Politik for behandling af oplysninger PERSONDATALOVEN

Søndre Mellemvej 41 / 4000 Roskilde

Tlf. 46 770 770 / CVR 13959684

www.ppbro.dk / ppbro@ppbro.dk

Indledning

Denne politik beskriver, hvordan vi beskytter persondata, og skal sikre, at medarbejderne har kendskab til de regler, der gælder for brug af de personoplysninger, som de har adgang til som led i deres arbejde. Denne politik supplerer vores andre politikker om it-sikkerhed, internet og e-mail o.l. Medarbejdere med adgang til persondata er ansvarlige for overholdelse af reglerne. Direktøren er ansvarlig for opdatering og kontrol af politikken. 

Fortegnelse over behandlingen af personoplysninger virksomheden behandler personoplysninger om:

• Medarbejdere (bilag 1)
• Kunder (bilag 2)
• Leverandører (bilag 3)
  
  

Vi har udarbejdet en fortegnelse over behandlingen af personoplysninger. Fortegnelsen giver overblik over de behandlinger, som virksomheden er ansvarlig for. Personoplysningerne er en forudsætning for, at virksomheden kan indgå̊ ansættelses-, kunde- og leverandør- kontrakter. 

Behandlingens formål og lovlighed. 
Personoplysningerne behandles og arkiveres i forbindelse med:

• Personaleadministration, herunder rekruttering, ansættelse, fratrædelse og udbetaling af løn
• Stamdata for kunder samt ordrer og salg
• Stamdata for leverandører samt købshistorik
  
  

Vi benytter kun personoplysningerne til de nævnte formål, og vi indsamler kun de oplysninger, som er nødvendige til opfyldelse af ovenstående formål. 

Kategorier af oplysninger, der behandles om medarbejdere. 
Vi behandler medarbejderoplysninger om jobansøgere, nuværende medarbejdere og tidligere medarbejdere. 

Persondata og formål:

• Navn, adresse, samt oplysninger til brug for lønkørsel og udbetalinger. Formålet med behandlingen er at sikre korrekt løn og personaleadministration. 
• Følsomme persondata Cpr.nr. samt ansættelsesretlige dokumenter, så som MUS-referater og advarsler. 
• Formålet med behandlingen er at kunne identificere medarbejdere og udbetale løn, skat mv. samt sikre korrekt personaleadministration

Behandlingsgrundlag
Oplysningerne behandles hovedsagelig på baggrund af art. 6.1.b. Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i jf. bilag 4.

Oplysninger, der behandles på baggrund af samtykke, er fx offentliggørelse af billeder på internettet. I det omfang der behandles personfølsomme oplysninger, behandles disse på baggrund af art.9.2.a: Udtrykkeligt samtykke eller art. 9.2.b: Overholdelse af sundheds-, social- eller arbejdsretlige forpligtelser jf. bilag 5.

Behandling af særlige oplysninger (følsomme oplysninger)

Det skal altid grundigt overvejes, om det er nødvendigt at behandle oplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt genetiske data, biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering.

Helbredsoplysninger

Oplysninger om sygefravær, altså antallet af sygedage, er ikke en følsom oplysning.

Oplysning om medarbejderens diagnose er en følsom oplysning. Helbredsoplysninger kan som hovedregel kun behandles med medarbejderens udtrykkelige samtykke. Medarbejderen skal orienteres om, hvem der får adgang til oplysningerne, samt til hvilket brug og hvor længe oplysningerne opbevares og om, at samtykket kan trækkes tilbage.

Undtagelse: Medarbejdere, der er omfattet af en § 56-aftale, hvor arbejdsgiveren kan modtage refusion fra første sygedag, skal oplyse, om sygefraværet skyldes den sygdom, som begrunder § 56-aftalen.

Undtagelse: Ved fravær på grund af graviditetsbetinget sygdom kan arbejdsgiveren modtage refusion fra 1. sygedag, hvis der udbetales løn. Medarbejderen skal oplyse, om sygefraværet er graviditetsbetinget.

