Skýrsla um meðferð persónuupplýsinga um umsækjendur um störf hjá Securitas

31.5.2006

Á fundi forstjóra persónuverndarstofnananna á Íslandi, í Danmörku, Noregi, Svíþjóð og Finnlandi, sem haldinn var 20. og 21. nóvember 2003, var ákveðið að framkvæma athugun á söfnun og meðferð upplýsinga um umsækjendur um störf hjá þremur aðilum í hverju landanna fimm. Skyldi tilgangurinn vera annars vegar að sannreyna hvort vinnsla persónuupplýsinga á vegum ábyrgðaraðila væri í samræmi við lög og reglur, og hins vegar að bera saman umfang vinnslunnar á milli landanna fimm. Persónuvernd ákvað að Securitas í Reykjavík yrði einn þeirra aðila sem teknir yrðu út hér á landi. Var fyrirtækinu tilkynnt um það með bréfi, dags. 29. mars 2004. Var þar tekið fram að ekki væri um hefðbundna öryggisúttekt að ræða heldur athugun sem myndi takmarkast við meðferð persónuupplýsinga sem færi fram í tengslum við ráðningar í störf og að hún væri liður í samnorrænu verkefni

Hefur verið ákveðið að afmarka athugun þessa við það hvort uppfyllt séu heimildarákvæði 8. og 9. gr. laga nr. 77/2000, fylgt meginreglum 7. gr. laganna um gæði gagna og vinnslu og uppfyllt fyrirmæli 20. gr. um fræðsluskyldu, að því leyti sem það varðar mat á því hvort unnið sé í samræmi við ákvæði 7. gr. Hins vegar verður í skýrslu þessari ekki fjallað um önnur atriði, s.s. hvort uppfyllt hafi verið ákvæði 31. og. 32. gr. um tilkynningu til Persónuverndar né með hvaða hætti ábyrgðaraðili, hér Securitas, tryggir öryggi þeirra persónuupplýsinga sem unnið er með, sbr 11.–13. gr. laganna og reglur Persónuverndar nr. 299/2001.

Skrifstofur Securitas í Síðumúla 23, Reykjavík, voru heimsóttar miðvikudaginn 14. apríl 2004 og m.a. fundað með Árna Guðmundssyni, forstöðumanni gæslusviðs Securitas. Áður höfðu fyrirtækinu verið sendar nokkrar spurningar og var þeim að hluta til svarað skriflega með skjali sem var lagt fram á fundinum. Þar voru og lögð fram afrit af atvinnuauglýsingum; sýnishorn starfsumsókna, annars vegar almennrar umsóknar um starf (fyrst og fremst um öryggisvörslustarf) og hins vegar um starf á tæknisviði; og leiðbeinandi reglur fyrir öryggisdeild vegna atvinnuauglýsinga.

Á grundvelli framangreindra gagna, sem og þeirra munnlegu upplýsinga sem fram komu á fundinum, samdi Persónuvernd lýsingu á umræddri vinnslu. Með bréfi, dags. 6. maí 2004, var hún send Árna Guðmundssyni og honum gefinn kostur á að koma að athugasemdum. Auk þess var óskað eftir frekari upplýsingum um tiltekin atriði. Óskin var ítrekuð með bréfum Persónuverndar, dags. 6. og 24. september 2004, en í síðara bréfinu var auk þess óskað skýringa á fleiri atriðum. Svar barst annars vegar með tölvupósti frá Árna Guðmundssyni hinn 15. október 2004 varðandi öflun sakavottorða, og hins vegar í símtali sama dag þar sem fram kom að í framkvæmd er ekki farið fram á að umsækjendur leggi fram læknisvottorð.

Fyrirliggjandi gögn bera með sér að á umsóknareyðublöðum eru aðallega spurningar um almenn atriði en að auk þess er spurt um viðkvæm atriði, s.s. hvort umsækjandi hafi hreint sakavottorð eða hafi verið stefnt eða refsað fyrir saknæmt athæfi. Auk þess eru þar spurningar varðandi heilsuhagi, þ. á m. um líkamshreysti. Óskað er eftir sakavottorðum þeirra umsækjenda sem taldir eru koma til greina í störf. Þá mun oft vera aflað upplýsinga úr skrá Lánstrausts hf., yfir fjárhagsmálefni og lánstraust (vanskilaskrá), um þá umsækjendur sem kemur til álita að ráða. Umsóknir eru varðveittar í þrjá til sex mánuði eftir að þær berast. Auk þess hefur Securitas þá stefnu að varðveita upplýsingar um starfsmenn í sjö ár eftir að þeir láta af störfum.

