Datatilsynet kigger brugen af kontrolforanstaltninger efter i sømmene

Efter databeskyttelsesreglerne er der en oplysningspligt, som skal overholdes, når virksomheder bruger kontrolforanstaltninger over for sine medarbejdere. Nu har Datatilsynet set en række virksomheder efter i sømmene for at se, om de har gjort, som de skulle.

Tilsynene
Datatilsynet har afsluttet fem planlagte skriftlige tilsyn over for henholdsvis tre offentlige myndigheder og to private virksomheder. Datatilsynets fokus var på efterlevelse af reglerne om oplysningspligt ved brug af kontrolforanstaltninger over for medarbejdere. Der var tale om vurdering af en lang række forskellige kontrolforanstaltninger, herunder GPS-tracking af firmabiler, TV-overvågning, logning af internetbrug og adgang til e-mails samt arbejdsgivers logning af adgang til fysiske lokationer, som var koblet sammen med et flekstidssystem, et tidsregistreringssystem mv.

Datatilsynet fokuserede også på, om virksomhederne levede op til databeskyttelsesforordningens grundlæggende princip om gennemsigtighed. Princippet betyder bl.a., at den dataansvarlige skal oplyse om kontrolforanstaltninger på en lettilgængelig måde, inden disse iværksættes.

Hvad gælder?
Ved indsamling af oplysninger om en medarbejder har en arbejdsgiver som udgangspunkt en oplysningspligt over for medarbejderen. Det gælder også, når virksomheden bruger kontrolforanstaltninger over for medarbejderne. Efter princippet om gennemsigtighed skal virksomhederne forud for etableringen give medarbejderne lettilgængelig information om de anvendte kontrolforanstaltninger. Det følger af databeskyttelsesreglerne, at enhver meddelelse til den registrerede skal gives i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog.

Hvad konkluderede Datatilsynet?
Datatilsynet har på baggrund af tilsynene udtalt alvorlig kritik i tre af de fem sager. I to af sagerne har tilsynet udtalt kritik.

Der var en lang række kritikpunkter og anbefalinger i afgørelserne. Kritikpunkterne gik bl.a. overordnet på, at man ikke havde givet medarbejderne tilstrækkelig tydelig information om:

• Formålet med behandlingen af oplysningerne, og herunder særligt at oplysningerne kunne anvendes til kontroløjemed over for medarbejderne.
• Retsgrundlaget for behandlingen.
• Kategorierne af personoplysninger, som blev berørt, og hvor længe oplysningerne ville blive opbevaret, eller hvis det ikke var muligt, de kriterier der blev anvendt til at fastlægge tidsrummet.

Desuden var den information, som var blevet givet til medarbejdere i henhold til reglerne om oplysningspligt, i flere tilfælde ikke blevet givet til medarbejderne i en tilstrækkelig lettilgængelig form.

Om tv-overvågning udtalte Datatilsynet, at det er en indgribende form for behandling af personoplysninger, og at det derfor er vigtigt, at medarbejdere underrettes om den behandling af personoplysninger, der finder sted i forbindelse med brugen af tv-overvågning som kontrolforanstaltning.

En af arbejdsgiverne havde i vidt omfang alene iagttaget sin oplysningspligt mundtligt, hvilket Datatilsynet vurderede til at være i strid med databeskyttelsesforordningen.

Endeligt vurderede Datatilsynet, at medarbejderne som hovedregel skal varsles senest seks uger inden der implementeres nye kontrolforanstaltninger. De seks uger svarer til, hvad der tidsmæssigt gælder for virksomheder, der er omfattet af aftale om kontrolforanstaltninger mellem FH og DA.

Datatilsynet anbefalede, at arbejdsgivere udarbejder procedurer mv. for efterlevelse af reglerne om oplysningspligt og forudgående information i forbindelse med kontrolforanstaltninger over for medarbejdere. Af procedurerne bør det bl.a. fremgå hvordan og på hvilket tidspunkt medarbejdere skal underrettes om den behandling af personoplysninger, der finder sted i forbindelse med de enkelte kontrolforanstaltninger.

Dansk Erhverv bemærker
Tilsynsafgørelserne viser, at det er vigtigt, at arbejdsgivere overholder reglerne om oplysningspligt over for medarbejderne, når der indsamles og behandles oplysninger om medarbejderne, herunder også ved brug for kontrolforanstaltninger. Dansk Erhverv anbefaler medlemmerne at kontakte os for rådgivning, hvis der opstår tvivl om reglerne.

Se mere om oplysningspligt i Datatilsynets vejledninger om de registreredes rettigheder her: Vejledning om de registreredes rettigheder og om databeskyttelse i forbindelse med ansættelsesforhold her: Vejledning om databeskyttelse i forbindelse med ansættelsesforhold

Dansk Erhverv har også udarbejdet en række vejledninger og skabeloner om persondata i forbindelse med HR og personaleadministration. Dem kan du finde her: Dansk Erhvervs vejledninger og skabeloner