Rekrytering och GDPR: så slipper du drunkna i kalkylark

Rekrytering är en av de få processer där ett svenskt småföretag hanterar känsliga personuppgifter om människor som varken är anställda, kunder eller bundna av något avtal med företaget. Varje CV, varje personligt brev, varje anteckning från en intervju är en personuppgift enligt GDPR. Ändå lever hela rekryteringsprocessen i många småföretag fortfarande i en delad inkorg, ett kalkylark och en mapp med PDF-filer som ingen någonsin städar upp.

Det är i glappet mellan vad lagen kräver och hur rekrytering faktiskt går till som risken finns. Här är vad som spelar roll, och hur ett genomtänkt rekryteringsflöde täpper till glappet.

Vad lagen faktiskt kräver av rekryteringsdata

GDPR kräver att personuppgifter samlas in för ett tydligt syfte, sparas inte längre än nödvändigt, och skyddas mot obehörig åtkomst. För just rekrytering betyder det:

Samtycke och transparens — kandidater bör veta vad som händer med deras ansökan och kunna bekräfta att det verkligen var de som sökte.
Dataminimering och gallringstider — CV och personliga brev från avvisade kandidater kan inte ligga kvar i en inkorg på obestämd tid "för säkerhets skull".
Ansvarsskyldighet — om en avvisad kandidat frågar vilka uppgifter du har och varför, behöver du ett svar, inte en axelryckning.
Rättvisa, förklarbara beslut — om du använder automatisk poängsättning eller rangordning bör du kunna visa hur den fungerar och upptäcka när den går fel, i stället för att tyst behandla ett tekniskt fel som ett avslag.

Inget av detta är märkligt eller nytt. Det är samma logik som gäller för kunddata enligt GDPR i övrigt — den tillämpas bara sällan på rekrytering, eftersom rekrytering känns informellt även när det juridiskt sett inte är det.

Var manuella rekryteringsprocesser skapar risk

En rekrytering som sköts med kalkylark och e-post brukar fallera på förutsägbara sätt:

Ansökningar kommer in från felstavade adresser eller botar, och ingen kan verifiera att e-postadressen faktiskt tillhör en riktig kandidat innan uppgifterna hamnar i flödet.
CV och personliga uppgifter skickas vidare mellan rekryterare och chefer, vilket mångfaldigar antalet ställen där känsliga uppgifter finns lagrade.
Filer från avvisade kandidater raderas eller anonymiseras aldrig — inte av illvilja, utan för att ingen äger den uppgiften.
Två personer som redigerar samma process parallellt skriver över varandras anteckningar, vilket skapar förvirring om vem som fått vilken information.
Om poängsättning eller urval sker informellt finns det ingen dokumentation av varför en kandidat gick vidare eller inte.

Var för sig ser det ut som små effektivitetsförluster. Tillsammans är det exakt det mönster som en granskning av dataskydd eller en kandidats begäran om registerutdrag skulle avslöja.

Hur Flitz rekryteringsmodul är byggd kring regelefterlevnad, inte trots den

Flitz behandlar rekrytering som en reglerad dataprocess från första klicket, inte som något som klistras på en Kanban-tavla i efterhand.

Ansökningar med dubbel bekräftelse

Varje kandidat måste bekräfta sin ansökan via en länk i e-post innan den når flödet eller AI-granskningen. Detta sorterar bort felstavade adresser och botinskick innan uppgifterna ens behandlas — en praktisk tillämpning av dataminimering.

Transparent, ärlig AI-granskning

Bekräftade ansökningar poängsätts automatiskt mot jobbeskrivningen. Om AI-anropet av någon anledning misslyckas flaggas ansökan för manuell granskning — den visas aldrig tyst som en falsk nollpoäng. Det här är avgörande för rättvisa och förklarbarhet: en sökande ska aldrig missgynnas av ett systemfel som ser ut som ett avslag.

Konfliktkontrollerat flöde, en enda sanningskälla

Kanban-flödet går att konfigurera per tjänst, och varje förflyttning kontrolleras mot konflikter, så att två rekryterare inte tyst skriver över varandras arbete. Intervjubokning, CV och AI-poäng finns alla på samma ansökningspost — inga utspridda kopior i inkorgar och kalkylark.

Avslag på ditt sätt

AI-skrivna avslagsmejl kan skickas automatiskt som standard, eller hållas kvar för att en rekryterare ska granska och redigera innan något går ut — konfigurerbart per företag. Oavsett vilket får varje avvisad kandidat ett snabbt, dokumenterat svar i stället för tystnad.

Inbyggd livscykelhantering av data

Detta är den del som flest småföretag helt saknar: avvisade eller tillbakadragna kandidater anonymiseras automatiskt efter sex månader. Anställda kandidaters uppgifter övergår helt enkelt till den vanliga personalhanteringen. Ingen behöver komma ihåg att städa en mapp — gallringsregeln upprätthålls av systemet självt, vilket är precis vad en granskningsbar process ska se ut som.

En offentlig karriärsida utan att sprida data till fler leverantörer

Varje kund får en egen varumärkt karriärsida med lediga tjänster — inklusive valfritt löneintervall, flagga för distansarbete och en stabil referenskod i formatet JOB-XXXXXX som kandidater kan ange när de hör av sig. Det här ersätter verktyg som Teamtailor eller Jobylon utan att exportera kandidatdata till ytterligare en extern leverantör, vilket i sig minskar din dataskyddsyta: färre personuppgiftsbiträden, färre biträdesavtal, färre ställen där något kan gå fel.

Regelefterlevnad som en biprodukt av en bra process

Inget av detta kräver en dataskyddsansvarig eller en juridisk granskning av varje rekrytering. Det kräver ett rekryteringsflöde där samtycke, gallring, rättvisa och spårbarhet är inbyggt i standardvägen — så att det rätta också blir det enklaste. För ett svenskt småföretag som inte har resurser för en egen rekryterings- eller juristavdelning är det den enda typen av regelefterlevnad som faktiskt håller i längden.