Journalnummer: 2019-31-1713
Resume
Datatilsynet traf den 2. juni 2020 afgørelse i sagen, som omhandlede TDC A/S, Nuuday A/S og Dansk Kabel TV A/S.
Datatilsynet fandt grundlag for at udtale kritik af TDC A/S’ håndtering af klagers anmodning om indsigt, da TDC A/S først besvarede henvendelsen på Datatilsynets opfordring 5 måneder efter, at anmodningen blev fremsat.
Datatilsynet vurderede, at tilsynet ikke havde kompetence til at tage stilling til TDC A/S’ behandling af positionsdata om klager, da behandlingen fandt sted i henhold til udbudsbekendtgørelsens § 23, stk. 1, som ikke hører under Datatilsynets tilsynskompetence.
Tilsynet fandt endvidere ikke grundlag for at udtale kritik af Nuuday A/S’ håndtering af klagers indsigtsanmodning, idet tilsynet lagde vægt på, at den registrerede efter databeskyttelsesforordningens artikel 15, stk. 1, litra c, har ret til at få oplyst de modtagere eller kategorier af modtagere, som personoplysninger om vedkommende er eller vil blive videregivet til, men at der ikke efter databeskyttelsesforordningens artikel 15, stk. 1, gælder en ret til at få oplyst specifikt, hvilke oplysninger der er blevet videregivet.
Endelig fandt Datatilsynet anledning til at udtale kritik af Dansk Kabel TV A/S’ fortsatte behandling af oplysninger om klager efter kundeforholdets ophør, idet Dansk Kabel TV A/S behandlede oplysninger i form af kontoudtog, som rakte ud over opbevaringsperioden i bogføringslovens § 10, stk. 1.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor [X] den 18. april 2019 har klaget til tilsynet over en række virksomheders behandling af personoplysninger om ham.
Datatilsynet har forstået klagen som vedrørende:
- TDC A/S’ håndtering af klagers anmodning om indsigt af 14. november 2018
- TDC A/S’ behandling af oplysninger om klagers positionsdata
- Nuuday A/S’ profilering af oplysninger om klager
- Nuuday A/S’ oplysning om modtagere eller kategorier af modtagere af oplysninger om klager
- Dansk Kabel TV A/S’ fortsatte behandling af oplysninger om klager efter kundeforholdets ophør
Det fremgår af sagen, at klager er abonnent hos Telmore A/S og tidligere abonnent hos YouSee A/S og Dansk Kabel TV A/S. Virksomhederne er alle tilknyttet TDC Group.
Det fremgår af Telmore A/S’ hjemmeside og af Yousee A/S’ hjemmeside, at Nuuday A/S er dataansvarlig for Telmore A/S’ og Yousee A/S’ behandling af personoplysninger, og at Nuuday A/S også er tilknyttet TDC Group.
Endelig fremgår det af Dansk Kabel TV A/S’ persondatameddelelse, at Dansk Kabel TV A/S er dataansvarlig for virksomhedens behandling af personoplysninger.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale kritik af, at TDC A/S ikke har håndteret klagers anmodning om indsigt i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 15.[1]
For så vidt angår TDC A/S’ behandling af oplysninger om klagers positionsdata finder Datatilsynet, at tilsynet ikke har kompetence til at vurdere, om TDC A/S’ har behandlet oplysninger om klagers trafikdata i overensstemmelse med reglerne i udbudsbekendtgørelsens[2] § 23, stk. 1, jf. stk. 2.
Datatilsynet finder ikke anledning til at udtale kritik af Nuuday A/S’ behandling efter databeskyttelsesforordningens artikel 22.
Datatilsynet finder endvidere ikke tilstrækkeligt grundlag for at udtale kritik af Nuuday A/S’ behandling af oplysninger efter databeskyttelsesforordningens artikel 6, stk. 1, litra f, frem til klagers indsigelse.
I forbindelse med klagers bemærkninger om videregivelse til samarbejdspartnere finder Datatilsynet, at der ikke er grundlag for at antage, at Nuuday A/S’ behandling af klagers anmodning om indsigt skulle være sket i strid med databeskyttelsesforordningens artikel 15, stk. 1, litra c.
