis du ønsker at gemme kandidaten med henblik på fremtidige jobmuligheder, skal du som udgangspunkt have kandidatens samtykke til dette formål og informere om, hvor længe oplysningerne forventes gemt. Et samtykke giver ikke ret til ubegrænset opbevaring.
Sådan vurderer du, om du må gemme kandidaten
- Find formåletHvorfor vil du gemme oplysningerne?
- Afklar grundlagetHvad giver dig lov til at gemme dem?
- Sæt en periodeHvor længe er de reelt nødvendige?
- InformérFortæl kandidaten, hvad du gør.
- Slet til tidenSørg for, at det sker automatisk eller fast.
Ofte stillede spørgsmål om at gemme kandidater
Hvad skal man gøre, når rekrutteringen er slut?
Tag stilling til, om der stadig er et sagligt og nødvendigt formål med at gemme oplysningerne. Er der ikke det, bør de slettes. Vil du gemme kandidaten til senere stillinger, skal du afklare grundlaget.
Må man gemme en kandidat til fremtidige stillinger?
Ja, det kan du, men der gælder andre overvejelser end ved den konkrete rekruttering. Kandidaten skal vide det, og du skal have et grundlag for det. Fastsæt også, hvor længe oplysningerne skal gemmes.
Hvordan husker man at slette kandidater?
Lav en fast proces med en bestemt periode, og brug gerne et system, der kan hjælpe med sletningen. Så afhænger det ikke af, at nogen husker det, og du kan bedre dokumentere, hvordan I gør.
