Journalnummer: 2010-321-0308
1.1. Ved brev af 9. marts 2010 har Folketingets Ombudsmand rettet henvendelse til Datatilsynet vedrørende en kommunes indhentelse af straffeattester i forbindelse med ansættelse af medarbejdere.
Folketingets Ombudsmand har anmodet Datatilsynet om at udtale sig om, hvorvidt en kommunes indhentelse af straffeattester i forbindelse med ansættelse i den pågældende kommune vil være omfattet af persondatalovens regler under forudsætning af, at kommunen foretager/burde foretage elektronisk journalisering af attesterne.
Folketingets Ombudsmand har desuden anmodet Datatilsynet om at udtale sig om, hvorvidt en praksis som den, der er beskrevet i den foreliggende sag, i givet fald må antages at være i overensstemmelse med persondataloven, herunder persondatalovens §§ 5 og 8.
Folketingets Ombudsmand har i den forbindelse henvist til en redegørelse af 27. februar 2009 fra Hvidovre Kommune om kommunens praksis med hensyn til ansættelse af medarbejdere, der har begået strafbart forhold.
1.2. Af Hvidovre Kommunes redegørelse fremgår ifølge det oplyste, at der i forbindelse med ansøgning om ansættelse i Hvidovre Kommune skal indhentes straffeattest og eventuelt børneattest.
Det er endvidere oplyst fra kommunen i en udtalelse af 23. juni 2009 til Folketingets Ombudsmand, at indhentede straffeattester ikke journaliseres elektronisk i kommunens journalsystem. Der foretages heller ikke elektronisk databehandling (f.eks. scanning) af attesterne.
Det er desuden oplyst fra Hvidovre Kommune, at kommunen udelukkende indhenter straffeattester for den eller de ansøgere, der findes bedst kvalificerede til besættelse af ledige stillinger. Der indhentes som udgangspunkt kun straffeattester på de ansøgere, som kommunen har truffet beslutning om at ansætte.
Om baggrunden herfor er det oplyst, at kommunen ønsker at tilvejebringe et bredt og betryggende samt nødvendigt beslutningsgrundlag for ansættelse af medarbejdere. Kommunen ønsker at foretage en konkret vurdering af, om der ud fra eventuelle strafbare handlinger skulle være nærliggende fare for misbrug af den søgte stilling eller forhold, der skulle kunne fratage den pågældende den agtelse eller tillid, der er en forudsætning for at bestride den pågældende stilling.
1.3. Vedrørende den praktiske gennemførelse af kravet om straffeattest har Hvidovre Kommune oplyst, at for den eller de ansøger(e), der findes bedst kvalificerede til besættelse af den ledige stilling, indhenter kommunen/anmoder kommunen om at få fremvist oplysninger fra Det Centrale Kriminalregister, jf. bekendtgørelsen om behandling af personoplysninger i Det Centrale Kriminalregister §§ 11, 22 og/eller § 36.
Det afhænger ifølge det oplyste af den ledige stillings karakter, om kommunen med hjemmel i § 22 eller § 36 i den nævnte bekendtgørelse indhenter de i de respektive bestemmelser nævnte oplysninger (efter samtykke fra ansøgeren).
Hvis der ikke er hjemmel i § 22 eller § 36, anmoder kommunen ansøgeren om selv at indhente en udskrift af den pågældendes straffeattest, jf. bekendtgørelsens § 11.
Hvidovre Kommune har anført, at kommunens praksis er i overensstemmelse med persondatalovens § 5, stk. 2, idet den er begrundet i ønsket om at tilvejebringe et bredt og betryggende samt nødvendigt beslutningsgrundlag, hvilket er et legitimt og sagligt grundlag, som udtrykkeligt angives over for de berørte ansøgere.
