GDPR och rekryteringstest: testdata som en fråga om process
Uppdaterad 26 juli 2026 · sex frågor att svara på före utskicket
Kort svar
Ett testresultat är en personuppgift som ni ansvarar för, och kraven följer samma principer som för resten av rekryteringen. Ange ändamålet innan momentet läggs in, begränsa er till de uppgifter tillsättningen av just den tjänsten kräver och skriv ned vilken rättslig grund behandlingen vilar på. Bestäm sedan vilka som får se resultatet, vad kandidaten får veta och när uppgifterna raderas.
Frågan brukar dyka upp sent, ofta samma vecka som testet ska skickas ut. Verktyget är upphandlat, kravprofilen är skriven och någon undrar var resultaten egentligen hamnar. Svaret blir enklare om frågorna ställs i den ordning dataskyddsprinciperna faktiskt är byggda: ändamålet först, uppgifterna sedan, och rutinerna sist. Hur principerna faller ut för just er behandling avgör ni med ert dataskyddsombud eller en jurist.
Vilken rättslig grund gäller när ni testar kandidater?
IMY beskriver intresseavvägningen som den normala grunden vid rekrytering, medan myndigheter i stället prövar behandlingen mot ett allmänt intresse. Bakom den korta formuleringen ligger en bedömning ni ska kunna redogöra för: hur avvägningen faller ut beror bland annat på vilken typ av personuppgifter det gäller, vilket ändamål behandlingen har och vad den enskilda rimligen kan förvänta sig.
Just förväntansfrågan är den mest användbara i praktiken. En sökande till en analytiskt tung tjänst räknar med ett kapacitetstest någonstans i processen. Samma person räknar däremot inte med att resultatet läggs i en databas och tas fram vid en helt annan rekrytering två år senare, och skillnaden mellan de två fallen är precis den som avvägningen ska fånga.
Två följder är värda att skriva in i rutinen. Bedömningen behöver dokumenteras, eftersom ansvarsskyldigheten innebär att arbetsgivaren ska kunna visa att reglerna följs. Och den som får sina uppgifter behandlade med stöd av en intresseavvägning har rätt att invända, en rättighet som det ska informeras om senast när uppgifterna samlas in.
Vilka uppgifter behöver ni egentligen samla in?
Färre än verktyget erbjuder. Uppgiftsminimering innebär enligt IMY att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålet, och myndigheten pekar särskilt ut det som samlas in för att det kan vara bra att ha längre fram. Ett brett profilverktyg som levererar tjugo skalor när ni ska bedöma två krav hamnar snabbt i den kategorin.
IMY lyfter också en fråga som sällan ställs i rekryteringssammanhang: behöver behandlingen alls ske på individnivå, eller räcker det att uppgifterna hanteras så att enskilda inte kan identifieras? För själva urvalet är svaret förstås individnivå. För uppföljningen av hur era urvalsmetoder fungerar är svaret ofta nej, och där finns en enkel förbättring att göra.
Vilka datapunkter som är motiverade avgörs av vad ni ska bedöma, vilket är ännu ett skäl att skriva kravprofilen först. Vilka krav som ska bedömas landar ni i när ni gör kravprofilen för tjänsten, och vad varje metod kan svara på står i guiden om att välja rekryteringstest.
Vilka frågor behöver besvaras innan testet läggs in?
Sex stycken, och svaren ryms på en sida. Tabellen kopplar varje fråga till principen bakom och visar hur ett svar som går att använda kan se ut.
| Frågan | Principen bakom | Ett svar som går att använda |
|---|---|---|
| Vad ska testet användas till? | Ändamålsbegränsning. Ändamålet ska vara särskilt och uttryckligt angivet, och bestämt redan när behandlingen påbörjas | ”Bedöma kravet på inlärningstakt vid tillsättningen av tjänsten som systemförvaltare, annons 2026-114” |
| Vilka uppgifter behöver vi? | Uppgiftsminimering. Adekvata, relevanta och inte för omfattande i förhållande till ändamålet | ”Totalresultat och de två deltest som svarar mot kraven. Inga fritextkommentarer om personen” |
| Vad vilar behandlingen på? | Rättslig grund. Normalt intresseavvägning, eller allmänt intresse hos myndigheter | ”Intresseavvägning, med bedömningen nedskriven och daterad av den som ansvarar för rekryteringen” |
| Vem får se resultatet? | Integritet och konfidentialitet. Bara de som behöver uppgifterna i sitt arbete ska ha tillgång till dem | ”Rekryteraren och den anställande chefen. Behörigheten tas bort när tjänsten är tillsatt” |
| Vad får kandidaten veta? | Öppenhet. Den registrerade ska veta att uppgifter samlas in, varför det sker och hur de används | ”Ett stycke i inbjudan om ändamålet, vilka roller hos oss som ser resultatet och när det raderas” |
| När försvinner uppgifterna? | Lagringsminimering. Fastställda lagringstider och rutiner för gallring | ”Radering vid ett bestämt datum efter avslutad rekrytering, med en återkommande genomgång som fångar det som blivit kvar” |
Sex svar av det slaget gör mer nytta än en lång policytext, av ett enkelt skäl: de går att följa. En rutin som säger att uppgifter raderas ”när de inte längre behövs” lämnar ingen med ansvaret, medan ett datum och en återkommande genomgång faktiskt leder till att någon rensar.
Vad ska kandidaten få veta om testdata?
Att uppgifter samlas in, varför de samlas in och hur de sedan används. IMY är tydlig med att informationen ska vara lätt att förstå, och det är ett innehållskrav lika mycket som ett språkkrav. Ett stycke i inbjudan till testet räcker långt och är dessutom lättare att skriva än ett tillägg i en generell integritetspolicy som ingen läser.
