Efter drøftelser i Datarådet har Datatilsynet besluttet ikke at foretage videre i sagen. Baggrunden herfor er navnlig følgende:

Radikale Venstre har oplyst og nærmere redegjort for, at der ikke i forbindelse med brugen af cookies under valgkampagnen er sket behandling, herunder indsamling, af personoplysninger omfattet af persondataloven. Det er oplyst bl.a., at der ikke er sket indsamling af ip-adresser, og at det ikke er muligt for Radikale Venstre eller andre at sammenholde informationer indsamlet ved hjælp af cookies med personoplysninger, der med den pågældendes samtykke er indtastet på hjemmesiden valg.radikale.dk.

Ud fra de oplysninger, som Datatilsynet har modtaget, lægger tilsynet til grund, at de indsamlede cookieinformationer ikke har været delt med tredjemand. Det gælder både informationer indsamlet af Radikale Venstre og informationer indsamlet af medier, som Radikale Venstre samarbejdede med.

Endelig lægger Datatilsynet til grund, at de virksomheder, som Radikale Venstre har samarbejdet med, har slettet de indsamlede informationer.

På baggrund af navnlig ovenstående oplysninger, og da der ikke i øvrigt er fremkommet oplysninger, som kunne give anledning til yderligere undersøgelser, har Datatilsynet truffet sin beslutning om ikke at foretage yderligere i sagen.

Datatilsynet understreger, at selv om Radikale Venstre i forbindelse med brugen af cookies ikke har haft til hensigt at indsamle oplysninger om identificerbare enkeltpersoner og heller ikke er kommet i besiddelse af oplysninger, som gør det muligt umiddelbart at identificere enkeltpersoner, kan det ikke udelukkes, at visse af de indsamlede cookieinformationer kan henføres til enkeltpersoner, som kan identificeres. Dette vil være tilfældet, hvis det i kraft af indsamlede oplysninger alligevel er muligt at identificere den pågældende person, jf. herved persondatalovens § 3, nr. 1. Datatilsynet kan ikke ud fra de foreliggende oplysninger afgøre, om der i Radikale Venstres kampagne er eksempler på, at dette har fundet sted.

Datatilsynet betragter herefter sagen som afsluttet.

Efter telefoniske drøftelser mellem dig og Datatilsynet er anmeldelserne samlet til én anmeldelse, og tilsynet har efter aftale med dig foretaget enkelte rettelser i anmeldelsen.

Behandlingens formål er ifølge anmeldelsen at formidle information om forskellige brancher, herunder allerede offentliggjorte nævnsafgørelser, i forbindelse med valg af professionel assistance med henblik på at give brugerne en let og overskuelig adgang til disse oplysninger.

Det fremgår af den generelle beskrivelse af behandlingen, at der på Etik Portalerne ApS’ hjemmeside, ”Etik Portalen”, offentliggøres kontaktoplysninger til den enkelte virksomhed, herunder advokater, revisorer, banker mfl., og oplysninger om virksomhedernes specialeområder samt nævnsafgørelser (allerede offentliggjorte afgørelser i adfærds- og honorarklagesager).

Det fremgår, at der behandles oplysninger om advokater, revisorer, sundhedspersoner, ejendomsmæglere og forsikringsselskaber.

Om registrerede personer, herunder enkeltmandsejede virksomheder, behandles der oplysninger om arbejdsadresser, telefonnumre, mailadresser og specialeområde. Der behandles endvidere oplysninger om nævnsafgørelser, som kan indeholde oplysninger om strafbare forhold og andre rent private forhold.

Om sikkerhedsforanstaltningerne er det oplyst, at oplysningerne, der alene behandles elektronisk, er beskyttet med adgangskode, firewall og antivirusprogram. Oplysninger, der ikke findes på Etik Portalerne ApS’ officielle hjemmeside, er endvidere beskyttet med kryptering.

Om sletning er det oplyst, at oplysningerne senest slettes efter 36 måneder.

2. Datatilsynet skal – efter at sagen har været behandlet på et møde i Datarådet – udtale følgende:

2.1. De oplysninger om advokater, revisorer, sundhedspersoner og ejendomsmæglere, herunder afgørelser i klage- og tilsynssager, som Etik Portalerne ApS offentliggør på sin hjemmeside, er omfattet af persondatalovens¹ § 1, stk. 1.

Persondataloven gælder således ifølge § 1, stk. 1, bl.a. for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling.

Det bemærkes særligt, at oplysninger vedrørende enkeltmandsejede virksomheder anses for personoplysninger omfattet af loven.

2.2. Persondataloven finder ikke anvendelse, hvis det vil være i strid med informations- og ytringsfriheden, jf. Den Europæiske Menneskerettighedskonventions artikel 10. Det fremgår af persondatalovens § 2, stk. 2.

Ved vurderingen af om personoplysninger må offentliggøres f.eks. på internettet, skal hensynet til informations- og ytringsfriheden således tages i betragtning. Der skal efter Datatilsynets opfattelse foretages en konkret afvejning af på den ene side hensynet til beskyttelsen af privatlivet og på den anden side hensynet til informations- og ytringsfriheden med henblik på at sikre, at persondatalovens regler ikke unødigt medfører indskrænkninger i disse frihedsrettigheder.

Under henvisning hertil og til bestemmelserne om interesseafvejning i persondatalovens § 6, stk. 1, nr. 7, og § 8, stk. 4 og 5, finder Datatilsynet, at Etik Portalerne ApS kan få tilladelse til at omtale allerede lovligt offentliggjorte afgørelser i klage- og tilsynssager vedrørende advokater, revisorer, sundhedspersoner og ejendomsmæglere under følgende forudsætninger og vilkår fastsat i henhold til persondatalovens § 50, stk. 5:

2.3. For så vidt angår den tidsmæssige begrænsning for offentliggørelse, jf. vilkår 1, har Datatilsynet lagt vægt på, at der ved reglerne om offentliggørelse af afgørelser mv. i klage- og tilsynssager på de respektive områder er foretaget en afvejning af, i hvilke tilfælde der er en sådan samfundsinteresse i, at sagerne offentliggøres, at hensynet til den enkelte person må vige herfor. Offentliggørelsen på Etik Portalen kan derfor efter tilsynets opfattelse ikke udstrækkes ud over de perioder, som er fastsat i reguleringen på de pågældende områder.

Ovennævnte forudsætninger og vilkår er gældende indtil videre. Datatilsynet forbeholder sig ret til senere at tage disse op til revision, hvis der skulle vise sig behov for det.

2.4. De fastsatte forudsætninger og vilkår er supplerende i forhold til reglerne i persondataloven samt i visse tilfælde udtryk for en præcisering af lovens regler. Det skal derfor understreges, at reglerne i persondataloven i øvrigt finder anvendelse.

Datatilsynet skal særligt gøre opmærksom på, at registrerede personer har en række rettigheder efter persondatalovens §§ 28-29, § 31, § 35 og § 37. Datatilsynet kan i den forbindelse henvise til rettighedsvejledningen³.

Tilsynet gør endvidere opmærksom på, at persondataloven også finder anvendelse på den behandling, der finder sted forud for offentliggørelsen. Persondataloven finder f.eks. anvendelse på elektronisk behandling, der sker ved redigering af afgørelser, hvor persondatalovens sikkerhedsregler, herunder § 41, også skal iagttages.

2.5. Datatilsynet er indstillet på at meddele tilladelse på de anførte vilkår og under forudsætning af, at persondatalovens regler, jf. ovenfor, iagttages i forbindelse med Etik Portalerne ApS’ virksomhed.

3. Afsluttende bemærkninger
Eventuelle ændringer i de forhold, der er omfattet af anmeldelsen, skal meddeles Datatilsynet i overensstemmelse med persondatalovens § 51.

Datatilsynet gør opmærksom på, at gebyr for tilladelsen udgør 1.000 kr., jf. persondatalovens § 63, stk. 2, nr. 2⁴. 

Beløbet bedes indbetalt til Danske Bank, Holmens Kanal 2-12, 1092 København K, registreringsnummer 0216 kontonummer 4069058132.

Der bedes i den forbindelse henvist til Datatilsynets journalnummer (se forsiden af dette brev), således at Datatilsynet kan identificere indbetalingen.

Endelig tilladelse vil blive udstedt, når Datatilsynet har modtaget betaling.

Datatilsynet kan afslutningsvis oplyse, at persondataloven med tilhørende bekendtgørelser og vejledninger kan læses/hentes på Datatilsynets hjemmeside www.datatilsynet.dk under punktet “Lovgivning”.

Bilag 1: Sikkerhedsregler for behandling af personoplysninger

1. Generelle sikkerhedsbestemmelser
1.1. Den dataansvarlige skal fastsætte nærmere interne bestemmelser om sikkerhedsforanstaltninger i virksomheden til uddybning af de regler, der fremgår af dette bilag. Bestemmelserne skal navnlig omfatte organisatoriske forhold og fysisk sikring, herunder sikkerhedsorganisation, administration af adgangskontrolordninger og autorisationsordninger samt kontrol med autorisationer. Der skal endvidere fastsættes instrukser, som fastlægger ansvaret for og beskriver behandling og destruktion af ind- og uddatamateriale samt anvendelse af edb-udstyr. Desuden skal der fastsættes retningslinier for tilsyn med overholdelsen af de sikkerhedsforanstaltninger, der er fastsat for virksomheden. De interne bestemmelser skal gennemgås mindst én gang hvert år med henblik på at sikre, at de er fyldestgørende og afspejler de faktiske forhold i virksomheden.

1.2. Den dataansvarlige skal give den fornødne instruktion til de medarbejdere, som behandler personoplysningerne. Medarbejderne skal herunder gøres bekendt med de regler, der er fastsat i medfør af punkt 1.1.

