Journalnummer 2020-31-2260
Resumé
På baggrund af en klage over leveringen af inkassobreve fra Alektum A/S udtaler Datatilsynet kritik af databehandleren RoestNielsen ApS (herefter RoestNielsen), som ikke har handlet i overensstemmelse med den instruks, som RoestNielsen var blevet underlagt af Alektum A/S (herefter Alektum), som dataansvarlig.
Datatilsynet har i afgørelsen udtalt kritik af, at RoestNielsen ikke har levet op til de databeskyttelsesretlige krav om et passende sikkerhedsniveau, idet en konsulent ansat ved RoestNielsen afleverede inkassobreve til en borger, ved at placere brevene ved borgerens hoveddør.
I vurderingen har Datatilsynet lagt vægt på, at konsulenten ikke afleverede brevene i borgerens postkasse, uagtet at borgeren havde en postkasse, og at RoestNielsen placerede kuverterne så tilgængeligt, at der var en stor risiko for, at de ville gå tabt i et eventuelt uvejr, eller at uvedkommende ville kunne tilgå dem. Datatilsynet har endvidere lagt vægt på, at der i brevene fremgik oplysninger om inkasso og gæld, og at eksponering af sådanne oplysninger ville kunne indebære alvorlige krænkelser for borgeren.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor XX den 15. september 2019 har klaget til tilsynet over, at Alektum A/S den 10. september og den 15. september 2019 har afleveret to breve til klager ved at placere dem ved klagers hoveddør.
Alektum har indgået en databehandleraftale med RoestNielsen, hvorefter RoestNielsen leverer breve til debitorer på vegne af Alektum. Datatilsynet har vurderet, at nærværende sag skal rettes mod RoestNielsen, som databehandler. En nærmere begrundelse herfor findes under pkt. 3.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale kritik af, at RoestNielsens behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens[1] artikel 32, stk. 1.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Klager har den 15. september 2019 rettet henvendelse til Datatilsynet med en klage over, at Alektum henholdsvis den 10. september og den 15. september 2019 har afleveret breve til klager ved at placere dem ved klagers hoveddør.
Datatilsynet har ved brev af 2. oktober 2019 anmodet Alektum om en udtalelse til brug for sagens behandling. Alektum er ved brev af 23. oktober 2019 kommet med en udtalelse til sagen. I udtalelsen har Alektum oplyst, at virksomheden er dataansvarlig for behandlingen af oplysninger om klager, og at Alektum har indgået en databehandleraftale med RoestNielsen, hvorefter konsulenter hos RoestNielsen besøger og leverer breve til debitorer på vegne af Alektum.
Datatilsynet har ved brev af 19. november 2019 anmodet Alektum om at sende en kopi af den databehandleraftale, der er indgået mellem Alektum og RoestNielsen samt en kopi af den instruks, der vedrører aflevering af breve for Alektum. Alektum har ved brev af 9. december 2019 fremsendt en kopi af databehandleraftalen mellem Alektum og RoestNielsen, hvoraf Alektums instruks over for RoestNielsen fremgår af punkt 2.1.
Datatilsynet har som følge heraf ved brev af 25. februar 2020 anmodet RoestNielsen om en udtalelse til brug for sagens behandling. RoestNielsen er ved brev af 9. marts 2020 fremkommet med en udtalelse til sagen, hvori RoestNielsen bl.a. bekræfter, at der er indgået en databehandleraftale mellem parterne, og at behandlingen af oplysninger består i, at konsulenter ansat hos RoestNielsen besøger og leverer breve til debitorer på vegne af Alektum.
2.1. Klagers bemærkninger
Klager har oplyst, at hun den 10. september 2019 blev kontaktet af en nabo, som afleverede en kuvert til hende, hvorpå der med håndskrift stod hendes navn. Brevet i kuverten kom fra Alektum, og det var blevet fundet ude foran hendes ejendom. Klager formoder, at kuverten har fløjet rundt ude foran hendes ejendom, da hun bor i et sommerhusområde tæt ved vandet, og da der i dagene omkring den 10. september 2019 havde været hård vind og regn.
Klager har endvidere oplyst, at hun den 15. september 2019 fandt en tilsvarende kuvert siddende løst fast på hendes hoveddør, og at det må have været et tilfælde, at kuverten ikke var blæst væk.
