Journalnummer: 2019-812-0035
Resumé
En fængselsbetjent havde anmodet Kriminalforsorgen om indsigt i dokumenter, der kunne bekræfte, at han (som led i sin ansættelse) havde deltaget i voldsomme episoder, herunder rapporter om magtanvendelse, observationscelleanbringelser, sikringscelleanbringelser samt rapporter om trusler og eventuelle rapporter om selvmordsforsøg eller andre voldsomme selvbeskadigelser.
Kriminalforsorgen meddelte til at begynde med fængselsbetjenten afslag på hans anmodning om indsigt med den begrundelse, at det af tekniske årsager ikke var muligt at fremsøge alle de episoder, som han havde deltaget i, og at det alene var muligt at fremsøge rapporter, som fængselsbetjenten selv havde skrevet.
Fængselsbetjenten klagede herefter over Kriminalforsorgens afslag på indsigt til Datatilsynet.
Efter anmodning fra Datatilsynet oplyste Kriminalforsorgen, at det med systemleverandørens bistand alligevel var muligt at foretage en søgning efter specifikke rapporter, hvori fængselsbetjentens navn måtte være registreret, og at Kriminalforsorgen således havde meddelt fængselsbetjenten indsigt heri.
Kriminalforsorgen oplyste dog samtidig, at det ikke var muligt at foretage søgninger i rapporters fritekstfelter i det pågældende system med henblik på at afklare, om fængselsbetjentens navn måtte fremgå deri, da dette ville forudsætte en søgning i 8-10 mio. dokumenter i systemets dokumentserver, hvilket ikke kunne understøttes teknisk i systemet.
Efter en gennemgang af sagen – og efter at sagen har været forelagt Datarådet – udtalte Datatilsynet kritik af, at Kriminalforsorgen ikke have givet klager indsigt i overensstemmelse med retshåndhævelseslovens § 15, da Kriminalforsorgen først meddelte indsigt efter Datatilsynets henvendelse vedrørende sagen.
For så vidt angår den del af klagen, som vedrørte indsigt i eventuelle oplysninger i fritekstfelter, og som ville forudsætte en søgning i 8-10 mio. dokumenter i systemets dokumentserver, fandt Datatilsynet, at anmodningen ville kunne afvises under henvisning til retshåndhævelseslovens § 19.
Datatilsynet forudsatte i den forbindelse, at fritekstfelterne overvejende alene beskrev en funktion, som fængselsbetjenten havde varetaget på arbejdspladsen og ikke handlinger, som er udtryk for hans personlige valg og reaktioner, eller handlinger, som han var blevet udsat for.
Datatilsynet lagde endvidere vægt på bl.a., at Kriminalforsorgen allerede havde udfoldet betydelige bestræbelser på at fremfinde oplysninger om fængselsbetjenten, og at Kriminalforsorgen måtte antages at skulle anvende ikke ubetydelige ressourcer på at fremfinde eventuelle yderligere oplysninger om ham. Tilsynet lagde i tilknytning hertil også vægt på, at fængselsbetjenten ikke havde kunnet præcisere sin anmodning med henblik på at identificere yderligere oplysninger om ham.
Sagen er den første sag, hvor Datatilsynet har truffet afgørelse vedrørende retshåndhævelseslovens § 19 (tilsvarende bestemmelsen i databeskyttelsesforordningens artikel 12, stk. 5).
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor XX på vegne af XX (herefter klager) den 8. januar 2019 har klaget til tilsynet over Kriminalforsorgens afslag på klagers anmodning om indsigt.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale kritik af, at Kriminalforsorgens behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i retshåndhævelseslovens[1] § 15.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at klager den 17. september 2018 anmodede om indsigt i alle registreringer hos Kriminalforsorgen, hvor klager er nævnt ved navn, til brug for en verserende arbejdsskadesag.
Kriminalforsorgen anmodede den 4. oktober 2018 klager om at præcisere, hvilke rapporter der efter klagers opfattelse er relevante for behandlingen af vedkommendes arbejdsskadesag.
Som svar på Kriminalforsorgens anmodning præciserede klager sin anmodning om indsigt og oplyste, at han primært var interesseret i dokumenter, der kan bekræfte, at han har deltaget i voldsomme episoder, herunder rapporter om magtanvendelse, observationscelleanbringelser, sikringscelleanbringelser samt rapporter om trusler og eventuelle rapporter om selvmordsforsøg eller andre voldsomme selvbeskadigelser.
