Journalnummer 2019-32-0639
Resume
Datatilsynet fandt, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke var i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 12, stk. 1, og artikel 14.
Som led i behandlingen af en sag angående feriepenge havde Arbejdsmarkedets Feriefond trinvist over flere måneder givet den registrerede oplysninger omfattet af fondens oplysningspligt i henhold til databeskyttelsesforordningens artikel 14.
Datatilsynet fandt, at Arbejdsmarkedets Feriefond dermed ikke havde opfyldt sin oplysningspligt inden for den frist, som følger af forordningens artikel 14, stk. 3.
Endvidere fandt Datatilsynet, at Arbejdsmarkedets Feriefond ikke havde iagttaget forordningens artikel 12, stk. 1, da fonden ikke havde givet oplysningerne i en samlet form og på en kortfattet, gennemsigtig, lettilgængelig og letforståelig form.
Herudover udtalte Datatilsynet kritik af, at Arbejdsmarkedets Feriefond havde anmodet klager, hvis personoplysninger allerede blev behandlet af Arbejdsmarkedets Feriefond i forbindelse med den konkrete sag om feriepenge, om at give samtykke til behandling af personoplysninger, da klager forsøgte at rette henvendelse til fondens databeskyttelsesrådgiver.
Datatilsynet fandt, at indhentelse af klagers samtykke ikke var i overensstemmelse med forordningens artikel 5, stk. 1, litra a (princippet om ”lovlighed, rimelighed og gennemsigtighed”), da behandlingen af klagers personoplysninger allerede blev foretaget på et andet grundlag end samtykke.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor XX (herefter klager) den 17. februar 2019 har klaget til tilsynet over, at Arbejdsmarkedets Feriefond ikke i tilstrækkelig grad har opfyldt sin oplysningspligt og over fondens indhentelse af samtykke.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens[1] artikel 12, stk. 1, og artikel 14.
Endvidere finder Datatilsynet grundlag for at udtale kritik af, at Arbejdsmarkedets Feriefonds behandling af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra a.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagens akter, at klager den 28. januar 2019 modtog et brev fra Arbejdsmarkedets Feriefond, hvori fonden oplyste klager om at have modtaget underretning om, at Styrelsen for Arbejdsmarked og Rekruttering havde truffet afgørelse om, at klager uretmæssigt havde fået udbetalt feriepenge, og at det skyldige beløb skulle indbetales til Arbejdsmarkedets Feriefond.
Af Arbejdsmarkedets Feriefonds brev til klager fremgik endvidere følgende:
”Vi gør opmærksom på, at Arbejdsmarkedets Feriefond har registreret dit cpr-nr., navn, adresse, kontonr. samt oplysninger vedr. det her omhandlede gældsforhold i fondens sagshåndteringssystem henholdsvis økonomisystem.”
Den 8. februar 2019 rettede klager henvendelse til Arbejdsmarkedets Feriefond via henholdsvis fondens almindelige postkasse og fondens DPO. Klager anførte i den forbindelse, at hun var kritisk over for Arbejdsmarkedets Feriefonds håndtering af hendes personoplysninger, bl.a. angående fondens iagttagelse af oplysningspligten og fondens brug af samtykke.
I et brev af 14. februar 2019 til klager oplyste Arbejdsmarkedets Feriefond, at fonden i brevet af 28. januar 2019 havde oplyst hende om, at fonden havde modtaget underretning fra Styrelsen for Arbejdsmarked og Rekruttering, og at fonden havde registreret hendes personnummer, navn, adresse samt oplysninger om det omhandlede gældsforhold i fondens sagshåndteringssystem henholdsvis økonomisystem. Arbejdsmarkedets Feriefond anførte, at fonden på den baggrund mente at have oplyst klager om registrering af persondata hos fonden, herunder om formålet med registreringen.
Arbejdsmarkedets Feriefond oplyste endvidere klager om, at fonden ville videresende hendes personoplysninger til fondens faste advokatforbindelse samt til fogedretten, såfremt det måtte blive nødvendigt at gå rettens vej for at inddrive kravet. Arbejdsmarkedets Feriefond henviste klager til at læse nærmere på fondens hjemmeside om, hvordan fonden behandler personoplysninger.
