Journalnummer: 2003-631-0118
Datatilsynet er gennem dagspressen samt en henvendelse fra fagforening F blevet bekendt med, at virksomhed V i vidt omfang indhenter kredit-oplysninger fra RKI Kredit Information A/S (RKI) på ansøgere til jobs i V.
Datatilsynet anmodede i den anledning V samt RKI om udtalelser i sagen.
V er i breve af 24. november 2003, 17. december 2003 samt 5. januar 2004 fremkommet med oplysninger i sagen. Der er desuden telefonisk indhentet oplysninger i sagen.
RKI Kredit Information A/S er i brev af 2. december 2003 med bilag fremkommet med en udtalelse i sagen.
Det fremgår herefter af sagen, at V indhenter kreditoplysninger på alle jobansøgere over 18 år, der indkaldes til samtale. Dette uanset stillingstype.
Formålet hermed er at få ansat de bedste medarbejdere, der kan leve op til virksomhedens holdninger til etik og moral, og som kan håndtere de store værdier, der dagligt flyder gennem virksomheden, på bedst mulig måde.
V har desuden oplyst, at kreditoplysningerne kun indgår som et blandt mange kriterier ved ansættelsen. Kreditoplysninger er således ikke eneafgørende for vurderingen af medarbejderen i forbindelse med ansættelse. Kreditoplysningerne udelukker således ikke i sig selv ansættelse hos V.
Under jobsamtalen bliver ansøgerne oplyst om, at det er V’s holdning, at medarbejdere normalt ikke bør stå i RKI, og at de er blevet tjekket i RKI.
For så vidt angår centrale jobansøgere - dvs. ansøgere til stillinger i administrationen, herunder almindelige kontormedarbejdere, samt ansøgere til ledende stillinger i butikkerne - modtager disse ved samtaleindkaldelsen en skrivelse om V’s politik på området. Heraf fremgår bl.a., at da der påhviler den enkelte medarbejder i V Gruppen et stort ansvar, må ansøgere indstille sig på, at straffeattest og eventuel registrering som dårlig betaler indgår i den samlede bedømmelse af personen.
Ansøgningerne bliver gemt i tre måneder, for så vidt angår ansøgere, der har været til samtale, og som V fortsat er interesseret i at ansætte. Dette sker dog kun, hvis ansøgeren positivt tilkendegiver at være indforstået hermed efter at være blevet spurgt herom. Der bliver ikke informeret nærmere om, at RKItjekket også opbevares i de tre måneder.
For så vidt angår ansøgere, der bliver ansat, bliver ansøgningerne med de anførte RKI-oplysninger gemt i den pågældendes sagsmappe, i hvert fald i den tid, hvor vedkommende er ansat.
Kreditoplysningerne videregives ikke fra V.
Lov om private registre
Registertilsynet behandlede i 1999 en tilsvarende sag vedrørende V i forbindelse med, at tilsynet var blevet bekendt med, at V indhentede kreditoplysninger fra RKI på ansøgere til jobs i virksomheden (Registertilsynets j.nr. 1999-1114-326).
Registertilsynet udtalte, at efter lov om private registre § 9, stk. 1, må kreditoplysningsbureauer registrere og videregive oplysninger, som efter deres art er af betydning for bedømmelse af økonomisk soliditet og kreditværdighed.
Desuden henviste Registertilsynet til bemærkningerne til bestemmelsen i § 7 i lovforslag nr. L 36, forslag til lov om private registre, fremsat den 13. oktober 1997 (svarende til § 9 i den på afgørelsestidspunktet gældende lov). Heraf fremgik følgende:
“Efter stk. 1 må kun oplysninger, som efter deres art er af betydning for bedømmelse af økonomisk soliditet og kreditværdighed registreres m.v. Det betyder bl.a., at et bureau ikke som led i kreditoplysningsvirksomheden kan indsamle oplysninger til belysning af f.eks. personers faglige evner m.v. og dermed virke som en art “ansættelsesnævn” for private virksomheder. Oprettelse af registre med sådanne formål vil dog kunne ske med hjemmel i forslagets § 3. Reglerne i § 7 forhindrer naturligvis ikke, at en virksomhed ved ansættelse af personale beder et kreditoplysningsbureau udtale sig om en ansøgers økonomiske soliditet eller kreditværdighed.”
