Journalnummer: 2004-43-0195
Datatilsynet har den 7. juli 2004 modtaget Forbundet Træ-Industri-Byg i Danmark (TIB)’s anmeldelse/ansøgning om tilladelse til behandling af personoplysninger med henblik på at advare andre mod forretningsforbindelser med eller ansættelsesforhold til en registreret.
Der er herudover indhentet supplerende oplysninger telefonisk.
Det fremgår herefter af sagen, at TIB er et landsdækkende fagforbund for ca. 68.000 ansatte i byggeri og træ- og møbelindustrien – heraf er cirka 4.000 lærlinge.
Formålet med registeret er at oplyse forbundets medlemmer om, at de registrerede ikke har tegnet overenskomst med forbundet. De potentielle registrerede er snedker-/tømrerfirmaer, entreprenører, virksomheder i træ- og møbelindustrien samt virksomheder i byggebranchen, som tilbyder beskæftigelse til faggrupper, der er organiserede i TIB. TIB har telefonisk oplyst, at der er cirka 11.000 virksomheder, der har tegnet overenskomst med TIB, mens der på nuværende tidspunkt er 182, der ikke har. Når en faglig medarbejder fra en af TIB’s 32 afdelinger forgæves har forsøgt at tegne overenskomst med en arbejdsgiver, som benytter arbejdskraft inden for TIB’s organisationsområde, meddeler medarbejderen dette til forbundet, samt at den pågældende arbejdsgiver skal påføres ”Den sorte liste”. En registrering slettes, når der tegnes overenskomst, eller når den registrerede virksomhed ophører.
Det er påtænkt, at oplysningerne i registeret skal videregives online via internettet. ”Den sorte liste” trykkes på nuværende tidspunkt i fagbladet TIB.
Datatilsynet skal – efter at sagen har været behandlet i Datarådet – udtale følgende:
Er ”Den sorte liste” et advarselsregister?
Indledningsvis bemærkes, at persondataloven ifølge lovens § 1, stk. 1, gælder for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og for ikke elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register. Loven gælder tillige for anden ikke-elektronisk systematisk behandling, som udføres for private, og som omfatter oplysninger om personers private eller økonomiske forhold eller i øvrigt oplysninger om personlige forhold, som med rimelighed kan forlanges unddraget offentligheden, jf. § 1, stk. 2.
Det følger endvidere af persondatalovens § 1, stk. 3, 2. pkt., at loven gælder for private dataansvarliges behandling af oplysninger om virksomheder mv. med henblik på at advare andre mod forretningsforbindelser med eller ansættelsesforhold til de pågældende virksomheder mv. (advarselsregistre), jf. lovens § 50, stk. 1, nr. 2. For så vidt angår behandlinger som nævnt i § 50, stk. 1, nr. 2, er hovedreglen om, at persondataloven kun finder anvendelse på behandlinger af personoplysninger om fysiske personer, således fraveget.
I henhold til persondatalovens § 50, stk. 1, nr. 2, skal Datatilsynets tilladelse indhentes forinden iværksættelse af en behandling, når behandlingen af oplysninger sker med henblik på at advare andre mod forretningsforbindelser med eller ansættelsesforhold til en registreret.
Datatilsynet lægger til grund, at formålet med den anmeldte behandling er, at TIB’s medlemmer kan få konkret information om, hvilke arbejdsgivere der ikke har tegnet overenskomst med forbundet, hvilket i sammenhæng med TIB’s egenskab af fagforbund må opfattes som en advarsel mod at tage ansættelse hos de pågældende arbejdsgivere. Det er derfor Datatilsynets opfattelse, at der er tale om et advarselsregister omfattet af persondatalovens § 50, stk. 1, nr. 2.
Kan der gives tilladelse?
