Vilka referenser får du begära enligt GDPR och avtalsrätt?

Vad menas med referenser – och varför GDPR spelar roll

Referenstagning är enligt Simployer ett samtal mellan en tidigare eller nuvarande arbetsgivare och den potentiella framtida arbetsgivaren. Metoden är vanlig i de flesta rekryteringsprocesser och innebär behandling av personuppgifter om två grupper: den sökande och referenspersonen, vars namn och kontaktuppgifter krävs för att samtalet ska bli av.

Enligt IMY måste en arbetsgivare ha en rättslig grund för att få behandla personuppgifter. Dessutom gäller de grundläggande principerna alltid: ändamålet ska vara tydligt angivet i förväg och uppgifterna ska ha koppling till anställningen. Uppgifter som har stark koppling till privatlivet, är av mycket personlig karaktär och saknar central betydelse för anställningsförhållandet talar enligt IMY starkt för att behandling inte är tillåten.

Viktiga GDPR-principer vid referenstagning

Rättslig grund: intresseavvägning, avtal eller samtycke?

Referenser kan i normala fall inhämtas med stöd av intresseavvägning, om uppgifterna är nödvändiga för rekryteringsförfarandet. Det gäller både de uppgifter om referenspersonerna som behövs för att kontakta dem och de uppgifter om den sökande som referenspersonerna lämnar (Simployer). Samma källa påpekar att den rättsliga grunden kan variera mellan olika delar av en rekryteringsprocess.

IMY beskriver intresseavvägningen i arbetslivet så: en arbetsgivare får behandla uppgifter som är nödvändiga för ändamål som rör berättigade intressen, om inte den anställdas intresse av skydd för sina personuppgifter väger tyngre. Utfallet beror bland annat på vilken typ av personuppgifter det gäller, förhållandena på den aktuella arbetsplatsen och vilken verksamhet som bedrivs.

Samtycke är alltså inte den enda vägen och ställer egna krav. Enligt EDPB ska samtycke vara fritt, specifikt, informerat och otvetydigt; den enskilde måste ha ett verkligt fritt val och kunna återkalla samtycket utan negativa konsekvenser. Om organisationen måste behandla uppgifterna och inte kan låta enskilda återkalla samtycket, talar det för att samtycke inte är en lämplig rättslig grund. IMY framhåller att anställda står i beroendeställning till arbetsgivaren och därför som regel inte kan lämna sådana frivilliga samtycken som dataskyddsförordningen kräver.

Rättsliga grunder för referenstagning enligt GDPR

Referenspersonerna: information i stället för samtycke

Referenspersonerna behöver inte samtycka till att bli kontaktade. Enligt Simployer ska de däremot informeras om företagets behandling av deras personuppgifter.

Informationsskyldigheten följer av GDPR. I den text av förordningen som IMY publicerar framgår att den personuppgiftsansvarige ska lämna information till den registrerade vid insamlingstillfället när uppgifterna samlas in från denne. För en referensperson bör informationen täcka vad uppgifterna används till, till vilka mottagare de lämnas ut eller kommer att lämnas ut, hur länge de sparas, vilka andra rättigheter personen har – till exempel rätten att lämna klagomål till IMY – och varifrån uppgifterna kommer. IMY anger just dessa punkter som exempel på vad den registrerade har rätt till information om. För en referensperson är det särskilt relevant att den sökande har lämnat namn och kontaktuppgifter, och att referenspersonen inte själv har valt att delta i rekryteringsprocessen.

Känsliga uppgifter om den sökande kräver samtycke

All eventuell behandling av känsliga personuppgifter om den sökande – till exempel uppgifter om hälsa och sjukfrånvaro – kräver enligt Simployer den sökandes samtycke. Företagarna framhåller att särskilda kategorier av personuppgifter har extra stränga regler för hur de får behandlas, och att ett företag därför kan behöva särskilda rutiner.

Det hänger samman med IMY:s hållning: uppgifter av mycket personlig karaktär, med stark koppling till privatlivet och utan central betydelse för anställningsförhållandet talar starkt emot behandling. Utan den sökandes samtycke bör uppgifter om hälsa och sjukfrånvaro därför varken efterfrågas i referenssamtalet eller dokumenteras i anteckningarna efteråt. Om en referensperson självmant tar upp sådant, bör det inte föras vidare.