Hvidovre Kommune har desuden oplyst, at retstilstanden vedrørende det generelle saglighedskrav i persondatalovens § 5 fremstår uafklaret, og at det er med det udgangspunkt, at kommunen har foretaget saglighedsvurderingen af den beskrevne praksis. Den generelle indhentelse af straffeattester er efter kommunens opfattelse medvirkende til en lige og saglig behandling af de pågældende ansøgere, således at usaglige motiver som f.eks. køn, etnicitet eller alder ikke ubevidst og utilsigtet får betydning for, hvornår der indhentes straffeattester.
Kommunen ansætter ifølge det oplyste ofte nye medarbejdere, der har begået strafbare handlinger. Forholdene varierer både i type, antal, straffastsættelse og den tid, der er gået fra handlingen til ansøgningen om ansættelse.
2.1. Reglerne om politiets udstedelse af straffeattester fremgår af bekendtgørelse nr. 218 af 27. marts 2001 med senere ændringer om behandling af personoplysninger i Det Centrale Kriminalregister (herefter kriminalregisterbekendtgørelsen). Kriminalregisterbekendtgørelsen er udstedt i medfør af persondatalovens § 32, stk. 5, og § 72.
Formålet med registeret er bl.a. at registrere afgørelser i kriminelle sager til brug i strafferetsplejen, tjene som internt arbejdsregister for politiet, danne grundlag for udskrift af straffeattester og andre meddelelser til brug i strafferetsplejen, til privat brug og til brug for andre myndigheder, jf. kriminalregisterbekendtgørelsens § 2.
Efter kriminalregisterbekendtgørelsen kan der i nærmere bestemt omfang videregives oplysninger fra Det Centrale Kriminalregister til private virksomheder og offentlige myndigheder. Registrerede personer har endvidere i et nærmere bestemt omfang adgang til egen acces (indsigt) i oplysninger om sig selv.
2.2. Efter kriminalregisterbekendtgørelsens § 22 kan Rigspolitichefen efter begæring udstede straffeattester til offentlig brug, som indeholder de i bilag 1 [til bekendtgørelsen] nævnte afgørelser bl.a. til:
"1) offentlige myndigheder til brug ved afgørelse af, om en ansøger efter straffelovens § 78 eller anden lovgivning eller bestemmelser udstedt i henhold til lov er udelukket fra at opnå en under vedkommende myndigheds forretningsområde særlig offentlig autorisation,
…
6) regionerne, kommunerne og institutioner omfattet af den offentlige forvaltning for personer, der søger ansættelse ved dagtilbud, døgntilbud og rådgivningstilbud for børn og unge, samt disses ægtefæller, samlevere og andre der skal bistå med pasningen af børnene,
7) regionerne og kommunerne for personer, der søger ansættelse ved dagtilbud og botilbud for voksne samt for personer, der er ansat ved eller driver private botilbud,
…
8) kommunerne for personer, der i medfør af lov om social service §§ 52, 54 og 74 skal virke som personlig rådgiver, fast kontaktperson eller støtteperson,
…
11) regionsrådene og kommunalbestyrelserne for personer, der søger ansættelse i folkeskolen, og som led i ansættelsen har direkte kontakt med elever,
…
19) kommunerne for personer, der skal være beskæftiget med udstedelse af pas og kørekort."
Videregivelse af oplysninger efter bl.a. de pågældende bestemmelser kan kun ske efter samtykke fra den, oplysningerne angår.
Rigspolitichefen kan desuden efter kriminalregisterbekendtgørelsens kapitel 7 udstede såkaldte børneattester til brug for ansættelse eller beskæftigelse af personer, der som led i ansættelsen eller beskæftigelsen har direkte kontakt med børn under 15 år.
Det følger således af bestemmelsen i § 36, at Rigspolitichefen efter begæring til brug for ansættelse eller beskæftigelse af personer, der som led i ansættelsen eller beskæftigelsen har en direkte kontakt med børn og unge under 15 år, kan videregive oplysninger fra efterforskningsdelen om afgørelser, som er eller har været optaget i afgørelsesdelen, og som omfatter straffelovens § 222, § 222, jf. §§ 224 og 225, og § 235 samt om overtrædelse af §§ 210 og 232, hvis forholdet er begået mod et barn under 15 år.