1.3. På steder, hvor der foretages behandling af personoplysninger, skal der træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til oplysningerne.

1.4. I forbindelse med reparation og service af dataudstyr, der indeholder personoplysninger, samt ved salg og kassation af anvendte datamedier skal der træffes de fornødne foranstaltninger for at sikre, at persondatalovens § 41, stk. 3, overholdes.

2. Autorisation og adgangskontrol
2.1. Kun de personer, som autoriseres hertil, må have adgang til personoplysninger. Autorisationer til adgang til personoplysninger, der behandles ved hjælp af edb, skal angive, i hvilket omfang brugeren må forespørge, inddatere eller slette personoplysninger. De enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.

2.2. Der må kun autoriseres personer, der er beskæftiget med de formål, hvortil personoplysningerne behandles, samt personer, for hvem adgang til oplysningerne er nødvendig med henblik på revision eller drifts- og systemtekniske opgaver.

2.3. Det skal sikres, at de autoriserede personer fortsat opfylder betingelserne i punkt 2.1. og 2.2. Kontrol heraf skal foretages mindst en gang hvert halve år.

2.4. Der skal træffes foranstaltninger for at sikre, at kun autoriserede brugere kan få adgang til personoplysninger, og at disse kun kan få adgang til de personoplysninger og anvendelser, som de er autoriserede til.

2.5. Der skal foretages registrering af alle afviste forsøg på adgang til edb-systemer med personoplysninger. Hvis der registreres et nærmere fastsat antal på hinanden følgende afviste adgangsforsøg fra samme arbejdsstation eller med samme brugeridentifikation, skal der blokeres for yderligere forsøg.

¹Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer.

²Den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer uvedkommende til kendskab, misbruges eller i øvrigt behandles i strid med loven. Tilsvarende gælder for databehandlere.

³Vejledning nr. 126 af 10. juli 2000 om registreredes rettigheder efter reglerne i kapitel 8-10 i lov om behandling af personoplysninger.

⁴Idet ansøgningen er indgivet før den 1. januar 2013.

2. Sagsfremstilling
2.1. Det fremgår af sagen, at AvMinTand ApS på hjemmesiden bl.a. offentliggør afgørelser fra klage- og tilsynssager, der er eller har været offentliggjort på hjemmesiderne sundhed.dk og patientombuddet.dk efter reglerne om offentliggørelse af afgørelser mv. i klage- og tilsynssager på sundhedsområdet¹.

AvMinTand ApS har oplyst, at oplysningerne på AvMinTand’s hjemmeside ajourføres i takt med opdateringerne på de nævnte hjemmesider, men at der ingen sletning sker, medmindre hjemmesiderne har opgivet forkerte oplysninger.

2.2. Tandlægeforeningens bemærkninger
Tandlægeforeningen har anført, at den omhandlede offentliggørelse er yderst krænkende for foreningens medlemmer, som efter foreningens opfattelse har krav på beskyttelse af personlige oplysninger.

Tandlægeforeningen har endvidere anført, at en del af de afgørelser, der er offentliggjort på AvMinTand’s hjemmeside, ikke længere findes offentliggjort på de hjemmesider, hvorfra de er hentet.

2.3. AvMinTand ApS’ bemærkninger
AvMinTand ApS har oplyst, at formålet med offentliggørelsen af afgørelserne er at gøre oplysningerne lettere tilgængelige for patienterne.

AvMinTand ApS har anført, at afgørelserne offentliggøres med hjemmel i persondatalovens § 9 om retsinformationssystemer og § 2, stk. 8, om informationsdatabaser.

3. Datatilsynet skal – efter at sagen har været behandlet i Datarådet – udtale følgende:

3.1. De oplysninger om tandlæger, herunder afgørelser i klage- og tilsynssager, som AvMinTand ApS offentliggør på sin hjemmeside, er omfattet af persondatalovens² § 1, stk. 1.

Persondataloven gælder således ifølge § 1, stk. 1, bl.a. for behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling.

Det bemærkes herved, at oplysninger vedrørende enkeltmandsejede virksomheder anses for personoplysninger omfattet af loven.

3.2. Persondataloven finder ikke anvendelse, hvis det vil være i strid med informations- og ytringsfriheden, jf. Den Europæiske Menneskerettighedskonventions artikel 10. Det fremgår af persondatalovens § 2, stk. 2.

Ved vurderingen af om personoplysninger må offentliggøres f.eks. på internettet, skal hensynet til informations- og ytringsfriheden således tages i betragtning. Der skal efter Datatilsynets opfattelse foretages en konkret afvejning af på den ene side hensynet til beskyttelsen af privatlivet og på den anden side hensynet til informations- og ytringsfriheden med henblik på at sikre, at persondatalovens regler ikke unødigt medfører indskrænkninger i disse frihedsrettigheder.

Der henvises til vurderingen nedenfor under pkt. 3.4.

3.3.1. AvMinTand Aps har henvist til persondatalovens § 2, stk. 8, som grundlag for offentliggørelsen af de omhandlede oplysninger på sin hjemmeside.

Af denne bestemmelse fremgår, at persondataloven ikke gælder for informationsdatabaser, hvori der udelukkende er indlagt allerede offentliggjorte periodiske skrifter eller lyd- og billedprogrammer, der er omfattet af medieansvarslovens § 1, nr. 1 eller 2, eller dele heraf, når indlæggelsen i informationsdatabasen er sket uændret i forhold til offentliggørelsen. Dog gælder bestemmelserne i persondatalovens §§ 41, 42 og 69.

Datatilsynet er ikke enig i, at hjemmesiden kan anses for en informationsdatabase som omtalt i persondatalovens § 2, stk. 8, og dermed undtaget fra persondatalovens almindelige regulering. Tilsynet har herved lagt vægt på, at den omhandlede hjemmeside ikke ses udelukkende at indeholde allerede offentliggjorte periodiske skrifter mv.

3.3.2. AvMinTand Aps har endvidere henvist til persondatalovens § 9, stk. 1, som grundlag for offentliggørelsen af afgørelser i klage- og tilsynssager vedrørende de omhandlede tandlæger.

Persondatalovens § 9 omhandler såkaldte retsinformationssystemer og heraf fremgår, at følsomme oplysninger omfattet af lovens § 7, stk. 1, eller § 8 må behandles, hvis dette alene sker med henblik på at føre retsinformationssystemer af væsentlig samfundsmæssig betydning, og hvis behandlingen er nødvendig for førelsen af systemerne.

Det følger af forarbejderne til denne bestemmelse, at:

”Bestemmelsen i stk. 1 indebærer, at oplysninger, der er omfattet af § 7, stk. 1, eller § 8 kan behandles med henblik på at føre retsinformationssystemer af væsentlig samfundsmæssig betydning. Dette vil navnlig være systemer, som er til rådighed for en bredere kreds af abonnenter for at sikre en ensartet retsanvendelse.”

Datatilsynet finder, at AvMinTand ApS’ offentliggørelse af de pågældende afgørelser i klage- og tilsynssager ikke kan anses for et retsinformationssystem omfattet af persondatalovens § 9, stk. 1.

Datatilsynet har herved lagt vægt på, at det formål, som AvMinTand ApS har oplyst at forfølge med offentliggørelsen af de pågældende afgørelser – at samle og gøre oplysninger om den enkelte tandlæge tilgængelige – afviger væsentligt fra det formål, der karakteriserer retsinformationssystemer.

3.4. Spørgsmålet om, hvorvidt de omhandlede oplysninger om tandlæger lovligt kan offentliggøres på AvMinTand’s hjemmeside – uden de pågældende personers samtykke – må efter Datatilsynets opfattelse vurderes i forhold til lovens almindelige behandlingsregler i §§ 6-8.

Ud fra det oplyste er det Datatilsynets vurdering, at de pågældende oplysninger om tandlægerne helt overvejende er ikke-følsomme oplysninger omfattet af persondatalovens § 6, men at der kan forekomme enkelte følsomme personoplysninger, herunder om strafbare forhold, jf. persondatalovens § 8.

Det bemærkes herved, at oplysninger om navn, arbejdsadresse, profession og disciplinærsager anses for omfattet af persondatalovens § 6³.

Som anført ovenfor under pkt. 3.2. skal hensynet til informations- og ytringsfriheden tages i betragtning, og under henvisning hertil og til bestemmelserne om interesseafvejning i persondataloven finder Datatilsynet, at AvMinTand ApS – inden for visse rammer – kan omtale allerede lovligt offentliggjorte personoplysninger om tandlægerne, herunder afgørelser i klage- og tilsynssager, på sin hjemmeside.

Datatilsynet har således ikke generelt grundlag for at fastslå, at hensynet til de omtalte tandlæger overstiger AvMinTand ApS’ interesse i at formidle de omhandlede oplysninger som led i den samlede forbrugerinformation, der gives på den pågældende hjemmeside. Tilsynet har herved navnlig lagt vægt på, at oplysningerne er lovligt offentliggjort af offentlige myndigheder og er tilgængelige for alle på internettet i en vis periode.

Datatilsynet finder imidlertid, at offentliggørelse af de omhandlede afgørelser i klage- og tilsynssager ikke kan ske på AvMinTand’s hjemmeside ud over den periode, hvor de er tilgængelige på de relevante myndigheders hjemmesider.

Datatilsynet har herved lagt vægt på, at der ved reglerne om offentliggørelse af afgørelser mv. i klage- og tilsynssager på sundhedsområdet er foretaget en afvejning og dermed en politisk vurdering af, i hvilke tilfælde der er en sådan samfundsinteresse i, at sagerne offentliggøres, at hensynet til den enkelte person må vige herfor.
Offentliggørelsen kan derfor efter tilsynets opfattelse ikke udstrækkes ud over de perioder, som er fastsat i lovgivningen. 