Datatilsynet finder endelig, at der er grundlag for at udtale kritik af, at Dansk Kabel TV A/S’ fortsatte behandling af oplysninger om klager efter endt kundeforhold ikke har været i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, smh. databeskyttelsesforordningens artikel 5, stk. 1, litra e.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelser.
2. TDC A/S’ håndtering af klagers anmodning om indsigt
Klager sendte den 14. november 2018 en anmodning om indsigt til e-mailadressen dpo@tdc.dk. Klagers anmodning var en besvarelse på en markedsføringse-mail fra YouSee A/S.
Da klager ikke modtog svar på sin anmodning, rettede han henvendelse til Datatilsynet, som den 21. februar 2019 oversendte henvendelsen til TDC A/S med henblik på, at TDC A/S besvarede klagers anmodning.
TDC A/S besvarede herefter klagers anmodning den 11. april 2019.
2.1. Klagers bemærkninger
Klager har anført, at TDC A/S besvarede hans anmodning efter databeskyttelsesforordningens artikel 15 om indsigt for sent, da der gik næsten fire måneder fra hans anmodning af 18. november 2018 til TDC’s besvarelse af 11. april 2019.
2.2. TDC A/S’ bemærkninger
TDC A/S har overordnet anført, at virksomheden ikke ses at have modtaget klagers e-mail af 14. november 2018. TDC A/S har oplyst, at virksomheden ikke dermed udelukker at have modtaget den pågældende e-mail.
TDC A/S har oplyst, at YouSee A/S den 14. november 2018 ved et uheld sendte et meget stort antal ufærdige e-mails til nuværende og tidligere kunder, hvis e-mailadresser var indeholdt i en midlertidig udsendelsesdatabase, som skulle have været ”renset” for gamle e-mailadresser inden en senere udsendelse. Hændelsen er tidligere blevet behandlet af Datatilsynet i forbindelse med Datatilsynets afgørelse af 28. marts 2019, j.nr. 2018-431-0017. TDC A/S modtog i denne forbindelse ekstraordinært mange henvendelser om e-mailudsendelsen, ligesom mange bad om indsigt i deres personoplysninger.
TDC A/S har på denne baggrund vurderet, at klagers henvendelse desværre må være blevet overset på grund af det store antal henvendelser.
2.3. Datatilsynets afgørelse og begrundelse
Datatilsynet lægger til grund, at klager den 14. november 2018 anmodede TDC A/S om indsigt i, hvilke oplysninger YouSee A/S og TDC-koncernen som helhed behandlede om ham.
Datatilsynet lægger endvidere til grund, at TDC A/S den 11. april 2019 besvarede klagers anmodning.
Det følger af databeskyttelsesforordningens artikel 12, stk. 3, at en anmodning om indsigt skal besvares uden unødig forsinkelse og senest en måned efter modtagelsen. Hvis anmodningen er kompliceret, kan den dataansvarlige forlænge svarfristen med yderligere to måneder. Der er således en absolut frist for besvarelse af anmodninger fra en registreret på tre måneder.
Datatilsynet finder således, at TDC A/S ikke har besvaret klagers anmodning om indsigt inden for fristen i databeskyttelsesforordningens artikel 12, stk. 3, jf. artikel 15.
Datatilsynet udtaler på denne baggrund kritik af, at TDC A/S ikke har besvaret klagers anmodning om indsigt i overensstemmelse med databeskyttelsesforordningens artikel 12, stk. 3, jf. artikel 15.
3. TDC A/S’ behandling af oplysninger om positionsdata
TDC A/S oplyste i besvarelsen af klagers indsigtsanmodning, at TDC havde registreret logs over positionsdata på klagers SMS- og taleaktivitet.
TDC A/S fremsendte således to bilag med titlen ”Positionsdata på sms og tale (detaljeret)” og ”Positionsdata på sms og tale (summeret)”. Bilagene indeholder en række oplysninger om telefonopkald og SMS’er, herunder lokationer, telefonnummer, udbyder samt opkaldslængde eller megabyte.
