Persondatapolitik til medarbejdere (GDPR artikel 13)
Den oplysning virksomheden skal give sine medarbejdere om behandlingen af deres personoplysninger — formål, retsgrundlag, modtagere, opbevaringstid, rettigheder og klageadgang. Oplysningerne skal gives på det tidspunkt oplysningerne indsamles.
Hvem er omfattet
Det afhænger af hvad I laver, sælger og importerer. Tjekket stiller nogle få spørgsmål og svarer for dette og de øvrige regelsæt på én gang.
Tjek om det gælder jer GRATIS · INGEN LOGIN
Oplysningspligten efter artikel 13 gælder oplysninger indsamlet hos medarbejderen selv. Indhenter I oplysninger andre steder fra — fx referencer, straffeattest eller oplysninger fra en tidligere arbejdsgiver — gælder artikel 14 i stedet, med sine egne frister. Dette modul dækker kun artikel 13. Er I i tvivl, vejleder Datatilsynet.
Datoer
Allerede indtrådt:
Hvad der kræves
- Persondatapolitik til medarbejdere (da · pdf)
Retsgrundlag
Kravet står i databeskyttelsesforordningens artikel 13. Den er lang, men den er også en færdig indholdsfortegnelse: hvert litra er et punkt der skal med.
Hvad der skal oplyses
1. Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:
a) identitet på og kontaktoplysninger for den dataansvarlige og dennes eventuelle repræsentant
b) kontaktoplysninger for en eventuel databeskyttelsesrådgiver
c) formålene med den behandling, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen
d) de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand, hvis behandlingen er baseret på artikel 6, stk. 1, litra f)
e) eventuelle modtagere eller kategorier af modtagere af personoplysningerne
f) hvor det er relevant, at den dataansvarlige agter at overføre personoplysninger til et tredjeland eller en international organisation […]
Forordning (EU) 2016/679, artikel 13, stk. 1.
Bemærk litra c. Der står formålene og retsgrundlaget. De fleste politikker beskriver formålet grundigt og springer hjemlen over — men det er to punkter i samme sætning.
Og der er mere:
2. Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:
a) det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum
b) retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede eller til at gøre indsigelse mod behandling samt retten til dataportabilitet
c) når behandling er baseret på artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), retten til at trække samtykke tilbage på ethvert tidspunkt […]
d) retten til at indgive en klage til en tilsynsmyndighed
e) om meddelelse af personoplysninger er lovpligtigt eller et krav i henhold til en kontrakt eller et krav, der skal være opfyldt for at indgå en kontrakt, samt om den registrerede har pligt til at give personoplysningerne og de eventuelle konsekvenser af ikke at give sådanne oplysninger
f) forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
Litra e er det punkt der oftest mangler helt. Det er også det medarbejderne oftest undrer sig over: hvorfor skal I have mit cpr-nummer, og hvad sker der hvis jeg ikke giver det?
Tidspunktet er en del af kravet
Oplysningerne skal gives på det tidspunkt, hvor personoplysningerne indsamles. Formuleringen står i både stk. 1 og stk. 2.
For en medarbejder er det ved ansættelsen. For en ansøger er det ved modtagelsen af ansøgningen. En politik der først udleveres tre år inde i ansættelsen, opfylder ikke kravet for det der skete dengang.
Undtagelsen
4. Stk. 1, 2 og 3 finder ikke anvendelse, hvis og i det omfang den registrerede allerede er bekendt med oplysningerne.
Bemærk »hvis og i det omfang«. Undtagelsen er delvis, ikke total, og den er svær at bevise, hvis der aldrig er givet noget skriftligt.
Nyt formål
3. Hvis den dataansvarlige agter at viderebehandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål og andre relevante yderligere oplysninger, jf. stk. 2.
Tages oplysningerne i brug til noget nyt, skal der oplyses om det forud.
Hvem det gælder
Alle med ansatte, og alle der modtager ansøgninger. Der er ingen størrelsesgrænse.
Artikel 13 gælder oplysninger indsamlet hos personen selv. Indhentes oplysninger andre steder fra — referencer, straffeattest, oplysninger fra en tidligere arbejdsgiver — gælder artikel 14 i stedet, med sine egne frister. Dette modul dækker kun artikel 13.
Datoer
Forordningen har fundet anvendelse siden 25. maj 2018. Der er ingen kommende frist.
