En norsk CV med overskriftene kompetanse, utdanning, erfaring og prosjekter. Dokumentet ligger ved siden av en mappe og illustrerer deling av CV i en konkurranse.

En konsulent leverer CV-en sin til arbeidsgiveren. Arbeidsgiveren bruker den i et tilbud til en offentlig oppdragsgiver. Etterpå sier konsulenten: «Jeg trekker samtykket mitt.»

Må arbeidsgiveren da slutte å bruke CV-en? Må oppdragsgiver slette den fra konkurransen? Og kan arbeidsgiveren i stedet fortsette behandlingen på et annet rettslig grunnlag?

Svaret avhenger av noe mange overser: Personvernreglene regulerer ikke dokumentet «CV» som én samlet størrelse. Innsamling, lagring, bruk i tilbud, utlevering til oppdragsgiver og senere arkivering er forskjellige behandlinger. De kan ha forskjellige formål, forskjellige behandlingsgrunnlag og forskjellige behandlingsansvarlige.

Hva er et behandlingsgrunnlag?

En CV inneholder personopplysninger. Navn, utdanning, arbeidserfaring, tidligere oppdrag og kontaktopplysninger er alle opplysninger om en identifiserbar person.

Nesten alt som gjøres med slike opplysninger, er «behandling» etter GDPR. Det gjelder å samle inn CV-en, lagre den, hente den frem, redigere den, legge den ved et tilbud, sende den til oppdragsgiver, evaluere innholdet og arkivere dokumentet.

For at en behandling skal være lovlig, må virksomheten ha et behandlingsgrunnlag. Dette er den rettslige begrunnelsen for at virksomheten har lov til å behandle opplysningene.

GDPR artikkel 6 inneholder seks mulige grunnlag. I arbeidsforhold og offentlige anskaffelser er særlig disse aktuelle:

Virksomheten skal bestemme formålet og behandlingsgrunnlaget før behandlingen begynner. Den ansatte skal også få informasjon om hva CV-en skal brukes til, hvem som skal motta den, hvor lenge den skal lagres og hvilket grunnlag virksomheten bygger på.

Å levere CV-en er ikke automatisk et samtykke

Ordet «samtykke» brukes ofte i dagligtalen om enhver form for aksept. GDPR stiller strengere krav. Et personvernrettslig samtykke må være frivillig, spesifikt, informert og utvetydig. Virksomheten må kunne dokumentere at vilkårene er oppfylt. Personen skal dessuten kunne trekke samtykket tilbake uten negative konsekvenser.

At en arbeidstaker sender en CV til arbeidsgiveren, er derfor ikke i seg selv et samtykke etter GDPR. Det samme gjelder dersom arbeidstakeren oppdaterer CV-en etter beskjed fra sin leder.

Behandlingsgrunnlaget kan i stedet følge av arbeidsavtalen, en rettslig plikt eller arbeidsgiverens berettigede interesse. Datatilsynet peker på alle disse som aktuelle grunnlag for behandling av opplysninger i en personalmappe. Det avgjørende er hvorfor arbeidsgiveren behandler CV-en – ikke hvem som trykket på «send».

Én CV – flere behandlinger

Det er lettere å se problemet dersom behandlingen deles opp:

  1. Arbeidsgiveren mottar CV-en.
  2. CV-en lagres i personal- eller kompetansesystemet.
  3. Opplysningene tilpasses en bestemt konkurranse.
  4. Tilbuds-CV-en utleveres til oppdragsgiver.
  5. Oppdragsgiver bruker CV-en i kvalifikasjonskontroll eller evaluering.
  6. Begge virksomhetene kan ha behov for å oppbevare dokumentasjonen etterpå.

Hvert ledd må ha et formål og et behandlingsgrunnlag. Det er derfor misvisende å spørre hvilket behandlingsgrunnlag som gjelder «for CV-en». Spørsmålet må være hvilket grunnlag som gjelder for den konkrete bruken.

Bruk i tilbudet er et eget formål

En CV kan opprinnelig være samlet inn som ledd i en ansettelsesprosess eller for intern kompetanseoversikt. Når arbeidsgiveren senere legger CV-en ved et tilbud, brukes opplysningene til et nytt formål: å dokumentere kompetansen som tilbys i konkurransen.

