Journalnummer: 2018-31-0846
Resume
Datatilsynet har truffet afgørelse i en sag vedrørende en skole, hvor en tidligere ansat klagede over, at skolen afviste at give ham fuld indsigt i en forældrehenvendelse, hvor en forælder bl.a. fortalte om vedkommendes indtryk af klager.
I den pågældende sag havde skolen afvist at give klager fuld indsigt i forældrehenvendelsen, idet skolen mente, at afsenderen af brevet ville kunne blive udsat for chikane eller lignende fra klager, såfremt klager blev bekendt med afsenderens identitet.
Datatilsynet lagde i sin afgørelse bl.a. vægt på, at klager har ret til at få indsigt i oplysninger om sig selv, og at dette også omfattede oplysninger om, at andre personer havde sagt noget om klager, herunder personernes navne. Oplysningerne kunne ikke undtages fra indsigt med henvisning til databeskyttelseslovens § 22, stk. 1, idet Datatilsynet ikke havde grundlag for at formode, at der var nærliggende fare for, at private interesser ville lide skade af væsentlig betydning.
Efter tilsynets opfattelse havde skolen således ikke i tilstrækkelig grad givet klager indsigt i oplysninger om ham selv efter databeskyttelsesforordningens artikel 15, hvilket gav tilsynet anledning til at udtale kritik.
På den baggrund meddelte Datatilsynet skolen påbud om, at give klager indsigt i hele forældrehenvendelsen med undtagelse af et telefonnummer.
Afgørelse
Datatilsynet vender hermed tilbage i sagen, hvor klager den 27. september 2018 har klaget til tilsynet over Skole X’s behandling af personoplysninger om ham.
Datatilsynet har forstået klagers henvendelse som en klage over, at han ikke har fået fuld indsigt i de personoplysninger, som Skole X har behandlet om ham i forbindelse med hans afskedigelse.
Datatilsynet skal endvidere bemærke, at tilsynet alene kan tage stilling til databeskyttelsesretlige spørgsmål. Datatilsynet har derfor med denne afgørelse ikke taget stilling til bl.a. spørgsmål om eventuelle injurier eller overtrædelse af tavshedspligt.
1. Påbud
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale kritik af, at Skole X ikke i tilstrækkelig grad har givet klager indsigt i oplysninger om ham selv, jf. databeskyttelsesforordningens[1] artikel 15.
Datatilsynet finder endvidere grundlag for at meddele Skole X påbud om at give klager indsigt i oplysningerne med undtagelse af et telefonnummer. Klager skal meddeles indsigt snarest muligt og senest 4 uger fra dags dato. Påbuddet gives i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra c.
Ifølge databeskyttelseslovens[2] § 41, stk. 2, nr. 5, er det strafbart med bøde eller fængsel i op til 6 måneder at undlade at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra c.
Skole X bedes give tilsynet underretning, når klager har fået indsigt.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at Skole X den 19. september 2018 sendte klager en skriftlig meddelelse om opsigelse og i den forbindelse fremsendte en kopi af en forældrehenvendelse, som havde haft betydning for skolens beslutning.
Skole X havde overstreget en række oplysninger i den kopi af forældrehenvendelsen, som klager modtog, hvorfor klager den 21. september 2018 anmodede om at modtage en kopi af henvendelsen uden overstregninger.
Skole X meddelte i den forbindelse den 24. september 2018 klager, at skolen ikke ville give klager indsigt i de ekstraherede oplysninger, da skolen mente, at oplysningerne kunne undtages fra indsigtsretten.
Det fremgår af sagen, at forældrehenvendelsen er sendt af en forælder, som fortæller om sit indtryk af klager, bl.a. klagers pædagogiske færdigheder. Desuden beskriver forælderen i brevet, hvad andre personer har fortalt om klager.
2.1. Skole X’s bemærkninger
Skole X har overordnet anført, at oplysningerne kan undtages fra retten til indsigt med henvisning til databeskyttelseslovens § 22, stk. 1.
