Journalnummer: 2020-32-1566
Resume
Datatilsynet har truffet afgørelse i en sag, hvor en borger klagede over, at Erhvervsstyrelsen havde optaget en telefonsamtale mellem ham og styrelsen uden først at have indhentet et samtykke hertil.
Under sagen kom det frem, at Erhvervsstyrelsen siden den 1. juni 2018 havde optaget samtlige indgående telefonopkald til styrelsens kundecenter. Optagelserne blev foretaget med det formål, at have dokumentation ved indgivelse af politianmeldelse med henblik på at beskytte medarbejderne i styrelsens kundecenter mod trusler mv., og til brug for oplæring og løbende uddannelse af kundecenterets medarbejdere af hensyn til myndighedens vejledningspligt.
Datatilsynet fandt – efter at sagen havde været forelagt Datarådet – at Erhvervsstyrelsens generelle praksis, hvorefter der uden undtagelse skete optagelse af telefonsamtaler med borgere, virksomheder mv., som ringede ind til styrelsen for råd og vejledning, ikke kunne anses for nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse.
Datatilsynet lagde i den forbindelse vægt på, at det – bl.a. henset til Erhvervsstyrelsens myndighedsopgaver – måtte antages at have undtagelsens karakter, at borgere og virksomheder ringede ind og truede styrelsens medarbejdere i en sådan grad, at styrelsen ville foretage politianmeldelse.
Datatilsynet fandt endvidere, at Erhvervsstyrelsens optagelse af telefonsamtaler til brug for kvalitets- og uddannelsesmæssige formål kun kunne ske på baggrund af et samtykke fra de registrerede.
Datatilsynet udtalte på den baggrund alvorlig kritik af Erhvervsstyrelsens behandling af personoplysninger i forbindelse med optagelse af telefonsamtaler.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Erhvervsstyrelsens behandling af oplysninger om klager i form af optagelse af telefonsamtale ikke er sket i overensstemmelse med databeskyttelsesforordningens[1] artikel 6, stk. 1.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at Erhvervsstyrelsens kundecenter den 26. juni 2020 optog en telefonsamtale med klager.
Den 3. juni 2020 rettede klager henvendelse til Erhvervsstyrelsen med henblik på at gøre styrelsen opmærksom på, at styrelsens praksis for optagelse af telefonsamtaler var i strid med Datatilsynets vejledning og praksis herom, fordi optagelsen blev foretaget uden at have indhentet samtykke hertil.
Den 24. juni 2020 besvarede Erhvervsstyrelsen henvendelsen. Erhvervsstyrelsen redegjorde i den forbindelse for formålet med styrelsens optagelse af telefonsamtaler, herunder grundlaget for behandlingen. Erhvervsstyrelsen oplyste, at formålet med at optage alle indgående telefonopkald til styrelsens kundecenter dels er beskyttelse af medarbejderne i kundecenteret og dels kvalitetssikring for at kunne yde bedre vejledning. Erhvervsstyrelsen oplyste klager om, at optagelserne sker med hjemmel i bl.a. databeskyttelsesforordningens artikel 6, stk. 1, litra d og e.
Klager kommenterede den 25. juni 2020 Erhvervsstyrelsens besvarelse og klagede samtidig til Datatilsynet.
Den 18. august 2020 fremkom Erhvervsstyrelsen med en udtalelse til brug for Datatilsynets behandling af sagen, som klager den 1. september 2020 kom med bemærkninger til.
2.1. Klagers bemærkninger
Klager har overordnet anført, at Erhvervsstyrelsens behandling af personoplysninger i forbindelse med optagelse af indgående telefonopkald til styrelsens kundecenter kun kan ske med forudgående samtykke fra den registrerede.
Klager har i den forbindelse anført, at han ikke er enig i Erhvervsstyrelsens vurdering af, at optagelse af telefonsamtaler kan anses for nødvendig for styrelsens virke, herunder at de registreredes interesser må vige for hensyn til oplæring, løbende uddannelse og kvalitetssikring samt for beskyttelse af medarbejdere mod trusler mv. Klager har på den baggrund gjort gældende, at behandlingen ikke er proportionel. Klager har hertil bemærket, at det ville være mere proportionelt at lade den medarbejder, der føler sig truet, sætte en optagelse i gang, i det øjeblik vedkommende føler sig truet og ikke per default optage alle samtaler.
