Workplace privacy: Employers should consider carefully before sharing information about the reason their employees have left

Datatilsynet har indstillet en privat virksomhed til en bøde for at have delt detaljer om påståede strafbare forhold vedrørende en fratrådt medarbejder med kunder. I Danmark kan tilsynsmyndigheden ikke udstede administrative bøder, og sagen skal derfor føres ved domstolene efter politianmeldelse og tiltale fra anklagemyndigheden. Myndigheden vurderede, at virksomheden gerne måtte informere kunder om, at medarbejderen var fratrådt og ikke længere kunne forpligte virksomheden, men at detaljerede beskrivelser af de påståede lovovertrædelser manglede lovligt grundlag og stred mod dataminimering.

Deling af strafoplysninger og behandlingsgrundlag

Virksomheden beskrev i e-mails til flere kunder de påståede strafbare forhold i et omfang, som modtagerne måtte opfatte som sande. Oplysninger om strafbare forhold er underlagt skærpede regler, og behandling forudsætter hjemmel efter databeskyttelsesloven § 8 samt overholdelse af GDPR’s principper, herunder art. 10.

Datatilsynet fandt, at der forelå en legitim interesse i at afgrænse medarbejderens fuldmagter og informere om fratrædelsen. De detaljerede beskrivelser var derimod ikke nødvendige for formålet og udgjorde en uforholdsmæssig videregivelse i strid med dataminimering og krav til behandlingsgrundlag.

Dansk håndhævelse: bøder via domstolene

I Danmark afgør domstolene bøder for brud på GDPR. Datatilsynet kan indstille et bødeniveau og anmelde forholdet til politiet, hvorefter anklagemyndigheden fører sagen i retten.

I en lignende sag fra 2021 nedsatte retten en indstillet bøde fra 400.000 kr. til 100.000 kr. Retten lagde vægt på, at der var tale om førstegangsforseelse, én registreret og få modtagere, men også at videregivelsen var forsætlig og kunne påvirke medarbejderens jobmuligheder.

Praktiske retningslinjer for arbejdsgivere

Arbejdsgivere bør begrænse kundekommunikation til det nødvendige: bekræft fratrædelse og afgræns fuldmagter, men undlad beskrivelser af påståede strafbare forhold. Dokumentér hjemmelsgrundlag og foretag en proportionalitetsvurdering.

Etabler klare politikker, godkendelsesflows og skabeloner for fratrædelseskommunikation, og træning af ledere i dataminimering. Inddrag HR og juridisk funktion før ekstern deling, og anvend offboarding-tjeklister for at sikre compliant praksis.