Arbejdsmarkedets Feriefond oplyste desuden, at det ikke kræver samtykke, når Arbejdsmarkedets Feriefond registrerer personoplysninger for at forfølge et krav, som en højere instans har truffet afgørelse om skal indbetales til fonden. Som følge heraf kan et samtykke heller ikke tilbagekaldes.
Herudover anførte Arbejdsmarkedets Feriefond i brevet til klager af 14. februar 2019, at hun havde henvendt sig til Arbejdsmarkedets Feriefond både via fondens almindelige kontaktformular og via fondens kontaktformular til DPO, hvor der på begge formularer fremgik følgende:
”Når du som borger henvender dig til Arbejdsmarkedets Feriefond samtykker du til, at fonden må registrere dine personlige oplysninger (navn, adresse, CPR-nummer) i fondens sagsbehandlingssystem og/eller økonomisystem, afhængig af hvad der er nødvendigt for at fonden kan behandle din henvendelse.”
Efterfølgende indgik klager en aftale om tilbagebetaling af feriepenge, som Arbejdsmarkedets Feriefond bekræftede i et brev af 6. marts 2019. I brevet oplyste Arbejdsmarkedets Feriefond på ny klager om, at fonden havde registreret hendes personnummer, navn, adresse, kontonummer samt oplysninger vedrørende gældsforholdet i fondens sagshåndteringssystem og økonomisystem.
Klager indfriede efterfølgende fondens fordring, hvilket fonden kvittererede for i et brev af 28. marts 2019. Fonden oplyste i den forbindelse klager om, at hendes personoplysninger ville blive videregivet til Rigsarkivet i overensstemmelse med arkivreglerne.
Ved brev af 19. marts 2019 anmodede Datatilsynet Arbejdsmarkedets Feriefond om en udtalelse i sagen, som tilsynet modtog den 28. marts 2019.
2.1. Klagers bemærkninger
Klager har overordnet anført, at Arbejdsmarkedets Feriefond ikke har iagttaget sin oplysningspligt ved kun at oplyse hende om, hvilke personoplysninger fonden behandler om hende. Klager har hertil tilføjet, at oplysningspligten indebærer, at den dataansvarlige – foruden at oplyse den registrerede om, hvilke oplysninger der behandles om den registrerede – ligeledes skal give den registrerede en række oplysninger om behandlingen.
Derudover har klager anført, at Arbejdsmarkedets Feriefonds anmodning om samtykke til behandling af personoplysninger i forbindelse med hendes henvendelse til fondens databeskyttelsesrådgiver ikke var i overensstemmelse med databeskyttelsesreglerne, herunder at samtykket ikke blev afgivet frivilligt, idet klager reelt ikke kunne tage stilling til, hvorvidt hun ville give samtykke eller ikke.
2.2. Arbejdsmarkedets Feriefonds bemærkninger
2.2.1.
Arbejdsmarkedets Feriefond har oplyst, at fonden er en selvejende institution under den statslige forvaltning, og at det påhviler Arbejdsmarkedets Feriefond at inddrive fondens (statens) krav på uberettiget udbetalte feriepenge på grund af afgørelser truffet af Styrelsen for Arbejdsmarked og Rekruttering eller af Ankestyrelsen.
I forhold til den konkrete sag har Arbejdsmarkedets Feriefond anført, at fonden den 28. januar 2019 modtog oplysninger om klager fra Styrelsen for Arbejdsmarked og Rekruttering i form af kopi af styrelsens afgørelse af 18. maj 2018 til klager om uberettiget udbetaling af feriepenge, som efterfølgende blev stadfæstet af Ankestyrelsen den 25. januar 2019.
Endvidere har Arbejdsmarkedets Feriefond anført, at fonden ved brev af 28. januar 2019 oplyste klager om, at fonden havde registreret oplysninger om hendes personnummer, navn, adresse, kontonummer samt oplysninger om det omhandlede gældsforhold i fondens sagshåndteringssystem og økonomisystem.
