För ansökningsuppgifter från kandidater som inte anställdes gäller ingen fast tid enligt GDPR själv. Förordningen föreskriver endast principen om lagringsbegränsning: du får inte behålla uppgifter längre än vad som är nödvändigt för det ändamål för vilket du samlade in dem. Myndigheten för dataskydd fyller detta ut för rekryterings- och urvalspraxis med en riktlinje på fyra veckor efter procedurens avslutande, med möjlighet att förlänga denna till maximalt ett år om kandidaten godkänner detta.
I praktiken innebär detta att du normalt raderar cv:n, motivationsbrevet, intervjuprotokoll och eventuella testresultat från en avvisad kandidat inom dessa fyra veckor, om du inte uttryckligen och separat har begärt tillstånd för att behålla uppgifterna längre, till exempel för en nästa vakans.
Varför denna tid inte anges i själva lagen
GDPR anger ingen specifik tid i veckor eller månader för de flesta slags uppgifter. Lagstiftaren valde en öppen standard: behålla inte längre än nödvändigt, och om du inte längre kan motivera ändamålet måste uppgiften raderas eller anonymiseras. För specifika situationer, såsom ansökningsförfaranden, har tillsynsmyndigheter därför publicerat praktiska riktlinjer som rekommenderar en konkret tid. Det är inte en juridisk skyldighet i betydelsen av en artikel med ett tal i sig, men väl den måttstock som Myndigheten för dataskydd använder när den granskar om en bevarandetid är rimlig.
Denna skillnad är viktig för hur du dokumenterar det internt: du kan inte hänvisa till "den lagstadgade tiden på fyra veckor", för den finns inte så i GDPR. Du kan däremot hänvisa till tillsynsmyndighetens riktlinje och förklara varför du använder denna tid som utgångspunkt.
Samtycke för längre bevarandetid
Om du vill behålla en kandidats cv längre, till exempel för att profilerna passar bra tillsammans och en liknande vakans öppnas snart, är uttryckligt samtycke från kandidaten den vanliga vägen. Du begär detta samtycke separat, skilt från ansökningen själv, och kandidaten måste kunna återkalla det lika lätt som att ge det. Utan detta samtycke finns det ingen grund för att behålla uppgifter från en avvisad kandidat längre, och det gäller även när du låter uppgifterna bara ligga i en låda eller digital mapp "för senare".
Det är lämpligt att koppla samtyckesfrågorna till en konkret tid, till exempel ett år, i stället för ett öppet slut. En kandidat som ger sitt samtycke vet då också när hans eller hennes uppgifter automatiskt försvinner igen.
Vad du dokumenterar härom
Denna bevarandetid bör inte bara finnas i ditt huvud utan också i ditt behandlingsregister: vilka ansökningsuppgifter du behandlar, med vilket ändamål, hur länge du behåller dem och på vilken grund en eventuell förlängning genomförs. Det gör det också lättare för dig att strukturerat radera i stället för att låta uppgifterna ligga kvar "eftersom det inte fanns någon anledning att ta bort dem". I kunskapsbanken om bevarandetider per slags uppgift hittar du förutom ansökningsuppgifter även de tider som gäller för andra personalpärmar och administrativa uppgifter.
Det är klokt att inte hålla denna överenskommelse skild från dina övriga HR-processer. Den som reglerar ansökningsförfarandet är vanligtvis också den som måste se till att cv:n från avvisade kandidater verkligen försvinner från e-postlådor, delade mappar och ATS-systemet, inte bara från det första systemet som någon tänker på.
Övriga personaluppgifter följer andra bevarandetider
Handlingstiden för ansökningsuppgifter från avvisade kandidater är oberoende av de bevarandeperioder som gäller när någon faktiskt anställs. Lönuppgifter, avtal och skattedokument från anställda omfattas av andra regler, ofta med lagstadgad bevarandeplikt enligt skattelagstiftning i stället för GDPR. Den som vill se detta sida vid sida hittar i de vanliga frågorna om personaluppgifter en översikt över de vanligaste situationerna.
Huruvida en konkret bevarandeperiod passar i er situation, vilken godkännandetext som är bäst för er och hur ni säkerställer detta internt är i slutändan något som ni bäst överenskommer med en jurist eller, om ni är osäker på tillämpningen av lagen, med Datainspektionen. Det vi erbjuder är struktur: en plats där denna tidsperiod automatiskt följer med i er register, i stället för att ni själva måste komma ihåg det. Mer om hur koplingen mellan register och tidsperiod fungerar läser ni via förklaringen av hur systemet fungerar.
Vill ni veta om er nuvarande sätt att bevara ansökningsuppgifter överensstämmer med hur andra små och medelstora företag hanterar detta, gör då den kostnadsfria snabbkontroll eller bläddra igenom ämnena i kunskapsbanken. Båda kan användas utan konto och ger er en första bild på några minuter av var ni står.