Journalnummer: 2021-431-0151
Resume
Datatilsynet blev i august 2021 bekendt med, at et børne- og ungekrisecenter, Joannahuset, havde anmodet om at modtage en ung persons personnummer via SMS. Det er Datatilsynets generelle vurdering, at transmission via SMS af fortrolige oplysninger, som for eksempel et personnummer, indebærer en betydelig risiko for de registreredes rettigheder og frihedsrettigheder. Tilsynet besluttede derfor at tage en sag op af egen drift over for krisecenteret for at undersøge sagen nærmere.
Det fremgår af sagens oplysninger, at krisecenteret fandt det nødvendigt at få verificeret den pågældendes identitet for at kunne tilbyde ham husly. Der var efter sagens oplysninger tale om en akut og helt særlig situation, hvor der ikke var andre og mere sikre transmissionsløsninger til rådighed, som kunne sikre en hurtig nok verifikation af vedkommendes identitet.
Tilsynet har derfor vurderet, at der ikke er grundlag for at tilsidesætte krisecenterets vurdering af, at der i den konkrete situation var hensyn til den unges tarv, der måtte veje tungere end hensynet til beskyttelse af personoplysninger, og at den unge person i sagen ville kunne lide et større rettighedstab, hvis den pågældende SMS ikke blev afsendt.
Afgørelse
Datatilsynet blev i august 2021 bekendt med, at Joannahuset i forbindelse med indhentelse af samtykke til et barns indskrivelse til husly i Joannahuset har anmodet om at modtage barnets navn og personnummer via SMS. Derudover er der anmodet om at sende et billede af legitimation, men uden at det er angivet, hvorledes denne legitimation skal sendes.
Datatilsynet besluttede at undersøge sagen nærmere af egen drift[1]. Datatilsynet anmodede i den forbindelse den 3. september 2021 Joannahuset om en udtalelse i sagen, herunder at svare på en række spørgsmål. Joannahuset repræsenteret ved DLA Piper fremsendte den 24. september 2021 en udtalelse i sagen. Den 24. februar 2022 besluttede Datatilsynet at anmode Joannahuset om yderligere oplysninger. Den 17. marts 2022 fremsendte DLA Piper på baggrund heraf endnu en udtalelse.
1. Afgørelse
Datatilsynet blev i august 2021 bekendt med, at Joannahuset i forbindelse med indhentelse af samtykke til et barns indskrivelse til husly i Joannahuset har anmodet om at modtage barnets navn og personnummer via SMS. Derudover er der anmodet om at sende et billede af legitimation, men uden at det er angivet, hvorledes denne legitimation skal sendes.
Datatilsynet besluttede at undersøge sagen nærmere af egen drift[1]. Datatilsynet anmodede i den forbindelse den 3. september 2021 Joannahuset om en udtalelse i sagen, herunder at svare på en række spørgsmål. Joannahuset repræsenteret ved DLA Piper fremsendte den 24. september 2021 en udtalelse i sagen. Den 24. februar 2022 besluttede Datatilsynet at anmode Joannahuset om yderligere oplysninger. Den 17. marts 2022 fremsendte DLA Piper på baggrund heraf endnu en udtalelse.
Efter en gennemgang af sagen finder Datatilsynet ikke grundlag for at tilsidesætte Joannahusets vurdering af, at der i den konkrete situation er hensyn til den unges tarv, opstået i en akut situation og med begrænsede mulige løsninger til rådighed, der må veje tungere end hensynet til beskyttelse af personoplysninger, og at den unge i sagen ville kunne lide et større rettighedstab, hvis den pågældende SMS ikke blev afsendt.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af Joannahusets udtalelser til sagen, at Joannahuset er et børne-/ungekrisecenter, som tilbyder husly til unge, der er stukket af eller er blevet smidt ud hjemmefra eller fra et anbringelsessted.
Det fremgår af sagen, at en ung person den 2. september 2021 henvendte sig til Joannahuset og anmodede om husly, hvorfor Joannahuset rettede henvendelse til den unges anbringelsessted for at indhente samtykke til, at den unge kunne overnatte i Joannahuset, idet personalet i øvrigt vurderede, at kriterierne for at tilbyde husly var opfyldt. Det fremgår endvidere, at Joannahuset tidligere har været i dialog med vedkommende og tidligere har givet husly til personen. Henset til erfaringerne fra den tidligere dialog med den unges hjemkommune, som ifølge Joannahuset har været vanskelig, har Joannahuset oplyst, at det tilstedeværende personale vurderede, at der i den konkrete situation var et særligt behov for at sikre at såvel identiteten på den person, der gav samtykket vedrørende den unge, som den unge selv, var entydigt og dokumentérbart fastslået, sådan at der ikke efterfølgende kunne sås tvivl om samtykket. Joannahuset anmodede derfor i den konkrete situation om at modtage den unge persons personnummer via SMS.