På AvMinTand’s hjemmeside er der offentliggjort afgørelser, som efter de gældende regler ikke længere er offentliggjort på myndigheders hjemmesider, ligesom AvMinTand ApS har oplyst, at der ikke sker sletning af oplysningerne, medmindre hjemmesiderne har opgivet forkerte oplysninger.

Under henvisning til det anførte finder Datatilsynet, at AvMinTand ApS skal ophøre med at offentliggøre de klage- og tilsynssager, som ikke længere er omfattet af offentliggørelsesordningen på sundhedsområdet.

Datatilsynet skal anmode AvMinTand Aps om inden 4 uger at bekræfte, at de omhandlede oplysninger er slettet fra AvMinTand’s hjemmeside.

4. Hvis AvMinTand ApS fremadrettet fortsat ønsker at offentliggøre klage- og tilsynssager, som er omfattet af offentliggørelsesordningen på sundhedsområdet, skal denne behandling af personoplysninger om tandlægerne ske inden for rammerne af en tilladelse efter persondatalovens § 50, stk. 1, nr. 1, jf. § 48.

AvMinTand ApS kan således ikke lovligt behandle og gengive de pågældende afgørelser uden forudgående anmeldelse til og tilladelse fra Datatilsynet.

Datatilsynet skal derfor anmode AvMinTand ApS om snarest at indgive en ansøgning om tilladelse til den omhandlede behandling af personoplysninger. Ansøgning bedes indgivet på elektronisk blanket på www.datatilsynet.dk.

Datatilsynet vil i forbindelse med en sådan tilladelse normalt stille en række vilkår, jf. persondatalovens § 50, stk. 5, bl.a. om it-sikkerhed og andre forhold, som skal iagttages for at overholde persondatalovens krav.

Det bemærkes, at behandling af personoplysninger uden fornøden tilladelse fra Datatilsynet er strafsanktioneret efter persondatalovens § 70, stk. 1, nr. 1.

5. Det bemærkes, at Datatilsynet ikke med sin afgørelse har taget stilling til eventuelle spørgsmål om ophavsret i forbindelse med offentliggørelsen af oplysninger om tandlægerne.

Datatilsynet skal endelig beklage den ekstraordinært lange sagsbehandlingstid, der skyldes stor travlhed i tilsynet.

Kopi af dette brev er dags dato sendt til Tandlægeforeningen.

Kopi af Datatilsynets brev af dags dato til Tandlægeforeningen vedlægges til orientering.

¹ Bekendtgørelse nr. 1445 af 15. december 2010, udstedt i medfør af § 17 i lov om klage- og erstatningsadgang inden for sundhedsvæsenet, jf. lovbekendtgørelse nr. 1113 af 7. november 2011.

² Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer.

³ Betænkning nr. 1516/2010 om offentlige myndigheders offentliggørelse af kontrolresultater, afgørelser mv., side 113f. Se også Datatilsynets udtalelse af 5. januar 2006 til Patientforeningen, j.nr. 2005-216-0250, offentliggjort på http://www.datatilsynet.dk

2. Ribe Stift har oplyst, at der i flere kirker i Ribe Stift er blevet opstillet AV-udstyr, der gør det muligt at transmittere kirkelige handlinger, herunder gudstjenester, dåbshandlinger og nadverhandlinger, ligesom det er muligt at vise disse på skærme i kirken, mens gudstjenesten er i gang.  

Formålet med transmissionen er at give personer, der er forhindret i at være fysisk til stede i kirken, mulighed for at følge kirkelige handlinger.

Det vil ved indgangen til den pågældende kirke tydeligt blive angivet ved skiltning, at der foretages transmission fra kirken.

Transmissionen foregår ved, at der i kirkens loft er monteret et kamera, der kan panoreres rundt i kirken til seks faste funktioner. Billederne kan vises på skærmene i kirken samt videresendes til det lokale plejehjem. Kameraet lagrer ikke billederne.

Menighedsrådet har hidtil kun videresendt optagelser fra alteret, prædikestolen samt orglet til plejehjemmene og har på kirkens skærme kun vist salmenumre, men ikke optagelser fra gudstjenesten.

Der er altså ikke blevet transmitteret optagelser af personer ud over kirkens personale, dvs. primært præsten.

Ribe Stift har endvidere oplyst, at folkekirkens gudstjenester er offentlige, således at alle kan få adgang til at overvære eller deltage i gudstjenesterne.

3. På baggrund heraf har Ribe Stift stillet Datatilsynet følgende spørgsmål:

• Om der kan foretages direkte transmission af gudstjenester til andre lokaliteter, herunder plejehjem,
• om der kan foretages direkte transmission af dåbshandlinger, således at dåbsbarn, forældre og faddere ses på billederne,
• om der kan foretages direkte transmission af nadverhandlinger, således at nadvergæster ses på billederne, og
• om optagelser af dåb og nadvergang kan vises internt på kirkens skærme.

4. Sagen har været behandlet på et møde i Datarådet, og Datatilsynet udtaler herefter følgende:

4.1. Datatilsynet lægger til grund, at det er menighedsrådene, der i forhold til persondataloven er ansvarlige for den behandling af personoplysninger, der finder sted i forbindelse med transmissionen af gudstjenester og visning på skærme i kirken. 

Efter persondataloven¹  er det derfor i første række op til menighedsrådet konkret at foretage en afvejning af den interesse, der forfølges med den påtænkte databehandling, i forhold til de hensyn, som på den anden side skal tages til de personer, der berøres.

I denne vurdering kan menighedsrådet efter Datatilsynets opfattelse inddrage forskellige hensyn. Det kan tillægges vægt, at der er offentlig adgang for alle til kirken, og at der kun påtænkes transmission til en begrænset modtagerkreds ud over de tilstedeværende. For så vidt angår visning på skærme i kirken er der alene tale om en anden form for formidling af den information, som kirkegængere allerede har adgang til ved at være til stede under gudstjenesten. 

Datatilsynets umiddelbare vurdering er, at persondataloven ikke er til hinder for, at menighedsrådet beslutter at foretage transmission af live-billeder af kirkegængere, der deltager i gudstjeneste, herunder i nadverhandlinger, til andre konkrete lokaliteter, herunder plejehjem, ligesom live-billeder vil kunne vises på skærme i kirken.

Det er imidlertid Datatilsynets opfattelse, at det vil være velbegrundet at sikre kirkegængere en mulighed for at vælge, om de ønsker at deltage i en sådan transmission. Eventuelt ved at områder af kirken ikke omfattes af transmissionen af live-billeder, eller ved, at der gennemføres gudstjenester uden transmission. Under alle omstændigheder bør der meget klart informeres om, hvornår og hvordan der sker transmission, således at man har mulighed for at fravælge at deltage i gudstjenester, herunder nadverhandlinger, hvor der foretages transmission af live-billeder. 

4.2. Ved dåbshandlinger må der som minimum gives klar og tydelig information til faddere og dåbsvidner forud for transmissionen² . I forhold til den døbte (for små børn ved forældremyndighedsindehaver) finder Datatilsynet, at det må anses for nødvendigt at indhente udtrykkelig accept til transmission af live-billeder af selve dåbshandlingen til andre lokaliteter³.
 
4.3. For så vidt angår ansatte i kirken er det Datatilsynets opfattelse, at disse bør høres, inden det besluttes at foretage live-transmission til andre lokaliteter⁴.

5. Datatilsynets udtalelse er af vejledende karakter. Tilsynet må forbeholde sig sin stillingtagen i tilfælde af en konkret klage- eller tilsynssag.

Det skal for god ordens skyld oplyses, at tilsynet forventer at offentliggøre dette svar på sin hjemmeside

¹ § 6, stk. 1, nr. 7, og § 5
² Jf. persondatalovens § 5 og § 6, stk. 1, nr. 7.
³ Jf. persondatalovens § 7, stk. 2, nr. 1.
⁴ Datatilsynet har ikke kompetence til at vurdere eventuelle ansættelsesretlige spørgsmål i denne sammenhæng.

To beboere (herefter klagerne) har klaget over, at Tranemosegård afd. 13 har udvidet anvendelsen af tv-overvågning, der foretages i afdelingen. Ud over kriminalitetsforebyggelse og opklaring skal optagelserne fra tv-overvågningen også kunne anvendes ved alvorlige og/eller gentagende overtrædelser af boligafdelingens husorden.

Klagerne har bl.a. gjort gældende:

• at denne udvidet brug af optagelser krænker privatlivets fred,
• at brugen af optagelser kun kan ske, når der er foregået noget kriminelt med henblik på udlevering til politiet, og
• at tv-overvågningen oprindeligt blev iværksat efter, at der havde været nogle brænde i en kælder, og at der efter klagernes opfattelse – ud over brandene i kælderen – ikke foregår kriminalitet i boligområdet, som berettiger tv-overvågning, samt at husordenssager ikke er kriminalitet.

Bo-Vest har på vegne af Tranemosegård afd. 13 bl.a. gjort gældende:

• at boligorganisationen har en forpligtelse til at sørge for god ro og orden i afdelingen, jf. almenlejelovens § 80, stk. 1,
• at en klagesag skal forelægges for et kontroludvalg, som vil blive adspurgt, om de finder benyttelsen af optagelser fra tv-overvågningen proportional set i forhold til den konkrete overtrædelse af gældende husorden,
• at der er en række forhold i afdelingens husorden, hvor tv-overvågning ikke benyttes. Det gælder f.eks. hold af hund, hvis en person spytter i opgangen eller identifikation af hvem, der har placeret en skraldepose i elevatoren,
• at optagelser kun vil blive gennemgået, hvis der foreligger en konkret begrundelse – eksempelvis en henvendelse fra politiet, anden myndigheden eller ved konstatering af omfattede hærværk, og
• at billeder der udtages af systemet ved eksempelvis printning kun overdrages til politi, anden myndighed eller medarbejdere i organisationen, der skal bruge billederne til bevisførelse eksempelvis i sager om erstatning for omfattende hærværk.

