Journalnummer: 2019-421-0033
Afgørelse
1. Skriftligt tilsyn med Fødevarestyrelsen
Fødevarestyrelsen var blandt de dataansvarlige, som Datatilsynet i efteråret 2019 havde udvalgt at føre tilsyn med efter databeskyttelsesforordningen[1] og databeskyttelsesloven[2].
Datatilsynets tilsyn var et skriftligt tilsyn, som fokuserede på Fødevarestyrelsens opbevaring og sletning af personoplysninger om ansøgere – efter endt rekrutteringsforløb – indsamlet i forbindelse med rekruttering til ansættelse, hvor ansøgeren ikke er blevet ansat, jf. databeskyttelsesforordningens artikel 5, stk. 1, litra e (”opbevaringsbegrænsning”), artikel 5, stk. 2 (”ansvarlighed”), artikel 6, artikel 9 og databeskyttelsesloven § 8 og § 11.
Ved brev af 20. august 2019 varslede Datatilsynet tilsynet med Fødevarestyrelsen og anmodede i den forbindelse om en udtalelse.
Ved brev af 23. september 2019 sendte Fødevarestyrelsen en udtalelse til brug for sagen. Efter fornyet høring fra Datatilsynet den 4. november 2019 sendte Fødevarestyrelsen en yderligere udtalelse den 20. november 2019.
2. Datatilsynets afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at Fødevarestyrelsens behandling af oplysninger med henblik på at sikre dokumentation for korrekt rekrutteringsforløb er sket i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, litra e, artikel 9, stk. 2, litra f og databeskyttelseslovens § 11.
Herudover finder Datatilsynet, at Fødevarestyrelsens opbevaring og sletning af personoplysninger om ansøgere indsamlet i forbindelse med rekruttering til ansættelse, hvor ansøgeren ikke er blevet ansat, er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 5, stk. 1, litra e (opbevaringsbegrænsning) og artikel 5, stk. 2 (”ansvarlighed”), jf. artikel 5, stk. 1, litra e.
Nedenfor følger en gennemgang af sagens omstændigheder og en nærmere begrundelse for Datatilsynets afgørelse.
3. Fødevarestyrelsens bemærkninger
3.1. Behandlingsgrundlag
Fødevarestyrelsen har oplyst, at styrelsens formål med at opbevare oplysninger om ansøgere, der ikke er blevet ansat, er at kunne dokumentere forløbet af rekrutteringsprocessen i tilfælde af, at styrelsen f.eks. bliver mødt med indsigelser om diskrimination.
Fødevarestyrelsen har oplyst, at personoplysninger, der behandles efter endt rekrutteringsforløb med henblik på at sikre dokumentation for korrekt rekrutteringsforløb, behandles på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, artikel 9, stk. 2, litra f, og databeskyttelseslovens § 11 og § 12, stk. 2.
Fødevarestyrelsen har oplyst, at styrelsen efter endt rekrutteringsforløb behandler oplysninger om navn, adresse, telefonnummer, e-mailadresse, fødselsdato, køn, uddannelsesmæssig baggrund, handicap, personnummer, civilstatus, fritidsaktiviteter mv., tidligere beskæftigelse og nuværende stilling om ansøgere, der ikke er blevet ansat.
Fødevarestyrelsen behandler således oplysninger efter databeskyttelsesforordningens artikel 6, herunder særlige kategorier af oplysninger omfattet af artikel 9, og oplysninger om personnummer efter databeskyttelseslovens § 11.
3.2. Opbevaring, sletning og ansvarlighed
Fødevarestyrelsen har oplyst, at styrelsen opbevarer oplysninger om ansøgere i systemet HR Manager i 24 måneder efter påbegyndt rekrutteringsforløb, hvorefter oplysningerne, der er behandlet i forbindelse med det konkrete rekrutteringsforløb, automatisk slettes i systemet. Medarbejdere i styrelsen, der vedvarende arbejder i systemet, monitorerer og kontrollerer sletningen.
Herudover behandler styrelsen oplysninger i forbindelse med personlighedstests af ledere. Disse oplysninger opbevares i seks måneder i systemet People Test System efter endt rekrutteringsforløb, hvorefter de automatisk slettes.
