Journalnummer: 2021-32-2241.

Resume

Datatilsynet har udtalt kritik af, at Aalborg Kommune – i forbindelse med et onlinekursus på Teams arrangeret af jobcenteret –  har videregivet en af deltagernes e-mailadresse til de andre deltagere på kurset på grundlag af et samtykke, som efter tilsynets opfattelse ikke kunne anses som frivilligt.

Datatilsynet lagde navnlig vægt på, at videregivelsen af e-mailadressen skete i forbindelse med et jobsøgningskursus, hvor deltagelse var en forudsætning for at modtage dagpenge. Kursusdeltageren havde dermed ikke et reelt frit valg i forhold til at give samtykke til behandlingen, hvis vedkommende ville bevare retten til dagpenge.

1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet grundlag for at udtale kritik af, at Aalborg Kommune har videregivet klagers e-mailadresse på grundlag af et samtykke, som ikke opfylder betingelserne i databeskyttelsesforordningens^[1]  artikel 4, nr. 11.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Det fremgår af sagen, at jobcenteret i Aalborg Kommune – i forbindelse med klagers deltagelse i et online jobsøgningskursus på Teams – har videregivet klagers e-mailadresse til de andre deltagere på kurset, idet klagers e-mail adresse var synlig for de andre kursusdeltagere.

2.1. Aalborg Kommunes bemærkninger

Aalborg Kommune har anført, at kommunen er forpligtet til at udbyde kurser til ledige borgere, og at de ledige har pligt til at deltage i disse kurser for at have ret til at modtage ledighedsydelse, hvilket følger af lov om aktiv beskæftigelsesindsats. Grundet den særlige situation med Covid-19 har jobcenteret i Aalborg Kommune tilbudt kurserne online via Teams som alternativ til fysisk fremmøde.

Aalborg Kommune har i den forbindelse anført, at kommunen har anvendt klagers e-mailadresse for at kunne invitere klager til mødet online via Teams, og at e-mailadressen har været synlig for de øvrige 24 deltagere på mødet som følge af indretningen af Teams. Aalborg Kommune har anført, at klager har givet mundtligt samtykke til videregivelsen, og at klager er blevet informeret om formålet med behandlingen, samt at e-mailen vil være synlig for de øvrige deltagere.

Aalborg Kommune har endelig anført, at klager er informeret om, at hun kunne oprette en uidentificerbar e-mail adresse til møderne, hvilket klager har gjort, og at kommunen finder, at der ikke sker en yderligere eksponering af personoplysninger ved deltagelse i online-kurset.

2.2. Klagers bemærkninger

Klager har anført, at hun som ledig i forbindelse med deltagelse i det omtalte jobsøgningskursus fik tilsendt materiale fra Jobcenter Aalborg, hvoraf det bl.a. fremgik, at hendes private e-mailadresse ville være synlig for de andre deltagere på kurset.

Klager kontaktede efterfølgende Jobcenter Aalborg og oplyste, at hun ikke ønskede, at hendes e-mail adresse blev videregivet til de andre kursusdeltagere. Jobcenteret oplyste, at det ikke var muligt at sløre hendes e-mailadresse, og at hun alternativt kunne møde personligt op og deltage i et fremmødekursus, hvilket ifølge klager ikke var en mulighed, da hun er risikogruppen for Covid-19.

Klager har endvidere anført, at hun fik tilsendt en samtykkeerklæring, da hun skulle oprette en profil på Teams for at deltage i kurset, og at hun ikke kunne læse nærmere om Aalborg Kommunes behandling af oplysninger om hende.

Endelig har klager anført, at hun tror, at mange godtager det tilsendte fra kommunen uden at stille spørgsmålstegn, fordi det kommer fra Jobcenteret, og at det går udover ens dagpenge, hvis man ikke deltager.

3. Begrundelse for Datatilsynets afgørelse

Personoplysninger omfattet af databeskyttelsesforordningens artikel 6 kan behandles, herunder videregives, hvis et af forholdende i forordningens artikel 6, stk. 1, litra a–f gør sig gældende.

Det betyder bl.a., at personoplysninger kan behandles, hvis den registrerede har givet samtykke til behandlingen, jf. artikel 6, stk. 1, litra a.

Et samtykke til behandling af personoplysninger skal opfylde en række krav for at være gyldigt, idet det bl.a. skal være informeret, frivilligt og specifikt, jf. databeskyttelsesforordningens artikel 4, nr. 11.

Kravet om frivillighed indebærer, at den dataansvarlige skal give den registrerede et frit valg og kontrol over oplysninger om sig selv. Et samtykke vil ikke være afgivet frivilligt, hvis den registrerede ikke har et reelt frit valg. Enhver form for upassende pres eller påvirkning af den registreredes frie vilje medfører, at samtykket er ugyldigt.

Det er Datatilsynets vurdering, at det samtykke, som klager har givet til brug for deltagelse i et onlinekursus arrangeret af jobcenteret, ikke er frivilligt, og at betingelserne i databeskyttelsesforordningens artikel 4, nr. 11, derfor ikke er opfyldt.  Aalborg Kommune kan herefter ikke anvende samtykket til at videregive klagers e-mailadresse i medfør af databeskyttelsesforordningens artikel 6, stk. 1, litra a.

Datatilsynet har herved lagt vægt på, at videregivelsen af klagers e-mail adresse er sket i forbindelse med et jobsøgningskursus, hvor klagers deltagelse var en forudsætning for at modtage dagpenge, og at klager dermed ikke havde et reelt frit valg i forhold til at give samtykke til behandlingen, hvis hun ville bevare retten til dagpenge.

Muligheden for personligt fremmøde kan efter Datatilsynets opfattelse ikke anses for et sådant alternativ, at klager reelt har haft et frit valg.

Datatilsynet tilføjer, at offentlige myndigheder generelt skal være tilbageholdende med at anvende samtykke som behandlingsgrundlag, idet der er et ulige forhold mellem parterne, hvorfor betingelsen om, at samtykket skal være frivilligt, typisk ikke vil være opfyldt. Datatilsynet henviser til tilsynets vejledning om samtykke[2].

Datatilsynet finder herefter grundlag for at udtale kritik af, at Aalborg Kommune har videregivet oplysninger om klager på grundlag af et samtykke, der ikke kan anses som frivilligt.

Det tilføjes, at Datatilsynet ikke ved nærværende afgørelse har taget stilling til, hvorvidt betingelserne i databeskyttelsesforordningens artikel 4, nr. 11, og artikel 7 om samtykke i øvrigt er opfyldt.

Datatilsynet har med denne afgørelse endvidere ikke taget stilling til, om videregivelsen har kunne ske på andet grundlag end artikel 6, stk. 1, litra a.

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

[2]    Vejledning om samtykke, maj 2021, afsnit 2.3.1.