9.9.4. Behandlingsreglerne

I persondatalovens kapitel 4 er der fastsat regler for, i hvilket omfang behandling af oplysninger må finde sted. I §§ 6, 7 og 8 findes således de almindelige betingelser for behandling af oplysninger. Loven skelner mellem

  • ikke-følsomme oplysninger (§ 6)
  • følsomme oplysninger (§ 7)
  • andre følsomme oplysninger (§ 8)

§ 11 indeholder en særlig regel om behandling af oplysninger om personnummer.

9.9.4.1. Behandling

Det er vigtigt at være opmærksom på, at begrebet "behandling" dækker over enhver form for håndtering af personoplysninger. Som de vigtigste former for behandling kan nævnes: Indsamling, registrering, systematisering, opbevaring, brug, videregivelse, samkørsel og sletning.

Har man ret til at foretage én bestemt form for databehandling, medfører det ikke automatisk, at man også har ret til at foretage andre former for behandling af de samme oplysninger.

Når en offentlig myndighed må indsamle bestemte oplysninger, må den normalt også systematisere, registrere, bruge og slette dem. Men det er fx ikke uden videre givet, at oplysningerne også må videregives til andre. Dette skal vurderes særskilt på baggrund af reglerne om behandling.

9.9.4.2. Behandling af ikke-følsomme personoplysninger

Behandling af ikke-følsomme oplysninger, herunder fortrolige oplysninger, må kun ske, hvis en af betingelserne i persondatalovens § 6, stk. 1, nr. 1-7, er opfyldt. § 6 omfatter alle andre typer af personoplysninger end dem, der er nævnt i §§ 7 og 8. Det kan være såvel almindelige, som fortrolige oplysninger. Omfattet af § 6 er fx oplysninger om medarbejderens navn, adresse og telefonnummer, fødselsdato, familie, oplysninger om uddannelse, udtalelser, tidligere beskæftigelse, nuværende stilling, arbejdsopgaver, arbejdstider og andre tjenstlige forhold, oplysninger om skat, sygefravær og sygdomsperioder (forudsat at sygdommens art ikke er nævnt), oplysninger om andet fravær, oplysninger om pensionsforhold, kildeskatteoplysninger og oplysninger om kontonummer, hvortil løn skal anvises.

Efter § 6 kan behandling bl.a. ske,

  • hvis den registrerede har givet udtrykkeligt samtykke hertil, jf. § 6, stk. 1, nr. 1
  • hvis behandlingen er nødvendig af hensyn til opfyldelse af en aftale, som den registrerede er part i, eller af hensyn til gennemførelsen af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelsen af en sådan aftale, jf. § 6, stk. 1, nr. 2
  • hvis behandlingen er nødvendig for at overholde en retlig forpligtigelse, som påhviler den dataansvarlige, jf. § 6, stk. 1, nr. 3
  • hvis behandlingen er nødvendig af hensyn til udførelsen af en opgave, der henhører under offentlig myndighedsudøvelse, som den dataansvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt, jf. § 6, stk. 1, nr. 6
  • hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysninger videregives, kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse, jf. § 6, stk. 1, nr. 7.

I forbindelse med opslag af en ledig stilling modtager en myndighed typisk ikke-følsomme oplysninger fra ansøgere til stillingen. Disse oplysninger kan arbejdsgiveren normalt behandle, dvs. fx registrere og journalisere til brug for ansættelsessagen.

Derimod kan myndigheden ikke på baggrund af ansøgningen rette henvendelse til en ansøgers aktuelle arbejdsgiver med oplysning om, at den pågældende søger nyt arbejde. Dette vil efter Datatilsynets umiddelbare opfattelse forudsætte et særskilt samtykke fra ansøgeren.

Etableringen af et ansættelsesforhold medfører, at ikke-følsomme oplysninger normalt vil kunne registreres af arbejdsgiveren uden samtykke i medfør af § 6, stk. 1, nr. 2, i det omfang arbejdsgiveren skal bruge oplysningerne.

Datatilsynet har i flere sager fundet, at arbejdsgiveres registrering (logning) af medarbejdernes hjemmesidebesøg samt gennemgang af registreringen ved mistanke om misbrug af internettet under visse betingelser kan finde sted efter interesseafvejningsreglen i § 6, stk. 1, nr. 7. Det forudsætter dog, at medarbejderne på forhånd - på en klar og utvetydig måde - er informeret om, at registreringen/logningen finder sted, og at registreringen eventuelt vil blive gennemset som led i en kontrol ved mistanke om brug af internettet i strid med arbejdspladsens retningslinjer herom.

www.datatilsynet.dk findes der tekster om logning og kontrol af medarbejderes brug af internettet samt kontrol af medarbejderes browser og e-post.

Datatilsynet har i en række sager fundet, at en offentlig myndighed efter interesseafvejningsreglen i § 6, stk. 1, nr. 7, må offentliggøre arbejdsrelaterede oplysninger om de ansatte på sin hjemmeside på internettet. Omvendt må oplysninger af mere privat karakter kun offentliggøres med samtykke fra den ansatte.

