Kritik af Hadsund Apoteks brug af billeder af en tidligere medarbejder

Dato: 01-12-2021

Afgørelse Private virksomheder Kritik Påbud Klage Billeder og video Behandlingsgrundlag Retten til sletning

Datatilsynet har på baggrund af en klage udtalt kritik af, at Hadsund Apotek brugte billeder af en tidligere medarbejder i en markedsføringsvideo, som blev offentlig-gjort på Facebook.

Journalnr: 2021-31-4820

Resumé

Datatilsynet har truffet afgørelse i en klagesag, hvor Hadsund Apotek i forbindelse med apotekets rekruttering af nye farmakonom-elever benyttede billeder af en tidligere medarbejder i en markedsføringsvideo, som blev offentliggjort på Facebook.

Klager anførte i sagen, at hun ikke havde givet samtykke til, at billeder af hende kunne benyttes i markedsføringsøjemed af sin tidligere arbejdsgiver – Hadsund Apotek. Omvendt anførte Hadsund Apotek, at Hadsund Apotek kunne benytte billederne uden klagers samtykke, da Hadsund Apoteks legitime interesse heri oversteg klagers interesser.

Datatilsynet fandt i sagen, at Hadsund Apotek ikke havde benyttet billederne af den tidligere medarbejder i overensstemmelse med databeskyttelsesreglerne. Datatilsynets begrundelse herfor var:

at brugen af billeder af tidligere eller nuværende medarbejdere i markedsføringsøjemed som udgangspunkt forudsætter medarbejderens samtykke;
at Hadsund Apotek ikke havde indhentet klagers samtykke;
og at interesseafvejningsreglen ikke fandt anvendelse i situationen.

Som følge heraf udtalte Datatilsynet kritik af Hadsund Apoteks brug af de pågældende billeder. Endvidere meddelte Datatilsynet Hadsund Apotek et påbud om at slette de pågældende billeder fra markedsføringsvideoen.

1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale kritik af, at Hadsund Apotek behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens^[1] artikel 6.

Datatilsynet finder endvidere grundlag for at meddelle Hadsund Apotek påbud om:

at slette billederne, hvoraf klager fremgår, fra videoen, som Hadsund Apotek har offentliggjort på Facebook.

Påbuddet skal efterkommes snarest muligt og senest 4 uger fra dags dato.

Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra g.

Ifølge databeskyttelseslovens § 41, stk. 2, nr. 5, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Det fremgår af sagen, at klager tidligere var ansat hos Hadsund Apotek.

Klager opdagede den 23. marts 2021, efter hun ikke længere var ansat hos Hadsund Apotek, at Hadsund Apotek havde offentliggjort en markedsføringsvideo på apotekets Facebook-side, hvoraf der fremgik billeder af klager.

Som følge heraf anmodede klager den 23. og 24. marts 2021 – via Facebook og e-mail – om at få slettet billederne af hende, idet hun ikke mente at have givet tilladelse til, at Hadsund Apotek kunne bruge billeder af hende.

Klager modtog den 24. marts 2021 svar fra Hadsund Apotek, hvoraf følgende fremgik:

”Jeg skal her svare på dine henvendelser.

Vi har brugt apotekets billeder til markedsføring af vores virksomhed. Billederne er situationsbilleder og ikke portrætbilleder. Billederne har været brugt til markedsføringsføring via apotekets facebookprofil i flere år. Der er altså ikke tale om ny praksis. Du var vidende om, at billedet blev taget og det har ligget på apotekets side i mere end tre år. Der er ikke tale om ny praksis.

Billedet er ikke dit. Det er apotekets. Det kan fremadrettet blive benyttet tilsvarende.

Hvis du ønsker at kontakte os fremadrettet kan du skrive direkte til min mail.

Du er også velkommen til at få din advokat til at skrive til min mail.”

Datatilsynet sendte den 4. maj 2021 klagers henvendelse i høring og anmodede Hadsund Apotek om en udtalelse til sagen.

Hadsund Apotek fremsendte den 15. juni 2021 en udtalelse til sagen, som den 1. juli 2021 blev fremsendt til klager. Klager fremkom herefter hhv. den 5. og 12. juli 2021 med bemærkninger til udtalelsen.

2.1. Klagers bemærkninger

Klager har overordnet anført, at hun ikke har givet noget form for tilladelse til, at billeder af hende kan benyttes af Hadsund Apotek i markedsføringsøjemed, og at hun derfor ønsker alle billeder af hende selv slettet.

