Journalnummer: 2020-31-2757
Resume
Datatilsynet behandler mange klager, hvor den registrerede mener ikke at have fået tilstrækkelig indsigt i sine personoplysninger. Som eksempel herpå har Datatilsynet i august 2020 truffet afgørelse i en sag, hvor en borger klagede over, at han ikke havde modtaget alle de personoplysninger, som hans tidligere forsikringsselskab Velliv, Pension & Livsforsikring A/S (Velliv), behandlede om ham.
Borgeren havde bl.a. klaget til Datatilsynet over, at Velliv i forbindelse med besvarelse af hans indsigtsanmodninger ikke havde udleveret navnet på den lægekonsulent, der havde udarbejdet en lægekonsulentvurdering af klager. Datatilsynet fandt ikke grundlag for at indlede en klagesag, idet navnet på lægekonsulenten efter Datatilsynets opfattelse som det klare udgangspunkt ikke udgjorde en personoplysning om klager, og idet klager i sine henvendelser til tilsynet ikke havde angivet omstændigheder, som gav grundlag for at fravige dette udgangspunkt.
Klager rettede herefter på ny henvendelse til Datatilsynet og oplyste, at han fortsat mente, at der var oplysninger, som han havde krav på, som Velliv ikke havde givet ham indsigt i.
Velliv oplyste til Datatilsynet, at selskabet havde undladt at fremsende et internt arbejdsdokument, som indeholdt selskabets juridiske vurderinger af sagen, samt korrespondance med Vellivs advokat, som var relevant for forberedelsen af en kommende retssag varslet af klager. Ud over juridiske vurderinger af sagen indeholdt arbejdsdokumentet ifølge det oplyste bl.a. uddrag af lægelige oplysninger og en udført observation af klager, som tidligere var udleveret til klager i komplette udgaver.
Datatilsynet lagde i sin afgørelse til grund, at personoplysningerne indeholdt i det interne arbejdsdokument allerede var tilgået klager, og at materialet, herunder korrespondancen med advokaten, derudover ikke indeholdt oplysninger om klager, som var omfattet af hans ret til indsigt. Datatilsynet henviste i den forbindelse til, at den dataansvarlige efter omstændighederne kan nægte indsigt i f.eks. et notat, der vurderer, hvorvidt en bestemt retssag mod en kunde kan vindes.
Der kan læses mere om retten til indsigt samt undtagelserne til den i Datatilsynets vejledning om de registreredes rettigheder.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor du den 13. februar 2020 har klaget til tilsynet over, at Velliv, Pension & Livsforsikring A/S (herefter ”Velliv”) ikke har meddelt dig indsigt i alle oplysninger, som Velliv behandler om dig.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at Vellivs behandling af personoplysninger er sket i overensstemmelse med reglerne i databeskyttelsesforordningen[1], jf. artikel 15.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at din forsikringsdækning ved Velliv blev bragt til ophør den 1. februar 2019. Ophævelsen blev derefter indbragt for Ankenævnet for Forsikring, der gav Velliv medhold i at bringe din forsikring til ophør.
Primo december 2019 anmodede du om indsigt i korrespondancen mellem Velliv og dig. Efterfølgende anmodede du om indsigt i al materiale, som Velliv behandler om dig. Velliv fremsendte de samlede sagsakter i printet udgave ved brev af 16. januar 2020.
Den 12. januar 2020 rettede du henvendelse til Datatilsynet med en klage over, at Velliv havde afslået at oplyse navnet på den speciallægekonsulent, der bl.a. havde udfærdiget en lægekonsulentvurdering af dig.
Den 13. februar 2020 rettede du henvendelse til Datatilsynet på ny med en klage over, at Velliv ikke havde imødekommet din anmodning om indsigt i den interne dokumentation i din sag.
Ved afgørelse af 5. marts 2020 afviste Datatilsynet at indlede en klagesag i anledning af din klage, idet lægekonsulentens navn ikke er omfattet af din ret til indsigt. Datatilsynet fandt endvidere ikke grundlag for at konkludere, at Velliv behandlede oplysninger om dig, som du ikke havde modtaget indsigt i.
Den 25. marts 2020 rettede du fornyet henvendelse til Datatilsynet med en anmodning om genoptagelse af sagen. Datatilsynet vurderede på den baggrund, at der var grundlag for at indlede en sag for så vidt angik spørgsmålet om, hvorvidt Velliv havde udleveret alle oplysninger om dig.
Den 2. april 2020 anmodede Datatilsynet Velliv om en udtalelse til brug for sagen, som Velliv fremkom med den 23. april 2020.
Den 1. maj 2020 fremkom du med bemærkninger til Vellivs udtalelse.
2.1. Dine bemærkninger
Du har overordnet anført, at du ikke har fået fuld indsigt i de personoplysninger, som Velliv har behandlet om dig i perioden fra den 6. februar 2018 til den 10. januar 2019.
Du har i den forbindelse anført, at Velliv efter den 6. februar 2018 indledte en omfattende undersøgelse af dig, hvor du bl.a. blev observeret i to gange tre dage og undersøgt på de sociale medier, som også fremgår af en sagsfremstilling fra Velliv af 9. januar 2019.
Du gør gældende, at Velliv som følge af denne undersøgelse må have behandlet oplysninger om dig, og at du har ret til indsigt i disse oplysninger. Du gør også gældende, at Velliv må behandle yderligere oplysninger om dig, som du ikke har fået indsigt i, herunder referater af telefonsamtaler. Du er bl.a. blevet oplyst af en ansat ved Velliv, at hun ville lave et referat af jeres telefonsamtale. Dette referat fremgår ikke af det materiale, som du har fået fremsendt fra Velliv eller Vellivs advokat.
