Journalnummer: 2021-31-5439

Resume

En klager havde anmodet DBA (herefter ’DBA’)  om at slette vedkommendes brugerprofil og andre dertilhørende personoplysninger. DBA afviste imidlertid anmodningen med den begrundelse, at DBA havde modtaget tre uafhængige klager fra købere på DBA over klager, og at DBA derfor havde brug for at opbevare oplysningerne med det formål at blokere klagers adgang til DBA’s platform. Under sagen anførte DBA, at klager tidligere havde forsøgt at omgå blokeringen ved at oprette nye profiler via forskellige e-mailadresser, og at opbevaringen af oplysninger om klager netop havde medvirket til, at DBA var i stand til at lukke samtlige profiler.

DBA anførte endvidere, at opbevaringen af oplysninger om klager kunne ske, fordi behandlingen var nødvendig for at beskytte købernes vitale interesser.

Datatilsynet fandt ikke grundlag for at tilsidesætte DBA’s vurdering af, at opbevaringen af oplysninger var nødvendig for at blokere klager adgang til DBA’s platform. Tilsynet fandt imidlertid, at det korrekte behandlingsgrundlag i sagen var den såkaldte ”interesseafvejningsregel”, og at behandlingen ikke kunne ske på baggrund af et hensyn til købernes vitale interesser.

1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at DBA ikke er forpligtet til at slette de omhandlede oplysninger i medfør af databeskyttelsesforordningens^[1] artikel 17, stk. 1.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Det fremgår af sagen, at du den 14. august 2021 rettede henvendelse til DBA og anmodede om at få slettet din bruger og de oplysninger, som DBA behandlede om dig, herunder oplysninger om din e-mail, navn og CPR-nummer.

DBA besvarede din henvendelse den 16. august 2021 og oplyste i den forbindelse, at DBA opbevarer personoplysninger ”for at løse twists mellem købere og sælgere, håndhæve virksomhedens annonceringspolitik og forhindre personer, der er blokeret fra at benytte DBA’s hjemmeside, fra at oprette sig på ny”.

DBA oplyste endvidere, at din profil og dertilhørende personoplysninger ikke ville blive slettet, og at oplysninger om dig automatisk slettes efter 24. måneders inaktivitet hos DBA. 

2.1. DBA’s bemærkninger

DBA har overordnet anført, at virksomheden har afvist din anmodning om sletning med den begrundelse, at virksomheden modtog tre uafhængige klager fra købere på DBA over dig.

DBA har oplyst, at det er altafgørende for DBA’s brugeres sikkerhed og virksomhedens indsats med at forebygge svindel på DBA’s platform, at DBA kan blokere og opretholde blokeringen af sælgere, som ikke leverer de varer, som køberne har betalt for. DBA er derfor alene i stand til at opretholde blokeringen og forhindre, at du opretter en ny profil på DBA, hvis virksomheden opbevarer oplysninger om dig til identifikation heraf.

Ifølge DBA har du tidligere forsøgt at omgå blokeringen ved at oprette nye profiler via otte forskellige e-mailadresser. DBA har været i stand til at lukke samtlige disse profiler, netop fordi virksomheden har kunne identificere dig på baggrund af oplysningerne. DBA har hertil oplyst, at virksomheden ikke opbevarer oplysninger om dit CPR-nr.

DBA har anført, at opbevaring af oplysningerne desuden gør DBA i stand til at bistå politiet med en eventuel efterforskning.

DBA har endvidere gjort gældende, at opbevaring af oplysningerne om dig kan ske i medfør af databeskyttelsesforordningens artikel 6, stk. 1, litra d, da det er den eneste måde, hvorpå DBA kan forhindre, at du opretter en ny profil på DBA’s platform og snyder flere købere. Derfor er DBA af den opfattelse, at virksomheden forfølger et berettiget formål, og overholder princippet om opbevaringsbegrænsning

2.2. Dine bemærkninger

Du har overordnet anført, at du har ret til at få slettet din profil og dertilhørende personoplysninger hos DBA, og at DBA’s fortsatte opbevaring af oplysninger om dig derfor er ulovlig.

3. Begrundelse for Datatilsynets afgørelse

Efter databeskyttelsesforordningens artikel 17, stk. 1, litra a, har den registrerede ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis oplysningerne ikke længere er nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.

Endvidere følger det af artikel 17, stk. 1, litra c, at den dataansvarlige skal slette oplysninger, hvis den registrerede gør indsigelse mod behandlingen i henhold til artikel 21, stk. 1, og der ikke foreligger legitime grunde til behandlingen, som går forud for indsigelsen, eller den registrerede gør indsigelse mod behandlingen i medfør af artikel 21, stk. 2.

Som sagen er oplyst, finder Datatilsynet, at DBA behandler de omhandlede oplysninger om dig i relation til, at der er modtaget flere klager over dig, og at du derfor har fået  blokeret adgangen til din profil på baggrund af ”interesseafvejningsreglen” i databeskyttelsesforordningens artikel 6, stk. 1, litra f, og ikke på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra d, som anført af DBA.

Datatilsynet finder i den forbindelse, at der ikke er grundlag for at tilsidesætte DBA’s vurdering af, at behandling af de omhandlede personoplysninger er nødvendig for, at DBA kan forfølge en legitim interesse, som går forud for din interesse i, at oplysningerne ikke behandles, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra f.

Datatilsynet har i den forbindelse lagt vægt på, at DBA alene vil kunne blokere dig adgangen til at oprette en ny bruger ved fortsat at opbevare de omhandlede oplysninger.

Efter databeskyttelsesforordningens artikel 21, stk. 1, har den registrerede til enhver tid ret til – af grunde, der vedrører den pågældendes særlige situation – at gøre indsigelse mod en ellers lovlig behandling af sine personoplysninger. Retten til at gøre indsigelse gælder dog kun, når behandlingen af oplysninger sker på baggrund af forordningens artikel 6, stk. 1, litra e eller f.

Hvis behandlingen finder sted i medfør af forordningens artikel 6, stk. 1, litra e eller f, betyder en indsigelse fra den registrerede, at den dataansvarlige skal foretage en fornyet vurdering af behandlingens nødvendighed og eventuelt stoppe behandlingen i forlængelse heraf og slette oplysningerne, jf. databeskyttelsesforordningens artikel 17, stk. 1, litra c.

Hvis den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares, kan behandlingen fortsat finde sted.

I den forbindelse finder Datatilsynet, at du ikke til støtte for din indsigelse har fremført sådanne grunde vedrørende din særlige situation, at din indsigelse er berettiget, jf. forordningens artikel 21, stk. 1.

Efter en gennemgang af sagen er det Datatilsynets vurdering, at hverken betingelsen i forordningens artikel 17, skt. 1, litra a eller c, er opfyldt, ligesom ingen af de øvrige betingelser i artikel 17, stk. 1, findes relevante at behandle i sagen, hvorfor du ikke har ret til at få oplysningerne slettet i medfør af beskyttelsesforordningens artikel 17, stk. 1.

Endvidere er det Datatilsynets vurdering, at behandlingen heller ikke kan anses for at være i strid med princippet om ”opbevaringsbegrænsning” i databeskyttelsesforordningens artikel 5, stk. 1, litra e, idet oplysningerne automatisk slettes hos DBA efter 24 måneders inaktivitet.

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).