Journalnummer: 2021-31-5346
Resumé
Datatilsynet har udtalt kritik af, at Jagtbar Randers ApS (herefter ’Jagtbar Randers’) ikke udleverede en kopi af oplysningerne i en sag, hvor en person havde anmodet om indsigt i oplysninger, som virksomheden behandlede om ham som led i opretholdelsen af en karantæne.
Under sagens behandling kom det frem, at Jagtbar Randers opbevarede et skærmprint af klagers Facebook profil med henblik på at kunne identificere klager og derved opretholde klagers karantæne hos baren. Efter klager anmodede om indsigt i oplysningerne, valgte Jagtbar Randers imidlertid at slette skærmprintet af klagers Facebookprofil uden først at udlevere en kopi af oplysningerne. Jagtbar Randers bemærkede i den forbindelse, at virksomheden havde informeret klager om at være i besiddelse af skærmprintet af klagers Facebook profil samt URL-link til selvsamme profil.
Datatilsynet fandt på den baggrund, at Jagtbar Randers ikke havde besvaret klagers indsigtsanmodning i overensstemmelse med de databeskyttelsesretlige regler, fordi de ikke havde udleveret en kopi af det pågældende skærmprint.
Afgørelsen er interessant, fordi den viser, at det ikke er nok at informere en registreret om, hvilke personoplysninger den dataansvarlige opbevarer om vedkommende. Indsigtsretten indebærer også, at den registrerede har krav på at modtage en kopi af oplysningerne.
1. Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor klager den 21. juli 2021 har klaget til tilsynet over Jagtbar Randers ApS (herefter ’Jagtbar Randers’).
Datatilsynet har behandlet henvendelsen som en klage over Jagtbar Randers håndtering af klagers anmodning om indsigt efter databeskyttelsesforordningen, samt den efterfølgende sletning af oplysninger om ham.
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale kritik af, at Jagtbar Randers’ behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens[1] artikel 15, stk. 3.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at klager den 8. juli 2021 rettede henvendelse til Jagtbar Randers og anmodede om indsigt i oplysninger, som virksomheden behandlede om ham. Jagtbar Randers besvarede henvendelsen samme dato og oplyste til klager, at han havde karantæne hos Jagtbar Randers, og at denne oplysning var blevet videreformidlet til virksomhedens vagtpersonale. Klager blev endvidere informeret om, at de eneste oplysninger, Jagtbar Randers opbevarede om ham, var et link til klagers profil på Facebook.
Klager vendte herefter tilbage, og anmodede bl.a. om svar på, hvorfra Jagtbar Randers havde fået oplysninger om klagers Facebook profil. Endvidere fremgik følgende af klagers henvendelse:
”I skal slette disse oplysninger om min person. I har ikke myndighed til at besvare dette om mig. Jeg vil gerne se dokumentation for at det er slettet. Efter du vel om mærke har sendt mig en kopi af det du har, et billede af opslaget er fint, hvis du mener det kun er det ene sted mit navn florerer.”
Jagtbar Randers svarede bl.a. hertil, at det kunne være hvem som helst, der havde videregivet klagers Facebookprofil, og virksomheden modtog oplysninger fra både politi og gæster.
Ved e-mail af 8. juli 2021 oplyste Jagtbar Randers til klager, at virksomheden havde slettet oplysninger om klager samt linket til Facebookprofilen, men at klagers karantæne fortsat var gældende. Klager spurgte herefter ind til, hvorfor Jagtbar Randers havde slettet oplysningerne uden først at udlevere dem til ham.
Ved e-mail af 16. juli 2021 besvarede Advokatgruppen I/S på vegne af Jagtbar Randers klagers henvendelse og oplyste i den forbindelse, at Jagtbar Randers udelukkende havde haft et skærmprint af klagers Facebook profil, hvor klagers navn og billede fremgik. Oplysningerne blev behandlet som følge af klagers tidligere uheldige opførsel på Jagtbar Randers, hvorfor behandlingen af oplysninger var legitim såvel som rimelig, jf. databeskyttelsesforordningens artikel 5.
2.1. Klagers bemærkninger
Klager har overordnet anført, at Jagtbar Randers ikke har udleveret oplysninger, som virksomheden har behandlet om ham, og at virksomheden i stedet har slettet oplysningerne.
Klager har hertil gjort gældende, at Jagtbar Randers ved at slette oplysningerne, før klager fik disse udleveret, har forsømt at behandle oplysningerne fortroligt og sikkert.
2.2. Jagtbar Randers’ bemærkninger
Advokatgruppen I/S er den 9. september 2021 på vegne af Jagtbar Randers fremkommet med en udtalelse i sagen.
Advokatgruppen I/S har overordnet anført, at Jagtbar Randers fører et internt manuelt system, hvor der udelukkende opbevares identifikationsoplysninger af karantæneramte personer i form af skærmprint af de pågældendes Facebook profiler og eventuelt link til deres Facebook profil. Jagtbar Randers behandler hverken oplysninger om strafbare forhold, om helbredsmæssige forhold eller om racemæssige eller etnisk baggrund. Jagtbar Randers behandler udelukkende oplysninger om personers navn, herunder den fastsatte dato for karantænens udløb, hvorefter de førnævnte oplysninger slettes.
