Få tidlig adgang
  1. Forside
  2. Viden
  3. GDPR og sourcing af passive kandidater

GDPR og sourcing af passive kandidater

Opdateret

Når du finder en kandidat, der ikke har søgt, behandler du personoplysninger om en person, der ikke ved det endnu. Det er lovligt, når det gøres ordentligt, og det meste er god rekrutteringsskik skrevet ned. Her er de seks ting, der skal være på plads. Artiklen er praktisk vejledning, ikke juridisk rådgivning.

1. Hvem der har ansvaret

Den, der bestemmer, hvorfor og hvordan oplysningerne behandles, er dataansvarlig. Når et bureau eller en virksomhed selv finder kandidater til sine stillinger, er det bureauet eller virksomheden. Et værktøj, der behandler kandidaterne på dine vegne, er databehandler, og I skal have en databehandleraftale (artikel 28).

Præsenterer et bureau en kandidat for en kunde, bliver kunden dataansvarlig for sin egen behandling af kandidaten. Fortæl kandidaten det, før du sender profilen videre.

2. Retsgrundlaget: legitim interesse

Private virksomheder bygger sourcing næsten altid på legitim interesse, databeskyttelsesforordningens artikel 6, stk. 1, litra f. Det Europæiske Databeskyttelsesråd beskriver i sit udkast til retningslinjer om legitim interesse tre betingelser, der alle skal være opfyldt:

  • En legitim interesse. At finde den rette til en stilling og at tilbyde en person et job er en legitim interesse.
  • Nødvendighed. Du behandler kun det, der skal til: titler, arbejdsgivere, hvor længe, lokation og en måde at kontakte personen på.
  • En afvejning. Personens interesser må ikke veje tungere. Her tæller, om oplysningerne er faglige og lagt frem for at blive fundet, om henvendelsen er relevant, og om det er let at sige nej.

At en profil er offentlig, er ikke i sig selv nok. Datatilsynet skriver, at en arbejdsgiver kan bruge offentligt tilgængelige oplysninger, som en ansøger selv har lagt på fx sociale medier, men at principperne i artikel 5 og oplysningspligten stadig gælder. EU's databeskyttelsesmyndigheder har tidligere advaret arbejdsgivere mod at gå ud fra, at de må behandle oplysningerne til egne formål, blot fordi en profil på sociale medier er offentlig.

Skriv afvejningen ned. Det tager en halv side og er det første, du bliver bedt om, hvis nogen spørger. Samtykke er ikke et praktisk grundlag for den første kontakt: du kan ikke spørge, før du har kontaktet personen, og Datatilsynet skriver, at samtykke i ansættelsesforhold sjældent er frivilligt.

3. Kun det, du har brug for

Behandl kun oplysninger, der er relevante for stillingen (artikel 5, stk. 1, litra c). Hold dig fra følsomme oplysninger som helbred, religion, etnisk oprindelse, politisk overbevisning, fagforeningsmedlemskab og seksuel orientering (artikel 9), og fra personens private sociale medier. Oplysninger i en database kan være forældede, så tjek dem, før du vurderer ud fra dem.

4. Oplysningspligten: artikel 14

Datatilsynet nævner selv rekrutteringsvirksomheder som eksempel: De indsamler ofte oplysninger om dem, de forsøger at rekruttere, fra andre end personerne selv, og skal derfor give oplysningerne i artikel 14. Det er, hvem du er, hvorfor du behandler oplysningerne og på hvilket grundlag, hvilken legitim interesse du forfølger, hvilke slags oplysninger du har, hvor de kommer fra, hvem der får dem, hvor længe du gemmer dem, hvilke rettigheder personen har, og at personen kan klage til Datatilsynet.

Hvornår står i artikel 14, stk. 3:

  • inden for en rimelig frist, og senest inden for en måned;
  • senest ved første kontakt, hvis du bruger oplysningerne til at kontakte personen;
  • senest når oplysningerne første gang videregives, hvis du sender dem til en anden, fx en kunde.

Datatilsynet skriver, at en rimelig frist normalt betyder inden for 10 dage. Ved du allerede, når du finder personen, at du skriver til vedkommende om kort tid, må du vente med oplysningerne til den besked, men aldrig mere end en måned. Retten til at gøre indsigelse skal nævnes udtrykkeligt, tydeligt og adskilt fra de andre oplysninger, senest ved første kontakt (artikel 21, stk. 4).

I praksis klarer en kort linje med et link til jeres privatlivsmeddelelse i den første besked det meste. Sørg for, at meddelelsen faktisk handler om sourcing: kilderne, grundlaget, hvor længe I gemmer, og hvordan man siger fra.

