GDPR og HR-systemer: Behandling af medarbejder- og ansøgerdata

GDPR i en HR-kontekst: Hvilke medarbejderdata er i spil?

HR-systemer behandler personoplysninger, når data om ansøgere og ansatte indsamles, registreres, videregives eller slettes. Efter GDPR er personoplysninger enhver information relateret til en person – fx navn, billede, e-mailadresse, bankoplysninger, opslag på sociale medier, lokationsoplysninger, helbredsoplysninger eller IP-adresse.

Helbredsoplysninger er en type personoplysninger. HR bør derfor kunne forklare, hvorfor de er nødvendige, og begrænse adgangen til relevante fagpersoner.

Stamdata, CV, lønkonto, sygefravær, adgangskortlogs og IP-adresser i HR-systemet kan være omfattet. Behandlingen kræver klart formål, hjemmel og gennemsigtighed over for den registrerede.

Hjemlen skal findes i GDPR artikel 6. Behandling er kun lovlig, hvis mindst ét forhold i artikel 6, stk. 1, gør sig gældende – fx samtykke, kontrakt, retlig forpligtelse, vitale interesser, opgave i samfundets interesse eller legitim interesse. HR bør kunne pege på det konkrete grundlag for hvert formål i HR-systemet.

En arbejdsgiver behandler fx personoplysninger, når der behandles oplysninger om ansatte. Offentlige myndigheder gør det, når de behandler ansøgninger. Personen, oplysningerne handler om, kaldes den registrerede.

I Danmark suppleres GDPR af databeskyttelsesloven, og Datatilsynet kontrollerer, at reglerne overholdes. Mener en medarbejder eller ansøger, at oplysninger ikke behandles forsvarligt, kan vedkommende klage til Datatilsynet.

Datatilsynets vejledning om databeskyttelse i forbindelse med ansættelsesforhold er den danske myndigheds vejledning til HR. Den uddyber bl.a. opbevaring og sletning af ansøgeroplysninger.

Efter databeskyttelsesloven kan behandling af personoplysninger i ansættelsesforhold ske med den registreredes samtykke i overensstemmelse med artikel 7. HR bør derfor kende både artikel 6 og de danske særregler, når hjemlen vælges.

HR bør tidligt beslutte, hvilke felter der er nødvendige for rekruttering, ansættelse, løn, fravær og adgang, og hvilket formål hvert felt tjener.

HR bør informere ansøgere og ansatte om, hvordan deres personoplysninger behandles, så behandlingen er gennemsigtig. Informationen bør gives, når oplysningerne indsamles.

HR-systemet bør kunne finde alle oplysninger om en ansøger eller ansat på tværs af felter.

HR-systemet bør derfor kunne registrere behandlingsgrundlaget pr. formål efter artikel 6, stk. 1. Det gør kravet konkret for medarbejder- og kandidatdata.

De centrale regler for medarbejderdata er GDPR artikel 5, stk. 1, litra e, artikel 6, stk. 1, artikel 7 samt databeskyttelsesloven. Datatilsynet fører kontrol med overholdelsen, og Ligebehandlingsnævnet kan være relevant ved klager efter afslag.

Grundprincipperne omsat til daglig brug af HR-systemet

Grundprincipperne skal styre opsætningen af HR-systemet, ikke bare stå i en politik. Lovlighed, rimelighed og gennemsigtighed betyder, at hvert felt og hver integration skal have en hjemmel og kunne forklares for medarbejderen.

Formålsbegrænsning betyder, at oplysninger indsamlet til rekruttering ikke uden videre må genbruges til fx kompetencekortlægning eller markedsføring.

Dataminimering betyder, at HR-systemet som udgangspunkt kun skal indeholde felter, der er nødvendige for det konkrete formål. Rigtighed betyder, at medarbejderen skal kunne få rettet forkerte stamdata, og at HR har en opdateringsproces.

Integritet og fortrolighed betyder, at adgang og ændringer skal styres og logges. HR-systemet skal have et betryggende niveau af sikkerhed. Det kan omfatte adgangskontrol, logning og andre passende foranstaltninger, og niveauet skal afspejle risikoen ved behandlingen.

Opbevaringsbegrænsning betyder, at personoplysninger skal slettes, når de ikke længere er nødvendige at opbevare. Det følger af databeskyttelsesforordningens artikel 5, stk. 1, litra e.