2.2. Erhvervsstyrelsens bemærkninger
Erhvervsstyrelsen har oplyst, at styrelsen siden den 1. juni 2018 har optaget samtlige indgående telefonopkald til styrelsens kundecenter.
Vedrørende formålet med optagelse af telefonsamtalerne i kundecenteret har Erhvervsstyrelsen oplyst, at optagelse bl.a. sker af hensyn til at beskytte den enkelte medarbejder. Erhvervsstyrelsen har i den forbindelse henvist til en konkret episode i foråret 2018, hvor en borger truede en medarbejder på livet og efterfølgende blev anmeldt til politiet. I den konkrete sag anmodede politiet om at få udleveret materiale til brug for efterforskningen, hvilket styrelsen på grund af manglende optagelse af telefonopkald ikke kunne imødekomme. Erhvervsstyrelsen har hertil bemærket, at kundecenterets medarbejdere generelt har oplevet et øget trusselsniveau.
Der sker endvidere optagelse af telefonsamtaler til brug for oplæring og løbende uddannelse af kundecenterets medarbejdere af hensyn til den forvaltningsretlige vejledningsforpligtelse efter forvaltnigslovens § 7, stk. 1, og princippet om venlig og hensynsfuld optræden over for borgerne, som følger af god forvaltningsskik. Erhvervsstyrelsen har i den forbindelse henvist til ombudsmandens udtalelse i FOB 2011 21-1[2]. Optagelserne sker således for at udvikle kvaliteten af styrelsens ydelser og services og derved forhindre og forebygge fejl i styrelsens vejledning (f.eks. for at undgå at der gives forkerte svar eller henvisninger), samt at der tales pænt. Det er Erhvervsstyrelsens vurdering, at kvalitetssikring er nødt til at ske jævnligt for løbende at kunne gennemføre de nødvendige forbedringer.
Erhvervsstyrelsen har endvidere oplyst, at den service, som styrelsens kundecenter tilbyder, udføres som led i styrelsens faktiske forvaltningsvirksomhed og dermed som en del af styrelsens myndighedsopgaver. Erhvervsstyrelsen har hertil bl.a. anført, at det er styrelsens vurdering, at meget af det, der udføres i kundecenteret, er direkte relateret til styrelsens generelle vejledningsforpligtelse, hvorfor optagelse af telefonsamtaler kan ske med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra e.
Det er endvidere Erhvervsstyrelsens vurdering, at optagelse af telefonsamtaler kan ske med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra d, da optagelserne anses for nødvendige for at beskytte medarbejdernes vitale interesser i forhold til eksempelvis trusler.
Erhvervsstyrelsen har oplyst, at optagelserne som udgangspunkt opbevares i 96 timer, hvorefter de automatisk slettes. De 96 timer er fastsat ud fra en formålsbetragtning samt ud fra proportionalitets- og dataminimeringshensyn, hvor der bl.a. er lagt vægt på, at der skal være mulighed for at reagere på telefonopkald modtaget fredag på trods af den forestående weekend. Hvis en optagelse skal anvendes f.eks. til brug for en politianmeldelse, trækkes opkaldet manuelt ud af systemet og journaliseres i styrelsens sagsbehandlingssystem som lydfil, og opbevaringstiden på 96 timer kan således i konkrete tilfælde fraviges.
Afslutningsvis har Erhvervsstyrelsen bemærket, at styrelsen forud for alle samtaler og på alle indgange til telefon-speakeren oplyser følgende: ”Bemærk, at vi optager samtalen med henblik på kvalitetssikring og af hensyn til vores medarbejdere. Du kan læse mere om vores persondatapolitik på erst.dk”.
3. Begrundelse for Datatilsynets afgørelse
Datatilsynet lægger til grund, at Erhvervsstyrelsens optagelse af telefonsamtaler sker i dokumentationsøjemed til brug for indgivelse af politianmeldelse med henblik på at beskytte medarbejderne i styrelsens kundecenter mod trusler mv., og at optagelse af telefonsamtaler derudover sker til brug for oplæring og løbende uddannelse af kundecenterets medarbejdere af hensyn til den forvaltningsretlige vejledningspligt.
3.1. Optagelse i dokumentationsøjemed
Erhvervsstyrelsen har over for Datatilsynet anført, at styrelsens optagelse og lagring af telefonsamtaler i dokumentationsøjemed kan ske med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra d, artikel 9, stk. 2, litra c, og artikel 10.