Du har endvidere anført, at du mener, at du har ret til indsigt i Vellivs medarbejderes stillingsbetegnelser.
2.2. Velliv, Pension & Livsforsikring A/S’ bemærkninger
Velliv har overordnet anført, at din anmodning om indsigt er blevet besvaret fyldestgørende, idet der ikke foreligger yderligere materiale eller oplysninger om dig, som er omfattet af retten til indsigt efter databeskyttelsesforordningens artikel 15. Anmodningen om indsigt blev ifølge Velliv modtaget den 2. december 2019 og besvaret den 16. januar 2020 ved fremsendelse af sagsakterne i printet udgave.
Velliv har oplyst, at Velliv i forbindelse med besvarelsen af indsigtsanmodningen undtog oplysninger, som ikke er omfattet af retten til indsigt, jf. databeskyttelseslovens § 22.
Velliv har oplyst, at Velliv med hjemmel i databeskyttelseslovens § 22 undtog oplysninger om dig indeholdt i et internt arbejdsdokument med Vellivs juridiske vurderinger til brug for Vellivs forberedelse af den retssag, som du har varslet. De oplysninger, som er indeholdt i de juridiske vurderinger, er efter Vellivs opfattelse ikke omfattet af indsigtsretten, idet der ikke er tale om personoplysninger, men vurdering af bevisbyrde mv.
Velliv har videre oplyst, at det interne arbejdsdokument derudover indeholder uddrag af de lægelige akter og lægekonsulentens besvarelser, referat af dine besvarelser til Velliv, resumé af akter indhentet ved internetundersøgelser og den udførte observation af dig, og at dette materiale er tilgået dig i komplette udgaver.
Velliv har anført, at det pågældende arbejdsdokument således ikke indeholder yderligere personoplysninger, som er omfattet af din ret til indsigt.
Velliv har endvidere oplyst, at korrespondancen mellem Velliv og Vellivs advokat vedrørende sagens forberedelse og bevisførelse er undtaget fra retten til indsigt.
Velliv har desuden anført, at navne og stillingsbetegnelser på medarbejdere hos Velliv ikke udgør personoplysninger om dig og derfor ikke er omfattet af din ret til indsigt efter databeskyttelsesforordningens artikel 15.
Velliv har endvidere oplyst, at der ikke foreligger yderligere notater eller skriftlig kommunikation mellem Velliv og dig, som du ikke allerede har fået indsigt i. Velliv har i den forbindelse gjort opmærksom på, at der ikke i alle tilfælde laves notater vedrørende telefonsamtaler med kunder. Velliv har understreget, at der således heller ikke opbevares yderligere materiale fra den gennemførte undersøgelse, ud over det materiale som du har fået indsigt i. Velliv har oplyst, at der løbende under selve observationen er blevet slettet optagelser, som enten ikke viser oplysninger om dig eller som er ubrugelige, f.eks. på grund af rystelser. Disse optagelser eksisterer således ikke.
3. Begrundelse for Datatilsynets afgørelse
3.1.
Efter databeskyttelsesforordningens artikel 15, stk. 1, har den registrerede ret til indsigt i behandling af oplysninger, der anses for at være oplysninger om den pågældende selv.
Begrebet ”personoplysninger” er i databeskyttelsesforordningens artikel 4, nr. 1, defineret som enhver form for information om en identificeret eller identificerbar fysisk person. Oplysninger om andre personer, herunder navn og stillingsbetegnelse, er således ikke omfattet af retten til indsigt efter databeskyttelsesforordningens artikel 15.
3.2.
Det følger af databeskyttelseslovens[2] § 22, stk. 1, at forordningens artikel 15 ikke gælder, hvis den registreredes interesse i oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv.
Af de specielle bemærkninger til lovens § 22, stk. 1, fremgår bl.a. at den dataansvarlige efter omstændighederne kan nægte indsigt i f.eks. et notat, der vurderer, hvorvidt der er udsigt til, at en bestemt retssag mod en kunde kan vindes.[3]
Det fremgår af sagen, at det interne arbejdsdokument og korrespondancen med Vellivs advokat dels indeholder uddrag af oplysninger om dig, som er tilgået dig i komplette udgaver, og dels juridiske vurderinger til brug for den varslede retssag, som ikke indeholder personoplysninger om dig.
3.3.
Efter en gennemgang af sagen finder Datatilsynet, at Velliv var berettiget til at undtage det interne arbejdsdokument og korrespondance med Vellivs advokat, jf. databeskyttelseslovens § 22, stk. 1.
Datatilsynet har herved lagt vægt på, at Velliv har oplyst, at de personoplysninger, som er indeholdt i det omhandlede materiale, allerede er tilgået dig, og at materialet derudover ikke indeholder oplysninger om dig, som er omfattet af indsigtsretten.
Datatilsynet finder endvidere, at der ikke er grundlag for at tilsidesætte Vellivs oplysninger til tilsynet om, at Velliv ikke herudover behandler yderligere oplysninger om dig omfattet af indsigtsretten end de personoplysninger, der allerede er givet indsigt i.
Datatilsynet bemærker i øvrigt, at det ikke er muligt at få indsigt i oplysninger, som den dataansvarlige har slettet.
Datatilsynet finder på den baggrund ikke grundlag for at udtale kritik af Velliv, idet Vellivs behandling af personoplysninger er sket inden for rammerne af reglerne i databeskyttelsesforordningens artikel 15 og databeskyttelseslovens § 22, stk. 1.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse
med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).
[3] Forslag til lov nr. 502 af 23. maj 2018, lovforslag nr. L 68, de specielle bemærkninger til § 22.