Politikker og regler

Cyber- og informationssikkerhedspolitikken er senest godkendt af Byrådet på møde den 7. april 2026.

Se Cyber- og informationspolitikken i eDoc

1. Formål

1.1 Formålet med denne medarbejderinstruks er at give alle medarbejdere en grundlæggende forståelse for behandling af personoplysninger, og hvad de skal gøre, når personoplysninger behandles eller tilgås.

1.2 Når personoplysninger samles, anvendes og/eller lagres af Organisationen (”behandling”), skal vi sikre, at behandlingen foretages på sikker og ordentlig vis. Dette betyder, at personoplysninger kun behandles i overensstemmelse med principperne for behandling af personoplysninger som defineret i GDPR, artikel 5.

1.3 Som medarbejder i Organisationen er det vigtigt, at du ved, hvordan du må behandle personoplysninger i Organisationen og at du har tilstrækkelig information, som kan hjælpe dig med at sikre, at personoplysninger behandles på en måde, som sikrer tilgængelighed, integritet og fortrolighed.

1.4 Formålet med denne Medarbejderinstruks er desuden at sikre, at personoplysninger behandles korrekt og i henhold til gældende regler og Organisationens procedurer.

2. Hvad er personoplysninger?

2.1 Personoplysninger er enhver information om en identificeret eller identificerbar person (også kaldet den ”registrerede” ). Eksempler på personoplysninger er navn, adresse, telefonnummer, medarbejder-ID, IP-adresse, personlighedstest, religiøs overbevisning, information om bankkonto, m.v. Dette betyder, at en hvilken som helst oplysning, som du behandler, der relaterer sig til en fysisk person, er personoplysninger.

Nogle af de typer personoplysninger oplistet ovenfor kræver ekstra opmærksomhed - denne type data kaldes ”særlige kategorier” eller ”følsomme personoplysninger”. Følsomme personoplysninger er oplysninger om en persons race, etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssig tilhørsforhold, genetisk data, biometrisk data med henblik på entydig identifikation, helbredsdata, seksuelle forhold eller seksuel orientering og straffedomme og lovovertrædelser. Personoplysninger skal alene behandles i overensstemmelse med loven og hvis relevant - gældende databehandleraftale. Desuden er der særlige krav, når følsomme personoplysninger behandles.

2.2 I nogle lande er behandling af almindelige personoplysninger underlagt særlige forhold. Eksempler på dette er information om indtægt, formue, arbejdsforhold, uddannelse og ansættelsesforhold. Det samme gør sig gældende i forhold til information om interne familieforhold, eksempelvis selvmordsforsøg og ulykker.
Desuden kan særlige forhold gøre sig gældende for visse typer personoplysninger, eksempelvis nationalt identifikationsnummer eller andre almene midler til identifikation, jf. GDPR artikel 87. Det er derfor også vigtigt, at national lovgivning, som indeholder særlige forhold overvejes, eksempelvis straffeloven eller administrativ lovgivning.
Du skal være ekstra påpasselig, når og hvis du behandler følsomme personoplysninger og enhver behandling skal begrænses mest muligt. hvis du er i tvivl om der skal tages ekstra forholdsregler, skal du spørge din nærmeste leder, eller den IT-ansvarlige.

3. Tavshedspligt

3.1 Organisationen skal til alle tider sikre, at alle personoplysninger behandles sikkert, og at passende tekniske og organisatoriske foranstaltninger anvendes. Som medarbejder i Organisationen har du tavshedspligt om forhold, du bliver bekendt med gennem dit arbejde.

3.2 Derfor skal du, når du behandler personoplysninger:

• 3.2.1. ikke dele eller på anden vis videregive personoplysninger til andre, medmindre der er et egentligt arbejdsmæssigt behov, og
• 3.2.2. sikre at der tages alle rimelige foranstaltninger for at sikre, at personoplysninger behandles fortroligt og ikke videregives eller anvendes uhensigtsmæssigt

Dette betyder, at alle personoplysninger, som du bliver bekendt med igennem dit arbejde, skal behandles i streng fortrolighed. Dette inkluderer personoplysninger om andre medarbejdere, kunder og deres ansatte, slutbrugere og andre registrerede.

3.3 Ovenstående gælder i øvrigt også efter ansættelsesforholdets ophør.

4. Behandling i henhold til instruks

4.1 Du skal altid behandle personoplysninger i overensstemmelse med Organisationens instruks, medmindre lovgivningen tilsiger andet. Dette er relevant, når du for eksempel behandler personoplysninger om jobansøgere, ansatte, kunder og deres ansatte eller leverandører og partnere og deres ansatte, eller når nu behandler personoplysninger om eller for kunder.

4.2 Hvis du er i et land uden for EU/EØS og udfører ikke-elektronisk behandling af personoplysninger, eller hvis du udfører elektronisk behandling af personoplysninger, som overføres til eller behandles i et eller flere lande uden for EU/EØS eksempelvis, når servere befinder sig i sådanne lande, skal du være ekstra påpasselig med at overholde betingelserne i GDPR.

4.3 Hvis du sender breve til, rejser til eller befinder dig i et land uden for EU/EØS, skal du sikre, at der er et juridisk grundlag for overførsel af personoplysninger, når du sender, bringer eller behandler personoplysninger på en ikke-elektronisk måde.

4.4 Overholdelse er vigtig for at sikre, at beskyttelsesniveauet for de registrerede, som er garanteret i GDPR ikke bliver undermineret, når personoplysninger overføres til lande eller internationale organisationer uden for EU/EØS.

4.5 Specifikke systemer
Såfremt særlige krav gør sig gældende, for anvendelse af et specifikt system eller behandlingen af personoplysninger, vil du blive underrettet derom af din nærmeste leder, eller den IT-ansvarlige.

4.6 Du skal være opmærksom på særlige forpligtelser i kontrakter. Eksempelvis i forhold til lagringsperioder af personoplysninger.

5. Organisationens adgang til medarbejderdata

5.1 Hvis du er fraværende på grund af ferie, orlov, ansættelsesophør (uanset grund) eller i forbindelse med dødsfald, kan det være nødvendigt og i Organisationens interesse at få adgang til dine e-mails og informationer, som du har behandlet i forbindelse med dit arbejde. Disse e-mails og informationer kan inkludere personoplysninger, herunder også om dig. Organisationen forbeholder sig ret til, såfremt der er en saglig grund og et driftsmæssigt hensyn, at få adgang til, gennemgå og anvende relevante e-mails og information i tilfælde af dit fravær.

5.2 Såfremt Organisationen har en begrundet mistanke om, at du har overtrådt denne instruks eller har behandlet personoplysninger, håndteret forretningsmæssige/kommercielle oplysninger eller forretningshemmeligheder uautoriseret eller ulovligt, eller hvis Organisationen modtager en anmodning fra en relevant myndighed, forbeholder Organisationen sig ret til at få adgang til, gennemgå og anvende relevante e-mails og information. Adgang må kun finde sted efter instruks fra din nærmeste leder og med godkendelse fra den øverste ledelse. Adgangen er begrænset til, hvad der er nødvendigt og passende i forhold til årsagen, og skal ophøre, når undersøgelsen er afsluttet.

5.3 E-mails markeret med ”Privat” eller "Personlig" vil være undtaget fra punkt 5.1 og 5.2.

6. Organisationens politik vedr. lagring og sletning af data

6.1 Personoplysninger skal som udgangspunkt slettes i henhold til Organisationens slettepolitik. Dette gælder i forhold til personoplysninger om ansatte, eksterne parter såsom kunder, slutbrugere og/eller samarbejdspartnere. Hvis du får instruks om at slette personoplysninger i henhold til Organisationens slettepolitik, skal du sikre efterlevelse.

6.2 Som medarbejder må du kun behandle og lagre personoplysninger i henhold til Organisationens instruks og kun når det er nødvendigt for at udføre dit arbejde. Dette betyder, at du ikke må anvende private notesbøger eller online private noter eller lignende til at behandle eller lagre personoplysninger i forbindelse med dit arbejde, medmindre dette specifikt er blevet skriftligt forhåndsgodkendt. Du må således eksempelvis ikke anvende private USB-nøgler eller private konti hos eksempelvis Google, Dropbox eller OneDrive til opbevaring af Organisationens data.

6.3 Hvis du uden for ansættelsesforholdet indsamler eller behandler helt private personoplysninger, må en sådan behandling kun finde sted på Organisationens digitale enheder (PCere, tablets, mobiltelefoner mv.) i det omfang, dette er tilladt af Organisationen samt lovligt og forenligt med din ansættelse. Der skal altid være en klar opdeling af private personoplysninger og personoplysninger, som du behandler i forbindelse med din ansættelse. Private personoplysninger skal altid klart markeres ”Privat”.

7. Sikkerhed på kontoret

7.1 Alle fysiske opbevaringsområder, hvor personoplysninger opbevares skal holdes aflåst når du ikke er tæt ved. Dette betyder, at du skal låse dine digitale enheder, låse skabe, skuffer og lignende, som indeholder personoplysninger, hver gang du er fraværende fra din plads, også selvom du kun er fraværende i en kort periode. Lad ikke dokumenter eller andet materiale indeholdende personoplysninger ligge fremme uden opsyn.

7.2 Du må ikke give uvedkommende adgang til Organisationens bygninger eller servere, inklusive fjernadgang, såsom via eksempelvis TeamViewer eller Skype, uden tilladelse fra nærmeste leder.

8. Din adfærd i det offentlige rum

8.1 Når du befinder dig i det offentlige rum, for eksempel på vej til og fra arbejde, på tjenesterejser eller til møder i ind- og udland, skal du altid være bevidst om, at andre kan se og høre, hvad du beskæftiger dig med. Det betyder, at du som medarbejder eksempelvis ikke må gøre følgende:

• 8.1.1. tale om Organisationen og dens fortrolige eller forretningskritiske aktiviteter, når der er uvedkommende indenfor hørevidde;
• 8.1.2. skrive breve, e-mails eller lign. om Organisationen og dens aktiviteter og personoplysninger, når der er uvedkommende indenfor synsvidde, der har mulighed for at ”læse over skulderen”;
• 8.1.3. lade dokumenter eller digitale enheder ude af syne, så uvedkommende kan stjæle disse eller få adgang til eller kopiere informationer indeholdt i disse.
  
  

9. Sikkerhedsbrud

9.1 Hvis du mener, at der er en trussel eller en mulig sikkerhedsbrist eller svaghed i Organisationens systemer, eller hvis du bliver opmærksom på, at sikkerheden i behandlingen af personoplysninger er blevet kompromitteret eller sandsynligvis kunne blive kompromitteret eller hvis der har været en uautoriseret eller utilsigtet videregivelse eller adgang til personoplysninger, skal du med det samme underrette den person i Organisationen, der er ansvarlig for sikkerhedsbrud på dpo@middelfart.dk.

10. Anmodninger fra registrerede

10.1 GDPR og nationale databeskyttelseslove giver de registrerede visse rettigheder og Organisationen har derfor visse forpligtelser. Organisationen skal give de registrerede nogle oplysninger, når personoplysninger indhentes fra de registrerede. Denne forpligtelse gælder både når Organisationen indhenter personoplysningerne direkte fra den registrerede og fra tredjemand. Oplysningerne, som gives af Organisationen skal opfylde kravene i GDPR og nationale databeskyttelseslove, og dette gøres ofte ved at anvende privatlivspolitikker. Organisationen skal også besvare anmodninger fra de registrerede i henhold til ovenfor anførte regler.

De registreredes rettigheder er: (i) indsigtsret, (ii) ret til berigtigelse, (iii) ret til sletning, (iv) ret til begrænsning af behandling, (v) ret til dataportabilitet, (vi) ret til indsigelse og (vii) rettigheder i forbindelse med automatiske afgørelser herunder profilering).

10.2 Du skal ikke svare på spørgsmål vedrørende Organisationens behandling af personoplysninger eller en anmodning fra en registreret, medmindre du har fået tilladelse af din nærmeste leder, eller dette er en del af din jobbeskrivelse. Du skal i stedet omgående videresende spørgsmål eller anmodninger til den person i Organisationen, der er ansvarlig for at besvare spørgsmål eller anmodninger fra registrerede og afvente yderligere anvisninger.

10.3 Hvis du modtager spørgsmål eller anmodninger telefonisk, skal du henvise personen til den officielle kontakt, der håndterer spørgsmål eller anmodninger. Hvis dette ikke er muligt, skal du notere navn og kontaktinformation (og hvis relevant, kunde- eller medlemsnummer) på personen, der henvender sig, og videresende denne information sammen med datoen for telefonsamtalen til den officielle kontakt med det samme.

10.4 Kontakt: dpo@middelfart.dk

11. IT-sikkerhedspolitik

11.1 IT-Sikkerhedspolitikken er tilgængelig på intranettet under "Systemer og Sikkerhed" og "Informationssikkerhed".

12. Overtrædelse af medarbejderinstruksen

12.1 Misbrug af personoplysninger eller overtrædelse af denne medarbejderinstruks kan resultere i ændringer i dit ansættelsesforhold. I tilfælde af efterfølgende overtrædelser eller i mere alvorlige sager, kan dette resultere i opsigelse eller
bortvisning.

13. Spørgsmål og andre henvendelser

13.1 Hvis du mener, at denne medarbejderinstruks strider mod gældende lovgivning, bedes du snarest muligt kontakte din nærmeste leder, som vil sikre, at de relevante personer underrettes med det samme, når dette er nødvendigt.

