Ny vejledning om databeskyttelse i ansættelsesforhold

Det er tilsynets ændrede praksis samt en række tilsynsbesøg og konkrete sager, der har fået Datatilsynet til at revidere deres vejledning om databeskyttelse i ansættelsesforhold. Disse ting er ændret:

Referencer

Under et rekrutteringsforløb kan det være relevant at indhente referencer. Tidligere har Datatilsynet i alle referencesammenhænge anbefalet at indhente et samtykke forud for indhentelse og afgivelse af en reference.

Datatilsynet sondrer nu mellem referencer, der udveksles mundtligt, og oplysninger, der bliver registreret elektronisk. Fremover er udgangspunktet, at det kun er referencer, der bliver registreret elektronisk (eller hvis oplysningerne registreres i et manuelt register) og de referencer, der udveksles elektronisk, som er omfattet af databeskyttelsesreglerne.

Det er nyt, at et samtykke som udgangspunkt ikke kan danne grundlag for at indhente eller videregive referencer. Det skyldes, at et sådant samtykke – i en rekrutterings- og ansættelsesproces – ofte ikke vil leve op til betingelsen om at være afgivet frivilligt, og at det derfor ikke kan anses som gyldigt.

Det rette grundlag for at indhente referenceoplysninger vil derfor kunne findes – efter en konkret vurdering – i interesseafvejningsreglen i databeskyttelsesforordningens artikel 6, stk. 1, litra f (private arbejdsgivere).

Den ændrede praksis betyder, at I skal være opmærksomme på, hvornår I er inde i databeskyttelsesreglerne, og hvornår I er uden for regelsættet. Hvis I er i tvivl om, hvorvidt databeskyttelsesreglerne finder anvendelse, er det Datatilsynets anbefaling, at I bør agere, som om reglerne finder anvendelse.

Brug af medarbejderfotos

Billeder af medarbejdere vil som udgangspunkt ikke kunne offentliggøres uden medarbejderens samtykke. Et samtykke skal, som altid, opfylde de helt almindelige betingelser i databeskyttelsesforordningens artikel 7.

Datatilsynet har dog modificeret deres vejledning, så der i konkrete tilfælde – herunder i forhold til den stilling, medarbejderen har, og de funktioner medarbejderen skal varetage – vil kunne offentliggøres fotos af den pågældende medarbejder med hjemmel i interesseafvejningsreglen (art. 6, stk. 1, litra f).

I forhold til at udarbejde rekrutterings- og markedsføringsvideoer, som ofte er dyre at producere, vil hjemlen også her kunne findes i interesseafvejningsreglen, så længe virksomheden sikrer sig, at medarbejderen er indforstået med, at der offentliggøres videoer af den pågældende samt konsekvenserne ved at deltage.

Straffeattest

Det vil stadig afhænge af en konkret vurdering i den enkelte ansættelsessituation, om det er relevant at indhente en straffeattest. Virksomheden vil derfor ikke være berettiget til at indhente en straffeattest i tilfælde, hvor dette kun sker ”fordi man kan”, og hvor det i realiteten kun sker for at vurdere ansøgerens karakter. Det skal være nødvendigt i den pågældende stilling, at virksomheden kan sikre sig, at ansøgeren ikke er straffet.

En generel politik, hvorefter virksomheden automatisk indhenter straffeattester for ansøgere, som man overvejer at ansætte, vil altså ikke være i overensstemmelse med databeskyttelsesreglerne.

Datatilsynet understreger også i den nye vejledning, at hvis en straffeattest er relevant i ansættelsesforholdet, så har virksomheden adgang til løbende at indhente straffeattester på allerede ansatte medarbejdere, idet de hensyn, som gælder i forbindelse med rekruttering, også gælder under ansættelsen. Dog bør man altid overveje, om der er situationer, hvor det ikke er nødvendigt at indhente en straffeattest, fordi virksomheden allerede kender medarbejderen.

Datatilsynet præciserer også, at en straffeattest uden oplysninger om strafbare forhold kan behandles med hjemmel i interesseafvejningsreglen. Med andre ord kan oplysninger om strafbare forhold behandles, hvis der er hjemmel i databeskyttelseslovens § 8 stk. 3. Hvis straffeattesten derimod ikke indeholder oplysninger om strafbare forhold, er grundlaget interesseafvejningsreglen i artikel 6, stk. 1, litra f (private arbejdsgivere).

Virksomheder kan altid indhente en straffe- eller børneattest, hvis lovgivningen kræver det.

RKI-register

I den nye vejledning skriver Datatilsynet, at en arbejdsgiver ikke må indhente kreditoplysninger om ansøgere fra RKI, medmindre der er tale om ansættelse i en særligt betroet stilling. Her understreger Datatilsynet, at vurderingen af, hvad der er en betroet stilling, dog også beror på arbejdsretlig praksis. Det kan eksempelvis være ledende medarbejdere med økonomiansvar, bogholdere eller lignende.

En række præciseringer

Datatilsynet har herudover præciseret en række afsnit, som blandt andet omfatter:

• At samtykke i et ansættelsesforhold sjældent vil kunne opfylde betingelserne om at være afgivet frivilligt pga. det ulige forhold, der typisk består mellem virksomheden og medarbejderen. Det er dog ikke udelukket, at behandling (af personoplysninger i et ansættelsesforhold) kan finde sted på baggrund af den ansattes samtykke.
• At en påstand om eller en undersøgelse af, om der er begået et strafbart forhold, kan efter omstændighederne være oplysninger om strafbare forhold.
• At private arbejdsgivere vil kunne behandle personnumre med hjemmel i databeskyttelseslovens § 11, stk. 2, nr. 4.
• At virksomheden ved nye formål med behandling af personoplysninger skal oplyse på ny.
• At rækkevidden af videregivelse af lønoplysninger internt, må tage udgangspunkt i den enkelte arbejdsplads, herunder om lønforhandlinger varetages af en fagforening, en tillidsrepræsentant eller eventuelt foregår individuelt.