HR-systemet skal derfor kunne knytte en opbevaringsfrist til hver kategori – fx kandidater, ansatte og tidligere ansatte – og håndhæve sletning automatisk eller via arbejdsgange.

Ansvarlighed betyder, at den dataansvarlige skal kunne dokumentere, hvordan principperne efterleves. Det påvirker feltdefinitioner, integrationsaftaler, slettejob og rapportmuligheder.

Den dataansvarlige bør kunne dokumentere, hvordan principperne efterleves. Kan systemet ikke vise, hvorfor et felt findes, hvem der har adgang, og hvornår det slettes, er principperne svære at følge i hverdagen.

Hjemmel for behandling af medarbejderdata efter GDPR artikel 6, stk. 1

Opbevaring og sletning: ansøgere, ansatte og historik

For ansøgere, der ikke ansættes, har hverken private virksomheder eller offentlige myndigheder som udgangspunkt pligt til at opbevare personoplysninger i en bestemt periode. Datatilsynet anerkender dog, at det kan være både hensigtsmæssigt og sagligt at opbevare oplysningerne i en vis periode efter rekrutteringsforløbet, fx fordi kandidaten efter afslag kan klage til Ligebehandlingsnævnet.

Datatilsynet accepterer en opbevaringsperiode på op til 3 år efter endt rekrutteringsproces for oplysninger om ansøgere, der ikke blev tilbudt en stilling. Opbevaring ud over 3 år kræver helt særlige grunde.

Det er ikke et krav at opbevare i 3 år. Har virksomheden kun behov for oplysningerne i fx 6 måneder, skal de slettes efter 6 måneder.

Den dataansvarlige skal altid kunne forklare, hvorfor en bestemt opbevaringsperiode er valgt. Datatilsynet anbefaler, at overvejelserne skrives ned – særligt hvis oplysningerne skal opbevares længere end 3 år.

I HR-systemet bør det være muligt at skelne mellem kandidater, ansatte og tidligere ansatte. Data bør slettes eller anonymiseres, når fristen udløber.

For ansatte og tidligere ansatte følger opbevaringsfristen af formålet og eventuelle retlige forpligtelser. Systemet bør derfor kunne sætte frist pr. dokumenttype og pr. formål i stedet for én samlet frist for hele medarbejderprofiler.

Kravet om sletning følger af databeskyttelsesforordningens artikel 5, stk. 1, litra e: Personoplysninger skal slettes, når de ikke længere er nødvendige at opbevare. For ansøgere accepterer Datatilsynet op til 3 år efter endt rekrutteringsproces; opbevaring ud over 3 år kræver helt særlige grunde.

Datatilsynet er den myndighed, der kontrollerer opbevaringsfristen, og Ligebehandlingsnævnet kan modtage klager fra afslåede kandidater.

HR-systemet bør kunne finde og udlevere oplysninger, når en ansøger eller ansat anmoder om det. Det bør også kunne dokumentere, hvilken opbevaringsregel der er anvendt.

Adgangsstyring, roller og placeret ansvar

Adgangsstyring bør tage udgangspunkt i, hvad den enkelte rolle skal løse. HR definerer brugerroller og tilladelser, så medarbejdere kun får adgang til de data, de har brug for i arbejdet.

HR bør føre tilsyn med og kontrollere, hvem der tilgår følsomme data. Adgang til helbredsoplysninger og andre følsomme data bør kun gives til relevante fagpersoner.

I et rekrutteringssystem kan HR give adgang til de kollegaer, der har brug for at tilgå en enkelt jobannonce, de indkomne kandidater og deres ansøgning og CV. Al materiale bliver dermed på platformen, og man undgår, at downloadede ansøgninger ligger på computere rundt om i organisationen.

Ansvaret for databehandlingen bør placeres hos dem, der kender processerne i hverdagen.

Systematic har ifølge sikkerhedschef Kim Larsen uddelegeret ansvaret til de folk, der sidder med processerne. De skal kunne forklare, hvordan de håndterer data, fordi man skal kende sine processer.

Samme model kan HR bruge: Rekrutteringsansvarlig ejer kandidatdata, løn ejer løndata, leder ser kun egne medarbejdere, og IT ejer tekniske rettigheder og logning.