Hvad dette modul producerer
Modulet producerer persondatapolitikken til medarbejdere, opbygget efter artikel 13's egne litra, så det kan ses at ingen af dem er sprunget over.
Dokumentet er et udtrykkeligt lovkrav i sit indhold. Formen er derimod fri — forordningen kræver ikke et dokument, den kræver at oplysningerne gives.
Politikken beskriver de samme behandlinger som fortegnelsen efter artikel 30, blot udad i stedet for indad. Passer de to ikke sammen, er mindst ét af dem forkert.
Tilsyn og sanktioner
Hvem fører tilsyn
Datatilsynet, under Justitsministeriet.
Oplysningspligten hører under de registreredes rettigheder i forordningens kapitel III, og det er også den kategori den danske straffebestemmelse bruger.
Hvad tilsynet kigger efter
Oplysningspligten er ofte det første en medarbejder klager over, fordi det er den eneste del af GDPR vedkommende selv kan se.
- Har medarbejderne fået oplysningerne — og hvornår? Tidspunktet er en del
af kravet.
- Er alle litra dækket? Særligt litra c om retsgrundlag, stk. 2, litra a om
opbevaringstid, og stk. 2, litra e om pligten til at give oplysninger.
- Er ansøgere også omfattet?
- Stemmer politikken med fortegnelsen efter artikel 30?
Sanktioner
Overtrædelse af de registreredes rettigheder ligger i forordningens høje bødeloft — til forskel fra artikel 30 og artikel 28:
I den danske gennemførelse er sanktionen strafferetlig:
§ 41. Medmindre højere straf er forskyldt efter den øvrige lovgivning, straffes med bøde eller fængsel indtil 6 måneder den, der overtræder bestemmelserne om
[…]
5) de registreredes rettigheder i henhold til databeskyttelsesforordningen artikel 12-22
Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024, § 41, stk. 1, nr. 5.
Datatilsynet udsteder ikke selv bøder i Danmark. I praksis reagerer tilsynet oftest med kritik, alvorlig kritik eller påbud.
Hvad der ikke er afklaret
Retsgrundlaget for den enkelte behandling. Modulet beder jer angive hjemlen; det vurderer ikke om den er den rigtige. Databeskyttelseslovens § 12 om behandling i ansættelsesforhold er ikke gennemgået her.
Rækkevidden af undtagelsen i stk. 4. »Hvis og i det omfang den registrerede allerede er bekendt med oplysningerne« er en åben standard, og vi tager ikke stilling til hvornår den er opfyldt.
Forholdet til artikel 14. Indhentes oplysninger andre steder fra, gælder artikel 14 med sine egne frister. Det er ikke dækket af dette modul, og det bør overvejes som en udvidelse.
Bødeniveauet. Ikke gennemgået, og vi angiver derfor intet beløb.
Hjælp og typiske fejl
Typiske fejl
Retsgrundlaget mangler. Litra c kræver formålene og retsgrundlaget. De fleste politikker beskriver formålet udmærket og springer hjemlen over.
Opbevaringstiden er »så længe det er nødvendigt«. Det er hverken et tidsrum eller et kriterium. Kan I ikke sætte en dato, så angiv kriteriet — fx »fem år efter ansættelsens ophør, jf. forældelsesreglerne«.
Litra e er slet ikke med. Oplysningen om hvorvidt medarbejderen har pligt til at give oplysningerne, og hvad konsekvensen er ved ikke at gøre det, findes sjældent i danske persondatapolitikker. Den står udtrykkeligt i forordningen.
Politikken gives ved den årlige medarbejdersamtale. Oplysningerne skal gives på det tidspunkt oplysningerne indsamles. Tidspunktet er en del af kravet.
Ansøgere får ingenting. En ansøgning er en indsamling af personoplysninger, og oplysningspligten indtræder der.
Politikken og artikel 30-fortegnelsen passer ikke sammen. De beskriver de samme behandlinger, blot udad og indad. Er en behandling kun med i det ene, er mindst ét af dem forkert.
Man tror medarbejderne jo godt ved det. Undtagelsen i stk. 4 gælder »hvis og i det omfang« — den er delvis, og den er svær at bevise uden noget skriftligt.