Registertilsynet fandt ikke at have grundlag for at sætte sig ud over disse meget kategoriske bemærkninger i forarbejderne til § 9 i lov om private registre. RKI’s videregivelse af kreditoplysninger til V i forbindelse med vurdering af jobansøgere kunne således ikke anses for at være i strid med lov om private registre § 9, stk. 1.
Registertilsynets afgørelse medførte en henvendelse fra HK/Handel til den daværende justitsminister. HK/Handel ønskede denne retstilstand ændret i forbindelse med lovforslaget om persondataloven (L 147), således at kreditoplysninger i fremtiden ikke måtte indhentes/videregives til brug for en ansættelsessituation.
Justitsministeren udtalte i et brev af 15. marts 2000 til HK/Handel - efter at spørgsmålet var blevet drøftet med Registertilsynet - bl.a. følgende:
“Jeg kan oplyse, at lovforslaget som udgangspunkt viderefører de regler om kreditoplysningsbureauers virksomhed, som er fastsat i lov om private registre. Det betyder, at et kreditoplysningsbureau også i fremtiden vil have mulighed for at videregive kreditoplysninger til sine abonnenter til brug ved vurderingen af, om en person bør ansættes i virksomheden.
Lovforslaget indeholder imidlertid som noget nyt nogle grundlæggende principper, som skal overholdes af alle dem, som behandler personoplysninger. Behandling af personoplysninger skal således være i overensstemmelse med god databehandlingsskik, og indsamling af oplysninger skal ske til saglige formål. De oplysninger, der behandles, skal være relevante og tilstrækkelige og ikke om fatte mere, end hvad der kræves til at opfylde formål, hvortil oplysninger indsamles. Jeg henviser til lovforslagets § 5, stk. 1-3.
Disse grundlæggende principper vil efter min opfattelse betyde, at en virksomhed ikke må indhente kreditoplysninger om en person til brug for ansættelse af den pågældende, medmindre der er tale om ansættelse i en særligt betroet stilling. Vurderingen af, om en stilling må anses for særligt betroet, beror navnlig på den funktion, som den pågældende person udøver. I sidste ende vil det være op til Datatilsynet (som Registertilsynet skal betegnes i fremtiden) at afgøre, om en stilling er særligt betroet. Som eksempler på stillinger inden for supermarked-branchen, som normalt vil være særligt betroede, kan nævnes stillingen som varehuschef, butikschef, souschef og afdelingsleder. Derimod vil en stilling som flaskedreng, servicemedarbejder, butiks- eller salgsassistent normalt ikke have karakter af en særligt betroet stilling.”
Afslutningsvis fremgår følgende af justitsministerens brev:
“Registertilsynet har oplyst, at tilsynet er enig i denne fortolkning af lovforslaget, men har for at undgå, at der rejses tvivl herom foreslået, at kopi af dette brev sendes til Folketingets Retsudvalg, således at Retsudvalget, hvis udvalget er enig i fortolkningen, kan overveje, om det vil være en hensigtsmæssig fremgangsmåde at optage brevet som bilag til udvalgets betænkning over lovforslaget.”
Justitsministerens brev blev herefter i kopi sendt til Retsudvalget og optaget som bilag til udvalgets betænkning af 11. maj 2000 over lovforslaget.
Datatilsynets vilkår for RKI
Datatilsynet har den 20. december 2000 givet NIG A/S - herunder RKI - tilladelse til behandling af personoplysninger med henblik på erhvervsmæssig videregivelse af oplysninger til bedømmelse af økonomisk soliditet og kreditværdighed (kreditoplysningsbureau).
I den forbindelse har Datatilsynet fastsat en række vilkår. Det fremgår af vilkår 2, at NIG A/S - og dermed RKI - gennem abonnementsvilkår el.lign. skal sikre sig, at bureauets abonnenter ikke indhenter kreditoplysninger om en person til brug for ansættelse af den pågældende. Dette gælder, uanset om den person, der søges oplysninger om, har givet samtykke til, at oplysningerne indhentes. Oplysninger må dog indhentes, hvis der er tale om ansættelse i en særligt betroet stilling, hvor det af hensyn til stillingsbesættelsen er nødvendigt at indhente oplysninger om den pågældendes soliditet og kreditværdighed.
RKI har oplyst, virksomhedens abonnementsvilkår er blevet rettet til i overensstemmelse med Datatilsynets krav i tilsynets tilladelse. Således fremgår det nu af vilkår 5 i RKI’s abonnementsvilkår, at kreditoplysninger fra RKI kun må benyttes til bedømmelse af økonomisk soliditet og kreditværdighed i forbindelse med indgåelse af handels- og forretningsaftaler. Hvis oplysningerne skal bruges i forbindelse med stillingsbesættelse, må det kun ske, hvis der er tale om ansættelse i en særligt betroet stilling.
