GDPR i rekryteringen: vad ni får göra med kandidaters uppgifter, enligt IMY

Rekrytering är en av de mest personuppgiftsintensiva processer en organisation driver: CV:n, betyg, intervjuanteckningar, testresultat och referensomdömen om människor som i de flesta fall aldrig blir anställda. Ändå behandlas dataskyddet ofta som en fotnot, tills en förbigången kandidat begär registerutdrag eller Integritetsskyddsmyndigheten ställer frågor.

Den här insikten sammanfattar det praktiska regelverket, med IMY:s vägledning för arbetslivet och rekryteringssystem som grund: vad ni får samla in, på vilken grund, hur länge det får sparas, och var de vanligaste felen görs.

Grundprinciperna: relevans och återhållsamhet

IMY:s linje för rekrytering är i grunden enkel: behandla bara de uppgifter som behövs för att tillsätta den aktuella tjänsten, och aldrig mer omfattande än vad tillsättningen kräver. Det låter självklart och underkänner ändå mycket av vardagspraxis: ansökningsformulär som kräver personnummer i första steget, "berätta allt om dig själv"-fält som uppmuntrar överdelning, intervjuanteckningar fulla av privata observationer.

Två kategorier pekas ut särskilt:

Känsliga personuppgifter, hälsa, religion, politiska åsikter, facklig tillhörighet, sexuell läggning, etnicitet, är normalt förbjudna att behandla i rekrytering. Undantagen är få och smala. Praktiskt betyder det att sådant inte ska efterfrågas, inte antecknas när det ändå framkommer, och inte vägas in, en intervjuanteckning om kandidatens hälsotillstånd är en liggande risk.

Uppgifter om lagöverträdelser får som huvudregel inte behandlas av privata arbetsgivare. Registerkontroller är lagreglerade för specifika områden (skola, LSS, vissa finansroller), och utanför dem ska registerutdrag inte begäras. Behöver rollen kontroll, använd den lagliga vägen och informera kandidaten.

Rättslig grund: samtycke är fel svar under processen

En seglivad missuppfattning är att rekrytering kräver kandidatens samtycke. Under själva processen är det tvärtom: samtycke är en olämplig grund, eftersom styrkeförhållandet gör frivilligheten tveksam, och det behövs inte heller. Behandlingen vilar i stället på åtgärder inför avtal (kandidaten har sökt en tjänst) och berättigat intresse (ert behov av att bedöma sökande), med intresseavvägningen dokumenterad.

Samtycket har sin rätta plats efter processen: när ni vill spara en intressant kandidats profil för framtida rekryteringar eller lägga in personen i en kompetensdatabas. Då kräver IMY ett riktigt samtycke, frivilligt, specifikt, informerat och lika lätt att återkalla som att lämna. En förkryssad ruta i ansökningsformuläret är inget av detta.

Det är också exakt så en seriös kandidatpool ska fungera åt andra hållet: i vår egen har varje kandidat aktivt valt att skapa sin profil, styr själv sin synlighet och godkänner varje kontakt, samtycket är arkitektur, inte pappersarbete. Ställ samma krav på varje extern källa ni använder: kandidater som inte vet om att de är sökbara är både en juridisk och en praktisk belastning.

Gallringen: den regel flest bryter mot

IMY:s huvudregel är tydlig: när rekryteringen är avslutad ska kandidaternas uppgifter gallras. Ansökningarna samlades in för att tillsätta en tjänst, och när den är tillsatt är ändamålet uppfyllt.

Två legitima förlängningar finns, och de ska hanteras medvetet:

Tvistberedskap. En förbigången kandidat kan driva diskrimineringstvist, och urvalsunderlaget är då ert försvar. Arbetsgivarsidan brukar därför räkna med att bevara underlag i upp till två år efter avslutad rekrytering, en etablerad praxis byggd på diskrimineringslagens tidsfrister. Notera riktningen: detta är ett skäl att bevara strukturerad dokumentation, inte att låta allt ligga kvar för att ingen städat.

Framtida rekrytering, med samtycke. Vill ni behålla profilen längre, för kommande roller, är det samtyckesspåret ovan som gäller, med verklig möjlighet att tacka nej och att ångra sig.

Det vanligaste verkliga läget är dock ett tredje: rekryteringssystem där år av kandidatdata ligger kvar för att gallringsfunktionen aldrig konfigurerades. IMY pekar särskilt på rekryteringssystem och kompetensdatabaser som ett riskområde, och ansvaret är arbetsgivarens även när systemet är externt: biträdesavtal med leverantören, fungerande gallringsrutiner och samtyckeshantering som faktiskt används. En årlig genomgång av vad som ligger i systemet, och varför, är billig försäkring.

Vardagsfrågorna: sökningar, anteckningar, referenser, tester

Googling och sociala medier. Att söka på kandidater är en personuppgiftsbehandling, även när uppgifterna är offentliga. Samma principer gäller: saklighet (yrkesrelevant, inte privatliv), ingen insamling av känsliga uppgifter, och transparens, kandidaten ska veta att sökningar ingår i processen. Bäst praxis: gör dem strukturerat, sent i processen, av någon annan än beslutsfattaren, med dokumenterat vad som faktiskt vägdes in.

Intervju- och referensanteckningar. Allt ni antecknar om en kandidat omfattas, inklusive det kandidaten kan begära ut med registerutdrag. Skriv anteckningar som tål den läsningen: sakliga, kompetensförankrade, fria från privata omdömen. En strukturerad process ger den disciplinen på köpet, ännu ett argument för kompetensbaserad metodik.

Testresultat. Urvalstest är personuppgiftsbehandling med högt informationsvärde, och ska hanteras därefter: relevans för rollen, information till kandidaten om vad som mäts och hur det används, och återhållsamhet i vad som sparas och sprids. Personlighetsdata förtjänar särskild försiktighet, den beskriver hur någon arbetar, inte hur bra, och ska aldrig användas som automatiskt sorteringsfilter. I vår egen pool visas den därför enbart som styrkor i ord, aldrig som råpoäng, och kandidaten ser exakt vad rekryteraren ser.

Offentliga arbetsgivare har en extra dimension: ansökningshandlingar blir allmänna handlingar, och gallring styrs då även av arkivregler. Där gäller det omvända problemet, att inte lova kandidater en radering som offentlighetsprincipen inte tillåter.

Checklistan som håller vid granskning

En rekryteringsprocess i GDPR-form känns igen på sex saker: integritetsinformation som når kandidaten vid insamlingen och stämmer med verkligheten. Formulär som bara samlar det nödvändiga. Dokumenterad rättslig grund, med intresseavvägning där berättigat intresse används. Gallring som sker automatiskt, med tvistberedskapen som medvetet undantag. Riktiga samtycken för allt som sparas till framtiden. Och biträdesavtal plus fungerande rutiner i varje system som rör kandidatdata.

Inget av det kräver en juristavdelning, det kräver att processen designas en gång och sedan följs. Belöningen är dubbel: en risk som försvinner, och ett förtroendeargument mot kandidater i en tid när de, med rätta, börjat fråga vad som händer med deras uppgifter.

---

Källor: IMY: Så här får arbetsgivare hantera personuppgifter, IMY om rekryteringssystem och kompetensdatabaser och IMY om när dataskyddsförordningen gäller i arbetslivet.