Journalnummer: 2019-41-0039
Resumé
Datatilsynet har afsluttet et skriftligt tilsyn med Carlsberg Danmark A/S. Tilsynet fokuserede på Carlsbergs opbevaring og sletning af personoplysninger om ansøgere indsamlet i forbindelse med rekruttering til ansættelse, hvor ansøgeren ikke er blevet ansat.
Datatilsynet fandt, at Carlsbergs behandling af oplysninger om ansøgere efter endt rekrutteringsforløb overholdt kravene i databeskyttelsesforordningen.
Carlsberg behandler oplysninger om ansøgere til to formål. Oplysningerne blev opbevaret for at sikre dokumentation for korrekt rekrutteringsforløb i tilfælde af eventuelle klager om eksempelvis diskrimination. Disse oplysninger blev opbevaret på baggrund af virksomhedens legitime interesse.
Herudover opbevarede Carlsberg oplysninger om ansøgere med henblik på at oplyse om fremtidige jobmuligheder i virksomheden. Disse oplysningerne blev opbevaret på baggrund af samtykke.
Datatilsynet fandt, at Carlsberg i begge tilfælde havde lovligt grundlag i databeskyttelsesforordningens artikel 6 for behandlingen.
Ansøgerne har mulighed for at slette deres egen ansøgerprofil, og dermed slette oplysningerne. Hvis ansøgeren ikke selv sletter sin ansøgerprofil, slettes denne automatisk efter seks måneder.
Oplysningerne gemmes i et rekrutteringssystem, og der sker automatisk sletning den første i hver måned. Carlsberg har til Datatilsynet dokumenteret dette ved en anonymiseret slettelog, nedskrevne procedurer, redegørelser og lignende dokumentation vedrørende sletning af oplysninger om ansøgere.
Også her fandt Datatilsynet, at Carlsbergs behandling af oplysninger om ansøgere ses at være sket i overensstemmelse med reglerne.
1. Skriftligt tilsyn med Carlsberg Danmark A/S
Carlsberg Danmark A/S (herefter Carlsberg) var blandt de virksomheder, som Datatilsynet i efteråret 2019 havde udvalgt at føre tilsyn med efter databeskyttelsesforordningen[1] og databeskyttelsesloven[2].
Datatilsynets tilsyn var et skriftligt tilsyn, som fokuserede på Carlsbergs opbevaring og sletning af personoplysninger om ansøgere – efter endt rekrutteringsforløb – indsamlet i forbindelse med rekruttering til ansættelse, hvor ansøgeren ikke er blevet ansat, jf. databeskyttelsesforordningens artikel 5, stk. 1, litra e (”opbevaringsbegrænsning”), artikel 5, stk. 2 (”ansvarlighed”), artikel 6 og artikel 9 og databeskyttelsesloven §§ 8 og 11.
Ved brev af 20. august 2019 varslede Datatilsynet tilsynet med Carlsberg og anmodede i den forbindelse om en udtalelse.
Ved brev af 16. september 2019 fremkom Carlsberg med en udtalelse til brug for sagen.
2. Datatilsynets afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der ikke grundlag for at udtale kritik af Carlsbergs behandling af personoplysninger om ansøgere efter endt rekrutteringsforløb – som behandles med henblik på at oplyse om fremtidige jobmuligheder i Carlsberg – på baggrund af samtykke, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a, jf. artikel 7, stk. 1.
Herudover finder Datatilsynet, at Carlsbergs behandling af personoplysninger om ansøgere efter endt rekrutteringsforløb – som behandles med henblik på at sikre dokumentation for korrekt rekrutteringsforløb ifm. et eventuelt retskrav – er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 6, stk. 1, litra f.
Afslutningsvis finder Datatilsynet, at Carlsbergs opbevaring og sletning af personoplysninger om ansøgere efter endt rekrutteringsforløb er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 5, stk. 1, litra e (opbevaringsbegrænsning) og artikel 5, stk. 2 (”ansvarlighed”), jf. artikel 5, stk. 1, litra e.