Kriminalforsorgen oplyste den 12. november 2018, at der efter en nærmere undersøgelse ikke var registreret yderligere oplysninger end dem, som klager allerede havde fået tilsendt i forbindelse med Kriminalforsorgens besvarelse af klagers anmodning om aktindsigt den 18. juni 2018.
Klager præciserede den 13. november 2018 på ny sin anmodning og oplyste, at han ønsker indsigt i rapporter, hvoraf hans navn fremgår. Klager oplyste i den forbindelse over for Kriminalforsorgen, at der efter hans vidende findes et større antal rapporter – hvori han er omtalt –end dem, som han allerede havde fået udleveret.
Kriminalforsorgen meddelte den 6. december 2018 klager et afslag på hans anmodning om indsigt med følgende ordlyd:
”[…] [Klager] anmoder om aktindsigt i samtlige dokumenter, hvor dit navn fremgår. Der er tidligere givet aktindsigt i registreringer vedr. vold og trusler. Områdekontoret har forstået, at denne anmodning vedrører samtlige rapporter om magtanvendelser, obscelleanbringelser, sikringscelleanbringelser samt rapporter vedrørende selvmordsforsøg, hvor du er nævnt ved navn.
I følge GDPR’s artikel 15 om ’Den registreredes indsigtsret’, har den registrerede ret til at få indsigt i de personoplysninger, som arbejdsgiver behandler vedrørende den pågældende og i givet fald adgang til disse personoplysninger.
I henhold til GDPR, er det således alene muligt at søge om indsigt i de personoplysninger, som kriminalforsorgen behandler om dig.
Aktindsigt i dokumenter (rapporter) hidrørende fra en konkret sag, skal imidlertid søges efter forvaltningslovens- og offentlighedslovens regler, hvilket I gjorde i mail af 7. juni 2018.
Områdekontoret i Ringsted besvarede din oprindelige anmodning den 18. juni 2018 og sikkerhedsenheden i Områdekontoret har undersøgt sagen yderligere og svaret igen den 12. november 2018. Områdekontoret kan oplyse, at aktindsigten er blevet begrænset, idet Områdekontoret i Ringsted ikke kan fremsøge alle rapporter fra Klientsystemet. Det er ikke muligt af rent teknisk årsager at fremsøge alle episoder, som du har deltaget i. Vi kan alene fremsøge de rapporter, som du selv har skrevet.
Det er som bekendt ikke muligt i Klientsystemet at søge i fritekst på en medarbejders navn eller på tværs i dette system.
Såfremt du ønsker indsigt i personoplysninger bedes du præcisere, i hvilke konkrete sager, du ønsker oplysningerne fra samt oplyse om tidspunkt, således at oplysningerne kan fremfindes.”
Klager rettede den 7. december 2018 fornyet henvendelse til Kriminalforsorgen, idet han fortsat anmodede om indsigt i ”samtlige dokumenter, hvor [klagers] navn er registreret”.
Kriminalforsorgen besvarede denne henvendelse den 20. december 2018 og fastholdt afslaget med samme ordlyd som sidst. Det fremgår af besvarelsen, at der er blevet udleveret to yderligere rapporter til klager samme dato.
2.1. Kriminalforsorgens bemærkninger
Kriminalforsorgen er den 1. marts 2019 fremkommet med en udtalelse i sagen. Kriminalforsorgen har overordnet anført følgende:
”Direktoratet kan indledningsvis oplyse, at når kriminalforsorgen behandler personoplysninger om medarbejdere, sker det som udgangspunkt i kriminalforsorgens HR-systemer, som er omfattet af databeskyttelsesforordningen. Efter Direktoratets opfattelse er der således som udgangspunkt ikke tale om behandling, der finder sted med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder for at beskytte mod eller forebygge trusler mod den offentlige sikkerhed, jf. retshåndhævelseslovens § 1.
