Den 25 maj 2018 träder EUs nya dataskyddsförordning, GDPR, i kraft. Den nya lagen är en utveckling av dagens regelverk och ställer fler och hårdare krav på svenska organisationer. Här är vad du som ledare behöver veta om hur rekryteringen påverkas av GDPR.
GDPR innebär nya rättigheter och bättre skydd för varje enskild individ samt mer ansvarstagande för organisationer som samlar in och hanterar personuppgifter. Vid lagöverträdelse riskeras böter med upp till 20 miljoner euro, eller fyra procent av bolagets globala omsättning.
Rekrytering och GDPR
För dig som jobbar med rekrytering är det nödvändigt att hantera personuppgifter. I en rekryteringsprocess är det organisationen som är ansvarig för att hanteringen av personuppgifter sker i enlighet med dataskyddsförordningen.
GDPR innebär att det blir nödvändigt med en tydlig och transparent kommunikation med kandidater om hur deras personuppgifter hanteras. Det gäller inte bara kontaktuppgifter, utan även referenser, intervjuer, CV och tillämpningar.
I en rekryteringsprocess måste kandidater informeras om vilka uppgifter som samlas in och vad de ska användas till. De måste även ge samtycke till detta. Kandidaterna ska även informeras om deras rätt att återkalla samtycket samt att de kan få sina personuppgifter raderade.
Det finns fem huvudsakliga principer som är viktiga att ta hänsyn till vid hantering av personuppgifter:
- Informera kandidaten om vilka uppgifter som samlas in och hur de kommer att användas samt få kandidatens samtycke därtill.
- Personuppgifterna ska endast användas till det ändamål de samlats in för. Vid annat bruk krävs det samtycke från kandidaten.
- Det ska endast efterfrågas och samlas in information som är nödvändig för att kunna fatta ett noggrant beslut om kandidaten. Det ska inte samlas in information eller ställas frågor som på något sätt är diskriminerande för individen.
- Informationen som har samlats in ska endast användas så länge kandidaten ingår i en process eller så länge det anses relevant för ändamålet. När kandidaten inte längre är intressant, eller har fått avslag, ska datan raderas.
- Informera kandidaten om hur länge personuppgifterna lagras. Om en kandidat sätter upp en egen profil, kan kandidaten radera profilen när hen vill.
Vad är organisationens ansvar?
Alla organisationer som behandlar personuppgifter måste följa GDPR. Organisationer som samlar in personuppgifter är generellt personuppgiftsansvariga. Den personuppgiftsansvarige kan ge behandlingen av personuppgifter till en extern part, men aldrig lämna över ansvaret.
Det är organisationens ansvar att se till att lagring och hantering av kandidaters personuppgifter behandlas på ett korrekt sätt, och med rättslig grund.
Som organisation är du ansvarig för att:
- Ändra och uppdatera samtyckesformulär och informationstexter i enlighet med nya lagar
- Privacy Policy ska vara i skriftligt format med tydligt och lättförståeligt språk
- Se till att kandidatformuläret endast begär information som är relevant för datanvändningen och med hänsyn till personens integritet
- Se till att radera data som inte längre är relevant för ändamålet
Vilka rättigheter har kandidaten?
Som tidigare nämnts är en tydlig och transparent kommunikation om hur personuppgifter hanteras en av de viktigaste punkterna.
Den nya dataskyddsförordningen ger fler rättigheter och bättre skydd, och som kandidat har du rätt till:
- Samtycke till all behandling av personuppgifter
- Få information om varför data behandlas, hur behandlingen ser ut och var datan lagras
- Få information om vem som har tillgång till datan och hur länge personuppgifterna lagras
- Bli informerad ifall personuppgifterna delas med en tredjepart
- Veta dina rättigheter vad gäller radering eller ändring av insamlad data
- Be om kopia av alla personuppgifter som har samlats in i elektroniskt format
- Be om att få uppdatera dina personuppgifter
Vad är viktigt att tänka på?
Den nya dataskyddsförordningen är ett omfattande regelverk av riktlinjer som kan vara svårt att få grepp om.
Till din hjälp har vi tagit fram en checklista på vad du måste veta vid behandling av personuppgifter i samband med rekrytering.