Referencer fra bureaukunder: sådan indhenter du dem lovligt

Hvorfor lovlig indhentning af referencer starter med samtykke

En reference er personoplysninger. Når et bureau indhenter en reference fra en bureaukunde, behandler bureauet oplysninger om den person, referencen handler om, og om den medarbejder hos kunden, som afgiver udtalelsen.

Datatilsynet har tidligere anbefalet samtykke forud for alle tilfælde, hvor en reference indhentes eller afgives. Anbefalingen gælder også, når kilden er bureauets egen kunde, og kontakten føles som en helt almindelig intern aftale.

Rækkefølgen er en del af anbefalingen. Spørger du først bureaukunden, om "X var en god medarbejder", og bagefter om lov til at bruge svaret, er referencen allerede indhentet uden forudgående samtykke og uden at anbefalingen er fulgt.

Et "ja, det er fint" uden beskrivelse af, hvad der spørges om, eller hvad oplysningerne skal bruges til, er i praksis svært at dokumentere som samtykke. Beskrivelsen bør derfor følge med, allerede når du spørger.

Dokumentation er den praktiske konsekvens. Du bør kunne vise, hvornår og til hvad samtykket blev givet, og hvem der gav det.

Uden et dokumenteret samtykke står bureauet uden svar, hvis den registrerede eller kunden senere spørger, hvad referencen hvilede på.

Behandling er kun lovlig, hvis mindst ét af forholdene i databeskyttelsesforordningens artikel 6, stk. 1, gør sig gældende. Samtykke er kun et af seks behandlingsgrundlag. Databeskyttelsesforordningen kaldes også GDPR.

Databeskyttelsesloven har særlige regler for blandt andet behandling af CPR-numre. Reglerne gælder sideløbende med databeskyttelsesforordningen.

Et samtykke skal opfylde betingelserne i databeskyttelsesforordningens artikel 7. Et gyldigt samtykke skal være frivilligt og specifikt.

Den registrerede må ikke presses til at give samtykke. Der må som udgangspunkt ikke være unødvendige negative konsekvenser ved at sige nej.

Den registrerede skal have klare oplysninger om behandlingen og behandlingsgrundlaget. Det gælder også, når behandlingen sker i forbindelse med en reference.

Et samtykke kan altid trækkes tilbage. Hvis bureauet har baseret behandlingen på samtykke, skal tilbagetrækningen respekteres.

Datatilsynets anbefaling dækker både indhentelse og afgivelse af en reference. Samtykket skal derfor som udgangspunkt indhentes, før referencen indhentes eller afgives.

Både den person, referencen handler om, og den medarbejder hos bureaukunden, som afgiver udtalelsen, er registrerede. Det er derfor ikke nok kun at betragte bureaukunden som kunde.

Vigtige regler fra Datatilsynet og GDPR om referencer

Datatilsynets anbefaling: samtykke før du spørger

For et bureau betyder anbefalingen også, at rutinen ikke kun dækker referencer, bureauet selv indhenter hos en bureaukunde. Den dækker også de situationer, hvor bureauet afgiver en reference om en person, der tidligere har været formidlet til en kunde – for eksempel når en ny arbejdsgiver ringer og spørger.

At kilden er en kunde, ændrer ikke anbefalingen. Bureaukunden er ikke "bare" en forretningsforbindelse, når den udtaler sig om en person; den afgiver personoplysninger om en identificerbar medarbejder eller tidligere medarbejder.

Kunden bør kunne se, at bureauet har spurgt om lov, inden referencen indhentes.

Datatilsynets anbefaling er ikke ny, men stadig relevant i praksis. Rådgivningsvirksomheden Cedra skrev 19. januar 2025, at virksomheder fortsat har udfordringer med at efterleve databeskyttelsesreglerne efter Datatilsynets reviderede vejledning fra 2023.

Behandlingsgrundlaget skal være et af dem, der står i databeskyttelsesforordningens artikel 6, stk. 1. Anbefalingen om samtykke betyder ikke, at samtykke altid er den eneste hjemmel.

Vælger bureauet samtykke, skal samtykket opfylde artikel 7. Det skal være frivilligt og specifikt.

Den registrerede skal have klare oplysninger om behandlingen og behandlingsgrundlaget. Det gælder også, når kilden er en bureaukunde.

Et samtykke kan altid trækkes tilbage. Hvis bureauet har baseret behandlingen på samtykke, skal tilbagetrækningen respekteres.

Den registrerede har rettigheder efter databeskyttelsesreglerne. Det bør fremgå af den information, bureauet giver.

Sådan sikrer du samtykket, før referencen indhentes

Afgræns referencen, før du beder om samtykke. "En reference" er for bredt til at beskrive, hvad der samtykkes til.

Skriv konkret, hvilke emner du vil spørge ind til – for eksempel ansættelsesperiode, opgaver og samarbejde – hvem hos bureaukunden du vil kontakte, hvordan oplysningerne skal bruges, og hvem der skal se dem.

En kort beskrivelse gør det muligt for personen at sige ja til noget bestemt og nej til resten.

Indhent samtykket skriftligt. Det er lettere at dokumentere end et mundtligt ja i telefonen.

En mail fra den person, referencen handler om, hvoraf det fremgår, hvad der samtykkes til, er et oplagt format. Læg samtykket i samme sag som referencen.

Har bureauet et kandidat- eller CRM-system, er det det naturlige sted at registrere både samtykkets indhold og tidspunktet, det blev givet.

Afklar rollerne med bureaukunden, inden I begynder at udveksle oplysninger. Bliv enige om, hvem der stiller spørgsmålene, hvad der må skrives ned, hvor referencen opbevares, og hvem der kan trække den frem igen.

Hvis kunden skal indsamle eller opbevare referencer på bureauets vegne, bør I samtidig tage stilling til, om der skal en databehandleraftale på plads, og hvordan oplysningerne slettes igen.

Samtykket skal være frivilligt og specifikt. Det må ikke være presset, og der må som udgangspunkt ikke være unødvendige negative konsekvenser ved at sige nej.

Den registrerede skal have klare oplysninger om behandlingen og behandlingsgrundlaget. Beskriv derfor, at grundlaget er samtykke efter artikel 6, stk. 1, og at samtykket kan trækkes tilbage.

En samtykkeerklæring kan være en mail, hvor den registrerede bekræfter emnerne, kontaktpersonen, formålet, modtagerne og at samtykket kan trækkes tilbage. Læg den i samme sag som referencen.

Opbevaringsbegrænsning er et grundprincip i databeskyttelsesreglerne. Aftal derfor, hvordan referencen opbevares og slettes igen.

Den registrerede har rettigheder efter databeskyttelsesreglerne. Et samtykke kan altid trækkes tilbage, og tilbagetrækningen skal respekteres.