Klager havde forud for besøget den 10. september 2019 modtaget et brev fra Alektum i sin postkasse, hvori de varslede, at de ville besøge hende den pågældende dato mellem kl. 08:00-12:00. Klager ønskede ikke det pågældende besøg, hvilket hun den 9. september 2019 gjorde Alektum opmærksom på i en e-mail.
Klager har om placeringen af hendes postkasse oplyst, at postkasserne i sommerhusområdet YY, hvor klager bor, er samlet centralt midt på ZZvej, og at hvert enkelt sommerhus således ikke har en postkasse på grunden.
2.2. Alektums bemærkninger
Alektum har oplyst, at konsulenten fra RoestNielsen, som besøgte klager den 10. september og den 15. september 2019, ikke kunne lokalisere en postkasse på klagers adresse, og at konsulenten derfor lagde brevene i en lukket kuvert påført klagers navn ved klagers hoveddør. I brevene fremgik oplysninger om klagers fulde navn, adresse, sagsnumre, gældsoplysninger og personnummer.
Alektum har endvidere oplyst, at Alektum – i sin egenskab af dataansvarlig – har instruktionsbeføjelser over for RoestNielsen, og at det ikke er i overensstemmelse med den instruktion, som RoestNielsen har fået, at aflevere breve foran debitorers hoveddøre. Alektum har en fast praksis, hvorefter breve alene må afleveres i en lukket kuvert i en postkasse med tydelig angivelse af den registreredes navn eller ved personlig henvendelse direkte til den registrerede.
2.3. RoestNielsens bemærkninger
RoestNielsen har oplyst, at en af deres konsulenter besøgte klagers adresse den 10. september og den 15. september 2019, og at klager forinden besøget den 10. september 2019 var blevet varslet herom.
Konsulenten konstaterede ved besøget den 10. september 2019, at klagers navn stod på døren, og at der på ejendommen var lys, og at stedet bar præg af beboelse. Efter gentagne gange at have banket på klagers dør, uden at klager åbnede, ledte konsulenten efter en postkasse, hvori han kunne aflevere et brev til klager. Konsulenten kunne ikke lokalisere klagers postkasse, hverken ved klagers hus eller ved vejen ved indgangen til adressen. Konsulenten udfærdigede derfor et lukket brev påført klagers navn og satte det fast under tagets udhæng ved indgangsdøren til klagers hus. Konsulenten vurderede, at kuverten sad ordentligt fast, således at vinden ikke kunne tage den.
Ved besøget den 15. september 2019 konstaterede konsulenten, at brevet fra den 10. september 2019 var blevet fjernet, men at sagen – på trods heraf – ikke var afmeldt af Alektum, hvorfor konsulenten ville aflevere et nyt brev. Efter endnu et forgæves forsøg på at finde klagers postkasse, placerede konsulenten en lukket kuvert påført klagers navn foran hoveddøren. Konsulenten vurderede endnu engang, at kuverten blev placeret på en sikker og forsvarlig måde, således at kuverten hverken blev våd eller blev taget af vinden.
På kuverterne fremgik alene klagers navn, hvorimod der i brevene fremgik oplysninger om, at der havde været en inkassokonsulent på adressen, og at debitor anmodes om at rette henvendelse angående hendes aktuelle gæld med henblik på en ordning om afdragsfrihed, afdragsordning eller indfrielse. Det fremgik endvidere, at klager ville undgå at få flere besøg, hvis hun kontaktede kreditor eller inkassovirksomheden.
RoestNielsen har oplyst, at det ikke er fast praksis at aflevere breve ved at placere dem ved debitorernes hoveddør, men at der i forbindelse med den pågældende hændelse er sket en fejl, som er i strid med den instruks, som konsulenterne er underlagt. Af RoestNielsens konsulentinstruks fremgår:
”Såfremt debitor ikke træffes ved besøget, afleveres et brev med besked om det gennemførte besøg, og at der vil ske genbesøg på et andet tidspunkt. Brevet afleveres i debitors postkasse i lukket kuvert og med debitors navn påført kuverten.”
RoestNielsen har endvidere oplyst, at virksomheden 3-4 gange årligt holder konsulentmøder, hvor konsulenterne uddannes i at rette henvendelse til debitorerne. I forbindelse hermed bliver det indskærpet over for konsulenterne, at de aldrig må aflevere dokumenter på en adresse, uden at disse dokumenter er lagt i en lukket kuvert, og at debitors navn skal fremgå på adressen, således at det er sikkert, at det er den korrekte adresse, som konsulenten befinder sig på.