V’s og RKI’s anbringender
V har gjort gældende, at Registertilsynet i forbindelse med den ovennævnte sag (j.nr. 1999-114-326) udtalte, at RKI’s videregivelse af kreditoplysninger til V i forbindelse med vurdering af jobansøgere ikke kunne anses for at være i strid med lov om private registre, jf. § 9, stk. 1. Bestemmelsen svarer til persondatalovens § 20, stk. 1, og i bemærkningerne til § 20, stk. 1, står der, at bestemmelsen - med en enkelt sproglig ændring - svarer til den gældende bestemmelse i lov om private registre § 9, stk. 1, og indebærer dermed ikke ændringer i den gældende retstilstand.
RKI har - med henvisning til det ovenfor omhandlede bilag til Retsudvalgets betænkning til persondataloven L 147 - anført, at vurdering af, om en stilling må anses for særligt betroet, må bero på den funktion, som den pågældende udøver. I sidste ende vil det være op til Datatilsynet at afgøre, om en stilling er særligt betroet.
På det foreliggende grundlag er det RKI’s opfattelse, at det må bero på en konkret vurdering, om der i dette tilfælde er tale om særligt betroede medarbejdere. RKI vil således lade det være op til Datatilsynet at afgøre dette spørgsmål.
Datatilsynet skal - efter at sagen er blevet behandlet på et møde i Datarådet - udtale følgende:
Indhentelse af kreditoplysninger
Ifølge persondatalovens § 20, stk. 1, må kreditoplysningsbureauer kun behandle oplysninger, som efter deres art er af betydning for bedømmelse af økonomisk soliditet og kreditværdighed.
Derudover indeholder persondataloven i § 5 nogle grundlæggende principper, som altid skal være opfyldt ved behandling af personoplysninger omfattet af loven:
Ifølge § 5, stk. 1, skal oplysninger behandles i overensstemmelse med god databehandlingsskik.
Indsamling af oplysninger skal ifølge § 5, stk. 2, ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål.
Oplysninger, som behandles, skal ifølge § 5, stk. 3, desuden være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles (proportionalitetsprincippet).
Persondatalovens § 5, stk. 1-3, sætter efter Datatilsynets opfattelse grænser for, i hvilke tilfælde der kan indhentes kreditoplysninger på jobansøgere. Datatilsynet finder således ikke, at en virksomhed efter persondatalovens ikrafttræden må indhente kreditoplysninger om jobansøgere, medmindre der er tale om ansættelse i en særligt betroet stilling. Der henvises herved også til justitsministerens tilkendegivelse i det ovenfor nævnte brev til HK/Handel.
Vurderingen af, om en stilling må anses for særligt betroet, må efter Datatilsynets opfattelse navnlig bero på den funktion, som den pågældende person udøver. Der kan i den forbindelse lægges vægt på, hvilke opgaver den pågældende medarbejder er befuldmægtiget til at udføre, og i hvilket omfang medarbejderen er underlagt rutinemæssige kontrolforanstaltninger, evt. fra overordnede.
Det bemærkes herved, at det forhold, at en medarbejder håndterer værdier, herunder kontanter, som led i det daglige arbejde, efter Datatilsynets opfattelse ikke i sig selv indebærer, at en stilling kan karakteriseres som særligt betroet.
I relation til V’s varehuse er det Datatilsynets opfattelse, at stillinger som varehuschef, butikschef, souschef og afdelingsleder kan anses for særligt betroede.
Derimod finder Datatilsynet ikke, at en stilling som flaskedreng, servicemedarbejder, butiks- eller salgsassistent vil have karakter af en særligt betroet stilling.
Med hensyn til kontorpersonale og andre administrative medarbejdere er det Datatilsynets opfattelse, at stillinger, som udelukkende indebærer opgaver af mere praktisk karakter, som f.eks. pakning af post, journaliseringsarbejde, telefonomstilling mv., ikke kan anses for særligt betroede stillinger. Derimod må f.eks. en stilling som ledende medarbejder med økonomiansvar efter Datatilsynets opfattelse anses for en særligt betroet stilling, ligesom en stilling som bogholder også må kunne betragtes som en særligt betroet stilling.
