Parken Services A/S’ behandling af personoplysninger ved rekruttering – Ingen kritik

Baggrund for sagen

Datatilsynet indledte en undersøgelse af Parken Services A/S’ behandling af personoplysninger i forbindelse med rekruttering, efter at tilsynet blev bekendt med, at virksomheden indhenter kopi af pas og straffeattester på ansøgere.

Parken Services’ rekrutteringsproces

• Parken Services A/S driver virksomhed inden for facility management med fokus på Parken Stadion.
• Virksomheden rekrutterer ofte en stor gruppe medarbejdere på én gang, hvor det er vigtigt, at de lovligt kan arbejde i Danmark.
• Parken Services indhenter følgende oplysninger i rekrutteringsprocessen:
  • Navn, billede og kontaktoplysninger
  • Personnummer (hvis ikke fjernet af ansøger)
  • Ansøgning og CV
  • Uddannelsespapirer, referencer
  • Straffeattest
  • Pasoplysninger
  • Oplysninger om opholds- eller arbejdstilladelse
  • Oplysninger på sociale medier
• Formålet med at indhente pasoplysninger er at kende ansøgernes nationalitet og sikre, at ikke-EU-borgere har de nødvendige tilladelser.
• Parken Services vurderer, at de efterspurgte oplysninger er tilstrækkelige, relevante og begrænsede til formålet, jf. Databeskyttelsesforordningens artikel 5.
• Parken Services mener, at behandlingen af pasoplysninger er nødvendig for at sikre, at ansøgerne lovligt kan arbejde for virksomheden, jf. Databeskyttelsesforordningen § 6, stk. 1, litra f, og at virksomheden har en retlig forpligtelse til at sikre dette, jf. Databeskyttelsesforordningen § 6, stk. 1, litra c, jf. Udlændingeloven § 59, stk. 5.

Indhentelse af straffeattester

• Parken Services indhenter straffeattester for at vurdere, om ansøgeren er egnet til stillingen.
• Virksomheden anser Parken Stadion for et højrisikoområde i forhold til terror og kriminalitet.
• Parken Services er en del af PARKEN-koncernen, og det er vigtigt for virksomhedens troværdighed, at ansatte har en ren straffeattest.

Sikkerhedsrisiko

• Center for Terroranalyse (CTA) vurderer, at der er en alvorlig terrortrussel mod Danmark, herunder offentligt befærdede steder.
• Parken Stadion kan anses for et højrisikoområde på grund af det store antal deltagere og arrangementernes karakter.
• Parken Services har eksempler på tidligere ansatte, der har hjulpet gæster med at smugle pyroteknik ind.
• Virksomheden har ca. 1.800 ansatte, og der er hyppig udskiftning i medarbejderstaben.
• Parken Services samarbejder med politiet om sikkerheden omkring arrangementer.

Datatilsynets vurdering

Datatilsynet har vurderet, om Parken Services’ indhentelse af kopi af pas og straffeattester er i overensstemmelse med databeskyttelsesreglerne.

Afgørelse

Datatilsynet finder, at Parken Services’ indhentelse af kopi af pas og straffeattester på jobansøgere sker inden for rammerne af databeskyttelsesreglerne, og der gives derfor ingen kritik.

Begrundelse

• Indhentelse af kopi af pas:
  • Datatilsynet finder, at det relevante behandlingsgrundlag er Databeskyttelsesforordningen § 6, stk. 1, litra f (legitim interesse).
  • Datatilsynet lægger vægt på de særlige omstændigheder omkring Parken Services’ rekrutteringsprocedure og det store antal ansatte.
  • Datatilsynet opfordrer Parken Services til at opfordre jobansøgere til at fjerne deres personnummer fra paskopien.
• Indhentelse af straffeattester:
  • I det omfang straffeattester indeholder oplysninger om strafbare forhold, kan oplysninger herom behandles af private dataansvarlige, hvis der er hjemmel i Databeskyttelsesloven § 8, stk. 3.
  • Datatilsynet henviser til sin vejledning om databeskyttelse i ansættelsesforhold, hvoraf det fremgår, at indhentelse af straffeattester skal være saglig og proportional.
  • Datatilsynet lægger vægt på, at Parken Services har vurderet nødvendigheden af at indhente straffeattester for de forskellige stillingskategorier, at indhentelsen sker på det senest mulige tidspunkt, og at der knytter sig en særlig risikoprofil til Parken Stadion.
  • Den særlige risikoprofil omkring Parken Stadion er bekræftet af politiet.

Datatilsynet forudsætter, at Parken Services løbende overvejer sin behandling af personoplysninger, herunder nødvendigheden heraf.