Datatilsynet reviderer vejledning om databeskyttelse: Datatilsynet offentliggjorde den 29. marts 2023 en revideret udgave af tilsynets vejledning om databeskyttelse i ansættelsesforhold. Vejledningen blev udgivet første gang i 2018 og senest opdateret i december 2020.
Vejledningen indeholder en gennemgang af de databeskyttelsesretlige regler, der især har betydning i ansættelsesforhold, herunder behandlingsaktiviteter i forbindelse med rekrutteringsprocessen, under ansættelsesforholdet, og i et vist omfang efter ansættelsesforholdet er endt.
Læs også vejledningen “Databeskyttelse i ansættelsesforhold”
Den reviderede vejledning indeholder flere eksempler og uddybende forklaringer af praktisk relevans for arbejdsgivere, en ændring af reglerne om arbejdsgivers indhentelse af straffeattester og referencer samt en præcisering af afsnittene om arbejdsgivers oplysningspligt og videregivelse af personoplysninger.
Indledningsvis gør Datatilsynet opmærksom på, at samtykke i ansættelsesforhold sjældent vil opfylde gyldighedsbetingelsen om at være afgivet frivilligt grundet det ulige forhold, der typisk består mellem arbejdsgiveren og den ansatte.
Dette får betydning for arbejdsgivers mulighed for at henvise til samtykke som grundlag for behandlingen af personoplysninger om ansatte.
Det er særligt relevant i relation til indhentelse/videregivelse af referencer, indhentelse af straffeattester, offentliggørelse af rekrutterings- og markedsføringsvideoer samt brug af medarbejderfotos på arbejdsgiverens hjemmeside.
Indhentelse og videregivelse af referenceoplysninger
Under rekrutteringsforløbet vil det ofte være aktuelt at indhente referencer vedrørende én eller flere ansøgere.
Tidligere har Datatilsynet accepteret, at samtykke kunne danne grundlag for indhentelse/videregivelse af referenceoplysninger. I den reviderede vejledning oplyser Datatilsynet, at dette ikke længere er tilfældet.
Samtykke vil som udgangspunkt ikke kunne udgøre lovgrundlaget for indhentelse/videregivelse af referencer, idet et sådant samtykke (i en rekrutterings- og ansættelsesproces) ofte ikke lever op til betingelsen om at være afgivet frivilligt, og derfor ikke kan anses som gyldigt.
Det rette lovgrundlag for indhentelse af referenceoplysninger vil for private arbejdsgiver være interesseafvejningsreglen, mens offentlige arbejdsgivere kan indhente referenceoplysninger, når det er i samfundets interesse eller henhører under offentlig myndighedsudøvelse. For så vidt angår videregivelse af referenceoplysninger, vil interesseafvejningsreglen udgøre det rette lovgrundlag for såvel offentlige som private arbejdsgivere.
Ved vurderingen af, om der foreligger det fornødne lovgrundlag til indhentelse/videregivelse af referenceoplysninger, skal hensynet til den registrerede (ansøgeren) tillægges betydelig vægt på grund af de potentielle konsekvenser en sådan udveksling af oplysninger kan have for den registrerede. Den ansættende arbejdsgiver skal derfor sikre forudsigelighed og gennemsigtighed, herunder at ansøgeren er informeret om, at der vil blive indhentet referencer (og hvilke oplysninger, der vil blive indhentet), og at ansøgeren er indforstået med dette. Det kunne eksempelvis ske ved, at det fremgår af det pågældende stillingsopslag, at referencer fra (tidligere) arbejdsgiver indhentes, eller hvis ansøgeren selv har opgivet referencen.
I forbindelse med videregivelse af referencer er det vigtigt at være opmærksom på, at følsomme personoplysninger som udgangspunkt ikke kan videregives ved udveksling af referencer, og at oplysninger om strafbare forhold alene kan videregives, hvis der er lovgrundlag for dette i databeskyttelsesloven.
Indhentelse af straffeattester
En arbejdsgiver kan altid indhente en straffe- eller børneattest, hvis arbejdsgiveren er retligt forpligtet til det.
Det kan herudover i visse situationer være relevant for en arbejdsgiver at indhente oplysninger om strafbare forhold på personer, som påtænkes ansat og på medarbejdere, som allerede er ansat. Indeholder straffeattesten ikke oplysninger om strafbare forhold, vil det rette lovgrundlag for private arbejdsgiver være interesseafvejningsreglen, mens offentlige arbejdsgivere kan indhente straffeattesten, når det er i samfundets interesse eller henhører under offentlig myndighedsudøvelse.
I det omfang straffeattester indeholder oplysninger om strafbare forhold, skal lovgrundlaget i stedet findes i databeskyttelsesloven.
Datatilsynet anfører i den opdaterede vejledning, at samtykke ikke længere kan udgøre grundlaget for indhentelse af straffeattester.
Arbejdsgiverens behandling af personoplysninger i forbindelse med indhentelse af straffeattester skal derudover være i overensstemmelse med de grundlæggende principper i GDPR artikel 5, herunder særligt princippet om dataminimering.
