Journalnummer: 2019-31-2250
Resume
Datatilsynet har på baggrund af en klage udtalt alvorlig kritik af, at NCC Danmark A/S’ behandling af personoplysninger ikke var sket i overensstemmelse med reglerne i databeskyttelsesforordningen om lovlig behandling af personoplysninger og følsomme personoplysninger, og at NCC ikke havde opfyldt sin oplysningspligt om de oplysninger, som NCC havde indsamlet om sine medarbejdere.
NCC havde opsagt en medarbejder, og der verserede på baggrund af opsigelsen en sag ved Arbejdsretten med påstand om organisationsfjendtlig adfærd ved opsigelsen, ligesom sagen var dækket i medierne.
NCC havde i en intern orientering i en e-mail til flere af virksomhedens ansatte behandlet personoplysninger om klager i form af navn, årsag til afskedigelse, tidligere ansættelsesforhold og fagforeningsmæssigt tilhørsforhold.
NCC begrundede orienteringen i e-mailen med den uro, som dækningen af sagen i medierne skabte på arbejdspladserne.
Datatilsynet fandt, at NCC’s behandling af personoplysninger og følsomme personoplysninger i e-mailen ikke var sket i overensstemmelse med reglerne i databeskyttelsesforordningen, idet NCC ikke havde godtgjort at have haft en legitim interesse i at orientere om afskedigelsen af klager og om klagers tidligere ansættelsesforhold, og idet orienteringen om en konflikt med et bestemt fagforbund ikke kunne indeholde personoplysninger, da der er et absolut forbud mod at behandle oplysninger om fagforeningsmæssigt forhold, og ingen af undtagelserne til forbuddet fandt anvendelse.
Datatilsynet fandt endvidere, at NCC ikke havde opfyldt sin oplysningspligt over for sine medarbejdere, idet det ikke var tilstrækkeligt at persondatapolitikken for medarbejdere var tilgængelig på intranettet, hvis ikke den registrerede var blevet specifikt henvist til den.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor 3F på vegne af 3F’s medlem XX (herefter klager) den 11. september 2019 har klaget til tilsynet over NCC Danmark A/S’ (herefter NCC) behandling af personoplysninger om klager som led i en fagretlig sag vedrørende sagligheden ved klagers afskedigelse.
Datatilsynet har forstået klagen som en klage over, at NCC har behandlet oplysninger om klager uden hjemmel i databeskyttelsesforordningen.
Datatilsynet skal bemærke, at tilsynet alene kan tage stilling til databeskyttelsesretlige spørgsmål. Datatilsynet har derfor med denne afgørelse ikke taget stilling til rigtigheden af de oplysninger, der er omfattet af behandlingen, ligesom Datatilsynet ikke har taget stilling til spørgsmål vedrørende den arbejdsretlige konflikt. Datatilsynet har endvidere ikke taget stilling til problemstillingen vedrørende den i sagen omhandlede e-mails påståede ophængning i en skurvogn.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at NCC Danmark A/S’ behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens[1] artikel 6, stk. 1, litra f, artikel 9, artikel 13 og artikel 14.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at NCC den 1. november 2018 opsagde klager med virkning fra den 4. november 2018. 3F gik som repræsentant for klager ind i sagen, og der verserer nu en sag ved Arbejdsretten med påstand om organisationsfjendtlig adfærd ved opsigelsen.
Konflikten har på foranledning af 3F været dækket i pressen af Avisen.dk og af fagbladet 3F, uden at klagers navn har været nævnt i dækningen. Den verserende konflikt medførte den 18. februar 2019, at 3F/BJMF Snedker Tømrernes Brancheklub uanmeldt mødte op på NCC’s hovedkontor i en protestdemonstration med ca. 30-50 tillidsvalgte snedkere og tømrere fra København.
I en e-mail af 19. februar 2019 med emnefeltet ”3F sag i pressen” orienterede en senior produktionschef hos NCC 17 byggeledere om baggrunden for konflikten med 3F.
I e-mailen fremgik bl.a.:
”Hej alle
Som de fleste af jer formegentlig er bekendt med, har vi i øjeblikket en verserende sag kørende med 3F/Brancheklubben.
[resten af mailens indhold offentliggøres ikke af hensyn til klager]
3F har på vegne af klager den 29. marts 2019 anmodet om, at oplysningerne vedrørende klagers tidligere ansættelsesforhold berigtiges, under henvisning til, at der er tale om ukorrekte oplysninger.