Erhvervsstyrelsen har i den forbindelse oplyst, at optagelse og lagring af telefonsamtaler i kundecenteret bl.a. sker af hensyn til at beskytte den enkelte medarbejder, idet kundecenterets medarbejdere har oplevet en række uheldige episoder og et generelt øget trusselsniveau, og af hensyn til at dokumentere disse episoder over for politiet, såfremt politiet måtte anmode om dokumentation for fremsatte trusler mv.
På baggrund af sagens oplysninger er det dog Datatilsynets opfattelse, at Erhvervsstyrelsen kun undtagelsesvis vil behandle personoplysninger omfattet af databeskyttelsesforordningens artikel 9 og artikel 10 i forbindelse med borgere og virksomheders telefoniske henvendelser til styrelsens kundecenter.
Erhvervsstyrelsens praksis for optagelse af telefonsamtaler skal derfor vurderes efter databeskyttelsesforordningens artikel 6.
3.1.1.
Det er Datatilsynets vurdering, at Erhvervsstyrelsens optagelse af telefonsamtaler med det formål at sikre dokumentation til brug for indgivelse af politianmeldelse ikke kan ske på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra d.
Datatilsynet har herved lagt vægt på, at databeskyttelsesforordningens artikel 6, stk. 1, litra d, efter bestemmelsens ordlyd svarer til bestemmelserne i persondatadirektivets artikel 7, litra d, og persondatalovens § 6, stk. 1, nr. 4. Dog er der i forordningens artikel 6, stk. 1, litra d, en tilføjelse, hvorefter også nødvendigheden af en behandling for at beskytte en anden fysisk persons vitale interesser vil kunne gøre en behandling lovlig.
Som eksempel på, hvornår det kan være lovligt at behandle en oplysning om en person af hensyn til en anden fysisk persons vitale interesser, kan nævnes den situation, at det ikke er muligt for et hospital at komme i kontakt med en patient, som venter på et nyt organ på det tidspunkt, hvor hospitalet kommer i besiddelse af organet, hvorfor hospitalet er nødt til at behandle personoplysninger om patientens kæreste for at komme i kontakt med patienten.[3]
Endvidere fremgår det af databeskyttelsesforordningens præambelbetragtning nr. 46, at behandling af personoplysninger på grundlag af en anden fysisk persons vitale interesser i princippet kun bør finde sted, hvis behandlingen tydeligvis ikke kan baseres på et andet retsgrundlag.
3.1.2.
Det følger af Datatilsynets praksis og vejledning om erhvervsdrivendes optagelse af telefonsamtaler[4], at medmindre den dataansvarlige efter andre regler er forpligtet til at optage og opbevare telefonsamtaler, skal den dataansvarlige overveje, om optagelse af telefonsamtaler i dokumentationsøjemed kræver, at der indhentes et samtykke fra den registrerede, eller om den dataansvarliges legitime interesse i at optage telefonsamtaler overstiger den registreredes interesse i ikke at blive optaget, således at optagelsen kan foretages uden samtykke fra den registrerede, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra f.
Da offentlige myndigheder ikke kan anvende databeskyttelsesforordningens artikel 6, stk. 1, litra f, som hjemmel til behandling af personoplysninger, vil det for Erhvervsstyrelsens vedkommende i stedet skulle afgøres, om der kan ske optagelse af telefonoptagelser uden samtykke i medfør af forordningens artikel 6, stk. 1, litra e.[5]
Det er efter Datatilsynets praksis en betingelse for at kunne optage telefonsamtaler uden samtykke fra den registrerede, at behovet for at kunne dokumentere telefonsamtalens indhold i praksis reelt ikke kan opfyldes på anden vis. Det fremgår af tilsynets vejledning om erhvervsdrivendes optagelse af telefonsamtaler, at optagelse af telefonsamtaler adskiller sig fra andre typer af behandlinger, idet den dataansvarlige sædvanligvis ikke på forhånd har kendskab til, om en samtale udvikler sig på en sådan måde, at der er behov for at dokumentere samtalens indhold. Den dataansvarlige kan derfor nøjes med på et generelt plan at forholde sig til, om den dataansvarliges virksomhed mv. har en sådan karakter, at telefonsamtaler sædvanligvis har et indhold, der skal kunne dokumenteres, og at dette ikke kan ske på anden måde end ved optagelse af telefonsamtalen.