Datatilsynet skal herefter udtale følgende:

Etablering af tv-overvågning

Om der kan iværksættes tv-overvågning inden i en bebyggelse og på arealer omkring en bebyggelse, som ikke benyttes til almindelig færdsel, skal afgøres efter persondataloven.

Tv-overvågningen blev ifølge det oplyste oprindeligt opsat med det formål at bekæmpe kriminalitet i afdelingens kældre og trappeopgange. Det skete efter, at der tidligere havde været en række påsatte brænde.

Datatilsynet må således lægge til grund, at afdelingens etablering af tv-overvågning var begrundet i alvorlig kriminalitet, idet der konkret har været tale om påsatte brænde. Tilsynet vurderer derfor, at etableringen af tv-overvågning er sket inden for rammerne af persondataloven.

Brug af optagelser i husordenssager

Persondatalovens regler skal tages i betragtning, hver gang man vil anvende optagelser eller billeder fra tv-overvågning.

Datatilsynet har udarbejdet en vejledning om tv-overvågning i boligorganisationer. Vejledningen vedlægges til orientering.

I vejledningens afsnit 5 beskrives det emne, som er rejst i denne klagesag, nemlig anvendelse af optagelser og billeder fra tv-overvågning. Det fremgår bl.a.:

Datatilsynet forudsætter, at retningslinjerne i vejledningen iagttages i forbindelse med Tranemosegård afd. 13’s anvendelse af optagelser fra tv-overvågningen.

Kopi af dette brev er sendt til klagerne til orientering.

Det skal for god ordens skyld oplyses, at Datatilsynet forventer at offentliggøre dette brev på tilsynets hjemmeside. 

Datatilsynets konklusion, efter at sagen har været behandlet på et møde i Datarådet
Datatilsynet er indstillet på at meddele Dyrenes Beskyttelse tilladelse til den ansøgte behandling af personoplysninger, jf. persondatalovens § 50, stk. 1, nr. 1, under forudsætning af

• at Dyrenes Beskyttelse overholder persondatalovens regler, jf. nedenfor under pkt. 4, og
• at vilkårene om sikkerhed, jf. bilag 1, iagttages ved behandlingen af oplysninger om rent private forhold.

2. Gebyr

Endelig tilladelse vil først blive meddelt, når der er indbetalt gebyr på 1.000 kr., jf. persondatalovens § 63, stk. 2, nr. 2.

Beløbet skal indbetales til Danske Bank, Holmens Kanal 2-12, 1092 København K, reg.nr. 0216, kontonr. 4069058132.

Der bedes i den forbindelse henvist til Datatilsynets journalnummer (2012-42-0358), sådan at Datatilsynet kan identificere indbetalingen.

3. Beskrivelse af Dyrenes Vagtcentral

3.1. Formålet med systemet
Af anmeldelsen indsendt den 28. august 2012 fremgår, at som led i Dyrenes Beskyttelses overordnede vedtægtsbestemte formål, herunder at yde hjælp til alle dyr i nød, at arbejde for at sikre dyrs velfærd, og at arbejde for at sikre, at dyreværnslovgivningen overholdes i ånd og bogstav, foretages der i forbindelse med telefoniske henvendelser til Dyrenes Vagtcentral om dyr i nød og dyrevelfærd optagelse af opkald.

Optagelse af opkald sikrer, i) at der kan ske en optimal behandling, ii) at der kan ske videregivelse af relevante oplysninger til brug for dyrlæges eller Falcks indsats eller andet sted, hvor dyret afleveres, og iii) at der foretages nødvendige undersøgelser af, om der foreligger vanrøgt af dyr eller overtrædelse af dyreværnslovgivningen.

3.2. Generel beskrivelse af behandlingerne
Af anmeldelsen fremgår, at optagelse af opkald sker til varetagelse af formålene i)-iii), jf. ovenfor.

Varetagelse af iii) kan efter det oplyste involvere behandling af oplysninger om strafbare forhold.

For så vidt angår iii) videregives oplysningerne - som udgangspunkt mundtligt - til den lokale kredsformand, der foretager en indledende undersøgelse for at afklare, om der er tale om mulig vanrøgt af dyr eller overtrædelse af dyreværnslovgivningen, dvs. en screening som be- eller afkræfter de faktiske forhold, der fremgår af den telefoniske henvendelse. Herefter træffer kredsformanden beslutning om, hvorvidt der er grundlag for at anmelde forholdet til politiet. Når forholdet er anmeldt til politiet, slettes opkaldet.

Hvis der træffes beslutning om, at der ikke er grundlag for en anmeldelse, slettes opkaldet også, medmindre det er nødvendigt at gemme optagelsen af hensyn til varetagelse af i) eller ii) i forbindelse med dokumentation og kontrol af indsats. Der vil i dette tilfælde ikke være tale om en behandling af oplysninger om iii) og dermed ikke være tale om oplysninger om mulige strafbare forhold, som er omfattet af anmeldelsen til Datatilsynet.

3.3. Oplysninger om dem, der henvender sig til Dyrenes Vagtcentral
Ifølge det oplyste omfatter behandlingen navn, adresseoplysninger, telefonnummer, e-mailadresse og øvrige identitetsoplysninger m.v. på personer, som henvender sig til Dyrenes Vagtcentral om dyr i nød eller problemer med dyrevelfærd, og som ikke ønsker at være anonyme.

3.4. Oplysninger om dem, der indberettes til Dyrenes Vagtcentral
For så vidt angår de personer, der indberettes til Dyrenes Vagtcentral, omfatter behandlingen ifølge det oplyste oplysninger om navn, adresseoplysninger, telefonnummer, e-mailadresse og øvrige identitetsoplysninger samt oplysninger om de faktiske omstændigheder, der giver mistanke om vanrøgt af dyr eller overtrædelse af dyreværnslovgivningen.

3.5. Slettefrister
Der fremgår følgende om slettefristen i den indsendte anmeldelse: Henvendelser vedrørende iii), der viser sig åbenbart grundløse, slettes straks. Henvendelser, der fører til en anmeldelse til politiet for vanrøgt af dyr eller overtrædelse af dyreværnslovgivningen, slettes senest, når det er konstateret, at politiet har modtaget anmeldelsen, og at politiet ikke har opklarende spørgsmål til selve henvendelsen.

Anmeldelser, der ikke vedrører iii), men som er omfattet af i) eller ii), slettes snarest muligt og senest tre måneder efter modtagelsen af henvendelsen.

3.6. Sikkerhed
Det fremgår af anmeldelsen, at oplysningerne er beskyttet af antivirus-software, firewalls, adgangskoder og ID-system og rollebaseret adgang, hvorved alene en meget afgrænset persongruppe med et sagligt behov for adgang til de konkrete oplysninger får en sådan adgang.

4. Datatilsynets vurdering af den påtænkte behandling

4.1. Behandlingsgrundlag
Under forudsætning af, at Dyrenes Beskyttelse i forbindelse med driften af Dyrenes Vagtcentral kun registrerer oplysninger om rent private forhold i det omfang, som fremgår af anmeldelsen, og at de anførte korte slettefrister nøje overholdes, finder Datatilsynet, at den anmeldte behandling af personoplysninger i forbindelse med optagelse og håndtering af telefonsamtaler kan finde sted i medfør af persondatalovens § 8, stk. 4, 2. pkt.

Desuden finder Datatilsynet, at disse oplysninger kan videregives efter persondatalovens § 8, stk. 5, 2. pkt. i forbindelse med anmeldelse til politiet

Datatilsynet har herved lagt vægt på, at væsentlige og tungtvejende hensyn til offentlige interesser tilgodeses ved, at henvendelser om dyr i nød, herunder i forbindelse med dyrevelfærd, registreres og screenes i tilknytning til driften af Dyrenes Vagtcentral, og at Dyrenes Beskyttelse på finansloven er bevilget økonomisk støtte til Dyrenes Vagtcentral. 

Tilsynet har endvidere lagt vægt på, at Dyrenes Beskyttelse har anført, at oplysninger om mulige strafbare forhold slettes inden for korte tidsfrister, og at kun en meget afgrænset persongruppe får adgang til de omhandlede oplysninger. 

4.2. De registreredes rettigheder
Datatilsynet skal generelt henlede opmærksomheden på persondatalovens kapitel 8-10 om de registreredes rettigheder, som nærmere er uddybet i rettighedsvejledningen¹.  

De nævnte regler omhandler bl.a. den dataansvarliges oplysningspligt over for den registrerede, den registreredes ret til indsigt og indsigelse samt den registreredes ret til at få berigtiget, slettet eller blokeret oplysninger, der viser sig urigtige eller vildledende eller på lignende måde er behandlet i strid med loven. 

Tilsynet skal særligt påpege, at behandling af personhenførbare oplysninger i forbindelse med Dyrenes Vagtcentral som udgangspunkt indebærer, at der udløses oplysningspligt i medfør af persondatalovens §§ 28 og 29.

Om der kan gøres undtagelse fra oplysningspligten, afhænger af en konkret vurdering i hvert enkelt tilfælde. Der henvises i øvrigt til Datatilsynets rettighedsvejledning.

Datatilsynet forudsætter, at reglerne om oplysningspligt iagttages i forbindelse med indsamling af personoplysninger. 

4.3. Datasikkerhed
Persondatalovens kapitel 11 indeholder regler om behandlingssikkerhed. I § 41, stk. 1, er det fastsat, at personer, virksomheder m.v., der udfører arbejde under den dataansvarlige eller databehandleren, og som får adgang til oplysninger, kun må behandle disse efter instruks fra den dataansvarlige, medmindre andet følger af lov eller bestemmelser fastsat i henhold til lov.

