DA
Teknologi

Fratrådt medarbejders overdrevne indsigtsanmodning kunne godt afvises

logo
Juranyt
calendar 19. maj 2022
globus Danmark

Databeskyttelsesreglerne giver som udgangspunkt en ret til indsigt i, hvilke oplysninger en dataansvarlig behandler om en selv. Reglerne giver også ret til indsigt i, hvordan oplysningerne bliver behandlet. Men indsigtsretten har en grænse. Det viser en ny afgørelse fra Datatilsynet, hvor en tidligere medarbejder ville have indsigt i al den kommunikation, der overhovedet fandtes om ham.

En fratrådt medarbejder sendte en indsigtsanmodning til den kommune, som medarbejderen havde arbejdet for i en årrække. Medarbejderen ønskede indsigt i al kommunikation, hvori medarbejderen nogensinde var nævnt – herunder alle mails afsendt som led i sin sagsbehandling, eller underskrevne dokumenter i løbet af ansættelsen. Årsagen var, at medarbejderen ville bygge en sag op mod kommunen i forbindelse med hans fratræden, og via indsigtsanmodningen forsøgte at indsamle bevismateriale.

Anmodningen blev besvaret kort efter med, at indsigtsanmodningen skulle præciseres. Efter flere års ansættelse var der nemlig tale om en meget omfattende mængde materiale, som var blevet udfærdiget eller sendt afsted i løbet af årene. I stedet for at afgrænse anmodningen, gentog den fratrådte medarbejder den. Igen blev den henvist og medarbejderen fik vejledning om, at det var nødvendigt at afgrænse de oplysninger, der blev ønsket indsigt i.

Den fratrådte medarbejder klagede herefter til Datatilsynet.

Indsigtsretten har grænser

Indsigtsretten giver ret til adgang og information omkring behandling af de personoplysninger, som den dataansvarlige er i besiddelse af.

Datatilsynet var dog enig i, at indsigtsretten ikke er absolut. Den fratrådte medarbejders indsigtsanmodning var urimelig henset til omfanget af materiale. Datatilsynet understregede i den forbindelse, at når der er tale om oplysninger i breve, notater, e-mails og lignende, udarbejdet, underskrevet eller sendt som led i arbejdet, kan oplysningerne undtages fra indsigt efter omstændighederne. Det vil ifølge Datatilsynet være tilfældet, når personoplysningerne alene er et resultat af medarbejderens funktion.

Det kræver dog en konkret vurdering. Der vil nemlig være tilfælde, hvor personoplysninger indgår som led i arbejdsopgaver, men ikke alene er et resultat af medarbejderens funktion eller ikke alene konstaterer medarbejderens tilstedeværelse. Hvis oplysningerne herefter er et resultat af en medarbejders egen handlemåde eller udtryk for et personligt valg fra medarbejderens side, vil oplysningerne efter Datatilsynets opfattelse ikke kunne undtages fra indsigtsretten.

IUNO mener

Ikke alle oplysninger er nødvendigvis omfattet af retten til indsigt. Men det vil kræve en konkret vurdering i hvert enkelt tilfælde af afgøre det. Det viser Datatilsynets afgørelse tydeligt.

IUNO anbefaler, at virksomheder har faste retningslinjer på plads for, hvordan indsigtsanmodninger skal håndteres. Hvis oplysninger skal undtages, kan det i sig selv udløse en stor arbejdsmængde, der dog vil kunne lettes af etablerede processer. Det vil i den forbindelse også være en fordel at besvare omfangsrige eller på anden måde urimelige indsigtsanmodninger med en anmodning om, at datasubjektet præciserer eller begrænser sig, i forhold til hvilke oplysninger der anmodes om.

