Journalnummer: 2021-432-0058
Resume
Datatilsynet har i marts 2021 afsluttet tilsyn med tre udbydere, som tilbyder COVID-19-test uden forudgående tidsbestilling. Datatilsynet har ført tilsyn med SOS International A/S og Carelink A/S, som i januar 2021 vandt udbuddet af hurtigtest i regionerne. Datatilsynet har yderligere ført tilsyn med Statens Serum Institut, som tilbyder PCR-test uden forudgående tidsbestilling på et af TestCenter Danmarks mobile teststeder.
Tilsynene fokuserede på udbydernes efterlevelse af databeskyttelsesforordningens regler om oplysningspligt, herunder om testudbyderne levede op til reglerne om, at underretning skal gives til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog.
Datatilsynet fandt, at testudbydernes iagttagelse af oplysningspligten var i overensstemmelse med reglerne. Over for en enkelt udbyder henstillede tilsynet dog, at udbyderen supplerede underretningen af borgeren, som skete i forbindelse med modtagelse af testresultatet, med overordnede informationer på selve teststedet.
Afgørelse
Datatilsynet vender hermed tilbage til sagen om Statens Serum Instituts iagttagelse af oplysningspligten ved behandling af personoplysninger i forbindelse med PCR-test hos mobile COVID-19 teststeder.
1. Afgørelse
Efter en gennemgang af Statens Serum Instituts udtalelse finder Datatilsynet, at Statens Serum Instituts behandling af personoplysninger er sket i overensstemmelse med reglerne i databeskyttelsesforordningen[1], jf. artikel 12, stk. 1, og artikel 13.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af hjemmesiden www.coronaprover.dk, at alle borgere på to år eller derover kan benytte det åbne testtilbud om at bestille tid til test for COVID-19 i TestCenter Danmark (PCR-test).
Ved afgivelse af tidsbestilling bliver borgeren gjort bekendt med, hvordan der behandles oplysninger om den pågældende.
Idet det endvidere er muligt uden tidsbestilling af få foretaget en PCR-test på et af TestCenter Danmarks mobile teststeder, besluttede tilsynet at undersøge, hvordan Statens Serum Institut opfylder sin oplysningspligt over for borgere, der får foretaget en PCR-test, hvor der ikke stilles krav om forudgående tidsbestilling.
Datatilsynet anmodede derfor den 4. februar 2021 Statens Serum Institut om at oplyse, hvordan Statens Serum Institut sikrer, at borgere, der lader sig teste på et mobilt COVID-19 teststed, bliver gjort bekendt med, hvordan Statens Serum Institut behandler oplysninger om de pågældende.
Den 5. marts 2021 fremkom Statens Serum Institut med en udtalelse til sagen.
2.1. Statens Serum Instituts bemærkninger
Statens Serum Institut har oplyst, at opfyldelsen af oplysningspligten sikres ved, at der i de mobile testcentre udleveres en fysisk udskrift af de oplysninger, som er tilgængelig for borgere, der bestiller tid på hjemmesiden www.coronaprover.dk. Borgere, der får udført test i mobile testcentre uden tidsbestilling forud for test, bliver således på samme vis gjort bekendt med, hvordan der behandles oplysninger om de pågældende.
Statens Serum Institut har endvidere oplyst, at det er regionerne, der står for udskrift og udlevering af oplysningsmaterialet til borgerne, og regionerne er i flere sammenhænge blevet bedt om at assistere Statens Serum Institut med at opfylde oplysningspligten på den beskrevne måde.
3. Begrundelse for Datatilsynets afgørelse
3.1.
Det følger af databeskyttelsesforordningens artikel 13, stk. 1, at hvis personoplysninger er indsamlet hos den registrerede, skal den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, give den registrerede en række oplysninger, som fremgår af bestemmelsens litra a-f. Udover de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige den registrerede en række oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede, jf. forordningens artikel 13, stk. 2.
Det følger endvidere af databeskyttelsesforordningens artikel 12, stk. 1, at den dataansvarlige skal give enhver oplysning som omfattet af artikel 13 i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog.
3.2.
Datatilsynet finder, at Statens Serum Instituts information om behandling af personoplysninger indeholder de oplysninger, som fremgår af databeskyttelsesforordningens artikel 13, stk. 1 og 2.
Ved at udlevere informationen til alle borgere, der får foretaget en test i et mobilt testcenter, sikrer Statens Serum Institut sig endvidere, at alle borgere samtidig med indsamlingen af personoplysninger bliver gjort bekendt med informationerne på en tydelig, kortfattet og lettilgængelig måde, jf. databeskyttelsesforordningens artikel 13, jf. artikel 12, stk. 1.
Datatilsynet finder således, at Statens Serum Instituts information om behandling af personoplysninger i forbindelse med COVID-19 lever op til databeskyttelsesforordningens artikel 12, stk. 1, og artikel 13.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).