For en privat leverandør vil det mest aktuelle grunnlaget ofte være GDPR artikkel 6 nr. 1 bokstav f om berettigede interesser. Leverandøren har en kommersiell og saklig interesse i å dokumentere at de tilbudte konsulentene har den kompetansen oppdragsgiver krever.

Det er likevel ikke nok å vise til at virksomheten ønsker å vinne kontrakten. Arbeidsgiveren må ha en reell og lovlig interesse, behandlingen må være nødvendig, og interessen må veie tyngre enn arbeidstakerens personverninteresser.

En konsulent som er ansatt for å arbeide på kundeoppdrag, må normalt forvente at arbeidsgiveren dokumenterer vedkommendes faglige kompetanse overfor mulige kunder. Det betyr likevel ikke at hele den opprinnelige CV-en kan sendes videre.

Oppdragsgiver trenger sjelden hele personal-CV-en

Prinsippet om dataminimering innebærer at opplysningene skal begrenses til det som er nødvendig for formålet.

En CV som brukes i en konkurranse, bør derfor normalt utformes særskilt. Privat adresse, privat telefonnummer, fødselsdato, bilde, sivilstand, familieopplysninger og andre forhold uten betydning for kvalifikasjons- eller tildelingskriteriene bør fjernes.

Oppdragsgiver bør på sin side bare kreve de opplysningene som er nødvendige for å kontrollere eller evaluere den tilbudte kompetansen. At en full CV allerede finnes i personalmappen, betyr ikke at hele dokumentet kan utleveres.

Samtykke er vanskelig i arbeidsforhold

Et samtykke skal være et reelt valg. Den som sier nei, skal ikke risikere negative konsekvenser.

Dette kan være vanskelig i forholdet mellom arbeidsgiver og arbeidstaker. En konsulent som blir spurt om arbeidsgiveren kan bruke CV-en i et viktig tilbud, kan oppleve at det forventes et ja. Et nei kan påvirke hvilke oppgaver personen får eller muligheten til å arbeide på det aktuelle oppdraget.

Det betyr ikke at samtykke aldri kan brukes i arbeidsforhold. Men arbeidsgiveren må kunne vise at arbeidstakeren faktisk kunne si nei uten press eller ulemper. Hvis arbeidsgiveren uansett har tenkt å bruke CV-en, er samtykke feil grunnlag. Da har arbeidstakeren aldri fått den valgfriheten som samtykket skulle gi.

Hva skjer når samtykket trekkes?

Dersom arbeidsgiveren faktisk har valgt samtykke som behandlingsgrunnlag, kan arbeidstakeren trekke det tilbake.

Tilbaketrekkingen virker fremover. Behandling som lovlig fant sted før samtykket ble trukket, blir ikke ulovlig i ettertid. Men arbeidsgiveren må normalt stanse den videre behandlingen som var basert på samtykket.

Arbeidsgiveren kan heller ikke uten videre svare:

Vi respekterer at du trekker samtykket. Fra nå av gjør vi akkurat det samme på grunnlag av berettiget interesse.

Hvis behandlingen, formålet og omstendighetene er de samme, vil dette gjøre retten til å trekke samtykket illusorisk. Arbeidsgiveren har først gitt inntrykk av at arbeidstakeren bestemmer, men fortsetter behandlingen når arbeidstakeren sier nei.

Personvernrådet har derfor uttalt at en virksomhet ikke kan bruke et annet grunnlag retroaktivt for å reparere et samtykke som er trukket eller viser seg å være ugyldig. Grunnlaget skal i utgangspunktet være bestemt på forhånd.

Betyr det at grunnlaget aldri kan endres?

Nei. GDPR inneholder ikke et absolutt forbud mot at samme opplysning senere behandles på et annet grunnlag.

En CV kan behandles til flere formål samtidig. Arbeidsgiveren kan for eksempel ha samtykke til å bruke CV-en i en bestemt presentasjon og, etter en konkret interesseavveiing, berettiget interesse i å føre en nødvendig intern kompetanseoversikt.

