Journalnummer: 2020-32-1955

Resume

Datatilsynet har truffet afgørelse i to sager om indhentelse af referencer fra samme klager.

Sagen drejede sig om, at en folkeskole (skole A) – i forlængelse af en samtale med klager om en mulig praktikplads – havde indhentet reference fra klagerens tidligere praktiksted (skole B).

Klageren klagede således over to forhold: 1) at skole A indhentede en reference om klager fra skole B, 2) at skole B videregav en reference om klager til skole A.

Skole A’s indhentning af reference

Det fremgår af sagen, at Skole A anså samtalen som uforpligtende, da der var tale om en stilling, som endnu ikke var slået op. Af den grund journaliserede Skole A ikke noget i forbindelse med samtalen – heller ikke den indhentede reference fra skole B.

Datatilsynet fandt således, at skole A’s indhentelse af oplysninger om klager ikke var omfattet af databeskyttelsesreglerne, da de indsamlede oplysninger ikke blev –  eller var bestemt til at blive – behandlet elektronisk eller indgå i et register.

Du kan læse Datatilsynets afgørelse om indhentelse af reference her. 

Skole B’s videregivelse af reference

Datatilsynet fandt endvidere, at skole B’s videregivelse af referencen i det konkrete tilfælde kunne rummes inden for myndighedens snævre rum for at benytte sig af interesseafvejningsreglen(artikel 6, stk. 1, litra f).

Datatilsynet lagde i den forbindelse vægt på, at skole B var af den opfattelse, at klager havde indvilget i, at referencen kunne videregives, da skole A havde oplyst dette. Grundet karakteren af oplysningerne havde skole B ikke en særlig pligt til at tage yderligere skridt for at sikre sig klagers accept.

Den praksis, som afgørelserne er udtryk for, vil blive indarbejdet i Datatilsynets opdatering af vejledningen om databeskyttelse i forbindelse med ansættelsesforhold, som tilsynet forventer at offentliggøre inden udgangen af 2022.

1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at skole B’s videregivelse af oplysninger om dig til skole A er sket inden for rammerne af databeskyttelsesforordningens[1] artikel 6, stk. 1, litra f.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Det fremgår af sagen, at du blev opsagt i din tidligere praktik hos skole B og efter opsigelsen havde en samtale med skole A med henblik på mulig fortsættelse af praktikforløbet der.

På mødet mellem dig og skole A blev der bl.a. talt om baggrunden for opsigelse af din praktik hos skole B, og at du var tilkaldevikar hos skole C.

Du gav i den forbindelse mundtligt samtykke til, at skole A kunne kontakte en ansat på skole C med henblik på indhentelse af reference.

Du blev efter samtalen opmærksom på, at skole A – udover at have kontaktet skole C for reference – også havde kontaktet skole B, idet skole A efter samtalen informerede dig om, at du ikke blev tilbudt praktikplads på skolen grundet tilbagemeldinger fra skole B.

Du rettede herefter henvendelse til X Kommune, som oplyste dig følgende:

”Jeg har nu fået svar fra Fagområdet omkring sagen, hvor du mener, at X Kommune har giver oplysninger om dig videre på uberettiget grundlag.

Fagområdet oplyser mig, at du, i forbindelse med jobsamtalen ved Y Kommune, har givet tilladelse til at indhente en reference ved X Kommune. Jeg er videre oplyst om, at det alene er i denne forbindelse, at X Kommune har give oplysninger om dig, og at det alene er lovlige oplysninger, der er givet under udtalelsen. Jeg er oplyst om, at HR (human Resurses) i X Kommune har været inde over sagen.

Ud fra de oplysninger, jeg har modtaget om sagen, ser jeg ikke, at der er sket en uberettiget videregivelse af dine oplysninger, og jeg foretager mig derfor ikke yderligere i sagen.

Jeg skal nævne, at jeg alene har forholdt mig til det persondataretlige aspekter af din henvendelse.”

Du rettede efterfølgende henvendelse til Datatilsynet og klagede over skole B’s videregivelse af oplysninger om dig til skole A uden dit samtykke. 

2.1. Dine bemærkninger

Du har anført, at du mener, at der er sket brud på tavshedspligten, idet skole B har udleveret oplysninger om din afskedigelse til skole A uden dit samtykke. Du har endvidere anført, at du af ingen af parterne kan få oplyst, hvad der er konkret er blevet oplyst om dig.

Endvidere har du anført, at skole B har udleveret oplysninger om dig, som er til ugunst for dig, og som har været med til at udsætte din uddannelse i 6 måneder.

2.2. Skole B’s bemærkninger

Skole B har anført, at skolen telefonisk har videregivet oplysninger om dig til skole A, som bliver opbevaret elektronisk på din personalesag.

Skole B har hertil anført, at oplysningerne, som er blevet videregivet om dig, er omfattet af databeskyttelsesforordningens artikel 6, og at der således ikke er blevet videregivet oplysninger om dig af følsom karakter omfattet af forordningens artikel 9 eller oplysninger om strafbare forhold omfattet af forordningens artikel 10.

Oplysningerne blev videregivet med skole A’s indhentning af reference, hvilket skole B havde den klare opfattelse af, at der var givet gyldigt samtykke fra dig til, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a. Dette blev dog kun bekræftet mundtligt, da referencen blev indhentet over telefon, hvorfor der ikke foreligger yderligere dokumentation herpå.