Det følger desuden af § 41, stk. 3, at den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.

Der skal således træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til oplysningerne.

Det indebærer bl.a. at kun de medarbejdere, der er beskæftiget med de formål, hvortil oplysningerne behandles, må have adgang til oplysningerne. Andre uvedkommende personer - også øvrige medarbejdere hos den dataansvarlige virksomhed - må ikke have adgang til oplysningerne. 

Persondatalovens § 41, stk. 3, indebærer desuden, at medarbejdere, som udfører behandlingen, ved uddannelse, instruktion m.v. skal bibringes den nødvendige viden. For at behandlingen kan ske sikkerhedsmæssigt korrekt, skal medarbejderne have kendskab til de gældende sikkerhedsregler.

Der henvises i øvrigt til de i bilag 1 fastsatte sikkerhedsregler.

5. Beskrivelse af persondatalovens regler

I vedlagte bilag 2 findes en nærmere gennemgang af de regler i persondataloven, som er særligt relevante for den anmeldte behandling af personoplysninger, og som ovenstående vurdering er foretaget på grundlag af.

Datatilsynet forventer at offentliggøre dette brev på sin hjemmeside.

Bilag 1: Sikkerhedsregler for behandling af personoplysninger i forbindelse med Dyrenes Vagtcentral

1. Generelle sikkerhedsbestemmelser
1.1. Den dataansvarlige skal fastsætte nærmere interne bestemmelser om sikkerhedsforanstaltninger i organisationen til uddybning af de regler, der fremgår af dette bilag. Bestemmelserne skal navnlig omfatte organisatoriske forhold og fysisk sikring, herunder sikkerhedsorganisation, administration af adgangskontrolordninger og autorisationsordninger samt kontrol med autorisationer. Der skal endvidere fastsættes instrukser, som fastlægger ansvaret for og beskriver behandling og destruktion af ind- og uddatamateriale samt anvendelse af edb-udstyr. Desuden skal der fastsættes retningslinjer for tilsyn med overholdelsen af de sikkerhedsforanstaltninger, der er fastsat for virksomheden. De interne bestemmelser skal gennemgås mindst én gang hvert år med henblik på at sikre, at de er fyldestgørende og afspejler de faktiske forhold i organisationen.

1.2. Den dataansvarlige skal give den fornødne instruktion til de medarbejdere, som behandler personoplysningerne. Medarbejderne skal herunder gøres bekendt med de regler, der er fastsat i medfør af punkt 1.1.

1.3. På steder, hvor der foretages behandling af personoplysninger, skal der træffes forholdsregler med henblik på at forhindre uvedkommendes adgang til oplysningerne.

1.4. Der må kun etableres eksterne kommunikationsforbindelser, hvis der træffes særlige foranstaltninger for at sikre, at uvedkommende ikke gennem disse forbindelser kan få adgang til personoplysninger. Transmission af følsomme personoplysninger over det åbne net skal altid ske krypteret.

1.5. I forbindelse med reparation og service af dataudstyr, der indeholder personoplysninger, samt ved salg og kassation af anvendte datamedier skal der træffes de fornødne foranstaltninger for at sikre, at persondatalovens § 41, stk. 3, overholdes.

2. Autorisation og adgangskontrol
2.1. Kun de personer, som autoriseres hertil, må have adgang til personoplysninger. Autorisationer til adgang til personoplysninger, der behandles ved hjælp af edb, skal angive, i hvilket omfang brugeren må forespørge, inddatere eller slette personoplysninger. De enkelte brugere må ikke autoriseres til anvendelser, som de ikke har behov for.

2.2. Der må kun autoriseres personer, der er beskæftiget med de formål, hvortil personoplysningerne behandles, samt personer, for hvem adgang til oplysningerne er nødvendig med henblik på revision eller drifts- og systemtekniske opgaver.

2.3. Det skal sikres, at de autoriserede personer fortsat opfylder betingelserne i punkt 2.1. og 2.2. Kontrol heraf skal foretages mindst en gang hvert halve år.

2.4. Der skal træffes foranstaltninger for at sikre, at kun autoriserede brugere kan få adgang til personoplysninger, og at disse kun kan få adgang til de personoplysninger og anvendelser, som de er autoriserede til.

2.5. Der skal foretages registrering af alle afviste forsøg på adgang til edb-systemer med personoplysninger. Hvis der registreres et nærmere fastsat antal på hinanden følgende afviste adgangsforsøg fra samme arbejdsstation eller med samme brugeridentifikation, skal der blokeres for yderligere forsøg.

 
Bilag 2: Beskrivelse af særligt relevante regler i persondataloven

1. Persondatalovens anvendelsesområde
Persondataloven omfatter behandling af personoplysninger, som helt eller delvis foretages ved hjælp af elektronisk databehandling, og ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, jf. § 1, stk. 1. Loven gælder tillige for anden ikke-elektronisk systematisk behandling, som udføres for private, og som omfatter oplysninger om personers private eller økonomiske forhold eller i øvrigt oplysninger om personlige forhold, som med rimelighed kan forlanges unddraget offentligheden, jf. § 1, stk. 2.

2. Persondatalovens behandlingsregler
Persondatalovens § 6, stk. 1, indeholder regler for, hvornår der må ske indhentelse, registrering, videregivelse og anden behandling af ikke-følsomme personoplysninger. Regler om behandling af følsomme personoplysninger findes i lovens § 7 og § 8. 

Efter § 6, stk. 1, nr. 7, må behandling finde sted, hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse og hensynet til den registrerede ikke overstiger denne interesse.

Vurderingen af behandlingens nødvendighed afhænger af, hvilken form for behandling, der er tale om. Det vil således skulle vurderes separat, om det er nødvendigt, at oplysningerne indsamles, registreres, videregives mv. Der vil endvidere skulle henses til, hvilken type oplysninger der er tale om.

Persondatalovens § 7, stk. 1, indeholder et forbud mod behandling af oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold. I lovens § 7, stk. 2, opstilles en række undtagelser til forbuddet.

Efter persondatalovens § 8, stk. 4, 2. pkt., kan oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold end de i § 7, stk. 1, nævnte, behandles af private, hvis det er nødvendigt til varetagelse af en berettiget interesse, og denne interesse klart overstiger hensynet til den registrerede.

Det anføres i persondatalovens forarbejder, at denne bestemmelse opstiller meget snævre rammer for, hvornår der kan ske registrering af følsomme personoplysninger uden samtykke. 

Efter persondatalovens § 8, stk. 5, 2. pkt., kan oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold end de i § 7, stk. 1, nævnte, videregives uden den registreredes samtykke, når det sker til varetagelse af offentlige eller private interesser, herunder hensynet til den pågældende selv, der klart overstiger hensynet til de interesser, der begrunder hemmeligholdelse.

I persondatalovens § 5 findes en række grundlæggende krav, der gælder for enhver behandling af personoplysning. Det følger bl.a. af denne bestemmelse, at behandlingen skal have et sagligt formål, ligesom princippet om proportionalitet skal overholdes, jf. § 5, stk. 2 og 3.

3. Reglerne om oplysningspligt
Efter persondatalovens § 28, stk. 1, skal den dataansvarlige eller dennes repræsentant ved indsamling af oplysninger hos den registrerede give den registrerede meddelelse om (1) den dataansvarliges eller dennes repræsentants identitet og (2) formålene med den behandling, hvortil oplysningerne er bestemt. Der skal endvidere gives meddelelse om (3) alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser, som f.eks. kategorierne af modtagere, om det er obligatorisk eller frivilligt at besvare stillede spørgsmål samt mulige følger af ikke at svare og oplysninger om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.

Det følger af § 28, stk. 2, at bestemmelsen i stk. 1 ikke gælder, hvis den registrerede allerede er bekendt med de i nr. 1-3 nævnte oplysninger. Endvidere findes undtagelser til oplysningspligten i persondatalovens § 30, se nærmere nedenfor.

Efter persondatalovens § 29, stk. 1, påhviler det, hvor oplysninger ikke er indsamlet hos den registrerede, den dataansvarlige eller dennes repræsentant ved registreringen, eller hvor de indsamlede oplysninger er bestemt til videregivelse til tredjemand, senest når videregivelsen finder sted, at give den registrerede meddelelse om (1) den dataansvarliges eller dennes repræsentants identitet samt (2) formålet med behandlingen. Den dataansvarlige skal endvidere give meddelelse om (3) alle yderligere oplysninger, der efter forholdets særlige omstændigheder er nødvendige for, at den registrerede kan varetage sine interesser, herunder f.eks. indsamlede oplysningstyper, kategorier af eventuelle modtagere af oplysningerne og oplysninger om reglerne om indsigt i og om berigtigelse af de oplysninger, der vedrører den registrerede.

Bestemmelsen i § 29, stk. 1, gælder ikke, hvis den registrerede allerede er bekendt med de i nr. 1-3 nævnte oplysninger, jf. stk. 2, eller hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssigt vanskelig, jf. stk. 3.

Persondatalovens § 30, stk. 1 og 2, indeholder yderligere undtagelser til reglerne om oplysningspligt.

Der skal således ikke gives meddelelse efter § 28, stk. 1, og § 29, stk. 1, hvis den registreredes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv, jf. § 30, stk. 1.

I § 30, stk. 2, omtales muligheden for at undlade underretning af den registrerede, hvor dennes interesse i at få kendskab til oplysningerne findes at burde vige for afgørende hensyn til offentlige interesser.

Undladelse af underretning af den registrerede efter § 30 kræver en konkret afvejning af de modstående interesser, der er anført i stk. 1 og 2. Afvejningen skal foretages for hver enkelt oplysning for sig. Med udtrykket "afgørende hensyn" er det tilkendegivet, at undtagelse fra oplysningspligten kun kan gøres, hvor der er nærliggende fare for, at privates eller offentliges interesser vil lide skade af væsentlig betydning.