Herudover oplyste fonden i et brev af 14. februar 2019 til klager, at fonden ville videresende klagers personoplysninger til fondens faste advokatforbindelse samt til fogedretten, hvis det skulle blive nødvendigt at gå rettens vej for at inddrive kravet. I brevet henviste Arbejdsmarkedets Feriefond endvidere klager til at læse mere om fondens persondatapolitik på fondens hjemmeside.
Arbejdsmarkedets Feriefond har anført, at formålet med fondens behandling af klagers personoplysninger fremgår klart af sammenhængen, idet klager i Styrelsen for Arbejdsmarked og Rekrutterings afgørelse af 18. maj 2018 blev underrettet om, at sagen ville overgå til Arbejdsmarkedets Feriefond med henblik på inddrivelse af kravet.
Arbejdsmarkedets Feriefond har desuden anført, at fonden i sit brev af 28. marts 2019 til klager orienterede hende om, at hendes personoplysninger ville blive videregivet til Rigsarkivet.
Arbejdsmarkedets Feriefond har oplyst, at det på den baggrund er fondens opfattelse, at fondens håndtering af oplysningspligt har været i overensstemmelse med databeskyttelsesforordningens artikel 13 og 14.
2.2.2.
Arbejdsmarkedets Feriefond har anført, at fonden har behandlet ikke-følsomme personoplysninger om klager i medfør af databeskyttelsesforordningens artikel 6, stk. 1, litra c og litra e. Oplysninger om klagers personnummer er blevet behandlet med hjemmel i databeskyttelseslovens[2] § 11, stk. 1.
Arbejdsmarkedets Feriefond har oplyst, at klager i den konkrete sag efterfølgende henvendte sig til fonden via fondens standard kontaktformular og standard DPO-kontaktformular, som er blanketter, som skal kunne benyttes af borgere, der henvender sig, uagtet om fonden i forvejen har registreret personoplysninger om de pågældende. På den baggrund oplyser Arbejdsmarkedets Feriefond som standard på blanketterne, at en henvendelse vil medføre registrering af personoplysninger, og at pågældende ved fremsendelse af kontaktformularen giver samtykke hertil.
Arbejdsmarkedets Feriefond har anført, at klager i den konkrete sag ikke fremkom med personoplysninger, som fonden ikke i forvejen havde registreret som led i behandlingen af klagers verserende sag om udbetaling af feriepenge. Klagers personoplysninger blev således ikke behandlet på baggrund af et samtykke.
3. Begrundelse for Datatilsynets afgørelse
3.1.
Det følger af databeskyttelsesforordningens artikel 14, stk. 1 og 2, at den dataansvarlige – hvis oplysningerne ikke er indsamlet hos den registrerede – skal give den registrerede en række oplysninger, bl.a. for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede.
I medfør af databeskyttelsesforordningens artikel 14, stk. 3, skal den dataansvarlige give oplysninger som omhandlet i stk. 1 og 2, senest på tidspunktet for den første kommunikation med den registrerede, hvis oplysningerne skal bruges til at kommunikere med den registrerede, og ellers senest inden for en måned efter indsamlingen af oplysningerne. Oplysningerne kan gives til den registrerede eksempelvis i et direkte link.
Endvidere skal den dataansvarlige i medfør af artikel 12, stk. 1, træffe passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog.
Datatilsynet lægger til grund, at personoplysningerne om klager ikke blev indsamlet hos den registrerede selv, men blev modtaget fra Styrelsen for Arbejdsmarked og Rekruttering den 28. januar 2019.
Datatilsynet lægger endvidere til grund, at Arbejdsmarkedets Feriefond i brev af 28. januar 2019 oplyste klager om, at fonden behandlede oplysninger om klagers personnummer, navn, adresse, kontonummer og oplysninger om det aktuelle gældsforhold, at Arbejdsmarkedets Feriefond i brev af 14. februar 2019 på klagers foranledning oplyste, at oplysningerne kunne blive overgivet til en advokat, og at Arbejdsmarkedets Feriefond i brev af 28. marts 2019 oplyste klager om, at oplysningerne ville blive videregivet til Rigsarkivet.
Datatilsynet lægger herudover til grund, at Arbejdsmarkedets Feriefond – som svar på henvendelserne fra klager – i brevet af 14. februar 2019 henviste klager til at læse nærmere om fondens persondatapolitik på fondens hjemmeside.
