Sikkerhedstjek af medarbejdere og forebyggelse af industrispionage

I forhold til varetagelsen af en stilling skal en medarbejder naturligvis gerne være fagligt dygtig, men i visse situationer er det desuden afgørende, at medarbejderen er særlig pålidelig. Virksomheder kan derfor i forbindelse med rekruttering og ansættelse overveje, om et baggrundstjek af kandidaten er relevant for at sikre, at personen virkelig er den, som vedkommende udgiver sig for at være.

Baggrundtjekkets indhold

Politiets Efterretningstjeneste (PET) anbefaler, at arbejdsgivere overvejer følgende elementer i forbindelse med et baggrundstjek:

Faglige forhold

• Bekræft eksistensen af de oplyste uddannelsesinstitutioner og virksomheder.
• Sørg altid for, at ansøgeren er indforstået med, at I kontakter de relevante uddannelsesinstitutioner for at verificere gennemførelsen af de oplyste uddannelser.
• Anmod ansøgeren om referencer for at bekræfte dennes faglige og personlige kvalifikationer.
• Undersøg, om ansøgere har været på uddannelsessteder eller i virksomheder med militær tilknytning til regimer i lande såsom Rusland, Kina og Iran.
• Vær opmærksom på, om ansøgerens forskning eller arbejde involverer kritiske teknologier.
• Bekræft, at eventuelle videnskabelige publikationer virkelig er udgivet, og om medforfatterne kan være problematiske.
• Spørg ind til eventuelle huller i CV’et under samtalen, som ansøgeren ikke har redegjort for.

Personlige forhold

• Undersøg offentlige oplysninger om ansøgeren på internettet og se, om noget kan skabe bekymring for jeres organisation.
• Sammenlign ansøgerens oplysninger fra CV og ansøgningsskema med de offentligt tilgængelige oplysninger.
• Verificer ansøgerens identitet ved at se billedlegitimation.
• Fortæl under jobsamtalen, at arbejdspladsen vægter sikkerhedsadfærd højt og vær opmærksom på ansøgerens svar og reaktion.
• Overvej at inkludere en fortrolighedserklæring i ansættelsesaftalen, når I ansætter nye medarbejdere.

Hvis medarbejderen ikke består baggrundstjekket

Hvis en ansøger ikke består et baggrundstjek i rekrutteringsprocessen, anbefaler DI, at virksomheden ikke indgår et ansættelsesforhold med vedkommende. Et afslag kan begrundes i en samlet vurdering af de konkrete forhold.

I tilfælde af, at en allerede ansat medarbejder ikke består et baggrundstjek, kan der opstå spørgsmål om, hvorvidt virksomheden i den forbindelse vil være berettiget til at hæve ansættelsesforholdet – eventuelt med øjeblikkelig virkning.

Hvis virksomheden ikke berettiget til opsigelsen, kan I risikere at skulle udrede en godtgørelse for eksempelvis usaglig opsigelse.

Det er i denne forbindelse væsentligt, om opfyldelsen af baggrundtjekket reelt udgør en afgørende forudsætning for ansættelsesforholdet. Dette vil bero på en konkret vurdering af blandt andet virksomhedens forhold, medarbejderen og stillingens indhold.

Under og efter ansættelsen

I bør overveje forskellige initiativer for at forebygge sikkerhedsbrud, opretholde passende tekniske og organisatoriske foranstaltninger samt øge dataintegritet og fortrolighed i virksomheden.

En måde at gøre dette på er ved at udnytte prøveperioden til at foretage en tidlig evaluering af medarbejderens præstation og adfærd. Denne evaluering kan hjælpe med at identificere potentielle sikkerhedsrisici tidligt i ansættelsesforløbet.

Derudover er det også vigtigt, at I skærper opmærksomheden på informationssikkerhed og dataintegritet gennem oplæring og træning af medarbejderne. En klar og tydelig personalepolitik vedrørende it- og informationssikkerhed, som alle ansatte skal følge, er blandt andet afgørende for at sikre en fælles forståelse og overholdelse af sikkerhedsprocedurerne.

Det er også nødvendigt aktivt at tage hånd om problematisk adfærd og gennemføre regelmæssig sikkerhedsoplæring for at holde alle medarbejdere opdaterede om de nyeste sikkerhedstrusler og -foranstaltninger.

I øvrigt bør nøje overveje, hvilke informationer hver enkelt medarbejder har behov for i sit arbejde. Etablering af både fysiske og tekniske løsninger, som sikrer adgangsbegrænsninger, kan forhindre, at uautoriserede medarbejdere får adgang til følsomme oplysninger. Dette bidrager også til at minimere risikoen for interne sikkerhedsbrud.

Endelig kan I ved begrundet mistanke om uacceptabel adfærd efter omstændighederne gøre brug af varslede kontrolforanstaltninger eller iværksætte personrettet kontrol. Dette kan eksempelvis være at gennemgå medarbejdernes e-mails eller logfiler over hjemmesidebesøg. Medarbejderne skal informeres herom på forhånd.

Kontakt altid DI, hvis I er i tvivl om, hvorvidt I er berettiget til at indføre kontrolforanstaltninger eller iværksætte en personrettet kontrol.

Husk databeskyttelse

Virksomheder skal være opmærksomme på at overholde de databeskyttelsesretlige regler for gennemførelsen af et baggrundtjek, herunder i forbindelse med indhentelse af referencer, gennemgang af sociale medier og registrering oplysninger om strafbare forhold mv.

Ved indhentelse af referencer og gennemgang af sociale medier mv. til brug for eksempelvis verificering af identifikation, arbejdshistorik, kompetencer og uddannelse skal I være opmærksomme på behandlingsgrundlaget ved interesseafvejning efter databeskyttelsesforordningens artikel 6, stk. 1, litra f. Det gælder herefter, at jeres legitime interesse ved behandlingen skal veje tungere end en kandidats eventuelle interesse i det modsatte.

Derudover kræver reglerne om databeskyttelse, at indhentelse af straffeattester skal være nødvendig for, at I kan sikre jer, at en ansøger ikke er straffet af relevans for en stilling, hvor det vil have betydning, f.eks. betroede stillinger. På den baggrund vil en generel politik, hvorefter der standardmæssigt indhentes straffeattester for alle ansøgere eller ansatte, ikke være i overensstemmelse reglerne.

Tilsvarende må I heller ikke indhente kreditoplysninger om ansøgere, medmindre der er tale om ansættelse i en særligt betroet stilling. Datatilsynet angiver, at særligt betroede stillinger  eksempelvis kan være stillingsbetegnelser som varehuschef, butikschef, souschef, afdelingsleder, bogholder og ledende medarbejder med økonomiansvar. Det er DI’s vurdering, at der også kan være tale om andre stillinger. Det vil bero på en konkret vurdering.  

Reglerne

Virksomhederne kan anvende interesseafvejningsreglen i databeskyttelsesforordningens art. 6. (1) (f) og databeskyttelseslovens § 12, stk. 1, som hjemmel for registreringer i forbindelse med kontrolforanstaltninger, når det er nødvendigt at registrere disse personoplysninger af hensyn til varetagelsen af saglige og driftsmæssige formål, og kontrolforanstaltningen er etableret i overensstemmelse med DA/LO-aftalen om kontrolforanstaltninger.