2.2. Hadsund Apoteks bemærkninger

Hadsund Apotek har overordnet anført, at Hadsund Apotek er af den opfattelse, at billederne af klager kan benyttes af Hadsund Apotek i medfør af databeskyttelsesforordningens artikel 6, stk. 1, litra f (interesseafvejningsreglen).

Hadsund Apotek har hertil supplerende forklaret, at klagers klage vedrører brugen af to billeder, som benyttes i en video i forbindelse med apotekets rekruttering af nye farmakonomelever. Videoen er i alt 1. minut og 19 sekunder lang, og billederne, hvoraf klager fremgår, vises alene i hhv. 2 og 5 sekunder.

Billederne er en del af en række billeder – ti i alt – som viser situationer fra apotekets dagligdag eller fra sociale arrangementer som f.eks. motionsløb og sommeraktiviteter. Hvert billede er kun synligt i få sekunder. Resten af videoen består primært af tekst, som beskriver farmakonomuddannelsen.

Begge billeder, som viser klager, har sammen med andre billeder ligget på internettet i årevis, hvorfor det blev vurderet problemfrit at benytte disse til videoen.

Det ene billede viser en større gruppe personer til et socialt arrangement for apotekets ansatte og deres familier. Kvaliteten af billedet, lysforholdene og antallet af personer gør, at man ikke ville kunne genkende klager eller hendes datter, hvis man ikke på forhånd ved, at det er dem. Flere tidligere kollegaer, der var med til det pågældende arrangement, har således ikke kunnet udpege klager på billedet og andre har måttet bruge udelukkelsesmetoden for at gøre det. Hadsund Apotek mener derfor ikke, at klager eller hendes datter kan siges at være genkendelige på billedet.

Det andet billede er taget på apoteket få dage før nytår og viser klager sammen med fire kollegaer i skrankeområdet på filialapoteket i Mariager. Alle fem personer er iført nytårshatte, og er således et standardbillede, hvor apotekets ansatte ønsker kunderne et godt nytår.

I forbindelse med denne sag har Hadsund Apotek selv sat os ind i reglerne for offentliggørelse af billeder på nettet, og har derfor udelukkende valgt apotekets egne billeder, der i forvejen var offentliggjort på nettet, eller hvor der kunne skaffes tilladelse.

Hadsund Apotek har i særlig grad gjort brug af følgende del af Datatilsynets vejledning:

Almindelige personoplysninger (i form af et helt almindeligt billede) kan imidlertid også behandles, hvis den dataansvarlige har en legitim interesse i at offentliggøre billedet, og denne interesse overstiger den registreredes interesser eller rettigheder (interesseafvejningsreglen).

Ved vurderingen af, om der kan ske offentliggørelse af et billede på baggrund af en interesseafvejning, kommer det bl.a. an på karakteren af billedet, herunder hvor og hvorfor billedet er taget, i hvilken sammenhæng billedet indgår, og hvad der er formålet med offentliggørelsen. Det er afgørende, at de personer, der er på billedet, ikke med rimelighed kan føle sig udstillet, udnyttet eller krænket, f.eks. i forbindelse med markedsføring eller andet kommercielt øjemed. Alderen på personen på billedet skal i den forbindelse også tages i betragtning. Overvej derfor altid, hvilke eventuelle indvirkninger eller konsekvenser en offentliggørelse af billedet kan have for de personer, der er på billedet

Hadsund Apotek mener, at det ene billede hvor klager kan genkendes, er et fuldstændig almindeligt billede, som tusinder af butikker tager hvert år, når de ønsker kunderne god jul eller godt nytår. Hadsund Apotek har helt klart en legitim interesse i offentliggørelsen, da der er behov for farmakonomelever, og de private apoteker er de eneste der ifølge loven kan rekruttere farmakonomelever. Hadsund Apotek kan ikke se, at klagers interesser eller rettigheder i denne sag skulle overstige dette behov for rekruttering.

Billedets karakter er på ingen måde problematisk. Den sammenhæng billedet er taget i er også uproblematisk, da der er tale om en ren arbejdsrelateret situation, og formålet med offentliggørelsen er at rekruttere elever til en uddannelse, som klager selv har gennemført, og derfor ikke med nogen rimelighed kan føle sig krænket over at blive sat i forbindelse med. Der er selvsagt intet nedladende, latterliggørende, udstillende eller krænkende materiale i videoen i øvrigt.

Den eneste grund til klagen er, at klager igen forsøger at smide grus i maskineriet hos sin tidligere arbejdsgiver.

Afslutningsvis har Hadsund Apotek for at afslutte sagen foreslået, at der for fremtiden placeres en ”smiley” over klagers ansigt, når apoteket benytter billeder, hvor klager kan genkendes.

3. Begrundelse for Datatilsynets afgørelse

3.1.