Fødevarestyrelsen har vurderet, at 24 måneders opbevaring af oplysninger efter påbegyndt rekrutteringsforløb er nødvendigt, hvis styrelsen skal kunne dokumentere et rekrutteringsforløb i forbindelse med indsigelser om diskrimination. Fødevarestyrelsen har i forbindelse med opbevaring af personlighedstests vurderet, at opbevaring i seks måneder er nødvendigt, da selve rekrutteringsperioden i forbindelse med ansættelse af ledere typisk tager længere tid, og styrelsen derfor har behov for at gemme de oplysninger, der bliver indsamlet i forbindelse med testen, i op til seks måneder, efter rekrutteringsforløbet er afsluttet.
Fødevarestyrelsen har til Datatilsynet sendt en anonymiseret slettelog og styrelsens nedskrevne procedurer, redegørelser og lignende dokumentation vedrørende opbevaring og sletning af oplysninger om ansøgere.
4. Begrundelse for Datatilsynets afgørelse
4.1. Behandlingsgrundlag
Det fremgår af sagen, at alle oplysninger om en ansøger, der ikke er blevet ansat, som en ansøger afgiver i forbindelse med en rekrutteringsproces, opbevares af Fødevarestyrelsen i systemerne HR Manager og People Test System med henblik på at sikre dokumentation for korrekt rekrutteringsforløb. Ifølge Fødevarestyrelsen behandles oplysningerne på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, artikel 9, stk. 2, litra f, og databeskyttelseslovens § 11 og § 12, stk. 2.
Det er Datatilsynets opfattelse, at en offentlig arbejdsgiver skal dokumentere et konkret rekrutteringsforløb, som led i den offentlige myndigheds forpligtelse til at journalisere dokumenter. Dokumentationskravet kan tillige være relevant, hvis myndigheden bliver mødt med indsigelser om diskrimination.
Datatilsynet finder på den baggrund, at Fødevarestyrelsens behandling af oplysninger er sket i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, litra e, artikel 9, stk. 2, litra f og databeskyttelseslovens § 11.
4.2. Opbevaringsperiode
Datatilsynet har gennemgået Fødevarestyrelsens udtalelser af 23. september og 20. november 2019 og de af styrelsen fremsendte bilag hertil. Fødevarestyrelsen har i den forbindelse oplyst, at oplysninger i HR Manager slettes efter en periode på 24 måneder efter påbegyndt rekrutteringsforløb, og styrelsen har endvidere oplyst, at oplysninger i People Test System slettes efter en periode på seks måneder efter endt rekrutteringsforløb.
Fødevarestyrelsen har vurderet, at 24 måneders opbevaring af oplysninger efter påbegyndt rekrutteringsforløb er nødvendigt, hvis organisationen skal kunne dokumentere et rekrutteringsforløb i forbindelse med indsigelser om diskrimination. Fødevarestyrelsen har i forbindelse med opbevaring af personlighedstests vurderet, at opbevaring i seks måneder efter endt rekrutteringsforløb er nødvendigt, da selve rekrutteringsperioden i forbindelse med ansættelse af ledere typisk tager længere tid.
Datatilsynet finder ikke grundlag for at tilsidesætte Fødevarestyrelsens vurdering af, at det er nødvendigt at opbevare oplysninger om ansøgere i 24 måneder efter påbegyndt rekrutteringsforløb, når formålet med behandlingen er at dokumentere, hvorledes udvælgelsen er sket i rekrutteringsprocessen. Datatilsynet finder ligeledes ikke grundlag for at tilsidesætte Fødevarestyrelsens vurdering af, at det er nødvendigt at opbevare personlighedstests i en periode på seks måneder efter endt rekrutteringsforløb.
Datatilsynet har i den forbindelse lagt vægt på, at såvel perioden på 24 måneder som perioden på seks måneder fremstår saglig, og at de pågældende formål med behandlingen af personoplysninger til dels må antages at varetage de registreredes egne interesser.
Det er dermed Datatilsynets vurdering, at de pågældende opbevaringsperioder er i overensstemmelse med princippet om ”opbevaringsbegrænsning” i databeskyttelsesforordningens artikel 5, stk. 1, litra e.
