Journalnummer: 2019-31-2536
Resume
Datatilsynet har truffet afgørelse i en sag, hvor en borger havde klaget over offentliggørelse af personoplysninger i opslag på en Facebook-profil. Indklagede gjorde gældende, at behandlingen var sket i rent private sammenhænge og uden forbindelse til hendes virksomhed.
Datatilsynet fandt, at opslagene på indklagedes Facebook-profil ikke var en behandling af personoplysninger, som var foretaget som led i rent personlige aktiviteter.
Datatilsynet lagde herved bl.a. vægt på, at opslagene på Facebook-profilen havde nær tilknytning til indklagedes virksomhed, og at de vedrørte en retssag, som på daværende tidspunktet verserede mellem indklagedes virksomhed og klager. Datatilsynet lagde således vægt på, at der var tale om oplysninger, som relaterede sig til indklagedes og klagers forretningsforbindelse.
Uanset at der var tale om opslag på en Facebook-profil, som indklagede også anvendte i privat regi, var det således Datatilsynets vurdering, at indklagede ved opslagene havde offentliggjort oplysninger om klager, som var omfattet af databeskyttelsesreglernes anvendelsesområde.
Datatilsynet fandt herefter, at indklagedes offentliggørelse af oplysninger om klager kunne ske i medfør af interesseafvejningsreglen. Datatilsynet lagde i den forbindelse vægt på, at indklagede havde en legitim interesse i at ytre sig om klager og hendes tvist. Endvidere lagde tilsynet vægt på oplysningernes karakter og hensynet til informations- og ytringsfriheden, der måtte indgå med betydelig vægt, idet der var tale om meningstilkendegivelser og subjektive vurderinger, hvilket efter tilsynets opfattelse måtte stå læserne af opslaget klart. Datatilsynet lagde endvidere vægt på, at hensynet til klager ikke talte imod offentliggørelsen.
Da behandlingen var omfattet af databeskyttelsesreglernes anvendelsesområde, fandt Datatilsynet, at klager havde ret til at anmode om indsigt i de oplysninger, som indklagede behandlede om hende i det omfang behandlingen af oplysningerne skete som led i driften af indklagedes virksomhed. Datatilsynet anmodede på den baggrund indklagede om at tage stilling til og over for klager træffe afgørelse om, hvorvidt betingelserne for at meddele indsigt efter databeskyttelsesforordningens artikel 15 var opfyldt.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor [advokat] den 19. november 2019 på vegne af XX (herefter klager) har rettet henvendelse til tilsynet vedrørende din behandling af oplysninger om klager.
Datatilsynet har forstået henvendelsen som en klage over:
- at du har offentliggjort oplysninger om klager i en række opslag på din Facebook-profil, samt
- at du ikke har besvaret klagers anmodning om indsigt, herunder oplyst hvilke oplysninger du har registreret om klager, hvilke oplysninger du har videregivet om klager, og hvem du har videregivet oplysninger om klager til.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at behandlingen af personoplysninger er sket inden for rammerne af databeskyttelsesforordningens[1] artikel 6, stk. 1, litra f.
Datatilsynet skal på den baggrund anmode dig om at tage stilling til og over for klager træffe afgørelse om, hvorvidt betingelserne for at meddele indsigt efter databeskyttelsesforordningens artikel 15 er opfyldt, og i givet fald meddele klager indsigt i de oplysninger, som du behandler om hende, medmindre oplysningerne kan undtages efter databeskyttelsesforordningens artikel 15, stk. 4, eller databeskyttelseslovens § 22.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at du og klager har haft en tvist omkring ejerskabet af en hest. Det fremgår endvidere, at du ernærer dig ved at ride og sælge heste gennem din enkeltmandsvirksomhed YY v/ZZ (herefter virksomhed v/indklagede).
Den 12. november 2019 lavede du et opslag på din Facebook-profil med en henvisning til en artikel fra […] med titlen ”[…]” og med følgende tekst:
”Del del del del del del
Så kom historien om [hestens navn] frem i lyset. På forsiden af avisen. En noget redigeret og blid udgave af virkeligheden. Men stadig vandvittig grotesk. Hun er en skruppelløs, utaknemlig bedrager. Hun ejer hverken moral eller etik. Men snyde og bedrage det er hun mester i.
(…)
Alt yderlig info kan fået i PB”
Senere samme dag lavede du endnu et opslag på din Facebook-profil med en henvisning til en artikel […] med titlen ”[…]” og følgende tekst:
”Del del del gerne
læs artiklen om [hestens navn]. Og om en kvindelig bedrageri uden samvittighed”
Den 14. november 2019 rettede klager henvendelse til dig vedrørende opslagene på din Facebook-profil. Klager gjorde i den forbindelse opmærksom på, at der efter hendes opfattelse var tale om en uberettiget videregivelse af personoplysninger, og at opslagene derfor skulle fjernes ”senest inden udgangen af i dag”. Klager anmodede desuden om indsigt i de oplysninger, som du behandlede om hende, herunder en komplet liste over de personer, som du havde sendt oplysninger om klager til, samt hvilke oplysninger du havde sendt til de pågældende personer.