Den nyeste logning var fra marts 2019 og den ældste fra 2016.
3.1. Klagers bemærkninger
Klager har overordnet anført, at TDC A/S ikke har hjemmel til at behandle oplysninger om hans trafik- og positionsdata.
3.2. TDC A/S’ bemærkninger
TDC A/S har bekræftet, at virksomheden behandler oplysninger om klager i form af logning af trafikdata. TDC A/S behandler trafikdata for at kunne overføre kommunikation i et elektronisk kommunikationsnet samt for at kunne debitere abonnenten for denne brug og afregne samtrafik med andre udbydere.
Behandlingen har hjemmel i § 23, stk. 2, i bekendtgørelse nr. 715 af 23. juni 2011 om udbud af elektroniske kommunikationsnet og -tjenester (”udbudsbekendtgørelsen”).
TDC A/S har anført, at behandlingen således er i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra c, og artikel 5, stk. 1, litra e, idet behandling og opbevaring af trafikdata til brug for debitering og afregning af samtrafik er tilladt indtil udløbet af den lovhjemlede forældelsesfrist for de omhandlede gældsforpligtelser og afregning.
3.3. Datatilsynets afgørelse og begrundelse
Teleudbyderes behandling af personoplysninger er reguleret i både databeskyttelsesforordningen og databeskyttelsesloven samt telelovgivningen, herunder udbudsbekendtgørelsen[3].
Det følger af udbudsbekendtgørelsens § 23, stk. 1, at udbydere af offentlige elektroniske kommunikationsnet eller -tjenester skal sikre, at trafikdata vedrørende abonnenter eller brugere slettes eller anonymiseres, når de ikke længere er nødvendige for fremføringen af kommunikationen.
Det fremgår videre af udbudsbekendtgørelsens § 23, stk. 2, at, uanset stk. 1, må en udbyder som nævnt i stk. 1 behandle og opbevare trafikdata med henblik på debitering af abonnenter og afregning for samtrafik. En sådan behandling og opbevaring er tilladt indtil udløbet af den lovhjemlede forældelsesfrist for de omhandlede gældsforpligtelser og afregninger.
Reglerne i udbudsbekendtgørelsen anses for at være lex specialis i relation til databeskyttelsesforordningen, lex generalis. Det vil sige, at i det omfang reglerne regulerer samme spørgsmål som databeskyttelsesforordningen, går de forud for databeskyttelsesforordningen.
Idet udbudsbekendtgørelsens § 23, stk. 1, regulerer, hvor længe data må opbevares, går denne regel således forud for den generelle bestemmelse om opbevaringsbegrænsning i databeskyttelsesforordningens artikel 5, stk. 1, litra e.
Tilsvarende gælder i det omfang TDC A/S behandler oplysninger for at opfylde udbudsbekendtgørelsens § 23, stk. 2.
Datatilsynet finder i den forbindelse, at der ikke er grundlag for at tilsidesætte det af TDC A/S oplyste om, at oplysningerne, der fremgår af bilagene ”Positionsdata på sms og tale (detaljeret)” og ”Positionsdata på sms og tale (summeret)”, er nødvendige at opbevare af hensyn til at debitere abonnenten samt at afregne samtrafik med andre udbydere efter udbudsbekendtgørelsens § 23, stk. 2.
Datatilsynet kan således ikke træffe afgørelse om TDC A/S’ behandling af trafikdata om klager, da dette lægges til grund at ske i henhold til udbudsbekendtgørelsens § 23, stk. 1, jf. stk. 2, som ikke hører under Datatilsynets tilsynskompetence.
4. Nuuday A/S’ profilering af oplysninger om klager
TDC A/S fremsendte med besvarelsen af klagers indsigtsanmodning to dokumenter med titlerne ”Prediktive modeller forklaring” og ”Prediktive modeller”. Af dokumenterne fremgår det, at klagers tilbøjelighed til at opsige sit abonnement hos Telmore A/S er blevet vurderet, ligesom det er blevet vurderet, om klager har været mere eller mindre tilbøjelig til at købe en række mobiltelefonmodeller.
