Journalnummer: 2020-32-1294

Resumé

Datatilsynet har truffet afgørelse i en sag, hvor en borger har klaget over Udbetaling Danmarks videregivelse af klagers personnummer og indtægtsoplysninger til dennes samlever i forbindelse med pensionsberegning og -udbetaling til samleveren som førtidspensionist.

Datatilsynet har i afgørelsen fastslået, at Udbetaling Danmark var berettiget til at videregive oplysninger om klagers indtægtsforhold til samleveren, idet disse oplysninger indgik som en del af beregningsgrundlaget for samleverens førtidspension.

Udbetaling Danmark var dog ikke berettiget til at videregive klagers personnummer til dennes samlever, idet Udbetaling Danmarks interesse i at behandle personnummeret med henblik på entydig identifikation ikke kunne udstrækkes til også at gælde for samleveren.

1. Afgørelse

Datatilsynet vender hermed tilbage til sagen, hvor klager den 20. januar 2020 har klaget til tilsynet over, at Udbetaling Danmark har videregivet hans personnummer og indtægtsoplysninger til hans samlever.

Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale kritik af, at Udbetaling Danmarks behandling af personoplysninger, for så vidt angår videregivelse af klagers personnummer til klagers samlever, ikke er sket i overensstemmelse med reglerne i databeskyttelseslovens § 11, stk. 1.

Datatilsynet finder derimod, at videregivelse af oplysninger om klagers indtægtsforhold er sket inden for rammerne af artikel 6 i databeskyttelsesforordningen.[1]

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Det fremgår af sagen, at klager den 20. januar 2020 klagede til Datatilsynet over Udbetaling Danmarks videregivelse af hans personnummer og indtægtsoplysninger til hans samlever. Klager var blevet bekendt med, at Udbetaling Danmark havde videregivet personoplysninger om klager til hans samlever i de pensionsberegninger/pensionsmeddelelser, som klagers samlever modtager fra Udbetaling Danmark som førtidspensionist. Dette var endvidere sket uden klagers viden og accept.

Den 18. februar 2020 anmodede Datatilsynet telefonisk klager om at indsende yderligere oplysninger til brug for sagens behandling. Samme dato indsendte klager yderligere materiale til sagen i form af et svar fra Udbetaling Danmark på en henvendelse fra klager, dateret 10. december 2019.

Den 2. marts 2020 sendte Datatilsynet et høringsbrev til Udbetaling Danmark, og klager blev samme dato orienteret herom.

Den 23. marts 2020 kom Udbetaling Danmark med en udtalelse i sagen.

Klager sendte den 26. marts 2020 sine bemærkninger til Udbetaling Danmarks udtalelse.

2.1. Klagers bemærkninger

Klager har overordnet anført i sin klage af 20. januar 2020, at Udbetaling Danmark – uden hans viden og accept – har oplyst hans personnummer og personlige indkomst til hans samlever først skriftligt i forbindelse med pensionsudbetaling og siden mundtligt. Klager har endvidere oplyst, at han og samleveren ikke har og aldrig har haft fælles økonomi, ligesom de heller ikke har nogle juridiske forhold.

Herudover har klager i sine bemærkninger til Udbetaling Danmarks udtalelse blandt andet anført, at Udbetaling Danmark må kunne foretage beregninger uden oplysning af følsomme personoplysninger, når man ikke er gift og ikke har fælles økonomi. Ligeledes har klager anført, at hans samlever har kunnet få oplyst hans indtægt per telefon, uden at Udbetaling Danmark havde nogen sikkerhed for, hvem der ringede. Klager har endelig sat spørgsmålstegn ved, hvorfor Udbetaling Danmark ikke længere har cpr-nummer på korrespondance.

2.2. Udbetaling Danmarks bemærkninger

Udbetaling Danmark har i sin udtalelse af 23. marts 2020 overordnet anført, at:

”Udbetaling Danmark har videregivet klagers indtægtsoplysninger og hans personnummer til hans samlever. Oplysningerne er videregivet til samleveren i de pensionsmeddelelser/pensionsberegninger, som hun modtager fra Udbetaling Danmark som førtidspensionist”.

Udbetaling Danmark har endvidere oplyst:

Udbetaling Danmark varetager som offentlig myndighed sagsbehandlingen omkring og udbetalingen af en række offentlige ydelser, herunder førtidspension, jf. Udbetaling Danmark-loven § 1, stk. 1, nr. 2.

Udbetaling Danmarks behandling af klagers økonomiske forhold er hjemlet i pensionslovens § 32, stk. 1 a, hvoraf det fremgår at indtægtsgrundlaget for førtidspension skal opgøres på grundlag af pensionistens og en eventuel ægtefælles eller samlevers samlede indtægt.

