Journalnummer: 2018-32-0286
Resumé
Datatilsynet har den 5. juli 2019 truffet afgørelse i en sag, hvor en borger klagede over, at en kommune havde afvist at slette oplysninger om borgeren i forbindelse med borgerens afsluttede sag hos kommunen.
Datatilsynet fandt, at kommunen ved først at besvare borgerens anmodning om sletning efter fem måneder og 21 dage ikke havde levet op til databeskyttelsesforordningens artikel 12, stk. 3. Efter denne bestemmelse skal den dataansvarlige nemlig behandle en anmodning fra den registrerede om sletning uden unødig forsinkelse og senest en måned efter modtagelsen af anmodningen. Denne periode kan dog forlænges med to måneder, hvis det er nødvendigt under hensyntagen til anmodningernes kompleksitet og antal.
Efter Datatilsynets opfattelse var der derimod ikke grundlag for at tilsidesætte kommunens vurdering af, at en undtagelse til retten til sletning i dette tilfælde fandt anvendelse. I vurderingen henviste kommunen til databeskyttelsesforordningens artikel 17, stk. 3, litra b. Efter denne bestemmelse finder retten til sletning ikke anvendelse, hvis den fortsatte behandling af oplysninger om den registrerede er nødvendig for at 1) overholde en retlig forpligtelse eller 2) udøve en opgave i samfundets interesse eller 3) udføre en opgave, som henhører under offentlig myndighedsudøvelse, som den dataansvarlige, altså kommunen, er blevet pålagt.
I den pågældende sag havde kommunen oplyst, at kommunen som offentlig myndighed har pligt til at overholde notat- og journaliseringspligten, og at der ikke har været dokumenter, som har været fejljournaliseret på sagen.
Datatilsynet fandt på grundlag af sagens omstændigheder, at kommunens afvisning af at slette oplysningerne ikke var sket i strid med reglerne i databeskyttelsesforordningens artikel 17.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor X (herefter klager) den 25. juni 2018 har klaget til tilsynet over Y Kommunes behandling af personoplysninger om hende.
Reglerne om databeskyttelse findes i en generel forordning fra EU om beskyttelse af personoplysninger, som gælder i både den private og offentlige sektor[1], og databeskyttelsesloven[2], der supplerer reglerne i forordningen.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet grundlag for at udtale kritik af, at Y Kommunes behandling af personoplysninger ikke har været i overensstemmelse med databeskyttelsesforordningens artikel 12, stk. 3.
Herudover finder Datatilsynet, at Y Kommunes behandling af oplysninger har været i overensstemmelse med databeskyttelsesforordningens artikel 17 og artikel 5, stk. 1, litra e.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagens omstændigheder
Det fremgår af sagen, at klager den 25. maj 2018 har anmodet Y Kommune om at slette oplysninger om hende i forbindelse med hendes afsluttede sag hos kommunen.
Det fremgår endvidere af sagen, at Y Kommune den 15. november 2018 har afvist at slette oplysningerne om klager med henvisning til databeskyttelsesforordningens artikel 17, stk. 3, og kommunens journaliseringspligt.
2.1. Klagers bemærkninger
Klager har anført, at klager den 25. maj 2018 anmodede Y Kommune om at få slettet sine oplysninger i forbindelse med sin sag hos kommunen. Oplysningerne var ifølge klager ikke længere nødvendige for kommunen at opbevare, da sagen var afsluttet.
Klager har derudover anført, at Y Kommune i første omgang ikke bekræftede modtagelsen af hendes henvendelse, og at klager derfor igen rettede henvendelse til kommunen den 1. juni 2018. Den 4. juni 2018 svarede kommunen, at kommunen var opmærksomme på klagers henvendelse.
Klager har endeligt anført, at hun efterfølgende ikke hørte mere fra kommunen, og at klager derfor den 19. juni 2018 kontaktede kommunen igen, men at kommunen fortsat ikke svarede på hendes anmodning.
2.2. Y Kommunes bemærkninger
Y kommune har anført, at kommunen ved en beklagelig fejl ikke har behandlet klagers anmodning om sletning af 25. maj 2018 rettidigt.
Y Kommune har herudover anført, at kommunen den 15. november 2018 har afvist klagers anmodning om sletning med den begrundelse, at kommunen som offentlig myndighed har pligt til at overholde notat- og journaliseringspligten, og at der ikke har været dokumenter, som har været fejljournaliseret på sagen.