Advokat AA har på vegne af NCC i et brev til Datatilsynet oplyst, at det ikke er muligt for NCC at berigtige oplysningerne, da det er NCC’s opfattelse, at indholdet i e-mailen af 19. februar 2018 om klageren er korrekt.
2.1. Klagers bemærkninger
3F har på vegne af klager overordnet anført, at NCC’s videregivelse af oplysninger om klagers tidligere ansættelsesforhold, oplysninger om begrundelsen for afskedigelsen og oplysningerne om klagers fagforeningsmæssige tilhørsforhold er sket i strid med de databeskyttelsesretlige regler, idet oplysningerne går ud over, hvad der kan anses for at være nødvendigt for NCC at oplyse for at forfølge en legitim interesse.
3F har på vegne af klager herudover anført, at NCC uberettiget har videregivet oplysninger om klager ad to omgange, henholdsvis i forbindelse med orienteringen den 19. februar 2019 og i forbindelse med at samme e-mail blev printet og hængt op i en skurvogn, som benyttedes af NCC’s ansatte.
3F har på vegne af klager endvidere anført, at oplysningerne om afskedigelse i tidligere ansættelsesforhold er usande.
Endelig har 3F på vegne af klager anført, at NCC ikke har opfyldt sin oplysningspligt i medfør af databeskyttelsesforordningens artikel 14 ved behandlingen af personoplysninger om klager.
2.2. NCC’s bemærkninger
Advokat AA har på vegne af NCC overordnet anført, at der ikke er sket videregivelse af oplysningerne. I den forbindelse har han anført, at e-mailen af 19. februar 2019 er en intern orientering, der alene er sendt til 17 tømrersvende, der agerede som ledere for diverse byggepladser den 19. februar 2019, og at NCC ikke er bekendt med, at e-mailen skulle være hængt op i en skurvogn.
Endvidere har advokat AA på vegne af NCC anført, at baggrunden for orienteringen var den uro, som dækningen i medierne og 3F’s adfærd skabte på arbejdspladserne.
Advokat AA har på vegne af NCC yderligere anført, at NCC er af den opfattelse, at indholdet af e-mailen af 19. februar 2019 er korrekt, og at der ikke er grundlag for at foretage en ajourføring, sletning eller berigtigelse af personoplysningerne.
Advokat AA har på vegne af NCC endelig anført, at NCC’s persondatapolitik for medarbejdere fremgår af intranettet, men at NCC i forbindelse med klagen er blevet opmærksom på, at ikke alle timeansatte har adgang til intranettet og derfor ikke er blevet gjort bekendt med politikken. NCC vil fremover sende et brev med persondatapolitikken til alle timeansattes e-Boks, ligesom NCC vil udarbejde en ”flyer” til uddeling på alle byggepladser om NCC’s behandling af personaleoplysninger. Af persondatapolitikken for medarbejdere fremgår bl.a., at NCC indsamler oplysninger fra den registrerede selv og fra andre end den registrerede.
3. Begrundelse for Datatilsynets afgørelse
3.1. Behandling af personoplysninger i e-mailen af 19. februar 2019
Datatilsynet har ved sin afgørelse lagt til grund, at NCC i en intern orientering i en e-mail af 19. februar 2019 har behandlet personoplysninger om klager i form af navn, årsag til afskedigelse, tidligere ansættelsesforhold og fagforeningsmæssigt tilhørsforhold. Datatilsynet bemærker, at en sådan intern orientering ikke er udtryk for en videregivelse, men alene er udtryk for en behandling.
Behandling af personoplysninger er lovlig i det omfang mindst et af forholdene i databeskyttelsesforordningens artikel 6, stk. 1, litra a-f, gør sig gældende.
Efter artikel 6, stk. 1, litra f, kan behandling finde sted, hvis behandlingen er nødvendig for at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor.
Det fremgår endvidere af databeskyttelsesforordningens artikel 9, stk. 1, at behandling af personoplysninger om blandt andet fagforeningsmæssigt tilhørsforhold er forbudt, med mindre en af de i stk. 2, litra a-j oplistede undtagelser finder anvendelse.