13.2 Såfremt du har spørgsmål eller er i tvivl om en behandlingsaktivitet, kan du altid henvende dig til dpo@middelfart.dk

Dette er version 2, sidst opdateret den 05.12.2022 10:49.

1. Introduktion

1.1 Denne persondatapolitik (”Politikken”) beskriver, hvordan Middelfart Kommune ("os”, ”vi” eller ”vores”) som dataansvarlig indsamler og behandler personoplysninger om dig i forbindelse med håndtering af din jobansøgning og i rekrutteringsprocessen.

1.2 Politikken er formuleret og gjort tilgængelig for at overholde databeskyttelsesforordningen (2016/679 of 27. april 2016) (”GDPR”) og reglerne heri om oplysningspligt.

2. Personoplysninger vi indsamler om dig

2.1 Vi behandler personoplysninger om dig, når dette er relevant og i overensstemmelse med gældende lovgivning. Alt efter de konkrete omstændigheder kan de behandlede personoplysninger omfatte følgende typer af personoplysninger: navn, adresse, telefonnummer, e-mailadresse, personnummer, CV, uddannelsespapirer, referencer fra tidligere arbejdsgivere, fødselsdato, ansøgning, personlighedstests.

2.2 Vi behandler ikke følsomme personoplysninger, dvs. den særlige kategori af personoplysninger defineret i GDPR, artikel 9, stk. 1.

2.3 Vi behandler muligvis din straffeattest i forbindelse med rekrutteringsprocessen. Formålet hermed er, at vi kan vurdere, om attesten er forenelig med kravene til den konkrete stilling. I så fald foregår dette på baggrund af dit udtrykkelige samtykke i overensstemmelse med databeskyttelseslovens § 8, stk. 3.

2.4 Vi indsamler som udgangspunkt kun personoplysninger om dig direkte fra dig. Hvis vi under særlige omstændigheder indsamler personoplysninger om dig fra andre kilder, vil vi give dig besked herom, herunder ved at opdatere denne Politik.

2.5 Hvis vi får brug for at indsamle og behandle yderligere personoplysninger end angivet ovenfor, vil vi orientere herom ved indsamlingen. Sådan oplysning kan også ske ved opdatering af denne Politik.

3. Formål med behandlingen af dine personoplysninger

3.1 Personoplysninger som vi indsamler om dig behandles til følgende formål:

• a) For at kunne behandle ansøgninger og rekruttere relevante kandidater.
• b) For at kunne oprette og vedligeholde et kartotek over relevante kandidater til stillinger i vores Organisation.

4. Retsgrundlag for behandlingen af dine personoplysninger

4.1 Vi behandler kun dine personoplysninger, når vi har et lovligt behandlingsgrundlag i overensstemmelse med GDPR. Behandlingen af personoplysninger sker alt efter de konkrete omstændigheder på baggrund af følgende behandlingshjemmel:

• a) Hvis vi har bedt om dit samtykke til behandling af nogle konkrete personoplysninger, er behandlingsgrundlaget for disse personoplysninger dit samtykke, jf. GDPR, artikel 6, stk. 1, litra a. Du kan altid trække dit samtykke tilbage ved at kontakte os via de kontaktoplysninger, der er angivet nederst i denne Politik. Hvis du trækker dit samtykke tilbage, slettes de personoplysninger, der behandles på grundlag af samtykket, medmindre de kan eller fortsat skal behandles for eksempel for at overholde en retlig forpligtelse.
• b) Behandlingen er nødvendig for udførelsen eller indgåelsen af en kontrakt, som du er part i, jf. GDPR, artikel 6, stk. 1, litra b.

5. Videregivelse og overførsel af dine personoplysninger

5.1 Vi videregiver kun personoplysninger til andre, når lovgivningen tillader eller kræver det.

6. Sletning og opbevaring af personoplysninger

6.1 Vi sørger for, at personoplysninger slettes, når de ikke længere er relevante for vores behandlingsformål som beskrevet ovenfor. Vi opbevarer altid personoplysninger i det tidsrum, som gældende lovgivning forpligter os til, herunder til brug for dokumentation af overholdelse af blandt andet bogføringslovens bestemmelser.
Hvis du får ansættelse hos os, overgår dine personoplysninger i forbindelse med ansøgningen til vores personaleadministrationssystem. Hvis du ikke får ansættelse, er udgangspunktet, at dine personoplysninger i overensstemmelse med dansk ret slettes efter senest 6 måneder. Hvis der er konkrete ansættelsesretlige årsager, kan personoplysninger fortsat behandles til sådanne konkrete formål på trods af ovenstående. Det indebærer blandt andet, at vi kan opbevare ansøgningerne i en længere periode for senere at kunne bevise, at der eksempelvis ikke er sket ulovlig forskelsbehandling i forbindelse med udvælgelsen, hvis vi finder dette nødvendigt. Det kan også være relevant for os at behandle personoplysningerne i en begrænset periode, såfremt en lignende relevant stilling bliver ledig, eller hvis en anden kandidat springer fra i rekrutteringsprocessen
Hvis du har spørgsmål angående opbevaringen og behandlingen af dine personoplysninger, er du velkommen til at kontakte os på den e-mailadresse, du finder i det sidste afsnit i denne Politik.

6.2 Hvis du derimod giver samtykke til en længere opbevaringsperiode, følges fristen i samtykket, eksempelvis hvis vi opbevarer din ansøgning i en sådan begrænset periode med henblik på at kunne rette henvendelse til dig igen, hvis en lignende relevant stilling bliver ledig i perioden, eller hvis en anden kandidat springer fra.

7. Dine rettigheder

7.1 Som registreret person har du en række rettigheder:

• 7.1.1 Du har ret til at anmode om indsigt i, hvilke personoplysninger vi behandler om dig, formålet med behandlingen, og om vi videregiver personoplysningerne til andre.
• 7.1.2 Du har ret til at få berigtiget urigtige personoplysninger om dig.
• 7.1.3 Du har i visse tilfælde ret til at få slettet visse af dine personoplysninger.
• 7.1.4 Du har i visse tilfælde ret til at få begrænset behandlingen af dine personoplysninger, sådan at vi kun opbevarer dine personoplysninger i en given periode.
• 7.1.5 Du har i visse tilfælde ret til at gøre indsigelse imod vores behandling af dine personoplysninger på baggrund af årsager og forhold, der vedrører din særlige situation.
• 7.1.6 Du har ret til ikke at være genstand for en automatisk afgørelse uden menneskelig indblanding, medmindre afgørelsen er nødvendig for din ansættelse hos os, eller foretagelsen af afgørelsen er hjemlet ved lov eller dit udtrykkelige samtykke.
• 7.1.7 Såfremt vi har indhentet dit samtykke til en del af vores behandling af dine personoplysninger, har du til enhver tid ret til at tilbagekalde dit samtykke. Hvis du vælger at trække dit samtykke tilbage, påvirker det ikke lovligheden af den behandling, der er baseret på samtykket, inden tilbagekaldelsen.
• 7.1.8 Du har i visse tilfælde ret til såkaldt dataportabilitet af de personoplysninger, du har afgivet til os.
• 7.1.9 Du kan altid indgive en klage til Datatilsynet.

7.2 Der kan være betingelser eller begrænsninger til disse rettigheder. Det er derfor ikke sikkert, at du eksempelvis har ret til dataportabilitet i det konkrete tilfælde - dette afhænger af de konkrete omstændigheder i forbindelse med behandlingsaktiviteterne.

8. Ændringer til Politikken

8.1 Vi forbeholder os retten til at ajourføre og ændre denne Politik. Hvis vi ændrer Politikken, ændrer vi datoen og versionen i bunden af dokumentet. I tilfælde af væsentlige ændringer, vil vi give besked i form af en synlig meddelelse på vores hjemmeside, e-mail eller ved brug af andre kommunikationsmidler.

9. Kontakt

9.1 Ved spørgsmål eller kommentarer til denne politik, eller ved påberåbelse af en eller flere rettigheder, kan vi kontaktes på dpo@middelfart.dk.

Dette er version 2, som sidst er opdateret den 05.12.2022 10:39.

1. Indledning

1.1 Dette dokument beskriver den interne procedure (”Proceduren”), der skal følges, når et brud på persondatasikkerheden konstateres i Organisationen.

1.2 Proceduren sikrer, at Organisationen håndterer et brud på persondatasikkerheden på effektiv vis, sådan at fejl og forstyrrelser bliver afhjulpet så hurtigt som muligt. Til brug for dette formål indeholder Proceduren navnlig følgende elementer:

• Definition af et brud på persondatasikkerheden (punkt 2)
• Proces for håndtering af et brud på persondatasikkerheden (punkt 3)
• Registrering og dokumentering af et brud på persondatasikkerheden (punkt 4)
• Anmeldelse af et brud på persondatasikkerheden til Datatilsynet (punkt 5)
• Underretning af de berørte registrerede (punkt 6)
• Evaluering og ændringer (punkt 7)
• Den Brudansvarliges kontaktoplysninger (punkt 8)

2. Definition af et brud på persondatasikkerheden

2.1 Europa-Parlamentets og Rådets generelle forordning om databeskyttelse (EU) 2016/ 679 ("GDPR") definerer et brud på persondatasikkerheden som "et brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet", jf. GDPR, artikel 4, nr. 12.

Det kunne eksempelvis være: Hvis en hacker fik adgang til personoplysninger, hvis oplysninger om en borger fejlagtigt videregives til en anden borger osv. Se eventuelt Datatilsynets vejledning om håndtering af brud på persondatasikkerheden.

3. Proces for håndtering af et brud på persondatasikkerheden

3.1 "Den Brudansvarlige" er den person, som er ansvarlig for at håndtere brud på persondatasikkerheden i Organisation og skal kontaktes såfremt et brud på persondatasikkerheden mistænkes eller konstateres. Såfremt du opdager eller mistænker, at der er sket et brud på persondatasikkerheden, skal du straks orientere den Brudansvarlige.

3.2 Den Brudansvarlige skal kontaktes via kontaktinformationen i punkt 8.1.

3.3 Personen eller personerne, som opdager eller på anden vis er involveret i bruddet på persondatasikkerheden skal, som instrueret af den Brudansvarlige, håndtere eller assistere med håndtering af bruddet på persondatasikkerheden, og såfremt det er nødvendigt (i) anmelde bruddet på persondatasikkerheden til Datatilsynet og/eller (ii) underrette de berørte registrerede.

3.4 Den Brudansvarlige skal rapportere til Ledelsen, såfremt retningslinjerne i Proceduren ikke er blevet fulgt.

4. Registrering og dokumentering af et brud på persondatasikkerheden

4.1 Såfremt et brud på persondatasikkerheden konstateres, skal personen eller personerne, som opdager eller på anden vis er involveret i bruddet på persondatasikkerheden, bistå med at registrere og dokumentere bruddet på persondatasikkerheden, i det omfang den Brudansvarlige instruerer herom. Dette har til formål at skabe et overblik over bruddet på persondatasikkerheden for herefter at kunne vurdere risikoen for de berørte registrerede, og om det skal anmeldes til Datatilsynet og eventuelt underrettes til de berørte registrerede.

4.2 Følgende procedure skal følges, når et brud på persondatasikkerheden skal registreres: Alle brud skal anmeldes, hurtigst muligt, til DPO'en via https://intranet.middelfart.dk/systemer-og-informationssikkerhed/ informationssikkerhed/sikkerhedsbrud/

4.3 Formålet med at registrere og dokumentere brud på persondatasikkerheden er, at Organisationen kan overholde sin forpligtelse herfor, jf. GDPR, artikel 33, stk. 5.

5. Anmeldelse af brud på persondatasikkerheden til Datatilsynet

Den Brudansvarlige skal foretage en vurdering af, om bruddet på persondatasikkerheden skal anmeldes til Datatilsynet.

5.1 Hvornår skal et brud på persondatasikkerheden anmeldes til Datatilsynet?
Som hovedregel skal alle brud på persondatasikkerheden, der sandsynligvis indebærer risici for de berørte registreredes rettigheder og frihedsrettigheder, anmeldes til Datatilsynet, jf. GDPR, artikel 33.

Anmeldelse til Datatilsynet om et brud på persondatasikkerheden skal ske uden unødig forsinkelse og om muligt senest 72 timer efter, at Organisationen er blevet bekendt med bruddet på persondatasikkerheden. Er det ikke muligt at anmelde inden for 72 timer, skal anmeldelsen ledsages af en begrundelse for forsinkelsen, hvori Organisationen skal redegøre for de grunde, der har været skyld i forsinkelsen.

Har Organisationen ikke mulighed for at afgive alle de oplysninger, som anmeldelsen som minimum skal indeholde inden for tidsfristen på 72 timer, skal Organisationen meddele oplysningerne trinvist til Datatilsynet uden unødig forsinkelse, jf. GDPR, artikel 33, stk. 4.

5.2 Hvordan foretages en anmeldelse til Datatilsynet?
En anmeldelse af et brud på persondatasikkerheden foretages ved hjælp af indberetningsløsningen på Virk.dk eller via følgende link: https://indberet.virk.dk/myndigheder/stat/ERST/Indberetning_af_brud_paa_sikkerhed.

Blanketten på ovenstående hjemmeside tager hensyn til de minimumskrav, der gælder for indholdet af en anmeldelse efter GDPR, artikel 33, stk. 3.

Husk at downloade en kopi af blanketten til brug for dokumentation i Organisationen efter, at blanketten er indsendt, da alle anmeldelser slettes i Erhvervsstyrelsens system efter 30 dage.

