Journalnummer: 2025-211-3778.
Resumé
Datatilsynet har modtaget en anmodning om en vejledende udtalelse vedrørende leverandørers databeskyttelsesretlige hjemmel til at videregive medarbejderoplysninger til ordregiver med henblik på, at ordregiver kan kontrollere leverandørens iagttagelse af arbejdsklausuler fastsat i kontrakten.
Arbejdsklausuler anvendes i vidt omfang af både offentlige og private ordregivere for at sikre rimelige løn- og arbejdsvilkår hos leverandører og derved modvirke social dumping. Ordregivere stiller i den forbindelse ofte krav om, at leverandøren fremlægger dokumentation for sin overholdelse af arbejdsklausulerne, typisk i form af medarbejderes løn- og timesedler, ansættelseskontrakter m.v. Dette giver i praksis anledning til spørgsmål om leverandørens hjemmel til at videregive sådanne personoplysninger til ordregiver.
Datatilsynet vurderer, at leverandører som udgangspunkt må finde hjemmel til videregivelsen i interesseafvejningsreglen i databeskyttelsesforordningens artikel 6, stk. 1, litra f. Henset til arbejdsklausulernes formål vil der almindeligvis være tale om så tungtvejende legitime interesser, at disse vil kunne danne grundlag for videregivelsen af de omhandlede oplysninger, med mindre der konkret foreligger særlige omstændigheder, der taler imod en sådan videregivelse.
Udtalelse
1. Datatilsynet har den 11. juli 2025 modtaget en anmodning fra Acurra Advokatpartnerselskab om en vejledende udtalelse vedrørende videregivelse af personoplysninger i forbindelse med leverandørers iagttagelse af krav i arbejdsklausuler.
Du har som baggrund for anmodningen anført, at arbejdsklausuler anvendes i stigende grad af både offentlige og private ordregivere i deres kontrakter med leverandører. Klausulerne har til formål at sikre, at leverandørernes medarbejdere aflønnes og ansættes på vilkår, der svarer til gældende overenskomster, og derved modarbejde social dumping. Du har endvidere oplyst, at der i praksis ofte opstår spørgsmål om rammerne for udveksling af løn- og timesedler og ansættelseskontrakter som bevis for leverandørers overholdelse af disse arbejdsklausuler.
2. Dine spørgsmål til Datatilsynet vedrører det databeskyttelsesretlige hjemmelsgrundlag, når en leverandør videregiver almindelige personoplysninger om sine medarbejdere til ordregiver med henblik på, at denne kan kontrollere leverandørens overholdelse af arbejdsklausuler i kontrakten. Du sondrer i anmodningen mellem de tilfælde, hvor en (offentlig) ordregiver som følge af bagvedliggende lovgivning mv. er forpligtet til at sikre arbejdsklausuler i kontrakten, og de tilfælde, hvor grundlaget for arbejdsklausulen alene er kontrakten mellem ordregiver og leverandør.
3. Det er – efter at sagen har været forelagt Datarådet – Datatilsynets vurdering, at selvom en offentlig ordregiver efter omstændighederne kan være underlagt en retlig forpligtelse til at sikre arbejdsklausuler, og der må siges at være en væsentlig samfundsmæssig interesse i at sikre ordentlige vilkår på arbejdsmarkedet og modvirke social dumping, vil en leverandør – der som udgangspunkt vil være en privat virksomhed – ikke kunne anvende databeskyttelsesforordningens artikel 6, stk. 1, litra e, som hjemmel til at videregive personoplysninger om sine medarbejdere til ordregiver med henblik på, at denne kan kontrollere leverandørens overholdelse af arbejdsklausuler i kontrakten.
Datatilsynet bemærker i den forbindelse, at grundlaget for behandling af personoplysninger i henhold til databeskyttelsesforordningens artikel 6, stk. 1, litra e, skal fremgå af enten EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, jf. databeskyttelsesforordningens artikel 6, stk. 3. I det beskrevne scenarie er den dataansvarlige for videregivelsen af personoplysninger leverandøren, som normalt ikke er direkte omfattet af den lovgivning, som fastsætter forpligtelsen for ordregiver til at sikre arbejdsklausuler i kontrakten.
4. På den baggrund finder Datatilsynet, at hjemlen for leverandøren til at videregive medarbejderoplysninger, til både offentlige og private ordregivere, må findes i interesseafvejningsreglen i databeskyttelsesforordningens artikel 6, stk. 1, litra f.
Videregivelsen vil således både kunne anses for at være nødvendig for, at den dataansvarlige (leverandøren) kan forfølge sin legitime interesse i at opfylde kontrakten og dermed drive virksomhed, og for at tredjemand (ordregiver) kan forfølge sin legitime interesse i at kontrollere overholdelsen af arbejdsklausuler i kontrakten – enten som følge af krav i lovgivning eller af andre årsager.
5. Det er en forudsætning for at anvende bestemmelsen, at der ikke videregives flere oplysninger end nødvendigt for at dokumentere leverandørens overholdelse af arbejdsklausulerne. Det er ligeledes en betingelse, at medarbejdernes interesser eller grundlæggende rettigheder og frihedsrettigheder ikke går forud for hensynet til leverandøren eller tredjemands legitime interesser. I denne hensynsafvejning vil det efter tilsynets opfattelse bl.a. være relevant at inddrage det overordnede formål med arbejdsklausulerne om at sikre social ansvarlighed, bekæmpe social dumping og beskytte medarbejdernes løn- og arbejdsvilkår, hvilket må antages også at tilgodese medarbejdernes interesser.
Datatilsynet kan på baggrund af ovenstående tilslutte sig Accuras generelle opfattelse af, at der vil være tale om sådanne tungtvejende legitime interesser, at disse almindeligvis vil kunne danne grundlag for videregivelsen af de omhandlede oplysninger, medmindre der konkret foreligger særlige omstændigheder, der vil kunne tale imod en sådan videregivelse.
6. I de tilfælde, hvor ordregiver er retligt forpligtet til at sikre arbejdsklausuler, kan interesseafvejningsreglen i databeskyttelseslovens § 12, stk. 2, i princippet være relevant. Bestemmelsen hjemler behandling af personoplysninger i forbindelse med ansættelsesforhold, hvis behandlingen er nødvendig for, at den dataansvarlige eller tredjemand kan forfølge en legitim interesse, som udspringer af anden lovgivning eller kollektive overenskomster, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder går forud herfor. I den foreliggende situation, hvor videregivelsen typisk vil ske fra en privat leverandør, vil anvendelsen af § 12, stk. 2, imidlertid efter tilsynets opfattelse ikke føre til et andet resultat end databeskyttelsesforordningens artikel 6, stk. 1, litra f.
Det bemærkes afslutningsvis, at Datatilsynet ikke er bekendt med, at leverandører på nuværende tidspunkt ifølge lovgivning eller kollektive overenskomster har pligt til at udlevere medarbejderoplysninger til ordregivere. Datatilsynet har derfor ikke taget stilling til en eventuel anvendelse af databeskyttelseslovens § 12, stk. 1, i sådanne situationer.