[Datatilsynets afgørelse af den 31. marts 2022 i sag nr. 2021-32-2438]

En fratrådt medarbejder sendte en indsigtsanmodning til den kommune, som medarbejderen havde arbejdet for i en årrække. Medarbejderen ønskede indsigt i al kommunikation, hvori medarbejderen nogensinde var nævnt – herunder alle mails afsendt som led i sin sagsbehandling, eller underskrevne dokumenter i løbet af ansættelsen. Årsagen var, at medarbejderen ville bygge en sag op mod kommunen i forbindelse med hans fratræden, og via indsigtsanmodningen forsøgte at indsamle bevismateriale.

Anmodningen blev besvaret kort efter med, at indsigtsanmodningen skulle præciseres. Efter flere års ansættelse var der nemlig tale om en meget omfattende mængde materiale, som var blevet udfærdiget eller sendt afsted i løbet af årene. I stedet for at afgrænse anmodningen, gentog den fratrådte medarbejder den. Igen blev den henvist og medarbejderen fik vejledning om, at det var nødvendigt at afgrænse de oplysninger, der blev ønsket indsigt i.

Den fratrådte medarbejder klagede herefter til Datatilsynet.

Indsigtsretten har grænser

Indsigtsretten giver ret til adgang og information omkring behandling af de personoplysninger, som den dataansvarlige er i besiddelse af.

Datatilsynet var dog enig i, at indsigtsretten ikke er absolut. Den fratrådte medarbejders indsigtsanmodning var urimelig henset til omfanget af materiale. Datatilsynet understregede i den forbindelse, at når der er tale om oplysninger i breve, notater, e-mails og lignende, udarbejdet, underskrevet eller sendt som led i arbejdet, kan oplysningerne undtages fra indsigt efter omstændighederne. Det vil ifølge Datatilsynet være tilfældet, når personoplysningerne alene er et resultat af medarbejderens funktion.

Det kræver dog en konkret vurdering. Der vil nemlig være tilfælde, hvor personoplysninger indgår som led i arbejdsopgaver, men ikke alene er et resultat af medarbejderens funktion eller ikke alene konstaterer medarbejderens tilstedeværelse. Hvis oplysningerne herefter er et resultat af en medarbejders egen handlemåde eller udtryk for et personligt valg fra medarbejderens side, vil oplysningerne efter Datatilsynets opfattelse ikke kunne undtages fra indsigtsretten.

IUNO mener

Ikke alle oplysninger er nødvendigvis omfattet af retten til indsigt. Men det vil kræve en konkret vurdering i hvert enkelt tilfælde af afgøre det. Det viser Datatilsynets afgørelse tydeligt.

IUNO anbefaler, at virksomheder har faste retningslinjer på plads for, hvordan indsigtsanmodninger skal håndteres. Hvis oplysninger skal undtages, kan det i sig selv udløse en stor arbejdsmængde, der dog vil kunne lettes af etablerede processer. Det vil i den forbindelse også være en fordel at besvare omfangsrige eller på anden måde urimelige indsigtsanmodninger med en anmodning om, at datasubjektet præciserer eller begrænser sig, i forhold til hvilke oplysninger der anmodes om.

[Datatilsynets afgørelse af den 31. marts 2022 i sag nr. 2021-32-2438]

Modtag vores nyhedsbrev

Anders

Etgen Reitz

Partner

Kirsten

Astrup

Advokat

Lignende

logo
Teknologi

22. september 2022

Datatilsynet tester virksomheders brug af cloud-løsninger

logo
Teknologi

8. september 2022

Hackerangreb bliver dyrt for advokatfirma

logo
Teknologi

18. august 2022

Manglende sletning får Datatilsynet til at hive bødeblokken frem for bogforlag

logo
Teknologi

16. juni 2022

Uheldig softwareopdatering gav tusinder af ansatte adgang til jobansøgninger

logo
Teknologi

2. juni 2022

Tilsidesat oplysningspligt over for aktionær var brud på databeskyttelsesreglerne

logo
Teknologi

5. maj 2022

Datatilsynet har indstillet bank til bøde på 10 millioner kr. for brud på sletteregler

Holdet

Anders

Etgen Reitz

Partner

Kirsten

Astrup

Advokat