Hér að neðan verður gerð grein fyrir niðurstöðum Persónuverndar. Tekið skal fram að almennt verður ekki sérstaklega fjallað um þau tilvik sem teljast vera í samræmi við ákvæði laga nr. 77/2000.

Samkvæmt 1. mgr. 3. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda lögin um sérhverja rafræna vinnslu persónuupplýsinga og einnig um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá. Með hugtakinu persónuupplýsingar er átt við "sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi," sbr. 1. tölul. 2. gr. laganna. Þá merkir hugtakið vinnsla "sérhver[ja] aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur sem vinnslan er handvirk eða rafræn". Með vinnslu er þannig t.d. átt við söfnun og skráningu og undir það fellur m.a. flokkun, varðveisla, breyting, leit og miðlun. Samkvæmt framangreindu felur söfnun Securitas á persónuupplýsingum um umsækjendur um störf í sér vinnslu persónuupplýsinga í skilningi laga nr. 77/2000.

Öll vinnsla persónuupplýsinga þarf að eiga sér stoð í einhverju af skilyrðum 8. og, eftir atvikum, 9. gr. laga nr. 77/2000. Vinnsla almennra persónuupplýsinga þarf aðeins að eiga sér stoð í einhverju af skilyrðum 8. gr., en vinnsla viðkvæmra persónuupplýsinga, þ.e. upplýsinga sem falla undir 8. tölul. 2. gr. laganna, þarf að auki að eiga sér stoð í einhverju af skilyrðum 9. gr. Auk þessa þarf vinnsla persónuupplýsinga, almennra sem viðkvæmra, ávallt að fullnægja kröfum 7. gr. laganna. Um vinnslu Securitas á persónuupplýsingum í ljósi þess ákvæðis er fjallað í kafla 3 hér á eftir.

Eins og að framan greinir vinnur Securitas fjölþættar upplýsingar um þá einstaklinga sem sækja um störf hjá fyrirtækinu. Aðallega er unnið með almennar persónuupplýsingar, en jafnframt er unnið með viðkvæmar upplýsingar, s.s. um hvort umsækjanda hafi verið stefnt eða refsað fyrir saknæmt athæfi og um heilsuhagi hans. Slíkar upplýsingar eru viðkvæmar persónuupplýsingar.

Varðandi vinnslu Securitas á almennum persónuupplýsingum um umsækjendur kemur fyrst til skoðunar hvort hún eigi sér heimild í 1. mgr. 8. gr. laga nr. 77/2000. Þegar upplýsinganna er aflað með umsóknareyðublöðum má telja, að öðrum skilyrðum uppfylltum, að skilyrði 1. töluliðar ákvæðisins séu uppfyllt, þ.e. fyrir hendi sé samþykki til vinnslu upplýsinganna.

Hins vegar liggur fyrir að Securitas aflar almennra upplýsinga einnig frá öðrum en umsækjendum sjálfum. Er m.a. aflað upplýsinga frá meðmælendum, sem og upplýsinga um fjárhagsmálefni og lánstraust umsækjenda úr vanskilaskrá Lánstrausts hf. Upplýsinga úr þeirri skrá er aflað án þeirra vitneskju. Verður lögmæti þeirrar vinnslu því ekki stutt með vísun til 1. tölul.