Joannahuset har endvidere oplyst, at det var vurderingen, at det kunne have væsentlige negative konsekvenser for den unge, hvis Joannahuset ikke kunne tilbyde husly, hvorfor Joannahusets personale valgte at fravige den normale procedure, som foreskriver, at der kun behandles absolut nødvendige oplysninger og som udgangspunkt ikke ”meget personlige oplysninger” via SMS, og anmodede herefter om, at kontaktpersonen fra kommunen fremsendte et samtykke, hvor den unge person var identificeret med personnummer.
Joannahuset har yderligere oplyst, at på grund af sagens karakter og tidligere forløb, og fordi Joannahuset tidligere har oplevet, at børn og unge i krise undertiden får andre til at udgive sig for at være bemyndiget til at give samtykke, fandt Joannahuset det endvidere nødvendigt at indhente dokumentation for samtykkegiverens identitet.
Om Joannahusets overvejelser vedrørende anmodning om personnummer via SMS, har Joannahuset oplyst, at særligt i de tilfælde, hvor samtykket skal indhentes fra forældremyndighedsindehaveren, som ifølge Joannahuset ofte har begrænsede ressourcer, herunder ikke adgang til e-mail, er medarbejdere ofte nødt til at finde konkrete løsninger med de til rådighed værende midler. Joannahuset har hertil oplyst, at da de fleste har adgang til en mobiltelefon, kan samtykket ofte indhentes i en telefonsamtale, hvorefter Joannahuset fremsender en SMS, som samtykkegiveren herefter skal bekræfte, sådan at der findes dokumentation for samtykket.
Det fremgår videre af sagen, at Joannahusets procedure for anvendelse af SMS foreskriver, at medarbejderen skal overveje, hvilke oplysninger det konkret er nødvendigt at angive, og begrænse teksten til disse oplysninger. SMS-beskeder, der tjener til bekræftelse af afgivet samtykke, indeholder som hovedregel derfor ifølge Joannahuset ikke barnets eller den unges personnummer. I praksis kan der dog ifølge Joannahuset være situationer, hvor hensynet til barnets eller den unges tarv tilsiger, at disse procedurer fraviges, f.eks. i situationer, hvor der er risiko for yderligere og alvorlige negative konsekvenser for barnet eller den unge, hvis Joannahuset på grund af manglende eller utilstrækkeligt samtykke ikke har mulighed for at tilbyde den nødvendige hjælp. Joannahuset har oplyst, at der i den konkrete situation er tale om en fravigelse af de normale procedurer baseret på en konkret vurdering af den specifikke situation, herunder hensynet til den unges tarv og Joannahusets øvrige forpligtelser.
Joannahuset har til sagen oplyst, at Joannahuset på baggrund af henvendelsen fra Datatilsynet har indskærpet over for medarbejdere, at hensyn til barnets eller den unges tarv og Joannahusets forpligtelser efter anden regulering klart skal overstige risikoen for en krænkelse af børnenes eller de unges rettigheder og frihedsrettigheder ved, at deres personoplysninger behandles ved brug af kommunikationsformer, der som udgangspunkt ikke egner sig til behandling af den pågældende type af information.
Det fremgår desuden af sagen, at baggrunden for, at der i den konkrete situation blev anmodet om fremsendelse af personnummer via SMS var, at kommunikationen fandt sted om aftenen, hvor samtykkegiveren ikke befandt sig på sin arbejdsplads, og der var derfor ifølge Joannahuset ikke mulighed for at etablere kommunikation via sikker mail eller tilsvarende. Da det imidlertid ifølge Joannahuset var vigtigt, at samtykket blev modtaget samme aften, idet samtykket var en betingelse for at kunne tilbyde den unge overnatning i Joannahuset, og da SMS måtte anses for den eneste måde, hvorpå der tilstrækkeligt hurtigt ville kunne fremsendes et skriftligt samtykke, vurderede Joannahuset, at hensynet til den unges sikkerhed i den konkrete situation måtte gå forud for hensynet til beskyttelsen af personoplysninger under transmission, hvorfor man fandt det berettiget at anvende SMS til denne kommunikation.
