Hvor længe må jeg opbevare ansøgninger modtaget i forbindelse med en rekrutteringsproces?

Svar: Når en arbejdsgiver modtager jobansøgninger, vil denne som led heri behandle personoplysninger. Oplysningerne er derfor omfattet af databeskyttelsesloven og persondataforordningen, og som arbejdsgiver skal man derfor forholde sig til, hvordan man vil og må behandle disse oplysninger.

Hvis ansøgeren bliver ansat, kan man som udgangspunkt opbevare materialet fra rekrutteringsprocessen i det løbende ansættelsesforhold. Hvis ansøger ikke bliver ansat, har man som virksomhed som udgangspunkt ikke pligt til at opbevare personoplysninger om ansøgere, der ikke er blevet tilbudt stillingen. Hvis ansøgeren ikke bliver ansat, og ansøgningen ikke er relevant i forhold til en anden stilling, kan man opbevare ansøgningen i så lang tid, som det vurderes nødvendigt. Denne periode skal imidlertid være så kort som mulig, og det er vigtigt, at man er opmærksom på, at personoplysninger skal slettes, når det ikke længere er nødvendigt at opbevare disse.

Det kan være både hensigtsmæssigt og sagligt, at virksomheder opbevarer relevante oplysninger i en vis periode, efter at rekrutteringsforløbet er færdigt. En arbejdsgiver kan have en interesse i at opbevare oplysninger om ansøgere med henblik på mulig senere ansættelse. Opbevaring til dette formål skal ske med ansøgers samtykke. Den dataansvarlige skal oplyse ansøgeren om, hvor lang tid ansøgningen vil blive gemt, og at vedkommende kan trække sit samtykke tilbage. At ansøgeren har givet sit samtykke, betyder ikke, at oplysningerne kan gemmes i en ubegrænset periode. Den dataansvarlige må vurdere, hvor lang en periode det vil være relevant at have ansøgningen.

Det er således muligt at opbevare ansøgning og CV mv. med henblik på, at ansøgeren kan komme i betragtning til en anden stilling, hvis ansøgeren har givet samtykke til det. Det er databeskyttelsesforordningen og databeskyttelseslovens sædvanlige krav til samtykke, som gælder. Hvis en afvist ansøger har givet samtykke til opbevaring af ansøgning med henblik på senere rekruttering, bør man opbevare oplysningerne i så kort tid som muligt, medmindre der er særlige grunde til at opbevare oplysningerne i længere tid. Man skal som nævnt under alle omstændigheder oplyse ansøgeren om, hvor lang tid man opbevarer ansøgningen.

Det anbefales, at man allerede under rekrutteringsprocessen sørger for at indhente ansøgerens samtykke til, at virksomheden kan opbevare ansøgning og CV i en nærmere beskrevet periode, såfremt man vil have mulighed for at beholde ansøgningen med henblik på senere rekruttering.

Jeg er arbejdsgiver i min hjælperordning, og jeg har haft adskillige hjælpere ansat gennem årene. Skal jeg efter databeskyttelsesreglerne slette oplysninger om fratrådte hjælpere med det samme de ophører i ansættelsen?
 
Svar:
Oplysninger om tidligere medarbejdere må opbevares, så længe der er et administrativt behov for det, fx fordi det er nødvendigt at dokumentere forløbet af en ansættelse. Det kunne fx være i relation til lønkrav, pensionsadministration og arbejdsskader.
 
Det kan desuden følge af lovgivning, at oplysninger skal opbevares i et vist tidsrum. Dette gælder fx i forhold til lønoplysninger, hvor der er skatteretlige regler, som arbejdsgiveren skal overholde i forhold til indberetning af oplysninger til SKAT. Også forældelsesfrister kan efter omstændighederne have betydning for vurderingen af, hvor længe det er sagligt og proportionalt at opbevare bestemte oplysninger.

I forbindelse med afskedigelse kan arbejdsgiveren også have behov for at opbevare oplysninger, som er nødvendige for at fastlægge et eventuelt retskrav som følge af afskedigelsen. Tilsvarende kan gælde, hvis den ansatte har været udsat for en arbejdsskade, hvor oplysningerne kan være nødvendige af hensyn til behandling af et eventuelt krav om erstatning som følge af arbejdsskaden.

