GDPR i rekruttering: den praktiske udgave

Derfor er rekrutteringsdata noget særligt

En ansættelsespipeline er et af de mest personlige datasæt, en virksomhed ligger inde med: CV'er, lønforventninger, samtalenoter og nogle gange helbreds- eller familieoplysninger, som ansøgere selv fortæller om uden at være blevet spurgt. Folk afleverer det hele i et sårbart øjeblik, i håbet om et job.

GDPR behandler de data derefter, og det gør ansøgerne også. At håndtere dem skødesløst er ikke kun en juridisk risiko; det er præcis den slags historie, der spreder sig. De praktiske krav er dog langt mere overskuelige, end forkortelsen antyder.

Kend jeres behandlingsgrundlag

I skal have en juridisk grund til at behandle ansøgerdata. For en aktiv ansøgning er det ligetil: behandlingen er nødvendig for at vurdere ansøgeren til den stilling, de har søgt. I behøver ikke et samtykke-flueben for at læse det CV, nogen har sendt jer.

Samtykke betyder noget i kanterne. At beholde en afvist ansøger i jeres talentpulje til fremtidige stillinger er et andet formål end den oprindelige ansøgning, så bed eksplicit om lov, og gør det konsekvensfrit at sige nej. Kandidater, I selv har opsøgt, og som aldrig har søgt, fortjener at vide, hvor deres data kommer fra, første gang I kontakter dem.

Opbevaring: beslut det, automatiser det

Den mest almindelige GDPR-fejl i rekruttering skyldes ikke ond vilje, men glemsomhed: fire år gamle CV'er, der stadig ligger på et fællesdrev, fordi ingen ejer sletningen. Data, I ikke længere har brug for, har ikke noget behandlingsgrundlag for at blive liggende.

Vælg en opbevaringsperiode for ansøgere, der fik afslag (seks måneder er et almindeligt og forsvarligt valg i EU), og skriv den ned. Automatiser den derefter. En politik, der afhænger af, at nogen husker at rydde op, er ikke en politik, det er en hensigt. Jeres system skal slette efter planen, uden at et menneske skal huske det.

Gør ansøgernes rettigheder nemme, ikke modvillige

Ansøgere kan spørge, hvilke data I har om dem, bede om en kopi og bede om sletning. Behandl det som produktfunktioner frem for juridiske trusler. De virksomheder, der kæmper med den slags henvendelser, er dem, hvis ansøgerdata er spredt ud over indbakker, regneark og tre systemer, der ikke taler sammen.

Hvis jeres rekrutteringsdata ligger i et samlet system, tager en indsigts- eller sletningsanmodning få minutter. Hvis det tager jer uger med arkæologi, er det ikke et GDPR-problem, det er et organisationsproblem, som GDPR tilfældigvis afslører.

Hold data der, hvor de hører hjemme

Vid, hvor jeres ansøgerdata fysisk ligger, og hvem der behandler dem på jeres vegne. Hvis I ansætter i EU, fjerner EU-datalokation en hel kategori af spørgsmål om internationale overførsler, og jeres databehandleraftaler med leverandører skal nævne hver eneste underdatabehandler, der rører ved ansøgerdata.

Det er også ved at blive et omvendt salgsargument: ansøgere og samarbejdsudvalg spørger i stigende grad. At kunne svare "EU-servere, her er listen over databehandlere" i en enkelt sætning skaber mere tillid end en privatlivspolitik på fyrre sider.

Den korte tjekliste

• Et samlet system til ansøgerdata, ikke indbakker og regneark
• Styr på behandlingsgrundlaget: ansøgningsbehandling som standard, eksplicit samtykke til talentpuljen
• En nedskrevet opbevaringsperiode, håndhævet automatisk
• Indsigts- og sletningsanmodninger, der kan besvares på få dage, fra et samlet sted
• Kendt datalokation, underdatabehandlere på en liste, databehandleraftaler underskrevet
• Samtalenoter skrevet, som om ansøgeren kommer til at læse dem, for det kan de

Intet af det kræver en juridisk afdeling. Det kræver, at I vælger standarderne en gang og lader jeres værktøjer håndhæve dem. (Det her er praktisk vejledning, ikke juridisk rådgivning; spørg en fagperson i tvivlstilfælde.)