Klage over manglende sletning

J.nr. 2018-31-0118

Resume

Datatilsynet har behandlet en klage, hvor en fotograf nægtede at slette billeder, herunder billeder af mere intim karakter, med henvisning til at parterne havde indgået en gyldig aftale.

Datatilsynet traf den 10. september 2018 afgørelse i sagen. Datatilsynet fandt bl.a., at behandlingen af oplysninger i form af billeder skete på baggrund af en kontrakt og ikke et databeskyttelsesretligt samtykke, som kan trækkes tilbage. Efter tilsynets opfattelse havde fotografen således et lovligt grundlag for at behandle oplysningerne, og klager havde derfor ikke krav på at få billederne slettet.

Datatilsynet bemærkede i øvrigt i sagen, at tilsidesættelse af en aftale hører under domstolene, da tilsynet ikke har kompetence til at tage stilling til gyldigheden af en aftale.

Afgørelse

1. Datatilsynet vender hermed tilbage i sagen, hvor du ved e-mail af […] har rettet henvendelse til tilsynet om [indklagede]s behandling af oplysninger om dig.

Datatilsynet har forstået henvendelsen som en klage over, at [indklagede] har afslået at slette oplysninger om dig, herunder billeder af dig, og underrette eventuelle modtagere af oplysningerne om dette.

Datatilsynet finder, at [indklagede] skal slette oplysninger om dit personnummer. Derimod er der efter Datatilsynets opfattelse ikke grundlag for at konkludere, at [indklagede]s behandling af de øvrige oplysninger i sagen kan kræves slettet i medfør af de databeskyttelsesretlige regler.

Nedenfor følger en nærmere gennemgang af sagens omstændigheder og en begrundelse for Datatilsynets afgørelse.

2. Sagens omstændigheder

2.1. Det fremgår af sagen, at [indklagede] som fotograf har taget billeder af dig, herunder billeder af mere intim karakter, og at I i den forbindelse indgik en skriftlig aftale, som angiver, hvordan billederne senere kunne anvendes. Af aftalen fremgår bl.a., at [indklagede] kan bruge billederne (use) og offentliggøre disse (publish).

Det fremgår endvidere af sagen, at billederne efterfølgende er offentliggjort til stock brug, bl.a. på hjemmesiden […].

Endelig fremgår det af sagen, at [indklagede] har tilbudt dig at ophæve aftalen, hvis du betaler et vederlag på 5.000 kroner.

2.2. Dine bemærkninger

Du har navnlig anført, at du i […] agerede model for [indklagede]. Du modtog hverken betaling for billederne, eller betalte for dem, men [indklagede] har dog opnået en økonomisk vinding på billederne. 

Du har endvidere anført, at du ved henvendelse af […] på Facebook har tilbagekaldt dit samtykke, og at du flere gange forinden har forsøgt at få [indklagede] til at slette billederne, hvilket han ikke har ønsket at efterkomme uden betaling af 5.000 kroner. Du har i den forbindelse anført, at samtykkeerklæringen, som er underskrevet i […], hvor du var 18 år gammel, er udarbejdet på engelsk, hvilket efter din opfattelse bevidst skyldes [indklagede]s forsøg på at besværliggøre den fulde forståelse af dens indhold, hvilket ikke lever op til kravet om, at samtykkeerklæringer skal foreligge i en letforståelig og lettilgængelig form og i et enkelt sprog.

Du har endvidere anført, at kontrakten ikke vil være gyldig efter dansk ret, idet den ikke opfylder de mest basale kontraktretlige kriterier efter dansk ret. I den forbindelse har du anført, at kontrakten er udarbejdet på amerikanske vilkår, hvilket betyder, at den opererer på ”Common Law-vilkår”, hvorfor størstedelen af de i kontrakten anførte punkter i sit store hele er ugyldig efter dansk ret, hvor vi opererer med ”Civil Law”.

Herudover har du anført, at det er din opfattelse, at de intime billeder, som [indklagede] tog af dig, ikke var ment til videredistribuering, da han tidligere har taget mere almindelige billeder af dig, som du troede var de billeder, der ville blive gjort tilgængelig. I den forbindelse har du anført, at du efterfølgende har kunnet konstatere, at [indklagede] har videredistribueret meget intime billede, som bl.a. er anvendt af ukendte tredjeparter i sammenhæng med escort-annoncer og prostitution samt andre meget krænkende sammenhænge.

2.3. [indklagede]s bemærkninger

[indklagede] har navnlig anført, at du ikke ønskede at være model for […], men i stedet valgte at udføre en opgave i form at Stock billeder (online arkiver af billeder). I den forbindelse har [indklagede] anført, at du var indforstået med, at billederne, herunder billeder af mere intim karakter, blev taget og brugt som stock billeder.

[indklagede] har endvidere anført, at den kontrakt, du i den sammenhæng har udfyldt, tydeligt angiver at være til erhvervsformål. I den forbindelse har [indklagede] anført, at det er en normal kontrakt på området, og at alt er foregået efter reglerne - du har kort og godt ydet en ydelse, som i denne sammenhæng er billeder til brug for online arkiver, hvor folk kan trække dem ud og bruge dem.

Endvidere har [indklagede] anført, at kontrakter, som vedrører billeder, som skal bruges på verdensplan, er udfærdiget på engelsk. I den forbindelse har [indklagede] anført, at det ikke er en kontrakt, han selv har udarbejdet, men at kontrakten er udarbejdet af advokater, og at denne er den samme, som anvendes ved 90-95% af de stock billeder, som findes på nettet i dag. Hvis kontrakten bliver underkendt, vil hele grundlaget for stock industrien være væk på verdensplan.