Det kan imidlertid forekomme, at kriminalforsorgen behandler oplysninger om medarbejdere med henblik på at fuldbyrde strafferetlige sanktioner, hvorefter oplysningerne vil være omfattet af retshåndhævelsesloven. Det kan eksempelvis være tilfældet, hvis en medarbejder er ansat som fængselsbetjent og har foretaget magtanvendelse over for en af kriminalforsorgens klienter, hvorefter medarbejderens navn registreres i en magtanvendelsesrapport, som oprettes i kriminalforsorgens klientsagssystem på den pågældende klients sag.
Det kan på den baggrund oplyses, at Direktoratet behandler klagers henvendelse som en anmodning om indsigt efter reglerne i retshåndhævelseslovens kapitel 5, databeskyttelsesforordningens kapitel 3 og databeskyttelseslovens kapitel 3.
Direktoratet kan oplyse, at kriminalforsorgen behandler oplysninger om klager, der er omfattet af databeskyttelsesforordningen i kriminalforsorgens HR-systemer i kraft af klagers ansættelsesforhold.
Kriminalforsorgen behandler almindelige personoplysninger om klager i medfør af databeskyttelsesforordningens artikel 6, herunder navn, stilling, antal sygedage, løn, arbejdstelefonnummer og arbejdsmail.
Kriminalforsorgen behandler endvidere følsomme personoplysninger om klager i medfør af databeskyttelsesforordningens artikel 9, herunder oplysninger om klagers fagforeningsmæssige tilhørsforhold.
Kriminalforsorgen kan endvidere oplyse, at det i klientsagssystemet alene er muligt at fremsøge rapporter ud fra en medarbejders navn, som denne medarbejder selv har oprettet. Det er således som udgangspunkt ikke teknisk muligt at fremsøge andre rapporter vedrørende episoder, hvor en medarbejders navn måtte fremgå.
På den baggrund vil Direktoratet gå i dialog med leverandøren af klientsystemet med henblik på at afklare, om der er måder, hvorpå en sådan søgning kan foretages med henblik på at imødekomme klagers anmodning om indsigt i rapporter omfattet af retshåndhævelsesloven.
Direktoratet kan oplyse, at kriminalforsorgen agter at imødekomme klagers anmodning om indsigt efter databeskyttelsesforordningen og –loven i det omfang, klager måtte ønske indsigt i oplysninger omfattet af disse regelsæt.
For så vidt angår klagers anmodning om indsigt efter retshåndhævelsesloven, er Direktoratet ved nærmere at afklare hvordan og i hvilket omfang, kriminalforsorgen rent teknisk kan imødekomme klagers anmodning, jf. ovenfor.”
Som svar på Datatilsynets anmodning er Kriminalforsorgen den 3. maj 2019 fremkommet med en supplerende udtalelse. Af udtalelsen fremgår bl.a. følgende:
”Kriminalforsorgen kan oplyse, at klientsystemet er designet med henblik på at behandle oplysninger om kriminalforsorgens klienter, hvilket medfører, at der kan fremsøges oplysninger på en specifik klient i systemet. Det er derfor muligt at imødekomme en anmodning om indsigt fra en klient ved at foretage en søgning i systemet.
Når der oprettes en rapport under en sag i klientsystemet – f.eks. i forbindelse med magtanvendelse over for en klient – vil navnet på den medarbejder, der har foretaget fastholdelsen, blive registreret i rapporten. Hvis der efterfølgende er behov for at fremsøge, i hvilke rapporter en medarbejders navn er registreret, kan det ikke gøres ud fra en søgning på medarbejderens navn direkte i systemet.
Med henblik på at imødekomme anmodninger om indsigt i klientsagssystemet fra medarbejdere, har kriminalforsorgen været i dialog med leverandøren af klientsystemet. Kriminalforsorgen kan på den baggrund oplyse, at det ved leverandørens bistand er muligt at foretage en søgning efter specifikke rapporter, hvori en medarbejders navn måtte være registreret, og at det således er muligt at imødekomme medarbejderes anmodninger om indsigt i klientsystemet. Kriminalforsorgen fremsendte på den baggrund oplysninger omfattet af klagers anmodning om indsigt til klager den 3. april 2019.
Kriminalforsorgen kan således oplyse, at klienters og medarbejderes anmodninger om indsigt i oplysninger i klientsystemet kan imødekommes.
Kriminalforsorgen skal beklage den lange sagsbehandlingstid og at klagers anmodning om indsigt ikke blev imødekommet i første omgang.”
