GDPR har funnits sedan 2018. Men det innebär inte att alla har det på plats.
Tvärtom – i de flesta bolag jag möter finns det luckor. Inte för att reglerna ignoreras, utan för att man har prioriterat annat och kanske antagit att någon annan har hanterat den juridiska delen.
Problemet är att det ofta är HR-funktionen som är ansvarig – och att HR-funktionen inte alltid är medveten om det.
Tre vanliga GDPR-misstag i rekryteringsprocessen
- Kandidatdata lagras längre än tillåtet
Du har rätt att behandla en kandidats uppgifter under rekryteringsprocessen – vanligtvis med stöd av ett berättigat intresse. Vad de flesta missar är att längre lagring, till exempel i ett kandidatbibliotek, kräver ett nytt och dokumenterat rättsligt stöd. Och att samtycke i rekryteringssammanhang sällan är en giltig grund – beroendeställningen gör att det sällan kan anses vara frivilligt.
Har ni gallringsrutiner för kandidatdata? Om svaret är nej – det är ett problem. - Otydligt ändamål för insamling
GDPR kräver att du har ett tydligt och specificerat ändamål för varje uppgift du samlar in. ”Rekryteringsändamål” räcker inte som formulering.
Varför samlar ni in just den informationen? Vad används den till? Hur länge behöver ni den? Det ska ni kunna svara på. - Bristande information till kandidater
Kandidater har rätt att veta hur deras uppgifter behandlas. Det innebär en integritetspolicy anpassad för rekrytering, information om hur länge data lagras och vart kandidaten kan vända sig med frågor.
Finns det på er karriärsida eller i er rekryteringsprocess? Det borde det göra.
Vad du bör göra nu
• Se över er gallringsrutin för kandidatdata
• Kontrollera att er integritetspolicy täcker rekryteringsprocessen
• Granska vilka personuppgifter ni faktiskt samlar in och varför
• Se till att alla som hanterar kandidatuppgifter vet vad som gäller
Det behöver inte vara komplicerat. Men det behöver göras.
En sista sak
GDPR i HR handlar i grunden om respekt. Respekt för kandidaternas integritet. Respekt för deras uppgifter. Respekt för att de delar med sig av personlig information i en situation där de är sårbara.
Regelefterlevnad är ett minimum. Rätt förhållningssätt är målet.
Har du tankar, frågor eller vill bara bolla något – hör gärna av dig. Jag tar gärna ett inledande samtal utan agenda.
Magdalena Hagström Ståhl
By M Consulting AB
Rätt person på rätt plats förändrar allt
Källor:
IT-Juridik.se – HR-data, rekrytering och GDPR – särskilda regler 2025 it-juridik.se/hr-data-rekrytering-och-gdpr
Bakgrundsanalys.se – GDPR och lagstöd för bakgrundskontroller vid rekrytering (januari 2026) bakgrundsanalys.se/lagstiftning-for-bakgrundskontroller
Simployer – du som rekryterar – har du en laglig grund enligt GDPR? simployer.se/artiklar/du-som-rekryterar-har-du-en-laglig-grund-enligt-gdpr
Integritetsskyddsmyndigheten (IMY) – Dataskydd vid rekrytering imy.se