4.1. Klagers bemærkninger
Klager har overordnet anført, at TDC A/S ikke har haft hjemmel til at behandle de pågældende oplysninger om ham, fordi der er tale om profilering i markedsføringsøjemed.
Klager har gjort gældende, at der er sket en automatisk afgørelse efter databeskyttelsesforordningens artikel 22, stk. 1, i forhold til graden af markedsføring, hvilke produkter der skal markedsføres, og hvilke hjemmesider markedsføringen skal ske fra. Alene af denne årsag anser klager ikke databeskyttelsesforordningens artikel 6, stk. 1, litra f, som tilstrækkelig hjemmel, da profilering og automatiske afgørelser kræver samtykke.
Klager har herudover erklæret sig uenig i det af TDC A/S anførte om, at målrettet bannerannoncering ikke er direkte markedsføring.
Endelig har klager fastholdt, at TDC A/S har behandlet trafikdata omfattet af udbudsbekendtgørelsens § 23, stk. 1, med henblik på direkte markedsføring.
4.2. TDC A/S’ bemærkninger
TDC A/S har oplyst, at Nuuday A/S ikke behandler oplysninger om klager med henblik på profilering til brug for direkte markedsføring. Nuuday A/S har dog behandlet personoplysninger om klager til andre markedsføringsaktiviteter efter en interesseafvejning med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra f, men er ophørt med at behandle oplysningerne til dette formål, efter at klager har gjort indsigelse mod denne behandling i henhold til databeskyttelsesforordningens artikel 21, stk. 1.
Personoplysninger, som normalt anvendes til profilering, er enten indhentet fra kunden selv eller er blevet genereret i Nuuday A/S’ systemer i forbindelse med kundens brug af Nuuday A/S’ tjenester. TDC A/S behandler endvidere oplysninger om kundens eventuelle telefonabonnementer hos andre teleudbydere, hvis disse er tilgængelige via nummeroplysningstjenesten 118, der får disse oplysninger direkte fra teleudbyderne.
Idet databeskyttelsesforordningen ikke nærmere definerer begrebet ”direkte markedsføring”, har Nuuday A/S valgt at lægge sig op ad det tilsvarende markedsføringsretlige begreb, jf. Forbrugerombudsmandens Spamvejledning fra 2018[4], som blandt andet indeholder en udtømmende liste over de markedsføringskanaltyper, som kræver et samtykke.
Vejledningens bilag 1 indeholder en række eksempler på, hvad der kan udgøre direkte markedsføring på sociale medier, herunder privatbeskeder, notifikationer, kommentarer og tags.
TDC A/S har afslutningsvis understreget, at Nuuday A/S ikke benytter ”trafikdata”, jf. udbudsbekendtgørelsens § 2, stk. 1, nr. 2, til markedsføringsformål.
4.3. Datatilsynets afgørelse og begrundelse
Datatilsynet lægger til grund, at Nuuday A/S har behandlet oplysninger om klager til at udarbejde prediktive modeller med henblik på at målrette eventuel senere markedsføring, og at oplysningerne er indsamlet i forbindelse med klagers abonnement hos Telmore A/S.
Endvidere lægger Datatilsynet til grund, at Nuuday A/S ikke længere behandler oplysningerne om klager, efter klager gjorde indsigelse mod behandlingen.
Datatilsynet lægger endelig til grund, at Nuuday A/S ikke har indhentet et samtykke fra klager til det specifikke formål med behandlingen.
Datatilsynet finder ikke anledning til at udtale kritik af Nuuday A/S’ behandling efter databeskyttelsesforordningens artikel 22.
Det følger af databeskyttelsesforordningens artikel 22, stk. 1, at den registrerede har ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, som har retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende.
Datatilsynet finder, at Nuuday A/S’ behandling til det pågældende formål ikke kan anses for at være omfattet af klagers ret til ikke at være genstand for en automatisk individuel afgørelse efter databeskyttelsesforordningens artikel 22, stk. 1, da de af Nuuday A/S udarbejdede prediktive modeller ikke kan anses for at have haft retsvirkning eller på tilsvarende vis betydeligt have påvirket klager.