Joannahuset har i øvrigt oplyst, at Joannahuset ikke anser transmission af fortrolige oplysninger via SMS for tilstrækkeligt sikkert, og at denne løsning kun anvendes i særlige situationer, hvor andre og mere sikre kommunikationsformer ikke er til rådighed inden for den tidshorisont, hvor der er behov for modtagelse af oplysninger af hensyn til varetagelse af den unges tarv. Joannahuset har i den forbindelse oplyst, at unge, der søger husly i Joannahuset i disse situationer vil være overladt til at overnatte på gaden, såfremt Joannahuset ikke modtager det nødvendige samtykke. Undladelse af at benytte SMS som kommunikationsform kan ifølge Joannahuset i sådanne situationer således medføre betydelig og umiddelbar fare for de unges liv og helbred.
3. Begrundelse for Datatilsynets afgørelse
3.1.
Datatilsynet lægger på baggrund af det af Joannahuset oplyste til grund, at Joannahuset har anmodet om at modtage en ung persons personnummer via SMS, og at Joannahuset i denne forbindelse ikke har stillet andre transmissionsløsninger til rådighed for den pågældende.
Efter en gennemgang af sagen finder Datatilsynet ikke grundlag for at tilsidesætte Joannahusets vurdering af, at der i den konkrete situation er hensyn til den unges tarv, opstået i en akut situation og med begrænsede mulige løsninger til rådighed, der må veje tungere end hensynet til beskyttelse af personoplysninger, og at den unge i sagen ville kunne lide et større rettighedstab, hvis den pågældende SMS ikke blev afsendt.
Det er Datatilsynets opfattelse, at krav til databeskyttelsen i særlige tilfælde må vige for andre mere tungtvejende hensyn, herunder eksempelvis hensynet til akut at sikre liv og helbred i forhold til særligt udsatte grupper af mennesker. Det er Datatilsynets opfattelse, at en sådan lempelse af databeskyttelsen skal ske efter en konkret vurdering, og at overvejelserne herom skal være dokumenteret.
3.2.
Datatilsynet bemærker i øvrigt, at kravet om passende sikkerhed efter databeskyttelsesforordningens artikel 32 efter Datatilsynets opfattelse normalt bl.a. indebærer, at den dataansvarlige skal tilbyde de registrerede en tilstrækkelig sikker transmissionsløsning ved transmission af bl.a. fortrolige oplysninger, når den dataansvarlige indsamler oplysninger fra de registrerede til brug for behandling af en sag eller tjenesteydelse.
Det er Datatilsynets opfattelse, at alle transmissioner af oplysninger om fysiske personer, i klar tekst, over netværk, som den dataansvarlige ikke har kontrol over, indebærer en betydelig potentiel risiko for tab, ændring, uautoriseret videregivelse og adgang til de behandlede oplysninger. Det er Datatilsynets vurdering, at det er muligt for personer med den fornødne viden og vilje hertil samt for personer med adgang til teleinfrastrukturen at se indholdet af en given SMS. Yderligere er det teknisk muligt for uvedkommende at indgå som et led i kæden af mobiltelefonantennestationer, hvorved disse uvedkommende personer kan få adgang til at se de oplysninger, der transmitteres. Sådanne risikoscenarier skal indgå som en del af de risikovurderinger, den enkelte dataansvarlige foretager i forbindelse med deres behandlinger, der sker via SMS.
Det er Datatilsynets vurdering, at transmission af følsomme oplysninger og oplysninger, som skal undergives fortrolighed, via SMS indebærer en betydelig risiko for de registreredes rettigheder og frihedsrettigheder, og at risikoen, som det også er tilfældet med e-mails, der bliver transmitteret via internettet, befinder sig i den høje ende af skalaen. Det er endvidere tilsynets vurdering, at risikoen for fortroligheden under transport kun i meget begrænset omfang kan mitigeres ved tiltag iværksat af den dataansvarlige selv.
Det er herudover Datatilsynets opfattelse, at en registreret ikke selv kan frasige sig de foranstaltninger, der anses for passende efter artikel 32.
Datatilsynet har på sin hjemmeside udgivet vejledende tekster om transmission af personoplysninger via SMS og e-mail, hvor Joannahuset kan læse mere om, hvordan man som dataansvarlig skal forholde sig hertil: Transmission af personoplysninger via SMS (datatilsynet.dk) og Transmission af personoplysninger via e-mail (datatilsynet.dk).
[1] Datatilsynet fører tilsyn med enhver behandling, der omfattes af databeskyttelsesloven, databeskyttelsesforordningen og anden lovgivning, som ligger inden for databeskyttelsesforordningens rammer for særregler om behandling af personoplysninger. De nærmere regler findes i databeskyttelseslovens § 27.