Persondatapolitik for medarbejdere

Persondatapolitik for medarbejdere i Danmark er et dokument, hvori arbejdsgiveren som dataansvarlig oplyser medarbejderne om, hvilke personoplysninger der behandles, til hvilke formål, med hvilke retsgrundlag og med hvilke rettigheder medarbejderne har. Persondatapolitik medarbejder Danmark er et lovkrav efter databeskyttelsesforordningen (GDPR, EU-forordning 2016/679) og databeskyttelsesloven (lov nr. 502 af 23/05/2018), der tilsammen regulerer behandling af personoplysninger i Danmark under tilsyn af Datatilsynet. En klar og opdateret persondatapolitik for medarbejdere er et af de mest konkrete og lettilgængelige tiltag, virksomheden kan tage for at vise medarbejderne, at den respekterer deres privatlivsbeskyttelse og tager sine juridiske forpligtelser alvorligt. Politikken er tillige et vigtigt og konkret signal i rekrutteringsprocessen og over for alle nye og eksisterende medarbejdere: den, der ved jobskifte ser en veldokumenteret og aktuelt opdateret persondatapolitik, ved med det samme, at virksomheden er professionel og klart ansvarlig i sin systematiske, lovpligtige behandling af medarbejdernes personoplysninger.

GDPR art. 13 og 14 pålægger den dataansvarlige (arbejdsgiveren) en oplysningspligt: medarbejderne skal informeres om behandlingen af deres personoplysninger ved indsamlingen (art. 13) eller senest 1 måned efter indsamlingen (art. 14). Oplysningspligten er ikke blot en formalitet; den er et grundlæggende GDPR-princip om gennemsigtighed og giver medarbejderne mulighed for at udøve deres rettigheder.

En arbejdsgiver behandler typisk en bred vifte af medarbejderes personoplysninger, herunder navn, adresse og CPR-nummer til skatteindberetning, løn- og bankoplysninger til lønudbetaling, ansættelsesoplysninger (titel, afdeling, anciennitet), sygefraværsdata, sundhedsoplysninger (mulighedserklæringer, graviditet), fagforeningsmedlemskab (i visse tilfælde), evaluerings- og præstationsdata, og IT-aktivitetslogfiler. Mange af disse kategorier er reguleret af særlige regler: CPR-numre kræver en hjemmel efter databeskyttelseslovens § 11, sundhedsoplysninger og fagforeningsmedlemskab er særlige kategorier (GDPR art. 9) der kun må behandles med udtrykkeligt samtykke eller anden specifik hjemmel.

Databeskyttelsesloven (lov nr. 502/2018), der implementerer GDPR i dansk ret med supplerende nationale bestemmelser, fastsætter bl.a., at alderen for samtykke er 15 år (§ 6), og giver Datatilsynet beføjelse til at behandle klager, pålægge bøder og udstede påbud. Datatilsynets tilsyn er risikobaseret, og store arbejdsgivere med mange medarbejdere er særligt i fokus. Persondatapolitikken er et centralt instrument til at dokumentere, at virksomheden overholder sine forpligtelser.

Persondatapolitik for medarbejdere i Danmark er nødvendig i en lang række situationer, og arbejdsgivere bør ikke afvente et krav fra Datatilsynet.

Når virksomheden ansætter sine første medarbejdere. Oplysningspligten efter GDPR art. 13 skal opfyldes ved indsamlingen af medarbejderens personoplysninger, dvs. normalt ved ansættelsesstart. En skriftlig persondatapolitik er den mest strukturerede og dokumenterbare måde at opfylde denne pligt på og sikrer, at alle nye medarbejdere modtager de samme informationer.

Når GDPR stiller krav om dokumentation og accountability. Under Datatilsynets tilsyn og risikobaserede undersøgelser skal arbejdsgiveren kunne dokumentere, at medarbejderne er informeret om behandlingen af deres personoplysninger, og at en behandlingsprotokol (GDPR art. 30) er udarbejdet. En skriftlig persondatapolitik er den naturlige, verificerbare dokumentation.

Når virksomheden behandler særlige kategorier. Virksomheder, der behandler sundhedsoplysninger (sygemeldinger, graviditet, mulighedserklæringer), fagforeningsmedlemskab eller biometriske data (GDPR art. 9), har et skærpet behov for en klar politik, der præcist beskriver behandlingsgrundlaget (typisk GDPR art. 9, stk. 2) og de tilhørende sikkerhedsforanstaltninger.

Når der er et databrud. Hvis en virksomhed opdager et brud på persondatasikkerheden, der kompromitterer medarbejderes personoplysninger, er en klar politik vigtig for at følge anmeldelsesproceduren til Datatilsynet (72-timers frist, GDPR art. 33), informere de berørte medarbejdere og dokumentere de foranstaltninger, der var truffet.

