Håndtering af medarbejderdata: En praktisk GDPR-vejledning

Der skal være klare regler for medarbejderoplysninger: hvad der indsamles, hvem der har adgang til oplysningerne, og hvornår de skal slettes. Start med formålet med hver enkelt oplysning i stedet for en liste over oplysninger, der måske kan være nyttige en dag.

Fakta tjekket den 21. september 2026. Nationale ansættelsesregler og omstændighederne omkring databehandlingen spiller også en rolle.

Indsamling af oplysninger til et bestemt formål

Kontaktoplysninger, lønoplysninger, arbejdstider og præstationsoplysninger tjener forskellige formål. Registrer formålet, de personer, der har brug for adgang, og den gældende opbevaringsregel for hver kategori. Et HR-system bør hjælpe dig med at holde disse skel klart adskilt.

GDPR kræver dataminimering. At være arbejdsgiver er ikke en generel tilladelse til at indsamle en medarbejders private oplysninger. Oplysninger om straffedomme og lovovertrædelser er omfattet af artikel 10, adskilt fra de særlige kategorier i artikel 9. GDPR, artikel 5, 9 og 10

Sundhedsoplysninger, fagforeningsmedlemskab og biometriske data, der anvendes til entydig identifikation, kræver særlig omhu. Ved behandling af særlige kategorier skal der både angives et retsgrundlag i henhold til artikel 6 og en gældende betingelse i henhold til artikel 9. Nødvendigheden i henhold til artikel 9, stk. 2, litra b), afhænger af tilladelse i EU-retten eller national lovgivning eller en kvalificerende kollektiv overenskomst med beskyttelsesforanstaltninger. EDPB: lovlig behandling og følsomme oplysninger

Vælg det juridiske grundlag for hver aktivitet

Kontraktmæssig nødvendighed, juridisk forpligtelse og legitime interesser er almindelige begreber inden for ansættelsesforhold, men det relevante retsgrundlag afhænger af den konkrete aktivitet. En klausul i en kontrakt gør ikke enhver relateret brug af data nødvendig. Legitime interesser kræver en vurdering af nødvendighed og afvejning; der kan gælde yderligere nationale regler for overvågning.

Samtykke er ofte uegnet, når ansættelsesforholdet forhindrer et frit valg. Hvor det anvendes, skal det være muligt at afvise eller tilbagekalde samtykket uden ulemper. Dokumenter retsgrundlaget, inden behandlingen påbegyndes. EDPB: retsgrundlag

Forklar behandlingen tydeligt

For oplysninger, der indsamles direkte fra medarbejderen, kræver artikel 13 normalt, at oplysningerne om beskyttelse af personoplysninger gives, når oplysningerne indhentes. Data indhentet fra andre kilder falder ind under artikel 14, som har sine egne tidsfrister og undtagelser. Dæk formål, retsgrundlag, modtagere, opbevaring, overførsler, hvor det er relevant, samt gældende rettigheder. En bekræftelse af modtagelsen af en meddelelse udgør ikke samtykke til alle de aktiviteter, den beskriver. GDPR, artikel 13 og 14

Sørg for, at meddelelsen er let at finde efter ansættelsen. Hvis medarbejderen spørger om en bestemt anvendelse af sine data, skal der være nogen, der kan forklare den faktiske proces bag ordlyden.

Håndter medarbejderanmodninger gennem en klar proces

Medarbejdere kan anmode om indsigt og berigtigelse og kan, afhængigt af omstændighederne, have ret til sletning, begrænsning, dataportabilitet eller indsigelse. Sletning er ikke ubetinget: lovmæssige opbevaringsforpligtelser og retskrav kan berettige opbevaring af visse oplysninger. Begrænsning er heller ikke et absolut forbud mod enhver brug af de opbevarede oplysninger.

Overførbarhed vedrører data, der er leveret af den enkelte person og behandlet automatisk på grundlag af samtykke eller kontrakt. Det omfatter ikke alle HR-oplysninger. Anmodninger skal normalt besvares inden for en måned; en tilladt forlængelse skal begrundes inden for den første måned. Rettelser, sletning og begrænsninger skal muligvis meddeles modtagerne, med forbehold for undtagelserne i artikel 19. EDPB: den enkeltes rettigheder

En nyttig intern arbejdsgang er at:

1. Registrer, hvornår anmodningen modtages, og udpeg en ansvarlig.
2. Fastlæg, hvad der anmodes om, og verificer identiteten på en rimelig måde.
3. Gennemgå de relevante systemer, herunder dokumenter og korrespondance.
4. Gennemgå svaret for at se, om der er oplysninger om andre personer og gældende begrænsninger.
5. Send svaret sikkert, og registrer, hvad der er blevet gjort.

Indstil opbevaringsperioden efter posttype og jurisdiktion

Der findes ikke én fælles EU-opbevaringsoversigt for alle medarbejderdata. Lønoplysninger, ansøgerfiler og arbejdsmedicinske journaler kan være underlagt forskellige krav. Notér årsagen til hver periode, hvornår tidsfristen løber, eventuelle begrænsede arkiveringsfaser, og hvad der sker, når perioden udløber.

Den franske datatilsynsmyndighed CNIL offentliggør retningslinjer for opbevaring af HR-data, men de landespecifikke perioder bør ikke fremstilles som EU-dækkende regler. Juridiske opbevaringskrav og lovbestemte opbevaringsfrister kan ændres, når sletning er hensigtsmæssig. CNIL: opbevaringsfrister

En standardindstilling i software er en parameter, der skal vurderes, og ikke et bevis på, at den valgte periode er lovlig. Medtag eksport, tilknyttede tjenester og håndtering af sikkerhedskopier i din proces.

Før en aktivitetslog, ikke en ekstra medarbejderliste

Et register over behandlingsaktiviteter beskriver processer såsom lønudbetaling eller rekruttering. Det er ikke en separat post for hver ny medarbejder. Man må ikke antage, at forpligtelsen bortfalder, hvis man har færre end 250 medarbejdere: undtagelsen er begrænset, og løbende HR-behandling er ikke af lejlighedsvis karakter. EDPB: registre og ansvarlighed

Kontroller hver udbyders rolle

Når en leverandør behandler data på dine vegne, kræves der en databehandleraftale i henhold til artikel 28. Andre modtagere kan fungere som uafhængige eller fælles dataansvarlige og kræver en anden vurdering; ikke enhver videregivelse udgør et databehandlerforhold. GDPR, artikel 26 og 28

Ved overførsler uden for EØS skal du kontrollere den gældende afgørelse om tilstrækkelighed eller de gældende sikkerhedsforanstaltninger samt servicekontrakten. Selskabets hjemsted i EU og serverens placering fastlægger ikke den fulde datastrøm. EDPB: internationale overførsler

PersoHR tilbyder dataeksport, sletningsworkflows og revisionslogfiler til at understøtte disse processer. Din organisation skal stadig afgøre, hvilke regler der gælder, konfigurere tjenesten i overensstemmelse hermed og gennemgå anmodninger, før der handles på dem.