Når den dataansvarlige skal vurdere, om behovet for at kunne dokumentere telefonsamtalens indhold i praksis reelt ikke kan opfyldes på anden vis end ved at optage telefonsamtaler, kan den dataansvarlige bl.a. tillægge det betydning, at indholdet af telefonsamtalerne ikke uden betydelige praktiske vanskeligheder kan dokumenteres på anden vis, herunder ved udfærdigelse af eventuelle telefonnotater og/eller efterfølgende korrespondance med den registrerede. Det kan i den forbindelse bl.a. tillægges betydning, om detaljer og nuancer vedrørende f.eks. de faktiske forhold kan have en sådan betydning, at et telefonnotat eksempelvis ikke vil udgøre tilstrækkelig dokumentation.
Endvidere kan den dataansvarlige tillægge det betydning, at den lovgivning, som regulerer den dataansvarliges virksomhed, ikke stiller krav om, at relevante oplysninger under alle omstændigheder skal gives til den registrerede på skrift, ligesom den dataansvarlige kan tillægge det betydning, hvis tilsynsmyndigheder, klagenævn m.v. sædvanligvis vil kræve fremlæggelse af lydfil, hvis den registrerede indgiver en klage.
3.1.3.
På baggrund af det til sagen oplyste er det Datatilsynets vurdering, at det ikke kan afvises, at der kan være enkeltstående tilfælde, hvor Erhvervsstyrelsen med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra e, (og eventuelt databeskyttelseslovens § 8, stk. 1) kan optage telefonsamtaler med henblik på at sikre dokumentation til brug for indgivelse af politianmeldelse, hvis det er af særlig betydning for en efterfølgende straffesag, at styrelsen kan dokumentere, f.eks. at en borgers ytringer under en telefonsamtale ”var egnet til at fremkalde alvorlig frygt for eget eller andres liv, helbred eller velfærd”, jf. straffelovens § 266, hvor borgerens tonefald eller betoning af ord ikke kan gengives på skrift.
Det er imidlertid Datatilsynets vurdering, at Erhvervsstyrelsens behandling i form af en generel praksis, hvorefter der uden undtagelse sker optagelse af telefonsamtaler med borgere, virksomheder mv., som ringer ind til styrelsen for råd og vejledning, ikke kan rummes inden for forordningens artikel 6, stk. 1, litra e.
Datatilsynet har i den forbindelse lagt vægt på, at det – bl.a. henset til Erhvervsstyrelsens myndighedsopgaver – må antages at have undtagelsens karakter, at borgere og virksomheder ringer ind og truer styrelsens medarbejdere i en sådan grad, at styrelsen finder grundlag for at politianmelde den pågældende. Når der samtidig henses til det store antal registrerede og behandlingens indgribende karakter, er en sådan generel praksis efter Datatilsynets vurdering ikke proportional og kan dermed ikke anses for nødvendig og kan derfor ikke rummes inden for forordningens artikel 6, stk. 1, litra e. Et tilsvarende krav om proportionalitet og nødvendighed følger af databeskyttelsesforordningens artikel 5, stk. 1, litra c (”dataminimeringsprincippet”).
3.2. Optagelse til brug for kvalitets- og uddannelsesmæssige formål
Erhvervsstyrelsen har over for Datatilsynet anført, at styrelsens optagelse og lagring af telefonsamtaler til brug for kvalitets- og uddannelsesmæssige formål kan ske med hjemmel i databeskyttelsesforordningens artikel 6, stk. 1, litra e, artikel 9, stk. 2, litra g, og artikel 10.
Det er Datatilsynets vurdering, at optagelse og lagring af telefonsamtaler til kvalitets- og uddannelsesmæssige formål som det klare udgangspunkt kun kan baseres på et samtykke fra de personer, der registreres oplysninger om, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a, og – i det omfang der sker behandling af særlige kategorier af oplysninger – artikel 9, stk. 2, litra a.
Datatilsynet lægger herved vægt på, at optagelse af telefonsamtaler af forskellige årsager kan opfattes som indgribende for den registrerede, og at den dataansvarliges interesse i at dygtiggøre sine medarbejdere med henblik på f.eks. at kunne yde bedre vejledning som det klare udgangspunkt ikke overstiger den registreredes interesse i ikke at blive optaget. Optagelse og lagring af telefonsamtaler til kvalitetssikringsformål kan derfor som udgangspunkt ikke ske uden samtykke fra dem, der registreres oplysninger om, også selv om den dataansvarlige uden samtykke kan optage samtalen med henblik på at dokumentere samtalens indhold.
