Medarbejderen er opsagt, fritstillet eller i konflikt med virksomheden. Så kommer der en mail: “Jeg anmoder om indsigt i alle personoplysninger, I har om mig.” Ofte er det et led i en tvist, og ofte er det formuleret af en fagforening eller en advokat. Anmodningen skal behandles efter reglerne, også selvom formålet er at skaffe materiale til en sag. Det vigtigste er tre ting: overhold fristen, bevar alt, mens I arbejder, og få styr på, hvad der skal udleveres, og hvad der kan undtages.
Hvordan indsigtsretten bruges strategisk i en tvist, er beskrevet fra advokatens side på advokatsitet. Her handler det om, hvordan HR og den databeskyttelsesansvarlige praktisk håndterer anmodningen.
→ Indsigtsanmodning efter GDPR som led i en tvist
Fristen
Efter databeskyttelsesforordningen skal I som udgangspunkt svare uden unødig forsinkelse og senest en måned efter, at I har modtaget anmodningen. Fristen kan i visse tilfælde forlænges, hvis anmodningen er kompleks, men så skal medarbejderen have besked om forlængelsen og begrundelsen inden for den første måned.
Skriv datoen for modtagelsen ned med det samme. Fristen løber fra den dag, anmodningen kom frem, også selvom den blev sendt til en leder, der var på ferie.
Hvad gør I nu, i rækkefølge
- Registrér anmodningen. Dato, afsender, hvordan den kom ind. Gem den oprindelige anmodning.
- Bekræft modtagelsen. Kort og sagligt. Lov ikke noget om indholdet af svaret.
- Bekræft identiteten, hvis der er tvivl. Kommer anmodningen fra en privat mail eller via en rådgiver, så sørg for, at den reelt kommer fra medarbejderen, eller at rådgiveren har fuldmagt.
- Bevar alt. Sæt et hold på medarbejderens konti og på de relevante lederes og HR’s postkasser. Stop automatisk sletning. Det er afgørende, at intet slettes, mens I behandler anmodningen.
- Kortlæg, hvor oplysningerne ligger. Personalemappe, lønsystem, HR-system, mails, Teams, tidsregistrering, adgangskort, logs, videoovervågning.
- Inddrag rådgiver. Særligt hvis der er en verserende tvist, eller hvis materialet indeholder oplysninger om andre personer.
- Svar inden fristen. Med udleveret materiale, en beskrivelse af behandlingen og en begrundelse for eventuelle undtagelser.
Hvor ligger oplysningerne?
- Personalemappe og HR-system · Kontrakt, advarsler, vurderinger, fravær
- Lønsystem · Løn, tillæg, skat, pension
- Mails og chats · Kommunikation om og med medarbejderen
- Tidsregistrering og adgangskort · Arbejdstid og tilstedeværelse
- Logs og systemdata · Login, aktivitet, opslag
- Videoovervågning · Billeder, hvis de stadig findes
Mails og chats er den store opgave. En søgning på medarbejderens navn kan give tusindvis af resultater. Hvert resultat skal vurderes: Er det en personoplysning om medarbejderen? Indeholder det oplysninger om andre? Er der grundlag for at undtage det?
→ Tredjemands data i en intern undersøgelse
Hvad kan undtages?
Indsigtsretten er ikke ubegrænset. Der kan være grundlag for at undtage oplysninger, for eksempel af hensyn til andre personers rettigheder, forretningshemmeligheder eller interne overvejelser. Den danske databeskyttelseslov indeholder også undtagelser. Men undtagelser skal vurderes konkret, og de skal begrundes.
Oplysninger om kolleger, for eksempel i en klage eller et vidneudsagn, kan ofte ikke udleveres uden videre. Nogle gange kan de udleveres med overstregninger. Det skal gøres omhyggeligt, så overstregningen ikke kan fjernes digitalt.
