Så hanterar ni personuppgifter i rekryteringen enligt GDPR

Rekrytering är personuppgiftsbehandling – börja med syftet

Dataskyddsförordningen, GDPR, är Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016. Den började gälla den 25 maj 2018 och ersatte personuppgiftslagen (PUL). Förordningen har 99 artiklar och 173 beaktandesatser (skäl).

IMY:s vägledning Rekryteringssystem och kompetensdatabaser behandlar extern och intern rekrytering. Där är utgångspunkten att behandlingen måste stödjas på en rättslig grund och att bara nödvändiga uppgifter får samlas in.

CV, ansökan, intervjuanteckningar och referenser är personuppgifter. Enligt IMY får arbetsgivaren vid rekrytering bara behandla uppgifter som är nödvändiga för ändamålet: sådana som behövs för att bedöma lämpligheten för en viss tjänst. Ringa in tjänsten och dess bedömningsgrunder. Varje insamlad uppgift måste kopplas till grunderna; annars är den inte nödvändig.

Omfattningen är vidare än många tror. Listor, kalkylark, löpande text om personer och e-postinformation omfattas. Ett urval i ett kalkylark vid sidan av rekryteringssystemet är personuppgiftsbehandling precis som systemet. Intervjuanteckningar omfattas även om de aldrig förs in i ett system.

Syftet sätter gränsen framåt. Uppgifter som samlats in för att bedöma lämplighet för en bestämd tjänst får inte utan vidare användas för ett annat ändamål, till exempel en intern kompetensdatabas. För annan användning krävs en egen grund för det ändamålet.

Välj rättslig grund – oftast intresseavvägning, sällan samtycke

Grundläggande principer finns i artikel 5 och rättslig grund i artikel 6 i dataskyddsförordningen. Informationsskyldighet finns i artikel 13. Rättelse och radering finns i artiklarna 16–17.

Enligt IMY är rättslig grund vid rekrytering normalt intresseavvägning, eller allmänt intresse om arbetsgivaren är myndighet. IMY anger att arbetsgivaren har ett berättigat intresse av att rekrytera anställda för att verksamheten ska bedrivas ändamålsenligt.

Enligt IMY är samtycke sällan lämplig rättslig grund vid rekrytering. Samtycke blir i stället aktuellt i andra situationer, till exempel när ni vill spara uppgifter för framtida rekrytering.

Grunden ska vara dokumenterad och gå att förklara för kandidaten. Skriv ned vilken grund ni lutar er mot för varje behandling – urval, bakgrundskontroll, sparande i databas.

Beskriv också vad intresseavvägningen bygger på: vilket berättigat intresse arbetsgivaren har och varför det väger tyngre än kandidatens integritetsintresse i just den rollen.

Bestäm vilka uppgifter som faktiskt behövs

Enligt IMY får behandlingen aldrig vara mer ingående eller omfattande än vad som krävs för att tillsätta en specifik tjänst. Gå igenom ansökningsformuläret fält för fält och stryk det som inte används i bedömningen. Bestäm i förväg vilka uppgifter som får samlas in i CV, intervju och referenstagning.

Enligt IMY kan utrymmet att behandla fler uppgifter, eller viss integritetskänslig information, vara större vid tjänster med stort ansvar, till exempel ekonomiskt ansvar, personalansvar eller säkerhetsansvar. Det är en glidande skala knuten till tjänsten, inte ett allmänt tillstånd att samla in mer.

Samma proportionalitetstanke gäller kontroller. En bakgrundskontroll måste vara proportionerlig mot rollen: bara relevanta uppgifter får samlas in, omfattningen ska anpassas efter risknivå och ansvar i tjänsten, och mer ingripande kontroller kräver starkare motivering. För en ekonomisk roll kan en kreditupplysning vara motiverad; för andra roller kan samma kontroll vara oproportionerlig.

Referenser är också en avgränsningsfråga. Fråga bara om det som är relevant för lämpligheten för den aktuella tjänsten, håll referenssamtalen strukturerade kring tjänstens krav och skriv bara ned det som hör dit. Personliga omdömen om hälsa, familj, politik eller facklig tillhörighet hör inte hemma i en referensanteckning.

Känsliga uppgifter och lagöverträdelser hålls utanför

Känsliga personuppgifter har starkare skydd i dataskyddsförordningen. De behandlas i artikel 9.

