Behandling af ansøgeres personoplysninger under rekruttering skal bygge på et gyldigt retsgrundlag. I praksis anvendes oftest legitim interesse efter GDPR art. 6, og hvor relevant supplerer databeskyttelsesloven, herunder §§ 8 og 12. Oplysningspligt, indsigtsret og muligheden for berigtigelse gælder på linje med andre HR-behandlinger. Der stilles ikke krav om løbende sletning af irrelevante oplysninger under selve udvælgelsen, men dataminimering og proportionalitet skal stadig iagttages.
Indhentelse af referencer
Når der indhentes referencer – skriftligt eller mundtligt med notat – er behandlingen omfattet af databeskyttelsesreglerne. Hjemlen er som udgangspunkt legitim interesse; samtykke er normalt ikke gyldigt, fordi ansøgeren befinder sig i en afhængighedssituation.
Arbejdsgiver skal sikre gennemsigtighed om hvem og hvornår der kontaktes, og hvilke oplysninger der søges. Det kan understøttes ved at informere i stillingsopslag eller bede ansøgere medsende referencer.
Straffeattester, børneattester og RKI
Straffe- og børneattester må kun indhentes, når det følger af lov eller anden klar hjemmel, og først sent i forløbet, når kandidaten reelt er i betragtning til stillingen. Attester skal slettes eller anonymiseres, når formålet er opfyldt.
Oplysninger fra RKI bør kun indhentes ved særligt betroede funktioner, fx økonomi- eller ledelsesstillinger, og kun hvis det er sagligt begrundet og proportionalt.
Opbevaring, sletning og videregivelse
Oplysninger om ikke-ansatte ansøgere skal som udgangspunkt slettes, når ansættelsen er afsluttet med kontrakt til en anden. Der kan dog være legitim interesse i midlertidig opbevaring, eksempelvis til håndtering af eventuelle klager, hvor Datatilsynet generelt accepterer opbevaring i op til tre år. Ønskes opbevaring til en talentpulje, kræves et frivilligt og tilbagekaldeligt samtykke.
Giver en tidligere arbejdsgiver reference, og oplysningerne stammer fra elektroniske personalesager, er videregivelsen omfattet af GDPR. Man kan normalt lægge til grund, at ansøgeren er indforstået, når efterspørgeren oplyser dette, men ved mere følsomme emner bør accept verificeres. Se Datatilsynets vejledning om ansættelsesforhold på Datatilsynets hjemmeside.