5.3 Bemærkninger
Anmeldelsen foretages af databeskyttelsesrådgiver i samråd med øverste sikkerhedsansvarlig og IT-sikkerhedsgruppen. Middelfart Kommune skal som dataansvarlig dokumentere alle brud på persondatasikkerheden, herunder de faktiske omstændigheder ved bruddet på persondatasikkerheden, bruddets virkninger og de trufne afhjælpende foranstaltninger. Det skal ske på konkret sag i eDoc om sikkerhedsbruddet. Se nærmere om registrering og dokumentation af brud på persondatasikkerheden nedenfor i nærværende notat under afsnit om ansvarlighed og intern dokumentation.

6. Underretning af de berørte registrerede

Den Brudansvarlige skal foretage en vurdering af, om de registrerede skal underrettes om bruddet på persondatasikkerheden.

6.1 Hvornår skal de berørte registrerede underrettes om bruddet på persondatasikkerheden?
Organisationen skal underrette berørte registrerede om et brud på persondatasikkerheden, når bruddet sandsynligvis vil indebære en høj risiko for de registreredes rettigheder og frihedsrettigheder efter GDPR, artikel 34. Underretningen skal ske så snart, at det med rimelighed er muligt efter, at bruddet på persondatasikkerheden er konstateret.

Underretning skal som minimum indeholde en beskrivelse af karakteren af bruddet på persondatasikkerheden samt angive kontaktoplysninger på databeskyttelsesrådgiveren eller den person i Organisationen, der er ansvarlig for underretningen. Herudover skal underretningen beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden samt de foranstaltninger, der er truffet eller foreslået truffet for at håndtere bruddet.

Underretningen skal ske ved passende meddelelse og direkte, dvs. enten via e-mail, sms eller brev. Hvordan en underretning foretages mest hensigtsmæssigt, skal vurderes i forhold til det konkrete brud på persondatasikkerheden.

Undtagelser til underretning: 
Underretning af de berørte personer kan undtages, såfremt én af følgende undtagelser er opfyldt:

• Organisationens implementerede tekniske og organisatoriske sikkerhedsforanstaltninger medfører, at de personoplysninger, som er berørt af bruddet på persondatasikkerheden, er uforståelige for enhver uautoriseret tredjemand.
• Organisationen har efterfølgende truffet foranstaltninger, der sikrer, at den høje risiko for de berørte personers rettigheder og frihedsrettigheder ikke længere er reel.
• Det vil kræve en uforholdsmæssig stor indsats af Organisationen at underrette hver enkelt berørte person. I stedet kan underretning ske ved offentlig meddelelse.

Bevisbyrden for at et af undtagelsestilfældene finder sted, påhviler Organisationen. Organisationen skal derfor være i stand til at begrunde beslutningen om ikke at underrette de berørte registrerede om bruddet på persondatasikkerheden.

7. Evaluering og ændringer

7.1 Organisationen skal foretage en evaluering af forløbet og dermed sikre, at processen kan blive opdateret og forbedret, hvis det er nødvendigt. Den nøjagtige årsag til bruddet på persondatasikkerheden, og hvorvidt denne årsag kan forebygges, skal overvejes, så et lignende sikkerhedsbrudkan undgås i fremtiden.

7.2 Organisationen forbeholder sig retten til at opdatere og ændre Proceduren. Såfremt Proceduren ændres, rettes datoen og versionen nederst på siden.

8. Breach Handler kontaktinformation

8.1 I tilfælde af brud kontakt den Brudansvarlige via følgende kontaktinformation: dpo@middelfart.dk 

Du kan ligeledes kontakte den Brudansvarlige, hvis du har spørgsmål eller bemærkninger til Proceduren.

Dette er version 2, sidst opdateret den 07.12.2022 09:00.

1. Indledning

1.1 GDPR giver personer visse rettigheder, som skal overholdes, når deres personoplysninger behandles.

1.2 Denne procedure beskriver, hvordan man bør besvare anmodninger fra personer, som Organisationen behandler oplysninger om. En sådan person kaldes "den registrerede".

1.3 Hvis Organisationen behandler personoplysninger på vegne af en anden virksomhed eller myndighed (den dataansvarlige), skal Organisationen bede den registrerede om at rette henvendelse direkte til den dataansvarlige.

1.4 Proceduren er relevant for medarbejdere, der skal håndtere anmodninger fra den registrerede. Alle andre skal videresende modtagne anmodninger via de kontaktoplysninger, som er skrevet i slutningen af proceduren.

1.5 Organisationen opdaterer løbende proceduren (minimum en gang om året). Det er vigtigt altid at følge den nyeste version af proceduren.

2. Svarfrist

2.1 Anmodninger fra den registrerede skal besvares uden unødig forsinkelse og senest inden for én måned fra modtagelsen. Hvis en anmodning er kompliceret, kan svarfristen forlænges med to måneder. Den registrerede skal i så fald underrettes med en begrundelse for forlængelsen inden for én måned efter Organisationen har modtaget anmodningen.

2.2 Hvis den registrerede anmoder om indsigt i sine personoplysninger, er fristen i stedet 10 dage fra tidspunktet for modtagelse af anmodningen.

3. Identifikation af den registrerede

3.1 Organisationen skal sikre sig, at personen som henvender sig, rent faktisk er den registrerede.

3.2 Det kan derfor være nødvendigt at kræve, at personen beviser sin identitet inden Anmodningen behandles af Organisationen. Organisationen kan anmode om et bevis, som med rimelighed kan kræve for at bekræfte identiteten og for at finde informationen.

3.3 Hvis en person sender en anmodning på vegne af den registrerede, skal det sikres, at vedkommende har fuldmagt eller er bemyndiget til at foretage anmodningen.

4. Ret til information (oplysningspligt)

4.1 Den registrerede har ret til at modtage oplysninger om Organisationen og hvordan den behandler den registreredes personoplysninger. Det er et krav i GDPR, artikel 13 og 14. Organisationen kan ofte opfylde kravet ved at have en privatlivspolitik på sin hjemmeside, men e-mails og andre former for kommunikation bør også inkludere et link til privatlivspolitikken.

4.2 Hvis Organisationen ikke har en privatlivspolitik, kan oplysningerne gives ved at udfylde et skema og sende det til den registrerede, når personoplysningerne indsamles.

4.3 Nye medarbejdere: Organisationen skal give privatlivspolitikken til nye medarbejdere. Det kan f.eks. gøres ved, at privatlivspolitikken gives (1) direkte til medarbejderen, (2) sammen med ansættelseskontrakten, (3) i medarbejderhåndbogen eller (4) på en anden måde.

4.4 Kunder, brugere og eksterne kontakter: Organisationen skal give privatlivspolitikken til kunder, brugere og eksterne kontakter. Det kan f.eks. ske ved (1) en pop-up på Organisationens hjemmeside, (2) at sende privatlivspolitikken eller (3) at inkludere et link i en besked.

4.5 Anmodninger om oplysninger: Hvis den registrerede anmoder om general information om behandlingen af sine personoplysninger, kan Organisationen give oplysningerne ved at sende en kopi af privatlivspolitikken. Et link til privatlivspolitikken er også tilstrækkeligt. Hvis den registrerede anmoder om specifik information, skal det konkret vurderes, hvordan anmodningen bedst besvares.

4.6 Den registrerede har ret til at modtage oplysninger om Organisationen og hvordan den behandler den registreredes personoplysninger. Det er et krav i GDPR, artikel 13 og 14. Organisationen kan ofte opfylde kravet ved at have en privatlivspolitik på sin hjemmeside, men e-mails og andre former for kommunikation bør også inkludere et link til privatlivspolitikken.

4.7 Hvis Organisationen ikke har en privatlivspolitik, kan oplysningerne gives ved at udfylde et skema og sende det til den registrerede, når personoplysningerne indsamles.

4.8 Nye medarbejdere: Organisationen skal give privatlivspolitikken til nye medarbejdere. Det kan f.eks. gøres ved, at privatlivspolitikken gives (1) direkte til medarbejderen, (2) sammen med ansættelseskontrakten, (3) i medarbejderhåndbogen eller (4) på en anden måde.

4.9 Kunder, brugere og eksterne kontakter: Organisationen skal give privatlivspolitikken til kunder, brugere og eksterne kontakter. Det kan f.eks. ske ved (1) en pop-up på Organisationens hjemmeside, (2) at sende privatlivspolitikken eller (3) at inkludere et link i en besked.

4.10 Anmodninger om oplysninger: Hvis den registrerede anmoder om general information om behandlingen af sine personoplysninger, kan Organisationen give oplysningerne ved at sende en kopi af privatlivspolitikken. Et link til privatlivspolitikken er også tilstrækkeligt. Hvis den registrerede anmoder om specifik information, skal det konkret vurderes, hvordan anmodningen bedst besvares.

4.11 Middelfart Kommune har som dataansvarlig pligt til at give oplysninger til den registrerede, dvs. borgeren eller medarbejderen, når der indsamles oplysninger om vedkommende, også kaldet persondatameddelelsen.

Kort fortalt så skal du oplyse den registrerede om:

1. Hvilke oplysninger registrerer du? f.eks. navn, adresse, e-mail m.v.

2. Hvorfor må du indsamle disse oplysninger? (Litra a-f i databeskyttelsesforordningen)
Litra a) Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
Litra b) Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.
Litra c) Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige
Litra d) Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.
Litra e) Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.
Litra f) Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.

3. Hvilke slags personoplysninger er der tale om?
- Almindelige personoplysninger (navn, adresse, stillingsbetegnelse, e-mail, CV,
fødselsdato m.v.)
- Semi-følsomme personoplysninger (CPR-nr., straffedomme, lovovertrædelser)
- Følsommme personoplysninger (Race, religion, helbred, seksuel orientering,
genetiske/biometiske data)

4. Hvor kommer personoplysningerne fra? f.eks. politiet m.fl.

5. Videregives oplysningerne til nogen? f.eks. ifm. samtykke

6. Hvor opbevares oplysningerne? f.eks. i et fagsystem

7. Hvornår slettes oplysningerne? Oftest 5 år - men der kan være forskel fra område til område

...hvis du behandler en borgers data.
Oplysningspligten følger af databeskyttelsesforordningens artikel 13 og 14.
Oplysningspligten betyder, at kommunen på eget initiativ har pligt til at give den registrerede en række informationer, når der indsamles oplysninger om vedkommende hos vedkommende selv eller hos tredjemand, fx en anden myndighed eller kommune.
Oplysningspligten skal opfyldes snarest muligt og i almindelighed indenfor 10 dage.

5. Ret til indsigt

5.1 Den registrerede har ret til at modtage information om behandlingen af sine personoplysninger, hvis den registrerede anmoder om det.

5.2 Oplysningerne nedenfor skal gives til den registrerede:

5.2.1 Formålene med behandlingen

5.2.2 Kategorierne af personoplysninger

5.2.3 Hvem personoplysningerne videregives til (både nu og senere)

5.2.4 Det påtænkte tidsrum for behandlingen og opbevaringen af personoplysningerne (alternativt kriterierne for at fastlægge tidsrummet)

5.2.5 Retten til at anmode om berigtigelse, sletning, begrænsning og indsigelse mod behandlingen af personoplysninger om den registrerede

5.2.6 Retten til at klage til Datatilsynet

5.2.7 Hvor personoplysninger er indsamlet fra, hvis de ikke er indsamlet fra den registrerede

5.2.8 Forekomsten af automatiske afgørelser og profilering (hvis de findes), herunder
meningsfuld information om logikken bag og dens betydning og konsekvens for
den registrerede

5.3 Organisationen kan linke eller vedhæfte sin privatlivspolitik som svar til den registrerede, hvis politikken tilstrækkeligt besvarer den registreredes spørgsmål. Ellers må spørgsmålene besvares konkret.

5.4 Hvis den registrerede har anmodet om indsigt i alle sine personoplysninger, skal der gives information om alle personoplysninger, som Organisationen behandler eller opbevarer om den registrerede. Organisationen må gerne bede den registrerede om at uddybe, hvad der specifikt ønskes indsigt i. Hvis den registrerede ikke ønsker at uddybe, skal der som udgangspunkt gives information om al behandling af personoplysninger om den registrerede. Organisationen bør dog være opmærksom på ikke at udlevere fortrolige oplysninger eller krænke andres rettigheder.

5.5 GDPR forklarer ikke, hvor meget Organisationen skal kigge efter oplysninger, som behandles om den registrerede. Det kan derfor være en god ide at have et system eller en proces på plads, så det er nemt at finde de nødvendige informationer. Organisationen er dog ikke forpligtet til at opbevare oplysninger udelukkende for at kunne identificere den registrerede på et senere tidspunkt, men Organisationen skal kunne påvise, at den ikke kan identificere den registrerede og informere den registrerede herom.

5.6 Den registrerede kan få adgang til de specifikke oplysninger, hvis det er tilladt i Organisationen. Hvis det ikke er tilladt at give adgang, skal oplysningerne (eller information herom) gives i et almindelige anvendt og elektronisk format (f.eks. PDF).

5.7 Du kan finde skabelonen "Svar på anmodning om indsigt" i IT-systemet ComplyCloud. Det kan være en hjælp til at besvare anmodningerne.

5.8 Den registrerede har ret til at få en kopi af de personoplysninger, som Organisationen behandler om den registrerede. Hvis den registrerede vil have mere end én kopi, kan der kræves et rimeligt gebyr svarende til de omfattede administrative omkostninger.

