Hvor længe må man gemme en ansøgning? GDPR har ingen fast frist. Datatilsynets vejledning om ansættelsesforhold siger, at arbejdsgiveren som udgangspunkt ikke har pligt til at gemme ansøgere, der ikke fik stillingen, og at en saglig opbevaring bagefter skal være så kort som muligt. I tilsynssager har Datatilsynet godtaget op til seks måneder hos en privat virksomhed og en privat organisation og 24 måneder hos en statslig styrelse. Perioden er altså jeres egen beslutning, og I skal kunne begrunde den.
De perioder, Datatilsynet har set på
Tre afsluttede tilsyn viser, hvordan tilsynet ser på spørgsmålet:
- Privat virksomhed, 2020. Ansøgerprofiler blev slettet automatisk efter seks måneder, både til dokumentation og til senere jobtilbud. Ingen kritik.
- Privat organisation, 2021. Oplysninger blev slettet tre måneder efter forløbets start, eller højst seks måneder efter med særskilt samtykke til at tilbyde en anden stilling. Ingen kritik.
- Statslig styrelse, 2021. Oplysninger blev gemt 24 måneder efter forløbets start for at dokumentere udvælgelsen, og personlighedstests seks måneder efter forløbets afslutning. Ingen kritik.
Tilsynet skrev i disse sager, at det ikke fandt grundlag for at tilsidesætte den dataansvarliges vurdering. Tallene er altså ingen generel frist. I de to private sager lagde tilsynet vægt på, at perioden fremstod saglig, og at formålene i de fleste tilfælde tjente ansøgerens egne interesser. De 24 måneder stammer fra en myndighed og kan ikke uden videre overføres til jer. Særlovgivning kan have egne regler om opbevaring, og det er et spørgsmål til advokat.
Læg også mærke til, hvornår uret starter. Sagerne regner fra forløbets start eller fra dets afslutning. Skriv i slettepolitikken, hvilken dato I bruger, så systemet og teksten til ansøgerne siger det samme.
To formål med hvert sit grundlag
Opbevaring efter afslaget har to formål, som bør holdes adskilt.
Dokumentation af forløbet. Møder I en indsigelse om fx diskrimination, kan I få brug for at vise, hvordan udvælgelsen foregik. Det er efter tilsynets opfattelse som udgangspunkt et sagligt formål, men I bør overveje, om der er et reelt behov. En privat arbejdsgiver kan bygge på legitim interesse (litra f i art. 6, stk. 1) eller på litra c, hvis en retlig forpligtelse kræver det. Samtykke passer dårligt her, og tilsynet har henstillet til en dataansvarlig at bruge et andet grundlag.
Et senere jobtilbud. Vil I gemme ansøgningen til en anden stilling, kræver det ansøgerens samtykke. Ansøgeren skal vide, hvor længe ansøgningen gemmes, og at samtykket kan trækkes tilbage. Et samtykke giver ingen ret til at gemme i ubegrænset tid.
Grundlagene skal fremgå tydeligt af det, ansøgerne får at vide. Det gjorde tilsynet begge dataansvarlige opmærksomme på i 2021.
Uopfordrede ansøgninger
Hvor længe må man gemme en uopfordret ansøgning? De læste kilder fastsætter ingen særlig frist. Vejledningen siger, at det materiale, en ansøger selv sender, kan behandles på samme grundlag som andre ansøgninger, og vejledningen om rettigheder regner en uopfordret henvendelse som indsamling hos personen selv. Oplysningerne skal så gives snarest muligt.
Vores læsning er, at dokumentationsformålet passer dårligt, når der ikke findes et forløb at dokumentere. Det efterlader to veje. Skal ansøgningen ikke bruges, så svar personen, og slet den. Er den interessant for senere, så bed om samtykke med en bestemt periode.
Det, ansøgeren skal have at vide
Efter art. 13 skal oplysningerne gives på det tidspunkt, hvor de indsamles. Det dækker bl.a. formål, grundlag, opbevaringsperiode, rettigheder og en eventuel DPO. Teksten kan stå i rekrutteringssystemet eller i et automatisk svar, se oplysningspligten. Henter I oplysninger andre steder fra, gælder art. 14, som giver en rimelig frist og højst en måned, eller senest ved første kommunikation med personen.