Datatilsynet skal som følge heraf anmode V om at foranledige, at der i de enkelte butikker mv. inden for V-koncernen fremover alene indhentes kreditoplysninger på stillingsansøgere i overensstemmelse med det ovenfor anførte.
Datatilsynet skal i forlængelse heraf anmode V om at foranledige, at allerede indhentede kreditoplysninger om medarbejdere i og ansøgere til ikke særligt betroede stillinger slettes.
Datatilsynet skal endvidere anmode V om at ophøre med at indhente kreditoplysninger i forbindelse med ansættelse af medarbejdere til stillinger, som udelukkende indebærer opgaver af mere praktisk karakter, som f.eks. pakning af post, journaliseringsarbejde, telefonomstilling mv.
Datatilsynet skal tillige anmode V om at slette allerede indhentede kreditoplysninger om medarbejdere i og ansøgere til sådanne stillinger.
Datatilsynet skal endelig anmode V om en bekræftelse på, at V-koncernen ændrer sin praksis i forbindelse med ansættelser i overensstemmelse med Datatilsynets tilkendegivelser.
Opbevaring af indhentede kreditoplysninger
Ifølge persondatalovens § 5, stk. 5, må indsamlede oplysninger ikke opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.
V har oplyst, at oplysning om, at en ansøger er registreret eller ikke er registreret i RKI, opbevares for så vidt angår de ansøgere, der bliver ansat. Oplysningerne opbevares for andre relevante ansøgere i tre måneder med henblik på eventuel ansættelse.
Datatilsynet forudsætter, at V er opmærksom på persondatalovens § 5, stk. 5, men den nævnte praksis giver i øvrigt ikke tilsynet anledning til bemærkninger.
Oplysningspligt
Ifølge persondatalovens § 29, stk. 1, påhviler det - hvor oplysninger ikke er indsamlet hos den registrerede - den dataansvarlige eller dennes repræsentant ved registreringen at give den registrerede meddelelse om den dataansvarliges og dennes repræsentants identitet, formålene med den behandling, hvortil oplysningerne er bestemt, samt alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet er nødvendige for, at den registrerede kan varetage sine interesser, herunder f.eks. hvilken type oplysninger det drejer sig om, kategorierne af modtagere og reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede, jf. § 29, stk. 1, nr. 3, litra a-c.
Opregningen i litra a-c er ikke udtømmende. Der vil derfor efter omstændighederne kunne påhvile V en pligt til at give den registrerede anden information end de oplysninger, som følger af bestemmelserne i litra a-c.
V har oplyst, at jobansøgere under samtalen alene får oplyst, at det er V’s holdning, at medarbejdere normalt ikke bør stå i RKI, og at de er blevet tjekket i RKI. For så vidt angår centrale jobansøgere - dvs. ansøgere til stillinger i administrationen, herunder almindelige kontormedarbejdere, samt ansøgere til ledende stillinger i butikkerne - får disse ved indkaldelsen til samtalen oplyst, at da der påhviler den enkelte medarbejder i V Gruppen et stort ansvar, må ansøgere indstille sig på, at straffeattest og eventuel registrering som dårlig betaler indgår i den samlede bedømmelse af personen.
Efter Datatilsynets opfattelse bør jobansøgere som følge af oplysningspligten i § 29 også oplyses om en eventuel opbevaring af kreditoplysningerne, herunder i hvilke tilfælde oplysningerne opbevares.
I øvrigt skal Datatilsynet gøre opmærksom på, at der f.eks. i tilfælde hvor en ansøger - der ikke er en central jobansøger, og som derfor ikke ved samtaleindkaldelsen har modtaget skriftlig orientering om indhentelse af kreditoplysninger - ikke møder op til samtalen og derfor ikke under en sådan samtale bliver informeret om, at der er sket indhentelse af kreditoplysninger om vedkommende, stadig vil foreligge en oplysningspligt over for vedkommende, jf. persondatalovens § 29.
Datatilsynet skal anmode V om at foranledige, at de enkelte butikker mv. i Vkoncernen er opmærksomme på de nævnte krav om orientering af stillingsansøgere.
Datatilsynet kan til orientering oplyse, at tilsynet i brev af dags dato har anmodet RKI om at præcisere virksomhedens abonnementsvilkår, således at vilkår 5 bliver enslydende med vilkår 2 i Datatilsynets tilladelse af 20. december 2000. Kopi af Datatilsynets brev til RKI vedlægges til orientering.