5.9 - Hvad er indsigtsret?
Borgeren (også kaldet den registrerede) har ret til at få alle de personoplysninger, der er registreret om vedkommende udleveret – også kaldet indsigtsret.

- Hvordan påberåber borgeren sig indsigtsret?
Borgeren kan henvende sig både skriftligt eller mundtligt for at udnytte sin ret til indsigt.

- Sagsbehandlingsfrist for indsigtsret
Indsigtsretten skal behandles inden for 1 måned.

- Håndtering af retten til indsigt
Hvis anmodning om indsigt alene dækker én forvaltning, sørger denne forvaltning selv for indsamling af personoplysninger og de korte beskrivelser af formål, videregivelse mv. samt fremsendelse til borgeren. Hvis anmodning om indsigt dækker alle eller flere forvaltninger, sendes anmodning til Borgmestersekretariatet staben@middelfart.dk. Borgmestersekretariatet sender herefter en såkaldt ”stjernehøring” til alle forvaltninger eller de berørte forvaltninger.
Når de enkelte forvaltninger har indsamlet personoplysninger og udarbejdet en kort beskrivelse fra hver af deres afdelinger, sendes det samlet til Borgmestersekretariatet. Borgmestersekretariatet samler input fra de enkelte forvaltninger og sørger for en samlet fremsendelse til borgeren af alle personoplysninger, som kommunen er i besiddelse af, inkl. en sammenskrivning af de enkelte beskrivelser om formål, videregivelse m.v.

- Hvad har borgeren krav på at få oplyst?
Borgeren har ret til at få alle personoplysninger om den pågældende, som kommunen er i besiddelse af. På samme vis som oplysningspligten dækker retten til indsigt kort fortalt oplysninger om: Hvad, hvorfor, hvornår, hvem og hvorfra:

• Almindelige personoplysninger (Navn, adresse, stillingsbetegnelse m.v.)
• Semi-følsomme personoplysninger (CPR-nr., straffedomme, lovovertrædelser)
• Følsommme personoplysninger (Race, religion, helbred, seksuel orientering, genetiske og biometriske data)

Herudover skal der laves en kort og letforståelig beskrivelse af:

- Formål med behandlingen af personoplysninger
Litra a) Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
Litra b) Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.
Litra c) Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige
Litra d) Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.
Litra e) Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.
Litra f) Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.

- Hvem har personoplysningerne været delt med?
Hvilke modtagere personoplysningerne vil blive, er eller har været videresendt til – både internt og eksternt f.eks. ifm. et samtykke.

- Hvornår og i hvor lang tid har kommunen opbevaret oplysninger?
Hvilket tidsrum eller hvilke kriterier, der anvendes til at fastlægge, hvilken periode kommunen opbevarer personoplysningerne?

- Hvorfra stammer personoplysningerne?
Er det fra andre myndigheder eller ifm. en ansøgning m.v.

6. Ret til berigtigelse

6.1 Den registrerede har ret til at få urigtige oplysninger om sig berigtiget. Dette omfatter også retten til at få ufuldstændige oplysninger fuldstændiggjort. Denne ret er beskrevet i GDPR, artikel 16.

6.2 Organisationen skal sikre, at personoplysninger rettes og fuldstændiggøres, når den registrerede anmoder om det.

6.3 Hvis Organisationen berigtiger eller fuldstændiggør personoplysninger, skal Organisationen også underrette enhver modtager, som Organisationen tidligere har sendt de urigtige eller ufuldstændige oplysninger til.

6.4 Organisationen er ikke forpligtet til at ændre personoplysningerne, hvis der er uenighed om deres rigtighed eller fuldstændighed. I så fald skal der tilføjes en note til personoplysninger, der beskriver, at den registrerede er uenig med rigtigheden og/ eller fuldstændigheden samt information om, hvad den registrerede mener er korrekt.

7. Ret til sletning (”retten til at blive glemt”)

7.1 Den registrerede har ret til at få sine personoplysninger slettet i nogle tilfælde. Denne rettighed er beskrevet i GDPR, artikel 17.

7.2 Organisationen er forpligtet til at slette personoplysninger uden unødig forsinkelse i følgende tilfælde:

7.2.1 Det er ikke længere nødvendigt at behandle personoplysningerne for at opfylde de formål, som oplysningerne blev indsamlet til.

7.2.2 Den registrerede trækker sit samtykke tilbage, og der er ikke anden hjemmel for behandlingen.

7.2.3 Den registrerede gør indsigelse mod behandling af sine personoplysninger på grund af vedkommendes særlige situation, når hjemmelen for behandlingen er GDPR, artikel 6, stk. 1, litra e eller f, og der er ingen legitime grunde til at fortsætte behandlingen, som vejer tungere end den registreredes interesse i at stoppe behandlingen.

7.2.4 Den registrerede gør indsigelse mod behandling af sine personoplysninger til direkte markedsføring. Dette omfatter profilering, i det omfang den vedrører direkte markedsføring.

7.2.5 Personoplysningerne behandles ulovligt.

7.2.6 Personoplysningerne skal slettes for at overholde regler i EU.

7.2.7 Den registrerede trækker sit samtykke tilbage for Organisationens behandling af personoplysninger, som er indsamlet i forbindelse med udbud af informationssamfundstjenester direkte til børn. Dette gælder også, hvis indehaveren af forældremyndigheden trækker samtykket tilbage.

7.3 Personoplysningerne skal slettes på en sådan måde, at det ikke er muligt at genskabe dem. Det gælder både for personoplysninger opbevaret digitalt og fysisk.

7.4 Personoplysninger skal også slettes fra backup, når der er teknisk muligt. Hvis det ikke teknisk kan lade sig gøre, skal der være en sletteprocedure for sletning af oplysninger, som måtte blive genskabt fra backup.

7.5 Hvis personoplysningerne er videregivet til en tredjepart, skal tredjeparten informeres om sletteanmodningen.

8. Ret til begrænsning af behandling

8.1 Den registrerede har i nogle tilfælde ret til at begrænse behandlingen af sine personoplysninger. Denne ret er beskrevet i GDPR, artikel 18.

8.2 Den registrerede kan begrænse behandlingen af sine personoplysninger i disse tilfælde:

8.2.1 Rigtigheden af personoplysningerne bestrides af den registrerede. I dette tilfælde skal Organisationen begrænse behandlingen af oplysningerne i perioden indtil, Organisationen har haft mulighed for at fastslå, om personoplysningerne er korrekte.

8.2.2 Behandling af personoplysninger er ulovlig, og den registrerede modsætter sig sletning af personoplysninger og i stedet anmoder om, at anvendelse heraf begrænses.

8.2.3Organisationen har ikke længere brug for at behandle personoplysningerne, men de er nødvendige for den registrerede, til at retskrav kan fastlægges, gøres gældende eller forsvares.

8.2.4 Den registrerede gør indsigelse mod behandling af sine personoplysninger på grund af vedkommendes særlige situation, når hjemmelen for behandlingen er GDPR, artikel 6, stk. 1, litra e eller f, og det er nødvendigt at kontrollere, om Organisationens legitime interesser vejer tungere end den registreredes interesse i at stoppe behandlingen.

8.3 Begrænsning af behandling kan ske ved midlertidigt at gøre personoplysninger utilgængelige for brugere, f.eks. ved at flytte oplysningerne. Hvis personoplysningerne er offentliggjort, kan de måske fjernes foreløbigt. Hvis behandlingen er automatisk, kræver begrænsningen måske en teknisk løsning.

8.4 Hvis en behandling begrænses, må Organisationen kun opbevare personoplysningerne. Andre former for behandling sættes på "standby" og må kun ske (1) med den registreredes samtykke, (2) med henblik på, at et retskrav kan fastlægges, gøres gældende eller forsvares, (3) for at beskytte andres rettigheder eller (4) af hensyn til vigtige samfundsinteresser.

8.5 Den registrerede, der har opnået begrænsning af behandling, skal underrettes af Organisationen, inden begrænsningen ophæves.

9. Ret til dataportabilitet

9.1 Den registrerede har ret til at kræve sine personoplysninger (1) udleveret i et format, som muliggør, at en anden virksomhed overtager oplysningerne som led i sin tjeneste, og (2) transmitteret til en anden virksomhed, hvis det er teknisk muligt. Dette kaldes "dataportabilitet" og er beskrevet i GDPR, artikel 20.

9.2 Den registrerede har ret til dataportabilitet, hvis disse fire betingelser er opfyldt:

9.2.1 Behandlingen foretages automatisk og er baseret på et samtykke eller en kontrakt.

9.2.2 Den registrerede har selv "givet" oplysningerne til Organisationen. Oplysninger, der er genereret ved brug af en ydelse, skal også anses for givet af den registrerede, f.eks. søgehistorik, trafikdata, data fra intelligente målere og oversigt over sete film og serier. Derimod vil oplysninger, som Organisationen selv har analyseret sig frem til ved hjælp af de personoplysninger, som den registrerede har givet, ikke være omfattet.

9.2.3 Behandlingen er ikke (1) nødvendig for udførelse af en opgave i samfundets interesse eller (2) en del af offentlig myndighedsudøvelse.

9.2.4 Retten til dataportabilitet krænker ikke andres rettigheder.

9.3 Anmoder den registrerede om at modtage personoplysninger om sig selv, skal oplysningerne gives i et struktureret, almindeligt anvendt og maskinlæsbart format. Det bør være et standardformat, så oplysningerne gøres så forståelige som muligt, og den registrerede kan administrere og videreanvende oplysningerne.

10. Ret til indsigelse

10.1 Den registrerede kan gøre indsigelse mod behandlingen af sine personoplysninger. Denne ret er beskrevet i GDPR, artikel 21.

10.2 Hvis den registrerede gør indsigelse mod behandlingen af sine personoplysninger, som foretages på baggrund af (1) legitime interesser eller (2) udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, må Organisationen som udgangspunkt ikke fortsætte behandlingen. Organisationen kan dog fortsætte behandlingen, hvis den påviser (1) vægtige legitime grunde til behandlingen, der går forud for den registreredes interesser, rettigheder og frihedsrettigheder, eller (2) behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.

10.3 Organisationen skal informere den registrerede om dens beslutning til at stoppe eller fortsætte behandlingen.

10.4 Den registrerede har en specifik ret til at gøre indsigelse mod behandling af sine personoplysninger til direkte markedsføring. Denne ret gælder også profilering, hvis profileringen vedrører direkte markedsføring. Hvis den registrerede gør sådan indsigelse, skal Organisationen stoppe behandlingen.

10.5 Organisationen kan ikke imødekomme indsigelser, hvis den er forpligtet ved lov til at behandle oplysningerne.

11. Ret til indsigelse mod automatiske individuelle afgørelser

11.1 Organisationen træffer ikke afgørelser, der alene er baseret på automatisk behandling, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den registrerede.

12. Samtykke og retten til at tilbagekalde det

12.1 Organisationen kan i visse tilfælde behandle personoplysninger om den registrerede på en sådan måde, at der kræves samtykke.

12.2 Organisationen skal sikre, at den registreredes samtykke afgives frivilligt, specifikt og informeret. Det indebærer, at (1) samtykket ikke må afgives under tvang, (2) den registrerede skal være klar over, hvad der gives samtykke til, og at (3) omstændighederne vedrørende behandlingen konkretiseres, herunder hvilken organisation der foretager behandlingen. Inden den registrerede afgiver sit samtykke, skal den registrerede informeres om, at samtykket til enhver tid kan tilbagekaldes.

12.3 Organisationen skal kunne påvise, at den registrerede har givet et gyldigt samtykke.

12.4 Organisationens anmodning om samtykke skal forelægges på en sådan måde, at anmodningen ikke forveksles med andre forhold.

12.5 Den registrerede har til enhver tid ret til at tilbagekalde et afgivet samtykke. I så fald skal behandlingen ophøre og oplysningerne slettes. Det skal være lige så let for den registrerede at trække sit samtykke tilbage, som det har været at give det.

13. Afvise anmodninger fra den registrerede

13.1 Hvis Organisationen afviser den registreredes anmodning, skal den registrerede underrettes herom uden unødig forsinkelse og senest én måned efter, at Organisationen har modtaget anmodningen. Afvisningen skal begrundes, og den registrerede skal i afvisningen vejledes om adgangen til at klage over afvisningen til Datatilsynet.

14. Kontaktoplysninger

14.1 Alle spørgsmål og anmodninger fra den registrerede skal videresendes ved brug af kontaktoplysningerne nedenfor. Dette sikrer, at anmodninger håndteres korrekt og hurtigt.

14.2 Kontaktoplysninger: dpo@middelfart.dk 

1. Introduktion

1.1 Denne slettepolitik (herefter benævnt "Politikken") beskriver retningslinjer for, hvor længe vi opbevarer, og hvordan vi sletter personoplysninger.

1.2 Politikken er formuleret og gjort tilgængelig for dig, så vi overholder databeskyttelsesforordningen (2016/679 of 27. april 2016) (herefter benævnt ”GDPR”). Vi har valgt at udarbejde Politikken for at påvise og dokumentere vores tidsfrister og metoder for sletning af personoplysninger og for at sikre en ensartet sletteprocedure.

1.3 Vi fører løbende kontrol med, at Politikken overholdes, herunder at sletning og returnering rent faktisk sker i overensstemmelse med Politikken. Vi gennemgår desuden løbende Politikken med henblik på at vurdere, om der er behov for ændringer, eksempelvis som følge af lovændringer eller andre interne politikker, som påvirker Politikken.