For så vidt angår grundlaget for behandlingen, er det Datatilsynets opfattelse, at behandlingen af oplysninger om klager med henblik på udarbejdelsen af de pågældende modeller for at have været lovlig skal have haft hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra f (”interesseafvejningsreglen”).
For at en behandling kan anses for lovlig efter interesseafvejningsreglen, skal behandlingen have været nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor.
Den dataansvarlige skal, når en behandling er baseret på databeskyttelsesforordningens artikel 6, stk. 1, litra f, endvidere til enhver tid tage stilling til den registreredes indsigelse efter databeskyttelsesforordningens artikel 21, stk. 1.
Datatilsynet har i den forbindelse noteret sig, at Nuuday A/S ophørte med at behandle oplysningerne, efter at klager havde gjort indsigelse mod behandlingen i henhold til databeskyttelsesforordningens artikel 21, stk. 1.
For så vidt angår spørgsmålet om, i hvilket omfang behandlingen af oplysningerne kunne finde sted på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra f, kan Datatilsynet oplyse, at der på tidspunktet for denne afgørelse pågår arbejde under Det Europæiske Databeskyttelsesråd om anvendelsen af databeskyttelsesforordningens artikel 6, stk. 1, litra f, herunder behandling af personoplysninger i forbindelse med markedsføring.
Datatilsynet har i øvrigt noteret sig, at der ikke foreligger oplysninger om, at Nuuday A/S har anvendt de pågældende prediktive modeller til at udføre markedsføring.
Endvidere har Datatilsynet noteret sig, at Nuuday A/S har oplyst, at oplysningerne ikke er blevet videregivet.
Datatilsynet finder på den baggrund ikke tilstrækkeligt grundlag for at udtale kritik af Nuuday A/S’ behandling af oplysninger frem til klagers indsigelse.
5. Indsigt i Nuuday A/S’ videregivelse af oplysninger om klager til samarbejdspartnere
Det fremgår af dokumentet ”TELMORE samarbejdspartnere – databehandler”, at Nuuday A/S videregiver oplysninger til en række samarbejdspartnere af hensyn til at levere en så god service som muligt til klager. Herefter følger en liste af Telmore A/S’ samarbejdspartnere, hvor det ved hver enhed er angivet, om der er tale om en databehandler eller en selvstændig dataansvarlig.
5.1. Klagers bemærkninger
Klager har gjort gældende, at der er sket videregivelse af personoplysninger om ham til en række samarbejdspartnere, der har markedsføring og profilering af ham som formål, og at han ikke har modtaget indsigt i, hvilke oplysninger der er overgivet til den liste af modtagere, som TDC A/S har oplyst forudsætningsvis har modtaget oplysninger om klager.
5.2. TDC A/S’ bemærkninger
TDC A/S har oplyst, at der overføres personoplysninger til samarbejdspartnere enten i form af overladelse til databehandlere, hvormed der er indgået databehandleraftaler, eller videregivelse til selvstændige dataansvarlige.
