Vejledning om databeskyttelse i forbindelse med ansættelsesforhold

GDPR NYT, marts 2019

Databeskyttelse i ansættelsesforhold

Datatilsynets længe ventede vejledning om databeskyttelse i forbindelse med ansættelsesforhold blev udgivet den 26. november 2018. Vi ser nedenfor nærmere på det, vi mener, at man som privat arbejdsgiver skal være opmærksom på.

Opbevaring af ansøgninger og bilag

Der har blandt mange været en tommelfingerregel om, at man skal slette ansøgninger og bilag senest 6 måneder efter afslutning af rekrutteringsprocessen. Denne 6-måneders regel fremgår ikke af vejledningen. Hertil har Datatilsynet bemærket, at der aldrig har eksisteret en sådan generel regel, da man i hvert enkelt tilfælde konkret skal vurdere, om man har grund til at beholde en ansøgning inkl. bilag. Vi anbefaler derfor nu som udgangspunkt, at ansøgninger og bilagsmateriale slettes, når rekrutteringsprocessen er afsluttet.

Der kan dog være konkrete situationer, hvor man vil have et sagligt formål med at opbevare en ansøgning i længere tid, fx hvis man ved, at en ansøger har følt sig diskrimineret i rekrutteringsprocessen og derfor vil klage til Ligebehandlingsnævnet. Alternativt skal man indhente lovligt samtykke fra ansøgeren til, at dennes ansøgning og bilag må opbevares efter, at rekrutteringsprocessen er afsluttet.

 

Billeder af medarbejdere

Det fremgår desuden af vejledningen, at følgende som udgangspunkt ikke vil kunne offentliggøres uden medarbejderens samtykke:

  • Portrætbilleder af medarbejdere, der f.eks. offentliggøres på virksomhedens hjemmeside
  • Billeder optaget af medarbejdere på arbejdet (situationsbilleder)
  • Billeder af medarbejdere i materiale, der fx anvendes til markedsføring

Det kan dog ikke helt udelukkes, at der i konkrete tilfælde – navnlig under hensyn til de funktioner, som en medarbejder skal udføre – vil kunne offentliggøres billeder af den pågældende på internettet i medfør af interesseafvejningsreglen i databeskyttelsesforordningens art. 6(1)(f).

 

Fratrådte medarbejderes mailkonti

For fratrådte medarbejderes mailkonti er reglen fortsat den, at de kun må holdes aktive i en periode, der er så kort som muligt, og maksimalt i 12 måneder efter den konkrete medarbejders fratrædelse.

Datatilsynet bemærker på samme måde som med 6-måneders reglen ovenfor, at man ikke altid pr. automatik kan holde mailkontoen åben i 12 måneder. Man skal altså også her foretage en konkret vurdering af, om man har et sagligt formål med at holde den åben i 12 måneder.

 

Referencer

For så vidt angår referencer fastslår Datatilsynet, at ”den omstændighed, at en person søger en stilling i sig selv må anses for en oplysning, der som udgangspunkt ikke vil være hjemmel i forordningens art. 6(1)(f) til at videregive, medmindre der foreligger et samtykke”.

Vi anbefaler derfor, at man sikrer sig, at man har samtykke til at indhente oplysninger om ansøgeren fra fx tidligere og nuværende arbejdsgiver.

Datatilsynet bemærker dog også, at det ikke helt kan udelukkes, at der i nogle tilfælde vil være mulighed for at indhente referencer uden ansøgerens samtykke, fx efter databeskyttelsesforordningens art. 6(1)(e) eller (f).

 

Valg af behandlingsgrundlag

I forhold til brug af databeskyttelseslovens § 12 har Datatilsynet udtalt, at denne skal anses som en supplerende hjemmelsbestemmelse. Det vil sige, at når arbejdsgiveren skal fastsætte med hvilket behandlingsgrundlag, man behandler sine ansættes personoplysninger efter, skal man begynde i databeskyttelsesforordningen art. 6, 9 og 10. Hvis man herefter konstaterer, at der ikke er hjemmel deri, kan man anvende databeskyttelseslovens § 12.

 

Læs mere

  • Du kan læse vejledningen om databeskyttelse i forbindelse med ansættelsesforhold her.
  • Focus Advokater har endvidere udarbejdet en praktisk guide til HR-afdelingen om behandling af ansattes personoplysninger, som du finder her.

 

Tilmeld dig vores GDPR NYT

Arbejder du med GDPR, og vil du holdes opdateret på regler og praksis, kan du med fordel tilmelde dig vores GDPR NYT, som udelukkende omhandler nyheder og artikler inden for databeskyttelsesområdet.

Læs nyhedsbrevet her.

 

Indlæg af
Kristina Juul Nielsen

Kristina Juul Nielsen

Advokatfuldmægtig Læs mere
Jesper Løffler Søgaard Nielsen

Jesper Løffler Søgaard Nielsen

Associeret partner, advokat (L), Ph.D. Læs mere