Den 16. november 2019 delte du dit opslag fra 12. november 2019 med følgende tekst:
”Må hellere dele igen så alle bliver advaret.”
Den 19. november 2019 rettede klager henvendelse til Datatilsynet, idet hun ikke havde hørt fra dig.
Den 4. december 2019 oversendte Datatilsynet klagers henvendelsen til dig med henblik på, at du tog stilling til henvendelsen og besvarede denne.
Klager rettede den 6. januar 2020 på ny henvendelse til Datatilsynet, idet du ikke havde besvaret henvendelsen.
På baggrund af Datatilsynets høring af 21. januar 2020 fremkom du den 5. marts 2020 med en udtalelse til sagen, som klager den 18. marts 2020 er kommet med bemærkninger.
2.1. Dine bemærkninger
Du har anført følgende:
”(…) Jeg skal anføre, at jeg ikke har nogle oplysninger registreret for så vidt angår klagers personlige forhold. Dermed har jeg heller ikke hverken anvendt eller viderebragt forhold der er indbefattet af Persondataforordningens bestemmelser.
Jeg tillader mig at antage at baggrunden for din henvendelse på vegne af din klient er sket efter at jeg har valgt at udtale mig til et lokalt medie om en række forhold. De personoplysninger som måtte være nævnt i denne sammenhæng er i øvrigt fuldt ud offentligt tilgængelige gennem offentlige databaser.
Jeg kan supplerende oplyse at alle de informationer jeg i øvrigt har anvendt, er forankret i et tidligere privat venskab med din klient. Det fremgår i øvrigt af sagsakter fra en aktuel retssag mellem din klient og undertegnede, at vores tidligere samarbejde har været mundtligt baseret, hvilket retten har afsagt flere afgørelser på baggrund af.
Alle henvendelser på sociale medier og lign. som følge af den omtalte avisartikel, er sket i rent private sammenhænge og har ikke noget med min virksomhed at gøre, da der som sagt ikke forefindes relevante personlige oplysninger om din klient i registre, dokumenter eller lign. som relaterer sig til driften af min virksomhed.
[…] har valgt at undlade at nævne klagers navn i den omtalte artikel. At der på min private Facebook-profil er en række indlæg, tager jeg det fulde ansvar for og jeg sikrer – som i alle andre forhold – at alle ytringer sker i overensstemmelse med gældende lov, men det gør dog ikke sagen erhvervsretlig ift. anvendelse persondata, da det alene foregår på min privat profil, og da der som sagt ikke anvendes oplysninger fra mit erhvervslige virke.
Afslutningsvis vil jeg gøre opmærksom på at jeg har fuld ret til at udtale mig til lokale, regionale såvel som statslige medier om sager som jeg vurderer har offentlighedens interesse.
Navneforbud i den omtalte artikel eller ej, så kan jeg oplyse at der er adskillige andre personer, som har oplevet tilsvarende adfærd og tvivlsomme forretningsmetoder fra din klient. Det kan I ikke forvente kan hverken censureres eller ties fremadrettet gennem hverken skrivelser til tilsynsmyndigheder eller retslige instanser.
Den frie meningsudveksling, der foregår mellem en lang række personer som har det til fælles at de føler sig snydt og bedraget af din klient, er alene baseret på privatpersoners egne personlige erfaringer. Der er således ikke nogen som har brug for at anvende registrerede data i deres virksomheder for at tale om din klient og hendes gøren og laden (…)”
2.2. Klagers bemærkninger
Klager har i sin klage til Datatilsynet blandt andet anført følgende:
”(…) virksomhed v/indklagede er en personligt drevet enkeltmandsvirksomhed, som er omfattet af persondataforordningen.
Indklagede skal derfor qua sit ejerskab og som ansat af virksomheden overholde forordningens regler i forhold til videregivelse af personoplysninger.
Det forhold, at indklagede videregiver sin version af sagsforløbet til pressen, er ikke det forhold, som klagen vedrører.
Klagen vedrører udelukkende det forhold, at indklagede videregivet urigtige og strafbare oplysninger om klager til flere tusinde mennesker, hvilket er i klar strid med persondataforordningens regler om videregivelse af personoplysninger.
Samtidig har klager fortsat ikke fået indsigt i, hvem indklagede har videregivet personoplysninger til, samt hvilke personoplysninger der er videregivet trods anmodning herom.
Idet indklagede ingenlunde respekterer klagers rettigheder, er nærværende klage nødvendiggjort.”
Klager har i sine bemærkninger af 18. marts 2020 blandt andet anført følgende:
”(…) Alle indklagede personelige og ukorrekte ytringer – til flere tusinde mennesker – om at min klient skulle have begået strafbare forhold ved at hjemtage sin egen hest, er alle oplysninger og forhold som ene og alene udspringer af den verserende retssag mellem virksomhed v/indklagede og klager.
Virksomhed v/indklagede er dataansvarlig og dermed forpligtet til at iagttage persondataforordningens regler om videregivelse af personoplysninger.
