Referencer fra bureaukunder: sådan indhenter du dem lovligt

Hvorfor lovlig indhentning af referencer starter med samtykke

En reference er personoplysninger. Når et bureau indhenter en reference fra en bureaukunde, behandler bureauet oplysninger om den person, referencen handler om, og samtidig oplysninger om den medarbejder hos kunden, som afgiver udtalelsen. Derfor peger Datatilsynet på samtykke: Datatilsynet har tidligere anbefalet at indhente samtykke forud for alle tilfælde, hvor en reference indhentes eller afgives. Anbefalingen gælder også, når kilden er bureauets egen kunde, og kontakten føles som en helt almindelig intern aftale.

Rækkefølgen er en del af anbefalingen. Hvis du først spørger bureaukunden, om "X var en god medarbejder", og bagefter om lov til at bruge svaret, er referencen allerede indhentet – uden forudgående samtykke og uden at anbefalingen er fulgt. Et "ja, det er fint" uden beskrivelse af, hvad der spørges om, eller hvad oplysningerne skal bruges til, er i praksis svært at dokumentere som samtykke. Beskrivelsen bør derfor følge med, allerede når du spørger.

Dokumentation er den praktiske konsekvens. Du bør kunne vise, hvornår og til hvad samtykket blev givet, og hvem der gav det. Uden et dokumenteret samtykke står bureauet uden svar, hvis den registrerede eller kunden senere spørger, hvad referencen hvilede på.

Datatilsynets anbefaling: samtykke før du spørger

For et bureau betyder anbefalingen også, at rutinen ikke kun dækker de referencer, bureauet selv indhenter hos en bureaukunde. Den dækker også de situationer, hvor bureauet afgiver en reference om en person, der tidligere har været formidlet til en kunde – for eksempel når en ny arbejdsgiver ringer og spørger.

At kilden er en kunde, ændrer ikke anbefalingen. Bureaukunden er ikke "bare" en forretningsforbindelse, når den udtaler sig om en person; den afgiver personoplysninger om en identificerbar medarbejder eller tidligere medarbejder. Kunden bør kunne se, at bureauet har spurgt om lov, inden referencen indhentes.

Datatilsynets anbefaling er ikke ny, men stadig relevant i praksis. Rådgivningsvirksomheden Cedra skrev 19. januar 2025, at virksomheder fortsat har udfordringer med at efterleve databeskyttelsesreglerne efter Datatilsynets reviderede vejledning fra 2023.

Sådan sikrer du samtykket, før referencen indhentes

Afgræns referencen, før du beder om samtykke. "En reference" er for bredt til at beskrive, hvad der samtykkes til. Skriv konkret, hvilke emner du vil spørge ind til – for eksempel ansættelsesperiode, opgaver og samarbejde – hvem hos bureaukunden du vil kontakte, hvordan oplysningerne skal bruges, og hvem der skal se dem. En kort beskrivelse gør det muligt for personen at sige ja til noget bestemt og nej til resten.

Indhent samtykket skriftligt. Det er lettere at dokumentere end et mundtligt ja i telefonen. En mail fra den person, referencen handler om, hvoraf det fremgår, hvad der samtykkes til, er et oplagt format. Læg samtykket i samme sag som referencen. Har bureauet et kandidat- eller CRM-system, er det det naturlige sted at registrere både samtykkets indhold og tidspunktet, det blev givet.

Afklar rollerne med bureaukunden, inden I begynder at udveksle oplysninger. Bliv enige om, hvem der stiller spørgsmålene, hvad der må skrives ned, hvor referencen opbevares, og hvem der kan trække den frem igen. Hvis kunden skal indsamle eller opbevare referencer på bureauets vegne, bør I samtidig tage stilling til, om der skal en databehandleraftale på plads, og hvordan oplysningerne slettes igen.