Når medarbejdere udøver deres rettigheder. Medarbejdere kan anmode om indsigt (GDPR art. 15), berigtigelse (art. 16), sletning (art. 17) og portabilitet (art. 20). En persondatapolitik, der informerer om disse rettigheder og procedurerne for at anmode om dem, forhindrer misforståelser og letter smidig behandling af anmodninger inden for fristen på 1 måned.

Når personalehåndbogen udarbejdes eller opdateres. Persondatapolitikken for medarbejdere er et naturligt afsnit i personalehåndbogen og bør inkluderes ved udarbejdelse eller opdatering heraf.

Når ansættelsesbevisloven stiller krav. Ansættelsesbevisloven (lov nr. 501/2023) kræver, at medarbejdere informeres om relevante ansættelsevilkår. Persondatapolitikken supplerer dette ved at give den lovpligtige GDPR-oplysning om personoplysningsbehandlingen.

Når virksomheden indfører kunstig intelligens eller automatiserede processer. AI-drevne HR-tools, algoritmisk screening af jobansøgere eller automatiserede præstationsvurderinger skaber nye GDPR-udfordringer (GDPR art. 22 om automatiserede afgørelser) og kræver opdatering af persondatapolitikken for at afspejle de nye behandlingsaktiviteter.

Persondatapolitik for medarbejdere i Danmark bør indeholde en række elementer, der opfylder GDPR art. 13 og dansk databeskyttelseslovgivning.

Dataansvarlig identifikation. Virksomhedens fulde navn, CVR-nummer og adresse. Kontaktoplysninger for databeskyttelse (DPO eller HR-ansvarlig med e-mail). Erhvervsstyrelsen registrerer CVR-numre på virk.dk.

Kategorier af personoplysninger. En præcis oversigt over de kategorier af personoplysninger, der faktisk behandles: navn, adresse, CPR-nummer (kræver hjemmel i databeskyttelseslovens § 11), løn- og skatteoplysninger, bankoplysninger (NemKonto), ansættelsesoplysninger (stilling, afdeling, anciennitet), sygefraværsdata, sundhedsoplysninger ved sygeopfølgning (særlig kategori, GDPR art. 9), fagforeningsmedlemskab (særlig kategori), og eventuelle IT-aktivitetslogfiler og adgangskontroldata.

Formål og retsgrundlag. En klar beskrivelse af de specifikke formål med behandlingen (lønudbetaling, skatteindberetning til Skattestyrelsen, HR-administration, APV, sygeopfølgning, adgangskontrol) og det tilsvarende retsgrundlag (GDPR art. 6: opfyldelse af kontrakt (litra b), retlig forpligtelse (litra c), eller legitime interesser (litra f); for særlige kategorier GDPR art. 9, stk. 2).

Opbevaringsperiode. En specifik beskrivelse af, hvor længe de forskellige kategorier opbevares. Regnskabsdata og lønoplysninger opbevares typisk 5 år efter fratræden (bogføringsloven). Sundhedsoplysninger slettes straks efter at formålet er opnået. IT-logfiler slettes typisk efter 6-12 måneder. Opbevaringsbegrænsning er et GDPR-grundprincip. Find skabeloner til relaterede HR-dokumenter på forms-legal.com.

Modtagere og videregivelse. En oversigt over, hvilke tredjeparter der modtager oplysningerne: Skattestyrelsen (skatteindberetning), Udbetaling Danmark (ydelser under barsel, dagpenge), fagforening (kun ved samtykke), pengeinstitut (lønudbetaling), og eventuelle lønbureauer eller IT-leverandører der fungerer som databehandlere (DPA krævet, GDPR art. 28). Eventuelle overførsler til tredjelande (USA, Indien for cloud-tjenester) skal beskrives med overførselsgrundlag (GDPR art. 44-49).

Medarbejdernes rettigheder. En klar oversigt over medarbejdernes rettigheder med praktisk vejledning: indsigt (art. 15 — kopi af data), berigtigelse (art. 16 — rettelse af fejl), sletning (art. 17 — ret til at blive glemt), begrænsning (art. 18 — begrænset behandling), portabilitet (art. 20 — overflytning af data), og indsigelse (art. 21 — mod behandling). Oplysning om at anmodninger besvares inden 1 måned og at Datatilsynet kan klages til.

Datatilsynet. Klageadgang til Datatilsynet (Carl Jacobsens Vej 35, 2500 Valby, [email protected], datatilsynet.dk). Datatilsynet behandler klager gratis og kan pålægge bøder og udstede påbud.