TDC A/S har oplyst, at der er blevet videregivet oplysninger om klager til følgende virksomheder, hvis de enkelte forudsætninger er opfyldt, med de angivne formål og hjemler:
- Bookmate Ltd
- Oplysninger: Navn, e-mailadresse og kundenummer
- Formål: Oprettelse af kundeforhold med Bookmate Ltd
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra a
- Forudsætning: Kunden har tilvalgt Telmore Play-fordelen ”Bookmate”
- C More Entertainment AB
- Oplysninger: Navn, e-mailadresse og kundenummer
- Formål: Oprettelse af kundeforhold med C More Entertainment AB
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra a
- Forudsætning: Kunden har tilvalgt Telmore Play-fordelen ”C-More”
- Økonomi- og Erhvervsministeriets departement
- Oplysninger: Navn og adresse
- Formål: Opslag i CPR for at verificere en kundes identitet
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra f
- Forudsætning: Videregivet i forbindelse med oprettelse af et abonnement
- Docktricks AB
- Oplysninger: E-mailadresse
- Formål: Udsendelse af e-mails til kunder
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra f
- Forudsætning: Videregivet, hvis it-platform står for selve udsendelsen af e-mails
- Egmont
- Oplysninger: Navn, e-mailadresse og kundenummer
- Formål: Oprettelse af kundeforhold
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra a
- Forudsætning: Kunden har tilvalgt Telmore Play-fordelen ”Flipp”
- Ericsson/MetraTech
- Oplysninger: Identifikationsoplysninger og fakturaer
- Formål: Leverandør af faktureringssystem. Oplysninger videregives for at kunne foretage korrekt opkrævning, og når leverandøren skal foretage fejlrettelser i systemet
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra f
- Forudsætning: Videregivet i de tilfælde, hvor leverandøren har haft adgang til systemet
- Google Ltd
- Oplysninger: Online data indsamlet ved hjælp af førstepartscookies på ”Mit Telmore”
- Formål: Statistik, markedsføring og optimering af brugeroplevelse på siden ved brug af Google Analytics
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra f
- Forudsætning: Kunden har brugt hjemmesiden ”Mit Telmore”
- HBO Nordic Services Denmark ApS
- Oplysninger: Navn, e-mailadresse og kundenummer
- Formål: Oprettelse af kundeforhold med HBO Nordic
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra a
- Forudsætning: Kunden har tilvalgt Telmore Play-fordelen ”HBO Nordic”
- Nets Denmark A/S
- Oplysninger: Kundeoplysninger nødvendige for at gennemføre betalinger
- Formål: Gennemførelse af betalinger via Nets’ løsninger
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra a
- Forudsætning: Kunden har valgt at betale TDC via Nets’ betalingsløsninger
- PostNord A/S
- Oplysninger: Navn, adresse og ordrenummer
- Formål: Sende breve og pakker til TDC’s kunder
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra f
- Forudsætning: TDC har sendt breve eller pakker til kunden
- TV2 Danmark A/S
- Oplysninger: Navn, e-mailadresse og kundenummer
- Formål: Oprettelse af kundeforhold med TV2
- Hjemmel: Databeskyttelsesforordningens artikel 6, stk. 1, litra a
- Forudsætning: Kunden har tilvalgt Telmore Play-fordelen ”TV2 Play”
TDC A/S har oplyst, at Nuuday A/S således ikke, som anført af klager, har videregivet oplysninger om klager til andre samarbejdspartnere end de angivne partnere, som klager alle blev oplyst om i forbindelse med besvarelse af hans indsigtsanmodning.
5.3. Datatilsynets afgørelse og begrundelse
Datatilsynet finder, at Nuuday A/S med bilaget ”TELMORE samarbejdspartnere – databehandler” har opfyldt databeskyttelsesforordningens artikel 15, stk. 1, litra c.
Datatilsynet har herved lagt vægt på, at den registrerede efter databeskyttelsesforordningens artikel 15, stk. 1, litra c, har ret til at få oplyst de modtagere eller kategorier af modtagere, som personoplysninger om vedkommende er eller vil blive videregivet til, men at der imidlertid ikke efter databeskyttelsesforordningens artikel 15, stk. 1, ikke gælder en ret til at få oplyst specifikt, hvilke oplysninger der er blevet videregivet.
Datatilsynet finder herefter, at der ikke er grundlag for, at Nuuday A/S’ behandling af klagers anmodning om indsigt skulle være sket i strid med databeskyttelsesforordningens artikel 15.
6. Fortsat behandling af oplysninger om klager efter endt kundeforhold hos Dansk Kabel TV A/S
Klager modtog ved besvarelsen af hans indsigtsanmodning en oversigt over kontoudtog hos Dansk Kabel TV A/S. Af oversigten fremgår en række opkrævninger og betalinger fra perioden 15. juni 2012 til 27. maj 2013. De samme poster fremgår af en oversigt benævnt ”Debitorkartotek”.
