Datatilsynet har på baggrund af en klage udtalt alvorlig kritik af, at NCC Danmark A/S’ behandling af personoplysninger ikke var sket i overensstemmelse med reglerne i databeskyttelsesforordningen om lovlig behandling af personoplysninger og følsomme personoplysninger, og at NCC ikke havde opfyldt sin oplysningspligt om de oplysninger, som NCC havde indsamlet om sine medarbejdere.
NCC havde opsagt en medarbejder, og der verserede på baggrund af opsigelsen en sag ved Arbejdsretten med påstand om organisationsfjendtlig adfærd ved opsigelsen, ligesom sagen var dækket i medierne.
NCC havde i en intern orientering i en e-mail til flere af virksomhedens ansatte behandlet personoplysninger om klager i form af navn, årsag til afskedigelse, tidligere ansættelsesforhold og fagforeningsmæssigt tilhørsforhold.
NCC begrundede orienteringen i e-mailen med den uro, som dækningen af sagen i medierne skabte på arbejdspladserne.
Datatilsynet fandt, at NCC’s behandling af personoplysninger og følsomme personoplysninger i e-mailen ikke var sket i overensstemmelse med reglerne i databeskyttelsesforordningen, idet NCC ikke havde godtgjort at have haft en legitim interesse i at orientere om afskedigelsen af klager og om klagers tidligere ansættelsesforhold, og idet orienteringen om en konflikt med et bestemt fagforbund ikke kunne indeholde personoplysninger, da der er et absolut forbud mod at behandle oplysninger om fagforeningsmæssigt forhold, og ingen af undtagelserne til forbuddet fandt anvendelse.
Datatilsynet fandt endvidere, at NCC ikke havde opfyldt sin oplysningspligt over for sine medarbejdere, idet det ikke var tilstrækkeligt at persondatapolitikken for medarbejdere var tilgængelig på intranettet, hvis ikke den registrerede var blevet specifikt henvist til den.
Læs mere
Læs selve afgørelsen her.