Sikkerhedsforanstaltninger og håndtering af brud. En beskrivelse af de tekniske og organisatoriske sikkerhedsforanstaltninger (kryptering, adgangskontrol, backup) og en klar angivelse af, at brud på persondatasikkerheden anmeldes til Datatilsynet inden 72 timer (GDPR art. 33) og at berørte medarbejdere underrettes ved høj risiko (art. 34).

Persondatapolitik for medarbejdere i Danmark udfyldes trin for trin for at opfylde GDPR's oplysningspligt og dokumentationskrav.

Trin 1 — Angiv virksomhedsoplysninger. Skriv virksomhedens fulde navn, CVR-nummer fra Erhvervsstyrelsen (virk.dk) og adresse. Angiv kontaktoplysninger for databeskyttelse, fx HR-chefen eller den databeskyttelsesansvarlige (DPO), med direkte e-mail.

Trin 2 — Oplist kategorier af personoplysninger. Gennemgå grundigt, hvilke personoplysninger virksomheden faktisk behandler om medarbejdere: navn, adresse, CPR-nummer, løn, bankoplysninger, sygefravær, sundhedsoplysninger, fagforeningsmedlemskab, IT-logfiler mv. Vær præcis; for bred en oplistning er vildledende, og for smal en oplistning kan betyde, at oplysningspligten ikke er opfyldt.

Trin 3 — Beskriv formål præcist. Angiv de specifikke, afgrænsede formål med behandlingen: lønudbetaling og skatteindberetning til Skattestyrelsen, HR-administration (ansættelsesbeslutninger, præstationsudvikling), sygdomsopfølgning og APV, IT-sikkerhed og adgangskontrol.

Trin 4 — Fastlæg retsgrundlag. For hvert formål: angiv det specifikke GDPR-retsgrundlag (litra b: kontrakt, litra c: retlig forpligtelse, litra f: legitime interesser). For særlige kategorier: angiv GDPR art. 9-hjemmel.

Trin 5 — Angiv opbevaringsperioder. Fastsæt specifikke perioder for hvert datatype: regnskabsdata 5 år (bogføringsloven), sundhedsoplysninger slettes ved fratrædelse, IT-logfiler 6-12 måneder. Opbevaringsbegrænsning er et GDPR-grundprincip.

Trin 6 — Angiv modtagere og databehandlere. Oplist tredjeparter (Skattestyrelsen, Udbetaling Danmark, lønbureau, bank) og databehandlere (IT-leverandører, HR-software). Indgå DPA med alle databehandlere (GDPR art. 28). Ved overførsler til tredjelande: angiv overførselsgrundlag.

Trin 7 — Beskriv medarbejdernes rettigheder og klageadgang. Inkluder en klar oversigt over rettighederne (indsigt, berigtigelse, sletning, begrænsning, portabilitet, indsigelse) og oplys om 1-måneds-fristen og Datatilsynets klageadgang ([email protected]).

Trin 8 — Beskriv sikkerhedsforanstaltninger og brudprocedure. Angiv de tekniske og organisatoriske sikkerhedsforanstaltninger og processen for håndtering af databrud (72-timers anmeldelse til Datatilsynet, underretning af berørte medarbejdere).

Trin 9 — Angiv ikrafttrædelse og godkendelse. Skriv ikrafttrædelsesdato og hvem der har godkendt politikken (typisk direktionen).

Trin 10 — Kommuniker, dokumenter og vedligehold. Udlever politikken til alle ansatte ved ansættelsesstart og indhent kvittering. Opdater politikken ved ændringer i behandlingsaktiviteterne, nye databehandlere eller lovændringer. Gennemgå politikken mindst en gang om året.

Persondatapolitik for medarbejdere i Danmark er reguleret af GDPR og dansk databeskyttelseslovgivning.

Databeskyttelsesforordningen (GDPR, EU-forordning 2016/679). GDPR er direkte gældende i Danmark og pålægger arbejdsgiveren som dataansvarlig en oplysningspligt ved indsamling af personoplysninger (art. 13: ved direkte indsamling; art. 14: ved indirekte indsamling). Oplysningerne skal gives i klart og forståeligt sprog. GDPR art. 5 fastsætter grundprincipper: lovlighed, rimelighed, gennemsigtighed, formålsbegrænsning, dataminimering, rigtighed, opbevaringsbegrænsning, integritet og fortrolighed.

Databeskyttelsesloven (lov nr. 502 af 23/05/2018). Loven supplerer GDPR med nationale særregler, herunder: alderen for samtykke (15 år, § 6), behandling af CPR-numre kræver særskilt hjemmel (§ 11), og Datatilsynets beføjelser til tilsyn, klagebehandling og sanktioner (§§ 27-42). Datatilsynet (datatilsynet.dk) er tilsynsmyndighed.