Herudover er Kriminalforsorgen den 15. august 2019 fremkommet med yderligere en udtalelse, hvoraf det bl.a. fremgår, at:
”Direktoratet for Kriminalforsorgen kan oplyse, at for så vidt angår de personoplysninger, der behandles om klager i medfør af databeskyttelsesforordningen, har kriminalforsorgen givet fuld indsigt i oplysninger omfattet af klagers anmodning.
Direktoratet kan desuden oplyse, at for så vidt angår den del af kriminalforsorgens oplysninger om klager, som er omfattet af retshåndhævelsesloven, er der på nuværende tidspunkt givet indsigt i en del af rapporterne omfattet af klagers anmodning, hvilket dog beklageligvis er sket ad flere omgange. Den resterende del af rapporterne omfattet af klagers anmodning arbejder kriminalforsorgen på hurtigst muligt at udlevere til klager.
For at imødekomme klagers anmodning om indsigt, indhentede kriminalforsorgen i marts måned oplysninger fra leverandøren af Klientsystemet om, i hvilke rapporter klagers navn var registreret. Kriminalforsorgen imødekom på den baggrund klagers anmodning.
Efterfølgende blev kriminalforsorgen imidlertid bekendt med, at såkaldte almindelige rapporter også kan fremsøges i klientsystemet, hvorfor leverandøren i juli måned blev bedt om at foretage endnu en søgning for at afklare, om der måtte være almindelige rapporter omfattet af klagers anmodning. Af søgningen foretaget i juli måned fremgik dels en række almindelige rapporter, men derudover også en række rapporter om magtanvendelse, sikringscelle og observationscelle, som beklageligvis ikke fremgik af leverandørens søgning foretaget i marts måned.
De uoverensstemmende resultater i søgningerne foretaget af leverandøren i henholdsvis marts og juli måned skyldes, at leverandøren har tilpasset og udvidet søgekriterierne med henblik på at få alle relevante rapporter med.
Direktoratet har været i dialog med leverandøren med henblik på såvel bagudrettet som fremadrettet at sikre, at alle relevante rapporter fremgår af de søgeresultater, som leverandøren udleverer til Kriminalforsorgen. Direktoratet har senest afholdt møde med leverandøren den 14. august 2019, hvor leverandøren oplyste, at der nu er foretaget ændringer i proceduren for søgningerne i Klientsystemet, så uoverensstemmelser i fremtiden kan undgås. Leverandøren sikrer konkret dette ved at gennemgå de scripts, der ligger til grund for søgningerne og samtidig sikre, at de anvendte søgekriterier fremgår tydeligt af søgeresultatet ved fremsendelse til kriminalforsorgen.
Direktoratet kan endvidere – i relation til det af klager anførte - oplyse, at der hverken af søgningerne foretaget i marts eller juli måned fremgår rapporter om selvmord, hvori klagers navn fremgår.
Direktoratet skal afslutningsvis bemærke, at kriminalforsorgen for nuværende ikke har mulighed for at foretage søgninger i rapporters fritekstfelter i Klientsystemet med henblik på at afklare, om klagers navn måtte fremgå deri. Det skyldes, at søgninger i fritekstfelter kræver, at der foretages søgninger i hele Klientsystemets dokumentserver, hvilket estimeres at omfatte mellem 8 og 10 millioner dokumenter. En sådan søgning er teoretisk mulig, men kan for nuværende ikke understøttes teknisk i Klientsystemet – hverken af kriminalforsorgen eller af leverandøren.
Direktoratet kan endeligt oplyse, at når registrerede både kan opnå indsigt i oplysninger om sig selv efter reglerne i offentlighedslovens § 8 og reglerne i retshåndhævelseslovens § 15, er det kriminalforsorgens vurdering, at retshåndhævelseslovens § 15 giver den registrerede en bedre retsstilling end offentlighedslovens § 8, da retten til indsigt efter retshåndhævelseslovens – i modsætning til reglerne i offentlighedsloven - også giver ret til visse kontekstuelle oplysninger, herunder bl.a. oplysninger om behandlingens formål, kategorierne af modtagere af oplysningerne, andre rettigheder efter retshåndhævelsesloven og – hvis muligt – det påtænkte tidsrum, hvor oplysningerne vil blive opbevaret.”