At CV-en inngår i et tilbud som allerede er levert, gir derimot ikke i seg selv arbeidsgiveren rett til å beholde den. Fortsatt lagring må ha et konkret og aktuelt formål og et eget behandlingsgrunnlag. En privat leverandør kan for eksempel ha en berettiget interesse i å oppbevare de nødvendige delene av tilbudet mens konkurransen behandles, for å svare på avklaringer, følge opp en kontrakt som er vunnet eller håndtere en konkret eller rimelig forventet klage eller tvist.

En rent hypotetisk mulighet for at dokumentasjonen kan bli nyttig senere er ikke nok. Arbeidsgiveren må kunne vise at interessen er reell, at lagringen er nødvendig, og at hensynet til virksomheten veier tyngre enn arbeidstakerens personvern. Bare opplysningene som trengs for formålet, kan beholdes.

Er tilbudet tapt, konkurransen endelig avsluttet og det ikke foreligger noen aktuell klage, tvist eller annen konkret grunn til fortsatt lagring, skal CV-en normalt slettes fra tilbudsarkivet eller anonymiseres. Det kan ikke fastsettes én generell lagringstid for alle tilbud; fristen må knyttes til det dokumenterte behovet.

Når samtykket trekkes, faller behandlingen som bygget på samtykket bort. Behandling til andre formål kan bare fortsette dersom den har et selvstendig behandlingsgrunnlag og oppfyller kravene til formålsbegrensning, dataminimering og lagringsbegrensning.

Det kan også oppstå en genuint ny situasjon. Bruk av CV-en i en senere konkurranse er en ny utlevering, til en ny mottaker og i en ny anskaffelsessak. Arbeidsgiveren kan da måtte foreta en ny vurdering. Men virksomheten må kunne forklare hvorfor dette faktisk er en ny behandling og ikke bare en omgåelse av det tilbaketrukne samtykket. Arbeidstakeren må informeres før behandlingen begynner.

At arbeidstakeren allerede har sagt nei, vil dessuten være et viktig moment i interesseavveiingen.

Tilbaketrekking og protest er forskjellige rettigheter

Når behandlingen bygger på samtykke, kan den ansatte trekke samtykket tilbake.

Når behandlingen bygger på berettiget interesse, finnes det ikke noe samtykke å trekke. Arbeidstakeren kan i stedet protestere etter GDPR artikkel 21.

Etter en protest kan arbeidsgiveren bare fortsette dersom den kan påvise tvingende berettigede grunner som veier tyngre enn arbeidstakerens interesser, rettigheter og friheter. Behandling som er nødvendig for å fastsette, gjøre gjeldende eller forsvare et rettskrav, kan også fortsette.

Oppdragsgiver står på egne ben

Når CV-en er mottatt, bestemmer oppdragsgiveren selv hvordan den skal brukes i konkurransen. Arbeidsgiveren og oppdragsgiveren er derfor normalt to selvstendige behandlingsansvarlige. Arbeidsgiveren må ha grunnlag for å utlevere CV-en, mens oppdragsgiveren må ha sitt eget grunnlag for å motta, lese, evaluere, lagre og eventuelt arkivere den.

Oppdragsgiverens behandling bygger dermed normalt ikke på samtykket arbeidstakeren eventuelt har gitt til arbeidsgiveren. For en offentlig oppdragsgiver kan behandlingen være nødvendig for å gjennomføre en lovregulert offentlig anskaffelse, kontrollere om tilbudt personell oppfyller kravene og dokumentere hvorfor tilbudene har fått den poengsummen de har fått. Avhengig av oppdragsgiver og formål kan det aktuelle grunnlaget følge av en rettslig plikt eller av at behandlingen er nødvendig for en oppgave i allmennhetens interesse eller utøvelse av offentlig myndighet.

Oppdragsgiver må kunne dokumentere evalueringen

Anskaffelsesforskriften § 7-1 pålegger oppdragsgiveren å oppbevare tilstrekkelig dokumentasjon til å begrunne viktige beslutninger i anskaffelsesprosessen. Ved anskaffelser over EØS-terskelverdiene skal dokumentasjonen oppbevares i minst tre år fra kontrakten inngås. Dersom kompetansen i CV-en har påvirket kvalifikasjonsvurderingen eller poengsettingen, kan CV-en eller nødvendige utdrag være en del av dokumentasjonen som forklarer beslutningen.

