Advokatundersøgelse kritiseret af Datatilsynet

Et politisk parti besluttede at iværksætte en advokatundersøgelse af et folketingsmedlem. Behovet for undersøgelsen var begrundet i, at fem kvinder havde fremsat beskyldninger i pressen om seksuelle krænkelser og overgreb begået af medlemmet. Medlemmets fremtid i partiet afhang derfor af undersøgelsens udfald.

Undersøgelsen var planlagt sådan, at der ville blive afholdt frivillige interviews med både kvinderne og medlemmet. Der var tale om fortrolig rådgivning til partiet, som ikke ville blive delt.

På grund af sagens omstændigheder, blev der som led i undersøgelsen både behandlet oplysninger om seksuelle og et (muligt) strafbart forhold. Retsgrundlagene for behandlingen af oplysningerne var legitim interesse og behovet for at kunne fastlægge et potentielt retskrav.
 

Utilstrækkelig information var brud på reglerne

Selvom retsgrundlagene var i orden, havde medlemmet ikke fået tilstrækkelige oplysninger om undersøgelsens behandlingsaktiviteter. Det var et brud på oplysningspligten.

Medlemmet havde fået en generel privatlivspolitik da han blev indmeldt i partiet. Han havde også fået et link til advokatfirmaets generelle privatlivspolitik, da undersøgelsen gik i gang. Begge politikker havde til fælles at de indeholdt overordnede oplysninger, men ingen information om behandlingsaktiviteter i forbindelse med undersøgelsen.

Konsekvensen var, at medlemmet aldrig havde modtaget oplysninger om grundlaget for den legitime interesse. Han manglede derfor blandt andet oplysninger om det retsgrundlag, som størstedelen af undersøgelsen var baseret på.

IUNO mener

Datatilsynet understregede i sagen, at #MeToo undersøgelsers omfang og karakter skærper kravene til behandlingens gennemsigtighed. Det betyder, at oplysninger om behandlingsaktiviteter skal være ekstra klare og tydelige.

IUNO anbefaler, at virksomheder er forsigtige med at iværksætte interne undersøgelser af forhold på egen hånd. Det gælder især, når undersøgelsen vil omfatte følsomme oplysninger som eksempelvis seksuelle forhold, strafbare forhold, helbredsoplysninger og lignende. Vi har skrevet mere om interne undersøgelser her. Virksomheder kan med fordel etablere faste procedurer, der blandt andet tænker oplysningspligten – og andre databeskyttelsesregler – ind i processen fra start.

[Datatilsynets afgørelse i sag 2021-31-5542 af 6. september 2022]