Kriminalforsorgen har endelig telefonisk den 8. oktober 2019 oplyst, at klager den 10. september 2019 er blevet meddelt indsigt i de rapporter, der blev fremfundet ved søgningen foretaget i juli 2019.
2.2. Klagers bemærkninger
Klager har overordnet anført, at Kriminalforsorgen ikke har meddelt ham fuld indsigt i de ønskede personoplysninger.
Klager har endvidere anført, at han har fået indsigt i oplysninger om ham, der fremgår af rapporter om magtanvendelse, sikringscelleanbringelser, observationscelleanbringelser og håndjernsanvendelse, men at der derimod ikke er givet indsigt i oplysninger, der fremgår af rapporter om eventuelle selvmordsforsøg og almindelige rapporter.
Efter klagers opfattelse kan oplysninger om klager også være at finde i disse typer af rapporter, ligesom der kan være andre typer af rapporter, hvori oplysninger om klager indgår.
Herudover har klager anført, at der principielt ikke er givet indsigt i samtlige oplysninger om klager, som Kriminalforsorgen behandler, da der bl.a. ikke fremgår, hvilke rapporter der er udeladt.
Klager har i den forbindelse henvist til en anden sag om indsigt, hvor det viste sig, at samtlige dokumenter ikke var udleveret, da det kunne konstateres, at der ”manglede” en rapport.
Klager har endelig anført, at man som medarbejder ikke har mulighed for at vide, hvilken type rapporter man er nævnt/registreret i, og når Kriminalforsorgen ikke endeligt kan bekræfte, at der er givet fuld indsigt, er det klagers opfattelse, at Kriminalforsorgen ikke har meddelt ham fuld indsigt.
3. Begrundelse for Datatilsynets afgørelse
3.1. Retshåndhævelseslovens anvendelsesområde
Idet klager efter det oplyste er blevet meddelt fuld indsigt i de oplysninger, som fremgår af Kriminalforsorgens HR-systemer, tages der med nærværende sag alene stilling til Kriminalforsorgens behandling af oplysninger om klager i klientsystemet.
Datatilsynet lægger i den forbindelse til grund, at Kriminalforsorgen behandler oplysninger om klager i Kriminalforsorgens klientsystem, idet klager er ansat som fængselsbetjent i kriminalforsorgen.
Datatilsynet finder, at behandlingen af oplysninger om klager, der fremgår af klientsystemet, er omfattet af retshåndhævelsesloven, jf. lovens § 1, stk. 1. Datatilsynet har herved navnlig lagt vægt på, at Kriminalforsorgens behandling af oplysninger om medarbejdere i klientsystemet uløseligt er forbundet med fuldbyrdelsen af strafferetlige sanktioner og udøvelsen af beføjelser gennem tvangsindgreb og magtanvendelse over for indsatte.
3.2. Kriminalforsorgens besvarelse af klagers anmodning om indsigt
Datatilsynet lægger ud fra det oplyste til grund, at Kriminalforsorgen til at begynde med har meddelt klager afslag på indsigt i dokumenter, der kan bekræfte, at han (som fængselsbetjent) har deltaget i voldsomme episoder, under henvisning til klientsystemets opbygning, og at Kriminalforsorgen efterfølgende – efter Datatilsynets henvendelse vedrørende sagen – løbende har meddelt klager indsigt i de rapporter, som kunne fremsøges i klientsystemet.
Registrerede har som udgangspunkt ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne, jf. retshåndhævelseslovens § 15. Når de omhandlede rapporter indeholder personoplysninger om klager, har klager således som udgangspunkt ret til indsigt.
Efter en gennemgang af sagen finder Datatilsynet, at Kriminalforsorgen – ved i første omgang at have givet klager afslag på indsigt i dokumenter, der kan bekræfte, at han (som fængselsbetjent) har deltaget i voldsomme episoder – ikke har handlet i overensstemmelse med retshåndhævelseslovens § 15, hvilket giver tilsynet grundlag for at udtale kritik.
Datatilsynet har herved lagt vægt på, at det er den dataansvarliges ansvar at besvare indsigtsanmodninger, herunder at imødekomme disse i videst muligt omfang. I den forbindelse har tilsynet også lagt vægt på, at Kriminalforsorgen ikke inddrog systemleverandøren med henblik på at fremsøge de pågældende oplysninger til at begynde med, og at dette først skete efter, at Datatilsynet havde rettet henvendelse til Kriminalforsorgen vedrørende sagen.