4.3. Sletning af personoplysninger
Datatilsynet har gennemgået Fødevarestyrelsens udtalelser af 23. september og 20. november 2019 og de af styrelsen fremsendte bilag, herunder en anonymiseret slettelog, nedskrevne procedurer om sletning og Fødevarestyrelsens beskrivelse af organisationens kontrol med sletning.
Datatilsynet finder, at Fødevarestyrelsen i tilstrækkelig grad har dokumenteret, at styrelsen sletter oplysninger om ansøgere i systemet HR Manager efter en periode på 24 måneder efter påbegyndt rekrutteringsforløb og oplysninger om ansøgere i People Test System efter en periode på seks måneder efter endt rekrutteringsforløb.
Fødevarestyrelsens opbevaring og sletning af personoplysninger om ansøgere, der er indsamlet i forbindelse med rekruttering til ansættelse, i programmerne HR Manager og People Test System i tilfælde, hvor ansøgeren ikke er blevet ansat, ses således at være sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 5, stk. 1, litra e (opbevaringsbegrænsning) og artikel 5, stk. 2 (”ansvarlighed”), jf. artikel 5, stk. 1, litra e.
5. Konklusion
Efter en gennemgang af sagen finder Datatilsynet, at Fødevarestyrelsens behandling af oplysninger med henblik på at sikre dokumentation for korrekt rekrutteringsforløb er sket i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, litra e, artikel 9, stk. 2, litra f og databeskyttelseslovens § 11.
Herudover finder Datatilsynet, at Fødevarestyrelsens opbevaring og sletning af personoplysninger om ansøgere, der er indsamlet i forbindelse med rekruttering til ansættelse, men hvor ansøgeren ikke er blevet ansat, er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 5, stk. 1, litra e (opbevaringsbegrænsning) og artikel 5, stk. 2 (”ansvarlighed”), jf. artikel 5, stk. 1, litra e.
6. Afsluttende bemærkninger
Det fremgår af en samtykketekst, som Fødevarestyrelsen har sendt til Datatilsynet, at styrelsen på baggrund af et samtykke behandler oplysninger om ansøgere til brug for selve rekrutteringsprocessen. Det fremgår af samtykketeksten, at ansøgeres oplysninger behandles til det formål at besætte opslåede stillinger med kvalificerede kandidater. Det fremgår ligeledes af samtykketeksten, at hjemmelsgrundlaget for Fødevarestyrelsens behandling af personoplysninger i forbindelse med en rekrutteringsproces, ud over samtykket, er databeskyttelsesforordningens artikel 6, stk. 1, litra b, artikel 6, stk. 1, litra e, artikel 9, stk. 2, litra b, artikel 9, stk. 2, litra f, og databeskyttelseslovens § 11.
Datatilsynet skal i den forbindelse henstille til, at Fødevarestyrelsen undlader at basere behandlingen af personoplysninger i forbindelse med en rekrutteringsproces på samtykke efter databeskyttelsesforordningens artikel 6, stk. 1, litra a, og artikel 9, stk. 2, litra a, i det omfang styrelsen i stedet kan eller skal basere behandlingen på andre relevante bestemmelser i databeskyttelsesforordningen, herunder artikel 6, stk. 1, litra e, artikel 9, stk. 2, litra f, og databeskyttelseslovens § 11[3].
Hjemmelsgrundlaget skal derudover fremgå utvetydigt af de oplysninger, som Fødevarestyrelsen giver ansøgere i forbindelse med en rekrutteringsproces, herunder eventuelt af ”Information om dine rettigheder – når du søger job i Miljø- og Fødevareministeriet”, hvor det også skal fremgå, at styrelsen efter endt rekrutteringsforløb opbevarer oplysninger om ansøgere, der ikke er blevet ansat, med det formål at dokumentere rekrutteringsprocessen i forbindelse med eventuelle indsigelser om diskrimination, jf. databeskyttelsesforordningens artikel 13, stk. 1, litra c.
Datatilsynet anser herefter tilsynet som afsluttet og foretager sig ikke yderligere i sagen.
Datatilsynets afgørelser kan indbringes for domstolene, jf. grundlovens § 63.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
[3] Datatilsynets vejledning om databeskyttelse i forbindelse med ansættelsesforhold, december 2020, afsnit 4.1, s. 18