Det fremgår af databeskyttelsesforordningens artikel 4, nr. 1, at der ved personoplysninger forstås enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«); ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet.

Ifølge databeskyttelsesforordningens artikel 6, stk. 1, er behandling af personoplysninger kun lovlig, hvis og i det omfang mindst ét af forholdene i litra a-f gør sig gældende.

Efter artikel 6, stk. 1, litra a kan personoplysninger behandles, hvis den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.

Endvidere kan personoplysninger behandles, hvis behandlingen er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor.

Af Datatilsynets vejledning om databeskyttelse i forbindelse med ansættelsesforhold, afsnit 5.4.2 Medarbejderfotos på arbejdspladsens hjemmeside, fremgår følgende:

”Billeder af de ansatte på arbejdet vil som udgangspunkt ikke kunne offentliggøres uden den ansattes samtykke. Samtykket skal opfylde betingelserne i forordningens artikel 7 for et gyldigt samtykke. Arbejdsgiveren har derfor bl.a. pligt til at sikre, at samtykket er givet frivilligt. Der henvises til Datatilsynets vejledning om samtykke, som er tilgængelig på tilsynets hjemmeside.

Tilsvarende gælder, hvis en arbejdsgiver bruger billeder af ansatte i materiale, der f.eks. anvendes til markedsføring.

Hvis den ansatte vælger at trække sit samtykke tilbage, påvirker det ikke lovligheden af den behandling, der er baseret på samtykke, inden tilbagekaldelsen. Tilbagekaldelse af samtykke vedrører kun den fremtidige brug af billeder.

Hvis et samtykke trækkes tilbage, indebærer det, at fotos af den pågældende, som arbejdsgiveren har offentliggjort på internettet, skal fjernes. Det gælder også, selv om billedet f.eks. fremgår af en pjece, som er offentliggjort som pdf-fil. Hvis der er tale om trykt materiale, kan der ikke forlanges tilbagekaldelse af materiale, der allerede er distribueret. Datatilsynet har ikke taget stilling til spørgsmål vedrørende trykt materiale, der endnu ikke er distribueret. Det vil bero på de konkrete omstændigheder, om det i sådanne tilfælde kan kræves, at materialet destrueres.

Det kan ikke udelukkes, at der i konkrete tilfælde – navnlig under hensyn til de funktioner, som en medarbejder skal udføre – vil kunne offentliggøres fotos af den pågældende på internettet i medfør af forordningens artikel 6, stk. 1, litra e eller litra f.”

Det fremgår af databeskyttelsesforordningens artikel 17, at den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af forholdene i stk. 1, litra a-f, gør sig gældende. Det fremgår bl.a. af litra a-c, at personoplysninger skal slettes, hvis:

Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.
Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), tilbage, og der er ikke et andet retsgrundlag for behandlingen.
Den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1, og der foreligger ikke legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2.

3.2.

Datatilsynet lægger på baggrund af de til sagen fremkomne oplysninger til grund, at begge billeder, hvoraf klager fremgår, udgør personoplysninger, som skal behandles i overensstemmelse med databeskyttelsesreglerne.

Datatilsynet finder, at Hadsund Apoteks behandling af oplysninger om klager i forbindelse med offentliggørelsen af den pågældende video på Facebook, hvoraf der fremgår billeder af klager, ikke er sket inden for databeskyttelsesreglerne.

Datatilsynet har herved lagt vægt på, at formålet med videoen er at markedsføre Hadsund Apotek, og derved rekruttere farmakonomelever til apoteket.

Brugen af billeder til det pågældende formål, hvoraf der fremgår ansatte, herunder særligt tidligere ansatte, forudsætter, som det fremgår af Datatilsynets vejledning ovenfor, som udgangspunkt den registreredes – den som oplysningerne vedrører – samtykke.

Klager har efter det oplyste ikke givet samtykke til, at Hadsund Apotek kunne benytte billeder af hende, og i det omfang hun måtte have gjort således, trak klager et eventuelt samtykke tilbage den 23. marts 2021.

Det er herudover Datatilsynets vurdering, at brugen af de pågældende billeder, hvoraf klager fremgår, ikke kan foretages på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra f, da klagers interesse i, at billederne ikke anvendes til markedsføring af Hadsund Apotek, overstiger Hadsund Apoteks interesse i et benytte de pågældende billeder til brug for markedsføring.

Datatilsynet finder på baggrund heraf anledning til at udtale kritik af, at Hadsund Apotek ikke har haft fornøden hjemmel i databeskyttelsesforordningens artikel 6 til at offentliggøre billederne af klager i forbindelse med markedsføring af Hadsund Apotek.