CV, referencer og attester
- CV og bilag. Der følger ofte mere med, end I har brug for. Vejledningen siger, at I ikke har pligt til at vurdere relevansen undervejs i forløbet.
- Referencer. Reglerne gælder, når en reference udveksles elektronisk eller skrives ned, fx i et notat. Samtykke er som udgangspunkt ikke grundlaget, og hos private er det art. 6, stk. 1, litra f. Ansøgeren skal vide, at I indhenter referencer, fra hvem og hvornår, og hvilke oplysninger det drejer sig om. Følsomme oplysninger kan som udgangspunkt ikke videregives på denne måde.
- Straffeattester. En generel politik om at indhente dem hos alle er i strid med art. 5. Det kræver en konkret vurdering, og kun ansøgere, der reelt er med i opløbet, må bedes om en. Attesten slettes, så snart formålet er nået.
- Kreditoplysninger. Må ikke indhentes, medmindre stillingen er særligt betroet.
- Sociale medier. Offentliggjorte oplysninger må bruges, men art. 5, 13 og 14 gælder.
Rekrutteringssystemet og kopierne
En frist virker kun, hvis nogen kan vise, at den holdes. Virksomheden i sagen fra 2020 havde automatisk sletning den første i hver måned og kunne fremlægge en anonymiseret slettelog og skrevne procedurer.
Tjek også de steder, systemet ikke når ud til: ledernes postkasser, delte mapper, udskrifter fra samtaler og noter. Driver en leverandør systemet, skal rollen afklares, se hvornår I skal have en databehandleraftale. Sorterer et værktøj ansøgere automatisk, gælder særlige krav til AI i rekruttering. Får en ansøger stillingen, flytter det relevante over i personalesagen, og resten slettes efter samme regel. Beder nogen om indsigt, før fristen er nået, kommer indsigten først og sletningen bagefter.
Det gør I nu
Find jeres nuværende frist, og skriv formålet ud for den. Stemmer teksten til ansøgerne ikke med det, systemet gør, så ret det, der er forkert. Almindelig HR-administration er en af de behandlinger, Datatilsynet regner for gængs, og den udløser alene ingen pligt til en DPO. Er I i tvivl af andre grunde, så brug skal vi have en DPO?.
Det skal I lade være med
- At overtage en andens frist · perioden skal bygge på jeres egen begrundelse.
- At bruge samtykke til dokumentationen · samtykke hører til det senere jobtilbud.
- At beholde uopfordrede ansøgninger uden aftale · uden samtykke og uden brug er der intet formål.
Det skal I kræve af den eksterne
- ☐ Rådgivning om frist, startdato og begrundelse, så beslutningen kan stå alene.
- ☐ Kontrol af, at sletningen faktisk sker, også uden for systemet.
- ☐ Gennemlæsning af teksten til ansøgerne mod det, der foregår.
- ☐ Klar besked, når et spørgsmål hører til ansættelsesretten.
Kilder
- Datatilsynet: Databeskyttelse i ansættelsesforhold, marts 2023: afsnit 2.1 til 2.3 og 4.1, læst 6. november 2026.
- Datatilsynet: nyhed af 28. maj 2021 om opbevaring ved rekruttering: læst 6. november 2026.
- Datatilsynet: afgørelse af 25. maj 2020, j.nr. 2019-41-0039: læst 6. november 2026.
- Datatilsynet: afgørelse af 2. marts 2021, j.nr. 2019-41-0038: læst 6. november 2026.
- Datatilsynet: afgørelse af 2. marts 2021, j.nr. 2019-421-0033: læst 6. november 2026.
- Datatilsynet: Vejledning om de registreredes rettigheder: afsnit 3.3.1, læst 6. november 2026.
- Datatilsynet: Indmeld oplysninger om DPO: gængs behandling, læst 6. november 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 5, 6, 13 og 14.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Oplysningspligten · Medarbejderens oplysninger fra ansættelse til fratrædelse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