Ved vurderingen af, om en ansøgning om tilladelse efter lovens § 50, stk. 1, nr. 2, kan imødekommes, træffer Datatilsynet i hvert enkelt tilfælde afgørelse om, hvorvidt oprettelsen af advarselsregisteret kan siges at tjene anerkendelsesværdige interesser. Ved bedømmelsen heraf indgår navnlig en afvejning af behandlingens formål i forhold til den risiko for krænkelse af privatlivets fred, som oprettelse og brug af advarselsregisteret kan medføre. Heri indgår en vurdering af risikoen for registrering og videregivelse af urigtige oplysninger.
Det er Datatilsynets opfattelse, at det tjener anerkendelsesværdige interesser, at TIB som fagforbund ønsker at videregive oplysninger om, hvilke arbejdsgivere der ikke har tegnet overenskomst med forbundet, til medlemmerne, som via deres medlemskab betaler for og støtter fagforbundets bestræbelser på at opnå de bedste vilkår for dets medlemmer.
Herudover vil De registrerede på TIB’s liste udelukkende optræde i deres egenskab af virksomheder. Dette medfører efter Datatilsynets opfattelse, at risikoen for krænkelse af privatlivets fred i forhold til de enkelte personer er mindre. Hertil kommer, at det ikke vil være kompliceret at konstatere, hvorvidt betingelsen for registrering – om den pågældende har tegnet overenskomst med TIB eller ej – er opfyldt, således at risikoen for registrering og videregivelse af urigtige oplysninger dermed er minimal.
Endvidere er der rent praktisk mærkbar forskel, både for TIB og for medlemmerne, på at skulle håndtere en positivliste med cirka 11.000 registrerede frem for en negativliste med cirka 180 registrerede.
Datatilsynet er på denne baggrund indstillet på at meddele TIB tilladelse i henhold til persondatalovens § 50, stk. 1, nr. 2, og § 50, stk. 5, til behandling af personoplysninger med henblik på at advare andre mod forretningsforbindelser med eller ansættelsesforhold til en registreret. Tilladelsen vil blive meddelt på følgende vilkår:
Optagelse i advarselsregisteret
1. Der må kun ske behandling af oplysninger om en arbejdsgiver, hvis TIB forinden forgæves har forsøgt at tegne overenskomst med den pågældende arbejdsgiver og har varslet den pågældende om, at registrering vil ske, såfremt overenskomst ikke tegnes inden for en måned, og denne frist efterfølgende er overskredet, uden at overenskomst er tegnet.
Oplysningspligt
2. Der skal senest 4 uger efter, at registrering af oplysningerne finder sted, altid gives den registrerede meddelelse om navn og adresse på TIB, formålet med behandlingen, hvem (dvs. hvilken af TIB’s afdelinger) der har indberettet oplysningen, kategorierne af modtagerne, om adgangen til indsigt, jf. vilkår 3, om adgangen til berigtigelse af de oplysninger, der vedrører den registrerede, jf. vilkår 6, samt om adgangen til at klage til Datatilsynet, jf. vilkår 8.
Indsigtsret
3. TIB skal til enhver tid på begæring af den registrerede inden 4 uger på en letforståelig måde meddele denne indholdet af de oplysninger, som på tidspunktet for begæringens fremsættelse er blevet videregivet om den pågældende inden for de seneste 6 måneder. TIB skal endvidere give oplysning om, hvilke oplysninger der i øvrigt behandles, formålet hermed, kategorien af modtagere af oplysningerne samt tilgængelig information om, hvorfra oplysningerne stammer.
Godtgørelse af behandlingen
4. Det påhviler TIB at godtgøre behandlingens berettigelse, når der af en registreret rejses tvivl om dens rigtighed.
Urigtige/vildledende oplysninger
5. Oplysninger, der viser sig urigtige eller vildledende, skal snarest muligt slettes eller berigtiges.
6. Videregivne oplysninger, der viser sig urigtige eller vildledende, eller som er videregivet i strid med disse vilkår, skal af TIB straks berigtiges på fremhævet måde i ”Den sorte liste”. Desuden skal der berigtiges over for den registrerede, som skal have oplyst, hvorfra oplysningen stammer.
