GDPR i ansættelsesforhold handler i det daglige om personalesagen. Arbejdsgiveren må registrere det, der er brug for til ansættelsen, adgangen skal følge et sagligt behov, helbredsoplysninger kræver et særligt grundlag, og alt skal have en slettefrist efter fratrædelsen. Artiklen følger sagen fra første dag til sletning med udgangspunkt i Datatilsynets vejledning fra marts 2023. Kontrol af medarbejdere står i en særskilt artikel, mailboksen i mailboks efter fratrædelse, og ansættelsesretten er et emne for advokat eller arbejdsgiverforening.
Det, der må stå i personalesagen
Vejledningen nævner bl.a. navn, adresse, fødselsdato, nær familie, uddannelse, stilling, arbejdstid, løn, skat, pension, kontonummer og fravær. Grundlaget er, at oplysningerne skal bruges til ansættelsen (art. 6, stk. 1, litra b). Målestokken er altså brugen. En oplysning, der bare er kommet med, hører ikke til.
Tre ting kræver særskilt opmærksomhed:
- Personnummer. Private må behandle det efter databeskyttelseslovens § 11, stk. 2, fx når det følger af lovgivningen. Se CPR-numre i virksomheden.
- Medarbejdersamtaler. Følger samtalen hverken af overenskomst eller lov, er grundlaget hos en privat arbejdsgiver legitim interesse, og så kan følsomme oplysninger ikke registreres.
- Samtykke. Det opfylder sjældent kravet om frivillighed, fordi forholdet mellem arbejdsgiver og ansat er ulige. Databeskyttelseslovens § 12, stk. 3, gør samtykke muligt, men begynd med § 12, stk. 1 og 2, hvis behandlingen følger af anden lovgivning eller en overenskomst.
Helbred og sygefravær
Helbredsoplysninger er følsomme. Arbejdsgiveren kan registrere dem, når det er nødvendigt for at opfylde en lov, en bekendtgørelse eller en overenskomst. Vejledningens eksempel er en aftale om refusion efter § 56 i lov om sygedagpenge. Følsomme oplysninger kan også være nødvendige for at fastlægge et retskrav, fx ved en arbejdsskade (art. 9, stk. 2, litra f).
Vejledningen peger på, at særlove kan indskrænke adgangen, og nævner lov om brug af helbredsoplysninger på arbejdsmarkedet og lov om forbud mod forskelsbehandling. Må I spørge om noget konkret, er derfor et spørgsmål til advokat eller arbejdsgiverforening.
Praktisk går grænsen ved datoer og årsager. Fraværsdagene skal bruges til løn og administration. Kolleger må gerne få at vide, at nogen er fraværende, men arbejdsgiveren må som udgangspunkt ikke videregive de helbredsforhold, der ligger bag. Vi anbefaler at gemme lægeerklæringer og lignende adskilt fra den almindelige sag med færre adgange.
Fagforeningsforhold er også følsomme og må kun behandles, hvis det er nødvendigt for arbejdsretlige pligter eller rettigheder. Oplysninger om strafbare forhold følger databeskyttelseslovens § 8. Straffe- og børneattester skal slettes eller anonymiseres, så snart formålet er nået.
Hvem der må se sagen
Vejledningen beskriver det mest præcist for offentlige arbejdsgivere: adgang kun for personer med et sagligt behov, normalt udvalgte personaleadministrative medarbejdere og medarbejderens leder. Vores læsning er, at samme tanke gælder private, fordi kravene om fortrolighed og sikkerhed i art. 5 og 32 også gælder dem. Prøv det af i systemerne:
- Lederskift. Når en medarbejder skifter afdeling, skal adgangen flytte med, og den gamle leder skal ud. Datatilsynets katalog har en foranstaltning for tilpasning af adgange ved ændringer i ansættelsen.
- Delte drev. Mapper med løn, advarsler og lægepapirer kan stå for åbent, se alle kan se alt.
- Koncern. Selskaberne er som udgangspunkt selvstændigt dataansvarlige. Fælles personaleadministration kan bygge på en legitim interesse, men det er en videregivelse, der skal vurderes.
- Tillidsrepræsentant. Oplysninger kan gives, når det er nødvendigt for hvervet, fx løn ved lønforhandling. Medlemskab af en fagforening hører ikke til i den slags udtræk.