Þessi vinnsla hefur, af hálfu Securitas, verið rökstudd með því að fyrirtækið verði að geta tryggt viðskiptavinum sínum að þeir öryggisverðir, sem fari inn á heimili fólks eða vinnustaði, séu heiðarlegir, en liður í að meta það sé að kanna hvort viðkomandi eigi við fjárhagsvanda að stríða. Kemur þá til skoðunar heimildarákvæði 7. tölul. 1. mgr. 8. gr. um að vinnsla geti verið heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða, sem vernda ber samkvæmt lögum, vegi þyngra. Þá ber að hafa í huga að um miðlun af hálfu Lánstrausts hf. gildir ákvæði 2. mgr. 21. gr. laga nr. 77/2000 sem skyldar félagið sjálft til þess að láta hinn skráða vita 14 dögum áður en það miðlar slíkum upplýsingum í fyrsta sinn. Einnig ber að líta til þeirra skilmála sem Lánstrausti hf. og viðskiptavinum þess ber að hlíta og tilgreindir eru í starfsleyfi sem Persónuvernd hefur veitt félaginu samkvæmt 2. gr. reglugerðar nr. 246/2001, um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, og 4. tölul. 1. mgr. 7. gr. reglna Persónuverndar nr. 90/2001, sbr. 2. mgr. 45. gr. laga nr. 77/2000.

Að virtum öllum framangreindum ákvæðum verður ekki fullyrt að Securitas skorti lagastoð fyrir öflun upplýsinganna án samþykkis umsækjendanna, þ.e. að því marki sem hún verður talin samrýmast kröfum 7. gr. laga nr. 77/2000. Hins vegar leiða reglur um fræðslu til þess, eins og fram kemur í kafla 3.1 hér á eftir, að æskilegt er að Securitas veiti, í ljósi aðstæðna, umsækjendum um störf vitneskju um þessa upplýsingaöflun í upphafi umsóknarferlis. Slík fræðsla myndi leiða til þess að gilt samþykki fyrir öflun upplýsinganna væri fyrir hendi.

Securitas hefur aflað upplýsinga um refsiverða háttsemi umsækjenda, bæði með umsóknareyðublöðum og með ósk um afhendingu sakavottorða. Þegar upplýsinganna er aflað með umsóknareyðublöðum, þ.e. beint frá umsækjanda, eru uppfyllt skilyrði 1. tölul. 1. mgr. 8. gr. og 1. tölul. 1. mgr. 9. gr. um samþykki hins skráða og vinnslan því heimil, þ.e. í þeim mæli sem hún samrýmist kröfum 7. gr. laga nr. 77/2000, sbr. kafla 3.3. Varðandi öflun upplýsinga með ósk um afhendingu sakavottorða ber að hafa í huga að umsækjandinn aflar þeirra sjálfur og afhendir Securitas. Um sakaskrá ríkisins gildir reglugerð nr. 569/1999. Um miðlun upplýsinga úr sakaskrá til hins skráða fer samkvæmt ákvæðum 8. og 9. gr. reglugerðarinnar. Af 1. mgr. 9. gr. hennar leiðir að hinn skráði fær ekki slíkt vottorð nema leggja fram skriflega og undirritaða beiðni. Af því leiðir að telja má öflun upplýsinga með ósk um afhendingu sakavottorða, að því marki sem hún getur talist nauðsynleg, sbr. kafla 3.3, sömuleiðis eiga sér stoð í 1. tölul. 1. mgr. 8. og 1. tölul. 1. mgr. 9. gr. laga nr. 77/2000. Er þá m.a. haft í huga ákvæði 2. mgr. 8. gr. reglugerðarinnar þar sem fram kemur að á sakavottorði, sem hinn skráði sækir sjálfur um, koma aðeins fram takmarkaðar upplýsingar, bæði um eðli brota og aldur upplýsinga.

Með sömu rökum telur Persónuvernd öflun upplýsinga um heilsuhagi umsækjenda með spurningum á umsóknareyðublöðum heimila, þ.e. með stoð í framangreindum ákvæðum 8. og 9. gr. laga nr. 77/2000 og að uppfylltum kröfum 7. gr. laganna, sbr. kafla 3.2. Verði slíkra upplýsinga aflað með ósk um læknisvottorð verður samþykki fyrir þeirri upplýsingaöflun að uppfylla skilyrði 7. tölul. 2. gr. laganna eins og ávallt þegar aflað er samþykkis fyrir vinnslu viðkvæmra persónuupplýsinga.