Videregivelse af oplysninger efter bestemmelsen kan kun ske efter samtykke fra den, oplysningerne angår, jf. bekendtgørelsens § 36 stk. 2.
2.3. Med hensyn til registrerede personers adgang til oplysninger om sig selv følger det af kriminalregisterbekendtgørelsens § 11, stk. 1, at politiet udsteder en såkaldt "privat straffeattest", når den pågældende person fremsætter begæring herom.
Bestemmelserne i § 11, stk. 1-3, har følgende ordlyd:
"Stk.1. Politiet udsteder straffeattester for private personer, når de pågældende fremsætter begæring herom. For personer under 18 år udstedes straffeattester dog kun, når forældremyndighedens indehaver eller den pågældendes værge har givet samtykke.
Stk. 2. I straffeattester efter stk. 1 optages alene afgørelser, som er tilført afgørelsesdelen, og som omfatter overtrædelse af straffeloven, lovgivningen om euforiserende stoffer eller udenlandske afgørelser med følgende begrænsninger:
1) Tiltalefrafald medtages ikke, hvis der er forløbet 2 år fra datoen for tiltalefrafaldets godkendelse i retten.
2) Bødestraffe medtages ikke, hvis der er forløbet 2 år fra datoen for den endelige afgørelse.
3) Andre afgørelser medtages ikke, hvis der er forløbet 3 år fra datoen for den endelige afgørelse. Hvis den, som afgørelsen vedrører, har været indsat til afsoning, medtages afgørelsen dog, hvis der ikke er forløbet 5 år fra den endelige løsladelse.
4) Retsfølger efter straffelovens §§ 68-70 medtages ikke, hvis der er forløbet 5 år fra retsfølgens endelige ophævelse.
Stk. 3. Er der tale om overtrædelser begået af unge mellem 14 og 18 år, gælder endvidere følgende begrænsninger:
1) Tiltalefrafald med vilkår om ungdomskontrakt medtages ikke, hvis det er første gang, den pågældende modtager en afgørelse, der omfatter overtrædelse af straffeloven eller lovgivningen om euforiserende stoffer, og der er forløbet 1 år fra datoen for tiltalefrafaldets godkendelse i retten.
2) Bødestraffe medtages ikke, hvis det er første gang, den pågældende modtager en afgørelse, der omfatter overtrædelse af straffeloven, og der er forløbet 1 år fra datoen for den endelige afgørelse.
[…]"
Som det fremgår, er der tale om en begrænset adgang til indsigt for de registrerede selv, idet det kun er visse lovovertrædelser, der fremgår af straffeattester udstedt efter § 11. De omhandlede lovovertrædelser medtages endvidere på straffeattesten i en periode, som er væsentlig kortere end den periode, hvori afgørelserne vil forblive registreret i Kriminalregisteret.
Baggrunden for, at de registreredes egen acces i Kriminalregisterets afgørelsesdel er stærkt begrænset, er hensynet til den registrerede selv. Af bemærkningerne til den første lov om offentlige myndigheders registre1 fremgår således følgende:
"En ubegrænset egen acces kan medføre, at de registrerede personer i særlige situationer presses til også at bruge deres ret. F.eks. vil arbejdsgivere så kunne kræve, at en ansøger forud for ansættelsen fremskaffer en fuldstændig udskrift af strafferegisteret vedrørende sig selv. Dette er baggrunden for, at Justitsministeriet i et cirkulære af 5. december 1962 med senere ændringer har fastsat begrænsninger med hensyn til, hvilke oplysninger der må medtages, når en person rekvirerer egen straffeattest."
