I korte træk betyder den nye forordning, at virksomheder ved indsamling og behandling af ikke-følsomme personoplysninger skal hverve sig et utvetydigt samtykke og ved indsamling af følsomme personoplysninger skal hverve sig et udtrykkeligt samtykke fra den registrerede, altså borgeren. Dette er principielt ikke anderledes fra den gældende Persondatalov, men med den nye Persondataforordning forbedres borgernes rettigheder på flere områder:
- Borgerne får ret til, på en let og forståelig måde, at få adgang til deres persondata – og hvordan de behandles. Derudover får borgerne mulighed for at modsætte sig profilanalyse på baggrund af eksempelvis interesse, indtægt og social status.
- Borgerne får ret til ”at blive glemt”, hvorfor personoplysninger skal slettes efter anmodning.
- Borgerne får ret til at blive informeret om eventuelt datalæk, da virksomhederne er underlagt en såkaldt breach notification, hvor de skal informere Datatilsynet om eventuelle sikkerhedsbrister.
HR-udfordringerne
Der er ingen tvivl om, at den nye forordning vil få betydning for virksomhedernes måde at kommunikere med kunderne på, men også i en HR-sammenhæng bør virksomhederne overveje, hvordan de behandler medarbejdernes data – både før, under og efter ansættelsen.
Før ansættelse: Hvilke oplysninger må indhentes, udnyttes og opbevares?
Som arbejdsgiver modtager du alt andet lige en ansøgning, der indeholder både personlige og fortrolige oplysninger om ansøgeren, og han/hun har dermed givet samtykke til, at du kan gøre brug af de oplysninger, fx ved indkaldelse til jobsamtale. Du må imidlertid ikke opbevare ansøgningen til senere brug, medmindre du har informeret ansøgeren om det og givet denne mulighed for at modsætte sig opbevaringen. Det er imidlertid de færreste, der vil takke nej til, at du må gemme deres ”profil” til senere brug.
Under ansættelse: Hvilke oplysninger må indhentes under ansættelsesforholdet?
Virksomheder opbevarer forskellige typer af oplysninger om deres medarbejdere. De mest almindelige oplysninger, en virksomhed gemmer, er de ikke-følsomme oplysninger, såsom navn, adresse, telefonnummer, uddannelse, tidligere beskæftigelse samt nuværende stilling og arbejdsopgaver. Denne type oplysninger registreres i det omfang, virksomheden har brug for dem for at opretholde ansættelsesforholdet, og oplysningerne er som ofte givet i medarbejderes ansøgning. De følsomme personoplysninger kan også indsamles af virksomheden, men hertil skal der afgives udtrykkeligt samtykke fra medarbejderen. Det gælder oplysninger om blandt andet helbred, fagforening, race, etnicitet, seksualitet samt politisk og religiøs overbevisning.
Der er imidlertid følsomme personoplysninger, der er nødvendige at indsamle for at sikre sig, at medarbejderen opfylder den kontraktlige aftale om ansættelsesforholdet. Det gælder især registrering af antallet af sygedage, altså fravær. Her er medarbejderen ikke forpligtet til at oplyse om karakteren af sygdommen, selvom det kan være god stil at informere arbejdsgiver mundtligt, hvis medarbejderen forventer en længere sygdomsperiode. Derudover skal der også indhentes andre supplerende oplysninger, der er nødvendige for at opfylde kontraktforholdet, blandt andet oplysninger om bankforhold til aflønning.
Efter ansættelse: Hvordan opbevares oplysningerne efter ansættelsens ophør?
I henhold til Persondataloven skal opbevaring af personoplysninger kun ske, hvis der er udtrykkeligt og sagligt formål med at opbevare oplysningerne. Det kan altså være nødvendigt, at du opbevarer oplysninger om en tidligere medarbejdere for at opfylde en retlig forpligtelse, fx aflønning under fritstillelse. Det afgørende er blot, at der er et angivet, udtrykkeligt formål med opbevaringen – og at den videre behandling ikke afviger fra dette formål.
