De registreredes rettigheder - retten til sletning 

Gitte og Per – altså GDPR sagt meget hurtigt – har netop haft tre års fødselsdag.

Ultimo maj 2018 blev den europæiske persondataforordning gældende ret i Danmark. Forinden havde persondataloven været gældende i mange år, men med udsigt til store bødeniveauer ved manglede efterlevelse af reglerne, kom der enorm stor fokus på, hvordan vores personoplysninger måtte behandles.

Siden er den danske Databeskyttelseslov kommet til og alt sammen med samme formål – at beskytte de registreredes rettigheder.

En af de rettigheder er retten til sletning, der indebærer, at en registreret – med visse undtagelser – har ret til at få slettet oplysninger om sig selv uden unødig forsinkelse. Det kunne fx være personoplysninger om en jobansøger, efter endt rekrutteringsforløb, og uden at ansøgeren fik stillingen.

Personoplysninger skal nemlig slettes, når det ikke længere er nødvendigt fortsat at opbevare personoplysningerne, herunder at der mangler et behandlingsgrundlag – det følger af reglernes princip om opbevaringsbegrænsning.

Tilsyn med behandling af personoplysninger i forbindelse med rekruttering

Datatilsynet har dette forår, i forbindelse med planlagte tilsynsbesøg hos henholdsvis Fødevarestyrelsen (Journalnummer: 2019-421-0033) og Kræftens Bekæmpelse (Journalnummer: 2019-421-0038), forholdt sig til, hvor længe en dataansvarlig må have personoplysninger liggende vedrørende jobansøgere, der fik afslag på stillingen efter endt rekrutteringsforløb.

Datatilsynet fandt, at de dataansvarlige kunne behandle oplysninger om ansøgere til det formål at kunne dokumentere rekrutteringsforløbet.

Datatilsynet henstillede dog til Kræftens Bekæmpelse, at organisationen behandlede oplysningerne i henhold til andet behandlingsgrundlag end samtykke – som altid kan tilbagekaldes. Eksempelvis nævner Datatilsynet, at organisationen kunne henvise til en retlig forpligtigelse og for at retskrav kan fastlægges, gøres gældende eller forsvares – det kunne en privat arbejdsgiver også bruge som formål.

Over for Fødevarestyrelsen henstillede Datatilsynet, at de som offentlig myndighed også burde have anvendt et andet behandlingsgrundlag – nemlig at behandlingen hørte under offentlig myndighedsudøvelse. Endvidere gjorde Datatilsynet opmærksom på, at samtykke kunne bruges som behandlingsgrundlag i situationen til det formål, at jobansøgeren kunne blive ansat til en anden stilling.

Hvornår skal du slette? 

Et andet men ikke et mindre aspekt ved opbevaring og sletning af data er, hvornår skal det ske?

Det forholder Datatilsynet sig også til i de to sager, og overfor Kræftens Bekæmpelse udtaler tilsynet, at organisationens slettepolitik - på tre måneder og op til seks måneder – i forhold til opbevaring af oplysninger om jobansøgere, der ikke er blevet tilbudt stillingen, er helt ok.

Hvad angår Fødevarestyrelsen udtaler Datatilsynet, at deres slettepolitik på 24 måneder også er i overensstemmelse med reglerne baseret på det formål, at en myndighed fx skal kunne dokumentere et korrekt rekrutteringsforløb, herunder ingen diskrimination i forhold til ansøgerne. 

Som det sidste gjorde Datatilsynet de dataansvarlige opmærksom på, at behandlingsgrundlagene skal fremgå tydeligt af de oplysninger, som de dataansvarlige giver ansøgere, når de søger en stilling.