Spørgsmål og svar
Vi er tre ansatte. Skal vi virkelig have sådan en? Ja. Oplysningspligten har ingen størrelsesgrænse. Til gengæld bliver den kort, når der kun er få behandlinger.
Kan politikken stå i personalehåndbogen? Ja. Forordningen kræver ikke et selvstændigt dokument — den kræver at oplysningerne gives på indsamlingstidspunktet. Fordelen ved et selvstændigt dokument er, at det er dateret og kan udleveres ved ansættelsen.
Skal medarbejderen skrive under? Nej. Der er ikke krav om samtykke — der er krav om oplysning. Mange vælger alligevel en kvittering for modtagelsen, fordi det er den nemmeste måde at vise, at oplysningerne blev givet på det rigtige tidspunkt.
Vi behandler jo ikke andet end løn. Løn er en behandling, og typisk kommer fravær, ferie, kontaktoplysninger, nærmeste pårørende og eventuelt adgangskontrol oveni. Hver af dem har sit formål og sit retsgrundlag.
Hvad hvis vi ændrer noget? Skal oplysningerne bruges til et nyt formål, skal I oplyse om det forud for viderebehandlingen, jf. stk. 3. Ændrer I blot leverandør, opdateres politikken ved næste gennemgang.
Hvor længe skal vi gemme politikken? Forordningen siger det ikke. Vi anbefaler fem år, fordi det kun er den udgave der blev givet dengang, der kan vise at pligten blev opfyldt ved ansættelsen.
Er det ikke det samme som fortegnelsen? Nej, men de hænger sammen. Fortegnelsen er intern og skrives til jer selv og Datatilsynet; politikken er udadvendt og skrives til medarbejderen. Indholdet overlapper, men kravene er forskellige.
Begreber
Pligten til at give den registrerede en række oplysninger på det tidspunkt, hvor personoplysningerne indsamles hos vedkommende selv.
Forveksles med: Artikel 14. Artikel 13 gælder oplysninger indsamlet hos personen selv; artikel 14 gælder oplysninger indsamlet andre steder fra — fx referencer eller offentlige registre — og har sine egne frister.
Den hjemmel behandlingen hviler på efter artikel 6. Det skal oplyses sammen med formålet — ikke i stedet for.
Forveksles med: Formålet. De to skal begge oplyses. »Vi behandler dine oplysninger for at kunne udbetale løn« er et formål; retsgrundlaget er hjemlen — typisk at behandlingen er nødvendig for at opfylde ansættelseskontrakten.
Det tidsrum oplysningerne opbevares — eller, hvis det ikke er muligt at angive, de kriterier der bruges til at fastlægge tidsrummet.
Forveksles med: En ret til at lade feltet stå tomt. Kan tidsrummet ikke angives, skal kriterierne angives i stedet. »Så længe det er nødvendigt« er hverken et tidsrum eller et kriterium.
Bygger behandlingen på artikel 6, stk. 1, litra f, skal de legitime interesser der forfølges, oplyses konkret.
Forveksles med: En generel henvisning til interesseafvejningsreglen. Det er interesserne selv der skal oplyses — ikke blot at reglen bruges.
Træffes der automatiske afgørelser, herunder profilering, skal det oplyses — og som minimum med meningsfulde oplysninger om logikken samt betydningen og de forventede konsekvenser.
Forveksles med: Enhver brug af et IT-system. Bestemmelsen angår afgørelser der træffes automatisk — fx automatisk frasortering af ansøgninger — ikke at oplysninger opbevares i et system.
Oplysningspligten gælder ikke, hvis og i det omfang den registrerede allerede er bekendt med oplysningerne.
Forveksles med: En antagelse om at medarbejdere jo godt ved at der behandles løndata. Undtagelsen gælder »i det omfang« — den fritager ikke for hele oplysningen, og den er svær at bevise, hvis der aldrig er givet noget skriftligt.
Er I klar?
Oplysningspligten er den af GDPR-pligterne der oftest opdages for sent, fordi den skal opfyldes PÅ ANSÆTTELSESTIDSPUNKTET. En politik der udleveres tre år inde i ansættelsen, retter ikke det der skulle være sket dengang — men den er stadig bedre end ingenting fremadrettet.
Tag selvtjekket (9 punkter) GRATIS
Udskrevet fra Dokumenterne · kilde: dokumenterne.dk/lovkrav/persondatapolitik-medarbejdere