3.3. Yderligere indsigt i oplysninger, som fremgår af rapporters fritekstfelter
3.3.1.
Såvel offentlige som private arbejdsgivere vil – udover i HR-systemer – i vidt omfang behandle oplysninger om de ansatte i sagsbehandlingssystemer mv., hvor registreringen af oplysninger om den ansatte først og fremmest beror på den arbejdsmæssige funktion, som den pågældende varetager.
Disse oplysninger vil som udgangspunkt være personoplysninger, og den ansatte vil dermed have ret til indsigt mv. efter de databeskyttelsesretlige regler. Under hensyn til karakteren af oplysningerne og formålet med registreringen heraf vil undtagelsesbestemmelsen i retshåndhævelseslovens § 19 (og den tilsvarende bestemmelse i forordningens artikel 12, stk. 5) imidlertid i en række tilfælde være relevant.
3.3.2.
Efter ordlyden af retshåndhævelseslovens § 19 kan den dataansvarlige alene afvise at imødekomme åbenbart grundløse eller overdrevent gentagne anmodninger om indsigt. Det fremgår af de specielle bemærkninger til bestemmelsen[2]:
”Det fremgår af persondatalovens § 33, at en registreret person, der har fået meddelelse efter § 31, stk. 1, om den registreredes indsigtsret, ikke har krav på ny meddelelse før 6 måneder efter sidste meddelelse, medmindre der godtgøres en særlig interesse heri.
Det foreslås i § 19, at den dataansvarlige kan afvise at imødekomme åbenbart grundløse eller overdrevent gentagne anmodninger, som er fremsat i henhold til bestemmelserne i afsnit III.
Det er den dataansvarlige, som bærer bevisbyrden for, at betingelserne for, at der kan ske afvisning er opfyldt. Det er således ikke op til den registrerede at godtgøre en berettiget interesse, men i det omfang, at den registrerede fremkommer med oplysninger om en sådan interesse, vil der formodningsvist ikke være grundlag for at afvise anmodningen i medfør af den foreslåede bestemmelse”
Retshåndhævelseslovens § 19 er fastsat på baggrund af retshåndhævelsesdirektivets artikel 12, stk. 4, hvoraf det fremgår:
”Medlemsstaterne fastsætter bestemmelser om, at oplysninger, der gives i medfør af artikel 13, og enhver meddelelse og enhver foranstaltning, der træffes i henhold til artikel 11, 14-18 og 31 er gratis. Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige enten:
a) opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger ved at give oplysninger eller meddelelser eller træffe den ønskede foranstaltning, eller
b) afvise at imødekomme anmodningen.
Bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige.”
Da det ikke fremgår af bemærkningerne til retshåndhævelseslovens § 19, at der er tiltænkt en fravigelse af direktivets artikel 12, stk. 4, lægger Datatilsynet til grund, at der må anlægges en direktivkonform fortolkning af bestemmelsen. Det er på den baggrund Datatilsynets vurdering, at retshåndhævelseslovens § 19 finder anvendelse både i situationer med gentagne anmodninger og situationer med overdrevne anmodninger på samme måde som direktivets artikel 12, stk. 4.
3.3.3.
Af Datatilsynets vejledning om databeskyttelse i ansættelsesforhold (2018)[3] fremgår følgende eksempel, der er udfærdiget på baggrund af Datatilsynets afgørelse i en konkret sag:
”En fratrådt medarbejder anmoder sin tidligere arbejdsgiver om indsigt i de oplysninger, som arbejdsgiveren har registreret om ham.
Efter at have fået indsigt klager medarbejderen over, at der ikke er givet indsigt i breve, han har underskrevet, og notater og e-mails mv., som han har udfærdiget eller sendt i forbindelse med sin opgavevaretagelse.
Da formålet med indsigtsretten er at skabe åbenhed omkring behandlingen af personoplysninger, så den registrerede får mulighed for at kontrollere lovligheden af behandlingen og rigtigheden af de behandlede personoplysninger, er oplysninger om breve, notater og e-mails mv. udfærdiget eller sendt i arbejdsmæssig sammenhæng ikke oplysninger omfattet af indsigtsretten, og det er derfor berettiget, at den tidligere arbejdsgiver ikke har givet indsigt i disse oplysninger.”
