Tre nye afgørelser om ret til indsigt i personoplysninger
Datatilsynet har i tre nye afgørelser taget stilling til behandling af anmodninger om indsigt. Sagerne viser blandt andet, hvornår det er i orden at afvise en anmodning om indsigt, hvilke tidsmæssige krav der er, samt at sletning af oplysninger kan være i strid med databeskyttelsesreglerne.
1. Fik først svar efter fem måneder og opfordring fra Datatilsynet
Den første sag handler om en stor dansk televirksomhed, der først besvarede en indsigtsanmodning efter fem måneder. Virksomheden besvarede først indsigtsanmodningen, efter at Datatilsynet var blevet inddraget i sagen. Virksomheden har derfor modtaget kritik for den for lange svartid, herunder også det forhold, at virksomheden først svarede, da Datatilsynet blev inddraget.
Tidsfrister for behandling af en indsigtsanmodning
Afgørelsen fra televirksomheden er en god anledning til at huske på, hvilke regler der gælder i forbindelse med en anmodning om indsigt.
Modtager I en indsigtsanmodning, har I som udgangspunkt en måned til at besvare henvendelsen.
I tilfælde, hvor indsigtsanmodningen er meget omfattende, kan perioden forlænges med yderligere to måneder.
I har dog en forpligtelse til løbende at underrette medarbejderen om behandlingen af indsigtsbegæringen, herunder om det tager længere tid end forventet.
2. Politianmeldt for at slette oplysninger i forbindelse med en indsigtsanmodning
I den anden sag slettede en rekrutteringsvirksomhed personoplysninger om en person, der var registreret hos virksomheden, efter den pågældende havde anmodet om indsigt i vedkommendes egne personoplysninger, og inden virksomheden havde svaret på anmodningen.
Virksomheden slettede den registreredes personoplysninger efter at have afvist indsigtsanmodningen, hvilket er i strid med GDPR-lovgivningen. Datatilsynet har anmeldt sagen til politiet, og rekrutteringsvirksomheden er indstillet til en bøde på 50.000 kr. for overtrædelse af databeskyttelsesreglerne, herunder overtrædelse af de registrerede rettigheder.
Sletning af personoplysninger
Generelt er det vigtigt, at I fastsætter en slettefrist for de personoplysninger, som I behandler i forbindelse med ansættelsesforholdet – også i rekrutteringsforløbet.
Udgangspunktet er, at I kan opbevare personoplysninger, der er indhentet i forbindelse med en rekrutteringsproces, i op til seks måneder, efter at rekrutteringsprocessen er afsluttet. I løbende ansættelsesforhold kan I som udgangspunkt fastsætte en slettefrist på fem år plus løbende regnskabsår.
Løbende sletning kan være en måde at håndtere slettefrister på, men hvis en sletning har (nær) tidsmæssig sammenhæng med en indsigtsanmodning, kan det give anledning til en mistanke om omgåelse af reglerne om indsigtsret, som det skete i den nævnte sag.
Det er altså ikke sagligt at afvise en indsigtsanmodning med henvisning til, at I har slettet personoplysninger om den pågældende i perioden mellem modtagelsen af indsigtsanmodning og det tidspunkt, hvor virksomheden skal svare på indsigtsanmodningen.
Da indsigtsretten er en af de grundlæggende rettigheder i databeskyttelsesreglerne, ser Datatilsynet med stor alvor på overtrædelse af reglerne, hvilket har medført en anmeldelse af forholdet til politiet. Herefter tager politiet stilling til, om de vil rejse tiltale mod virksomhed med henblik på at få idømt en bøde for overtrædelsen.
3. Kriminalforsorgen afviste anmodning, som skulle være delvist imødekommet
Den tredje sag handlede om en fængselsbetjent, som fik afvist sin anmodning om indsigt i dokumenter, der kunne bekræfte hans deltagelse i en række voldsomme episoder i forbindelse med udførslen af arbejdet som fængselsbetjent. Kriminalforsorgens begrundelse for at afvise anmodningen var, at sagsdokumenterne af tekniske årsager ikke kunne søges ud.
Fængselsbetjenten klagede til Datatilsynet, og Kriminalforsorgen fik med hjælp fra deres systemleverandør alligevel fremskaffet en del af sagerne.
Datatilsynet anerkender, at det ville kræve unødigt mange ressourcer at finde den sidste del af sagerne frem (i den konkrete sag en søgning i mellem otte og ti millioner dokumenter), men kritiserer Kriminalforsorgen for ikke at fremskaffe den første del af sagerne, inden Datatilsynet blev involveret.
Det kan være i orden at afvise en indsigtsanmodning
Sagen viser, at en indsigtsanmodning kan afvises med henvisning til databeskyttelsesforordningens artikel 12, stk. 5. i tilfælde, hvor det drejer sig om oplysninger om en medarbejders funktion på arbejdspladsen, og hvor det vil kræve uforholdsmæssigt store anstrengelser at fremskaffe oplysningerne.
Databeskyttelsesforordningens artikel 12, stk. 5, kan genfindes i dansk ret i retshåndhævelseslovens § 19. Det fremgår af bestemmelsen, at en indsigtsanmodning kan afvises i det omfang, den er åbenbar grundløs eller overdreven. Sagen er således med til at give svar på, i hvilke tilfælde bestemmelsen kan anvendes.
For virksomheder betyder det, at indsigtsanmodninger, der primært retter sig mod oplysninger om opgaver, som en medarbejder har udført, og som ikke vedrører præstationer eller andre forhold, der kan påvirke ansættelsesforholdet, så er det ikke personoplysninger, som medarbejderen kan kræve at få udleveret oplysninger om i forbindelse med en indsigtsanmodning.
DI var ikke involveret i sagerne.
Du kan læse mere om afgørelserne på:https://www.datatilsynet.dk/afgoerelser
Kontakt DI for rådgivning, hvis en af jeres nuværende eller tidligere medarbejdere anmoder om indsigt i persondata.