Nedenfor følger en gennemgang af sagens omstændigheder og en nærmere begrundelse for Datatilsynets afgørelse.
3. Carlsbergs bemærkninger
3.1. Behandlingsgrundlag
Carlsberg har oplyst, at oplysninger om ansøgere, som behandles med henblik på at oplyse om fremtidige jobmuligheder i Carlsberg, behandles på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra a. Carlsberg har fremsendt et anonymiseret eksempel på virksomhedens samtykkeerklæring.
Carlsberg har oplyst, at virksomheden indhenter samtykke fra ansøgeren via rekrutteringssystemet SuccesFactors. Når ansøgeren opretter en profil, anmodes ansøgeren samtidig om at give sit samtykke til behandlingen af personoplysninger. Carlsberg har i forbindelse med Datatilsynets henvendelse fundet anledning til at foretage en gennemgang af den information, som virksomheden giver til ansøgere, når de opretter en ansøgerprofil gennem SuccesFactors. Carlsberg er i den forbindelse blevet opmærksom på, at proceduren for indhentelse af ansøgeres samtykke, hvor personoplysninger om ansøgeren behandles med henblik på at blive kontaktet om andre jobmuligheder, skal opdateres. Carlsberg har oplyst, at virksomheden arbejder sammen med IT-leverandøren på at få ændret proceduren for indhentelse af samtykke. Carlsberg har valgt at sætte processen med at kontakte ansøgere efter endt rekrutteringsforløb om andre jobmuligheder i bero, indtil et tilstrækkeligt samtykke er blevet indhentet.
Carlsberg har oplyst, at virksomheden – i forbindelse med oprettelse af ansøgerprofil – anmoder om oplysninger om navn, e-mail, telefonnummer, adresse, by, land, om vedkommende har været ansat i Carlsberg tidligere, hvornår vedkommende kan starte, forventet løn, CV, seneste fem års arbejdshistorik og oplysninger om eventuel arbejdstilladelse. Herudover er det frivilligt for ansøgeren at give oplysninger om kaldenavn, postnummer, LinkedIn Profil, hvordan vedkommende hørte om stillingen, nuværende arbejdsgiver, nuværende titel, ansøgning, særlige projekter som ansøgeren har været involveret i, uddannelse, relevante dokumenter (karakterer, referencer mv.), brugernavn til ansøgerprofil, password til ansøgerprofil, noter (f. eks fra ansættelsessamtale), tidligere ansøgte stillinger i Carlsberg (kun hvis stillingsopslaget til den tidligere ansøgte stilling endnu ikke er slettet i rekrutteringssystemet).
Virksomheden behandler således alene oplysninger omfattet af databeskyttelsesforordningens artikel 6, og ikke fortrolige eller følsomme oplysninger som eksempelvis oplysninger om personnummer, jf. databeskyttelseslovens § 11, eller helbred, jf. databeskyttelsesforordningens artikel 9.
Carlsberg har oplyst, at et af virksomhedens formål med at opbevare oplysninger om ansøgere efter endt rekrutteringsforløb er at sikre dokumentation for korrekt rekrutteringsforløb ifm. et eventuelt retskrav fra ansøgere og at kommunikere med ansøgere, herunder ansøgere der holder deres ansøgningsprofiler aktive efter endt rekrutteringsforløb, blandt andet med henblik på at oplyse om fremtidige jobmuligheder i Carlsberg.
Oplysninger om ansøgere, som behandles med henblik på at sikre dokumentation for korrekt rekrutteringsforløb ifm. et eventuelt retskrav, behandles – ifølge Carlsberg – på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra f.
3.2. Opbevaring, sletning og ansvarlighed
Carlsberg har oplyst, at virksomhedens opbevaringsperiode for oplysninger om ansøgere efter endt rekrutteringsforløb er opdelt i to kategorier – dvs. oplysninger som stammer fra ansøgerprofiler, og oplysninger som stammer fra ansøgninger til konkrete stillinger i Carlsberg. Hvis en registreret ønsker at søge enten en konkret stilling i Carlsberg eller søge upfordret, skal vedkommende oprette en ansøgerprofil via Carlsbergs hjemmeside, som linker til rekrutteringssystemet SuccesFactors. Derudover bliver en kopi af ansøgerens ansøgerprofil gemt, når en ansøger søger en konkret stilling.