3. Datatilsynet skal - efter at sagen har været behandlet i Datarådet - udtale følgende:
3.1. Som nævnt ovenfor under pkt. 1.1. ønsker Folketingets Ombudsmand en vurdering af, om persondataloven finder anvendelse under forudsætning af, at Hvidovre Kommune foretager eller burde foretage elektronisk journalisering af indhentede straffeattester.
3.1.1. For så vidt angår straffeattester til offentlig brug og børneatttester, som Hvidovre Kommune med ansøgerens samtykke indhenter fra Rigspolitichefen efter bestemmelserne i kriminalregisterbekendtgørelsens § 22 og § 36, er det Datatilsynets opfattelse, at dette forhold - dvs. kommunens indhentning af oplysninger - ikke er reguleret af persondatalovens regler.
Datatilsynet skal herved henvise til, at det af bemærkningerne til forslag til lov om behandling af personoplysninger fremgår2, at:
"Lovforslaget regulerer ikke spørgsmålet om indhentning af oplysninger i ansøgningssager eller om pligt til videregivelse af oplysninger. Reglerne herom i forvaltningslovens § 29 og § 31 gælder således også i relation til de personoplysninger, der er omfattet af lovforslaget."
3.1.2. Hvis Hvidovre Kommune får en privat straffeattest - udstedt til ansøgeren efter § 11 i kriminalregisterbekendtgørelsen - udleveret fra ansøgeren, og kommunen indscanner dokumentet, således at attestens fulde indhold findes elektronisk i Hvidovre Kommunes sagsbehandlings- og dokumenthåndteringssystem, vil der være tale om elektronisk databehandling af personoplysninger, jf. persondatalovens § 1. Hvis kommunen ikke indscanner straffeattesten, men alene foretager en elektronisk registrering af dokumentet i journalsystemet - eksempelvis "indgående dokument" med titlen "straffeattest for N.N." - vil alene de elektronisk registrerede oplysninger være omfattet af persondataloven, jf. § 1.3
Hvis en elektronisk registrering i journalsystemet og/eller ESDH-systemet som beskrevet ovenfor sker i umiddelbar forlængelse af selve indsamlingen af oplysningerne, må indsamlingen siges at være sket med henblik på elektronisk registrering på ansøgningssagen. I sådanne konkrete tilfælde er det Datatilsynets opfattelse, at selve "indsamlingsfasen" som sådan også vil være omfattet af persondataloven.4
3.2. Folketingets Ombudsmand har endvidere anmodet Datatilsynet om at udtale sig om, hvorvidt en praksis som den, der er beskrevet i den foreliggende sag, i givet fald må antages at være i overensstemmelse med persondataloven, herunder persondatalovens §§ 5 og 8.
3.2.1. Som nævnt ovenfor under pkt. 3.1.1. er det Datatilsynets opfattelse, at således som Hvidovre Kommune har beskrevet sin praksis med hensyn til indhentning af straffeattester til offentlig brug og børneattester fra Rigspolitichefen efter bestemmelserne i kriminalregisterbekendtgørelsens § 22 og § 36, er der tale om forhold, som ikke er omfattede af persondatalovens regler.
3.2.2. Med hensyn til kommunens indhentning af den private straffeattest fra en ansøger lægger Datatilsynet ud fra det oplyste til grund, at dette sker på grundlag af et samtykke.5
Et sådant samtykke fra ansøgeren (den registrerede) skal opfylde betingelserne i persondatalovens § 3, nr. 8, hvoraf det fremgår, at et samtykke er enhver frivillig, specifik og informeret viljestilkendegivelse, hvorved den registrerede indvilliger i, at oplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.
Herudover skal en behandling af personoplysninger, som er omfattet af persondataloven - i dette tilfælde indsamling af oplysninger fra ansøgeren med henblik på elektronisk registrering i umiddelbar forlængelse af indsamlingen - overholde de grundlæggende principper i persondatalovens § 5, stk. 1-3.