Indsigt og bevarelse
Det er her, mange virksomheder kommer galt af sted. Behandlingen af en indsigtsanmodning kan føre til, at nogen rydder op: gamle mails slettes, uheldige chats fjernes, notater omskrives. Det er en alvorlig fejl. Dels kan det være i strid med reglerne, dels kan det ødelægge jeres egen position i den tvist, der ofte følger.
Gør derfor følgende:
- ☐ Sæt hold på alle relevante konti, før søgningen starter.
- ☐ Lad være med at ændre i materialet. Overstregninger laves i kopier, ikke i originalen.
- ☐ Før log over, hvad der er søgt, fundet, udleveret og undtaget.
- ☐ Gem en kopi af præcis det, der er udleveret.
→ Dokumentér jeres egen håndtering
Formatet på svaret
Svaret består typisk af to dele. Den ene er en beskrivelse af behandlingen: hvilke oplysninger I har, hvorfor, hvor de kommer fra, hvem der har fået dem, og hvor længe de gemmes. Den anden er en kopi af selve oplysningerne.
Kopien skal være i et format, medarbejderen kan bruge. For mails betyder det ofte en eksport til pdf eller et almindeligt mailformat. Overvej, hvordan materialet sendes. Store mængder persondata skal ikke sendes som almindelig vedhæftet fil til en privat mail. Brug en sikker forsendelse, og notér, hvordan og hvornår materialet blev sendt.
Saml også et kort følgebrev, der forklarer, hvad der er søgt i, hvad der er udleveret, og hvad der er undtaget med begrundelse. Et klart følgebrev mindsker risikoen for nye spørgsmål og for en klage.
Gentagne og brede anmodninger
Nogle medarbejdere sender flere anmodninger, eller beder om “alt” over mange år. Det kan være tungt, men det fritager ikke for pligten. Det kan være rimeligt at spørge, om medarbejderen kan præcisere, hvad der ønskes, men fristen løber normalt alligevel. Notér jeres dialog om afgrænsningen.
Hvem gør hvad
- HR: ejer anmodningen, registrerer frister og samler materiale fra personalesagen.
- DPO eller databeskyttelsesansvarlig: vurderer, hvad der er omfattet, og hvad der kan undtages.
- IT: sætter hold, laver søgninger og eksporterer data. Notérer hvert skridt.
- Advokat: rådgiver, når der er en verserende eller forventet tvist.
- IT-sagkyndig: kan hjælpe, når mængden af data er stor, eller søgning og eksport skal kunne dokumenteres.
Det skal I lade være med
- Ignorere anmodningen, fordi den er “taktisk”. Formålet ændrer ikke på pligten til at svare.
- Svare for sent. En overskredet frist kan føre til en klage til Datatilsynet.
- Slette noget. Heller ikke det, der ser uheldigt ud.
- Udlevere alt uden vurdering. Oplysninger om kolleger og forretningshemmeligheder kræver omtanke.
- Lave overstregninger, der kan fjernes. Brug et værktøj, der fjerner teksten, ikke kun dækker den.
Når medarbejderen er fratrådt
Mange anmodninger kommer efter fratrædelsen. Så er det særligt vigtigt, at konti ikke allerede er slettet. Er de det, skal I oplyse, hvad der er slettet, og hvornår, i det omfang det er relevant. Det er endnu en grund til at bevare konti for fratrådte medarbejdere i en periode, når der er konflikt. Har I en fast slettepolitik for fratrådte, så tjek, om den skal sættes i bero for netop denne medarbejder, så snart anmodningen kommer ind.
Hvornår skal I have hjælp udefra?
Få hjælp, hvis datamængden er stor, hvis der er en verserende tvist, eller hvis fristen er ved at løbe ud. En IT-sagkyndig kan lave søgninger og eksporter, så det kan dokumenteres, hvad der er søgt efter, og hvad der er fundet. En advokat kan vurdere undtagelser og sammenhængen med tvisten.
Læs også: Medarbejderen klager over virksomheden: dokumentér jeres egen håndtering · Fagforeningen eller medarbejderens advokat beder om materialet
→ IT-sagkyndig i en afskedigelsessag · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