Adgange bør gennemgås med faste intervaller og ved jobskift, så gamle rettigheder ikke hænger ved. Systemet bør kunne vise, hvem der har haft adgang til hvad, og understøtte, at følsomme oplysninger som helbredsoplysninger kun er synlige for de relevante roller.

Når HR bruger eksterne leverandører til løn, vagtplanlægning eller rekrutteringskanaler, bør HR sikre klare aftaler om, hvordan data behandles, beskyttes og slettes.

For virksomheder omfattet af NIS2 er adgangskontrol og optegnelser over, hvem der tilgår følsomme data, samtidig et krav. HR fører optegnelser for at sikre vedvarende overholdelse.

NIS2 stiller krav om, at virksomheder sikrer, at alle medarbejdere regelmæssigt undervises i cybersikkerhedspraksis. Det bliver et løbende ansvar for HR.

NIS2 er et EU-direktiv vedtaget i december 2022, som medlemsstaterne skulle implementere senest i oktober 2024. For omfattede virksomheder er adgangskontrol og optegnelser over følsomme data et krav.

Krav til adgangsstyring i HR-systemer ifølge NIS2 og GDPR

Dokumentation og sporbarhed i HR-processer

Dokumentation i HR handler om at kunne svare på, hvem der håndterer data, hvordan de håndteres, hvordan de oprettes, og hvordan de slettes.

Systematic spørger ifølge sikkerhedschef Kim Larsen hele tiden kunder og projekter om netop disse fire ting. Virksomheden peger på behovet for klokkeklar dokumentation og sporbarhed.

For HR betyder det, at rekrutterings-, ansættelses-, løn- og fraværsprocesser skal kunne beskrives fra data opstår, til de slettes.

En central del er at dokumentere behandlingsaktiviteter og datastrømme: Hvilke data indsamles, hvor kommer de fra, hvem kan se dem, hvilke systemer og leverandører behandler dem, og hvornår slettes de. Det gælder både HR-systemet og integrationer til fx løn, vagtplanlægning, adgangskontrol og rekrutteringskanaler.

HR bør kunne dokumentere behandlingsaktiviteter og datastrømme i HR-systemet og integrationer.

For opbevaringsperioder anbefaler Datatilsynet, at den dataansvarlige skriver sine overvejelser ned – særligt hvis oplysningerne skal opbevares over 3 år. Så kan man dokumentere over for Datatilsynet, hvorfor det er nødvendigt.

HR bør derfor kunne fremvise en begrundelse pr. kategori, fx hvorfor kandidatdata opbevares i 6 måneder eller op til 3 år.

Sporbarhed kræver logning: Hvem har oprettet, ændret, eksporteret eller slettet en medarbejder- eller kandidatprofil, og hvornår. Loggen skal ikke bare indsamles; den skal kunne vise overensstemmelse, hvis Datatilsynet stiller spørgsmål, eller hvis en registreret klager.

HR bør kunne vurdere risikoen ved behandlingen og dokumentere vurderingen og de tiltag, der mindsker risikoen.

Hvis personoplysninger kommer til uvedkommendes kendskab, går tabt eller bliver beskadiget, bør den dataansvarlige kunne dokumentere, hvornår hændelsen blev opdaget, og hvordan den blev håndteret. HR bør have en klar proces for håndtering af sådanne hændelser.

Sikkerhedsforanstaltninger bør også fremgå af dokumentationen. Det gælder rollebaseret adgang, logning og adgangsbegrænsning til følsomme data.

Krav at stille til et GDPR-understøttende HR-system

Kravene bygger på GDPR artikel 6, stk. 1, artikel 7 og artikel 5, stk. 1, litra e samt databeskyttelsesloven. Datatilsynet fører kontrol, og for NIS2-omfattede virksomheder gælder desuden krav om adgangskontrol og optegnelser.

Når HR vælger eller videreudvikler et HR-system, bør kravene være konkrete og testbare. Et krav er automatisk sletning efter afsluttet rekruttering.

HR-ON beskriver, at kandidater og alt tilhørende persondata slettes automatisk, når rekrutteringen er afsluttet. Så bliver data ikke liggende uden grund.