Oplysninger, som stammer fra ansøgerprofiler kan til enhver tid slettes af ansøgeren selv. Hvis ansøgeren ikke selv sletter sin profil, slettes den automatisk, når profilen har været inaktiv i seks måneder. Carlsberg har vurderet, at seks måneder er en rimelig opbevaringsperiode, da Carlsberg anser en ansøger for fortsat at have en interesse for Carlsberg som potentiel ny arbejdsgiver i denne periode.
Oplysninger, som stammer fra ansøgninger til konkrete stillinger i Carlsberg, behandles efter endt rekrutteringsforløb med henblik på at dokumentere, hvorledes udvælgelsen er sket i rekrutteringsprocessen. Oplysningerne opbevares i op til seks måneder efter ansættelse til den pågældende stilling har fundet sted, hvorefter oplysningerne slettes automatisk. Carlsberg har vurderet, at seks måneder er en nødvendig opbevaringsperiode, hvis der klages over rekrutteringsforløbet.
Oplysninger om ansøgere efter endt rekrutteringsforløb opbevares i Carlsbergs rekrutteringssystem, SuccessFactors. Sletning sker automatisk den første i hver måned gennem opsætning af automatisk sletning. Kontrol og dokumentation af sletningen sker ved monitorering af logfiler i systemet. Monitorering foretages af HR Services, der kontrollerer, at slettejobs er afviklet korrekt og logfiler dannet. Logning af slettede oplysninger understøttes af systemet SuccesFactors.
I det omfang oplysninger fra rekrutteringsprocessen er gemt uden for SuccesFactors, har Carlsberg implementeret en procedure for sletning af ustruktureret data.
Carlsberg har til Datatilsynet fremsendt en anonymiseret slettelog samt virksomhedens nedskrevne procedurer, redegørelser og lignende dokumentation vedrørende opbevaring og sletning af oplysninger om ansøgere.
4. Begrundelse for Datatilsynets afgørelse
4.1. Behandlingsgrundlag
4.1.1. Artikel 6, stk. 1, litra f
Det fremgår af sagen, at når en ansøger søger en konkret stilling, bliver en kopi af ansøgerens ansøgerprofil gemt på det pågældende stillingsopslag. I forbindelse med oprettelse af en ansøgerprofil behandler Carlsberg oplysninger om navn, e-mail, telefonnummer, adresse, by, land, om vedkommende har været ansat i Carlsberg tidligere, hvornår vedkommende kan starte, forventet løn, CV, seneste fem års arbejdshistorik og oplysninger om eventuel arbejdstilladelse. Herudover er det frivilligt for ansøgeren at give oplysninger om kaldenavn, postnummer, LinkedIn Profil, hvordan vedkommende hørte om stillingen, nuværende arbejdsgiver, nuværende titel, ansøgning, særlige projekter som ansøgeren har været involveret i, uddannelse, relevante dokumenter (karakterer, referencer mv.), brugernavn til ansøgerprofil, password til ansøgerprofil, noter (f. eks fra ansættelsessamtale), tidligere ansøgte stillinger i Carlsberg (kun hvis stillingsopslaget til den tidligere ansøgte stilling endnu ikke er slettet i rekrutteringssystemet).
Den pågældende kopi behandles med henblik på at sikre dokumentation for korrekt rekrutteringsforløb ifm. et eventuelt retskrav. Ifølge Carlsberg behandles oplysninger på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra f.
