Arbejdsgiver videregav personlige oplysninger til tredjemand

Det danske Datatilsyn (»Datatilsynet«) offentliggjorde den 9. april 2026 deres afgørelse om en arbejdsgivers videregivelse af personoplysninger til en tredjepart. Sagen blev behandlet under journalnummer 2025-31-1972.

En medarbejder og arbejdsgiver var i en arbejdsretlig tvist, hvor medarbejderen blev repræsenteret af sin fagforening. I forbindelse med tvisten mellem parterne videregav arbejdsgiveren personoplysninger til en tredjepart, herunder oplysninger om den tidligere medarbejders fagforeningsmæssige tilhørsforhold. Datatilsynet skulle vurdere, om videregivelsen til tredjemand var nødvendig til behandlingen af den arbejdsretlige tvist.

Efter Europa-Parlamentets og Rådets Forordning (EU) 2016/679 af 27. april 2016 (»GDPR«) artikel 6, stk. 1, litra f, kræves det, at videregivelse af personoplysninger forfølger en legitim interesse, medmindre den registreredes rettigheder interesser eller grundlæggende rettigheder og frihedsrettigheder går forud herfor. GDPR artikel 9, stk. 2, litra f, foreskriver, at nogle personoplysninger som fagforeningsmæssige tilhold kan behandles, såfremt de behandles til eksempelvis at fastlægge et retskrav.

Datatilsynet fandt, at arbejdsgiverens videregivelse af personoplysninger forfulgte en legitim interesse til behandlingen af den arbejdsretlige tvist. Tredjepart i sagen var en rådgiver, der bistod arbejdsgiver i parternes tvist, herunder med rådgivning om betydningen af den tidligere medarbejders ansættelseskontrakt. Derudover blev tredjeparten kun bekendt med de personoplysninger, der var relevante for tvisten.

Endvidere fandt Datatilsynet, at det var legitimt at dele oplysninger om den tidligere medarbejders fagforeningsmæssige tilhold. De lagde vægt på, at medarbejderen lod sig repræsentere af fagforeningen, og at det generelt var en relevant oplysning at dele med en rådgiver, der blandt andet skulle rådgive om et eventuelt retskrav.

Det centrale i sagen var, at parterne stod i en arbejdsretlig tvist, og at den tidligere medarbejder lod sig repræsentere af sin fagforening. Dermed illustrerer afgørelsen, at i sådanne konkrete tilfælde kan det være legitimt at videredele personoplysninger til en tredjepart.

Læs Datatilsynets afgørelse her: https://www.datatilsynet.dk/afgoerelser/afgoerelser/2026/apr/arbejdsgivers-videregivelse-af-personoplysninger

Datatilsynet meddeler påbud til Aalborgs Kommune for manglende sletning af personoplysninger

Det danske Datatilsyn (»Datatilsynet«) meddelte den 4. maj 2026 Aalborg Kommune (»Kommunen«) påbud om at bringe Kommunens sletning af personoplysninger i overensstemmelse med GDPR. Sagen er behandlet under journalnummer 2026-432-0055.

Datatilsynet indledte den 10. april 2026 en undersøgelse af egen drift på baggrund af presseomtale af Kommunens manglende sletning af personoplysninger. Datatilsynet fandt, at Kommunen overtrådte GDPR artikel 5, stk. 1, litra e, om opbevaringsbegrænsning og artikel 5, stk. 2, om ansvarlighed, og meddelte Kommunen påbud om at kortlægge sine systemer med henblik på sletning, straks slette de personoplysninger, der umiddelbart lod sig slette, og udarbejde en plan for sletning af de resterende i samarbejde med systemleverandørerne. Fristen for opfyldelse blev sat til den 2. oktober 2026. Påbuddet blev meddelt i medfør af GDPR artikel 58, stk. 2, litra d.

Afgørelsen fastslog, at åbne mangler i sletterutiner udgør en selvstændig overtrædelse af GDPR’s princip om opbevaringsbegrænsning, og at Datatilsynets tidligere offentliggjorte praksis udgør et minimum, som offentlige dataansvarlige forventes at efterleve.

Læs Datatilsynets afgørelse her: https://www.datatilsynet.dk/afgoerelser/afgoerelser/2026/maj/datatilsynet-giver-paabud-til-aalborg-kommune

Datatilsynet udtaler alvorlig kritik af Securitas A/S’ håndtering af indsigtsanmodning

Det danske Datatilsyn (»Datatilsynet«) traf den 25. juni 2026 afgørelse i en sag om Securitas A/S’ (»Securitas«) håndtering af en registerets anmodning om indsigt i optagelser fra en telefonsamtale. Sagen er behandlet under journalnummer 2025-43-0065.

En borger klagede over, at Securitas afslog indsigt i optagelser fra en telefonsamtale og efterfølgende oplyste borgeren, at optagelserne ikke længere eksisterede, selvom dette på daværende tidspunkt var ukorrekt. Optagelserne blev herefter slettet, hvorved borgeren endeligt blev afskåret fra muligheden for indsigt. Datatilsynet fandt, at Securitas’ håndtering ikke var i overensstemmelse med GDPR artikel 15, stk. 1 og 3, om den registreredes ret til indsigt og kopi af egne personoplysninger, da Securitas havde afgivet oplysninger, der hindrede borgerens adgang til optagelserne. Datatilsynet udtalte derfor alvorlig kritik. Datatilsynet fandt derimod ikke grundlag for at kritisere Securitas’ generelle håndtering af indsigtsanmodninger.

Læs Datatilsynets afgørelse her: https://www.datatilsynet.dk/afgoerelser/afgoerelser/2026/jun/datatilsynet-udtaler-alvorlig-kritik-af-securitas-a/s

Om forældres ret til indsigt i deres afdøde børns oplysninger

Det danske Datatilsyn (»Datatilsynet«) udkom den 22. juni 2026 med en pressemeddelelse om forældres muligheder for at få indsigt i deres afdøde børns oplysninger. Datatilsynets vurdering kom efter spørgsmålet var blevet forelagt Datatilsynets øverste organ, det danske Dataråd, henset til spørgsmålets principielle karakter. På den baggrund har Datatilsynet udarbejdet en række vejledende retningslinjer til den dataansvarlige om forældres anmodninger om indsigt i afdøde børns oplysninger.

Datatilsynet bemærkede generelt, at udgangspunktet efter GDPR er, at retten til indsigt er en personlig rettighed, og at indsigtsretten bortfalder ved dødsfald. Datatilsynet fastslog, at det særlige for mindreårige børn er, at deres forældre allerede varetager deres ret til indsigt.

På baggrund heraf kan forældre fortsat udøve denne ret efter barnets død. Datatilsynet fremhævede samtidigt, at der fortsat gælder undtagelser fra udgangspunktet. Den dataansvarlige skal stadig foretage en konkret vurdering, hvor en række kriterier såsom barnets alder, modenhed og oplysningens karakter kan indgå.

Hjemmelsgrundlaget for forældres ret til indsigt i deres afdøde børns oplysninger er GDPR art. 15 sammenholdt med Lovbekendtgørelse nr. 289 af 8. marts 2024 (»den danske databeskyttelseslov«) § 2, stk. 5.

Læs Datatilsynets pressemeddelelse her: https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2026/jun/foraeldre-kan-faa-indsigt-i-afdoede-boerns-oplysninger