Når virksomheder og myndigheder rekrutterer nye medarbejdere, indsamler de oplysninger om de personer, der søger stillingerne. Men hvornår skal virksomheden eller myndigheden slette oplysningerne om de ansøgere, som ikke blev tilbudt en stilling?
Personoplysninger skal nemlig slettes, når det ikke længere er nødvendigt at opbevare disse længere. Dette følger af det grundlæggende princip om opbevaringsbegrænsning.
Datatilsynet offentliggør nu en ny side med spørgsmål og svar om, hvor længe dataansvarlige kan opbevare disse oplysninger.
Nye afgørelser
Datatilsynet har endvidere afsluttet to planlagte tilsyn med Fødevarestyrelsen og Kræftens Bekæmpelse, som omhandlede behandling af oplysninger om ansøgere, der ikke var blevet tilbudt en stilling, efter endt rekrutteringsforløb.
Tilsynene fokuserede på de dataansvarliges opbevaring og sletning af personoplysninger om ansøgere – efter endt rekrutteringsforløb – indsamlet i forbindelse med rekruttering til ansættelse, hvor ansøgeren ikke er blevet ansat, jf. bl.a. principperne om opbevaringsbegrænsning og ansvarlighed, og de dataansvarliges behandlingsgrundlag for fortsat at behandle oplysninger om ansøgere, der ikke var blevet tilbudt en stilling.
Den 25. maj 2020 afsluttede Datatilsynet et lignende tilsyn med Carlsberg Danmark A/S.
De dataansvarliges behandlingsgrundlag
Begge dataansvarlige behandlede oplysninger om ansøgere, der ikke var blevet tilbudt en stilling, efter endt rekrutteringsforløb til det formål at dokumentere rekrutteringsforløbet, evt. i forbindelse med indsigelser om diskrimination eller lignende.
Herudover behandlede Kræftens Bekæmpelse også oplysninger om tidligere ansøgere for at kunne tilbyde ansøgerne en lignende stilling.
Datatilsynet fandt, at de dataansvarlige kunne behandle oplysninger om ansøgere, der ikke var blevet tilbudt en stilling, efter endt rekrutteringsforløb til det formål at kunne dokumentere rekrutteringsforløbet.
Efter Datatilsynets opfattelse er det imidlertid uhensigtsmæssigt, hvis oplysningerne til dette formål behandles på baggrund af samtykke, hvorfor Datatilsynet over for Kræftens Bekæmpelse henstillede, at organisationen baserede behandlingen til dette formål på et andet behandlingsgrundlag end samtykke, navnlig for at overholde en retlig forpligtelse, og for at et retskrav kan fastlægges, gøres gældende eller forsvares. For offentlige institutioner vil behandling til dette formål bl.a. henhøre under offentlig myndighedsudøvelse.
Datatilsynet fandt endvidere, at en dataansvarlig kan behandle oplysninger om ansøgere, der ikke er blevet ansat, til det formål at kunne tilbyde ansøgerne en anden stilling på baggrund af ansøgerens samtykke.
Opbevaringsperioden og sletning af oplysningerne
Datatilsynet fandt i begge tilfælde, at de dataansvarliges opbevaringsperiode og sletning af oplysninger om ansøger, der ikke var blevet ansat, efter endt rekrutteringsforløb var sket i overensstemmelse med reglerne.
Kræftens Bekæmpelse gemte oplysningerne i tre måneder efter påbegyndt rekrutteringsforløb, og i op til seks måneder efter påbegyndt rekrutteringsforløb, hvis organisationen havde indhentet særskilt samtykke hertil med det formål at tilbyde ansøgeren en anden stilling, hvorefter oplysningerne blev slettet.
Fødevarestyrelsen opbevarede oplysningerne i op til 24 måneder, hvorefter de blev slettet.
Begge opbevaringsperioder var baseret på en vurdering af, hvor lang tid de dataansvarlige mente, det var nødvendigt at opbevare oplysningerne for at kunne dokumentere et korrekt rekrutteringsforløb, og i Kræftens Bekæmpelses tilfælde også for at kunne tilbyde ansøgere en anden stilling.
Datatilsynet fandt herudover ikke anledning til at påtale de sletteprocedurer, de dataansvarlige havde etableret.
Afslutningsvis henstillede Datatilsynet over for begge dataansvarlige, at de undlader at basere behandling af oplysninger om ansøgere under et rekrutteringsforløb på ansøgernes samtykke, i det omfang de kan eller skal basere behandlingen på andre relevante bestemmelser, herunder for at overholde en retlig forpligtelse, i forbindelse med myndighedsudøvelse eller for at fastlægge, forsvare eller gøre et retskrav gældende. Datatilsynet gjorde i den forbindelse de dataansvarlige opmærksomme på, at hjemmelsgrundlagene skal fremgå tydeligt af de oplysninger, som de dataansvarlige giver ansøgere, når de søger en stilling.
Vil du vide mere?
Læs spørgsmål og svar om opbevaring af personoplysninger om ansøgere, som ikke bliver tilbudt en stilling.
Læs afgørelsen vedrørende Kræftens Bekæmpelse.
Læs afgørelsen vedrørende Fødevarestyrelsen.
Læs Datatilsynets afgørelse i et lignende tilsyn med Carlsberg Danmark A/S.
Du kan også læse Datatilsynet vejledning om databeskyttelse i forbindelse med ansættelsesforhold.