Datatilsynet fandt ikke grundlag for at indlede tilsynssag mod en kommune, der planlagde et internt referenceregister i én forvaltning. Registret skulle alene indikere, om en ansøger tidligere var registreret som følge af væsentlig misligholdelse af ansættelsesforholdet, særligt i borgervendte funktioner. Opslag var forbeholdt ledere og chefer i den pågældende forvaltning, søgning skete via CPR, og detaljeret indhold skulle håndteres via HR. Oplysningerne skulle som udgangspunkt slettes efter fem år.
Datatilsynets vurdering
Baggrunden var offentlig debat om lovligheden af sådanne registre. Kommunen redegjorde for, at behandlingen kun vedrørte intern deling af allerede behandlede personoplysninger inden for samme forvaltningsgren, at anvendelsen var snævert afgrænset til rekrutteringssituationer, og at adgangen var stærkt begrænset. Datatilsynet konkluderede herefter, at der ikke var anledning til at rejse en sag.
Udtalelsen indikerer, at referenceregistre kan være forenelige med GDPR, hvis de indrettes stramt efter principperne om formålsbegrænsning, dataminimering, opbevaringsbegrænsning samt integritet og fortrolighed, og hvis adgangen er kontrolleret. Den konkrete udformning og organisatoriske forankring var væsentlig for vurderingen.
Praktiske rammer for referenceregistre
Arbejdsgivere – også offentlige – bør ved etablering af referenceregistre klart definere formål, datasæt, målgrupper og beslutningsprocesser. En binær markering af registrering, kombineret med videre håndtering hos HR, reducerer risiko for overbehandling og sikrer, at vurderinger sker i en saglig, individuel ramme.
Transparens over for de registrerede, dokumenteret slettepolitik og styring af brugeradgang er centrale. Der bør foretages en risikovurdering og, hvor relevant, overvejes en konsekvensanalyse. Afgrænsning til én forvaltningsgren og fravær af udlevering på tværs af juridiske enheder taler for proportionalitet.
Følgende kontrolpunkter er ofte relevante ved etablering af referenceregistre:
- Fastlæg lovligt behandlingsgrundlag efter GDPR og databeskyttelsesloven samt dokumentér interesseafvejning, hvis relevant.
- Beskriv formål og datafelter snævert og undgå følsomme oplysninger, medmindre særskilt hjemmel foreligger.
- Etabler adgangsstyring, logning og regelmæssig kontrol af opslag.
- Implementér klare slettefrister og automatiserede sletteprocedurer.
- Sikre informationspligt, håndtering af indsigtsanmodninger og øvrige rettigheder.
- Vurder behov for konsekvensanalyse og tilpas tekniske og organisatoriske foranstaltninger.
Afgørelsen giver praktisk pejlemærke, men er ikke et generelt carte blanche. Hver løsning skal vurderes konkret og løbende efterleves gennem politikker, træning og kontrol.
