Persondatalovens krav overses ved brug af ESPD’et

Hvis en offentlig myndighed eller privat virksomhed indhenter og behandler oplysninger om strafbare forhold for fysiske personer, kan dette i henhold til persondataloven kun gøres, efter at Datatilsynets udtalelse henholdsvis tilladelse er opnået.

Ansøgere eller tilbudsgivere i et udbud skal ved udfyldelse af ESPD'et oplyse, om der foreligger en række obligatoriske udelukkelsesgrunde. Flere af disse obligatoriske udelukkelsesgrunde vedrører, om virksomheden selv eller en person, der tilhører virksomhedens administrations-, ledelses- eller tilsynsorgan m.v., er dømt ved endelig dom eller har vedtaget bødeforlæg for en række specifikke strafbare handlinger som f.eks. deltagelse i en kriminel organisation, bestikkelse, svig og terrorhandlinger.

For at en virksomhed i et udbud kan besvare ESPD'ets felter om de obligatoriske udelukkelsesgrunde og eventuelt fremsende dokumentation for ESPD'et, er det derfor nødvendigt, at der indhentes oplysninger om eventuelle strafbare forhold fra/straffeattest for de relevante personer og/eller serviceattest for virksomheden. Serviceattest vil dog – i hvert fald p.t. – ikke dække udenlandske personer, der ikke bor i Danmark, hvorfor oplysninger svarende til en straffeattest derfor vil skulle indhentes fra disse i udlandet.

Tilsvarende vil ordregivende myndighed kunne komme til at behandle oplysninger om strafbare forhold via selve ESPD'et/dokumentationen herfor. Det er uklart, om Datatilsynet anser behandling af oplysninger om en ren straffeattest for behandling af "oplysninger om strafbare forhold".

BEHANDLINGEN AF ESPD'ET OG DOKUMENTATIONEN SKAL ANMELDES TIL DATATILSYNET
P.t. har Datatilsynet så vidt vides alene udstedt én tilladelse til en ordregivers behandling af "ESDP-dokumentation i forbindelse med udbud", og der er alene indkommet denne ansøgning til Datatilsynet. Sædvanligvis tager det op til flere måneder at opnå Datatilsynets tilladelse.

I forhold til anmeldelser til Datatilsynet bemærkes, at da ESPD'et på grund af sin udformning indeholder eller i hvert fald kan komme til at indeholde oplysninger om strafbare forhold, er det ikke kun behandlingen af ESPD-dokumentationen, men også selve behandlingen af ESPD'et, der bør anmeldes.


REGLERNE I PERSONDATALOVEN SKAL OVERHOLDES

Ud over persondatalovens reglers om anmeldelse og udtalelse/tilladelse skal de øvrige regler i persondataloven også overholdes. Her skal særligt fremhæves persondatalovens krav om behandlingshjemmel/samtykke til behandlingen, princippet om god databehandlingsskik m.v. og behandlingssikkerhed. Virksomhederne/ordregiver bør også være opmærksomme på, at oplysningerne om strafbare forhold ikke bør behandles af flere personer end højest nødvendigt, ligesom oplysninger ikke bør opbevares længere end højest nødvendigt.

Det følger også af persondataloven, at der ikke må behandles flere personoplysninger end nødvendigt. En straffeattest vil typisk indeholde oplysninger også om forhold, der ikke er omfattet af de obligatoriske udelukkelsesgrunde. Sådanne oplysninger er ikke relevante i udbudssammenhæng, og det er derfor en selvstændig problemstilling, hvordan disse oplysninger bør behandles.

Datatilsynet og Konkurrence- og Forbrugerstyrelsen har telefonisk oplyst, at der p.t. arbejdes på en snarlig praktisk løsning på/orientering om kravet om anmeldelse, tilladelser m.v. Horten vil orientere herom, når der er relevant nyt og bistår gerne med rådgivning om emnet.

---