Det gøres gældende, at indklagedes ”personlige” ytringer skal vurderes under skærpende omstændigheder. Indklagede bør som indehaver/ejer være begrænset i sin ytringsfrihed og dermed i sin videregivelse af personoplysninger, som udspringer af hendes personligt ejede virksomhed, virksomhed v/indklagede.
Såfremt en indehaver/ejer af en virksomhed er berettiget til at ytre sig i ”privatregi” om verserende sager, som den pågældende virksomhed har mod en privat person, vil enhver ejer/indehaver kunne omgå persondataforordningens regler om uberettiget at videregive personoplysninger. Persondataforordningens beskyttelsesformål vil således kunne miste sin betydning og i værste konsekvens blive overflødig.”
3. Begrundelse for Datatilsynets afgørelse
1.1. Databeskyttelsesreglernes anvendelsesområde
Det følger af databeskyttelsesforordningens artikel 2, stk. 2, litra c, at forordningen ikke finder anvendelse for behandling af personoplysninger som foretages af en fysisk person som led i rent personlige eller familiemæssige aktiviteter.
Datatilsynet finder, at opslagene på din Facebook-profil ikke er en behandling af personoplysninger, som er foretaget som led i rent personlige aktiviteter.
Datatilsynet har herved lagt vægt på, at opslagene på Facebook-profilen har nær tilknytning til din virksomhed, virksomhed v/indklagede og vedrører den retssag, som på daværende tidspunktet verserede mellem din virksomhed og klager. Datatilsynet har således lagt vægt på, at der er tale om oplysninger, som relaterer sig til din og klagers forretningsforbindelse. Desuden har Datatilsynet lagt vægt på, at videregivelsen er sket til en bred og ubestemt kreds af personer, idet du har over 1.000 venner på din Facebook-profil, og idet profilen er offentlig.
Uanset at der er tale om opslag på en Facebook-profil som du også anvender i privat regi, er det således Datatilsynets vurdering, at du ved opslagene har offentliggjort oplysninger om klager, som er omfattet af databeskyttelsesreglernes anvendelsesområde.
1.2. Offentliggørelse af oplysninger om klager
På baggrund af sagens oplysninger er det Datatilsynets vurdering, at der ikke sker behandling af oplysninger om strafbare forhold, jf. databeskyttelsesforordningens § 8, idet beskyldningerne i opslagene om bedrageri ikke ses at være tilstrækkeligt underbygget.
Behandling, herunder offentliggørelse, af oplysningerne, kan herefter ske, hvis én af betingelserne i databeskyttelsesforordningens artikel 6, stk. 1, litra a-f, er opfyldt.
Idet klager ikke har givet samtykke til offentliggørelsen af oplysningerne, er det Datatilsynets opfattelse, at den relevante behandlingsregel i denne situation er artikel 6, stk. 1, litra f. Efter denne bestemmelse kan behandling af personoplysninger ske, hvis behandlingen er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor.
Der er tale om en behandlingsbetingelse, der kræver en konkret interesseafvejning.
Datatilsynet vurderer, at offentliggørelsen af oplysningerne om klager er sket inden for rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra f.
Datatilsynet har i den forbindelse lagt vægt på, at du havde en legitim interesse i ytre dig om klager og jeres tvist. Endvidere har tilsynet lagt vægt på oplysningernes karakter og hensynet til informations- og ytringsfriheden, der må indgå med betydelig vægt, idet der er tale om meningstilkendegivelser og subjektive vurderinger, hvilket efter tilsynets opfattelse må stå læserne af opslaget klart. Datatilsynet har endvidere lagt vægt på, at hensynet til klager ikke taler imod offentliggørelsen.
3.3. Indsigt i oplysninger om klager
Det følger af databeskyttelsesforordningens artikel 15, stk. 1, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og de informationer, der er nævnt i bestemmelsen litra a-h.
Det fremgår af sagens oplysninger, at du har afvist klagers anmodning om indsigt med henvisning til, at databeskyttelsesreglerne ikke finder anvendelse.
Som nævnt i pkt. 3.1 er det Datatilsynets vurdering, at databeskyttelsesreglerne finder anvendelse for så vidt angår behandling af personoplysninger, som har tilknytning til din virksomhed – uanset om oplysningerne behandles f.eks. via din Facebook-profil.
På den baggrund finder Datatilsynet, at klager har ret til at anmode om indsigt i de oplysninger, som du behandler om hende i det omfang, og at behandlingen af oplysningerne sker som led i driften af din virksomhed. Det vil bero på en konkret vurdering, hvorvidt du behandler oplysninger om klager, som er omfattet af reglerne om indsigt.
Datatilsynet skal på den baggrund anmode dig om at tage stilling til og over for klager træffe afgørelse om, hvorvidt betingelserne for at meddele indsigt efter databeskyttelsesforordningens artikel 15 er opfyldt, og i givet fald meddele klager indsigt i de oplysninger, som du behandler om hende, medmindre oplysningerne kan undtages efter databeskyttelsesforordningens artikel 15, stk. 4, eller databeskyttelseslovens § 22.
Såfremt klager ikke er enig i din afgørelse om indsigt, kan klager på ny rette henvendelse til Datatilsynet med henblik på at få tilsynets stillingtagen til spørgsmålet.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).