Skole X har anført, at skolen vurderede, at afsenderen af brevet ville kunne blive udsat for chikane og lignende fra klager, og at der derfor var en nærliggende fare for, at private interesser ville lide skade, hvis klager blev bekendt med afsenderens identitet.
Skole X har videre anført, at sagen på tidspunktet, hvor klager anmodede om indsigt, var igangværende og aktuel, hvorfor videregivelse af oplysninger om afsenderens identitet, ville udsætte afsenderen for aktuel fare.
Skole X har anført, at skolen har overstreget oplysninger om tillidserhverv på afsenderens kollega, navn på afsenderens arbejdsplads og afdeling, navn på afsenderens ledere, navn og telefonnummer på afsenderens kollega. Skole X anfører endelig, at de pågældende oplysninger refererer til afsenderen af brevet.
2.2. Klagers bemærkninger
Klager har anført, at der er tale om oplysninger, som vedrører ham, og at han har behov for at få indsigt i hele brevet, så han kan forholde sig til indholdet.
Klager har yderligere anført, at når han læser forældrehenvendelsen, får han ikke indtryk af, at afsenderen af brevet føler sig chikaneret eller føler en aktuel fare.
3. Begrundelse for Datatilsynets afgørelse
Datatilsynet finder, at flere af de overstregede oplysninger i forældrehenvendelsen, er omfattet af klagers ret til indsigt, jf. databeskyttelsesforordningens artikel 15.
Datatilsynet har herved lagt vægt på, at retten til indsigt efter databeskyttelsesforordningens artikel 15 indebærer, at den registrerede har ret til at få indsigt i oplysninger, som vedrører den pågældende selv (egen access).
Indledningsvis bemærkes det, at oplysningen om en anden persons telefonnummer ikke er omfattet af klagers ret til indsigt, da oplysningen alene vedrører en anden person.
Oplysningerne om, at andre personer har sagt noget om klager, betragter Datatilsynet derimod som oplysninger vedrørende klager. Oplysningen om, hvem der har sagt noget om klager, herunder personens navn, samt personens udtalelse vil således være omfattet af klagers ret til indsigt.
Oplysningerne om personernes tillidserhverv, vil også være omfattet af klagers ret til indsigt, idet oplysningerne er relevante informationer i forhold til, hvem der har udtalt sig om klager.
Datatilsynet finder ikke, at oplysningerne kan undtages fra retten til indsigt, jf. databeskyttelseslovens § 22, stk. 1.
Det følger af databeskyttelseslovens § 22, stk. 1, at forordningens artikel 15 ikke gælder, hvis den registreredes interesse i oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv.
Med anvendelsen af udtrykket ”afgørende” i bestemmelsen menes, at hvis der er nærliggende fare for, at private interesser vil lide skade af væsentlig betydning, kan der ske undtagelse fra indsigtsretten.[3]
Datatilsynet har lagt vægt på, at Skole X ikke ses at have fremsat oplysninger, som kunne give grund til at formode, at klager ville udsætte afsenderen af brevet for chikane eller lignende. Datatilsynet finder således ikke grundlag for at formode, at der ville være nærliggende fare for, at private interesser vil lide skade af væsentlig betydning, hvorfor oplysningerne ikke kan undtages som følge af databeskyttelseslovens § 22, stk. 1.
Efter Datatilsynets opfattelse er Skole X således forpligtet til at give klager indsigt i samtlige overstregede oplysninger med undtagelse af det nævnte telefonnummer.
Datatilsynet finder på den baggrund grundlag for at udtale kritik af, at Skole X ikke i fornødent omfang har givet klager indsigt, jf. databeskyttelsesforordningens artikel 15.
Datatilsynet finder endvidere grundlag for at meddele Skole X påbud om at give klager indsigt i oplysningerne med undtagelse af det nævnte telefonnummer.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
[3] Forslag til lov nr. 502 af 23. maj 2018, lovforslag nr. L 68, de specielle bemærkninger til § 22.