Fagforeningsoplysninger / A-kasse

Fagforeningsoplysninger kan som hovedregel kun behandles på baggrund af medarbejderens udtrykkelige samtykke.

Undtagelse: Hvis behandlingen sker for at opfylde en arbejdsretlig forpligtelse, fx en aftale med fagforeningen om kontingenttræk eller i forbindelse med lovligt varslet lock-out. På medarbejderoplysningsskemaet spørger vi indtil om medarbejderen er medlem af en a-kasse for at vurdere om medarbejderen er berettiget til g-dage ved hjemsendelse eller opsigelser.

Risikovurdering:

Det vurderes, at tab af data potentielt kan have negativ indflydelse på de registrerede. Der indføres

derfor begrænset adgang samt tavshedspligt, før der gives adgang.

Regler og procedurer

Adgang til medarbejderoplysninger

Kun medarbejdere, der har et arbejdsbetinget behov, tildeles adgang til de øvrige medarbejderes personlige oplysninger. I virksomheden opbevares persondata på følgende måder:

1. Adgang til serveren
2. Adgang til fysisk arkiv
3. Adgang til lønsystem
4. Adgang til regnskabsprogram (godkendelse af timer, regnskab mm.)
5. Adgang til mail
   
   

Adgangen gives iht. nøglepersoners beføjelser, som angives af direktøren for virksomheden. Adgang til medarbejderoplysninger må ikke deles eller tildeles andre medarbejdere end ovenstående uden forudgående godkendelse fra direktøren. 

Indhentelse af oplysninger og oplysningspligt

Ved rekruttering af nye medarbejdere

Der kan indhentes referencer hos tidligere arbejdsgivere, hvis vi har samtykke fra ansøgeren.

Samtykket skal foreligge skriftligt.

Nuværende medarbejdere

Som udgangspunkt vil det sjældent være nødvendigt at indhente oplysninger om nuværende medarbejdere. 

Hvis det er nødvendigt at indhente oplysninger om medarbejderne fra andre end medarbejderen selv, skal det som hovedregel ske med medarbejderens samtykke.

Behandling af helbredsoplysninger

I forbindelse med fx indhentelse af lægeerklæringer vil det som udgangspunkt være medarbejderen selv, der indhenter lægeerklæringen. Hvis vi har brug for selv at indhente en lægeerklæring, kan dette kun ske med medarbejderens samtykke.

Medarbejderens krav på indsigt i egne oplysninger

Ansøgere, nuværende medarbejdere og tidligere medarbejdere har ret til indsigt i, hvilke oplysninger virksomheden behandler.

Opbevaring og sikring af oplysninger

Oplysninger om medarbejdere må opbevares i:

• Lønsystem
• Særskilt elektronisk arkiv med adgangsbegrænsning. Aflåst arkivskab til fysiske kontrakter mv.
• Fysisk mappe, løntræk, ferie, sygdom mv. (ikke følsomme oplysninger).
  
  

Følgende oplysninger må ikke sendes på almindelig mail, men kun gennem krypteret forbindelse eller via sikker mail:

• Lønsedler
• Øvrige personfølsomme oplysninger.
  
  

Videregivelse af oplysninger

Når man overlader oplysninger til en databehandler, fx til brug for lønudbetaling, er der ikke tale om videregivelse. Databehandleren behandler udelukkende oplysningerne på virksomhedens vegne, og må ikke benytte data til andet brug. 

Oplysninger om medarbejdere videregives udelukkende som led i ansættelsesforholdet, eller for at overholde offentligretlige forpligtelser. Således videregives oplysninger til:

• SKAT
• Statistik
• Jobcenter/sygedagpenge
• Pensionsselskaber

Enhver anden videregivelse må kun ske på baggrund af medarbejderens samtykke. Eksempelvis ved tilmelding til sundhedsordning via Mølholm Forsikring, herunder Dansk Tandforsikring.