Öll vinnsla persónuupplýsinga verður að samrýmast þeim kröfum sem fram koma í 7. gr. laga nr. 77/2000. Þau skilyrði, sem einkum reynir á í þessu máli, koma fram í 1.–3. tölul. 1. mgr. 7. gr. Þar er kveðið á um að persónuupplýsingar skulu unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skal vera í samræmi við vandaða vinnsluhætti persónuupplýsinga (1. tölul.); að þær skulu fengnar í yfirlýstum, skýrum, málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.

Hér á eftir verður nánar fjallað um einstök svið vinnslunnar eftir því sem ástæða þykir til í ljósi 7. gr., sem og 20. gr. laga nr. 77/2000:

Eins og fram hefur komið verður ekki fullyrt að Securitas sé óheimil öflun upplýsinga um umsækjendur úr skrá Lánstraust hf. yfir fjárhagsmálefni og lánstraust einstaklinga. Er þá litið til þess hlutverks vissra starfsmanna Securitas að fara inn á heimili fólks og vinnustaði þar sem geymd eru verðmæti. Má því fallast á það með Securitas að fjárhagsörðugleikar kunna að rýra það traust sem menn verða að hafa til að bera til að gegna slíku starfi. Hins vegar verður að hafa í huga framangreindar reglur 7. gr. laga nr. 77/2000 sem fela í sér þá meðalhófskröfu að ekki skal unnið með persónuupplýsingar nema þess gerist þörf.

Í 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000 er sem fyrr greinir kveðið á um að vinnsla skal vera sanngjörn. Það felur m.a. í sér að vinnsla á að vera sem gagnsæjust gagnvart hinum skráða þannig að hann eigi kost á vitneskju um vinnsluna og fái, eftir atvikum, slíka vitneskju að frumkvæði þess sem vinnur með upplýsingarnar. Í 20. gr. laganna um fræðsluskyldu gagnvart hinum skráða þegar persónuupplýsinga er aflað hjá honum sjálfum er þessi gagnsæiskrafa útfærð nánar. Er þar kveðið á um að fræða skuli hinn skráða um nánar tiltekin atriði þegar svo stendur á, sem og að hinum skráða skuli veittar aðrar upplýsingar, að því marki sem þær séu nauðsynlegar, með hliðsjón af þeim sérstöku aðstæðum sem ríki við vinnslu upplýsinganna, svo að hinn skráði geti gætt hagsmuna sinna.

Unnt er á einfaldan hátt að fræða umsækjanda um hvort kannað kunni að verða hvort hann sé skráður í vanskilaskrá Lánstrausts hf., s.s. með því að greina frá því í auglýsingum um laus störf eða á umsóknareyðublöðum. Í ljósi þessa, þeirrar reglu 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000 að vinnsla skal samrýmast vönduðum vinnsluháttum, sem og eðlis umræddra persónuupplýsinga, getur vitneskja um að þeirra kunni að verða aflað verið "aðrar upplýsingar", sem umsækjanda eru nauðsynlegar til að geta gætt hagsmuna sinna í ljósi 20. gr. laga nr. 77/2000, t.d. ákveðið að sækja ekki um starf og veita fyrirtækinu því ekki um sig neinar upplýsingar. Er því æskilegt að þessi vitneskja sé veitt í tengslum við þá söfnun persónuupplýsinga frá umsækjendum sjálfum sem fram fer þegar þeir leggja fram umsókn.

Fyrir liggur að á umsóknareyðublöðum er óskað eftir upplýsingum um líkamlega og andlega heilsu umsækjanda. Er spurt um lyktarskyn, sjón, heyrn og baksjúkdóma, aðra sjúkdóma, sem umsækjandi kann að vera haldinn, hvort umsækjandi sé í góðu andlegu formi og góðu andlegu jafnvægi, og auk þess hve oft umsækjandi hefur verið frá vinnu á síðasta ári og hvers vegna. Þá er spurt hvort umsækjandi sé lofthræddur, hvort umsækjandi reyki og hvort áfengisneysla hafi verið vandamál, hvort almennt heilsufar sé gott, í meðallagi eða slæmt, og, í þeim tilvikum þegar sótt er um öryggisvarðarstarf, hvort umsækjandi sé myrkfælinn. Þessar upplýsingar geta að mestu leyti samrýmst kröfum 7. gr. varðandi umsækjendur um starf öryggisvarða. Öflun upplýsinga með umsóknareyðublöðum um líkamlega og andlega heilsu, sem og hvort umsækjandi sé myrkfælinn – sem líta má á sem sálrænt atriði, sem fella má undir heilsuhagi – getur þannig haft málefnalegan tilgang, en ætla verður að í starfi öryggisvarðar geti komið upp aðstæður þar sem reynir á líkamlega hreysti, næmi skynfæra og andlega eiginleika. Þá má líta svo á að málefnalegt geti verið að afla, með umsóknareyðublöðum, upplýsinga um áfengisneyslu til mats á umsækjendum um störf í öryggisgæslu, enda má gera ráð fyrir að þar hafi mikið vægi að umsækjandi sé allsgáður og haldi fullri athygli. Hins vegar ber, í ljósi 7. gr., að gjalda varhuga við öflun upplýsinga um "aðra sjúkdóma", sem umsækjandi kann að vera haldinn.

