Kritik af Nævnenes Hus for mangelfuld oplysningspligt ved kontrolforanstaltninger over for medarbejdere

Datatilsynet gennemførte i 2020 et skriftligt tilsyn hos Nævnenes Hus for at vurdere, om de overholdt reglerne om oplysningspligt ved kontrolforanstaltninger over for medarbejderne. Tilsynet undersøgte også, om Nævnenes Hus sikrede gennemsigtighed omkring disse foranstaltninger, som krævet i Databeskyttelsesforordningen. Datatilsynet varslede tilsynet i september 2019 og modtog efterfølgende en udtalelse fra Nævnenes Hus.

Tilsynet fokuserede på følgende kontrolforanstaltninger:

• Tv-overvågning på bestemte områder
• Logning af medarbejderes åbning af aflåste døre
• Logning af medarbejderes handlinger i ESDH-systemet
• Registrering af medarbejdernes arbejdstid
• Central logning af medarbejdernes arbejdscomputer

Nævnenes Hus informerede medarbejderne om disse foranstaltninger via en intern privatlivspolitik og tilhørende bilag, som blev udleveret til nye medarbejdere og var tilgængelig på intranettet. Datatilsynet vurderede, at forudgående information om kontrolforanstaltninger er afgørende for at sikre gennemsigtighed, jf. Databeskyttelsesloven § 5. Datatilsynet anbefalede, at Nævnenes Hus informerer medarbejderne om nye kontrolforanstaltninger mindst seks uger før implementeringen.

Datatilsynet udtalte kritik af Nævnenes Hus for mangelfuld overholdelse af oplysningspligten i forbindelse med kontrolforanstaltninger over for medarbejderne.

Centrale punkter i kritikken:

• Manglende tydelig information om identiteten på den dataansvarlige.
• Utilstrækkelig information om formålet med behandlingen af oplysninger, retsgrundlaget, kategorier af personoplysninger, modtagere af oplysninger og opbevaringsperiode.
• Manglende overholdelse af kravet om gennemsigtighed i Databeskyttelsesforordningen artikel 5, stk. 1, litra a.

Datatilsynet fandt, at Nævnenes Hus’ information om tv-overvågning, logning af døre, logning i ESDH-systemet, registrering af arbejdstid og central logning af arbejdscomputere ikke levede op til kravene i Databeskyttelsesforordningen artikel 13 og 14.