Det er Datatilsynets opfattelse, at en arbejdsgiver kan komme i en situation, hvor det er nødvendigt at kunne dokumentere et konkret rekrutteringsforløb, fordi arbejdsgiveren bliver mødt med f.eks. indsigelser om diskrimination. Opbevaring af oplysninger til dette formål vil som udgangspunkt blive betragtet som et sagligt formål, men arbejdsgiveren bør altid overveje, om der er et reelt behov for at opbevare oplysninger om ansøgere. Der kan i særlovgivningen være regler af betydning for, hvor længe oplysningerne kan opbevares.
Der kan derfor ske behandling af oplysninger om ansøgere efter endt rekrutteringsforløb med henblik på at efterleve anmodninger og overholde lovmæssige krav fra lovgiver eller andre myndigheder samt overholde gældende love, herunder funktionærloven, og ansættelsesrelaterede krav, efter databeskyttelsesforordningens artikel 6, stk. 1, litra c eller – for en privat dataansvarlig – artikel 6, stk. 1, litra f.[3]
Datatilsynet finder på den baggrund, at Carlsbergs behandling af oplysninger med henblik på at sikre dokumentation for korrekt rekrutteringsforløb ifm. et eventuelt retskrav er i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, litra f.
4.1.2 Artikel 6, stk. 1, litra a
Datatilsynet lægger til grund, at Carlsbergs samtykketekst ved tilsynets varsling af 20. august 2019 var det af Carlsberg fremsendte dokument ”privatlivsoplysninger og samtykke – Ansøgere”. I forbindelse med oprettelse af en ansøgerprofil behandler virksomheden oplysninger om navn, e-mail, telefonnummer, adresse, by, land, om vedkommende har været ansat i Carlsberg tidligere, hvornår vedkommende kan starte, forventet løn, CV, seneste fem års arbejdshistorik og oplysninger om eventuel arbejdstilladelse. Herudover er det frivilligt for ansøgeren at give oplysninger om kaldenavn, postnummer, LinkedIn Profil, hvordan vedkommende hørte om stillingen, nuværende arbejdsgiver, nuværende titel, ansøgning, særlige projekter som ansøgeren har været involveret i, uddannelse, relevante dokumenter (karakterer, referencer mv.), brugernavn til ansøgerprofil, password til ansøgerprofil, noter (f. eks fra ansættelsessamtale), tidligere ansøgte stillinger i Carlsberg (kun hvis stillingsopslaget til den tidligere ansøgte stilling endnu ikke er slettet i rekrutteringssystemet).
Oplysninger om ansøgere, som behandles efter endt rekrutteringsforløb med henblik på at oplyse om fremtidige jobmuligheder i Carlsberg, behandles – ifølge Carlsberg – på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra a.
Det er Datatilsynets opfattelse, at en arbejdsgiver kan have en saglig interesse i at opbevare oplysninger om ansøgere med henblik på mulig senere ansættelse, og at opbevaring til dette formål kan ske med ansøgers samtykke.[4]
Databeskyttelsesforordningens artikel 6, stk. 1, litra a, omhandler samtykke som hjemmel til behandling af personoplysninger.
Forordningens artikel 4, nr. 11, indeholder definitionen af et gyldigt samtykke. Heraf fremgår, at et samtykke er ”[…] enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse […]”.
Det fremgår endvidere af databeskyttelsesforordningens artikel 7, stk. 1, at hvis behandlingen baseres på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.
Efter en gennemgang af sagen, herunder særligt den af Carlsberg fremsendte samtykketekst, finder Datatilsynet, at der ikke grundlag for at udtale kritik af Carlsbergs behandling af personoplysninger om ansøgere – som behandles med henblik på at oplyse om fremtidige jobmuligheder i Carlsberg – efter endt rekrutteringsforløb på baggrund af samtykke, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a., jf. artikel 7, stk. 1.
Datatilsynet har i den forbindelse noteret sig, at Carlsberg i forbindelse med tilsynets henvendelse har foretaget en gennemgang af den information, som Carlsberg giver til ansøgere, når de opretter en ansøgerprofil gennem SuccesFactors. Datatilsynet har videre noteret sig, at Carlsberg er blevet opmærksom på, at proceduren for indhentelse af samtykke skal opdateres, og at Carlsberg arbejder sammen med sin IT-leverandør på at få ændret proceduren for indhentelse af samtykke, hvorfor processen med at kontakte ansøgere om andre jobmuligheder efter endt rekrutteringsforløb er sat i bero.