Y Kommune har endvidere anført, at behandlingen af oplysningerne er sket i overensstemmelse med kravet om opbevaringsbegrænsning i databeskyttelsesforordningens artikel 5, stk.1, litra e.
3. Begrundelse for Datatilsynets afgørelse
3.1. For sen besvarelse af sletningsanmodning
Det følger af databeskyttelsesforordningens artikel 12, stk. 3, 1. pkt., at den dataansvarlige skal besvare en anmodning fra den registrerede om sletning efter databeskyttelsesforordningens artikel 17 uden unødig forsinkelse og senest en måned efter modtagelsen af anmodningen. Denne periode kan forlænges med to måneder, hvis det er nødvendigt, under hensyntagen til anmodningernes kompleksitet og antal. Den dataansvarlige skal endvidere underrette den registrerede om enhver sådan forlængelse senest en måned efter modtagelsen af anmodningen sammen med begrundelsen for forsinkelsen.
Datatilsynet finder, at Y Kommune ved først at have besvaret klagers anmodning 5 måneder og 21 dage efter anmodningen ikke har handlet i overensstemmelse med databeskyttelsesforordningens artikel 12, stk. 3.
Datatilsynet har herved lagt vægt på, at klager den 25. maj 2018 anmodede Y Kommune om at slette oplysningerne, og at Y Kommune først besvarede klagers anmodning den 15. november 2018.
Datatilsynet har endvidere lagt vægt på, at der efter det oplyste ikke var tale om en omfattende og kompleks anmodning, og at Y Kommune dermed burde have besvaret anmodningen inden for fristen i de databeskyttelsesretlige regler.
3.1. Afvisning af sletning til oplysninger
Ifølge forordningens artikel 17, stk. 1, har den registrerede ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:
- Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.
- Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a, eller artikel 9, stk. 2, litra a, tilbage, og der er ikke et andet retsgrundlag for behandlingen.
- Den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1, og der foreligger ikke legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2.
- Personoplysningerne er blevet behandlet ulovligt.
- Personoplysningerne skal slettes for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt.
- Personoplysningerne er blevet indsamlet i forbindelse med udbud af informationssamfundstjenester som omhandlet i artikel 8, stk. 1.
I forordningens artikel 17, stk. 3, er der fastsat en række undtagelser til den registreredes ret til sletning.
Det følger af artikel 17, stk. 3, litra b, at retten til sletning ikke finder anvendelse, hvis den fortsatte behandling af oplysninger om den registrerede er nødvendig for at overholde en retlig forpligtelse eller er nødvendig for at udføre en opgave i samfundets interesse eller en opgave, som henhører under offentlig myndighedsudøvelse, som den dataansvarlige er blevet pålagt.
Det betyder bl.a., at en offentlig myndighed ikke er forpligtet til at slette personoplysninger om den registrerede, hvis andre regler gør, at myndigheden ikke må slette dem. Det kan f.eks. være offentlighedslovens regler om notatpligt og journaliseringspligt. Disse regler gør, at en offentlig myndighed kun i få tilfælde vil kunne slette et dokument. Sletning kan normalt kun ske, hvor der er lovhjemmel til det, eller hvor et dokument ved en fejl er journaliseret på en forkert sag, og hvor dokumentet derefter journaliseres på den korrekte sag.
På baggrund af ovenstående finder Datatilsynet, at der ikke er grundlag for at konkludere, at Y Kommune behandler oplysninger om klager, som kan kræves slettet efter databeskyttelsesforordningens artikel 17.
Datatilsynet har herved lagt vægt på, at en offentlig myndighed i almindelighed ikke er berettiget til at slette bestemte dokumenter, der indgår i en sag, under henvisning til offentlighedslovens regler om notat- og journaliseringspligt og arkivlovens regler, og at sletning normalt kun kan ske, hvis der er lovhjemmel dertil. Begrundelsen herfor er bl.a., at myndigheden senere – f.eks. i forbindelse med klager eller genoptagelse – skal kunne dokumentere, hvad der er passeret i en sag.
Datatilsynet finder på baggrund af ovenstående ligeledes, at behandlingen af oplysningerne ikke er gået ud over, hvad der kan ske i henhold til princippet om opbevaringsbegrænsning, jf. databeskyttelsesforordningens artikel 5, stk. 1, litra e.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).