Referansesjekk innebærer behandling av personopplysninger om både kandidaten og referansen. Dette betyr at GDPR og personopplysningsloven gjelder fullt ut. Her er hva du må gjøre for å være på rett side av loven i Norge i 2026.
Hva er lovlig grunnlag?
For å behandle personopplysninger må du ha et lovlig grunnlag etter GDPR artikkel 6. For referansesjekk er de mest relevante:
- Samtykke (art. 6(1)(a)) — kandidaten samtykker eksplisitt.
- Berettiget interesse (art. 6(1)(f)) — du har en saklig interesse i å verifisere kandidatens egnethet, og kandidaten kan rimelig forvente det.
Datatilsynet anbefaler samtykke som hovedregel ved referansesjekk fordi det er tydeligst og enklest å dokumentere.
Samtykke fra kandidat og referanse
Kandidaten må samtykke til at du kontakter spesifikke navngitte referanser. Et generelt «vi kan kontakte referanser» er ikke nok. Samtykket må være:
- Frivillig — kandidaten kan ikke straffes for å trekke det.
- Informert — det skal være tydelig hva, hvorfor, hvor lenge og av hvem.
- Spesifikt — gjelder denne stillingen og disse referansene.
- Dokumentert — skriftlig er sterkt anbefalt.
Referansen må også informeres når de kontaktes — de har samme rettigheter som kandidaten under GDPR.
Informasjonsplikten (art. 13/14)
Både kandidat og referanse skal få vite:
- Hvem som er behandlingsansvarlig (din bedrift).
- Formål med behandlingen.
- Lovlig grunnlag.
- Hvor lenge dataene lagres.
- Sine rettigheter (innsyn, retting, sletting, klage til Datatilsynet).
- Om data overføres til tredjepart eller utenfor EØS.
Lagring og oppbevaring
Hovedregelen er at personopplysninger ikke skal lagres lenger enn nødvendig. Praktiske føringer:
- Ansatt kandidat: Referansene kan inngå i personalmappen så lenge ansettelsen varer + rimelig periode etterpå.
- Ikke-ansatt: Slett senest 6-12 måneder etter avsluttet rekruttering, med mindre kandidaten samtykker til lengre lagring (talent pool).
- Dataene må lagres sikkert — kryptert og med tilgangskontroll.
Den registrertes rettigheter
Både kandidat og referanse har rett til:
- Innsyn i hva som er lagret om dem.
- Retting av feilaktige opplysninger.
- Sletting (med visse unntak).
- Begrensning av behandling.
- Klage til Datatilsynet.
Du må kunne svare på slike henvendelser innen 30 dager. Det forutsetter at du har systematisk oversikt over hva som ligger lagret.
Sletting og dataminimering
Samle bare det du faktisk trenger. Hvis stillingen ikke krever vurdering av lederegenskaper, ikke spør om det. Etter oppbevaringsperioden må data slettesaktivt — ikke bare flyttes til et arkiv.
Slik gjør verktøy som Referansio det enklere
En av de største GDPR-utfordringene med manuell referansesjekk er dokumentasjonssporet — hvem samtykket til hva, og når? Et digitalt verktøy gir deg automatisk:
- Tidsstemplet samtykke fra kandidat og referanse.
- Kryptert lagring av database og e-post i EU (Frankfurt). AI-stemmesamtaler behandles via underleverandør i USA under SCC — alltid opplyst på forhånd.
- Innebygget sletteperiode med automatisk anonymisering etter 12 måneders inaktivitet.
- Databehandleravtale (DPA) tilgjengelig på forespørsel (referansio@webviking.no).
- Logg over hvem som har sett hvilke data.
Les mer om vår sikkerhet, DPA og personvernerklæring.