Fyra uppgifter hör hemma i det stycket: vad testet ska belysa i den här tjänsten, vilka roller hos er som får se resultatet, om leverantören behandlar uppgifterna för er räkning och när resultatet raderas. Är något av svaren oklart för den som skriver texten är det oftast själva behandlingen som behöver redas ut, inte formuleringen.
Vad kandidaten i övrigt bör veta före testmomentet finns i guiden om kandidatupplevelsen vid testning, och hur ni ger besked efteråt i guiden om återkoppling på testresultat.
Vem hos er, och hos leverantören, får se resultaten?
Kretsen ska vara liten och ansvaret utrett. IMY:s utgångspunkt är att bara de som behöver uppgifterna för att utföra sitt arbete ska ha tillgång till dem, vilket i en rekrytering normalt betyder de som faktiskt deltar i bedömningen. Behörigheten behöver dessutom tas bort när tjänsten är tillsatt, annars växer kretsen tyst för varje rekrytering.
Sedan kommer frågan om vem som är personuppgiftsansvarig. IMY framhåller att ansvaret behöver utredas när kompetensdatabaser används i koncerner och andra större organisationer, eller när ett rekryteringsföretag anlitas, och att avgörande är vem som bestämmer ändamålen och medlen med behandlingen: vilka uppgifter som ska behandlas, vad de ska användas till och när de ska raderas.
Arbetsförmedlingen visar hur kedjan kan se ut i praktiken när myndigheten redovisar vilka som får kandidaternas uppgifter under en rekrytering: leverantören av rekryteringssystemet, leverantören av testverktyget och leverantören av referenstagningsverktyget. Ingen av dem har rätt att föra uppgifterna vidare. Det är en lista de flesta arbetsgivare kan skriva för sin egen process, och de flesta upptäcker samtidigt att den är längre än de trodde.
Får ni använda resultatet i nästa rekrytering?
Inte utan vidare. Uppgifter som samlats in för ett bestämt ändamål får inte behandlas för andra syften som är oförenliga med det ursprungliga, det som kallas finalitetsprincipen. Ett testresultat som hämtades in för att avgöra vem som passade för en viss tjänst har därmed gjort sitt när tjänsten är tillsatt.
Vill ni behålla resultatet för kommande rekryteringar krävs enligt IMY att den sökande samtycker till det. Det är alltså vid fortsatt lagring inför framtida rekryteringar som IMY pekar på samtycket, medan myndigheten samtidigt framhåller att samtycke sällan är en lämplig grund i själva urvalet. Fråga vid rätt tillfälle, spara svaret och gör det enkelt att ändra sig.
En besläktad fråga är om behandlingen kräver en konsekvensbedömning innan den påbörjas. IMY nämner rekryteringsföretag som inrättar kandidat- eller kompetensdatabaser samt verksamheter som utför bakgrundskontroller inför rekryteringar som exempel på behandlingar där en sådan bedömning behövs. Bygger ni en egen kandidatdatabas är det alltså en fråga att ta upp innan verktyget är på plats. IMY samlar sin vägledning för verksamheter på IMY:s sidor om dataskydd.
Vanliga frågor om dataskydd och testresultat
Vilken rättslig grund brukar gälla när en arbetsgivare testar kandidater?
IMY pekar ut intresseavvägningen som den normala grunden vid rekrytering, medan myndigheter prövar behandlingen mot ett allmänt intresse. Hur avvägningen faller ut beror bland annat på vilken typ av uppgifter som behandlas, för vilket ändamål det sker och vad den enskilda rimligen kan förvänta sig. Arbetsgivaren ska kunna redogöra för sin bedömning, vilket i praktiken betyder att den bör skrivas ned.
Måste vi bestämma en lagringstid för testresultat i förväg?
IMY beskriver lagringsminimering som att uppgifter bara får sparas så länge de behövs för ändamålet, och myndigheten anger att arbetsgivaren behöver ha fastställt hur länge olika uppgifter får sparas samt ha rutiner för gallring, exempelvis återkommande genomgångar eller radering efter en viss tid. En bestämd tid är alltså inte bara praktiskt, utan själva sättet att visa att kravet uppfylls.
Behöver vi ett avtal med testleverantören om personuppgifterna?
Utgå från vem som bestämmer ändamål och medel med behandlingen. IMY framhåller att personuppgiftsansvaret behöver utredas när kompetensdatabaser används i koncerner och större organisationer, eller när ett rekryteringsföretag anlitas, och att det är den personuppgiftsansvariga som ska se till att reglerna följs. Reder ni ut rollerna först blir det tydligt vilka avtal och instruktioner som behövs.
Räcker det att kandidaten samtycker till testet?
Samtycke är sällan den grund behandlingen ska vila på. IMY hänvisar till Europeiska dataskyddsstyrelsens riktlinjer, där det bedöms osannolikt att ett samtycke i en anställningsrelation lämnas frivilligt, och myndighetens hållning är att stödet i regel bör hämtas i något annat än samtycket. Myndigheten öppnar ändå för att det kan vara lämpligt att tillfråga den sökande innan behandlingen inleds, till exempel före ett personlighetstest, och den enskildas egen inställning kan vägas in.
Dataskyddet blir sällan svårt för att reglerna är krångliga. Det blir svårt när testet kopplas in innan någon bestämt vad resultatet ska användas till, och då är alla följdfrågor omöjliga att besvara. Den närliggande risken att processen blir ojämn mellan sökande behandlas i guiden om diskrimineringsrisker vid rekryteringstest, och fler guider finns i arbetsgivarguiden.