Kræftens Bekæmpelse

Datatilsynet har afsluttet et planlagt tilsyn med Kræftens Bekæmpelse, som omhandlede behandling af oplysninger om ansøgere, der ikke var blevet tilbudt en stilling, efter endt rekrutteringsforløb. Kræftens Bekæmpelse var blandt de dataansvarlige, som Datatilsynet i efteråret 2019 havde udvalgt at føre tilsyn med efter databeskyttelsesforordningen Datatilsynets tilsyn var et skriftligt tilsyn, som fokuserede på Kræftens Bekæmpelses opbevaring og sletning af personoplysninger om ansøgere – efter endt rekrutteringsforløb – indsamlet i forbindelse med rekruttering til ansættelse, hvor ansøgeren ikke er blevet ansat, jf. databeskyttelsesforordningens artikel 5, stk. 1, litra e (”opbevaringsbegrænsning”), artikel 5, stk. 2 (”ansvarlighed”), artikel 6, artikel 9 og databeskyttelsesloven §§ 8 og 11. Ved brev af 20. august 2019 varslede Datatilsynet tilsynet med Kræftens Bekæmpelse og anmodede i den forbindelse om en udtalelse. Ved brev af 10. september 2019 sendte Kræftens Bekæmpelse en udtalelse til brug for sagen. Efter fornyet høring fra Datatilsynet den 4. november 2019 sendte Kræftens Bekæmpelse en yderligere udtalelse den 25. november 2019, og efter anmodning fra Datatilsynet den 18. maj 2020 sendte Kræftens Bekæmpelse supplerende oplysninger den 19. maj 2020. Med hensyn til Kræftens Bekæmpelses behandling af personoplysninger om ansøgere, der ikke er blevet ansat, til formålene at dokumentere et rekrutteringsforløb og give ansøgere feedback, er det Datatilsynets vurdering, at det er uhensigtsmæssigt, hvis behandlingen af oplysninger til disse formål sker på baggrund af ansøgernes samtykke, hvis organisationen i stedet kan basere behandlingen på andre relevante bestemmelser. Datatilsynet skal på den baggrund henstille, at Kræftens Bekæmpelse i stedet baserer behandlingen på andre bestemmelser, navnlig databeskyttelsesforordningens artikel 6, stk.