For ansøgningsoplysninger fra kandidater, der ikke blev ansat, gælder der ingen fast periode i GDPR selv. Forordningen foreskriver kun princippet om lagringsbegrænsning: du må ikke opbevare oplysninger længere end nødvendigt for det formål, du har indsamlet dem til. Datatilsynet præciserer dette for rekrutterings- og udvælgelsespraksis med en retningslinje på fire uger efter afslutningen af proceduren, med mulighed for at forlænge dette til maksimalt et år, hvis kandidaten giver samtykke hertil.
I praksis betyder det, at du standardmæssigt skal slette cv'et, ansøgningsbrevet, interviewreferater og eventuelle testresultater fra en afvist kandidat inden for disse fire uger, medmindre du eksplicit og separat har anmodet om samtykke til at opbevare oplysningerne længere, for eksempel til en kommende ledig stilling.
Hvorfor denne periode ikke står i loven selv
GDPR nævner for de fleste typer af oplysninger ikke noget konkret antal uger eller måneder. Lovgiver valgte en åben standard: opbevar ikke længere end nødvendigt, og hvis du ikke længere kan begrunde formålet, skal oplysningerne slettes eller anonymiseres. For specifikke situationer, såsom ansøgningsprocedurer, har tilsynsmyndighederne derfor offentliggjort praktiske retningslinjer, der anbefaler en konkret periode. Det er ikke en juridisk forpligtelse i betydningen af en artikel med et tal i den, men det er den måles, som Datatilsynet vurderer efter, når det undersøger, om en opbevaringsperiode er rimelig.
Denne sondring er vigtig for, hvordan du dokumenterer det internt: du kan ikke henvise til "den lovbestemte periode på fire uger", fordi den ikke figurerer sådan i GDPR. Du kan dog henvise til tilsynsmyndighedens retningslinje og forklare, hvorfor du bruger denne periode som udgangspunkt.
Samtykke til en længere periode
Hvis du vil opbevare en kandidats cv længere, for eksempel fordi profilerne passer godt sammen, og der snart åbner sig en tilsvarende ledig stilling, er eksplicit samtykke fra kandidaten den sædvanlige vej. Du anmoder om dette samtykke separat, adskilt fra selve ansøgningen, og kandidaten skal være i stand til at trække det tilbage lige så let som at give det. Uden dette samtykke er der ingen juridisk grundlag for længere opbevaring af oplysninger fra en afvist kandidat, og det gælder også, når du lader oplysningerne ligge i en skuffe eller digital mappe "til senere".
Det anbefales at knytte samtykkespørgsmålet til en konkret periode, for eksempel et år, i stedet for en åben løbetid. En kandidat, der giver samtykke, ved derefter også, hvornår hans eller hendes oplysninger automatisk forsvinder igen.
Hvad du dokumenterer herom
Denne opbevaringsperiode skal ikke kun være i dit hoved, men også i dit register over behandlingsaktiviteter: hvilke ansøgningsoplysninger du behandler, med hvilket formål, hvor længe du opbevarer dem, og på grundlag af hvilket juridisk grundlag en eventuel forlængelse finder sted. Det gør det også nemmere for dig selv at foretage strukturel sletning i stedet for at lade oplysninger ligge, "fordi der ikke endnu har været anledning til at fjerne dem". I vidensbasen om opbevaringsperioder pr. type af oplysninger finder du ud over ansøgningsoplysninger også de perioder, der gælder for øvrige personaleoplysninger og administrative oplysninger.
Det er klogt ikke at løsrive denne aftale fra resten af dine HR-processer. Den, der håndterer ansøgningsproceduren, er normalt også den, der skal sikre, at cv'er fra afviste kandidater faktisk slettes fra mailbokse, delte mapper og ATS-systemet, ikke kun fra det første system, nogen tænker på.
Øvrige personaleoplysninger følger andre perioder
Fristen for ansøgningsoplysninger fra afviste kandidater er uafhængige af de opbevaringsperioder, der gælder, når nogen faktisk ansættes. Lønoplysninger, kontrakter og skattebilag for medarbejdere er underlagt andre regler, ofte med en lovbestemt bevaringsforpligtelse fra skattelovgivningen i stedet for GDPR'en. Den, der ønsker at se det side om side, finder i ofte stillede spørgsmål om personaleopplysninger et overblik over de hyppigst forekommende situationer.
Hvorvidt en konkret opbevaringsperiode passer til din situation, hvilken samtykkestekst du bedst bruger, og hvordan du sikrer dette internt, er i sidste ende noget, du bedst aftaler med en jurist eller, hvis du er i tvivl om lovens anvendelse, med Datatilsynet. Hvad vi tilbyder, er struktur: et sted, hvor denne frist automatisk løber med i dit register, i stedet for at du selv skal huske det. Mere om hvordan forbindelsen mellem register og frist fungerer, læser du via forklaringen på, hvordan systemet fungerer.
Hvis du vil vide, om din nuværende måde at opbevare ansøgningsoplysninger på stemmer overens med, hvordan andre SMV-virksomheder indretter det, kan du foretage den gratis hurtig-scan eller gennemse emnerne i videnbanken. Begge dele kan konsulteres uden konto og giver dig på få minutter et første billede af, hvor du står.