Det er ikke Jagtbar Randers’ opfattelse at have undladt at give klager indsigt. Tværtimod har Jagtbar Randers konkret informeret om have været i besiddelse af et skærmprint af klagers Facebook profil, samt URL-link til selvsamme profil. Jagtbar Randers har beskrevet formålet med behandlingen, de berørte kategorier af personoplysninger, samt opfyldt kriterierne nævnt i artikel 15 i løbet af korrespondancen med klager. Det pointeres samtidig, at korrespondancen til dels har omhandlet klagers karantæne og til dels behandling af klagers ikke-følsomme og offentliggjorte personoplysninger.
Advokatgruppen I/S har endvidere på vegne af Jagtbar Randers bekræftet, at skærmprintet er slettet, hvilket klager også selv anmodede om ved e-mail af 8. juli 2021. Der er et lokalt kendskab til klager, hvorfor personalet og vagterne hos Jagtbar Randers uagtet skærmprintet er i stand til at opretholde et trygt natteliv, som følge af personalets og dørvagternes kendskab til klager fra lokalmiljøet. Jagtbar Randers er ud fra en konkret vurdering kommet frem til, at skærmprintet af klagers Facebook profil alligevel ikke fandtes at være afgørende i relation til Jagtbar Randers’ opfyldelse af sine forpligtelser for at opretholde et trygt natteliv. Jagtbar Randers valgte derfor at slette skærmprintet på trods af, at behandlingen var, og fortsat er, legitim såvel som rimelig.
3. Begrundelse for Datatilsynets afgørelse
3.1. Af databeskyttelsesforordningens artikel 15 følger det, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles. Derudover har den dataansvarlige pligt til at give den registrerede en række informationer om bl.a. den dataansvarlige og dennes behandling af personoplysninger.
Det følger endvidere af bestemmelsen, at såfremt den dataansvarlige behandler oplysninger om den registrerede, har den registrerede ret til at få udleveret en kopi af de personoplysninger, der behandles, jf. artikel 15, stk. 3.
3.2. Datatilsynet finder, at Jagtbar Randers’ håndtering af klagers anmodning om indsigt er sket i strid med databeskyttelsesforordningens artikel 15, stk. 3.
Datatilsynet har herved lagt vægt på, at Jagtbar Randers ved alene at informere klager om at være i besiddelse af et skærmprint af klagers Facebook profil, og ikke udlevere en kopi af oplysningerne, ikke har besvaret klagers indsigtsanmodning i overensstemmelse med databeskyttelsesforordningens artikel 15.
Som følge heraf finder Datatilsynet grundlag for at udtale kritik af Jagtbar Randers’ behandling af klagers anmodning om indsigt, jf. databeskyttelsesforordningens artikel 15, stk. 3
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
Bilag: Retsgrundlag.
Uddrag af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
Artikel 12. Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet godtgøres med andre midler.
Stk. 2. Den dataansvarlige letter udøvelsen af den registreredes rettigheder i henhold til artikel 15-22. I de tilfælde, der er omhandlet i artikel 11, stk. 2, må den dataansvarlige ikke afvise at efterkomme den registreredes anmodning om at udøve sine rettigheder i henhold til artikel 15-22, medmindre den dataansvarlige påviser, at vedkommende ikke er i stand til at identificere den registrerede.
Stk. 3. Den dataansvarlige oplyser uden unødig forsinkelse og i alle tilfælde senest en måned efter modtagelsen af anmodningen den registrerede om foranstaltninger, der træffes på baggrund af en anmodning i henhold til artikel 15-22. Denne periode kan forlænges med to måneder, hvis det er nødvendigt, under hensyntagen til anmodningernes kompleksitet og antal. Den dataansvarlige underretter den registrerede om enhver sådan forlængelse senest en måned efter modtagelsen af anmodningen sammen med begrundelsen for forsinkelsen. Hvis den registrerede indgiver en anmodning elektronisk, meddeles oplysningerne så vidt muligt elektronisk, medmindre den registrerede anmoder om andet.
Artikel 15. Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:
- formålene med behandlingen
- de berørte kategorier af personoplysninger
- de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer
- om muligt det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til fastlæggelse af dette tidsrum
- retten til at anmode den dataansvarlige om berigtigelse eller sletning af personoplysninger eller begrænsning af behandling af personoplysninger vedrørende den registrerede eller til at gøre indsigelse mod en sådan behandling
- retten til at indgive en klage til en tilsynsmyndighed
- enhver tilgængelig information om, hvorfra personoplysningerne stammer, hvis de ikke indsamles hos den registrerede
- forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.
Stk. 2. Hvis personoplysningerne overføres til et tredjeland eller en international organisation, har den registrerede ret til at blive underrettet om de fornødne garantier i medfør af artikel 46 i forbindelse med overførslen.
Stk. 3. Den dataansvarlige udleverer en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på de administrative omkostninger. Hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form.
Stk. 4. Retten til at modtage en kopi som omhandlet i stk. 3 må ikke krænke andres rettigheder og frihedsrettigheder.