Enligt IMY är det normalt inte tillåtet för en arbetsgivare att vid rekrytering behandla känsliga personuppgifter eller uppgifter om lagöverträdelser. Uppgifter om hälsa, religion eller facklig tillhörighet ska inte efterfrågas, noteras eller vägas in i urvalet. Register över lagöverträdelser hör inte hemma i rekryteringsunderlaget.

Bygg bort risken i formulär och rutiner i stället för att hantera den i efterhand. Undvik fritextfält och öppna frågor som inbjuder till känsliga uppgifter. Upplys den som intervjuar om vad som inte får efterfrågas, och rensa bort sådana uppgifter om de ändå kommer in i en ansökan eller ett samtal.

Om ett undantag alls skulle vara aktuellt krävs stark koppling till den specifika tjänsten och tydligt stöd i regelverket. Bedömningen måste göras och dokumenteras per tjänst och får inte ses som en generell öppning.

Gör bakgrundskontroller proportionerligt

Bakgrundskontroller är tillåtna om det finns en laglig grund och kontrollen är relevant, proportionerlig och transparent. De får inte göras slentrianmässigt; arbetsgivaren måste kunna motivera varför kontrollen är nödvändig i varje enskilt fall. Ofta baseras de på berättigat intresse, förutsatt att arbetsgivarens behov väger tyngre än individens rätt till integritet.

Tre krav följer: kontrollen ska ha ett tydligt syfte, vara relevant för rollen och kandidaten ska informeras i förväg. Vid rekrytering kan den handla om att verifiera identitet, utbildning eller arbetslivserfarenhet, säkerställa att kandidaten uppfyller kraven för rollen eller minska risker i förtroende- eller säkerhetskritiska positioner.

Vilka uppgifter som får kontrolleras beror på tjänstens ansvar och risknivå. Det kan exempelvis omfatta identitetsuppgifter som namn och personnummer, utbildning och kvalifikationer, arbetslivserfarenhet och referenser samt kreditupplysning vid ekonomiskt ansvar. Kontrollen får aldrig vara mer omfattande än nödvändigt och ska alltid anpassas efter rollen.

Informera kandidaten tidigt och begripligt

Kandidatens rättigheter finns i artiklarna 12–22. Dit hör information, registerutdrag, rättelse och radering. Rättelse av felaktiga personuppgifter ska ske utan onödigt dröjsmål enligt förordningen.

Rätten till registerutdrag finns i artikel 15.

Enligt IMY ska de registrerade få information om att den personuppgiftsansvariga samlar in personuppgifter. Verksamheter som hanterar personuppgifter behöver informera de registrerade om hur uppgifterna hanteras. Det gäller även kandidater: informationen ska komma i samband med insamlingen, inte först när processen är över.

Informationsrutan i ansökningsformuläret eller det separat utskickade integritetsmeddelandet bör täcka vilka kategorier av uppgifter ni samlar in, för vilka ändamål och på vilken rättslig grund. Den bör också täcka hur länge uppgifterna sparas, vilka som får tillgång till dem – till exempel interna rekryterare, chefer eller ett bemanningsföretag – och kandidatens rättigheter.

Skriv begripligt och konkret i stället för att kopiera lagtext: vem som är personuppgiftsansvarig, varför just dessa uppgifter behövs, hur länge de sparas och hur kandidaten kan utnyttja sina rättigheter. Länka till den fullständiga integritetspolicyn i stället för att lägga allt i formulärtexten.

Om bakgrundskontroll eller referenstagning är aktuell ska kandidaten få veta det i förväg och förstå vad som kontrolleras och varför det är relevant för rollen. Informationskravet är detsamma som vid insamlingen i övrigt, men tidpunkten blir viktig eftersom kontrollen ligger efter urvalet.

Gallra när rekryteringen är klar – spara inte för framtiden utan stöd

Rätten till radering följer av artikel 17. Rättelse följer av artikel 16.

Personuppgifter i en ansökan, intervjuanteckningar och referenser får behandlas så länge de är nödvändiga för rekryteringsförfarandet. Enligt IMY ska de därefter som utgångspunkt raderas eller avidentifieras. Sätt ett datum eller en rutin som utlöser gallringen när tjänsten är tillsatt eller rekryteringen avslutad, så att den inte hänger på någons minne.

