Alle kunne se optagelserne fra videoovervågning
Selv om en virksomhed havde opfyldt alle krav om opsætning af og information til medarbejderne i forbindelse med videoovervågning, modtog de alligevel alvorlig kritik fra datatilsynet, fordi optagelserne fra overvågningen var tilgængelige for alle medarbejderne i virksomheden på en fælles computer.
Videoovervågning opfyldte persondataregler
Når en virksomhed vil iværksætte videoovervågning af medarbejdere, er der en række krav, der skal være opfyldt.
Der skal være en saglig grund til overvågningen, som ikke må være mere omfattende end nødvendigt.
Desuden skal virksomheden informere medarbejderne om overvågningen, formålet hermed, og hvor længe optagelserne opbevares.
Hvis overvågningen også bruges til kontrol af medarbejderne, skal de også være informeret om denne brug.
Datatilsynet fandt i denne sag, at virksomheden havde opfyldt kravene, så der var ingen kritik af selve videoovervågningen.
Legitim interesse i at iværksætte videoovervågning
Hjemlen til videoovervågning kan findes i databeskyttelseslovens § 12, stk. 1, hvis behandlingen sker som led i en kontrolforanstaltning i henhold til en kollektiv aftale om kontrolforanstaltning.
Hvis der ikke er hjemmel i en kollektiv aftale, så findes hjemlen til behandlingen i enten databeskyttelsesforordningens artikel 6, stk. 1, litra e (offentlig myndighedsudøvelse), eller artikel 6, stk. 1, litra f (interesseafvejningsreglen).
I den konkrete sag havde virksomheden brugt interesseafvejningsreglen. Virksomheden oplyste, at de havde en legitim interesse i at iværksætte videoovervågning for at forebygge og opklare kriminalitet, af sikkerheds- og forsikringsmæssige årsager, samt for at kunne gøre retskrav gældende i forbindelse med ansættelsesforhold.
Der var endvidere opsat skilte om videoovervågning, og medarbejderne var oplyst herom i ansættelseskontrakten.
Derudover stod det beskrevet i persondatapolitikken for medarbejdere og i virksomhedens politik om videoovervågning, som blev udleveret til medarbejderne ved ansættelse.
Virksomheden havde også en slettepolitik, hvorefter videooptagelserne blev slettet efter 21 dage.
Oplysninger om medarbejdere på en fælles computer
Datatilsynet udtalte dog kritik af virksomhedens opbevaring af medarbejderoplysninger på en fælles computer.
Virksomheden opbevarede blandt andet lægeerklæringer og opsigelser på en fælles computer, som alle medarbejdere havde adgang til.
Virksomheden beklagede, at oplysningerne som følge af en ledelsesfejl var blevet gemt på et forkert drev.
Datatilsynet lagde vægt på, at brugen af den fælles computer medførte videregivelse af lægeerklæringer, opsigelser, kontrakter og skriftlige advarsler samt videoovervågningsbilleder mellem medarbejderne.
Denne videregivelse var ikke i overensstemmelse med databeskyttelsesforordningens artikel 32, stk. 1 om behandlingssikkerhed.
Det følger af artikel 32, at der skal sikres et passende sikkerhedsniveau til at begrænse identificerede risici.
Efterfølgende tildelte virksomheden personlige computere med personligt login til både computeren og de enkelte systemer til de relevante ledere.
Derudover sikrede virksomheden sig mere uddannelse af medarbejderne.
DI var ikke involveret i sagen.
Nyheden er skrevet på grundlag af Datatilsynets afgørelse af 8. august 2022 i sag med journalnummer 2020-431-0115: Tv-overvågning af medarbejdere levede op til GDPR (datatilsynet.dk)
Læs om DI DOCS - Skabelon til varsling af kontrolforanstaltninger - DI (danskindustri.dk) og Kontrolforanstaltninger - DI (danskindustri.dk)
DI's råd
DI anbefaler, at I kun opbevarer personoplysninger om medarbejdere, hvor der er et sagligt formål, f.eks. lønsedler, timesedler, advarsler, lægeerklæringer mv. Dette gælder både for ansatte og fratrådte medarbejdere.
DI anbefaler derfor, at I sørger for at fastsætte en generel slettefrist og dokumenterer baggrunden for de frister, som I har valgt.
Kontakt DI, hvis I har konkrete spørgsmål til videoovervågning eller opbevaring af personoplysninger.
Læs generelt mere om persondata i HR her.