Virksomheder og offentlige myndigheder rekrutterer løbende nye medarbejdere og indsamler i den forbindelse oplysninger om de personer, der søger stillingerne. Her opstår spørgsmålet – som det også gør i så mange andre sammenhænge – hvornår skal virksomheden eller myndigheden slette oplysningerne om de ansøgere, som ikke blev tilbudt en stilling?
Personoplysninger skal nemlig slettes, når det ikke længere er nødvendigt at opbevare disse længere. Dette følger af det grundlæggende princip om opbevaringsbegrænsning (databeskyttelsesforordningens artikel 5, stk. 1, litra e).
Hvor lang tid kan en dataansvarlig opbevare disse oplysninger?
Hverken private virksomheder eller offentlige myndigheder har som udgangspunkt en pligt til at opbevare personoplysninger om ansøgere, der ikke er blevet tilbudt en stilling, i en bestemt periode.
Det kan dog være både hensigtsmæssigt og sagligt, at virksomheder og myndigheder opbevarer oplysningerne i en vis periode efter rekrutteringsforløbet er færdigt. Dette kan fx være hensigtsmæssigt, fordi kandidaten efter afslag kan klage til bl.a. Ligebehandlingsnævnet.
En dataansvarlig skal derfor foretage en vurdering af, hvor længe det er nødvendigt at opbevare oplysningerne. I denne vurdering skal virksomheden eller myndigheden afveje behovet for opbevaring, herunder hvor længe oplysningerne har en retlig eller administrativ betydning, over for princippet om, at oplysningerne ikke må opbevares i længere tid end nødvendigt.
Datatilsynet vil acceptere en opbevaringsperiode på op til 3 år efter endt rekrutteringsproces for oplysninger om ansøgere, der ikke blev tilbudt en stilling. Hvis man som dataansvarlig opbevarer personoplysningerne i mere end 3 år, skal der være helt særlige grunde hertil.
Det er altid vigtigt, at man som dataansvarlig kan forklare, hvorfor man er kommet frem til en bestemt opbevaringsperiode. Datatilsynet anbefaler derfor, at dataansvarlige skriver sine overvejelser ned – særligt, hvis oplysningerne skal opbevares i mere end 3 år, da dette kræver helt særlige grunde. På den måde kan den dataansvarlige bl.a. dokumenterer over for Datatilsynet, hvorfor det er nødvendigt at opbevare oplysningerne.
Skal en dataansvarlig så opbevare oplysningerne i 3 år?
Nej, det skal en dataansvarlig ikke, hvis det ikke er nødvendigt. Hvis en dataansvarlig fx kun ønsker at opbevare oplysningerne i 6 måneder, og det faktisk slet ikke er nødvendigt at have dem i længere tid, så skal oplysningerne slettes efter 6 måneder.
Den dataansvarlige skal også altid huske at undersøge, om der er særlige regler, som pålægger den dataansvarlige at opbevare oplysningerne i en bestemt periode.
Men har offentlige myndigheder ikke en journaliseringspligt?
Jo, alle offentlige myndigheder har en journaliseringspligt (offentlighedslovens § 15). Dette betyder, at offentlige myndigheder skal journalisere dokumenter, som myndigheden modtager eller afsender i forbindelse med myndighedens sagsbehandling, hvis dokumentet har betydning for sagen eller sagsbehandlingen i øvrigt.
Journaliseringspligten betyder ikke, at offentlige myndigheder er forpligtet til at opbevare oplysninger om ansøgere, som ikke er blevet tilbudt en stilling i en bestemt periode. Disse oplysninger er ikke bevaringsværdige (i arkivlovgivningens forstand) og kan altså kasseres.
En offentlig myndighed skal derfor også vurdere, hvor længe myndigheden kan opbevare oplysninger om ansøgere, som ikke er blevet tilbudt en stilling.
Flere myndigheder gør brug af et separat rekrutteringssystem til at modtage og behandle ansøgninger og kan dermed styre sletningen af disse oplysninger adskilt fra myndighedens øvrige sagsbehandling. Dette betyder dog ikke, at det er et krav, at myndigheder har et separat system til håndteringen af disse oplysninger, hvis sletningen af oplysningerne kan ske i myndighedens almindelige sagsbehandlingssystem.
Hvad nu, hvis en dataansvarlig vil gemme en ansøgning for senere at kunne tilbyde ansøgeren en anden stilling?
Det sker, at en virksomhed eller myndighed vil gemme en ansøgning for senere at kunne tilbyde ansøgeren en anden stilling.
I så fald skal den dataansvarlige have et samtykke fra ansøgeren til at beholde ansøgningen. Den dataansvarlige bør i den forbindelse oplyse om, hvor lang tid ansøgningen vil blive gemt. At ansøgeren har givet sit samtykke betyder ikke, at oplysningerne kan gemmes i en ubegrænset periode. Den dataansvarlige må vurdere, hvor lang en periode det vil være relevant at have ansøgningen. Derudover skal ansøgeren oplyses om, at han eller hun kan trække samtykket tilbage når som helst.