Þá er æskilegt að Securitas kanni hvort einhverjar þeirra heilsufarsupplýsinga, sem aflað er um umsækjendur um önnur störf en öryggisvörslu, séu ónauðsynlegar. Þarf einkum að taka afstöðu til þess hvort öflun upplýsinga með umsóknareyðublöðum um lyktarskyn, sjón, heyrn, baksjúkdóma, almennt heilsufar og lofthræðslu sé nauðsynleg þegar verið er að ráða í önnur störf en öryggisgæslu. Þá ber hér og að gjalda varhuga við öflun upplýsinga um "aðra sjúkdóma" sem umsækjandi kann að vera haldinn.

Öflun upplýsinga upplýsinga á umsóknareyðublöðum um hvort umsækjendur um störf hafi hreint sakavottorð, sem og öflun sakavottorðanna sjálfra með ósk um afhendingu þeirra, getur samrýmst kröfum 7. gr. laga nr. 77/2000, þ.e. málefnalegt getur verið að afla slíkra upplýsinga vegna eðlis þeirra starfa sem unnin eru hjá fyrirtæki sem fæst við öryggisgæslu. Þá er litið til þess að sakavottorð einstaklinga, sem þeir sækja sjálfir, eru takmörkuð hvað varðar tegundir brota, sem færð eru inn á vottorðin, og þann tíma sem liðinn er frá sakfellingu, sbr. umfjöllun í kafla 2.2.

Hins vegar skal tekið fram að viss störf hjá Securitas kunna að vera þess eðlis að ekki sé þörf á öflun sakavottorða umsækjenda um þau. Er rétt að Securitas kanni hvort svo sé ástatt um einhver störf og láti þá af öflun sakavottorða þessara tilteknu umsækjenda og eyði auk þess slíkum vottorðum um umsækjendur um slík störf, sem þegar hefur verið aflað, eða endursendi þau.

Fram hefur komið að aflað er upplýsinga um hvort umsækjanda hafi verið "stefnt" fyrir saknæmt athæfi. Orkar tvímælis að öflun upplýsinga um það eitt fái samrýmst þeim kröfum sem fram koma í 1.–3. tölul. 1. mgr. 7. gr. laga nr. 77/2000. Hafi maður verið ákærður fyrir refsivert brot en verið sýknaður er m.a. ekki unnt að líta svo á að áreiðanlegur grundvöllur sé fyrir þeirri ályktun að hann sé óhæfur til að gegna tilteknu starfi vegna brotaferils. Hafa verður hins vegar í huga að samkvæmt íslenskri réttarskipan er mögulegt að fá mann dæmdan til greiðslu skaðabóta vegna refsiverðs athæfis þó svo að hann hafi verið sýknaður í refsimáli. Sé maður dæmdur til greiðslu skaðabóta í slíku máli getur verið málefnalegt að afla upplýsinga um það frá umsækjanda sjálfum vegna ráðningar í starf sem snýr að öryggisgæslu. Tvímælis orkar að öflun upplýsinga um það eitt að manni hafi verið stefnt til greiðslu skaðabóta, og hann verið sýknaður, samrýmist framangreindum kröfum 7. gr. laga nr. 77/2000.