Eksemplet vedrører oplysninger, som må anses for at være personoplysninger om den ansatte (oplysning om, at den ansatte i en given situation har underskrevet et brev, sendt en mail, mv.), men oplysningerne beskriver som udgangspunkt alene en funktion, som den pågældende har varetaget på arbejdspladsen. Oplysningerne siger derimod ikke i sig selv noget om den ansatte og er heller ikke registreret med det formål at behandle oplysninger om den pågældende.
3.3.4.
Den afgørelse, der har dannet baggrund for eksemplet, er truffet i medfør af det tidligere retsgrundlag, men det er Datatilsynets opfattelse, at der i tilfælde som det omtalte – i hvert fald, hvis der er tale om en stor mængde oplysninger – vil kunne gives afslag på indsigt efter retshåndhævelseslovens § 19 (tilsvarende databeskyttelsesforordningens artikel 12, stk. 5), eller under henvisning til, at anmodningen om indsigt er ”overdreven”. Endvidere må det tillægges betydning, at der, selv om der er tale om personoplysninger om den ansatte (oplysning om, at den ansatte i en given situation har underskrevet et brev, sendt en mail, mv.), først og fremmest beskrives en funktion, som den pågældende har varetaget på arbejdspladsen.
Det er dog samtidig Datatilsynets opfattelse, at der vil kunne forekomme tilfælde, hvor oplysninger, der er registreret om en ansat, ikke alene beskriver en funktion, som den pågældende har varetaget, eller blot konstaterer den pågældendes tilstedeværelse, men hvor registreringen tillige i videre omfang indeholder oplysninger ”om” den pågældende, f.eks. en beskrivelse af en handlemåde, som er udtryk for et personligt valg foretaget af den pågældende eller en reaktion fra dennes side.
3.3.5.
Datatilsynet skal hertil bemærke, at tilsynet ikke har kendskab til det nærmere indhold af de rapporter mv, som Kriminalforsorgen i den konkrete sag ikke har kunnet identificere og derfor ikke har kunnet give klager indsigt i. Datatilsynet er således ikke bekendt med, om der alene er tale om oplysninger om, at klager har været til stede, eller om der i dokumenterne tillige kan være mere detaljerede oplysninger om eller beskrivelser af handlinger, som klager har udført eller er blevet udsat for.
Datatilsynet lægger dog til grund, at mere detaljerede oplysninger om klager eller beskrivelser af handlinger, som den pågældende har udført eller er blevet udsat for, fremgår af de specifikke rapporter om magtanvendelse, sikringscelleanbringelse m.v., som klager allerede er blevet meddelt indsigt i, og at eventuelle oplysninger, der fremgår af fritekstfelterne i højere grad alene beskriver en funktion, som klager har varetaget på arbejdspladsen. Hvis der er tale om oplysninger, der tillige skulle kunne anvendes i forbindelse med f.eks. overvejelse om disciplinære reaktioner eller andre tiltag i forhold til den ansatte, må Datatilsynet således lægge til grund, at oplysningerne (tillige) er registreret i anden sammenhæng, f.eks. i den pågældende ansattes personalesag.
For så vidt angår oplysninger, der alene er registreret i klientsystemet, finder Datatilsynet, at klager i disse sammenhænge må anses som en biperson, hvilket må tillægges betydning ved vurderingen af, om retshåndhævelseslovens § 19 kan finde anvendelse i den omhandlede situation.
3.3.6.
En dataansvarlig, der har registreret en stor mængde oplysninger om den person, der ønsker indsigt, må gerne bede vedkommende om at præcisere sin anmodning med henblik på, at sagsbehandlingen lettes og sagsbehandlingstiden forkortes til fordel for den registrerede. En dataansvarlig kan derimod ikke afvise en anmodning om indsigt, hvis den registrerede ikke ønsker at præcisere sin anmodning. I så fald skal der gives indsigt i alle oplysninger, der behandles om den registrerede.