RoestNielsen har som følge af hændelsen indskærpet over for konsulenterne, at breve skal afleveres i debitors postkasse, og at debitors navn skal fremgå på adressen, således at der ikke kan opstå lignende situationer.
3. Begrundelse for Datatilsynets afgørelse
3.1.
Datatilsynet lægger på baggrund af det oplyste til grund, at Alektum er dataansvarlig for behandlingen af oplysninger om klager, og at Alektum har indgået en databehandleraftale med RoestNielsen, hvorefter en konsulent hos RoestNielsen – på vegne af Alektum – har leveret breve til klager, ved at placere dem ved klagers hoveddør.
Endvidere lægger Datatilsynet til grund, at RoestNielsen ikke har leveret brevene i overensstemmelse med den instruktion, som RoestNielsen har fået fra Alektum, og at en konsulent hos RoestNielsen har begået en fejl i forbindelse med leveringen, som er i strid med den instruks, som RoestNielsens konsulenter er underlagt.
Datatilsynet finder på baggrund heraf, at nærværende sag skal rettes mod RoestNielsen, som databehandler.
3.2.
Datatilsynet lægger derudover til grund, at klager havde en postkasse, og at postkassen ikke var placeret på klagers ejendom, men at den var centralt placeret på ZZvej sammen med sommerhusområdets øvrige postkasser.
Det følger af databeskyttelsesforordningens artikel 32, stk. 1, at den ansvarlige for behandlingen – dataansvarlig eller databehandler – skal tilvejebringe et passende sikkerhedsniveau for den behandling af oplysninger, som der foretages.
Datatilsynet finder, at RoestNielsen ikke har levet op til kravene om et passende sikkerhedsniveau i databeskyttelsesforordningen artikel 32, stk. 1.
Datatilsynet har ved vurderingen heraf lagt vægt på, at RoestNielsen ved besøgene den 10. september 2020 og den 15. september 2020 ikke afleverede brevene til klager i klagers postkasse, uagtet at klager havde en postkasse. Datatilsynet finder, at RoestNielsen, der beskæftiger sig professionelt med postomdeling, burde være bekendt med, at der i sommerhusområder kan være centralt placerede postkasseanlæg. Datatilsynet finder derfor, at RoestNielsen burde have undersøgt dette nærmere, ved eventuelt at inspicere området omkring klagers ejendom eller ved at undersøge, om der på ejendommene omkring klagers bopæl var opsat postkasser.
Datatilsynet skal i den forbindelse bemærke, at det følger af § 9, stk. 5, i bekendtgørelse om postbefordring og postvirksomhed,[2] at der i fritidshusområder med fritidshuse, herunder sommerhuse, udstykket efter den 1. januar 1973, skal opstilles centralt placerede brevkasseanlæg.
Det er endvidere indgået i Datatilsynets vurdering, at placeringen af de to kuverter var så tilgængelig, at der var øget risiko for, at kuverterne ville gå tabt i et eventuelt uvejr, eller at uvedkommende ville kunne tilgå kuverterne.
Datatilsynet har endvidere lagt vægt på karakteren af de oplysninger, som fremgik af brevene, herunder oplysningen om at klager har gæld, som er indsendt til inkasso. Datatilsynet finder, at eksponering af sådanne oplysninger kan indebære alvorlige krænkelser for klager, hvis de kommer til uvedkommendes kendskab, eksempelvis ved krænkelse af klagers integritet og omdømme.
På den baggrund finder Datatilsynet grundlag for at udtale kritik af, at RoestNielsen ikke har levet op til kravene om et passende sikkerhedsniveau i databeskyttelsesforordningens artikel 32, stk. 1.
Ved vurderingen af sanktion har Datatilsynet, som skærpende omstændighed, lagt vægt på karakteren af de oplysninger, som fremgik af brevene. Datatilsynet har som formildende omstændighed lagt vægt på, at hændelsen er enkeltstående, og at det er en enkelt konsulent, som har handlet i strid med de retningslinjer, som konsulenten er underlagt.
Datatilsynet har noteret sig, at RoestNielsen – som følge af hændelsen – har indskærpet over for konsulenterne, at breve skal afleveres i debitors postkasse, og at debitors navn skal fremgå på adressen, således at der ikke kan opstå lignende situationer i fremtiden.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Bekendtgørelse nr. 727 af 24. juni 2011, i medfør af § 2, § 3, § 5, § 6, § 8, § 9, § 12, § 22, § 23, § 24, § 25, § 27, § 29 og § 30 i postloven, lov nr. 1536 af 21. december 2010.