hvad må jeg alt gemme i personalemappen for en medarbejder

Hvad der skal og ikke skal være i en personalemappe

I en personalemappe skal der være det, der er nødvendigt for at kunne udføre arbejdsforholdet: kontraktoplysninger, stilling, løn, fravær- og ferieoplysninger, evalueringer og korrespondance om ansættelsen. Det, der ikke skal være der, er oplysninger, der ikke tjener et påviseligt formål: notater om en persons privatliv, meninger om politiske præferencer, antagelser om sundhed uden for hvad der er nødvendigt til sygefraværsvejledning, eller kopier af et identitetsdokument, der opbevares længere end det formål, de blev anmodet til. Spørgsmålet er hver gang ikke "må det tilfældigvis være relevant engang", men om oplysningen faktisk er nødvendig til et konkret, navngiveligt formål inden for arbejdsforholdet.

Det betyder også, at en mappe vokser og krymper med tiden: hvad der var relevant under ansøgningen, kan være overflødigt efter ansættelsen, og oplysninger, der blev registreret under en sygdomsperiode, hører ikke uden grund til at blive i mappen efter, at personen vender tilbage til arbejde. Hvor længe oplysninger må opbevares efter at formålet er opfyldt, er beskrevet under opbevaringsfristerne for personale- og ansøgningsoplysninger. For særlige oplysninger, såsom sundhedsoplysninger, gælder en strengere standard end for almindelige personaleoplysingerne, og denne standard er beskrevet på siden om grundlaget for, at behandling er tilladt.

Hvor dette stammer fra: artikel 5 og artikel 6 i GDPR

At en personalemappe forbliver begrænset til det, der er nødvendigt, følger af artikel 5 i GDPR, hvor principperne om dataminimering og opbevaringsbegrænsning er fastsat: oplysninger opbevares ikke længere eller bredere end formålet kræver. Hvorvidt en oplysning overhovedet må behandles, afhænger af et gyldigt grundlag som nævnt i artikel 6 i GDPR — for de fleste personaleoplyninger er det nødvendigheden for at udføre arbejdsaftalen. Disse to artikler tilsammen bestemmer omfanget af mappen: intet grundlag, så ingen behandling; intet formål længere, så ingen opbevaring længere. Tilsynsmyndigheden for Data Protection giver yderligere vejledning om dette for dansk praksis, mens kernen i disse normer kommer direkte fra forordningen selv og er derfor ens i hver medlemsstat.