I den version af fondens persondatapolitik, som var gældende på daværende tidspunkt, var anført følgende:
- identitet på og kontaktoplysninger for den dataansvarlige
- kontaktoplysninger for en eventuel databeskyttelsesrådgiver
- formålene med fondens behandling af oplysninger
- de berørte kategorier af personoplysninger
- hvor længe oplysningerne blev opbevaret
- oplysning om registreredes rettigheder
- retten til at indgive en klage til en tilsynsmyndighed (som fejlagtigt var angivet til at være Styrelsen for Arbejdsmarked og Rekruttering)
- hvor oplysningerne stammede fra
Persondatapolitikken indeholdt således bl.a. ikke oplysninger om retsgrundlaget for behandlingen (artikel 14, stk. 1, litra c) og oplysninger om eventuelle modtagere af personoplysningerne (artikel 14, stk. 1, litra e).
Datatilsynet finder herefter, at Arbejdsmarkedets Feriefond ikke i tilstrækkeligt omfang iagttog sin oplysningspligt over for klager, jf. databeskyttelsesforordningens artikel 14, stk. 1 og 2.
Datatilsynet finder endvidere, at Arbejdsmarkedets Feriefond ikke opfyldte sin oplysningspligt inden for den frist, som følger af forordningens artikel 14, stk. 3. Datatilsynet har herved lagt vægt på, at Arbejdsmarkedets Feriefond i sit første brev af 28. januar 2019 burde have givet klager alle oplysningerne omfattet af oplysningspligten, men at en række af oplysningerne først blev meddelt klager den 14. februar 2019 og den 28. marts 2019.
Datatilsynet finder desuden, at Arbejdsmarkedets Feriefond ikke har iagttaget databeskyttelsesforordningens artikel 12, stk. 1, i forbindelse med behandlingen af klagers personoplysninger. Datatilsynet har herved lagt vægt på, at Arbejdsmarkedets Feriefond ved at meddele klager oplysningerne trinvis undervejs i sagsbehandlingen fremfor i en samlet meddelelse ikke har truffet passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 14 i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form.
På den baggrund finder Datatilsynet grundlag for at udtale alvorlig kritik af Arbejdsmarkedets Feriefonds behandling af klagers personoplysninger.
3.2.
For så vidt angår den del af klagen, der angår indhentelse af samtykke, bemærker Datatilsynet, at databeskyttelsesforordningens artikel 5 indeholder generelle principper for behandling af personoplysninger. Det fremgår bl.a. af artikel 5, stk. 1, litra a, at personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde.
Arbejdsmarkedets Feriefond har oplyst, at behandling af de i sagen omhandlede oplysninger sker på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra c og e, samt databeskyttelseslovens § 11, stk. 1, jf. afsnit 2.2.2. ovenfor. Behandlingen sker således på et andet grundlag end samtykke, hvorfor indhentelse af klagers samtykke ikke er i overensstemmelse med artikel 5, stk. 1, litra a.
Datatilsynet finder på den baggrund grundlag for at udtale kritik af Arbejdsmarkedets Feriefond.
4.
Det tilføjes, at hvis Arbejdsmarkedets Feriefond i øvrigt foretager behandling af personoplysninger, som Arbejdsmarkedets Feriefond mener kun kan ske på grundlag af samtykke, skal Datatilsynet gøre opmærksom på, at det følger af databeskyttelsesforordningens artikel 4, nr. 11, at et samtykke forstås som enhver frivillig, specifik, informeret og utvetydig tilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling. Ligeledes følger det af databeskyttelsesforordningens artikel 7, stk. 3, at den registrerede til enhver tid har ret til at trække sit samtykke tilbage.
Det er Datatilsynets vurdering, at det samtykke, som klager afgav i forbindelse med sine henvendelser til Arbejdsmarkedets Feriefonds databeskyttelsesrådgiver, ikke opfylder betingelserne for et gyldigt samtykke, bl.a. fordi det ikke kan anses for at være afgivet frivilligt, idet klager ikke havde andre alternativer end at give sit samtykke til behandlingen, hvis klager ville kontakte databeskyttelsesrådgiveren.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).