Pligten til at give meddelelse efter persondatalovens § 29, stk. 1, indtræder "ved registreringen". Det fremgår af Datatilsynets rettighedsvejledning, at hvilken tidsfrist, der kan indlægges i begrebet "ved registreringen", afhænger af sagens nærmere omstændigheder. Den dataansvarlige skal dog altid - vurderet i forhold til den indsats der kræves fra den dataansvarliges side for at opfylde oplysningspligten - give den registrerede meddelelse så tidligt som muligt. Hvis den dataansvarlige allerede på selve registreringstidspunktet ved, at der i løbet af ganske kort tid herefter skal rettes henvendelse til den registrerede, f.eks. fordi den dataansvarlige skal forelægge sagens dokumenter for den registrerede, eller skal foretage andre sagsbehandlingsskridt, vil oplysningspligten som altovervejende hovedregel kunne opfyldes med den senere henvendelse. I øvrigt vil oplysningspligten i almindelighed skulle opfyldes inden for 10 dage efter registreringen.

4. Krav om etablering af sletterutiner
Persondatalovens § 5, stk. 5, foreskriver, at indsamlede oplysninger ikke må opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.

5. Datasikkerhed
Ifølge persondatalovens 41, stk. 3, skal den dataansvarlige træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven.

¹ Datatilsynets vejledning nr. 126 af 10. juli 2000 om registreredes rettigheder efter reglerne i kapitel 8-10 i lov om behandling af personoplysning

Offentliggørelse af personnumre og evt. andre fortrolige eller følsomme personoplysninger

Datatilsynet finder det meget beklageligt, at mindst et personnummer har været offentliggjort. Vejle Kommunes behandling af personoplysninger har efter Datatilsynets opfattelse ikke levet op til kravet omfornødne sikkerhedsforanstaltninger i persondatalovens¹ § 41, stk. 3.²

Datatilsynet skal indskærpe, at Vejle Kommune har ansvaret for, at der inden offentliggørelse af sagsakter mv. sker en nøje gennemgang af hvert enkelt brev eller dokument med henblik på at sikre, at det ikke indeholder fortrolige og/eller følsomme oplysninger³. Uberettiget offentliggørelse af personoplysninger kan have betydelige negative konsekvenser for de personer, der berøres heraf. Det vil endvidere ofte være forbundet med store vanskeligheder at få oplysningerne fjernet fra eksempelvis søgemaskiner.

Datatilsynet har i øvrigt noteret sig det af Vejle Kommune oplyste om, at den scanning, som blev foretaget for Vejle Kommune, var mere "finmasket" end de tilsvarende scanninger, der er blevet foretaget i andre kommuner, idet Vejle Kommune valgte et større antal "sikkerhedsord" end anbefalet, at hver enkelt side er blevet håndteret og optimeret enkeltvis, og at der foretages separat kvalitetskontrol af dette arbejde, at de personer, der har håndteret sagerne manuelt, har været instrueret i håndteringen af personoplysninger, at kommunen kun har kendskab til ét tilfælde, hvor der er offentliggjort et personnummer, at kommunen har underrettet to borgere, som er berørt af kommunens offentliggørelser, at kommunen er ved at undersøge, om der kan foreligge yderligere tilfælde, hvor oplysninger om personnumre og andre fortrolige eller følsomme oplysninger har været offentligt tilgængelige, at kommunen, hvis sådanne tilfælde foreligger, også - i det omfang det er muligt - vil kontakte de berørte borgere, at kommunen lukkede weblageret og undersøgte, om den foretagne scanning rummer andre "huller", samt at det endvidere ville blive undersøgt, hvilke muligheder for en supplerende screening der eksisterer.  

Offentliggørelse af beskyttede navne og adresser
Vejle Kommune har oplyst, at kommunen har modtaget en klage fra en borger over, at der i weblageret var adgang til vedkommendes adresse, og hvor der varer tale om en borger med adressebeskyttelse.

I det tilfælde er det kommunens opfattelse, at der ikke har været tale om offentliggørelse af en fortrolig eller følsom oplysning. Kommunen har henvist til, at systemet ikke kan benyttes således, at man kan søge på en person. Systemet virker udelukkende således, at man kan søge på en ejendoms adresse.

Datatilsynet skal generelt bemærke, at det efter tilsynets opfattelse ikke er afgørende for, om oplysninger kan offentliggøres, hvordan de kan fremsøges.

Efter tilsynets umiddelbare vurdering vil det - uanset de etablerede opslagsmuligheder - kunne give problemer for personer med beskyttet navn og adresse, hvis en kommune offentliggør oplysninger, der viser sammenhængen mellem navn og adresse.

Datatilsynet skal derfor opfordre Vejle Kommune til at overveje, om der er behov for at udføre ekstra tjek af offentliggørelsen af oplysninger om ejendomme, hvor ejerne har navne- og adressebeskyttelse. Datatilsynet går i den forbindelse ud fra, at det fremgår af registreringer hos Vejle Kommune, hvilke personer der ejer de enkelte ejendomme, og hvilke personer der har navne- og adressebeskyttelse.

Tilsynet skal i øvrigt henlede opmærksomheden på, at spørgsmålet om, hvorvidt kommunens offentliggørelse af oplysninger om personer, som har navne- og adressebeskyttelse, er i overensstemmelse med CPR-lovgivningen, henhører under Økonomi- og Indenrigsministeriets kompetence.

Brug af databehandler
Selv om kommunen benytter sig af en databehandler - i dette tilfælde Dansk Scanning A/S - er det kommunens ansvar som dataansvarlig at sørge for, at personoplysningerne er beskyttet med de fornødne sikkerhedsforanstaltninger. De nærmere regler findes i persondatalovens §§ 41 og 42.  For offentlige myndigheder er persondatalovens sikkerhedskrav nærmere udmøntet i sikkerhedsbekendtgørelsen⁴ og sikkerhedsvejledningen⁵.

Gennemførelse af en behandling ved en databehandler skal ske i henhold til en skriftlig aftale parterne imellem. Af aftalen skal det fremgå, at databehandleren alene handler efter instruks fra den dataansvarlige, og at reglerne i § 41, stk. 3-5, ligeledes gælder for behandlingen ved databehandleren. Det følger af persondatalovens § 42, stk. 2. Endvidere fremgår det af sikkerhedsvejledningen § 7, stk. 1, at hvis behandling af personoplysninger foretages af en databehandler på den dataansvarliges vegne, skal der foreligge en skriftlig aftale, hvoraf det fremgår, at reglerne i sikkerhedsbekendtgørelsen ligeledes gælder for behandlingen ved databehandleren.

Vejle Kommune har vedlagt kopi af kontrakten mellem Vejle Kommune og Dansk Scanning A/S.

Datatilsynet må konstatere, at den fremsendte kontrakt mellem Vejle Kommune og databehandleren ikke omtaler iagttagelse af persondataloven, og at det ej heller fremgår, at Dansk Scanning A/S alene handler efter instruks fra Vejle Kommune. Efter tilsynets opfattelse lever kontrakten ikke op til de krav, der følger af persondatalovens § 42 og sikkerhedsbekendtgørelsens § 7.

Datatilsynet skal derfor indskærpe, at Vejle Kommune ved overladelse af behandling af personoplysninger til en databehandler skal indgå en skriftlig databehandleraftale, som lever op til kravene i persondataloven og sikkerhedsbekendtgørelsen.

Tilsynet skal samtidig understrege, at Vejle Kommune i forbindelse med benyttelse af Dansk Scanning A/S som databehandler også har pligt til at påse, at kravene om sikkerhedsforanstaltninger overholdes hos databehandleren, jf. herved sidste led i persondatalovens § 42, stk. 1.

Afsluttende bemærkninger
Det skal for god ordens skyld oplyses, at Datatilsynet forventer at offentliggøre dette brev på sin hjemmeside.

¹ Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer.
² Af persondatalovens § 41, stk. 3, fremgår, at der skal træffes de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven. Pligten til at træffe fornødne sikkerhedsforanstaltninger påhviler efter persondatalovens § 41, stk. 3, såvel den dataansvarlige som en eventuel databehandler.
³ Jf. også tilsynets tilsvarende tilkendegivelse i en principiel udtalelse om offentliggørelse af sagsakter og postlister på internettet (j.nr. 2004-322-0064). Udtalelsen er tilgængelig på Data-tilsynets hjemmeside http://www.datatilsynet.dk/afgoerelser/seneste-afgoerelser/artikel/vedroerende-offentliggoerelse-af-sagsakter-og-postlister-paa-internettet/

⁴ Justitsministeriets bekendtgørelse nr. 528 af 15. juni 2000, som ændret ved bekendtgørelse nr. 201 af 22. marts 2001, om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning.
⁵ Datatilsynets vejledning nr. 37 af 2. april 2001 til bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning.

Den 20. august 2012 har Justitsministeriet sendt Kommissionens forslag til direktiv om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger i høring hos bl.a. Datatilsynet. Med høringen fulgte endvidere Justitsministeriets grund- og nærhedsnotat om forslaget.

2. Generelle bemærkninger

Datatilsynet skal generelt opfordre Justitsministeriet til at sikre sig, at det kommende direktiv ikke forhindrer en opretholdelse af dansk lovgivning med mindst samme beskyttelsesniveau som den gældende persondatalov.

Tilsynet henviser i øvrigt til de generelle bemærkninger i pkt. 2. i Datatilsynets høringssvar af 11. juli 2012 vedrørende Kommissionens forslag til forordning på databeskyttelsesområdet.

