Hvad er oplysninger om strafbare forhold?

Hvad er oplysninger om strafbare forhold? GDPR-guide

At forstå hvad er oplysninger om strafbare forhold er afgørende for at undgå juridiske fejltrin og store bøder. Forkert håndtering af personoplysninger skader virksomhedens omdømme og krænker individets rettigheder. Ved at kende de juridiske rammer sikrer man korrekt behandling og undgår unødvendige økonomiske tab.

Hvad er oplysninger om strafbare forhold?

Hvad betragtes som strafbare forhold i gdpr dækker over data om en persons lovovertrædelser, herunder domme, bøder og underbyggede mistanker eller anmeldelser. I databeskyttelsesretten (GDPR) betragtes disse som en helt særlig kategori af data, der kræver ekstraordinær beskyttelse, fordi de kan have massive konsekvenser for personens jobmuligheder og sociale status. Men der er en vigtig detalje, som mange overser: Det er ikke enhver løs anklage, der tæller - oplysningen skal være tilstrækkeligt underbygget for at falde under de strenge regler i artikel 10.

For at forstå omfanget skal man vide, at begrebet rækker langt ud over selve straffen. Det omfatter også adresseoplysninger i et fængsel, oplysninger om overtrædelser, der aldrig førte til en dom, eller civile sanktioner, der minder om straf. I min tid som rådgiver har jeg set flere virksomheder brænde fingrene på at tro, at en mundtlig rygteudveksling er harmløs. Men så snart du nedfælder en anklage om tyveri i en medarbejdermappe, behandler du data og bør kende til hvad er oplysninger om strafbare forhold. Det kræver et juridisk grundlag, som er markant stærkere end ved almindelige navne og adresser.

Hvornår betragtes noget som en oplysning om strafbare forhold?

Grænsen mellem en almindelig oplysning og en oplysning om strafbare forhold er knivskarp og ofte misforstået. Er en politianmeldelse en personoplysning? Svaret er ja, men den bliver først til en oplysning om strafbare forhold i lovens forstand, hvis den er baseret på konkrete og underbyggede fakta. Det betyder, at en anonym og udokumenteret anmeldelse ikke nødvendigvis udløser de strengeste GDPR-regler med det samme. Men pas på - her er der en fælde, som jeg selv har set erfarne ledere træde i.

Jeg husker en sag, hvor en leder gemte en note om en medarbejders mulige butikstyveri baseret på en mavefornemmelse. Da medarbejderen bad om indsigt, blev det et juridisk mareridt.

Sagen er den, at behandling af oplysninger om strafbare forhold gdpr i private virksomheder er begrænset til tilfælde, hvor det er strengt nødvendigt for at varetage en berettiget interesse, der klart overstiger personens behov for privatliv. Faktisk viser undersøgelser af databrud, at fejlhåndtering af følsomme personoplysninger udgør en betydelig del af de indberettede hændelser til myndighederne, hvoraf en stor del skyldes manglende kendskab til netop disse kategorier.

Regler for private virksomheder og organisationer

Private aktører har ikke samme vide rammer som politiet eller kommunen. Hvis du som privatperson eller virksomhed vil behandle oplysninger om strafbare forhold, skal du typisk have et udtrykkeligt samtykke fra personen. Det klassiske eksempel er indhentning af en straffeattest ved ansættelse. Men her stopper det ikke. Der findes også situationer, hvor du må behandle data uden samtykke, hvis det er nødvendigt for at fastlægge et retskrav - for eksempel hvis du skal dokumentere et bedrageri over for en domstol.

Videregivelse af oplysninger om strafbare forhold er endnu sværere. Du må som udgangspunkt ikke fortælle en anden virksomhed, at en tidligere ansat er blevet bortvist for underslæb, medmindre du har et meget tungtvejende juridisk grundlag. Mange begår den fejl at tro, at sandheden altid må siges - men GDPR er ligeglad med sandheden, hvis du ikke har ret til at dele den. I praksis ser vi, at de fleste af alle lovlige behandlinger af strafbare forhold i det private erhvervsliv sker på baggrund af enten et skriftligt samtykke eller en specifik lovhjemmel, som fældes i sektorspecifik lovgivning.

Sammenligning: Offentlig vs. Privat behandling

Der er stor forskel på, hvad en kommune må sammenlignet med en lokal sportsklub eller en IT-virksomhed. Herunder ses de primære forskelle i behandlingsgrundlaget:

Forskelle i adgang til data om strafbare forhold

Offentlige Myndigheder

Skal stadig overholde proportionalitetsprincippet - ikke indsamle mere end højst nødvendigt.

Må behandle data, når det er nødvendigt for at udføre deres lovmæssige opgaver.

Kan videregive data til andre myndigheder, hvis det er nødvendigt for varetagelse af opgaver.

Private Virksomheder

Må ofte kun opbevare data i en meget kort periode efter formålet er opfyldt.

Kræver typisk udtrykkeligt samtykke eller et tungtvejende retskrav.

Yderst begrænset. Kræver næsten altid samtykke eller at det sker for at beskytte en afgørende offentlig interesse.

Sagen om de forsvundne kontanter i detailbutikken

Mads, der ejer en mindre tøjbutik i Aarhus, opdagede en mangel på 5.000 kroner i kassen og mistænkte straks en nyansat medarbejder. Han følte sig sikker og skrev en advarsel ind i personalemappen, hvor han eksplicit nævnte 'strafbart tyveri'.

Mads forsøgte derefter at advare en anden butiksejer i netværket om medarbejderen. Problemet var, at Mads ikke havde beviser, kun mistanke, og han havde ikke sikret sig det nødvendige juridiske grundlag for at behandle så følsomme anklager.

Han indså fejlen, da medarbejderen krævede indsigt og truede med en sag hos Datatilsynet. Mads måtte lære, at selv en begrundet mistanke kræver en ekstremt forsigtig dokumentationsproces for ikke at bryde artikel 10.

Efter juridisk rådgivning fik Mads ændret sine procedurer. Han lærte, at det tager omkring 6-12 måneder at rette op på et dårligt ry hos myndighederne, og han slettede alle udokumenterede anklager for at undgå en potentiel kæmpebøde.

Denne artikel er til oplysning og udgør ikke juridisk rådgivning. Reglerne om databeskyttelse er komplekse og afhænger af den specifikke situation. Kontakt altid en specialiseret advokat eller Datatilsynet for konkret vejledning i din sag.