Det, medarbejderen skal have at vide
Medarbejderen skal have oplysninger efter art. 13 og 14, og I skal kunne dokumentere det. Vejledningen foreslår hovedpunkterne direkte til personen med link til det uddybende, fx et afsnit i personalehåndbogen. Det er ikke nok, at teksten ligger på et intranet, som medarbejderen selv skal finde. Oplysningerne gives som udgangspunkt én gang, men et nyt formål udløser en ny pligt. Se oplysningspligten.
Beder en medarbejder om indsigt, skal vedkommende se indholdet. En liste over typer af oplysninger opfylder ikke pligten. Ledelsens vurderinger kan efter en konkret vurdering undtages efter databeskyttelseslovens § 22, men I kan ikke undtage bestemte dokumenttyper generelt. Forkerte oplysninger skal rettes uden unødig forsinkelse, og sagen skal om nødvendigt suppleres. Efter fratrædelsen gælder det samme, se indsigt fra en tidligere medarbejder.
GDPR-regler ved fratrædelse
Når en medarbejder stopper, må I gerne fortælle kollegerne, at personen stopper. At oplyse, at personen er afskediget, eller hvorfor, er som udgangspunkt ikke i orden. Vejledningen beskriver undtagelser, fx når årsagen allerede er kendt, eller oplysningen kan standse uro, men de kræver en konkret vurdering. Eksterne får som udgangspunkt ikke baggrunden for en fratrædelse at vide.
Tidligere ansattes oplysninger kan blive liggende, mens der er et administrativt behov, fx ved lønkrav, pension eller arbejdsskader. Der findes ingen samlet GDPR-frist, så fristen sættes pr. kategori:
- Regnskabsmateriale · 5 år fra udgangen af regnskabsåret (bogføringslovens § 12).
- Arbejdstidsregistrering · 5 år efter den periode, beregningen bygger på (§ 4 b, stk. 3, i lov om gennemførelse af dele af arbejdstidsdirektivet).
- Almindelige krav · forældelse efter 3 år som udgangspunkt (forældelseslovens § 3). Vejledningen siger, at forældelsesfrister efter omstændighederne kan få betydning for vurderingen. Fristen giver ingen automatisk ret til at gemme alt i så lang tid.
Sæt derfor slettepolitikken op, så advarsler, lægepapirer og lønbilag kan slettes hver for sig. Luk adgange straks, særligt ved fritstilling.
Det gør I nu
Tag tre tilfældige personalesager, to aktive og en fratrådt, og sammenlign indholdet med ovenstående. Se, hvem der kan åbne dem. Viser stikprøven mere end enkeltfejl, kan en GDPR-gennemgang give jer en prioriteret liste.
Det skal I lade være med
- At gemme årsagen til sygdom i den almindelige sag · behovet er et andet end for datoerne.
- At bygge HR-behandlinger på samtykke af vane · frivilligheden holder sjældent.
- At fortælle hele huset, hvorfor nogen stopper · det er som udgangspunkt ikke tilladt.
- At slette hele sagen på én dato · kategorierne har hver sin frist.
Det skal I kræve af den eksterne
- ☐ Rådgivning om, hvad der hører til i sagen, og hvad der skal adskilles.
- ☐ Kontrol af adgange til personalemapper og HR-system.
- ☐ Gennemgang af oplysningsteksten til ansatte.
- ☐ Klar grænse mod ansættelsesret, med henvisning til advokat eller arbejdsgiverforening.
Kilder
- Datatilsynet: Databeskyttelse i ansættelsesforhold, marts 2023: afsnit 1.2, 2.2, 3.1 til 3.3 og 4.1 til 4.3, læst 6. november 2026.
- Datatilsynet: Tilpasning af adgangsrettigheder ved ændring af ansættelsesforholdet: læst 6. november 2026.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: § 7, 8, 11, 12 og 22, læst 6. november 2026.
- Bogføringsloven, lov nr. 700 af 24. maj 2022: § 12, læst 6. november 2026.
- Lov om gennemførelse af dele af arbejdstidsdirektivet, LBK nr. 982 af 12. august 2024: § 4 b, stk. 3, læst 6. november 2026.
- Forældelsesloven, LBK nr. 1238 af 9. november 2015: § 3, læst 6. november 2026.
- Forordning (EU) 2016/679, dansk tekst: art. 5, 6, 9, 13 til 16 og 32.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Jobansøgninger og GDPR · Kontrol af medarbejdere
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