1.4 Politikken indledes i det følgende med et generelt afsnit om sletning og et afsnit om slette- og returneringsmetoder. Dernæst angives de specifikke slettefrister i særskilte afsnit, og hvert af disse er inddelt i punkter (fx punkt 4.1), som først angiver de omfattede personoplysninger, og dernæst hvornår de skal slettes. Slutteligt angives to korte afsnit om forbehold for ændringer af Politikken og kontaktoplysninger til brug for spørgsmål.

2. Generelt om sletning

2.1 Personoplysninger må kun opbevares på en sådan måde, ”at det ikke er muligt at identificere de registrerede personer i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles”. Dette er et krav efter GDPR, og det er derfor vigtigt, at du følger vores procedurer og retningslinjer, så sletning sker i overensstemmelse med de fastsatte frister.

2.2 De angivne slettefrister kan fraviges i særlige tilfælde, eksempelvis for at overholde en forpligtelse i lovgivningen eller andre legitime hensyn, såsom den danske bogføringslov og forældelseslov, en garantiforpligtelse eller andre ufravigelige årsager. Der kan derfor forekomme anden instruks, som går forud for Politikken. Eksempelvis opbevarer vi personoplysninger, så længe der kan være ikke-forældede formueretlige krav, forudsat at behandlingen af personoplysningerne er nødvendig for at beskytte os imod kravet eller forfølge det. Ligeledes kan kundekontrakter angive, hvor længe de omfattede personoplysninger skal opbevares, og hvordan de skal slettes eller returneres. Urigtige personoplysninger skal desuden straks slettes eller berigtiges i overensstemmelse med vores procedurer herom. Det er således vigtigt at forstå, at Politikken er vejledende, idet der kan forekomme afvigelser. Når du er i tvivl, bør du kontakte din nærmeste leder.

2.3 Personoplysninger kan opbevares i vores backup-systemer i overensstemmelse med opbevaringsperioden for det pågældende system uanset bestemmelserne i Politikken. Hvis personoplysninger skal indlæses fra backup, skal dette altid gøres per instruks fra nærmeste leder.

2.4 Hvis vi modtager en anmodning fra en registreret person vedrørende dennes rettigheder efter GDPR, kan sletning være relevant og nødvendigt. En sådan sletning baseret på en anmodning fra en registreret person skal følge vores specifikke procedurer for håndtering af anmodninger og forespørgsler fra registrerede personer. Benyt kontaktoplysningerne som angivet i slutningen af denne politik, hvis du er i tvivl.

3. Slette-, reparations- og returneringsmetoder

3.1 Personoplysninger skal returneres eller slettes i overensstemmelse med de relevante afsnit i Politikken. Du skal altid sikre dig, at der ikke gælder en undtagelse til slettefristen, inden sletning foretages. Spørg altid din nærmeste leder, hvis du er i tvivl.

3.2 Digitalt lagrede personoplysninger skal destrueres, afmagnetiseres eller overskrives i overensstemmelse med vores procedurer, så personoplysningerne slettes effektivt. Personoplysninger kan være lagret på mange forskellige typer datamedier, og det er derfor vigtigt, at du ved tvivl spørger din nærmeste leder, før du sælger, genbruger, efterlader eller smider elektronisk udstyr ud. Eksempelvis kan der være personoplysninger i stationære og bærbare PC’er, tablets, smartphones, USB-nøgler, SD-kort, eksterne harddiske, routere, printere, faxmaskiner og cd’er.

3.3 Når digitalt udstyr skal til reparation, er det vigtigt, at du tager dine forholdsregler, inden du udleverer enheden, så eventuelle eksterne forhandlere inden, under eller efter reparationen af din digitale enhed ikke kopierer eller på anden måde lagrer den data, der ligger på dit elektroniske udstyr. Du skal derfor rådføre dig med din nærmeste leder og jeres eventuelle it-afdeling for at modtage retningslinjer for sikker reparation af digitalt udstyr. I overensstemmelse med sådanne retningslinjer skal der således foretages de passende foranstaltninger til sikring af fortsat fortrolighed af indholdet på den digitale enhed. Det kan eksempelvis forekomme, at der (i) skal foretages sikkerhedskopi via enheden, der lagres på et særskilt device, hvorefter alt indhold på enheden slettes, (ii) at eventuelle fortrolige oplysninger slettes fra enheden,
(iii) at den eksterne it-reparatør underskriver en fortrolighedserklæring og i øvrigt oplyses om fortroligheden af de omfattede personoplysninger. Det er derfor vigtigt, at du altid rådfører dig med din nærmeste leder og eventuelt konsulterer din it-afdeling inden digitalt udstyr sendes til ekstern reparation.

3.4 Fysiske dokumenter med personoplysninger skal tilintetgøres ved makulering eller anden foranstaltning, der forhindrer, at uvedkommende kan læse eller tilgå oplysningerne. Personoplysninger kan være opbevaret i mange fysiske dokumenter, og det er derfor vigtigt, at du ved tvivl spørger din nærmeste leder, før du sælger, genbruger, efterlader eller smider fysiske dokumenter ud. Eksempelvis kan der være personoplysninger på løse A4-ark, post-it-sedler og notesbøger.

Nedenfor følger konkrete oplysninger om slettefrister for relevante typer af behandlede personoplysninger.

4. Ansættelsesprocesser

4.1 Motiverede ansøgninger, inklusive bilag, herunder eksempelvis eksamens- og uddannelsesbeviser, CV, referencer og udtalelser, begrundelser for afslag, noter fra jobsamtaler mv., straffeattester, personoplysninger hentet fra sociale medier, såsom LinkedIn, og helbredsoplysninger.

Slettefrister: Hvor ansøgeren får ansættelse, overgår ansøgerens personoplysninger i forbindelse med ansøgning til sædvanlig personaleadministration. Se mere under punktet om personaleadministration.

Hvor ansøgeren ikke får ansættelse, slettes personoplysningerne. Under dansk ret slettes personoplysningerne senest 6 måneder efter, at stillingen er besat til anden side, at ansøgeren takker nej til jobtilbuddet eller efter ansættelsesforholdets ophør. Hvis ansøgeren giver samtykke til en længere opbevaringsperiode, følges fristen i samtykket.

Hvis der er konkrete ansættelsesretlige årsager, kan personoplysninger fortsat behandles til sådan konkret formål på trods af ovenstående. Det indebærer blandt andet, at vi kan opbevare ansøgningerne i en længere periode for senere at kunne bevise, at der eksempelvis ikke er sket ulovlig forskelsbehandling i forbindelse med udvælgelsen, hvis vi finder dette nødvendigt. Ligeledes kan det være, at personoplysningerne har relevans i en begrænset periode, hvis en lignende relevant stilling kan blive ledig i perioden, eller en eksisterende ansøger springer fra.

5. Personaleadministration

5.1 Ansættelseskontrakter, tillæg og bilag, inklusive eksempelvis fotografier, fortrolighedserklæringer og konkurrenceklausuler, personnumre angivet i kontrakterne, køn og civilstatus.
Slettefrister: I ansættelsesforholdets løbetid opbevares alle versioner af ansættelseskontrakterne, tillæg og bilag, da disse dokumenter og indeholdte personoplysninger er nødvendige for at administrere ansættelsen.

Efter ophør af ansættelsesforholdet slettes personoplysningerne. Under dansk ret slettes personoplysningerne som udgangspunkt senest 5 år efter det kalenderår, hvor ansættelsesforholdet ophørte, forudsat at personoplysningerne i ansættelseskontrakterne stadig er relevante.

5.2 Personalefiler og fortegnelser, angående beskæftigelseshistorik, herunder eksempelvis jobansøgninger for andre stillinger efter ansættelsen, forfremmelser, advarsler, omplaceringer, ikke-sygdomsrelateret fravær, eksamensbeviser, kvalifikationscertifikater, performancevurderinger, personlighedstest, udviklingsplaner, information i forbindelse med lederudvikling, kontaktoplysninger for nærmeste pårørende og lignende, fotografier, rejsehistorik, fagforeninger og a-kasse.

Slettefrister: Personalefiler mv. bruges til at administrere vores medarbejderes ansættelsesforhold. Som udgangspunkt slettes sådanne personoplysninger tidligst efter ansættelsesforholdets ophør, og når det ikke længere er relevant at beholde dem.

I ansættelsesforholdets løbetid opbevares alle personalefiler og fortegnelser i det omfang, det er relevant for ansættelsesforholdet.

Efter ophør af ansættelsesforholdet skal personoplysninger i personalefiler og fortegnelser slettes. Som udgangspunkt slettes personoplysningerne efter 5 år fra ophør af ansættelsesforholdet, medmindre tvister, undersøgelser eller lignende nødvendiggør fortsat behandling for at beskytte eller forfølge et krav eller lignende.

Fotografier af medarbejderen slettes som udgangspunkt ved ansættelsesforholdets ophør, medmindre det fortsat er nødvendigt at behandle dem til det formål, de blev taget eller indsamlet til, og der fortsat består et retligt grundlag for behandlingen. For filer relateret til arbejdsskader foretages en konkret vurdering af, hvor længe det er nødvendigt at opbevare oplysningerne.

5.3 Helbredsmæssige oplysninger, inklusive eksempelvis dokumentation angående den ansattes sygehistorik, rapporter om arbejdsskader og ulykker, lægeerklæringer vedrørende egnethed eller konkrete sygdomsforløb, herunder muligheds- og varighedserklæringer, friattester, opgørelser over sygefravær mv.
Slettefrister: Personoplysningerne skal slettes, når de ikke længere er relevante. Da der er tale om helbredsoplysninger, som er en særlig kategori af personoplysninger, skal der vises modsvarende høj agtpågivenhed i den løbende vurdering af, hvorvidt helbredsoplysningerne er relevante at opbevare eller behandle.

I løbet af ansættelsesforholdet kan helbredsmæssige oplysninger som udgangspunkt og maksimalt opbevares indtil 5 år efter indsamlingen, forudsat at der i denne periode er et relevant, sagligt og legitimt formål med indsamlingen og behandlingen i løbet af alle 5 år.

Når ansættelsesforholdet ophører, skal personoplysningerne slettes. Helbredsmæssige personoplysninger må kun opbevares efter ophøret af ansættelsesforholdet, hvis det er strengt relevant og nødvendigt for at forfølge legitime formål, som eksempelvis kan være at opbevare dokumentation for en nuværende eller potentiel ansættelsesretlig tvist, hvor de helbredsmæssige oplysninger er relevante for tvistens bedømmelse. Under dansk ret vil denne opbevaringsperiode efter ansættelsesforholdets ophør som udgangspunkt være op til 5 år efter ophør af ansættelsesforholdet, fordi ansættelsesretlige krav forældes 5 år efter årsagen til kravet fandt sted.

Ved arbejdsskader foretages en konkret vurdering så personoplysningerne kun opbevares i det nødvendige og relevante omfang.

5.4 Uddannelsesaktiviteter, herunder eksempelvis efteruddannelse og certifikater eller anden dokumentation for gennemførte kurser, undervisningsprogrammer og anden træning.
Slettefrister: Personoplysninger vedrørende uddannelsesaktiviteter mv. slettes, når de ikke længere er relevante.

I ansættelsesforholdets løbetid kan personoplysningerne opbevares og behandles i overensstemmelse med formålene, de er indsamlet til. Det betyder, at de som udgangspunkt ikke behøver at blive slettet i ansættelsesforholdets løbetid.

Ved ophør af ansættelsesforholdet skal oplysningerne slettes. Under dansk ret skal oplysningerne som udgangspunkt slettes senest 5 år efter ophør af ansættelsesforholdet.

5.5 Logning af IT-udstyr og systemer samt e-mail- og internetforbrug, eksempelvis i logfiler og revisionslog.
Slettefrister: Personoplysningerne slettes, når det ikke længere er nødvendigt at opbevare dem af sikkerhedsmæssige årsager eller for at monitorere performance eller lignende, og eventuelle nationale regler om logning ikke kræver, at vi fortsat opbevarer dem.

Under dansk ret skal disse personoplysninger som udgangspunkt slettes, når der er gået 3 år fra logningstidspunktet, medmindre andet følger af gældende lovgivning, som specifikt vedrører logning.

Når ansættelsesforholdet er ophørt, slettes eventuelle logfiler, som måtte findes lokalt på det elektroniske udstyr, som udgangspunkt senest 3 år fra logningstidspunktet.

5.6 Ferieoplysninger såsom krav på feriegodtgørelse.
Slettefrister: Ferieoplysninger slettes, når de ikke længere er relevante at opbevare af regnskabsmæssige årsager, og når der ikke er andre relevante formål at forfølge med opbevaringen som eksempelvis dokumentation i potentielle ansættelsesretlige tvister.
Under dansk ret skal personoplysningerne som udgangspunkt slettes efter 5 år fra afslutningen af det pågældende regnskabsår, hvor personoplysningerne blev indsamlet.

5.7 Lønadministration og dokumentation for lønudbetaling såsom arbejdstid, arbejdstidsregistreringer, pensionsindbetalinger, bonustildelinger, bankkontooplysninger og lønsedler med personoplysninger såsom navn, adresse, personnummer, ansættelsestidspunkt, feriefridage, feriepenge, pensionsoplysninger, AM-indkomst, AM-bidrag, indkomsttyper (fx A-indkomst), skattetyper (fx A-skat), kilometeropgørelse, kørselsgodtgørelse, ATP medarbejderbidrag, personligt fradrag, deltagelse i frokostordning mv.