Hvis urigtige eller vildledende oplysninger har været videregivet på internettet og derfra er blevet indsamlet og registreret i søgemaskiner o.lign., skal TIB i fornødent omfang være den registrerede behjælpelig i forbindelse med berigtigelse, sletning, blokering eller lignende.
Sletning af oplysninger
7. Oplysninger om en registreret arbejdsgiver skal slettes, når registreringen ikke længere er nødvendig af hensyn til de formål, hvortil oplysningerne behandles. Sletning skal således blandt andet ske, når den registrerede arbejdsgiver har tegnet overenskomst med TIB, eller hvis arbejdsgiverens virksomhed inden for TIB’s organisationsområde er ophørt.
TIB’s enkelte afdelinger skal straks give meddelelse til TIB, når der fås kendskab til, at en registreret arbejdsgiver har tegnet overenskomst med TIB, til, at en registrerets virksomhed inden for TIB’s organisationsområde ophører, eller til, at grundlaget for registrering på ”Den sorte liste” af anden årsag ikke længere er til stede.
Klageadgang
8. Henvendelser fra en registreret om sletning, berigtigelse eller blokering af oplysninger, der angives at være urigtige eller vildledende, eller om sletning af oplysninger, der ikke må behandles, jf. vilkår nr. 1 og 7, skal snarest og inden 4 uger efter modtagelsen besvares skriftligt af TIB.
Nægter TIB at foretage den begærede sletning, berigtigelse eller blokering, kan den registrerede indbringe spørgsmålet for Datatilsynet, hvilket skal oplyses over for den registrerede.
Sikkerhed
9. Oplysningerne skal ajourføres løbende. Hvis der udsendes advarselslister i papirform, skal disse udsendes mindst hver 4. uge.
10. Videregivelse kan ske i form af offentliggørelse over internettet.
Ændringer/ophør
11. Inden iværksættelse af ændringer i de oplysninger, der er meddelt Datatilsynet i forbindelse med udstedelsen af tilladelse, skal Datatilsynets tilladelse indhentes. Ændringer af mindre væsentlig betydning skal dog kun anmeldes. Anmeldelse kan ske efterfølgende, dog senest 4 uger efter iværksættelsen.
12. Ophører TIB med ar føre advarselsregisteret, skal dette straks meddeles til Datatilsynet.
De ovenstående vilkår er gældende indtil videre. Datatilsynet forbeholder sig senere at tage vilkårene op til revision, hvis der skulle vise sig behov for det. Endvidere er vilkårene supplerende i forhold til reglerne i persondataloven samt i visse tilfælde udtryk for en præcisering af lovens regler. Det skal derfor understreges, at reglerne i persondataloven finder anvendelse i det omfang, der er tale om forhold, som ikke er reguleret i de ovenstående vilkår.
Datatilsynet skal anmode TIB om at tilkendegive, hvorvidt TIB er interesseret i en sådan tilladelse – gerne telefonisk.
Datatilsynet skal henlede opmærksomheden på, at gebyr for tilladelsen udgør 1.000 kr., jf. persondatalovens § 63, stk. 2, nr. 2. Beløbet bedes indbetalt til Jyske Bank, Vesterbrogade 9, 1780 København, reg.nr. 8109, kontonummer 1009563. De bedes i den forbindelse henvise til Datatilsynets journalnummer (se forsiden af dette brev), således at Datatilsynet kan identificere indbetalingen.
Datatilsynet skal afslutningsvis henlede opmærksomheden på, at det er tilsynets opfattelse, at den udgave af ”Den sorte liste”, som TIB på nuværende tidspunkt trykker i sit medlemsblad, er omfattet af persondatalovens § 1, og at den behandling af oplysninger, der sker i forbindelse med førelsen af denne udgave af listen således også er omfattet af lovens § 50, stk. 1, nr. 2, og kræver Datatilsynets tilladelse. Den tilladelse, som vil blive udstedt, såfremt TIB betaler ovennævnte gebyr, vil også omfatte den trykte udgave.
Datatilsynet afventer herefter svar fra Forbundet Træ-Industri-Byg i Danmark.