Journalnummer: 2003-211-0053
I brev af 4. juli 2003 har Ingeniørforeningen i Danmark (IDA) på vegne af medlem K klaget til Datatilsynet over, at virksomheden V har gjort personoplysninger om K tilgængelige for virksomhedens medarbejdere uden K’s samtykke.
V har i brev af 18. november 2003 afgivet en udtalelse i sagen, som IDA har kommenteret i brev af 27. november 2003.
Det er til sagen oplyst, at K blev opsagt fra sin stilling hos V. I forbindelse med afskedigelsen blev der hængt et opslag op på virksomhedens opslagstavle vedrørende opsigelsen. Samme opslag blev rundsendt pr. e-post til de ansatte.
K har efter det oplyste, ikke givet samtykke til opslaget og har heller ikke fået mulighed for at gøre indsigelse mod opslaget.
Af opslaget fremgik bl.a. “ …Der har desværre været en del uoverensstemmelser undervejs vedrørende samarbejde og udnyttelse af arbejdstiden, hvilket naturligvis er blevet påpeget - ligesom vi har forsøgt at afhjælpe det med faglige kurser, samt kommunikations-/adfærdskurser. Vi føler imidlertid ikke, at de ændringer der er sket, er omfattende nok til at K kan bestride det der i dag ligger i jobbet som X og har derfor besluttet at opsige K…”
V har til sagen oplyst, at baggrunden for, at virksomheden undtagelsesvist offentliggjorde afskedigelsesgrunden var, at virksomheden kort forinden havde foretaget en organisationsændring, hvor den afdeling, som den nu afskedigede medarbejder var tilknyttet, havde fået tilført en ekstra medarbejder. V fandt sig på den baggrund nødsaget til at underrette de andre medarbejdere om, at afskedigelsen af medarbejderen ikke var begrundet i ansættelse af den nye medarbejder, men i samarbejdsvanskeligheder.
IDA har bl.a. anført, at man ikke finder, at en arbejdsgiver uden samtykke kan oplyse, at en medarbejder er blevet afskediget. IDA finder yderligere, at samarbejdsvanskelighed som afskedigelsesgrund er en personoplysning. IDA har yderligere anført, at IDA har svært ved at se, hvorledes hensynet til virksomhedens omdømme skal kunne veje tungere end hensynet til den afskedigede medarbejder i denne situation.
Datatilsynet skal på den baggrund udtale følgende:
Persondataloven gælder ifølge lovens § 1, stk. 1, for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register. Loven gælder tillige for anden ikke-elektronisk systematisk behandling, som udføres for private, og som omfatter oplysninger om personers private eller økonomiske forhold eller i øvrigt oplysninger om personlige forhold, som med rimelighed kan forlanges unddraget offentligheden, jf. § 1, stk. 2.
Ved “personoplysninger” forstås ifølge lovens § 3, nr. 1, enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede).
Ved “behandling” forstås ifølge lovens § 3, nr. 2, enhver operation eller række af operationer med eller uden brug af elektronisk databehandling, som oplysnin-gerne gøres til genstand for. Omfattet af begrebet er f.eks. indsamling, offentliggørelse, registrering, videregivelse og opbevaring.
Datatilsynet finder, at der i det konkrete tilfælde er tale om en behandling af personoplysninger omfattet af persondataloven.
Behandling af almindelige ikke-følsomme oplysninger og fortrolige oplysninger, herunder f.eks. oplysninger om navn, arbejdsområde og løn, skal ske i overensstemmelse med persondatalovens § 6, stk. 1, nr. 1-7. Behandling kan herefter bl.a. ske, hvis den registrerede har givet udtrykkeligt samtykke hertil, jf. § 6, stk. 1, nr. 1, eller hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse, jf. § 6, stk. 1, nr. 7.
De oplysninger, som er videregivet i det konkrete tilfælde, er efter Datatilsynets opfattelse omfattet af persondatalovens § 6.
Efter det oplyste har K ikke givet samtykke til videregivelse af oplysningerne. Videregivelsen kunne derfor ikke ske med hjemmel i persondatalovens § 6, stk. 1, nr. 1.
Spørgsmålet om, hvornår en behandling efter § 6, stk. 1, nr. 7, er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives kan forfølge en berettiget interesse og hensynet til den registrerede ikke overstiger denne interesse, beror på en konkret vurdering i det enkelte tilfælde.
Datatilsynet finder, at V havde en berettiget interesse i at informere de ansatte om, at K var fratrådt, og at fratrædelsen ikke var begrundet i ansættelsen af en anden medarbejder i den samme afdeling.
Datatilsynet har herved lagt vægt på, at hensynet til en arbejdsgivers mulighed for at informere de ansatte om ændringer i virksomhedens organisation må anses at veje tungere end hensynet til den afskediget. Datatilsynet har endvidere tillagt det vægt, at de ansatte efterfølgende ved selvsyn vil kunne konstatere, at den afskediget ikke længere er ansat, og det vil på den baggrund være et væsentligt hensyn, at virksomheden har mulighed for at orientere de ansatte herom.
Datatilsynet finder imidlertid ikke, at det af hensyn til virksomhedens interesse i at informere de ansatte om organisations- og personaleændringer var nødven-digt i den konkrete situation at offentliggøre så detaljerede oplysninger om en afskedigelsessag, som det er sket i denne sag. Efter Datatilsynets opfattelse må hensynet til den afskedigede tillægges betydelig vægt ved afvejningen af, hvilke oplysninger der kan offentliggøres i en afskedigelsessituation.
Datatilsynet finder det derfor kritisabelt og i strid med persondatalovens § 6, stk. 1, nr. 7, at V gav alle ansatte meget detaljerede oplysninger om afskedigelsessagen, herunder oplysninger som klart indikerede, at skylden for det passerede efter virksomhedens opfattelse lå hos den afskedigede.
Datatilsynet har tilkendegivet dette over for V. Kopi af Datatilsynets brev til V vedlægges til orientering.
Datatilsynet foretager herefter ikke yderligere i sagen.
Det bemærkes, at den dataansvarlige efter persondatalovens § 69 skal erstatte skade, der er forvoldt ved behandling i strid med bestemmelserne i persondatalove, medmindre det godtgøres, at skaden ikke kunne have været afværget ved den agtpågivenhed og omhu, der må kræves i forbindelse med behandling af oplysninger. Et erstatningskrav, der gøres gældende, kan ikke forelægges Datatilsynet, men skal indbringes for domstolene.
Kopi af dette brev er dags dato sendt til orientering til V.
Datatilsynet skal beklage den lange sagsbehandlingstid.