Slettefrister: Personoplysningerne vedrørende lønadministration skal slettes, når de ikke længere er nødvendige til regnskabsmæssige formål, og når der ikke er andre relevante formål med opbevaringen som eksempelvis dokumentation i potentielle ansættelsesretlige tvister.

Under dansk ret skal personoplysningerne som udgangspunkt slettes efter 5 år fra afslutningen af det pågældende regnskabsår, hvor personoplysningerne blev indsamlet.

5.8 Skatteindberetninger og dokumentation for ansattes indkomstskatteforhold. Slettefrister: Personoplysningerne skal slettes, når det ikke længere er nødvendigt at behandle dem til regnskabsmæssige eller skattemæssige formål, og når der ikke er andre relevante formål med opbevaringen som eksempelvis dokumentation i potentielle tvister med SKAT eller lignende.

Under dansk ret skal personoplysningerne som udgangspunkt slettes efter 5 år fra afslutningen af det pågældende regnskabsår, hvor personoplysningerne blev indsamlet.

5.9 Anmeldelse af arbejdsskade, inklusive navn, adresse, kontaktinformation, helbredsoplysninger mv., som ikke nødvendigvis er i personalefiler.

Slettefrister: Oplysningerne opbevares dels for at opfylde lovkrav og dels med henblik på en optimal håndtering af skadesforløbet.

Under dansk ret skal anmeldelsen og dens bilag slettes, inklusive de indeholdte personoplysninger, 5 år fra skadelidte blev bekendt med kravet. Det er dog nødvendigt, at du foretager en individuel og konkret vurdering af behovet for sletning, idet der kan være mange andre faktorer som begrunder fortsat opbevaring af personoplysninger relateret til arbejdsskader.

Dette vil bero på en konkret vurdering, og sletning må derfor kun ske efter instruks fra nærmeste leder.

6. Professionelle relationer

6.1 Denne Politik regulerer ikke slettefrister for personoplysninger vedrørende professionelle relationer såsom kunder.

7. E-mails

7.1 Medarbejdernes e-mailkonti og e-mails
Slettefrister: Under dansk ret slettes alle e-mails, inklusive indbakke, papirkurv, vedhæftede filer, sendt post og arkiverede filer, som indeholder personoplysninger, som udgangspunkt senest et 1 år efter ansættelsesforholdets ophør. I løbet af ansættelsen skal medarbejderen opbevare sagsrelevante e-mails i et ESDH- eller fagsystem.

8. Hjemmeside

8.1 Hjemmesidebesøgende, dvs. eksempelvis cookies og andre sporingsteknologier, adfærdsprofiler mv.
Slettefrister: Der henvises til vores særskilte cookiepolitik(ker) herom.

9. Internt materiale

9.1 Uformelle noter mv. som ikke er manuelle (papirbaseret) behandling af oplysninger, men derimod er eller vil blive indeholdt i et register, eksempelvis (efter omstændighederne) noter fra møder, notering af generelle forespørgsler, uformelle breve, post-it-sedler, meddelelser om daglige møder og andre begivenheder såsom reservation af mødelokaler, accept eller afvisning af mødedeltagelse, undskyldninger og lignende, anmodninger om dagligdagsinformation, dokumenter uden værdi for Organisationen, meddelelseslister, distributionslister, adresselister, forældede eller erstattede interne publikationer såsom gamle nyhedsbreve, flyers mv.

Slettefrister: Under dansk ret skal personoplysninger i uformelle noter mv. som udgangspunkt slettes senest 3 år efter de blev indsamlet eller produceret medmindre de er forretningsmæssig relevante eller relevante for potentielle eller nuværende tvister.

9.2 Noter til arbejdsbrug såsom mødenotater, mødereferater, notater, rapporter og noter fra supportfunktioner.
Slettefrister: Personoplysninger i noteform er af så variabel type og karakter, at der skal tages konkret stilling til, hvornår de skal slettes. Under dansk ret skal personoplysninger i noter mv. som udgangspunkt slettes 5 år efter indsamlingen, idet der kan være andre lovkrav til længere opbevaringspligt alt efter det øvrige indhold og kontekst af noterne. Derudover, hvis noterne er relevante for forretningen eller potentielle tvister eller krav, kan de være underlagt en længere opbevaringsperiode.

10. Juridiske tvister

10.1 Oplysninger relateret til retssager og akter angående potentielle eller aktuelle juridiske tvister, herunder bevismateriale, bilag, processkrifter, forlig mv. Slettefrister: Personoplysningerne slettes, når der ikke længere er risiko for juridiske tvister såsom ved udløbet af frister efter de almindelige civilretlige regler.

Under dansk ret vil dette således typisk være 10 år efter skriftlig anerkendelse af kravet ved gældsbrev, forlig eller dom, medmindre kravet i mellemtiden er suspenderet.

11. Ændringer til denne politik

11.1 Vi forbeholder os derfor retten til at ajourføre og ændre denne Politik. Hvis vi ændrer Politikken, ændrer vi datoen og versionen som angivet på forsiden af Politikken. I tilfælde af væsentlige ændringer, vil vi give de relevante medarbejdere direkte besked.

12. Kontakt

12.1 Hvis du har spørgsmål eller kommentarer til denne politik, kan du altid rette spørgsmål til vores DPO på dpo@middelfart.dk vedrørende denne Politik.

Dette er version 2, sidst opdateret den 05.12.2022 10:29.

For hele Organisationen og alle personer i
Middelfart Kommune
Nytorv 9
5500 Middelfart
DK
CVR-nr.: 29189684
(herefter "Organisationen")

Dette er version 1, som sidst er opdateret den 07.12.2022 08:42.

1. Formål

1.1 Formålet med denne instruks for brug af billeder af personer er at sikre, at alle i Organisationen har klare retningslinjer for, hvordan billeder af personer skal behandles, således at GDPR overholdes.

1.2 Instruksen har følgende struktur:

(i) Et afsnit om hvornår billeder indeholder personoplysninger og derfor omfattes af databeskyttelsesreglerne og denne instruks.

(ii) Et afsnit om hvornår billeder skal slettes.

(iii) Et afsnit om behandlingsgrundlag for anvendelsen af billeder.

(iv) En række specifikke afsnit.

2. Billeder og personoplysninger

2.1 Et billede indeholder personoplysninger, hvis der på billedet fremgår en eller flere fysiske personer, som kan identificeres. Det samme er tilfældet, hvis en person ikke fremgår direkte på et billede, men billedet afslører oplysninger, der kan henføres til en person, som kan identificeres.

2.2 Billeder af Organisationens medarbejdere, kunder og deres medarbejdere mv. vil som altovervejende hovedregel kunne identificeres, når der er tale om portrætbilleder, profilbilleder og lignende. Det samme vil oftest være tilfældet ved situationsbilleder og i reportage-situationer.

2.3 Billeder af identificerbare personer udgør som udgangspunkt almindelige personoplysninger. Dette er også tilfældet, selvom sådanne billeder i flere situationer kan muliggøre identificering af eksempelvis personernes race eller etniske oprindelse, politiske, religiøse eller filosofiske overbevisning, fagforeningsmæssige tilhørsforhold, genetiske data, biometriske data, helbredsoplysninger, strafbare forhold eller oplysninger om seksuelle forhold eller seksuelle orientering.

Behandling af billederne udgør normalt kun behandling af særlige kategorier af personoplysninger, hvis formålet med billedet er at skildre personens særlige kategori af personoplysninger.

3. Slettepligt

3.1 Ved brugen af billeder indtræder der flere forskellige slettepligter.

3.2 Den automatiske slettepligt

3.2.1 Som følge af princippet om dataminimering i GDPR, artikel 5, stk. 1, litra c), skal billeder slettes, når deres opbevaring eller offentliggørelse ikke længere er relevant. Med andre ord må billedere kun anvendes så længe brugen er nødvendig for at opnå de formål, der tilsigtes med behandlingen.

3.2.2 Hvis et billede eksempelvis er offentliggjort på Organisationens hjemmeside sammen med en nyhed, hvor formålet med billedet har været at illustrere nyheden, og selve nyhedshistorien efterfølgende fjernes, skal billedet som udgangspunkt også trækkes tilbage alene som følge af den omstændighed, at det ikke længere er nødvendigt at have billedet tilgængeligt på hjemmesiden.

3.3 Slettepligt som følge af begivenheder

3.3.1 Dernæst kan der indtræde en begivenhed, som nødvendiggør, at Organisationen vurderer, om billeder skal fjernes. Et eksempel herpå kunne være medarbejderportrætbilleder på Organisationens hjemmeside, hvor ophøret af et ansættelsesforholdet kan nødvendiggøre, at Organisationen fjerner billederne fra sin hjemmeside og fra sine systemer. Dette følger også af princippet om dataminimering.

3.3.2 Når Organisationen er forpligtet til at slette billeder, betyder det, at de skal slettes på en sådan måde, at de ikke kan genskabes. I den forbindelse er det værd at bemærke, at Datatilsynet har udtalt følgende:

"Man skal derfor også slette de pågældende oplysninger fra sin backup mv., hvis det er teknisk muligt. Under alle omstændigheder skal man sikre sig, at man ved genetablering af data fra sin backup fjerner data, der er slettet, i sit driftssetup."

3.3.3 Hver gang der opstår en særlig situation, skal Organisationen således vurdere, om de omfattede billeder skal slettes, fjernes, modificeres eller på anden vis tilbagetrækkes fra diverse medier.

3.4 De registreredes ret til sletning (efter anmodning)

Den registrerede har under visse betingelser ret til sletning efter GDPR, artikel 17, stk. 1. Den registrerede har eksempelvis ret til at få slettet billeder, hvori personen optræder, hvis

(i) behandlingen af billedet ikke længere er nødvendigt til at opfylde de formål, hvortil det blev indsamlet eller på anden vis behandlet,

(ii) den registrerede gør indsigelse mod behandlingen i henhold til GDPR, artikel 21, stk. 1, og der foreligger ikke legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af GDPR, artikel 21, stk. 2,

(iii) personoplysningerne er blevet behandlet ulovligt,

(iv) personoplysningerne skal slettes for at overholde en retlig forpligtelse i EU.4.1 retten eller EU-medlemsstaternes nationale ret, som den dataansvarlige er underlagt, eller

(v) personoplysningerne er blevet indsamlet på baggrund af et samtykke i forbindelse med udbud af informationssamfundstjenester, eksempelvis hjemmesider, som er rettet mod børn under 13 år.

3.4.2 Modtager Organisationen en anmodning om sletning, skal der således foretages en konkret vurdering, af om billedet skal slettes. Det er Organisationen som dataansvarlig, der har bevisbyrden for, at den fortsatte behandling af billedet er
lovlig. Datatilsynet angiver følgende på sin hjemmeside:

"Hvis du har lagt noget op, som du troede var i orden, men det viser sig, at den anden person ikke bryder sig om det, så lyt til ham eller hende.""

Dermed vil en anmodning om sletning ofte tyde på, at et billede skal slettes, og jeres Organisation skal have en rigtig god grund til ikke at imødekomme anmodningen.

3.4.3 Det bemærkes, at Organisationen via sit abonnement til ComplyCloud\u0002applikationen har adgang til et dokument til svar på anmodninger om sletning, hvorigennem Organisationen kan håndtere henvendelser fra de registrerede angående sletning.

3.4.4 For råd og vejledning i forbindelse med metoden for bortskaffelsen af filer, henvises til NIST SP 800-88 Rev. 1, hvortil Datatilsynet henviser i sin vejledning om sletning.

4. Behandlingsgrundlag (hvornår må du bruge billeder af personer?)

4.1 Som ved alle andre behandlingstyper skal behandlingen af billeder, der indeholder personoplysninger, have et hjemmelsgrundlag. Behandling af et billede vil i Organisationen blive foretaget på baggrund af et af følgende behandlingsgrundlag i GDPR, artikel 6, stk. 1:

4.1.1 Den registreredes samtykke (uddybet i afsnittet "Samtykke").

4.1.2 Behandlingen er nødvendig for at forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor (uddybet i afsnittet "Legitim interesse").

4.1.3 Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt (uddybet i afsnittet "Opgave i samfundets
interesse eller offentlig myndighedsudøvelse")

4.2 Samtykke

4.2.1 For at behandlingen billeder, der indhentes via samtykke er lovlig, skal samtykket være gyldigt. Et samtykke er gyldigt, såfremt det er (i) frivilligt, (ii) specifikt, (iii) informeret og (iv) udtryk for en utvetydig viljestilkendegivelse. Det betyder kort sagt, at den registrerede i forbindelse med indhentningen af samtykket til behandlingen af billedet: (i) ikke påvirkes til at samtykke, (ii) specifikt samtykker til behandlingen af billedet, (iii) informeres tilstrækkeligt om denne behandling og (iV) ikke er i tvivl om, hvorvidt vedkommende har samtykket eller ej. Medarbejderen, der står for at indhente samtykke til behandlingen af billeder, skal således være opmærksom på, at disse betingelser overholdes. Er medarbejderen i tvivl om, hvorvidt Organisationen indhenter et samtykke korrekt, skal denne tage kontakt til den GDPR-ansvarlige i virksomheden.

4.2.2 Det bemærkes, at selvom der ikke er et hierarki mellem behandlingsgrundlagene, anbefales det i praksis kun at anvende samtykke, såfremt der ikke kan anvendes et andet behandlingsgrundlag. Årsagen hertil er, at et samtykke kan tilbagetrækkes, ligesom den registrerede i så fald oftest i praksis har ret til dataportabilitet i henhold til GDPR, artikel 20, stk. 1.