[indklagede] har endelig anført, at kontrakten vil blive ophævet, hvis du betaler et vederlag på 5.000 kroner.

3. Datatilsynets afgørelse

3.1. Persondataloven er pr. 25. maj 2018 blevet afløst af nye databeskyttelsesregler i form af en generel forordning fra EU om beskyttelse af personoplysninger, som gælder i både den private og offentlige sektor[1], og databeskyttelsesloven[2], der supplerer reglerne i forordningen. 

Databeskyttelsesforordningen gælder for al behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, jf. forordningens artikel 2, stk. 1.

Behandling af almindelige, ikke-følsomme oplysninger, må finde sted, hvis én af betingelserne i forordningens artikel 6, stk. 1, litra a-f, er opfyldt.

Behandling kan herefter bl.a. ske, hvis den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål, jf. forordningens artikel 6, stk. 1, litra a, eller hvis behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt., jf. forordningens artikel 6, stk. 1, litra b.

Private må ifølge databeskyttelseslovens § 11, stk. 2, behandle oplysninger om personnummer, når 

1. det følger af lovgivningen,

2. den registrerede har givet samtykke hertil i overensstemmelse med databeskyttelsesforordningens artikel 7,

3. behandlingen alene finder sted til videnskabelige eller statistiske formål, eller hvis der er tale om videregivelse af oplysninger om personnummer, når videregivelsen er et naturligt led i den normale drift af virksomheder m.v. af den pågældende art, og når videregivelsen er af afgørende betydning for at sikre en entydig identifikation af den registrerede eller videregivelsen kræves af en offentlig myndighed eller

4. betingelserne i § 7 er opfyldt.

Personnummer må – uanset bestemmelsen i stk. 2, nr. 3 – ikke offentliggøres, medmindre der er givet samtykke i overensstemmelse med databeskyttelsesforordningens artikel 7, jf. databeskyttelseslovens § 11, stk. 3.

Ifølge forordningens artikel 17, stk. 1, har den registrerede ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende: 

1. Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.

2. Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a, eller artikel 9, stk. 2, litra a, tilbage, og der er ikke et andet retsgrundlag for behandlingen.

3. Den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1, og der foreligger ikke legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2.

4. Personoplysningerne er blevet behandlet ulovligt.

5. Personoplysningerne skal slettes for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt.

6. Personoplysningerne er blevet indsamlet i forbindelse med udbud af informationssamfundstjenester som omhandlet i artikel 8, stk. 1.

I forordningens artikel 17, stk. 3, er der fastsat en række undtagelser til den registreredes ret til sletning.

3.2. Som sagen foreligger oplyst, har Datatilsynet lagt til grund, at du ikke har givet samtykke til [indklagede]s behandling af oplysninger om dit personnummer, at det ikke følger af lov, at [indklagede] skal behandle oplysninger om dit personnummer, og at betingelserne i databeskyttelseslovens § 7 ikke er opfyldt.

Det er på den baggrund Datatilsynets opfattelse, at betingelserne for at kræve sletning af oplysninger om dit personnummer i medfør af databeskyttelsesforordningens artikel 17, stk. 1, er opfyldt, og Datatilsynet finder derfor, at [indklagede] skal slette oplysninger om dit personnummer.

Datatilsynet finder imidlertid, at der ikke er grundlag for at konkludere, at [indklagede]s behandling af de øvrige oplysninger i sagen kan kræves slettet i medfør af de databeskyttelsesretlige regler.

Datatilsynet har herved lagt vægt på, at den indgåede aftale efter tilsynets opfattelse ikke har karakter af et databeskyttelsesretligt samtykke, men har karakter af en kontrakt. Ved vurderingen heraf har Datatilsynet lagt vægt på, at det fremgår af aftalen, at der er tale om en ”Universal Adult Model Release for all Agencies”, at aftalen ”Shall be binding upon me my heirs, legal representatives and assigns”, og at du ved at skrive under på aftalen har bekræftet, at ”I hereby affirm that I am over the age of majority and have the right to contract in my own name”.

Det er således Datatilsynet opfattelse, at der ikke tale er om et samtykke i databeskyttelsesforordningens forstand, som kan trækkes tilbage, men en kontrakt, der ligger til grund for [indklagede]s behandling, herunder offentliggørelse, af de omhandlede oplysninger.

Under henvisning hertil finder Datatilsynet, at [indklagede] har hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra b, til at behandle oplysningerne.

Tilsidesættelse af en aftale mellem to parter falder uden for Datatilsynets kompetence, idet tilsynet ikke kan gå i en nærmere fortolkning af en aftales gyldighed.

Hvis en sådan aftale ønskes tilsidesat, må dette spørgsmål i stedet indbringes for domstolene.

Idet der ikke er tale om et databeskyttelsesretligt samtykke, som kan trækkes tilbage, og der samtidig ikke er grundlag for at konkludere, at [indklagede]s behandling af de omhandlede oplysninger om dig sker i strid med de databeskyttelsesretlige regler, finder Datatilsynet, at betingelserne for at kræve de omhandlede oplysninger slettet i medfør af databeskyttelsesforordningens artikel 17, stk. 1, ikke er opfyldt. 

Datatilsynet foretager sig på det foreliggende grundlag ikke yderligere i sagen.

[indklagede] er dags dato orienteret om denne afgørelse. 

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).