Datatilsynet kan dog ikke udelukke, at der undtagelsesvis kan foreligge omstændigheder, hvor optagelse af telefonsamtaler til kvalitetssikringsformål kan ske uden den registreredes samtykke. Dette kan være tilfældet, hvor det i særlig grad er i den registreredes interesse, at der sker en løbende udvikling i medarbejdernes kompetencer og den deraf afledte ”kundeoplevelse”, f.eks. i forbindelse med akut- og redningstjenester, hvor det må antages at være af afgørende betydning for den registrerede, at kvaliteten af den service eller vejledning, man modtager, er i top.
Datatilsynet finder imidlertid, at Erhvervsstyrelsen ikke har anført sådanne særlige omstændigheder, der kan begrunde optagelse af telefonsamtaler til kvalitetssikringsformål uden samtykke fra de registrerede, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a. Datatilsynet finder således, at den vejledningspligt, som offentlige myndigheder er underlagt i medfør af forvaltningslovens § 7, stk. 1, og god forvaltningsskik, ikke indebærer, at det er nødvendigt at optage telefonsamtaler for at sikre overholdelse af vejledningspligten. Datatilsynet finder endvidere, at Erhvervsstyrelsens myndighedsopgave ikke har en sådan karakter, at det kan godtgøre, at der sker optagelse til kvalitets- og uddannelsesmæssige formål uden samtykke.
3.3.
Datatilsynet finder således, at Erhvervsstyrelsens generelle praksis, hvorefter alle opkald til styrelsens kundecenter optages med henblik på at sikre dokumentation til brug for indgivelse af politianmeldelse, ikke kan rummes inden for databeskyttelsesforordningens artikel 6, stk. 1, litra e.
Datatilsynet finder endvidere, at optagelse af telefonsamtaler til brug for kvalitets- og uddannelsesmæssige formål ikke kan rummes inden for databeskyttelsesforordnings artikel 6, stk. 1, litra e, men må baseres på samtykke fra de registrerede, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a.
Datatilsynet finder derfor grundlag for at udtale alvorlig kritik af, at Erhvervsstyrelsens behandling af oplysninger om klager i form af optagelse af telefonsamtale ikke er sket i overensstemmelse med databeskyttelsesforordningens[1] artikel 6, stk. 1.
Datatilsynet henstiller til Erhvervsstyrelsen, at styrelsen inden 4 uger fra dags dato meddeler tilsynet, hvordan styrelsen vil bringe den behandling af personoplysninger, som finder sted i forbindelse med styrelsens optagelse af telefonsamtaler, i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1.
4. Afsluttende bemærkninger
Datatilsynet afventer herefter at modtage Erhvervsstyrelsens meddelelse som anført ovenfor.
Datatilsynet bemærker, at Datatilsynets afgørelser ikke kan indbringes for anden administrativmyndighed, jf. databeskyttelseslovens § 30. Datatilsynets afgørelser kan imidlertid indbringes for domstolene, jf. grundlovens § 63.
Kopi af dette brev sendes dags dato til klager.
Datatilsynet skal for god ordens skyld bemærke, at tilsynet forventer at offentliggøre afgørelsen på tilsynets hjemmeside i pesudonymiseret form.
Bilag: Retsgrundlag
Uddrag af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
Artikel 6. Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:
- Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
- Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.
- Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.
- Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.
- Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.
- Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.
Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] I den konkrete sag havde en borger klaget over en kommunes behandling af flere anmodninger om aktindsigt. Ombudsmanden fandt ikke grundlag for at kritisere kommunens behandling af aktindsigtsanmodningerne, men han mente at sprogbrugen i kommunens svar overskred grænserne for god forvaltningsskik. Udtalelsen i dens fulde længde kan læses her: https://www.ombudsmanden.dk/find/udtalelser/beretningssager/alle_bsager/2011-21-1_/pdf.
[3] Betænkning nr. 1565 om Databeskyttelsesforordningen (2016/679) – og de retlige rammer for dansk lovgivning, Del I, bind 1, side 131.
[4] https://www.datatilsynet.dk/Media/B/F/Optagelse%20af%20telefonsamtaler.pdf
[5] For mere herom se betænkning nr. 1565 om Databeskyttelsesforordningen (2016/679) – og de retlige rammer for dansk lovgivning, Del I, bind 1, side 136-140.