4.3 Legitim interesse

4.3.1 Forfølgelsen af en legitim interesse er et gyldigt behandlingsgrundlag efter GDPR, artikel 6, stk. 1, litra f). Der skal dog tages højde for følgende tre elementer: nødvendighed (afsnit 4.4.2), eksistensen af en legitim interesse (afsnit 4.4.3) og balancering af interesser og rettigheder (afsnit 4.4.4).

4.3.2 Det første element, som skal overholdes ved anvendelsen af en legitim interesse som behandlingsgrundlag, er "nødvendighed". Behandlingen af personoplysninger skal være nødvendigt for at opfylde den legitime interesse. Det vil sige, at den legitime interesse ikke må kunne opfyldes ved brug af midler, som er mindre indgribende for den registrerede person.

4.3.3 Det næste element er den legitime interesse. Dette begreb bør fortolkes bredt, således at både ubetydelige og uvægtige, umiddelbare eller mere kontroversielle interesser omfattes, så længe behandlingen er lovlig. Eksempler på legitime interesser inkluderer (i) udøvelse af retten til ytrings- eller informationsfrihed, herunder i medierne og i kunstnerisk øjemed, (ii) traditionel direkte markedsføring og andre former for markedsføring eller annoncering, (iii) uopfordrede ikke-kommercielle budskaber, herunder i forbindelse med politiske kampagner eller indsamlinger til velgørenhed, (iv) håndhævelse af retlige krav, herunder gældsinddrivelse via udenretlige procedurer, (v) forebyggelse af svig, misbrug af tjenester eller hvidvaskning af penge, (vi) overvågning af medarbejdere i sikkerheds- eller ledelsesøjemed, (vii) whistleblowerordninger, (viii) fysisk sikkerhed, IT-sikkerhed og netværkssikkerhed, (ix) databehandling i historisk, videnskabelig eller statistisk øjemed, (x) databehandling til forskningsformål (herunder markedsføringsundersøgelser), og (xi) videregivelse af personoplysninger inden for koncernen til administrative formål, herunder behandling af kunders eller medarbejderes personoplysninger.

4.3.4 Foruden forfølgelsen af en legitim interesse, hvor den omfattede behandling af personoplysninger er nødvendig, kræves en balancering af Organisationens interesser over for den registreredes interesser og frihedsrettigheder, hvor Organisationens interesser skal veje tungest, før en legitim interesse kan anvendes som behandlingsgrundlag. Således kan en legitim interesse af mindre betydning generelt kun gå forud for de registreredes interesser og rettigheder, hvis indvirkningen på disse rettigheder og interesser er endnu mere ubetydelig. Modsætningsvis kan en tungtvejende legitim interesse i nogle tilfælde begrunde
betydelige indgreb i de registreredes interesser og rettigheder. Jo flere og stærkere garantier og foranstaltninger, som Organisationen iværksætter til reducering af indvirkningen på de registreredes interesser og rettigheder, jo mere taler for, at Organisationens legitime interesse vejer tungest.

4.3.5 Der skal ved balanceringen altid foretages en konkret vurdering, hvor det anbefales, at der som minimum tages hensyn til følgende tre nøglefaktorer: (i) vægtningen af Organisationens legitime interesse(r), (ii) graden af indvirkning på den registrerede, hvor der tages hensyn til karakteren af personoplysningerne, måden hvorpå personoplysningerne behandles, den registreredes rimelige forventninger til behandlingen og magtforholdet mellem Organisationen og den registrerede og (iii) yderligere sikkerhedsmæssige garantier og foranstaltninger.

4.4 Opgave i samfundets interesse eller offentlig myndighedsudøvelse

4.4.1 Behandling kan ske, hvis det er nødvendigt af hensyn til udførelse af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, jf. GDPR, artikel 6, stk. 1, litra e). Brugen
af denne bestemmelse forudsætter ikke en national, implementerende hjemmelslovgivning om selve behandlingen i forbindelse med udførelse af opgaver. Ligeledes behøver opgaven, som kræver behandling af personoplysninger, ikke udtrykkeligt i lovgivningen at være pålagt myndigheden.

4.4.2 Udtrykket "opgave i samfundets interesse" må antages at omfatte opgaver af almen interesse, dvs. opgaver af betydning for en bredere kreds af personer. Det forhold, at behandling sker i et kommercielt øjemed, udelukker ikke, at behandlingen kan anses for at ske til varetagelse af almene interesser. Udtrykket må skulle forstås bredt, når det gælder offentlige myndigheders behandling af personoplysninger, og må således anses for at omfatte opgaver, der naturligt falder inden for den pågældende myndigheds ressortområde, f.eks. inklusive faktisk forvaltningsOrganisation. Bestemmelsen vil dermed i en række tilfælde kunne udgøre det hjemmelsmæssige grundlag for den behandling af personoplysninger, som offentlige myndigheder har foretaget på baggrund af interesseafvejningsreglen i persondatalovens § 6, stk. 1, nr. 7, forinden GDPR.

4.4.3 Udtrykket "offentlig myndighedsudøvelse" retter sig primært mod behandling af personoplysninger, der sker som led i myndighedsudøvelse, ligesom det omfatter behandling foretaget af en privat Organisation på vegne af en offentlig myndighed. Også udførelse af opgaver, der sædvanligvis karakteriseres som faktisk forvaltningsOrganisation, vil efter omstændighederne være omfattet af bestemmelsen. Dog må det antages, at indtægtsdækket Organisation og forsyningsvirksomhed ikke er omfattet af dette udtryk. Det samme må være tilfældet ved en myndigheds Organisation, der vedrører service og rådgivning. Disse foretagener må efter omstændighederne antages at være omfattet af udtrykket "opgave i samfundets interesse" beskrevet i afsnittet ovenfor.

5. Særligt om offentliggørelse af billeder

5.1 Generelt

5.1.1 Der findes ingen specifikke databeskyttelsesretlige regler om offentliggørelse af billeder på internettet af genkendelige personer. Når du (den dataansvarlige) vil offentliggøre et billede på internettet med identificerbare personer, er det afgørende, at du gør dig klart, hvad dit grundlag for at offentliggøre billedet er. Har du f.eks. fået lov af personen på billedet? Behandling af personoplysninger kan nemlig blandt andet ske, hvis den registrerede (personen på billedet) har givet sit samtykke til det.

5.1.2 Harmløse billeder, som ikke indeholder følsomme personoplysninger eller udstiller personer, kan imidlertid også behandles, hvis den dataansvarlige har en legitim interesse i at offentliggøre billedet, og denne interesse overstiger den registreredes interesser eller rettigheder (interesseafvejningsreglen).

5.1.3 Ved vurderingen af, om der kan ske offentliggørelse af et billede på baggrund af en interesseafvejning, kommer det bl.a. an på karakteren af billedet, herunder hvor og hvorfor billedet er taget, i hvilken sammenhæng billedet indgår, og hvad der er formålet med offentliggørelsen. Det er afgørende, at de personer, der er på billedet, ikke med rimelighed kan føle sig udstillet, udnyttet eller krænket, f.eks. i forbindelse med markedsføring eller andet kommercielt øjemed. Alderen på personen på billedet skal i den forbindelse også tages i betragtning. Overvej derfor altid, hvilke eventuelle indvirkninger eller konsekvenser en offentliggørelse af billedet kan have for de personer, der er på billedet.

5.1.4 Nedenstående er eksempler, som Datatilsynet har givet, på billeder, der som udgangspunkt kan offentliggøres uden samtykke:

• Billeder af publikum til en koncert.
• Billeder af besøgende i en zoologisk have eller lignende.
• Billeder optaget under en fritidsklub eller forenings udfoldelse af aktiviteter.

5.1.5 Nedenstående er eksempler, som Datatilsynet har givet, på billeder, der som udgangspunkt ikke kan offentliggøres uden samtykke:

• Billeder af besøgende hos lægen, kunder i banken og i fitnesscentret eller lignende.
• Billeder af besøgende på en bar, natklub, diskotek eller lignende.
• Billeder af ansatte på arbejde i en privat virksomhed eller en offentlig myndighed.

5.1.6 Offentlige myndigheder kan ikke behandle personoplysninger på baggrund af en interesseafvejning, når behandlingen sker som led i myndighedens udførelse af sine opgaver. Offentlige myndigheder kan imidlertid behandle almindelige personoplysninger, hvis behandlingen er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som myndigheden har fået pålagt. Det kan blandt andet være tilfældet ved udførelse af opgaver i medfør af de uskrevne kommunalfuldmagter, herunder f.eks. i forbindelse med tildeling af tilskud inden for kultur- og fritidsområdet, udlån af lokaler mv. Det samme må anses for at være tilfældet i forbindelse med nødvendige sikkerhedstiltag såsom optagelse og anden behandling af billede- og videooptagelser foretaget af sikkerhedskameraer. Ved en myndigheds egen behandling, registrering og interne brug af billeder, vil der defor sjældent være behov for sjældent være behov for at anvende et andet behandlingsgrundlag såsom samtykke. Dette udgangspunkt må dog kun anses for at kunne opretholdes ved offentliggørelse af billeder, hvis offentliggørelse klart er nødvendigt og ligger inden for det arbejdsområde, som myndigheden skal varetage i henhold til lovgivning.

5.2 Følsomme oplysninger og oplysninger om strafbare forhold

5.2.1 Hvis et billede indeholder følsomme oplysninger om den eller de personer, der er på billedet, skal du overveje nøje, om der er grundlag for at offentliggøre billedet uden samtykke fra den eller de pågældende. Dette vil således sjældent kunne lade sig gøre.

5.2.2 Du skal også nøje overveje, om et billede, som – eventuelt sammen med tekst – indeholder oplysninger om en fysisk persons strafbare forhold, vil kunne offentliggøres.

5.3 Oplysningspligt og ret til indsigelse

5.3.1 Ligesom du skal sikre dig, at du lovligt må offentliggøre et billede på internettet, dvs. blandt andet at du har et grundlag for at kunne offentliggøre billedet, skal du også være opmærksom på, at der gælder en oplysningspligt over for de personer, der fremgår af billedet. Du skal i almindelighed sørge for, at den eller de personer, der er på billedet, er vidende om, at du har tænkt dig at offentliggøre billedet på internettet, så de har mulighed for at reagere, f.eks. gøre indsigelse imod det.

5.3.2 Hvis den person, der fremgår af billedet, er utilfreds med offentliggørelsen, har vedkommende ret til at gøre indsigelse. Det kan ske, før billedet er blevet offentliggjort eller på et senere tidspunkt. Personen skal i så fald oplyse, hvilket billede der ønskes slettet og hvorfor. Datatilsynet har udtalt, at hvis den eller de personer, der er på billedet, ikke ønsker at have billedet liggende på internettet, bør du umiddelbart fjerne det.

5.3.3 Du kan læse mere om oplysningspligten og retten til at gøre indsigelse i Datatilsynets vejledning om den registreredes rettigheder (PDF)

6. Særlig persongruppe: Medarbejdere

6.1 Generelt om persongruppen

6.1.1 Databeskyttelseslovens § 12 indeholder særregler om behandlingsgrundlaget for personoplysninger, der behandles i forbindelse med ansættelsesforhold. Der er således tale om en indskrænkning af udgangspunktet i GDPR, artikel 6, som primært må ses som et politisk ønske om i videst muligt omfang at opretholde retstilstanden fra den tidligere persondatalov efter GDPR.

6.2 Behandlingsgrundlag

6.2.1 Behandling af billeder af en medarbejder, som er taget i forbindelse med medarbejderens ansættelsesforhold, kan foretages når behandlingen

(i) er nødvendig for at overholde den dataansvarliges eller den registreredes arbejdsretlige forpligtelser eller rettigheder som fastsat i lovgivning eller kollektiv overenskomst,

(ii) behandlingen er nødvendig for at forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor,

(iii) foretages på baggrund af den registreredes samtykke i overensstemmelse med GDPR, artikel 7, eller

(iv) i øvrigt foretages inden for rammerne af databeskyttelsesloven og GDPR, herunder GDPR, artikel 6, 9 og 10.

6.2.2 Udgangspunkt: Datatilsynet har udtalt, at både portrætbilleder og situationsbilleder af en medarbejder på arbejdet som udgangspunkt ikke vil kunne offentliggøres uden medarbejderens samtykke. Datatilsynet har herved foretaget den vurdering, at behandlingen af billeder af medarbejdere som udgangspunkt ikke kan rummes indenfor behandlingsgrundlagene i Databeskyttelseslovens § 12, stk. 1 og stk. 2, hvorefter f.eks. Databeskyttelseslovens § 12, stk. 3, i stedet må anvendes. Samtykket skal i så fald opfylde betingelserne i GDPR, artikel 7, for et gyldigt samtykke.

6.2.3 Undtagelser: Datatilsynets udtalelse vedrører det juridiske udgangspunkt, som derfor skal fraviges i undtagelsestilfælde. Eksempelvis må Organisationen anses for at have en legitim interesse i at offentliggøre profilbilleder af sine medarbejdere på sin hjemmeside, og at denne interesse ofte ikke overstiges af den enkelte medarbejders interesse i ikke at få offentliggjort et sådan billede. I sådanne tilfælde er et samtykke ikke nødvendigt, når Organisationens legitime interesser i offentliggørelsen overstiger medarbejderens interesse i ikke at have et profilbillede offentliggjort på Organisationens hjemmeside. Datatilsynet angiver da også følgende i sin vejledning om databeskyttelse i forbindelse med ansættelsesforhold:

"Det kan ikke udelukkes, at der i konkrete tilfælde – navnlig under hensyn til de funktioner, som en medarbejder skal udføre – vil kunne offentliggøres fotos af den pågældende på internettet i medfør af GDPR, artikel 6, stk. 1, litra e eller litra f."