Særlige kategorier (GDPR art. 9). Sundhedsoplysninger, fagforeningsmedlemskab, biometriske data og lignende særlige kategorier kræver eksplicit samtykke eller en specifik hjemmel for behandling. Mange arbejdsgivere behandler sundhedsoplysninger (sygemeldinger, mulighedserklæringer, graviditet) og skal have en klar hjemmel.

Brud på persondatasikkerheden (GDPR art. 33-34). Brud skal anmeldes til Datatilsynet inden 72 timer. Berørte medarbejdere skal underrettes, hvis bruddet indebærer høj risiko. En klar persondatapolitik beskriver sikkerhedsforanstaltningerne og beredskabsprocedurerne.

Sanktioner. GDPR-bøder kan udgøre op til 20 mio. EUR eller 4 % af global omsætning, jf. GDPR art. 83. Datatilsynet har i Danmark udstedt bøder til arbejdsgivere for manglende GDPR-overholdelse, herunder manglende oplysningspligt og ulovlig behandling af særlige kategorier.

Art. 30-fortegnelse. Alle dataansvarlige (med undtagelse af virksomheder med under 250 ansatte og ingen behandling af særlige kategorier) skal føre en fortegnelse over behandlingsaktiviteter (GDPR art. 30). Fortegnelsen dokumenterer alle behandlingsaktiviteter, formål, kategorier, modtagere og opbevaringsperioder. Datatilsynet kan kræve at se fortegnelsen ved tilsyn. En persondatapolitik og art. 30-fortegnelse supplerer hinanden og bør holdes opdaterede simultant.

Persondatapolitik for medarbejdere i Danmark indeholder ofte fejl, der kan udgøre overtrædelser af GDPR og databeskyttelsesloven.

Fejl 1 — Ingen persondatapolitik. Den hyppigste fejl er, at arbejdsgiveren slet ikke har en persondatapolitik for medarbejdere og dermed ikke opfylder GDPR's oplysningspligt (art. 13). Datatilsynet kan reagere herpå og udstede påbud.

Fejl 2 — For bredt formål. En persondatapolitik, der beskriver formålet med behandlingen for bredt (fx »til administrationsformål«), opfylder ikke GDPR's krav om specifikke og klare formål. Formålene skal beskrives præcist og konkret.

Fejl 3 — Manglende retsgrundlag. Politikken angiver ikke, hvilken GDPR-artikel (art. 6 eller art. 9) behandlingen hviler på. Manglende angivelse af retsgrundlag er en hyppig fejl og kan udløse Datatilsynets opmærksomhed.

Fejl 4 — CPR-nummer behandles uden hjemmel. CPR-numre kræver en særskilt hjemmel efter databeskyttelseslovens § 11 (lovpligtig behandling, samtykke eller overenskomst). Mange virksomheder behandler CPR-numre uden at have identificeret hjemmlen.

Fejl 5 — Sundhedsoplysninger behandles for bredt. Sundhedsoplysninger er særlige kategorier (GDPR art. 9) og må kun behandles til det specifikke formål. Deling af en medarbejders sygemelding med kolleger uden saglig grund er i strid med loven.

Fejl 6 — Manglende oplysning om Datatilsynet. Politikken glemmer at oplyse om medarbejdernes ret til at klage til Datatilsynet ([email protected]). GDPR art. 13 kræver eksplicit oplysning om klageadgangen.

Fejl 7 — Aldrig opdateret. En persondatapolitik, der ikke er opdateret til at afspejle de aktuelle behandlingsaktiviteter og lovændringer, er ikke i overensstemmelse med GDPR's krav om gennemsigtighed og rigtighed.

Fejl 8 — Ingen DPA med databehandlere. Mange virksomheder benytter lønbureauer, HR-software eller IT-leverandører, der behandler medarbejderdata, uden at have indgået en skriftlig databehandleraftale (DPA), jf. GDPR art. 28. Manglende DPA er en hyppig overtrædelse, Datatilsynet konstaterer ved tilsyn.

Fejl 9 — Politikken er kun på dansk. I virksomheder med udenlandske medarbejdere bør persondatapolitikken oversættes til de relevante sprog (engelsk, polsk, rumænsk mv.), da oplysningspligten kræver, at medarbejderne faktisk kan forstå informationen. En politik, der ikke forstås, opfylder ikke GDPR's krav om transparent information.

Fejl 10 — Manglende sletningsprocedure. Mange virksomheder opbevarer medarbejderdata langt ud over det nødvendige uden en klar sletningsprocedure. En fratrådende medarbejders lønsedler opbevares korrekt i 5 år pga. bogføringsloven, men sundhedsoplysninger og evalueringsrapporter bør slettes langt hurtigere. Manglende sletning er en overtrædelse af opbevaringsbegrænsningsprincippet i GDPR art. 5, stk. 1, litra e, og kan give Datatilsynets opmærksomhed ved tilsyn.