Kandidater, du finder, men aldrig kontakter, er stadig omfattet af fristen. Undtagelsen for "en uforholdsmæssigt stor indsats" i artikel 14, stk. 5, litra b, skal ifølge EU's retningslinjer om gennemsigtighed fortolkes snævert og ikke bruges rutinemæssigt. Bruger du den, skal du gøre oplysningerne offentligt tilgængelige og kunne vise din afvejning. Det sikreste er at slette dem, du ikke kontakter, hurtigt.

5. Sletning

Oplysninger må ikke gemmes længere, end formålet kræver (artikel 5, stk. 1, litra e). Sæt faste frister:

  • Fundet, men ikke kontaktet: slet, når søgningen er slut.
  • Kontaktet og afvist: gem det, du skal bruge for at kunne dokumentere, hvorfor kandidaten ikke gik videre, så kort tid som muligt. Datatilsynet accepterer op til 3 år for ansøgere, der ikke fik jobbet, fordi de kan klage til Ligebehandlingsnævnet, men kun hvis det er nødvendigt.
  • Til senere stillinger: Vil du gemme en kandidat til en anden stilling, skal du have samtykke, sige hvor længe, og at samtykket kan trækkes tilbage.

Slet heller ikke alt med det samme. I en sag fra januar 2026 kunne en arbejdsgiver ikke dokumentere, hvorfor en ansøger til et job som "yngre salgsassistent" var blevet afvist, fordi ansøgningerne var slettet "på grund af GDPR-regler". Ansøgeren fik 25.000 kr. i godtgørelse.

6. Kandidatens rettigheder og ikke-kontakt-listen

Kandidaten har ret til indsigt (artikel 15), berigtigelse (16), sletning (17), begrænsning (18) og til at gøre indsigelse (21). Du skal svare uden unødig forsinkelse og senest inden for en måned. Fristen kan forlænges med to måneder, når det er nødvendigt, men det skal du sige inden for den første måned (artikel 12, stk. 3).

Gør en kandidat indsigelse mod en behandling, der bygger på legitim interesse, skal du stoppe, medmindre du kan påvise vægtige legitime grunde, der går forud. I sourcing har du det sjældent, så stop.

Et nej skal kunne huskes, ellers skriver en kollega igen. Hold en ikke-kontakt-liste med det mindste, der skal til for at kende personen igen, og tjek den, før nogen i teamet skriver ud. Vi har ikke fundet en udtalelse fra Datatilsynet om sådanne lister i rekruttering, og i 2022 kritiserede tilsynet en liste over tilbagekaldte samtykker i en sag om markedsføring. Om markedsføring anbefaler den britiske tilsynsmyndighed, ICO, derimod at gemme lige nok til at respektere en indsigelse, og den franske, CNIL, at gemme den i mindst 3 år, gerne som hash-værdier. Skriv ned, hvorfor listen er nødvendig, og gem ikke mere end det.

Tjekliste

  • Er det skrevet ned, hvem der er dataansvarlig, og er der en databehandleraftale med jeres værktøjer?
  • Er afvejningen af den legitime interesse skrevet ned?
  • Behandler I kun faglige oplysninger?
  • Får kandidaten oplysningerne i artikel 14 senest i den første besked, med retten til at sige fra for sig?
  • Er der faste slettefrister?
  • Kan I svare på en anmodning inden for en måned?
  • Tjekkes ikke-kontakt-listen før hver udsendelse?

Sådan er det i Navigent

I Navigent er du dataansvarlig, og Navigent er databehandler. Oplysningspligten er din, og Navigent tilføjer ingen linje om privatliv til beskederne. Vil du have et link med, skriver du det selv ind i din skabelon. Kandidater, der ikke er på shortlisten i en aktiv stilling, slettes 90 dage efter, de sidst blev hentet, og lukker du en stilling, slettes dens shortlist 90 dage senere, undtagen kandidater, der er markeret som ansat. De gemmes så længe, du vælger for arbejdsområdet, som standard 12 måneder. Ikke-kontakt-listen gælder hele organisationen, både personer og virksomheder. Et svar, hvor kandidaten siger fra, sætter personen på listen, og listen håndhæves både i søgningen og ved afsendelse. Navigent tilbyder kandidater én ting direkte: siden "Fjern mig fra Navigent". En bekræftet anmodning sletter personen hos alle kunder, og personen bliver aldrig hentet, vurderet eller kontaktet igen. Alt andet om kandidatens rettigheder, fx indsigt, ligger hos dig som dataansvarlig.

Læs mere om, hvordan Navigent behandler data, på Sikkerhed.

Kilder

Få adgang, når vi åbner

Navigent åbner snart. Skriv dig op, så skriver vi til dig, så snart du kan komme i gang. De første 10 betalende kunder får 30 % rabat i 12 måneder.

Så vi ved, hvem vi skriver til.

Vi skriver hertil, når Navigent åbner.

Rekrutteringsfirmaet eller virksomheden, du rekrutterer for.

Vi bruger kun dine oplysninger til at skrive til dig om Navigents åbning. Læs mere i vores privatlivspolitik.