Den adspurgte person havde ikke oplysningerne liggende foran sig i læsbart format. Oplysningerne bliver imidlertid også opbevaret elektronisk, da oplysningerne fremgår af din personalesag – hvilket de også gjorde på tidspunktet for videregivelsen. De videregivende oplysninger ses således ikke alene at stamme fra den adspurgte persons hukommelse.

3. Begrundelse for Datatilsynets afgørelse

3.1. Databeskyttelsesforordningen finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register, jf. databeskyttelsesforordningens artikel 2, stk. 1.

Videregivelse af oplysninger kan ske, hvis en af følgende betingelser i databeskyttelsesforordningens artikel 6, stk. 1, litra a-f er opfyldt:

1. Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
2. Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.
3. Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.
4. Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.
5. Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.
6. Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.

Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.

Om denne begrænsning i offentlige myndigheders anvendelse af databeskyttelsesforordningens artikel 6, stk. 1, litra f, fremgår af forordningens betragtning 47:

”Eftersom det er op til lovgiver ved lov at fastsætte retsgrundlaget for offentlige myndigheders behandling af personoplysninger, bør dette retsgrundlag ikke gælde for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver...”

Begrænsningen i offentlige myndigheders mulighed for at foretage behandling af personoplysninger på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra f, skal således ses i sammenhæng med, at offentlige myndigheder som regel kun bør behandle personoplysninger som led i udførelsen af deres opgaver, hvis de ved lov har fået tildelt de fornødne beføjelser dertil, i hvilke tilfælde behandlingen kan ske på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e.

Det er imidlertid Datatilsynets opfattelse, at der er et snævert rum for, at offentlige myndigheder kan behandle personoplysninger på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, litra f.

Dette vil navnlig være tilfældet, hvor behandlingen ikke vedrører den offentlige myndigheds opgavevaretagelse, men hvor behandlingen ikke desto mindre er nødvendig af hensyn til, at myndigheden kan fungere på en tilfredsstillende og hensigtsmæssig måde, herunder i forhold til den daglige drift af myndigheden, og aktiviteten, som foranlediger behandling af personoplysninger, i øvrigt er både saglig og lovlig for myndigheden at udføre.

Det er dog ikke udelukket, at der også kan være andre helt særlige tilfælde, hvor det vil være muligt for en offentligt myndighed at anvende interesseafvejningsreglen.

3.2. Datatilsynet lægger til grund, at du ikke havde givet dit samtykke, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a, til, at skole B kunne videregive oplysninger om dig.

Datatilsynet bemærker i den forbindelse, at samtykke (databeskyttelsesforordningens artikel 6, stk. 1, litra a) som udgangspunkt ikke ville kunne danne grundlag for videregivelse af referencer, idet et sådan samtykke – i en rekrutterings- og ansættelsesproces eller lignende proces – ofte ikke lever op til betingelsen om at være afgivet frivilligt, og derfor ikke kan anses som gyldigt.

Det er Datatilsynets vurdering, at videregivelse af referenceoplysninger i en sag som den foreliggende, hvor videregivelsen ikke var nødvendig for skole B’s opgavevaretagelse som offentligt folkeskole, ikke vil kunne ske inden for rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra e.

Behandlingens lovlighed skal derfor vurderes efter databeskyttelsesforordningens artikel 6, stk. 1, litra f.  

Ved vurderingen af, om der foreligger hjemmel til videregivelse af referenceoplysninger, skal hensynet til den registrerede (ansøgeren) tillægges betydelig vægt på grund af de potentielle konsekvenser en sådan udveksling af oplysninger kan have for den registrerede.

For den videregivende dataansvarlige – i dette tilfælde skole B – indebærer dette, at der alene kan videregives oplysninger, hvis den registrerede er indforstået med, at den ansættende dataansvarlige – i dette tilfælde Y Kommune – har oplyst den registrerede om, at – og fra hvem – der vil blive indhentet referencer, og den registrerede har indvilliget heri.

Dette indebærer imidlertid ikke, at den videregivende dataansvarlige – i dette tilfælde skole B – i alle tilfælde selv ville skulle kontakte den registrerede med henblik på sikring heraf.

Hvis der – som det er tilfældet i denne sag – er tale om, at en myndighed retter henvendelse til en anden myndighed, kan den videregivende myndighed, når den indhentende myndighed oplyser dette, som udgangspunkt lægge til grund, at den registrerede har indvilliget i, at der indhentes oplysninger om den pågældende.

Ved videregivelse af oplysninger af mere beskyttelsesværdig karakter som oplysninger omfattet af databeskyttelsesforordningens artikel 9 eller databeskyttelseslovens § 8 vil den dataansvarlige i særlig grad skulle sikre sig, at den registrerede er informeret om behandlingen, og at denne er indforstået hermed.

3.3. På baggrund af ovenstående finder Datatilsynet, at skole B’s videregivelse af oplysninger om dig skete inden for rammerne af databeskyttelsesforordningens artikel 6, stk. 1, litra f.

Datatilsynet har herved lagt vægt på det af skole B oplyste om, at skole A telefonisk havde tilkendegivet over for skole B, at du var indforstået med udvekslingen af oplysningerne om dig.

Datatilsynet har endvidere lagt vægt på det af skole B oplyste om, at de videregivende oplysninger alene var omfattet af databeskyttelsesforordningens artikel 6.

I lyset heraf er det Datatilsynets opfattelse, at skole B med føje kunne indrette sig på, at du havde indvilliget i, at der blev indhentet oplysninger om dig, og at der derfor ikke bestod en særlig pligt for skole B til at tage yderligere skridt for at sikre sig din accept.

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)