Arbejdsrelaterede oplysninger er for eksempel den ansattes navn, arbejdsområder, ansættelsesår, direkte arbejdstelefonnummer eller e-postadresse på arbejdet. Sådanne oplysninger er en naturlig del af informationen om arbejdspladsen og kan derfor som hovedregel offentliggøres uden samtykke. Oplysninger af mere privat karakter er fx et billede af den ansatte, en privat adresse, en privat e-postadresse eller et privat telefonnummer. Arbejdspladsen må som udgangspunkt kun offentliggøre disse oplysninger, hvis den enkelte ansatte har givet udtrykkeligt samtykke hertil.

Datatilsynet har afgivet flere udtalelser vedrørende offentlige myndigheders videregivelse af oplysninger om ansatte til fagforeninger. Datatilsynets praksis kan sammenfattes således, at en dataansvarlig myndighed eller virksomhed uden samtykke kan videregive medarbejderoplysninger i form af identifikationsoplysninger til en fagforening, som de pågældende er medlem af.

Derimod kræver det som udgangspunkt samtykke fra den enkelte ansatte, hvis vedkommende ikke er medlem af fagforeningen. Dog kan videregivelsen ske uden samtykke, hvis der foreligger særlige omstændigheder. Dette vil fx være tilfældet, hvis videregivelsen har støtte i en overenskomst eller lignende med henblik på individuelle lønforhandlinger. Det samme vil være tilfældet, hvis videregivelsen er forudsat i lov eller bekendtgørelse.

Datatilsynet har vedrørende spørgsmålet om videregivelse af oplysninger om offentligt ansattes løn afgivet en vejledende udtalelse. Udtalelsen, der har j.nr. 2007-321-0047, findes på www.datatilsynet.dk og på www.modst.dk

9.9.4.3. Behandling af følsomme personoplysninger

Efter persondatalovens §§ 7 og 8 er følsomme oplysninger fx oplysninger om helbredsforhold, herunder misbrug af nydelsesmidler, alkohol mv., oplysninger om medlemskab af en fagforening og oplysninger om strafbare forhold samt oplysninger om andre tilsvarende rent private forhold, fx om at en medarbejder er bortvist fra jobbet på grund af en grov tilsidesættelse af ansættelsesforholdet. En personlighedstest vil som regel også indeholde følsomme personoplysninger.

Følsomme oplysninger er også oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, seksuelle forhold og væsentlige sociale problemer.

Som hovedregel må en arbejdsgiver ikke behandle følsomme oplysninger om en medarbejder. § 7, stk. 2-7, og § 8, stk. 1-6, indeholder dog visse undtagelser til hovedreglen. Behandling vil fx kunne ske, hvis medarbejderen har givet udtrykkeligt samtykke til dette.

Der er dog også mulighed for at registrere følsomme oplysninger, hvis det er nødvendigt for at opfylde bestemmelser i en lov eller bekendtgørelse udstedt i medfør af lov. Der kan fx registreres helbredsoplysninger i nødvendigt omfang i forbindelse med en aftale i henhold til sygedagpengelovens § 56.

Også på områder, hvor der kan tænkes at opstå et retskrav for fx medarbejderen (fx på erstatning som følge af en arbejdsskade) eller for arbejdsgiveren, vil der uden samtykke kunne foretages registreringer af følsomme oplysninger til brug for en eventuel sag.

Der vil herudover som udgangspunkt kun være begrænset mulighed for at registrere følsomme oplysninger i personaleadministrativ sammenhæng. Der skal være tale om registrering, som er nødvendig for, at det kan fastlægges, om nogen har et retskrav. Det vil fx kunne forekomme, at en virksomhed har behov for at registrere oplysninger om et strafbart forhold i form af underslæb begået af en medarbejder, hvis dette er nødvendigt for at kunne gøre virksomhedens krav på erstatning gældende over for medarbejderen.

Arbejdsgiverens behandling af oplysninger om strafbare forhold, herunder indhentelse af straffeattester vedrørende ansøgere eller ansatte, skal afgøres efter reglerne i lovens §§ 5 og 8.

§ 7, stk. 3, indeholder en særlig bestemmelse om behandling af oplysninger om fagforeningsmæssige tilhørsforhold . Efter bestemmelsen kan oplysninger om fagforeningsmæssige tilhørsforhold behandles, hvis behandlingen er nødvendig for overholdelsen af den dataansvarliges arbejdsretlige forpligtelser eller specifikke rettigheder. "Arbejdsretlige forpligtelser eller specifikke rettigheder" omfatter alle former for forpligtelser og rettigheder, som hviler på et arbejdsretligt grundlag. Dette gælder, uanset om grundlaget er lovgivning eller aftale. Også behandling af oplysninger, som sker til overholdelse af forpligtelser eller rettigheder, som følger af kollektive overenskomster eller af individuelle ansættelseskontrakter, er dermed omfattet af bestemmelsen.

En oplysning om, at en person er medlem af en fagforening uden at angive hvilken fagforening, betragtes som en følsom oplysning.