Videregivelse af oplysninger internt i virksomheden bør kun ske, hvis det er nødvendigt for at opfylde ansættelsesretligt krav, eller hvis medarbejderen har givet samtykke til videregivelse.

Sletning og ajourføring

Persondataoplysninger må opbevares, så længe vi har et begrundet behov for at opbevare oplysningerne. Vi opbevarer følgende kategorier af oplysninger i rekrutteringsfasen:

• Ansøgning
• CV
• Anbefalinger
• Sletning af ansøgninger sker løbende, og opbevares elektronisk i max 6 måneder fra
• modtagelsen.

Vi opbevarer følgende kategorier af oplysninger – i hele ansættelsesperioden:

• Ansættelseskontrakter – nuværende medarbejder
• Medarbejderoplysninger
• Samtykkeerklæringer
• Kopi kørekort
• Kopi af kursusbeviser
  
  

Vi opbevarer følgende kategorier af oplysninger – i 1 år:

• Personlig virksomhedsmail

Vi opbevarer følgende kategorier af oplysninger – i 5 år:

• Bogføringsmateriale, der er afsluttet i henhold til regnskabslovgivningen
• Ansættelseskontrakter – tidligere ansatte
• Løntræk, ferie og sygdom mv.
• Løn registreringer via elektronisk registrering
• Øvrige ansættelsesretlige dokumenter, eksempelvis skriftlige advarsler.

Ansvarlig for ajourføring og sletning er regnskabsassistenten.

Brug af databehandler

Oplysninger må ikke overlades til databehandler uden godkendelse af databehandler og indgåelse af databehandleraftale. 

Direktøren har bemyndigelse til godkendelse.

Hjemmeside og cookies

Indsamling af personlige oplysninger

Du vil altid blive informeret forud for indsamling af personlige oplysninger om dig ved besøg på vores hjemmeside. De personlige oplysninger, vi indsamler, kan for eksempel omfatte dit navn, din e-mailadresse, din privatadresse og lignende identifikationsoplysninger.

Cookies

Vi anvender ikke cookies på vores hjemmeside. Dermed indsamler vi ikke informationer om dit besøg og derfor er der heller ikke en informationsboks der skal accepteres, den første gang du besøger vores hjemmeside.

Links til andre hjemmesider mv.

Vores hjemmeside kan indeholde links til andre hjemmesider eller til integrerede sites. Vi er ikke ansvarlige for indholdet af andre selskabers hjemmesider eller deres praksis i forbindelse med indsamling af personlige oplysninger. Når du besøger andre hjemmesider, opfordres du til at læse indehavernes politik med hensyn til beskyttelse af personlige oplysninger samt andre relevante politikker.

Sikkerhedsbrud

Et sikkerhedsbrud/tab af data skal øjeblikkelig rapporteres til direktøren.

Anmeldelse af sikkerhedsbruddet skal ske til datatilsynsmyndigheden inden 72 timer efter, vi er blevet bekendt med bruddet. Anmeldelsen skal foretages af direktøren, og anmeldelsen skal indeholde oplysninger om databruddets omfang og kategorien af oplysninger. Desuden underrettes de berørte personer. Virksomheden har gennemført følgende sikkerhedsforanstaltninger for beskyttelse af personoplysninger:

• Alle computere har adgangskode, og medarbejderne må ikke overlade deres adgangskoder til andre.
• Alle computere har installeret firewall og antivirusprogram, der løbende opdateres.
• Personoplysninger slettes på forsvarlig vis ved udskiftning og reparation af it-udstyr.
• USB-nøgler, eksterne harddiske mv. med personoplysninger opbevares i aflåst skuffe eller skab.
• Fysiske mapper er placeret på aflåst kontor eller i aflåste skabe.
• Personoplysninger i fysiske mapper slettes ved makulering.
• Personoplysninger, som skal sendes per e-mail til ekstern modtager, sendes som sikker mail

• Alle medarbejdere på kontoret er instrueret i behandling og beskyttelse af personoplysninger.