Hvordan skal du som bilforhandler, værkstedsejer eller lignende virksomhed i autobranchen forholde dig til en ex-medarbejder, som vil slettes fra eksempelvis videomateriale uploaded af jeres virksomhed på YouTube eller Facebook?
En nyere afgørelse fra Datatilsynet viser, at tidligere medarbejdere har ret til at ‘blive glemt’ og dermed slettet fra eksempelvis videopræsentation af en ny bil, en autolakering eller andet materiale, hvor personen fremgår med ansigt, navn, stilling og lignende.
“Afgørelsen viser, at man hurtigst muligt som virksomhed skal reagere på henvendelsen om at blive slettet, når den tidligere medarbejder ønsker at trække sit samtykke om deltagelse i videoen tilbage”, forklarer Eylem Ünüvar, juridisk chef hos AutoBranchen Danmark.
Når samtykke trækkes tilbage
Afgørelsen fra Datatilsynet baserer sig på virksomheden DMR A/S (Dansk Miljørådgivning) og en henvendelse fra en tidligere medarbejder den 6. september 2019.
Ex-medarbejderen trak sit samtykke tilbage og ville gerne fjernes fra en række af virksomhedens videoer på YouTube, Facebook og DMR’s hjemmeside. Men over flere måneder fremgik den tidligere medarbejder stadig på videoer, hvilket fik Datatilsynet til at ytre kraftig kritik af DMR.
“Det fremgår også, at virksomheden samme dag, hvor den tidligere medarbejder retter henvendelse, lover at slette eller klippe personen ud af materialet. Det sker ikke, og derfor bryder DMR med GDPR’s artikel 17 stykke 1, også kendt som ‘retten til at blive glemt'”, siger Eylem Ünüvar.
Virksomheden DMR har efter den ytrede kritik fra Datatilsynet fjernet personen fra videomaterialet. Eylem Ünüvar tilføjer:
“Afgørelsen viser, at det er meget vigtigt, at virksomheder respekterer, hvis en tidligere medarbejder trækker sit samtykke tilbage. Så snart samtykket er trukket tilbage, skal virksomheden reagere uden unødig forsinkelse”.
Det siger loven om 'retten til at blive glemt'
GDPR artikel 17:
- Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:
- Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.
- Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), tilbage, og der er ikke et andet retsgrundlag for behandlingen.
- Den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1, og der foreligger ikke legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2.
- Personoplysningerne er blevet behandlet ulovligt.
- Personoplysningerne skal slettes for at overholde en retlig forpligtelse i EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt.
- Personoplysningerne er blevet indsamlet i forbindelse med udbud af informationssamfundstjenester som omhandlet i artikel 8, stk. 1.
Kilde: Datatilsynet og gdpr.dk