Offentlige myndigheder må på denne baggrund anses for i flere tilfælde at kunne offentliggøre billeder af nøglemedarbejdere på sin hjemmeside uden et samtykke ved i stedet at bruge grundlaget i GDPR, artikel 6, stk. 1, litra e.

6.3 Slettepligt

6.3.1 Slettepligten for billeder af medarbejdere kan, som redegjort ovenfor, indtræde

(i) automatisk,

(ii) på baggrund af begivenheder eller

(iii) som følge af en anmodning fra medarbejderen eller en med fuldmagt hertil.

6.3.2 En slettepligt for et billede af en eller flere medarbejdere kan indtræde ved ophør af ansættelsesforholdet uagtet det juridiske grundlag for den lovlige offentliggørelse af billedet. Der skal i alle tilfælde foretages en konkret vurdering af, hvorvidt billedet skal fjernes fra Organisationens hjemmeside og eventuelt slettes fra Organisationens anvendte servere. Det vil være Organisationen som dataansvarlig, der skal foretage vurderingen, og Organisationen har som dataansvarlig bevisbyrden for, at billedet eventuelt ikke skal fjernes og slettes.

6.3.3 Udgangspunkt: I de fleste tilfælde må portrætbilleder forventes at skulle fjernes efter ophør af ansættelsesforholdet, medmindre der eksempelvis er tale om nyhedsopslag, hvor der er angivet dato, idet der dog skal foretages en konkret vurdering. Et situationsbillede skal som udgangspunkt udskiftes med et tilsvarende billede ved ophør af ansættelsesforholdet, når et sådan billede
findes, medmindre der er tale om et opslag, der ikke umiddelbart kan redigeres. Slettepligten kan også opstå på baggrund af andre begivenheder eller ved anmodning om sletning fra medarbejderen, hvor betingelserne i afsnit 3 bør gennemgås. Disse vurderinger kan foretages via Organisationens abonnement til ComplyCloud-applikationen.

6.3.4 Datatilsynet angiver i sin vejledning om databeskyttelse i forbindelse med ansættelsesforhold, at slettepligten også gælder, uanset om billede fremgår af en pjece, eksempelvis som offentliggjort i en PDF-fil.

6.3.5 Nedenfor er angivet eksempler på billeder af medarbejdere, der bør slettes:

(i) Portrætbilleder af en medarbejder til brug i forbindelse med kontaktoplysninger for vedkommende samt på en "om os"-kontaktside og lignende skal fjernes umiddelbart efter ansættelsesforholdets ophør, ligesom sådanne billeder normalvis i samme forlængelse skal slettes fra Organisationens anvendte servere.

(ii) Portrætbilleder af en medarbejder til anden brug end den i eksemplet ovenfor skal som udgangspunkt fjernes og slettes ved ansættelsesforholdets ophør.

(iii) Situationsbilleder, hvorpå der fremgår en identificerbar medarbejder, skal som udgangspunkt udskiftes med et tilsvarende billede ved ansættelsesforholdets ophør, når et sådan billede findes. Hvis der ikke er et tilsvarende billede, vil Organisationens legitime interesser i offentliggørelsen af billedet i flere tilfælde veje tungere end den tidligere medarbejders interesse i, at billedet skal fjernes. Der er dog tale om en konkret vurdering, og tilsynsmyndighedernes praksis indikerer en formodning om, at Organisationen vil være forpligtet til at fjerne og slette billedet, hvis offentliggørelsen er baseret på samtykke.

6.3.6 Undtagelser: Idet der altid skal foretages en konkret vurdering af, hvorvidt et billede af en medarbejder skal slettes, kan der være undtagelser til udgangspunktet om at imødekomme medarbejderens ønske om sletning.

6.3.7 Nedenfor er angivet eksempler på billeder af medarbejdere, der ikke nødvendigvis skal slettes:

(i) Ved billeder til "stock brug"", hvor der er indgået en særskilt kontrakt med medarbejderen om brug af dennes billeder, reguleres slettepligten af kontraktgrundlaget inden for rammerne af GDPR, artikel 6, stk. 1, litra b), og aftaleretten.

(ii) Organisationens legitime interesse i offentliggørelsen af billeder i nyhedsopslag, som ikke let kan tilbagekaldes eller redigeres, kan efter en konkret vurdering veje tungere end medarbejderens interesse i at få billedet
fjernet.

6.4 Særligt om brug af billeder på sociale medier

6.4.1 Datatilsynet har udtalt, at en privat arbejdsgiver kan indsamle og i relevant omfang anvende offentligt tilgængelige oplysninger om en jobansøger med hjemmel i arbejdsgiverens legitime interesse, når jobansøger har offentliggjort oplysningerne om sig selv på de sociale medier, når der er om almindelige personoplysninger, mens følsomme personoplysninger, som er angivet i GDPR, artikel 9, stk. 1, kan indsamles og i relevant omfang anvendes efter GDPR, artikel 9, stk. 2, litra e). Det samme må antages at være tilfældet for offentlige myndigheder, institutioner og § 60-selskaber, hvor grundlaget for almindelige personoplysninger kan findes i GDPR, artikel 6, stk. 1, litra e), medmindre der er tale om unødvendig dataophobning eller oplysninger, der ikke reelt er et behov
for. Datatilsynets udtalelse kan sjældent anses for at kunne udstrækkes til offentliggørelse af billeder af medarbejdere på sociale medier, uanset om billederne måtte være offentliggjort på medarbejdernes offentlige sociale medieprofiler.

6.4.2 Derimod må vurderingen, om Organisationen lovligt kan offentliggøre billeder af sine medarbejdere på sociale medier, for forventes at skulle foretages efter samme parametre som redegjort for i de ovenstående afsnit. Der bør i den forbindelse for de private virksomheder tages hensyn til den omstændighed, at billedet forventeligt vil få større eksponering på sociale medier end på
Organisationens hjemmeside, og at Organisationens legitime interesse i offentliggørelsen af portrætbilleder på sociale medier som udgangspunkt ikke vejer tungere end den registreredes interesse i, at portrætbilledet ikke offentliggøres. For offentlige myndigheder bør der tages hensyn til den omstændighed, at offentliggørelsen af billedet muligvis ligger uden for anvendelsesområdet i GDPR, artikel 6, stk. 1, litra e).

6.5 Særligt om billeder i trykte medier

6.5.1 Behandlingsgrundlag: Datatilsynet har udtalt, at portrætbilleder og situationsbilleder af en medarbejder på arbejdet som udgangspunkt ikke vil kunne offentliggøres uden medarbejderens samtykke. Samtykket skal i så fyld opfylde betingelserne i GDPR, artikel 7, for et gyldigt samtykke. Ved trykt materiale kan tilbagekaldelse være vanskelig – især efter distribution – og
medarbejderens interesse i ikke-offentliggørelse må derfor anses for at veje tungere i trykte medier end ved offentliggørelse på tilbagekaldelige medier. På denne baggrund må det anses for det altovervejende udgangspunkt, at offentliggørelse af portrætbilleder af medarbejdere i trykte medier kræver samtykke. Det samme udgangspunkt må oftest anses for at være tilfældet ved situationsbilleder.

6.5.2 Organisationens legitime interesse i offentliggørelse må ofte anses for at være større ved offentliggørelse af billeder af ledelsen, ligesom dette kan være en forventet konsekvens af ansættelsesforholdet for sådanne stillinger. Det må derfor anses for udgangspunktet, at billeder af ledelsen i forbindelse med arbejdet kan offentliggøres i trykte medier uden samtykke for private
virksomheder, idet der dog skal foretages en konkret vurdering. Et andet eksempel, som udgør en undtagelse til udgangspunktet om samtykke, er billeder til "stock brug"". Ved offentliggørelse af billeder af ledelsen for offentlige myndigheder, er dette udgangspunkt mere tvivlsomt.

6.5.3 Ved markedsføringsmateriale, der ikke let kan trækkes tilbage, såsom fysisk print eller udgivelse i onlinemagasiner bør dette forhold informeres i forbindelse med indhentning af samtykke, eller, hvis behandlingsgrundlaget ikke er samtykke, når billedet tages. Informeringen skal overholde oplysningsforpligtelsen i GDPR, artikel 13 og 14.

6.5.4 Slettepligt: Datatilsynet har udtalt, at der ved trykt materiale ikke kan forlanges tilbagekaldelse af det materiale, som allerede er distribueret. Ved trykt materiale, der endnu ikke er distribueret, mener Datatilsynet, at det vil bero på en konkret vurdering, om det i sådanne tilfælde kan kræves, at materialet destrueres.

6.5.5 Samlet bemærkes følgende:

(i) Billeder, der lovligt er offentliggjort i trykte medier, kan som udgangspunkt ikke kræves tilbagekaldt efter distribution.

(ii) Ved billeder i trykte medier, der endnu ikke er distribueret, vil det bero på en konkret vurdering, om billedet skal fjernes.

(iii) Ved situationsbilleder skærpes vurderingen således, at der skal mere til at kræve billedet fjernet fra trykte medier. Det samme er tilfældet ved billeder af ledelsen og billede til "stock brug", hvoraf sidstnævnte også er reguleret af den særskilte kontrakt herom indenfor rammerne af GDPR, artikel 6, stk. 1, litra b), og aftaleretten.

(iv) Organisationen kan indgå særskilte kontrakter med sine medarbejdere om brugen af deres billeder i trykt materiale, hvorefter behandlingsgrundlaget vil være gennemførelse af en kontrakt, som medarbejdere er part i, hvilket er omfattet af GDPR, artikel 6, stk. 1, litra b). I dette scenarie vil Organisationen som det altovervejende udgangspunkt ikke være forpligtet til at tilbagekalde, fjerne eller slette billeder af de omfattede medarbejdere fra trykt materiale – heller ikke ved ophøret af ansættelsesforholdet. Det bemærkes, at der skal være tale om en reel kontrakt, hvor der ydes vederlag, idet kontrakten ikke blot skal fungere som omgåelse af anvendelsen af samtykket.

7. Særlig persongruppe: Personer under myndighedsalderen

7.1 I databeskyttelsesretten anses børn for en persongruppe, der er mindre bevidst om de risici, konsekvenser, garantier og rettigheder for så vidt angår behandling af personoplysninger, jf. GDPR, præambelbetragtning nr. 38, 1. pkt. Det fremgår i øvrigt af GDPR, artikel 6, stk. 1, litra f, at vurderingen af en virksomheds interesser over for den registreredes interesser og grundlæggende rettigheder og frihedsrettigheder er særligt streng, hvis den registrerede er et barn. Der bør således foretages en særlig grundig vurdering ved brug af billeder af børn, og det klare udgangspunkt er, at brug af billeder af personer under 18 år kræver samtykke. Offentliggørelse af portrætbilleder og klassebilleder af børn kræver ifølge Datatilsynet altid samtykke.

7.2 Hvis Organisationen ønsker at behandle billeder et billede af et barn på baggrund af et samtykke, skal Organisationen overveje, om barnet selv kan give samtykke, eller om samtykket skal indhentes fra forældremyndighedshaver. Det afhænger af en konkret modenhedsvurdering, om barnet selv kan afgive samtykke. Organisationen skal derfor konkret vurdere, om barnet har en tilstrækkelig modenhed og forståelse til selv at give samtykke. Ifølge Datatilsynet vil et barn på 15 år normalt være tilstrækkeligt moden til at kunne give samtykke på egne vegne.

7.3 Børn under 13 år kan dog ikke på egne vegne give samtykke til behandling af personoplysninger i forbindelse med udbud af informationssamfundstjenester såsom Facebook, Instagram osv. Hvis der i den forbindelse skal indhentes samtykke, skal dette i stedet gives eller godkendes af indehaveren af forældremyndigheden over barnet, jf. databeskyttelsesloven § 6, stk. 3.

7.4 Følgende bemærkninger angående billedets karakter er værd at tage i betragtning:

(i) Portrætbilleder skal som altovervejende udgangspunkt fjernes og slettes ved tilbagekaldelse af samtykket eller ophøret af tilknytningsforholdet mellem den registrerede og Organisationen. Dette kan for eksempel være tilfældet, når en folkeskoleelev stopper med at gå på den skole, der behandler billeder af vedkommende.

(ii) Der skal foretages en konkret vurdering ved billeder, der har til formål at afbilde en konkret situation. Situationsbilleder af events, hvorpå der fremgår enkelte folkeskoleelever under 18 år, kan efter en konkret vurdering behandles på baggrund af den private dataansvarliges legitime interesse eller for en myndighed på baggrund af grundlaget i GDPR, artikel 6, stk. 1, litra e). Det bemærkes, at det følger af Artikel 29-gruppens vejledning, at samtykke efter omstændighederne ikke er påkrævet ved situationsbilleder, hvis eleverne ikke kan identificeres på billederne. Behandling af billeder fra events målrettet folkeskoleelever vil derimod som udgangspunkt kræve samtykke.

8. Spørgsmål

8.1 Spørgsmål og henvendelser skal rettes til dpo@middelfart.dk.