Fram hefur komið að umsóknir þeirra umsækjenda, sem ekki eru ráðnir, eru varðveittar í þrjá til sex mánuði eftir að þær berast. Þá hefur komið fram að rafræn skráning umsækjenda, þ.e. nafn og kennitala, er varðveitt í tvö ár. Persónuvernd telur þetta geta samrýmst meðalhófskröfum 7. gr. laga nr. 77/2000, en að æskilegt sé að veita fræðslu um varðveisluna í samræmi við 20. gr. laga nr. 77/2000. Ekki hefur komið fram hversu lengi önnur gögn um þá sem ekki eru ráðnir en umsókn, s.s. upplýsingar úr vanskilaskrá Lánstrausts hf. og sakavottorð, eru varðveitt, en mikilvægt er að huga að þessum þætti í vinnslunni í ljósi 7. gr. laga nr. 77/2000. Þá er æskilegt að veitt sé fræðsla um varðveislu þessara gagna einnig.

Fram hefur komið að Securitas hefur þá stefnu að varðveita upplýsingar um starfsmenn í sjö ár eftir að þeir láta af störfum. Ljóst er að varðveisla í tiltekinn tíma kann að vera heimil, sbr. 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, sem og 7. tölul. 1. mgr. 9. gr. sömu laga hvað viðkvæmar persónuupplýsingar varðar, þ.e. líta má svo á að nauðsynlegt sé að varðveita þær til að krafa verði afmörkuð, sett fram eða varin vegna dómsmáls eða annarra slíkra laganauðsynja. Í því samhengi má m.a. nefna að samkvæmt athugasemd við 7. tölul. 1. mgr. 9. gr. getur vinnuveitanda verið heimilt að vinna með heilsufarsupplýsingar um starfsmann til að sýna fram á lögmætar forsendur fyrir uppsögn. Þá verður slík varðveisla persónuupplýsinga að samrýmast þeim kröfum sem fram koma í 1. mgr. 7. gr. laga nr. 77/2000. Þar sem athugun þessi afmarkast hins vegar við meðferð upplýsinga um umsækjendur en ekki starfsmenn almennt verður ekki fjallað nánar um þetta atriði hér. Þó bendir Persónuvernd Securitas á að athuga, í ljósi 7. gr. laganna, hvort nauðsynlegt sé að varðveita umræddar upplýsingar svo lengi sem stefnt er að.

Í samræmi við framangreint, og í ljósi hlutverks Persónuverndar skv. 4. tölul. 1. mgr. 37. gr. laganna, vill hún hér með leiðbeina Securitas um:

a) - Að afla ekki upplýsinga um fjárhagsmálefni og lánstraust umsækjenda, nema sérstök ástæða sé til og eðli starfans kalli á slíkar upplýsingar, og greina umsækjendum frá því í upphafi ráðningarferlis að fjárhagslegur bakgrunnur þeirrra kunni að verða kannaður í vanskilaskrá Lánstrausts hf.

b) - Að gæta þess að hafa ekki á umsóknareyðublöðum spurningar um aðrar heilsufarsupplýsingar en mál- efnalegt getur talist að afla í ljósi þess starfs sem viðkomandi sækir um og láta af öflun upplýsinga um "aðra sjúkdóma" sem umsækjandi kann að vera haldinn.

c) - Að endurskoða öflun upplýsinga um hvort umsækjanda hafi verið "stefnt" fyrir saknæmt athæfi. Bent er á að hafi maður verið ákærður fyrir refsivert brot en verið sýknaður er hæpið að álykta að hann sé óhæfur til að gegna tilteknu starfi vegna brotaferils. Hafi maður hins vegar verið dæmdur til greiðslu skaðabóta vegna refsiverðrar háttsemi kann að vera málefnaleg ástæða til öflunar upplýsinga um það frá umsækjandanum.

d) - Að kanna hvort einhver störf hjá fyrirtækinu séu þess eðlis að ekki þurfi að gera kröfu um framlagningu sakavottorðs, láta af öflun sakavottorða sé hún ekki málefnaleg vegna eðlis viðkomandi starfs og eyða sakavottorðum, sem aflað hefur verið að nauðsynjalausu, eða endursenda þau.

e) - Að veita umsækjendum, sem ekki eru ráðnir, fræðslu um varðveislutíma allra þeirra persónuupplýsinga sem aflað hefur verið um þá.