Det er oplyst, at klagers kundeforhold med Dansk Kabel TV A/S ophørte den 30. april 2013. I forlængelse af opsigelsen var der et reklamationsforhold mellem klager og Dansk Kabel TV A/S, der blev afsluttet den 28. maj 2013.
6.1. Klagers bemærkninger
Klager har anført, at opbevaringen af oplysninger helt tilbage fra 2012 går langt ud over den periode, som er hjemlet i bogføringsloven.
6.2. TDC A/S’ bemærkninger
TDC A/S har anført, at Dansk Kabel TV A/S ikke længere behandler personoplysninger i relation til det ophørte kundeforhold. Alle personoplysninger relateret til kundeforholdet er slettet eller anonymiseret pr. 30. april 2019.
De oplysninger, som indtil den 30. april 2019 blev behandlet af Dansk Kabel TV A/S, var almindelige personoplysninger, herunder stamoplysninger til identifikation af klager, og de produkter, som var omfattet af kundeforholdet, samt bogførings- og regnskabsdata.
Personoplysningerne blev behandlet med henblik på at opfylde Dansk Kabel TV A/S’ forpligtelse til selvstændigt og entydigt at kunne dokumentere et revisionsspor i 5 år fra udgangen af det år, regnskabsmaterialet vedrører.
Personoplysninger blev således behandlet med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra c.
TDC A/S anser ikke Dansk Kabel TV A/S’ behandling af personoplysningerne for at have været i overensstemmelse med databeskyttelsesforordningens artikel 5, stk. 1, litra e, om opbevaringsbegrænsning, idet data i den samlede tidsmæssige udstrækning af kundeforholdet blev behandlet med henblik på opfyldelse af ovenstående formål, hvor behandlingshjemlen til opfyldelse af dette formål alene gælder i fem år fra udgangen af det år, regnskabsmaterialet vedrører.
Dansk Kabel TV A/S burde derfor have slettet regnskabsmaterialet om kundeforholdet, når det var ældre end fem år fra udgangen af det år, regnskabsmaterialet vedrører, i stedet for at slette det samlede regnskabsmateriale for kundeforholdet fem år efter udgangen af regnskabsåret, hvor kundeforholdet ophørte.
Dansk Kabel TV A/S har på denne baggrund ændret sin politik for sletning af personoplysninger i denne henseende.
6.3. Datatilsynets afgørelse og begrundelse
Datatilsynet lægger til grund, at Dansk Kabel TV A/S indtil den 30. april 2019 behandlede oplysninger om klager fra perioden 15. juni 2012 til 27. maj 2013.
Det er af TDC A/S oplyst, at oplysningerne alene blev behandlet af hensyn til, at virksomheden selvstændigt og entydigt kunne dokumentere revisionsspor i fem år fra udgangen af det år, som regnskabsmaterialet vedrører.
Det følger af bogføringslovens[5] § 10, stk. 1, at den bogføringspligtige skal opbevare regnskabsmaterialet på betryggende vis i fem år fra udgangen af det regnskabsår, materialet vedrører. Opbevaringen skal ske på en måde, som i hele opbevaringsperioden muliggør en selvstændig og entydig fremfinding af det pågældende regnskabsmateriale.
Det følger heraf, at de personoplysninger, som Dansk Kabel TV A/S opbevarede om klager, ikke kunne opbevares med hjemmel i bogføringslovens § 10, stk. 1, ud over perioden 2017-2018.
Datatilsynet finder derfor anledning til at udtale kritik af, at Dansk Kabel TV A/S har behandlet oplysninger om klager i strid med databeskyttelsesforordningens artikel 6, smh. databeskyttelsesforordningens artikel 5, stk. 1, litra e.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Bekendtgørelse nr. 715 af 23. juni 2011 om udbud af elektroniske kommunikationsnet og -tjenester
[3] Bekendtgørelse nr. 715 af 23. juni 2011 om udbud af elektroniske kommunikationsnet og –tjenester
[4] Spamforbuddet Vejledning, Forbrugerombudsmanden, december 2018
[5] Bekendtgørelse nr. 648 af 15. juni 2006 af bogføringsloven