Undantaget är tidsbegränsat. Arbetsgivaren får spara uppgifterna så länge den sökande kan vidta rättsliga åtgärder, till exempel om den som inte fick jobbet kan överklaga anställningen. Bestäm hur länge fönstret ska hållas öppet och dokumentera skälet till att uppgifterna ligger kvar.

Vill arbetsgivaren spara uppgifterna för framtida rekrytering krävs att den sökande samtycker. Samtycket är en egen behandling med eget ändamål och ska kunna tas tillbaka – då ska uppgifterna gallras.

Myndigheter behöver dessutom följa kraven på att bevara allmänna handlingar om det inte finns stöd för gallring, till exempel i gallringsföreskrifter. För en myndighet kan bevarandekravet alltså gå före gallringen, medan en privat arbetsgivare som huvudregel ska radera eller avidentifiera när rekryteringen är klar.

Håll ordning i rekryteringssystem och kompetensdatabaser

Dataskyddsförordningen innehåller bestämmelser om personuppgiftsbiträde och biträdesavtal. När ett rekryteringssystem eller bemanningsföretag behandlar uppgifter för er räkning behövs ett biträdesavtal enligt artikel 28.

Kapitel V reglerar överföring av personuppgifter till tredjeländer eller internationella organisationer, artiklarna 44–50. Kontrollera därför var leverantören behandlar uppgifterna.

Enligt IMY kan både intern och extern rekrytering utgå från kompetensdatabaser och utföras med rekryteringssystem. Behandlingen måste vila på en rättslig grund, och dataminimering och gallring gäller precis som i manuell hantering: samla bara in nödvändiga uppgifter och radera dem när de inte längre behövs.

Ett system gör det enkelt att spara – och det är där risken sitter. Systemet behöver vara uppsatt så att gallring faktiskt sker. Systemen bör kunna ge inbyggd integritet, det vill säga att data gallras och att åtkomsten till uppgifterna är begränsad.

Grundarbetet är att känna sin data och sina system: vem som har tillgång till kandidaternas personuppgifter, var och hur uppgifterna förvaras, hur och med vem ni delar dem, vilka uppgifter som lagras och hur länge. Gå igenom samma punkter för varje system och databas som rör kandidater, även sådana som införts utan att rekryteringsfunktionen varit inblandad.

Kandidatens rätt att få sina uppgifter raderade på eget initiativ måste fungera i praktiken, inte bara i policyn. Se till att ni kan identifiera och radera en kandidats uppgifter även i system, i e-post och i manuella listor – annars uppfyller ni inte begäran.

Bygg rutiner för åtkomst, säkerhet och kandidaträttigheter

Dataskyddsförordningen innehåller bestämmelser om personuppgiftsincidenter, konsekvensbedömning, registerförteckning och dataskyddsombud. Registerförteckning finns i artikel 30, incidenter i artikel 33, konsekvensbedömning i artikel 35 och dataskyddsombud i artiklarna 37–39.

Det praktiska arbetet handlar om dokumenterade rutiner. Vanliga punkter att ta fram är en riskanalys, dokumentation av utvärderingen av de system som används och en inventering av vilka register och personuppgifter som samlas in och varför. Ta också fram rutinbeskrivningar för hur personuppgifter hanteras, hur behörigheter tilldelas, hur data hanteras i e-post och hur registrering i fritext går till.

Begränsa åtkomsten. Alla i organisationen behöver inte se hela ansökningsunderlaget; ge behörighet till rekryterande chef och de som faktiskt deltar i urvalet, och stäng behörigheten när processen är klar. Undvik att skicka CV, referenser eller intervjuanteckningar som bilagor i e-post eller att sammanställa dem i egna kalkylark vid sidan av systemet. Var också försiktig med fritextfält där känsliga uppgifter kan hamna.

Ha en enkel väg in för kandidater som vill utnyttja sina rättigheter. Bestäm vem som tar emot en begäran om information, rättelse eller radering, hur identiteten kontrolleras och inom vilken tid svaret ska gå ut, och dokumentera vad ni gjorde.

Konsekvenserna av bristande kontroll är konkreta: svag kontroll över CV, e-post, referenser och interna rutiner kan leda till regelbrott, sanktionsavgifter och förlorat förtroende. En administrativ sanktionsavgift kan uppgå till 20 miljoner euro eller fyra procent av en koncerns omsättning.