3. Bemærkninger til konkrete elementer i direktivforslaget

3.1. Anvendelsesområdet
Datatilsynet skal opfordre til, at direktivets anvendelsesområde overvejes nøje.

Tilsynet skal i den forbindelse pege på, at situationer hvor visse dele af en myndigheds behandlinger er omfattet af forordningen, mens andre dele er omfattet af direktivet, kan medføre uhensigtsmæssigheder i den daglige administration. Der kan i den forbindelse også henvises til Artikel 29-gruppens udtalelse¹ af 23. marts 2012 om bl.a. direktivforslaget, s. 27.

3.2. Definitioner
Registerbegrebet mv.
Datatilsynet henviser til de generelle bemærkninger i pkt. 3.2. i tilsynets høringssvar af 11. juli 2012 vedrørende forordningsforslaget.

3.3. Principper for databehandling
Grundprincipper for databehandling
Datatilsynet finder forskellene mellem direktivforslagets artikel 4 og forordningsforslagets artikel 5 problematisk.

Det synes uhensigtsmæssigt og ikke umiddelbart velbegrundet, at disse to artikler, som beskriver helt fundamentale databeskyttelsesprincipper ikke indeholder de samme krav til dataansvarlige. Konkret er det meget bemærkelsesværdigt, at der i direktivforslaget ikke opstilles et krav om proportionalitet svarende til forordningsforslaget. Datatilsynet skal derfor opfordre til, at der fra dansk side arbejdes for at bringe direktivets artikel 4 i overensstemmelse med forordningens artikel 5.

Sikkerhed
Direktivet indeholder i modsætning til forordningsforslaget ikke et krav om, at personoplysninger sikres mod hændelig tilintetgørelse eller hændeligt tab.

Datatilsynet finder denne uoverensstemmelse uhensigtsmæssig, og tilsynet er af den opfattelse, at direktivet mindst bør stille de samme krav, som der stilles på forordningsområdet.

Umiddelbart vil formuleringen medføre et lavere beskyttelsesniveau, end det der gælder i Danmark for øjeblikket.

3.4. Den registreredes rettigheder
Datatilsynets generelle vurdering er, at der fra dansk side bør arbejdes for, at rettighederne for de registrerede kan opretholdes på mindst samme niveau som efter den gældende danske persondatalov.

Datatilsynet skal samtidig bemærke, at det umiddelbart forekommer mindre hensigtsmæssigt at introducere en række generelle rettigheder i direktivet for alle persongrupper, hvis konsekvensen heraf er, at der i alle medlemsstaterne efterfølgende fastsættes en række generelle undtagelser. Strafferetsområdets særlige karakter gør således, at der efter tilsynets opfattelse kan være grund til at overveje større nuancering af rettighedsdelen i selve retsgrundlaget, herunder generelle begrænsninger, når der er tale om oplysninger vedrørende sigtede eller andre personer, der er genstand for en politimæssig efterforskning. 

Samtidig kan det efter tilsynets opfattelse være vanskeligt at vurdere rækkevidden af undtagelsesbestemmelserne i direktivet. Det gælder eksempelvis forslagets artikel 17. Artikel 16 om ret til sletning forekommer meget vidtgående og byrdefuld, og tilsynet må stille spørgsmål ved, om den kan håndteres i praksis, herunder af tilsynsmyndigheden. 

Datatilsynet finder endvidere, at det bør sikres, at tilsynsmyndigheden ikke får til opgave - direkte eller indirekte - at vurdere det materielle (strafferetlige) indhold i sager på dette område, jf. også nedenfor om klageadgang.

3.5. Klageadgang
I forlængelse af ovennævnte finder Datatilsynet endvidere udkastets artikler 50-52 om klageadgang til de nationale tilsynsmyndigheder meget vidtgående.

Muligheden for at en registreret - og organer, organisationer og sammenslutninger - kan indgive klage til alle tilsynsmyndigheder i EU, samtidig med at der kan klages i det administrative system og evt. samtidig begæres domstolsprøvelse, forekommer særdeles vidtgående og ikke håndterbar i praksis.

Direktivforslagets artikel 50, stk. 2, giver på samme måde som forordningsforslaget klageadgang i enhver medlemsstat. Datatilsynet finder, at det bør afgrænses nærmere i selve retsgrundlaget, hvilken tilsynsmyndighed en klage indgives til.

I artikel 51, stk. 2, lægges der op til en maksimal sagsbehandlingstid på tre måneder hos tilsynsmyndigheden. Det er Datatilsynets erfaring, at der alt efter sagernes kompleksitet kan der være stor forskel på, hvor lang sagsbehandlingstiden bliver, men tre måneder er kort tid. Samtidig har tilsynsmyndigheden brug for at kunne tilrettelægge sine tilsynsaktiviteter ud fra de konkrete forhold på et givent tidspunkt. Derfor er det efter Datatilsynets opfattelse ikke hensigtsmæssigt at fastsætte en generel frist for en bestemt type sager.

3.6. Anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden
Datatilsynet henviser til de generelle bemærkninger under punkt 3.14. i tilsynets høringssvar vedrørende forordningsforslaget.

3.7. Inspektionskompetence
Datatilsynet har efter den nugældende persondatalovs § 62, stk. 2, til enhver tid mod behørig legitimation uden retskendelse adgang til alle lokaler, hvorfra en behandling, som foretages for den offentlige forvaltning, administreres, eller hvorfra der er adgang til de oplysninger, som behandles, samt til lokaler, hvor oplysningerne eller tekniske hjælpemidler opbevares eller anvendes.

Tilsynsmyndighedens kompetencer er nævnt i forslagets artikel 46, hvor det bl.a. fremgår, at medlemsstaterne skal fastsætte bestemmelser om, at tilsynsmyndigheden bl.a. skal have:

a) undersøgelsesbeføjelser såsom beføjelse til at få indsigt i de oplysninger, der er genstand for behandling, og beføjelse til at indsamle alle de oplysninger, der er nødvendige for at udføre sine tilsynsopgaver,

b) beføjelse til at gribe effektivt ind ved f.eks. at afgive udtalelser forud for iværksættelsen af behandlingen og sikre en passende offentliggørelse af disse udtalelser, at beordre oplysninger begrænset, slettet eller tilintetgjort, midlertidigt eller definitivt at forbyde en behandling, at udstede en advarsel til den registeransvarlige eller påtale en overtrædelse over for den registeransvarlige eller ved at høre de nationale parlamenter eller andre nationale politiske institutioner, samt

c) beføjelse til at indbringe overtrædelser af de bestemmelser, der vedtages i medfør af dette direktiv for retsinstanserne eller gøre retsinstanserne opmærksom på disse overtrædelser.

Datatilsynet kom i december 2011 i besiddelse af et lækket tidligere udkast af forslag til direktivet (version 34), og i dette udkasts art. 49, stk. 2, litra b, havde de nationale tilsynsmyndigheder inspektionskompetence over for de dataansvarlige myndigheder.

Denne inspektionskompetence nævnes ikke i den tilsendte version af direktivet (COM (2012) 10 final)². Tilsynet finder det derfor uklart, hvorvidt denne inspektionskompetence er tænkt frataget tilsynet, eller om den implicit følger af de øvrige beføjelse, tilsynet har efter direktivet³. 

Datatilsynet skal påpege, at inspektionskompetencen over for offentlige myndigheder er helt central for tilsynets rolle som uafhængig tilsynsmyndighed.

Denne beføjelse bør derfor fremgå klart af et fremtidigt generelt retsgrundlag.

4. Afsluttende bemærkninger

Datatilsynet skal påpege, at en yderligere analyse og afklaring synes nødvendig for at fastlægge det præcise indhold af forslagets mange og detaljerede bestemmelser. Tilsynet bidrager gerne hertil i det videre forløb.

Med hensyn til de økonomiske konsekvenser af den fremsatte reformpakke på databeskyttelsesområdet uddyber Datatilsynet gerne den foreløbige vurdering, som tilsynet gav i udtalelsen af 12. marts 2012.

Datatilsynet skal anmode om at blive holdt underrettet om den videre udvikling i sagen.

¹ http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp191_en.pdf

² http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2012:0010:FIN:DA:PDF

³ Dette forhold bliver mere uklart, idet det af direktivets art. 48 vedrørende gensidig bistand fremgår, at de nationale tilsynsmyndigheder kan anmode hinanden om at foretage inspektioner.

2. Datatilsynet kan i den anledning oplyse følgende:

Når privatpersoner anvender Skype, er det ikke et forhold, der er reguleret af persondataloven. Persondataloven gælder således ikke for behandlinger, som en fysisk person foretager med henblik på udøvelse af aktiviteter af rent privat karakter. Men Skype skal leve op til databeskyttelseslovgivningen i det eller de EU land(e), hvor virksomheden er etableret¹.

Situationen er anderledes, når der er tale om en kommune. Persondataloven gælder, når Syddjurs Kommune behandler personoplysninger ved hjælp af edb. Det indebærer, at kommunen ikke uden nærmere overvejelse kan anvende en løsning som Skype.
 
Kommunen må således sikre sig, at kommunens brug af løsningen kan ske på betryggende vis og under iagttagelse af reglerne i persondataloven² og sikkerhedsbekendtgørelsen³  – og tillige eventuel anden relevant lovgivning.

I det følgende gennemgås en række problemstillinger, som kommunen må afklare i forhold til persondataloven.

3. Tilsynet skal anbefale, at Syddjurs Kommune afklarer, hvilke oplysninger der behandles i forbindelse med brug af Skype, samt hvordan, hvor og hvor længe oplysningerne behandles. Herunder bl.a. i forhold til eventuelle logfiler vedrørende førte samtaler mv. eller lagring af indhold.

Kommunen må derefter overveje, om disse behandlinger vil være forenelige med persondataloven.

4. Datatilsynet kan navnlig pege på følgende regler i persondataloven:

5. Med hensyn til datasikkerheden fremgår det af persondatalovens § 41, stk. 3, at den dataansvarlige skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles i strid med loven. Tilsvarende gælder for databehandlere.