Hvis den registrerede er en biperson, vil den dataansvarlige imidlertid i tilfælde, hvor det ikke er muligt at søge på andre end hovedpersonerne, kunne være berettiget til at anmode en biperson om at fremkomme med de fornødne oplysninger til, at den dataansvarlige kan finde frem til eventuelle behandlinger af oplysninger om bipersonen. Tilsvarende vil gælde, hvis en identifikation af bipersonen ikke er mulig uden en fuldstændig gennemgang af en betydelig mængde registrerede oplysninger.
3.6.7.
Det fremgår af de foreliggende oplysninger, at Kriminalforsorgen i den aktuelle sag – i tilknytning til Datatilsynets behandling af sagen – har udfoldet betydelige bestræbelser på at fremfinde oplysninger om klager, selv om klager ikke har kunnet give nærmere oplysninger om de begivenheder eller de indsatte, i relation til hvilke klager mener at være registreret.
Kriminalforsorgen har efter det oplyste meddelt klager indsigt i de rapporter, der blev fremsøgt den 19. juli 2019. Kriminalforsorgen har imidlertid ikke meddelt klager indsigt i rapporters fritekstfelter i klientsystemet, idet dette efter det oplyste vil forudsætte en søgning i 8-10 mio. dokumenter, hvilket p.t. ikke vil kunne understøttes teknisk i klientsystemet.
Datatilsynet lægger på baggrund af det oplyste til grund, at det ikke kan udelukkes, at der behandles oplysninger om klager i de ovennævnte fritekstfelter, som klager ikke har fået indsigt i.
Idet Datatilsynet forudsætter, at fritekstfelterne overvejende alene beskriver en funktion, som den pågældende har varetaget på arbejdspladsen og ikke handlinger, som er udtryk for klagers personlige valg og reaktioner, eller handlinger, som klager er blevet udsat for, er det Datatilsynets vurdering, at klagers anmodning om yderligere indsigt i eventuelle resterende oplysninger i fritekstfelter kan afvises med henvisning til retshåndhævelseslovens § 19.
Ved denne vurdering har Datatilsynet således lagt særlig vægt på karakteren af oplysninger om klager i klientsystemets fritekstsfelter. Tilsynet har ligeledes lagt vægt på, at Kriminalforsorgen allerede har udfoldet betydelige bestræbelser på at fremfinde oplysninger om klager, og at Kriminalforsorgen må antages at skulle anvende ikke ubetydelige ressourcer på at fremfinde eventuelle yderligere oplysninger om klager. Endelig har tilsynet lagt vægt på, at klager ikke har kunnet give Kriminalforsorgen nærmere oplysninger om de begivenheder eller de indsatte i relation til, hvilke klager mener at være registreret.
Datatilsynet skal dog opfordre Kriminalforsorgen til at vurdere, hvorvidt der er grundlag for at udarbejde retningslinjer med henblik på at begrænse eller undgå registrering af personoplysninger i ikke-søgbare fritekstfelter i klientsystemet.
4. Afsluttende bemærkninger
Datatilsynet henviser afslutningsvis til tilsynets vejledning om de registreredes rettigheder[4], hvoraf der fremgår, at en offentlig myndighed, skal være opmærksom på samspillet mellem henholdsvis databeskyttelsesforordningens (og retshåndhævelseslovens) regler om indsigt samt forvaltningslovens og offentlighedslovens regler om partsaktindsigt og egenacces, og at der som udgangspunkt skal gives den registrerede indsigt og/eller aktindsigt efter de regler, der i den konkrete sag er mest gunstige for den registrerede.
Datatilsynet skal hertil bemærke, at tilsynet alene kan vurdere, hvorvidt der er givet indsigt i overensstemmelse med retshåndhævelsesloven. Datatilsynet kan således ikke vurdere, hvilke regler, der i en konkret sag giver den registrerede det mest gunstige resultat, da dette efter tilsynets opfattelse er et forvaltningsretligt spørgsmål.
[1] Lov nr. 410 af 27. april 2017 om retshåndhævende myndigheders behandling af personoplysninger.
[2] Lovforslag nr. 168, FT 2016/17, de specielle bemærkninger til lovforslagets § 19.
[3] Vejledningen kan tilgås på Datatilsynets hjemmeside: https://www.datatilsynet.dk/generelt-om-databeskyttelse/vejledninger/
[4] Datatilsynets vejledning om de registreredes rettigheder, s. 27.