Adgang skal kunne begrænses til de relevante kolleger. I et rekrutteringssystem kan HR give adgang til dem, der har brug for at tilgå en enkelt jobannonce, kandidater og deres ansøgning og CV, så materialet bliver på platformen. Dermed undgår man løse ansøgninger på mail og downloadede filer på lokale drev.

Systemet skal understøtte hjemmel og formål pr. behandling. Det bør kunne registrere, om behandlingen bygger på samtykke, kontrakt, retlig forpligtelse eller andet, og koble det til det konkrete formål, så HR ikke genbruger data til noget andet.

GDPR artikel 6, stk. 1, kræver, at mindst ét behandlingsgrundlag er opfyldt: samtykke, kontrakt, retlig forpligtelse, vitale interesser, samfundsinteresse eller legitim interesse. HR-systemet bør derfor kunne registrere grundlaget pr. formål og vise det i dokumentationen. For ansættelsesforhold supplerer databeskyttelsesloven med en særregel om samtykke i overensstemmelse med artikel 7.

Logning og dokumentation skal være en del af systemet: Hvem har tilgået følsomme data, hvornår er en kandidat slettet, hvilken opbevaringsregel er anvendt, og hvem har godkendt den. For virksomheder omfattet af NIS2 er adgangskontrol og optegnelser over, hvem der tilgår følsomme data, samtidig et krav. Systemet bør desuden kunne producere rapporter til dokumentation af behandlingen og til Datatilsynet.

HR-systemet bør kunne understøtte henvendelser fra ansøgere og ansatte om deres oplysninger. Systemet bør kunne finde alle oplysninger om en ansøger eller ansat på tværs af felter og registrere og besvare anmodninger.

Systemet skal kunne understøtte passende sikkerhedsforanstaltninger. Det bør have rollebaseret adgang og logning. Adgang til følsomme data skal kunne begrænses.

Systemet bør kunne understøtte håndtering af hændelser, hvor personoplysninger kommer til uvedkommendes kendskab, går tabt eller bliver beskadiget. Det bør kunne logge hændelser og eksportere oplysninger til brug for håndteringen og dokumentere, hvilke data der er berørt.

Ved valg af leverandør bør HR stille krav til, hvordan data behandles, beskyttes og slettes. Systemet bør kunne vise, hvilke leverandører der behandler data, og understøtte instrukser om sletning og sikkerhed.

Systemet bør kunne begrænse adgangen til følsomme personoplysninger og logge, hvem der ser dem. HR bør overveje at skjule helbredsoplysninger for brede roller og begrænse adgang til relevante fagpersoner.

Ved høj risiko bør systemet kunne levere data til en risikovurdering. Det bør kunne dokumentere behandlingen og gøre det lettere at vurdere og mindske risikoen.

Systemet bør kunne understøtte, at HR kan informere ansøgere og ansatte om, hvordan deres oplysninger behandles. Det kan fx være skabeloner og log over, hvornår information er givet. Det bør kunne vise, hvilken information ansøgere og ansatte har modtaget.

Krav: Opbevaringsfrist pr. kategori og pr. dokumenttype efter artikel 5, stk. 1, litra e. Systemet skal kunne slette eller anonymisere, når fristen udløber.

Krav: Dokumentation og rapporter til dokumentation af behandlingen og til Datatilsynet, der fører kontrol med, at reglerne overholdes.

Krav: Systemet skal kunne finde alle oplysninger om en ansøger eller ansat på tværs af felter og registrere anmodninger.

Krav: Adgang til helbredsoplysninger og andre følsomme data skal kunne begrænses og skjules for brede roller.

Krav: Aftaler med leverandører. HR skal kunne vise, hvilke leverandører der behandler data, og at der er aftaler om behandling, beskyttelse og sletning.

Krav: Sikkerhed. Systemet skal have rollebaseret adgang, logning og passende sikkerhedsforanstaltninger.

Krav: Håndtering af hændelser, hvor personoplysninger kommer til uvedkommendes kendskab, går tabt eller beskadiges. Systemet skal kunne logge hændelser og eksportere oplysninger til brug for håndteringen.

Krav: Ved høj risiko skal systemet kunne levere data til en risikovurdering.

Krav: Gennemsigtighed og information til ansøgere og ansatte. Systemet skal kunne vise, hvilken information ansøgere og ansatte har modtaget.

Fordele og udfordringer ved automatisk sletning af kandidatdata