GDPR: Tillidsrepræsentanten og arbejdsgiveren

I den seneste vejledning fra Datatilsynet fra december 2020 om håndtering af persondata i ansættelsesforhold, præciserer Datatilsynet, at en tillidsrepræsentant selv er ansvarlig for håndtering af persondata i sit virke.

En tillidsrepræsentant sidder typisk med personoplysninger om sine kollegaer, både almindelige oplysninger som navn, titel, løn mv. men også følsomme personoplysninger som fx helbredsoplysninger og fagforeningsforhold.

Tillidsrepræsentantens ansvar

Tillidsrepræsentanten skal selv sikre sig, at reglerne i persondataforordningen overholdes, fx at formålet med behandlingen er korrekt; at der er fornøden behandlingshjemmel; at der gives fornøden oplysning til de registrerede, samt at de registreredes rettigheder overholdes, fx retten til indsigt mv.

Arbejdsgiverens ansvar

Arbejdsgiveren skal typisk efter overenskomsterne stille IT-udstyr til rådighed for tillidsrepræsentanten. Arbejdsgiveren står derfor på overordnet plan for den tekniske og sikkerhedsmæssige bistand. Det medfører naturligt, at arbejdsgiveren har ansvaret for den tekniske del, som stilles til rådighed. Særligt i relation til opbevaringen af data, har arbejdsgiveren dermed et ansvar.

Datatilsynet slår fast, at der ikke er tale om et fælles dataansvar i behandlingen af de konkrete oplysninger. Det er alene tillidsrepræsentanten og evt. dennes faglige organisation, der er dataansvarlige for behandlingen.

Ifølge Datatilsynet er det muligt at indgå en aftale mellem arbejdsgiveren og tillidsrepræsentanten, hvor det bl.a. nærmere fastlægges, hvornår arbejdsgiveren kan tilgå oplysninger, som tillidsrepræsentanten er ansvarlig for, fx ved systemnedbrud eller vedligeholdelse mv., samt hvornår arbejdsgiveren skal yde teknisk assistance til tillidsrepræsentanten ved anmodninger om indsigt og sikkerhedshændelser mv.

Datatilsynet informerer mere detaljeret om emnet i deres vejledning. For yderligere information henviser vi derfor til denne vejledning.