Oplysningerne om klagers indtægtsgrundlag indgår således, når Udbetaling Danmark beregner hans samlevers førtidspension. Udbetaling Danmarks beregning af førtidspension er en afgørelse der skal begrundes jf. forvaltningslovens § 24, stk. 1 og 2. For at begrunde afgørelsen, skal samleveren oplyses om, på hvilket grundlag beregningen af førtidspension er foretaget, hvorfor det i denne forbindelse er nødvendigt at videregive oplysningerne om klagers indtægt. Det er samtidig nødvendigt at videregive klagers personnummer for entydigt at identificere ham.

Formålet med at oplyse om alle de indtægter og data i øvrigt, som Udbetaling Danmark har lagt til grund ved beregningen af samleverens førtidspension, er således, at samleveren skal have reel mulighed for at kunne vurdere, om det er de rigtige oplysninger, der er anvendt til at beregne hendes pension og dermed kunne vurdere, om hun får den rigtige pension.

Oplysningerne om indtægtsgrundlag behandles, herunder videregives, af Udbetaling Danmark, da det er nødvendigt af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, jf. databeskyttelsesforordningen art. 6, stk. 1, litra e.

Samtidig behandler Udbetaling Danmark klagers personnummer i forbindelse med beregningen af hans samlevers førtidspension, fordi det skal være muligt entydigt at identificere ham, jf. databeskyttelsesforordningen artikel 87 og databeskyttelsesloven § 11, stk. 1.

Denne behandling af klagers indtægtsoplysninger og hans personnummer vil derfor fortsætte, så længe han er samlevende med en borger, der modtager førtidspension, da oplysningerne er nødvendige for, at Udbetaling Danmark kan udføre sin myndighedsopgave.

Endelig har Udbetaling Danmark anført, at det er deres vurdering, at behandlingen af klagers indtægtsoplysninger og personnummer er sket i overensstemmelse med databeskyttelsesforordningens artikel 5 og de grundlæggende principper heri.

3. Begrundelse for Datatilsynets afgørelse

For så vidt angår Udbetaling Danmarks videregivelse af klagers indtægtsoplysninger til klagers samlever, er det Datatilsynets opfattelse, at Udbetaling Danmark efter blandt andet lov om Udbetaling Danmark og lov om social pension har opgaver, som henhører under offentlige myndigheders myndighedsudøvelse. En behandling af personoplysninger kan således finde sted, hvis den er nødvendig for udførelsen af disse opgaver, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra e.

Datatilsynet finder, at der ikke er grundlag for at tilsidesætte det af Udbetaling Danmark anførte om, at de for at leve op til forvaltningslovens krav om begrundelse i afgørelsessager er forpligtet til at oplyse klagers samlever (som modtager af Udbetaling Danmarks afgørelse) om, på hvilket grundlag beregningen af hendes førtidspension er foretaget, og at det i denne forbindelse har været nødvendigt at videregive oplysninger om klagers indtægtsforhold.

Datatilsynet har lagt vægt på, at klagers samlever som part i Udbetaling Danmarks sag om beregning af hendes førtidspension, har adgang til oplysningerne i sagen, både skriftligt og mundtligt, heriblandt oplysninger om klagers indtægtsforhold, der udgør en del af sagens oplysninger. Af pensionslovens[2] § 32a fremgår det således, at indtægtsgrundlaget for blandt andet førtidspension opgøres på grundlag af pensionistens og en eventuel ægtefælles eller samlevers samlede indtægt.

Hvad angår Udbetaling Danmarks videregivelse af klagers personnummer til dennes samlever med henblik på entydig identifikation, finder Datatilsynet, at dette ikke er i overensstemmelse med databeskyttelseslovens § 11, stk. 1.

Datatilsynet har herved lagt vægt på, at databeskyttelseslovens § 11, stk. 1, hjemler offentlige myndigheders behandling af oplysninger om personnummer med henblik på entydig identifikation eller som journalnummer. Det er tilsynets vurdering, at Udbetaling Danmarks videregivelse af klagers personnummer med det formål, at klagers samlever entydigt skal kunne identificere klager, falder uden for bestemmelsens anvendelsesområde. Bestemmelsens sigte er således alene den offentlige myndigheds egen entydige identifikation af den pågældende person.

Datatilsynet bemærker i forhold til telefonisk videregivelse af oplysninger, at Udbetaling Danmark som dataansvarlig er forpligtet til at sikre tilstrækkelig identifikation med henblik på at undgå, at der uberettiget videregives personoplysninger i forbindelse med telefonsamtaler.

 
[1]   Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Lovbekendtgørelse 2019-09-23 nr. 983 om social pension