Eksempelvis vil en generel politik, hvorefter der standardmæssigt indhentes straffeattester for ansøgere, ikke være i overensstemmelse med artikel 5.
Det må i stedet bero på en konkret vurdering i de enkelte ansættelsessituationer eller i forbindelse med ansættelse i nærmere bestemte stillingskategorier, om indhentning af en straffeattest kan anses for saglig og proportional og dermed i overensstemmelse med artikel 5.
Det betyder, at indhentelse af straffeattest fra en ansøger kræver, at rekrutteringsforløbet er så fremskredent, at den pågældende, om hvem der indhentes straffeattest, for alvor er med i opløbet om stillingen.
Det betyder også, at indhentelse af straffeattest fra en ansøger alene kan ske, hvis det er relevant for stillingen, om den pågældende er tidligere straffet. Det vil f.eks. være relevant for en arbejdsgiver at sikre sig, at en person, som har søgt en stilling som økonomimedarbejder, ikke tidligere er straffet for berigelseskriminalitet.
En arbejdsgiver vil derfor ikke være berettiget til at indhente en straffeattest i tilfælde, hvor dette kun sker ”fordi man kan”, og hvor det i realiteten alene sker for at vurdere den pågældende ansøgers karakter.
Der gælder i det væsentligste en tilsvarende adgang til løbende at indhente straffeattester på allerede ansatte medarbejdere, idet de hensyn, som kan begrunde en indhentelse af straffeattester i forbindelse med ansættelse, i mange tilfælde må antages også at ville gøre sig gældende under ansættelsen. Dog påpeger Datatilsynet, at man som arbejdsgiver altid bør overveje, hvorvidt der er situationer, hvor det ikke vil kunne anses for nødvendigt at indhente en straffeattest, fordi den pågældende arbejdsgiver allerede har kendskab til den pågældende medarbejder.
Offentliggørelse af medarbejderfotos samt rekrutterings-og markedsføringsvideoer
I den reviderede vejledning har Datatilsynet også ændret den tidligere praksis om, at arbejdsgiveren skal indhente samtykke fra medarbejdere til at offentliggøre billeder på arbejdsgiverens hjemmeside.
Arbejdsgiveren har mulighed for at betinge sig, at der sker offentliggørelse af nødvendige (arbejdsrelaterede) oplysninger om medarbejderen på arbejdsgiverens hjemmeside, herunder portrætbilleder, hvis det er nødvendigt af hensyn til arbejdets karakter. I disse tilfælde vil lovgrundlaget for private arbejdsgivere være interesseafvejningsreglen, mens offentlige arbejdsgivere kan offentliggøre billederne, når det er i samfundets interesse eller henhører under offentlig myndighedsudøvelse. Det samme gælder for udarbejdede webinarer, podcasts eller andre lignende produkter med fagligt indhold, som medarbejderen har udarbejdet som led i sin ansættelse.
Ej heller i forhold til videoer, herunder rekrutterings- og markedsføringsvideoer, som er omkostningsfulde at producere, kan medarbejderens samtykke udgøre grundlaget for behandling, idet medarbejderen vil kunne have en frygt for negative konsekvenser, hvis samtykke ikke gives, eller hvis det trækkes tilbage. I forhold til sådanne videoer vil lovgrundlaget igen skulle findes i interesseafvejningsreglen for private arbejdsgivere, mens offentlige arbejdsgivere kan foretage behandlingen, når det er i samfundets interesse eller henhører under offentlig myndighedsudøvelse.
Arbejdsgiveren må derfor på anden måde sikre sig, at medarbejderen er indforstået med, at der offentliggøres videoer af den pågældende, og konsekvenserne ved at deltage, eksempelvis at materiale ikke uden videre kan slettes eller redigeres, fordi dette vil være omkostningsfuldt.
Arbejdsgiveren skal i andre tilfælde end de ovenfornævnte også sikre sig, at medarbejderen er indforstået med, at der offentliggøres billeder eller videoer med den pågældende. Dette kan i forhold til billeder, som let kan udskiftes, ske ved at bede medarbejderen om samtykke til offentliggørelsen.
Selvom samtykke som udgangspunkt ikke kan udgøre lovgrundlaget for behandling af personoplysninger i ansættelsesforhold, kan medarbejderens indforståelse eller indvilligelse dog i nogle situationer være nødvendig for, at en behandling kan anses for rimelig efter GDPR artikel 5.
Datatilsynet reviderer vejledning om databeskyttelse
Den nye udgave af Datatilsynets vejledning er en oplagt anledning til at gennemgå virksomhedens procedurer og politikker med henblik på at vurdere, om der er grundlag for eventuelle opdateringer.
Har du spørgsmål til vejledningens betydning for dig som arbejdsgiver eller til databeskyttelsesret i øvrigt, er du altid velkommen til at kontakte CLEMENS’ eksperter i databeskyttelse.
