Sådan beskytter du ansøgeres og ansattes personoplysninger

Når du behandler ansøgeres, ansattes og tidligere ansattes persondata (fx indsamler, registrerer, videregiver eller sletter), skal du som dataansvarlig overholde de registreredes rettigheder. Det betyder, at den registrerede bl.a. har ret til oplysning, indsigt, berigtigelse, sletning og begrænsning af data. Rettighederne har til formål at gøre det gennemsigtigt for den registrerede, hvilke oplysninger du behandler, og hvornår du gør det, så den registrerede har kontrol over sine egne personoplysninger. 

Nedenfor finder du et overblik over, hvad du skal være opmærksom på i forbindelse med henholdsvis rekruttering og ansættelse.

Få overblik over, hvordan du må behandle og beskytte personoplysninger

Få overblik over de registreredes rettigheder på Datatilsynets hjemmeside

Det skal du være opmærksom på i forbindelse med rekruttering

Som arbejdsgiver er der en række ting, du skal være opmærksom på i forhold til GDPR, når du rekrutterer nye medarbejdere. Nedenfor finder du et udpluk af de ting, du bør have øje for.

Oplysninger i ansøgningen

Du kan som udgangspunkt opbevare og behandle de oplysninger, fx ansøgning og CV, som ansøgeren på eget initiativ aktivt overlader til dig i forbindelse med rekrutteringsprocessen, da de må anses for at være oplyst med ansøgerens samtykke. 

Referencer

Du skal normalt have samtykke fra en ansøger til at indhente oplysninger fra en tidligere eller nuværende arbejdsgiver. Ansøgeren skal have at vide, om du vil indhente:

• 'neutrale' oplysninger, fx ansættelsestidspunkt, arbejdsopgaver mv.
• subjektive oplysninger, fx ansøgerens faglige eller sociale kompetencer
• følsomme oplysninger, fx helbred
• oplysninger om strafbare forhold.

Som arbejdsgiver skal du være opmærksom på, at du kun må anmode om eller indhente oplysninger om en ansøgers eventuelle strafbare forhold, hvis det er relevant i forhold til den stilling, som den pågældende ansøger om, og hvis det er realistisk, at vedkommende kan komme i betragtning til stillingen.

Personlighedstest

Gennemførelse af en personlighedstest forudsætter ansøgerens aktive medvirken. Før du gennemfører testen, kan du overveje at indhente ansøgerens samtykke, hvis der fremgår følsomme oplysninger af personlighedstesten.

Oplysninger fra sociale medier

Du må godt indsamle og anvende oplysninger om ansøgere, som de selv har lagt offentligt frem på sociale medier eller andre steder, men kun i det omfang oplysningerne er saglige og proportionale i forhold til formålet med indsamlingen.

Opbevaring af oplysninger om ansøgere

Du kan som udgangspunkt opbevare oplysninger om ansøgere i længere tid, end til jobbet er besat. Du bør imidlertid altid overveje, om der er et reelt behov for at opbevare oplysninger om ansøgere. Personoplysninger skal nemlig slettes, når det ikke længere er nødvendigt at opbevare dem. Dette følger af det grundlæggende princip om opbevaringsbegrænsning. 

Ønsker du at opbevare oplysninger i en begrænset periode med henblik på eventuel senere ansættelse, kan du gøre dette med ansøgerens samtykke. Ansøgeren skal i den sammenhæng oplyses om, at han eller hun kan trække samtykket tilbage når som helst.

Det skal du være opmærksom på i forbindelse med ansættelse

Når du har ansat en medarbejder, skal du fortsat have fokus på at overholde GDPR. Du behandler mange personoplysninger, mens en medarbejder er ansat, og det er derfor vigtigt, at du har styr på, hvordan du håndterer alt fra lønoplysninger og helbredsoplysninger til straffeattester. 

Registrering af ansattes oplysninger

Som arbejdsgiver kan du registrere oplysninger om dine medarbejdere i det omfang, du skal bruge dem. Det gælder fx:

• Identifikationsoplysninger som navn, adresse, fødselsdato, kontaktinformation, nær familie
• Uddannelse, udtalelser, tidligere beskæftigelse
• Nuværende stilling, arbejdsopgaver, arbejdstider og andre tjenstlige forhold
• Løn, skat, sygefravær og sygdomsperioder og andet fravær fra arbejdet
• Pensionsforhold, skatteoplysninger og kontonummer til lønanvisning.

Hvis du som arbejdsgiver har behov for at registrere følsomme oplysninger om en medarbejder, skal medarbejderen give sit udtrykkelige samtykke til det. Det kan imidlertid også være nødvendigt at registrere følsomme oplysninger, hvis det er nødvendigt for at opfylde bestemmelser i en lov eller bekendtgørelse. Der kan fx registreres helbredsoplysninger i forbindelse med en aftale om refusion.

I Datatilsynets vejledning om databeskyttelse i forbindelse med ansættelsesforhold kan du læse mere om tillidsrepræsentantens behandling af personoplysninger samt behandling af oplysninger i en række konkrete situationer, fx i forbindelse med MUS-samtaler, offentliggørelse af billeder af dine medarbejdere og udarbejdelse af APV-undersøgelser.

Læs mere i Datatilsynets vejledning om databeskyttelse ved ansættelsesforhold (pdf)

Opbevaring af oplysninger efter endt ansættelse

Du må kun opbevare oplysninger om tidligere medarbejdere, så længe der er et administrativt
behov for det. Det kan fx være, hvis du har behov for at dokumentere historikken i en personalesag, eller hvis skatteregler kræver, at du har adgang til lønoplysninger i forhold til indberetning til Skat.

Du kan også have behov for at opbevare oplysninger i forbindelse med en afskedigelse, som er nødvendig for at fastlægge et eventuelt retskrav. Det samme gælder, hvis den ansatte har været udsat for en arbejdsulykke, hvor oplysningerne kan være nødvendige af hensyn til behandling af et eventuelt krav om erstatning. 

Kontrol af medarbejdere

Som arbejdsgiver må du under visse betingelser gerne kontrollere dine ansatte på arbejdspladsen og hjemme. Det gælder fx registrering af medarbejderes hjemmesidebesøg ved mistanke om misbrug. Det samme gælder sikkerhedskopiering og gennemgang af e-mails samt registrering af de ansattes færden via GPS.

Kontrol af medarbejdere indebærer typisk, at der sker en behandling af oplysninger om dem. Det betyder, at behandlingen (kontrollen) kun kan ske, hvis du har et gyldigt behandlingsgrundlag, og hvis de overordnede betingelser om saglighed og proportionalitet er opfyldt. 

Ud over databeskyttelsesreglerne er spørgsmålet om kontrol af medarbejdere reguleret i aftaler mellem arbejdsmarkedets parter.

Et eksempel på en sådan aftale er DA og LO’s aftale om indførelse af kontrol af medarbejderne. Her fremgår det bl.a., at:

• kontrollen af medarbejderne skal være sagligt begrundet og have et fornuftigt formål
• kontrollen ikke må være krænkende over for de ansatte
• arbejdsgiveren som hovedregel skal underrette de ansatte om kontrolforanstaltninger senest 6 uger, inden de iværksættes
• den enkelte arbejdstager ikke kan samtykke til iværksættelsen af kontrollen.

Læs mere om overvågning på arbejdspladsen på Datatilsynets hjemmeside