Jeg skal holde julefrokost med mit hjælperteam, og i den forbindelse vil jeg høre, om jeg må spørge ind til, om hjælperne spiser alt eller om der er visse madvarer som de ikke spiser/tåler? Eller er det i strid med GDPR?
 
Svar: Man må som arbejdsgiver godt spørge medarbejderne om de eventuelt har særlige behov i forbindelse med julefrokosten, fx om der er visse madvarer som de ikke spiser. Man bør dog være opmærksom på, hvordan man spørger om dette. 
 
Man må ikke spørge, om medarbejderne har fødevareallergier eller en religion, som gør at særlige madvarer ikke kan indgå i julefrokosten. Dette er begrundet i, at oplysninger om trosretning og fødevareallergier er følsomme personoplysninger. Arbejdsgiver bør derfor sikre sig, at man formulerer spørgsmål om medarbejdernes madpræferencer i forbindelse med julefrokosten udelukkende af hensyn til arrangementets afvikling og for at medarbejdernes ønsker kan tilgodeses.
 
Det anbefales også, at man sletter oplysningerne igen, så snart de ikke længere er relevante.
 
Datatilsynet har på deres hjemmeside skrevet om emnet, og de skriver ”Det er ganske rigtigt en dårlig idé at registrere, hvilke medarbejdere der er muslimer eller ikke kan tåle skaldyr. Men der er intet galt i at spørge, om der er noget, folk ikke spiser - så kan det dække over både tro, helbred og det, at man virkelig bare ikke bryder sig om sild.”

Min hjælper mener, at det ikke længere er lovligt, at hans personnummer fremgår af lønsedlen, da lønadministrator sender den med almindelig post. Har han ret i det?

Svar: De skærpede regler omkring databeskyttelse har ikke ændret på, om et personnummer påført en lønseddel må sendes med almindelig post.

Det er nemlig sådan, at det anses for at være en tilstrækkelig sikker fremgangsmåde at fremsende oplysninger pr. brevpost.

Det er derfor ikke i strid med databeskyttelsesreglerne, at et brev indeholder et personnummer, medmindre det kan læses af uvedkommende, fx i brevruden.

Det er i øvrigt strafbart efter straffeloven at bryde brevhemmeligheden.

Reglerne om behandling af oplysninger om personnummer er fastsat i databeskyttelseslovens § 11.

Når jeg lægger historier på sociale netværk som fx Facebook, Instagram og Twitter, kan det ske, at mine hjælpere er med på billeder/videoer. Er det et problem i forhold til databeskyttelsesreglerne?

Svar: 
I de fleste tilfælde vil det, du lægger op på sociale netværk, være omfattet af de databeskyttelsesretlige regler. Reglerne gælder dog ikke, hvis det du skriver eller lægger op kun omhandler dig selv.

Det, som du skriver om en person, falder ind under begrebet ”personoplysninger” ligesom et billede med andre personer, som du lægger på internettet, også er en personoplysning om de personer, der er på billedet.

En oplysning er en "personoplysning" hvis bare én person kan finde ud af, hvem det handler om. Det kan dermed godt være personoplysninger, selv om man ikke giver oplysninger om navn sammen med billedet. 

Når du offentliggør oplysninger om personer – fx når du skriver eller lægger billeder op, skal du overholde databeskyttelsesreglerne. Man bør altid bruge sin sunde fornuft og som udgangspunkt altid spørge den person, det handler om, om det er i orden at bruge billedet på fx sociale medier. Så er de også vidende om, at billedet vil blive brugt og har samtidig en mulighed for at gøre indsigelse mod brugen. 

Du kan finde Datatilsynets beskrivelse af brug af billeder på internettet og de databeskyttelsesretlige regler her. 

Kan min hjælper med henvisning til databeskyttelseslovgivningen forlange, at jeg som arbejdsgiver selv skal lave lønnen, og ikke må videresende oplysningerne til en ekstern partner som fx en revisor eller lønbureau?

Svar: Nej, det kan din hjælper ikke stille krav om. Hvis du som arbejdsgiver er dataansvarlig, så er det op til dig at bestemme, hvem der behandler oplysningerne.

Det er korrekt, at en arbejdsgiver ikke må videregive oplysninger til en uvedkommende tredjepart, men det bliver ikke betragtet som videregivelse af oplysninger, når man bruger en databehandler til at behandle personoplysninger. Databehandleren behandler data på vegne af den dataansvarlige, og I vil typisk have indgået en databehandleraftale omkring dette.