Der har blandt mange været en tommelfingerregel om, at man skal slette ansøgninger og bilag senest 6 måneder efter afslutning af rekrutteringsprocessen. Denne 6-måneders regel fremgår ikke af vejledningen. Hertil har Datatilsynet bemærket, at der aldrig har eksisteret en sådan generel regel, da man i hvert enkelt tilfælde konkret skal vurdere, om man har grund til at beholde en ansøgning inkl. bilag. Vi anbefaler derfor nu som udgangspunkt, at ansøgninger og bilagsmateriale slettes, når rekrutteringsprocessen er afsluttet.
Der kan dog være konkrete situationer, hvor man vil have et sagligt formål med at opbevare en ansøgning i længere tid, fx hvis man ved, at en ansøger har følt sig diskrimineret i rekrutteringsprocessen og derfor vil klage til Ligebehandlingsnævnet. Alternativt skal man indhente lovligt samtykke fra ansøgeren til, at dennes ansøgning og bilag må opbevares efter, at rekrutteringsprocessen er afsluttet.
Det fremgår desuden af vejledningen, at følgende som udgangspunkt ikke vil kunne offentliggøres uden medarbejderens samtykke:
Det kan dog ikke helt udelukkes, at der i konkrete tilfælde – navnlig under hensyn til de funktioner, som en medarbejder skal udføre – vil kunne offentliggøres billeder af den pågældende på internettet i medfør af interesseafvejningsreglen i databeskyttelsesforordningens art. 6(1)(f).
For fratrådte medarbejderes mailkonti er reglen fortsat den, at de kun må holdes aktive i en periode, der er så kort som muligt, og maksimalt i 12 måneder efter den konkrete medarbejders fratrædelse.
Datatilsynet bemærker på samme måde som med 6-måneders reglen ovenfor, at man ikke altid pr. automatik kan holde mailkontoen åben i 12 måneder. Man skal altså også her foretage en konkret vurdering af, om man har et sagligt formål med at holde den åben i 12 måneder.
For så vidt angår referencer fastslår Datatilsynet, at ”den omstændighed, at en person søger en stilling i sig selv må anses for en oplysning, der som udgangspunkt ikke vil være hjemmel i forordningens art. 6(1)(f) til at videregive, medmindre der foreligger et samtykke”.
Vi anbefaler derfor, at man sikrer sig, at man har samtykke til at indhente oplysninger om ansøgeren fra fx tidligere og nuværende arbejdsgiver.
Datatilsynet bemærker dog også, at det ikke helt kan udelukkes, at der i nogle tilfælde vil være mulighed for at indhente referencer uden ansøgerens samtykke, fx efter databeskyttelsesforordningens art. 6(1)(e) eller (f).
I forhold til brug af databeskyttelseslovens § 12 har Datatilsynet udtalt, at denne skal anses som en supplerende hjemmelsbestemmelse. Det vil sige, at når arbejdsgiveren skal fastsætte med hvilket behandlingsgrundlag, man behandler sine ansættes personoplysninger efter, skal man begynde i databeskyttelsesforordningen art. 6, 9 og 10. Hvis man herefter konstaterer, at der ikke er hjemmel deri, kan man anvende databeskyttelseslovens § 12.
Arbejder du med GDPR, og vil du holdes opdateret på regler og praksis, kan du med fordel tilmelde dig vores GDPR NYT, som udelukkende omhandler nyheder og artikler inden for databeskyttelsesområdet.
Læs nyhedsbrevet her.
Jesper Løffler Nielsen
Entreprisekontrakter i nybyggeri – hvad skal du som bygherre være opmærksom på?
Nye og opdaterede regler om konkurskarantæne på vej
Ny dom fra Højesteret om 120-dages reglen