Får arbetsgivaren kontakta andra än de uppgivna referenserna?

En arbetsgivare kan hämta information om kandidaten även från andra källor än de referenser som angetts. Enligt Lawline får kommunala och regionala arbetsgivare inhämta all tillgänglig information om den möjliga kandidaten för att kunna anställa någon som är lämplig för tjänsten; det är inte ovanligt att arbetsgivare söker på kandidatens namn i sociala medier och sökmotorer. För statliga arbetsgivare gäller enligt 4 § lagen om offentlig anställning att anställning bara får ske med beaktande av förtjänst och skicklighet, medan kommunala och regionala arbetsgivare inte omfattas av den regeln (jfr 2 § LOA).

Att en uppgift finns i ett öppet flöde eller hos någon som inte angetts som referens förändrar inte att inhämtandet är behandling av personuppgifter. Det kräver därför samma sak som allt annat i processen: ett tydligt angivet ändamål, en hållbar rättslig grund – i praktiken ofta intresseavvägningen – och respekt för principerna om att uppgifterna ska ha koppling till anställningen. Eftersom den sökande har rätt att få veta hur uppgifter om honom eller henne behandlas, är det svårt att i efterhand försvara inhämtande som inte framgår av någon dokumentation.

Fördelar och nackdelar med att kontakta icke-uppgivna referenser

Den sökandes insyn i referensanteckningar

Den sökande har enligt Simployer rätt att ta del av anteckningar från referenssamtal. Simployer rekommenderar därför att de utformas så att de kan lämnas ut, vilket i praktiken innebär att anteckningen bör vara en saklig beskrivning av vad som sagts om den sökandes yrkeskunnande och lämplighet – utan omdömen om personen som saknar bäring på tjänsten.

Rätten till tillgång innebär enligt IMY att den enskilde utan kostnad kan få veta om en aktör behandlar personuppgifter om honom eller henne, och i så fall få en kopia av personuppgifterna samt information om vad de används till, till vilka mottagare de har lämnats ut eller kommer att lämnas ut, hur länge de sparas, vilka andra rättigheter som gäller och varifrån uppgifterna kommer. IMY understryker att rätten till en kopia inte alltid ger rätt att få ut själva handlingen – en begriplig sammanställning av uppgifterna i handlingen eller under behandling kan räcka, så att den enskilde kan kontrollera uppgifternas riktighet och laglighet.

Två gränser är praktiskt viktiga när referensanteckningar begärs ut. Den enskilde har inte rätt till information om andra personer – uppgifter om referenspersonen ska alltså inte följa med i en utlämnad sammanställning – och rätten till tillgång ska inte blandas ihop med rätten att ta del av allmänna handlingar hos en myndighet. IMY anger också att information i undantagsfall kan undanhållas trots att den gäller den sökande, till exempel om den medför nackdelar för andra; den personuppgiftsansvarige måste då motivera varför uppgifterna inte lämnas ut.

Avtal som rättslig grund – och varför det inte löser allt

Avtal med den registrerade är en av de rättsliga grunder som EDPB räknar upp och avser då ett avtal mellan organisationen och en individ. IMY är tydlig med villkoret i arbetslivet: avtalet ska ha ingåtts med arbetstagaren själv. Ett avtal mellan arbetsgivaren och en juridisk person – till exempel ett bemanningsföretag – ger inte stöd för att behandla uppgifter om personer som är anställda hos bemanningsföretaget; då krävs stöd i någon annan grund.

För referenstagning innebär det att avtalet sällan bär hela behandlingen: uppgifterna om den sökande hämtas in innan något anställningsavtal finns, och uppgifterna om referenspersonen kommer från någon som står utanför varje avtal med arbetsgivaren. Därför är det oftast intresseavvägningen som referenstagningen vilar på, med krav på att uppgifterna är nödvändiga för ändamålet och att den enskildes intresse inte väger tyngre. EDPB noterar också en följd av grunden: rätten till portabilitet gäller bara när den rättsliga grunden är samtycke eller avtal.

Praktisk checklista för referenstagning