NCC har oplyst, at baggrunden for orienteringen i e-mailen af 19. februar 2019 var den uro, som dækningen af sagen i medierne og 3F’s adfærd skabte på arbejdspladserne. Formålet med orienteringen var således ikke at oplyse de øvrige medarbejdere eller ledere om, at der var foretaget en afskedigelse, der også tidsmæssigt lå langt forud for orienteringen. Formålet var derimod at ”forsvare” sig internt i den offentlige konflikt med 3F.
Datatilsynet finder, at NCC’s behandling af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, litra f og artikel 9.
Datatilsynet har ved denne vurdering lagt vægt på, at oplysningerne om afskedigelsen i e-mailen ikke bundede i et hensyn, der knyttede sig til afskedigelsen af klager, men derimod knyttede sig til den arbejdsretlige konflikt med 3F. NCC har således ikke godtgjort at have haft en legitim interesse i at orientere om afskedigelsen af klager, uagtet at en sådan legitim interesse, efter omstændighederne, kan veje tungere end hensynet til klager.
Datatilsynet finder endvidere, at NCC ikke har haft en legitim interesse i at behandle oplysninger om klagers tidligere ansættelsesforhold.
Endvidere finder Datatilsynet, at behandling af personoplysninger i en e-mail med overskriften ”3F i pressen” i sig selv indebærer, at der behandles følsomme personoplysninger om fagforeningsmæssige forhold, hvorfor behandlingen af samtlige personoplysninger i e-mailen tillige udgør en overtrædelse af databeskyttelsesforordningens artikel 9.
Datatilsynet har ved denne vurdering lagt vægt på, at forordningens artikel 9, stk. 1, indeholder et absolut forbud mod at behandle oplysninger om fagforeningsmæssigt forhold, og at ingen af undtagelserne i stk. 2, litra a-j finder anvendelse.
Datatilsynet finder dog, at NCC har en legitim interesse i at orientere virksomhedens ansatte om en igangværende konflikt, der skaber uro på arbejdspladsen, særligt når konflikten er offentlig, og de ansatte får informationer fra anden side. En sådan orientering om en konflikt med et bestemt fagforbund kan dog ikke indeholde personoplysninger, idet artikel 9, stk. 1, indeholder et absolut forbud mod at behandle oplysninger om fagforeningsmæssigt forhold, og idet ingen af undtagelserne i stk. 2, litra a-j finder anvendelse.
Datatilsynet bemærker, at NCC kunne have varetaget formålet med orienteringen uden at behandle personoplysninger.
3.2. Oplysningspligten efter artikel 13 og 14
På baggrund af sagens oplysninger, herunder det oplyste i persondatapolitikken for medarbejdere, lægger Datatilsynet til grund, at NCC indsamler oplysninger om sine medarbejdere fra medarbejderen selv og fra andre end medarbejderen.
Når den dataansvarlige indsamler personoplysninger hos den registrerede og hos andre end den registrerede, skal den dataansvarlige iagttage oplysningspligten efter databeskyttelsesforordningens artikel 13 og artikel 14. Kravene til indholdet af den meddelelse, som skal gives den registrerede, fremgår af bestemmelserne. For at den dataansvarlige kan iagttage oplysningspligten, er det en forudsætning, at den dataansvarlige giver oplysningerne til den registrerede. Dette indebærer, at den dataansvarlige skal tage aktive skridt til at give oplysningerne. Det skal således ikke være nødvendigt for den registrerede selv aktivt at søge efter oplysninger, der er omfattet af bestemmelserne.
Datatilsynet finder, at NCC ikke har opfyldt sin oplysningspligt i medfør af artikel 13 og artikel 14.
Datatilsynet har ved denne vurdering lagt vægt på, at NCC ikke har godtgjort, at klager var blevet gjort opmærksom på persondatapolitikken for medarbejdere. I den forbindelse bemærker tilsynet, at det ikke er tilstrækkeligt for at opfylde sin forpligtelse efter artikel 13 og artikel 14, at politikken er tilgængelig på intranettet, hvis ikke den registrerede er blevet specifikt henvist til den.
Efter en samlet vurdering af sagen finder Datatilsynet grundlag for at udtale alvorlig kritik af, at NCC’s behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 6, stk. 1, litra f, artikel 9, artikel 13 og artikel 14.
Ved denne vurdering har tilsynet lagt vægt på karakteren af de oplysninger, som ulovligt er blevet behandlet.
Datatilsynet har bemærket, at NCC har indført procedurer for fremadrettet at overholde sine forpligtelser i medfør af artikel 13 og artikel 14.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).