Det følger af § 5, stk. 1, at oplysninger skal behandles i overensstemmelse med god databehandlingsskik. Det betyder ifølge lovens forarbejder, at behandlingen skal være rimelig og lovlig.
Af § 5, stk. 2, følger, at indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og at senere behandling ikke må være uforenelig med disse formål. Når en dataansvarlig samler personoplysninger ind, skal det stå klart, hvilket formål oplysningerne skal bruges til, og formålet skal være sagligt. Det er ikke tilladt at indsamle oplysninger, hvis man ikke aktuelt har noget at bruge dem til, men blot forventer, at der senere viser sig et formål.
Efter § 5, stk. 3, skal oplysninger, som behandles, være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysninger indsamles, og de formål, hvortil oplysningerne senere behandles. § 5, stk. 3, fastsætter således, at den dataansvarlige er undergivet et proportionalitetsprincip.
Efter Datatilsynets opfattelse sætter persondatalovens § 5, stk. 1-3, herunder navnlig kravene om saglighed og proportionalitet, grænser for, i hvilke tilfælde der kan indhentes en privat straffeattest fra en ansøger i forbindelse med ansættelse.
En generel politik i en kommune om, at der i forhold til alle stillinger standardmæssigt skal indhentes straffeattester på ansøgere, som kommunen påtænker at ansætte, er efter Datatilsynets vurdering ikke i overensstemmelse med persondatalovens § 5. Datatilsynet finder således, at det må bero på en konkret vurdering i de enkelte ansættelsessituationer, om indhentning af en privat straffeattest kan anses for saglig og proportional og dermed i overensstemmelse med persondatalovens § 5, stk. 2, og stk. 3.
Dette stemmer efter Datatilsynets opfattelse også bedst overens med § 6 i Finansministeriets cirkulære nr. 2 af 14. januar 1963, som Folketingets Ombudsmand har rejst spørgsmål om over for Hvidovre Kommune.
Det er samtidig Datatilsynets opfattelse, at det forhold, at kriminalregisterbekendtgørelsen indeholder regler om straffeattester til offentlig brug og børneattester ikke i sig selv afskærer en offentlig myndighed fra at indhente en privat straffeattest fra en ansøger i forbindelse med ansættelse. Datatilsynet læg-ger herved navnlig vægt på, at der er væsentlige forskelle på indholdet af de 3 typer straffeattester, og at adgangen til at indhente straffeattester til offentlig brug og børneattester afspejler et behov for inden for visse afgrænsede områder at indhente oplysninger om strafbare forhold ud over det, som fremgår af de private straffeattester.
4. Datatilsynet skal anmode om at blive orienteret om det videre forløb af sagen.
Datatilsynet gør for god ordens skyld opmærksom på, at tilsynet forventer at omtale sagen på sin hjemmeside.
1 L 37, Folketinget1977-78, s. 22
2 L 147, Folketinget 1999-2000, s. 81
3 L 147, Folketinget 1999-2000, s. 86
4 Der henvises herved til Lov om behandling af personoplysninger med kommentarer af Henrik Waaben & Kristian Korfits Nielsen, 2. udgave, Jurist- og Økonomforbundets Forlag, s. 108, om begrebet behandling, hvor det fremgår, at det følger af det brede behandlingsbegreb, at indsamling af oplysninger er omfattet af persondatalovens regulering. Indsamlingsfasen er styrende for vurderingen af en behandlings lovlighed, jf. herved § 5, stk. 2.
5 Udtrykkeligt samtykke fra den registrerede udgør et behandlingsgrundlag for oplysninger omfattet af persondataloven §§ 6-8, hvorved bemærkes, at private straffeattester ud over identifikationsoplysninger og oplysninger om strafbare forhold omfattet af §§ 6 og 8 også kan omfatte oplysninger om seksuelle forhold omfattet af § 7.