En stillingsbesættende virksomhed skal foretage anmeldelse til Datatilsynet og indhente tilladelse, forinden behandling af personoplysninger omfattet af anmeldelsespligten i § 48 påbegyndes jf. persondatalovens § 50, stk. 1, nr. 4.

En stillingsbesættende virksomhed er en virksomhed, der erhvervsmæssigt yder tredjemand bistand ved stillingsbesættelse. Som eksempel kan nævnes et rekrutteringsbureau eller en headhunter-virksomhed. Der er således tale om formidling af stillinger.

Er medarbejderen ansat i virksomheden og sendes ud i kortere vikarstillinger, hvorefter vedkommende vender tilbage til virksomheden for at blive sendt ud i en ny vikarstilling, er der ikke tale om en stillingsbesættende virksomhed, men om et vikarbureau, og der skal ikke indhentes tilladelse efter lovens § 50, stk. 1, nr. 4.

Vikarbureauet kan dog være anmeldelsespligtigt, såfremt der behandles følsomme oplysninger om de ansatte som nævnt i lovens §§ 7 og 8, f.eks. oplysninger om medlemskab af fagforening, helbredsforhold eller strafbare forhold. Vikarbureauet skal i så fald foretage anmeldelse og indhente tilladelse til denne behandling, jf. § 50, stk. 1, nr. 1, jf. § 48.

Driver virksomheden både stillingsbesættende virksomhed og vikarbureau, skal der foretages anmeldelse og indhentes tilladelse til den stillingsbesættende virksomhed og eventuelt foretages anmeldelse af vikarbureauet, hvis dette behandler følsomme oplysninger, jf. §§ 7 og 8.

Virksomheden må ikke behandle oplysninger om enkeltpersoners racemæssige eller etniske baggrund, politisk, religiøs eller filosofisk overbevisning, oplysninger om seksuelle og strafbare forhold samt misbrug af nydelsesmidler.

Oplysninger om enkeltpersoners helbredsmæssige forhold, væsentlige sociale problemer, foreningsmæssige forhold, resultater af personlighedsanalyser og psykologiske tests samt andre rent private forhold end de ovenfor nævnte må behandles, hvis den registrerede har givet sit udtrykkelige samtykke hertil.

Samtykket kan til enhver tid tilbagekaldes, hvilket virksomheden skal gøre den pågældende bekendt med i forbindelse med indhentelsen af samtykket.

Det er endvidere en betingelse for behandlingen, at de nævnte oplysninger er relevante og nødvendige for vurderingen af stillingsbesættelsen.

Andre oplysninger må behandles, hvis de efter deres art er nødvendige for vurderingen af stillingsbesættelsen.

Oplysninger om personer må kun videregives, når den registrerede i hvert enkelt tilfælde har meddelt sit udtrykkelige samtykke til videregivelsen, eller adgangen til videregivelse følger af anden lovgivning. Et samtykke kan til enhver tid tilbagekaldes, hvilket virksomheden skal gøre den pågældende bekendt med i forbindelse med indhentelsen af samtykket.

Hvis virksomheden indsamler oplysninger om en person hos andre end den pågældende selv, og den pågældende person indgår i virksomhedens emnebank, kartotek eller lign., skal virksomheden give meddelelse herom til den pågældende. Meddelelsen skal gives i forbindelse med indsamlingen eller, hvor de indsamlede oplysninger er bestemt til videregivelse til tredjemand, senest når videregivelsen finder sted. Meddelelsen skal indeholde oplysning om virksomhedens navn og adresse, formålet med den behandling, hvortil oplysningerne er bestemt, hvilken type oplysninger det drejer sig om, kategorien af modtagere af oplysningerne, retten til indsigt samt klageadgang til Datatilsynet jf. persondatalovens §§ 28 og 29.

Hvis virksomheden til brug for en konkret stillingsbesættelse for en klient indsamler oplysninger om en person hos andre end den pågældende selv, og den pågældende person ikke indgår i virksomhedens emnebank, kartotek eller lign., kan virksomheden undlade at give meddelelse. Det er en forudsætning herfor, at det efter en konkret vurdering må antages, at personens interesser i at få meddelelse findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende person selv, jf. persondatalovens § 30, stk. 1.