Ifølge § 14 i sikkerhedsbekendtgørelsen må der kun etableres eksterne kommunikationsforbindelser, hvis der træffes særlige foranstaltninger for at sikre, at uvedkommende ikke gennem disse forbindelser kan få adgang til personoplysninger.

I Datatilsynets vejledning⁴  til § 14 i sikkerhedsbekendtgørelsen er bl.a. anført, at de særlige sikkerhedsforanstaltninger skal træffes efter myndighedens vurdering af sikkerhedsrisici i det konkrete tilfælde, herunder med hensyntagen til karakteren af de omhandlede oplysninger. For at kunne fastlægge sikkerhedsniveauet er det nødvendigt, at den dataansvarlige foretager en samlet risikovurdering, som omfatter alle elementer i kommunikationsforbindelsen.

6. Syddjurs Kommune skal tillige være opmærksom på persondatalovens krav ved brug af databehandlere⁵.

Det følger således af persondatalovens § 42, stk. 2, at gennemførelse af en behandling ved en databehandler skal ske i henhold til en skriftlig aftale parterne imellem. Af aftalen skal det fremgå, at databehandleren alene handler efter instruks fra den dataansvarlige, og at reglerne i § 41, stk. 3-5, ligeledes gælder for behandlingen ved databehandleren.

Endvidere fremgår det af sikkerhedsvejledningen § 7, stk. 1, at hvis behandling af personoplysninger foretages af en databehandler på den dataansvarliges vegne, skal der foreligge en skriftlig aftale, hvoraf det fremgår, at reglerne i sikkerhedsbekendtgørelsen ligeledes gælder for behandlingen ved databehandleren.

Hertil kommer, at det efter både persondatalovens § 42, stk. 2, og sikkerhedsbekendtgørelsens § 7, stk. 1, kræves, at hvis databehandleren er etableret i en anden medlemsstat, skal det fremgå af aftalen, at de bestemmelser om sikkerhedsforanstaltninger, som er fastsat i lovgivningen i den medlemsstat, hvor databehandleren er etableret, gælder for denne.

Datatilsynet godkender ikke databehandleraftaler og skal ikke have sådanne forelagt.

Hvis Syddjurs Kommune vil benytte Skype som databehandler for kommunen, er det således kommunens ansvar at sikre sig, at der med såvel Skype som eventuelle underdatabehandlere, som Skype måtte benytte, foreligger aftaler, som lever op til kravene i persondataloven og sikkerhedsbekendtgørelsen.

Også dette forhold må Syddjurs Kommune afklare, inden løsningen tages i brug. 

7. Datatilsynet skal i øvrigt pege på, at almindelige forvaltningsretlige krav om journalisering og dokumentation af sagsskridt på sagerne tillige kan være en relevant problemstilling at overveje. Tilsynet kan herved også henvise til princippet om god databehandlingsskik i persondatalovens § 5, stk. 1.

8. Sammenfattende er der en række spørgsmål, som Syddjurs Kommune må tage i betragtning, når kommunen overvejer, om Skype skal benyttes, og hvad tjenesten i givet fald skal benyttes til.

Ovenfor er gennemgået en række problemområder, men der kan også være tale om andre problemstillinger, som kommer frem, når kommunen analyserer den påtænkte brug.

Ansvaret for at foretage en nærmere analyse og vurdering af, om en given tjeneste kan anvendes, ligger hos den dataansvarlige – i dette tilfælde Syddjurs Kommune.

Tilsynet skal foreslå, at Syddjurs Kommune også undersøger, om Skype tilbyder en udgave af løsningen rettet mod myndigheder og virksomheder, og om det i den forbindelse er muligt at indgå en anden kontrakt med Skype end de almindelige standardvilkår.

Datatilsynet må i øvrigt som tilsynsmyndighed forbeholde sig sin stillingtagen i tilfælde af en eventuel klage eller lignende.

For god ordens skyld kan det oplyses, at tilsynet forventer at offentliggøre dette brev på sin hjemmeside.

¹ Så vidt Datatilsynet er orienteret, har Skype adresse i Luxembourg

² Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer

³ Justitsministeriets bekendtgørelse nr. 528 af 15. juni 2000, som ændret ved bekendtgørelse nr. 201 af 22. marts 2001, om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning

⁴ Datatilsynets vejledning nr. 37 af 2. april 2001 til bekendtgørelse nr. 528 af 15. juni 2000 om sikkerhedsforanstaltninger til beskyttelse af personoplysninger, som behandles for den offentlige forvaltning.

⁵ En ”databehandler” er i persondatalovens § 3, nr. 5, defineret som den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der behandler oplysninger på den dataansvarliges vegne. 

Den person, som havde klaget i sagen, har fået henvendelsen forelagt og er kommet med kommentarer ved brev af 21. maj 2012. Brevet vedlægges i kopi til orientering.

1. Generelt om opbevaring af optagelser, der er videregivet til politiet
Billedoptagelser fra tv-overvågning i kriminalitetsforebyggende øjemed skal slettes senest 30 dage efter, at de er optaget.

Kravet om sletning gælder ikke, hvis en optagelse skal bruges i en konkret tvist, f.eks. hvis en arbejdsgiver indleder en bortvisningssag på grundlag af en tv-overvågning.

Virksomheden kan i dette tilfælde opbevare optagelsen af den person, tvisten drejer sig om (men ikke af andre personer). Virksomheden skal underrette den pågældende om opbevaringen inden for 30-dages fristen. Den person, tvisten drejer sig om, har krav på efter anmodning at få udleveret en kopi af optagelsen.

Dette følger af reglerne i persondatalovens § 26 a, stk. 2 og 3.

1.1. Dansk Erhverv har bl.a. oplyst, at virksomheden i den konkrete sag har fremsendt optagelserne til politiet to gange, idet optagelserne i første omgang var bortkommet. Dansk Erhverv er bekendt med, at der i flere tilfælde er bortkommet bevismateriale hos politiet.

Dansk Erhverv opfordrer på den baggrund Datatilsynet til i sin fremtidige praksis at tage højde for, at der af hensyn til retssikkerhed, både ved førelse af strafferetlige og civilretlige sager, er saglige grunde til at opbevare materialet, indtil endelig afgørelse foreligger.

1.2. Persondataloven fører efter Datatilsynets opfattelse generelt til, at de dataansvarlige virksomheder mv. kun må behandle, herunder indsamle og registrere, oplysninger, som de selv har et aktuelt behov for af hensyn til varetagelse af deres egne formål. Virksomhederne mv. må også kun opbevare oplysningerne, så længe de selv har behov for dem af hensyn til varetagelse af deres egne formål, jf. persondatalovens § 5, stk. 5.

Virksomheder kan således ikke i henhold til persondatalovens regler registrere og opbevare oplysninger alene med henblik på politiets retshåndhævelse, dvs. med den begrundelse, at politiet i efterforskningsmæssig sammenhæng kan få behov for dem¹.

Optagelser med personoplysninger, der optages i forbindelse med tv-overvågning i kriminalitetsforebyggende øjemed, må – også når der er sket videregivelse til politiet – kun opbevares af virksomheden ud over 30 dage, i det omfang persondataloven muliggør dette. Dvs. når betingelserne i § 26 a, stk. 3, er opfyldt.

Virksomheden må således kun opbevare optagelser, der skal bruges i en konkret tvist, f.eks. hvis en arbejdsgiver indleder en bortvisningssag på grundlag af en tv-overvågning, og kun optagelser af den person, som tvisten drejer sig om, ikke af andre personer. Der skal ske anonymisering af de andre personer, der indgår i optagelser, der opbevares ud over 30 dage i medfør af § 26 a, stk. 3.

Virksomheden skal inden for 30-dages fristen underrette den person, tvisten drejer sig om, om opbevaringen, og den pågældende har krav på efter anmodning at få udleveret en kopi af optagelsen. Dette følger også af § 26 a, stk. 3.
 
2. Dansk Erhvervs bemærkninger til specifikke detaljer i afgørelsen
Datatilsynet har noteret sig Dansk Erhvervs præcisering vedrørende bortvisningsgrundlaget samt organisationens kommentar omkring en persons status som partsrepræsentant.

Efter tilsynets opfattelse, er der imidlertid ikke tale om forhold, som har betydning for tilsynets konklusioner i sagen. Det fremgår således af afgørelsen, at Datatilsynet ikke fandt anledning til at forfølge virksomhedens oprindelige beslutning om at opbevare optagelserne ud over 30 dage. I forhold til den person, hvor der er spørgsmål om en eventuel rolle som partsrepræsentant, bygger afgørelsen bl.a. på det fra virksomhedens side oplyste om, at det må bero på en fejl, såfremt den pågældende person har set optagelserne.

Da de omtalte problemstillinger således ikke ses at have betydning for Datatilsynets konklusioner, er der efter tilsynets opfattelse ikke grundlag for at genoptage sagen.

3. Datatilsynets afsluttende bemærkninger
Idet Datatilsynet har noteret sig Dansk Erhvervs oplysning om, at optagelserne nu er slettet, foretager tilsynet sig på det foreliggende grundlag ikke yderligere i sagen.

Kopi af dette brev er sendt til klager til orientering.

Datatilsynet skal for god ordens skyld oplyse, at tilsynet forventer at offentliggøre dette brev på sin hjemmeside.

...

Klik her for at læse Datatilsynets afgørelse af 25. januar 2012, som gik forud for dette brev

¹Jf. tilsvarende tilkendegivelser i Datatilsynets udtalelse af 23. marts 2006 om forslag til styrket indsats for at bekæmpe terrorisme: http://www.datatilsynet.dk/afgoerelser/arkiv-over-afgoerelser/artikel/udtalelse-om-forslag-til-styrket-indsats-for-at-bekaempe-terrorisme/