Dokumentasjonsplikten betyr likevel ikke at enhver opplysning i CV-en skal lagres. Oppdragsgiveren bør allerede i konkurransegrunnlaget begrense hvilke CV-opplysninger som etterspørres. Privat adresse, full fødselsdato, bilde og andre opplysninger som ikke er nødvendige for evalueringen, bør normalt ikke innhentes. Arkiv- og bevaringsregler kan kreve lengre oppbevaring, men oppdragsgiveren må følge reglene om kassasjon, tilgangsstyring og informasjonssikkerhet.

Tilbaketrekking hos arbeidsgiveren stopper ikke oppdragsgiveren automatisk

Når arbeidstakeren trekker et samtykke overfor arbeidsgiveren, faller ikke oppdragsgiverens eget behandlingsgrunnlag automatisk bort. CV-en forsvinner derfor ikke uten videre fra anskaffelsessaken, og oppdragsgiveren trenger normalt ikke å se bort fra en evaluering som allerede er gjennomført, bare fordi samtykket hos leverandøren senere trekkes.

Tilbaketrekkingen kan likevel skape et anskaffelsesrettslig spørsmål: Er den tilbudte personen fortsatt tilgjengelig, og kan leverandøren oppfylle tilbudet? Hvis leverandøren vil fjerne eller erstatte en evaluert nøkkelperson, må oppdragsgiveren vurdere dette etter konkurransegrunnlaget og anskaffelsesreglene om endringer og likebehandling. Personvernreglene avgjør ikke om tilbudet kan endres.

Oppdragsgiver håndterer innsyn og personvernkrav

Etter at tildelingen er meddelt, kan oppdragsgiveren motta krav om innsyn i tilbudene. Det er oppdragsgiveren – ikke leverandøren – som må avgjøre hva som kan utleveres, og som må beskytte taushetsbelagte og unødvendige personopplysninger. En tilbuds-CV bør derfor være utformet med tanke på at anskaffelsesdokumenter kan bli gjenstand for innsynsvurdering.

Fordi oppdragsgiveren vanligvis får CV-en fra leverandøren og ikke direkte fra personen, må oppdragsgiveren også vurdere informasjonsplikten etter GDPR artikkel 14. Arbeidstakeren kan rette krav om innsyn, retting eller sletting direkte til oppdragsgiveren. Oppdragsgiveren må svare ut fra sitt eget behandlingsgrunnlag, dokumentasjonsplikten og de arkivreglene som gjelder. Retten til sletting er derfor ikke absolutt, men heller ikke oppdragsgiverens lagringsrett er ubegrenset.

Personvern og anskaffelsesrett er to spørsmål

At arbeidstakeren motsetter seg videre bruk av CV-en, kan også få anskaffelsesrettslige konsekvenser.

Dersom personen er tilbudt som nøkkelpersonell, kan leverandøren ikke nødvendigvis bare fjerne eller erstatte vedkommende. Det kan innebære en endring av tilbudet, et avvik fra konkurransegrunnlaget eller at leverandøren ikke lenger kan levere kompetansen som er evaluert.

Personvernreglene avgjør om personopplysningene kan behandles. Anskaffelsesreglene avgjør hvilke konsekvenser en endring i det tilbudte personellet får for tilbudet. Vurderingene må holdes fra hverandre.

Den praktiske løsningen

Leverandører som jevnlig bruker ansattes CV-er i konkurranser, bør ikke innhente et nytt samtykke for hvert tilbud dersom virksomheten i realiteten mener at CV-bruken er nødvendig.

En mer ryddig løsning er å fastsette formålene, velge behandlingsgrunnlag for hvert formål, dokumentere interesseavveiingen, informere de ansatte og lage egne tilbuds-CV-er med bare relevante opplysninger.

Virksomheten bør også ha rutiner for protest, retting, sletting og lagring. Samtykke bør bare brukes når arbeidsgiveren faktisk er villig til å respektere et nei.

Les også

Problemstillingen oppstår ofte sammen med spørsmål om hva referanser har sagt om tilbudt personell. Se FOAs analyse: Kan du kreve å få se hva referansen din egentlig sa?

Kilder