En konsulent trekker samtykket etter at CV-en er sendt til oppdragsgiver. Det betyr ikke nødvendigvis at arbeidsgiveren må slette CV-en, eller at den forsvinner fra konkurransen.
Spørsmålet oppstår når en konsulent først har akseptert at arbeidsgiveren bruker CV-en i et tilbud, men senere ombestemmer seg. For å finne svaret må vi skille mellom arbeidsgiverens bruk av CV-en og oppdragsgiverens behandling av den mottatte dokumentasjonen.
En CV er personopplysninger
Navn, utdanning, arbeidserfaring og tidligere prosjekter er personopplysninger. Å samle inn, lagre, redigere, sende og evaluere CV-en er forskjellige former for «behandling» etter GDPR.
Hver behandling må ha et rettslig grunnlag. Samtykke er bare ett av flere mulige grunnlag. Arbeidsavtale, rettslig plikt, offentlig myndighetsutøvelse og berettigede interesser kan også være aktuelle.
At konsulenten har sendt CV-en til arbeidsgiveren, betyr derfor ikke automatisk at behandlingen bygger på samtykke.
Samtykke er ofte et dårlig utgangspunkt
Et gyldig samtykke må være frivillig. Det er krevende i et arbeidsforhold, fordi arbeidstakeren kan oppleve at det forventes et ja.
Hvis arbeidsgiveren uansett vil bruke CV-en, bør den heller ikke be om samtykke. Arbeidsgiveren må da vurdere om bruken for eksempel kan bygge på en berettiget interesse etter GDPR artikkel 6 nr. 1 bokstav f.
For en konsulentvirksomhet kan det være en legitim interesse å dokumentere kompetansen som tilbys. Men behandlingen må være nødvendig, og arbeidsgiverens interesse må veie tyngre enn personvernulempene.
CV-en bør dessuten begrenses til det oppdragsgiver faktisk trenger. Privat adresse, fødselsdato, bilde og andre irrelevante opplysninger hører normalt ikke hjemme i en tilbuds-CV.
Hvis samtykke faktisk er brukt
Har arbeidsgiveren valgt samtykke som grunnlag, kan konsulenten trekke det tilbake. Tilbaketrekkingen virker fremover. Den gjør ikke tidligere lovlig behandling ulovlig i ettertid.
Arbeidsgiveren kan ikke uten videre fortsette nøyaktig den samme behandlingen til samme formål og bare kalle grunnlaget «berettiget interesse». Da ville retten til å trekke samtykket bli uten reelt innhold.
Det betyr ikke at CV-en alltid må slettes overalt. Den kan være behandlet til flere formål, men hvert formål må ha sitt eget grunnlag.
At tilbudet allerede er levert, er ikke i seg selv et grunnlag for å beholde CV-en. En privat leverandør kan etter en konkret interesseavveiing ha behov for å oppbevare nødvendige opplysninger mens konkurransen behandles, for å følge opp en vunnet kontrakt eller for å håndtere en konkret eller rimelig forventet klage eller tvist. Behovet må være reelt og aktuelt; en rent hypotetisk fremtidig tvist er ikke nok.
Når konkurransen er endelig avsluttet og det ikke lenger finnes et dokumentert behov, skal CV-en normalt slettes fra leverandørens tilbudsarkiv eller anonymiseres. Bare de opplysningene som er nødvendige, kan oppbevares, og ikke lenger enn formålet krever.
En senere konkurranse er en ny utlevering som må vurderes på nytt. Arbeidsgiveren må da kunne vise at det er tale om en reell ny behandling og ikke en omgåelse av det tilbaketrukne samtykket.
Når CV-en kommer til oppdragsgiveren
Etter mottak bestemmer oppdragsgiveren selv hvordan CV-en skal brukes i konkurransen. Leverandøren og oppdragsgiveren er derfor normalt selvstendige behandlingsansvarlige. Oppdragsgiverens behandling bygger normalt ikke på samtykket konsulenten eventuelt har gitt til arbeidsgiveren.
Oppdragsgiveren trenger CV-en for å kontrollere krav og evaluere tilbudt personell. Behandlingsgrunnlaget kan, avhengig av oppdragsgiver og formål, være en rettslig plikt eller at behandlingen er nødvendig for en oppgave i allmennhetens interesse eller utøvelse av offentlig myndighet.
Anskaffelsesforskriften § 7-1 krever at oppdragsgiveren oppbevarer tilstrekkelig dokumentasjon til å begrunne viktige beslutninger. Over EØS-terskelverdiene er minimumsfristen tre år fra kontrakten inngås. Har opplysninger i CV-en påvirket kvalifikasjonsvurderingen eller poengsettingen, kan CV-en eller nødvendige utdrag være en del av denne dokumentasjonen.
Dette er ikke en tillatelse til å samle inn eller lagre alt. Oppdragsgiveren bør be om en tilpasset tilbuds-CV og unngå privat adresse, full fødselsdato, bilde og andre opplysninger som ikke trengs for evalueringen. Arkivregler kan kreve lengre bevaring, men tilgangen skal begrenses og kassasjonsreglene skal følges.
Hva betyr tilbaketrekkingen for konkurransen?
Tilbaketrekking av samtykket hos leverandøren stanser ikke automatisk oppdragsgiverens behandling. Oppdragsgiveren kan fortsatt ha plikt og grunnlag for å dokumentere hva som ble tilbudt og hvordan evalueringen ble gjennomført.
Men oppdragsgiveren må avklare om konsulenten fortsatt er tilgjengelig. Hvis leverandøren vil fjerne eller erstatte en person som er evaluert som nøkkelpersonell, kan det innebære en endring av tilbudet. Dette må vurderes etter konkurransegrunnlaget og anskaffelsesreglene om likebehandling.
Oppdragsgiver må også håndtere innsyn
Etter meddelelse om tildeling kan tilbud bli gjenstand for innsynskrav. Oppdragsgiveren må selv vurdere hvilke deler av CV-en som kan utleveres, og beskytte taushetsbelagte og unødvendige personopplysninger. Konsulenten kan samtidig rette krav om innsyn, retting eller sletting direkte til oppdragsgiveren, som må svare ut fra sitt eget behandlingsgrunnlag og sine dokumentasjons- og arkivplikter.
Personvernreglene avgjør om opplysningene kan behandles. Anskaffelsesreglene avgjør hvilke konsekvenser en endring av det tilbudte personellet får for konkurransen. Oppdragsgiveren må håndtere begge spørsmålene, men holde vurderingene fra hverandre.
Den grundige vurderingen
Denne artikkelen trekker opp hovedlinjene. Den fullstendige analysen – med forklaring av behandlingsgrunnlag, bytte av grunnlag, protestrett og forholdet mellom arbeidsgiveren og oppdragsgiveren – finnes hos Robert Myhre:
Les hele analysen: Kan arbeidsgiver bruke CV-en etter at samtykket er trukket? →
Kilder
- GDPR artikkel 6
- GDPR artikkel 7
- GDPR artikkel 14
- Anskaffelsesforskriften § 7-1
- Anskaffelser.no om innsynsrett og taushetsplikt
- GDPR artikkel 21
- Datatilsynet om personalmapper
- Datatilsynet om berettigede interesser
- Personvernrådets retningslinjer om samtykke