4.2. Opbevaringsperiode
Datatilsynet har gennemgået Carlsbergs udtalelse af 16. september 2019 og de af virksomheden fremsendte bilag hertil. Carlsberg har i den forbindelse oplyst, at oplysninger slettes efter en periode på seks måneder. Carlsberg har vurderet, at seks måneder er en rimelig opbevaringsperiode, da virksomheden anser en ansøger for fortsat at have en interesse for Carlsberg som potentiel ny arbejdsgiver i denne periode.
Datatilsynet finder ikke grundlag for at tilsidesætte Carlsbergs vurdering af, at oplysninger om ansøgere efter endt rekrutteringsforløb er nødvendige at opbevare i op til seks måneder uagtet, hvorvidt formålet med behandlingen er at tilbyde ansøgeren en anden stilling i Carlsberg eller at dokumentere, hvorledes udvælgelsen er sket i rekrutteringsprocessen.
Datatilsynet har i den forbindelse lagt vægt på, at en periode på seks måneder fremstår saglig, og at de pågældende formål med behandlingen af personoplysninger i de fleste tilfælde må antages at varetage den registreredes egne interesser.
Det er dermed Datatilsynets vurdering, at den pågældende opbevaringsperiode er i overensstemmelse med princippet om ”opbevaringsbegrænsning” i databeskyttelsesforordningens artikel 5, stk. 1, litra e.
4.3. Sletning af personoplysninger
Datatilsynet har gennemgået Carlsbergs udtalelse af 16. september 2019 og de af virksomheden fremsendte bilag, herunder en anonymiseret slettelog, nedskrevne procedurer om sletning og Carlsbergs beskrivelse af virksomhedens kontrol med sletning.
Datatilsynet finder, at Carlsberg i tilstrækkelig grad har dokumenteret, at virksomheden sletter oplysninger om ansøgere efter endt rekrutteringsforløb efter en periode på seks måneder. Carlsberg har videre dokumenteret, hvorledes der sker sletning af oplysningerne, og at Carlsberg kontrollerer sletningen af oplysninger om ansøgere efter endt rekrutteringsforløb.
Carlsbergs opbevaring og sletning af personoplysninger om ansøgere indsamlet i forbindelse med rekruttering til ansættelse, hvor ansøgeren ikke er blevet ansat, ses således at være sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 5, stk. 2, jf. artikel 5, stk. 1, litra e.
5. Konklusion
Efter en gennemgang af sagen finder Datatilsynet, at der ikke grundlag for at udtale kritik af Carlsbergs behandling af personoplysninger om ansøgere – som behandles med henblik på at oplyse om fremtidige jobmuligheder i Carlsberg – efter endt rekrutteringsforløb på baggrund af samtykke, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a., jf. artikel 7, stk. 1.
Herudover finder Datatilsynet, at Carlsbergs behandling af personoplysninger om ansøgere efter endt rekrutteringsforløb, som behandles med henblik på at sikre dokumentation for korrekt rekrutteringsforløb ifm. et eventuelt retskrav, er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 6, stk. 1, litra f.
Afslutningsvis finder Datatilsynet, at Carlsbergs opbevaring og sletning af personoplysninger om ansøgere efter endt rekrutteringsforløb er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 5, stk. 1, litra e (opbevaringsbegrænsning) og artikel 5, stk. 2 (”ansvarlighed”), jf. artikel 5, stk. 1, litra e.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
[3] Datatilsynets vejledning om databeskyttelse i forbindelse med ansættelsesforhold, november 2018, afsnit 5.3, s. 23
[4] Datatilsynets vejledning om databeskyttelse i forbindelse med ansættelsesforhold, november 2018, afsnit 5.3, s. 23.