Legitime interesser

Datatilsynet skærper praksis for databeskyttelse i ansættelsesforhold: Samtykke er sjældent gyldigt, og arbejdsgivere skal bruge legitim interesse eller offentlig myndighedsudøvelse ved referencer, straffeattester og medarbejdermateriale. Fokus er på gennemsigtighed, proportionalitet og dataminimering.

Datatilsynet kritiserer en arbejdsgiver for at dele detaljer om en afskedigelse i en fællesmail til hele arbejdspladsen. Kun relevante personer må orienteres, og dataminimering og proportionalitet efter GDPR går forud for hensynet til at forebygge rygtedannelse.

Datatilsynet skærper kursen for databehandling i ansættelsesforhold: Samtykke kan sjældent bære behandlingen, referencer skal understøttes af lovligt grundlag, straffeattester må kun indhentes ved konkret behov, og offentliggørelse af medarbejderfotos kræver klar hjemmel.

Datatilsynet godkendte, at Securitas videregav identifikationsoplysninger til PET og FE som led i obligatorisk sikkerhedsgodkendelse ved ansættelse. Afgørelsen understreger, at arbejdsgivere kan dele nødvendige data med myndigheder, når GDPR’s krav om grundlag, oplysningspligt og dataminimering er opfyldt.

Datatilsynet har opdateret vejledningen om databeskyttelse i ansættelsesforhold med præciseringer om straffeattester, referencetagning, arbejdsgiverens oplysningspligt og videregivelse. Vejledningen tydeliggør relevante GDPR-regler og er omstruktureret for lettere, praktisk anvendelse.

Datarådets praksis fastslår, at en advokats ulovlige videregivelse ikke udelukker, at modtageren lovligt kan bruge oplysningerne efter GDPR art. 6 stk. 1 litra f. Afgørelserne viser samspil med god advokatskik og giver konkrete pejlemærker for advokaters vurderinger.

Datatilsynet kritiserer Vækstfonden for brug af spy pixels i nyhedsbreve uden samtykke og uden korrekt information til modtagerne. Afgørelsen slår fast, at e-mailtracking er persondatabehandling, som kræver gyldigt behandlingsgrundlag og opfyldelse af oplysningspligten.

Datatilsynet flytter i 2023 fokus fra dybe enkeltklager til flere generelle tilsyn. Indsatserne retter sig mod børn, DPO-rollen, cookies og tv-overvågning samt fælleseuropæiske informationssystemer og Retshåndhævelsesloven. Organisationer bør styrke dokumentation og risikovurderinger.

Datatilsynet præciserer, at personoplysninger ikke må opbevares for en sikkerheds skyld efter tilbagekaldt samtykke. Henvisning til generelle forældelsesfrister kan ikke begrunde flerårig opbevaring. Virksomheder skal slette data, når formålet ophører, og sikre tydelig information.

To nye afgørelser fra Datarådet skærper linjen for advokaters håndtering af personoplysninger: Videregivelsen blev kritiseret, mens modtagerens brug blev anset lovlig efter interesseafvejning. Afgørelserne præciserer samspillet mellem GDPR og god advokatskik og øger kravene til dokumentation.